Ahmet Gumusbas tarafından yazılmış tüm yazılar

2014 yılında Bilkent Üniversitesi Hukuk Fakültesi’nden onur derecesiyle mezun oldu. Aynı yıl Leiden Üniversitesi'nde başladığı Uluslararası Kamu Hukuku yüksek lisans programını 2015 yılında Birleşmiş Milletler Geçici Yönetimleri üzerine yazdığı tezle tamamladı. Yüksek lisansı sırasında "The meaning of 'attack' in context of Cyber Warfare" adlı bir makale kaleme aldı. 2016 yılında tamamladığı avukatlık stajı sonrası Birleşmiş Milletler - Eski Yugoslavya Uluslararası Ceza Mahkemesi’nde yasal stajyer olarak başladığı kariyerine uluslararası bir STK’de hukuki danışman olarak bir süre devam etti. Gümüşbaş halen Leuven Katolik Üniversitesi’nde uluslararası hukuk alanında doktora programına devam etmektedir.
Makale & Analiz

Devlet dışı aktörlerin gerçekleştirdiği siber operasyonlarda devlet sorumluluğu

Yorum yapın

2007 yılında Estonya’yı hedef alan siber saldırıların sorumluluğunu Nashi adlı Kremlin yanlısı bir gruba bağlı hackerler üstlenmişti. Sony Pictures’ın bazı gizli verilerinin sızmasına sebep olan 2014 saldırısının arkasında ise Kuzey Kore destekli bir grubun varlığı iddia edilmişti. Bu ve benzeri siber saldırıların ardından yaptığımız tartışmalarında bu eylemlerin uluslararası hukukun hangi kurallarını ihlal ettiği üzerinde durmuştuk. Ancak bunun ötesinde tartışmamız gereken diğer bir husus ise hangi şartlar altında hacker gruplarının saldırılarından devletlerin sorumlu tutulabileceğidir. Çünkü saldırı bir devlete isnat edilemediği takdirde saldırının kaynaklandığı ülkeye yönelik karşı tedbirler (counter-measures) alınamayacağı gibi meşru müdafaa (self-defence) hakkı da doğmayacaktır.

Devletin organları ya da kamu gücünü kullanarak hareket eden kişi veya birimler tarafından gerçekleşen eylemler, uluslararası hukuka göre o devletin fiili olarak kabul edilmektedir. Bunun yanı sıra devlet dışı bir aktör, eylemi bir devletin talimatı, emri ya da kontrolü altında gerçekleştirmiş ise fiilin sorumluluğu doğrudan o devlete ait olacaktır. Yani kısaca eylemi gerçekleştiren aktör ile söz konusu devlet arasında nitelikli bir bağlantı aranmaktadır. Örnek olarak, Özgür Suriye Ordusu (ÖSO) Afrin’de hukuka aykırı fiiller işlerse, bunlardan dolayı Ankara’nın sorumluluğu değerlendirilirken, TSK’nın ÖSO unsurları üzerinde ne ölçüde bir kontrolünün olduğu sorusunun cevaplanması gerekecektir.

Konu siber saldırılara geldiğinde ise yukarıda sayılan isnat edilebilirlik kurallarının uygulanması sorunlu hale gelecektir. İlk problem, siber saldırıyı gerçekleştiren aktörün yani hacker grubunun tespitindeki zorluklardır. Siber dünya, saldırıyı gerçekleştiren gruba kimliğini gizleme noktasında büyük olanaklar sunsa da başarılı iz sürme (trace back) sonucunda bu grupların tespiti mümkün olmaktadır. Ancak asıl sorun, tespit edilen aktör ile eylemin arkasında olduğu düşünülen devlet arasındaki bağlantıyı yakalayabilmektir. Bu noktada devletin saldırıya ilişkin talimatlarını veya hacker grubu üzerindeki etkili kontrolünü ispat edecek deliller aranacaktır.

Siber savaştaki tespit zorlukları, isnat edilebilirlik şartlarının daha esnek uygulanması önerilerini gündeme getirmiştir. Bu önerilerden bir tanesi, saldırının kaynaklandığı ülke tespit edildiğinde, o devletin bu saldırının arkasında olduğu kabul edilecek ve aksini ispat etmesi istenecektir. Kuzey Koreli hackerların Sony saldırısını Tayland’da bir otelden gerçekleştirdiği dikkate alındığında saldırının kaynağını oluşturan ülkeyi tespit etmek yeterli olmayacak ve hatta yanıltıcı sonuçlara yol açabilecektir.

Diğer bir öneri, devletlerin kendi toprakları ya da siber altyapısı kullanılarak gerçekleşen bir saldırıyı engellemek için gerekli özeni göstermesi gerektiği (due diligence) tezine dayanmaktadır. Buna göre hacker grubunun gerçekleştirdiği saldırıdan önceden haberdar olan ve bildiği halde gerekli tedbirleri almayan devlet, bu saldırıdan dolayı doğrudan sorumlu tutulacaktır. Diğer bir ifadeyle devlet, tedbir almadığı için sorumlu tutulmanın ötesinde saldırıyı bizzat kendi gerçekleştirmiş kabul edilecektir.

Hukuken tartışmalı olmakla birlikte bu öneriye dayanak oluşturabilecek örnekleri kinetik savaşta bulabiliriz. 11 Eylül sonrası El-Kaide’ye karşı başlatılan savaşta hükümette olan Taliban rejimi de hedef alınmıştı. BM Güvenlik Konseyi de aldığı kararlarla Afgan devletine karşı kuvvet kullanımını onaylamıştı. Benzer şekilde 2006’da Hizbullah tarafından saldırıya uğrayan İsrail, sadece bu grubu değil Lübnan devletini de doğrudan hedef almıştı. Dikkat ederseniz bu saldırılar, Batılı devletlerin Suriye’de IŞİD’e karşı operasyon gerçekleştirmesinin ötesinde bir durumdur.

Esad yönetimi, IŞİD’in eylemlerinden doğrudan sorumlu tutulmamış ve bu yüzden bir saldırıya maruz kalmamıştır. Yalnızca, Şam’ın rızası olmadan Suriye topraklarına müdahale edildiği için Suriye’nin egemenlik hakkı ihlal edilmiştir. Buna gerekçe olarak ise Suriye ordusunun IŞİD ile mücadelede isteksiz olduğu veya aciz kaldığı (unwilling or unable doctrine) gösterilmiştir. Ancak, El-Kaide ve Hizbullah’ın saldırılarını engelleyebileceği halde gerekli tedbirleri almadıkları ve örgütlere korunaklı alanlar oluşturduğu gerekçesiyle Afgan ve Lübnan devletleri, kendi unsurlarının gerçekleştirmediği saldırılardan dolayı doğrudan sorumlu tutulmuştur.

Bu yaklaşım ışığında en baştaki örneğe dönersek, Moskova’nın Estonya’ya saldıran hacker grubuna talimat verdiği ya da grup üzerinde etkili bir kontrole sahip olduğu ispatlanamasa dahi saldırının Moskova’ya isnat edilebilmesi mümkündür. Ancak bunun için Rusya’nın bu saldırıyı bildiği ve engellemeye gücü yeteceği halde hareketsiz kaldığının ispatlanması gerekecektir.

Sonuç olarak, uluslararası teamül hukukunda kabul edilen isnat şartları siber saldırılar için uygulandığında, hackerler tarafından gerçekleştirilen saldırıların bir devlete isnat edilebilmesi pek mümkün gözükmemektedir. Diğer yandan getirilen öneriler henüz ne uluslararası sözleşmelerde ne de teamül hukukunda yer bulmuştur. Ancak, El-Kaide ve Hizbullah örneğinde olduğu gibi devletlerin siber saldırılara karşı alacağı tedbirler zaman içerisinde bu teamülün değişmesi sonucunu doğurabilecektir.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Makale & Analiz

Uluslararası hukuk açısından NotPetya

Yorum yapın
3141675 06/28/2017 IT systems in several countries have undergone a global ransomware attack. Vladimir Trefilov/Sputnik via AP

27 Haziran’da başta Ukrayna olmak üzere Avrupa, ABD ve Rusya’yı vuran NotPetya yazılımı, mevcut uluslararası hukuk normlarının siber dünyaya uygulanabilirliği sorununu tekrar gündeme taşıdı.

Siber güvenlik uzmanları, başlangıçta saldırıyı WannaCry benzeri bir fidye yazılımı olarak değerlendirse de aslında NotPetya’nın belirli sistemlere yönelerek ekonomik zarara yol açmayı ve kaos ortamı oluşturmayı amaçladığı sonucuna vardı. Hatta NATO akreditasyonuna sahip Müşterek Siber Savunma Merkezi (CCD COE), zararlı yazılımın arkasındaki devletin kendi siber saldırı kapasitesini test etmek veya gücünü göstermek amacıyla böyle bir bir saldırı gerçekleştirdiğini iddia etti.

NATO Genel Sekreteri Jens Stoltenberg saldırının ertesi günü yaptığı açıklamada; ‘silahlı saldırı’ ile kıyaslanabilecek sonuçlar doğuran siber operasyonların NATO Antlaşması’nın 5. maddesini etkin hale getirebileceği ve siber saldırılara askeri yöntemlerle karşılık verilebileceğini duyurdu. Microsoft ise barış zamanında sivillere yönelik gerçekleşen devlet destekli siber saldırıları engellemek adına çalışmalar yapılması gerektiğini belirtti. Ayrıca bu kapsamda devletleri uluslararası insancıl hukuku düzenleyen 1949 Cenevre Sözleşmeleri benzeri bir ‘Dijital Cenevre Sözleşmesi’ yapmaya davet ettiği çağrısını yeniledi. Bu açıklamalarla beraber NotPetya’nın etkileri dikkate alındığında, saldırının uluslararası hukuku ilgilendiren yönlerinin de tartışılması gerektiğine inanıyoruz.

İsnat Edilebilirlik

NotPetya kötü amaçlı yazılımının esas olarak Ukrayna’yı hedef aldığı ancak daha sonra diğer ülkelere yayıldığı tahmin ediliyor. Bu noktada ilk sorulması gereken, saldırının kimin tarafında gerçekleştirildiği. Uluslararası hukukta haksız bir eylemin bir devlete isnat edilebilirliği, eylemin bir devlet organı veya bir devletin “talimatı, yönlendirmesi veya kontrolü” ile hareket eden devlet-dışı bir aktör tarafından gerçekleştirildiği hallerde mümkündür. Kesin bir şekilde isnat edilebilirlik mümkün olmasa da CCD COE uzmanları saldırının bir devlet organı veya devlet destekli bir aktör tarafından gerçekleştirildiğini düşünüyor. Bu iddialarını destekleyen en önemli olgu, yazılımın maliyetinin bir devletle bağlantılı olmayan hackerlarca karşılanamayacak kadar fazla olması. Ayrıca uzmanlar basitçe hazırlanmış bu fidye toplama yöntemiyle NotPetya’nın maliyetinin dahi çıkarılamayacağını öngörüyor. Ukrayna Güvenlik Servisi ise ellerinde deliller olduğunu belirterek saldırının arkasında Rusya’nın olduğunu iddia ediyor. Ancak saldırıdan etkilenen şirketler arasında Rus devletinin en büyük hissedar olduğu Rosneft’in bulunduğunu da not etmek gerekiyor.

Operasyonun Hukuki Niteliği

Saldırının bir devlete isnat edilebildiğini varsayarsak cevabını arayacağımız ikinci soru NotPetya’nın uluslararası hukukun hangi ilkelerini ihlal ettiği olacaktır. Temel olarak 3 kuraldan bahsedebiliriz; müdahale etmeme ilkesi, egemenlik hakkı ve kuvvet kullanmama ilkesi.

Müdahale etmeme (non-intervention) kuralı, BM Sözleşmesi’nde açık bir şekilde yer almasa da uluslararası teamül olarak kabul görmüş ve birçok davada bu kurala atıfta bulunulmuştur. Esas olan bir devletin diğer ülkenin iç işlerine cebir içeren bir eylemle müdahalede bulunmamasıdır. Örnek olarak, Rusya’nın ABD seçimlerine müdahalesini bu kapsamda değerlendirmiştik. NotPetya’nın ise bazı devlet kurumlarına zarar verdiği biliniyorsa da eylemin bir devletin iç işlerine veya hükümetin yürüttüğü bir kampanyaya müdahale ettiği söylenemeyecektir.

Egemenlik hakkı (sovereignty) ise bir devlete kendi toprakları üzerinde münhasıran kontrol yetkisi tanımaktadır. Tallinn Siber Savaş Kılavuzu, bir ülkenin siber altyapısının da o devletin egemenliği kapsamında değerlendirileceğini açıkça ifade etmektedir. Siber araçlar kullanılarak bir ülkedeki kamusal ya da özel siber altyapıya yapılan saldırılar o ülkenin egemenlik hakkını ihlal etmektedir. Ancak bu saldırıların basit yaralanmaya veya donanımsal bir parçanın tamirini gerektirecek fiziksel bir zarara sebebiyet verecek düzeyde olması gerekmektedir. Sistemin işleyişi için gerekli dataların yok olmasına yol açan siber saldırılar da bu hakkı ihlal etmektedir . NotPetya’nın verdiği fiziki zararın boyutu tam olarak bilinmemektedir. Ancak Tallinn Kılavuzu’nu hazırlayan ekibin lideri Micheal Schmitt, NotPetya’nın sistemleri geçici olarak servis dışı bırakmanın ötesinde altyapıya zarar verdiği ve erişimi engellendiğini ifade ederek, bu durumun egemenlik hakkını ihlal ettiğini belirtmiştir.

Kuvvet kullanmama ilkesi (prohibition on the use of force), bir devletin BM Güvenlik Konseyi kararı olmadan veya meşru müdafaa hakkı doğmadan başka bir devlete karşı kuvvet kullanımını yasaklamaktadır. Ancak bu ilkenin ihlal edilmiş sayılabilmesi için siber saldırı, ölçüsü ve etkisi açısından kalıcı veya büyük çaplı bir fiziksel zarara ya da ölüm veya yaralanmaya sebebiyet vermesi gerekmektedir. Uzmanlar siber operasyonunun ciddi bir ekonomik istikrarsızlığa yol açtığı durumları da kuvvet kullanımı olarak kabul etmektedir. Eldeki bilgilerle NotPetya’nın etkisinin bu seviyeye ulaşmadığı ve kuvvet kullanma yasağının delinmediğini söyleyebiliriz.

Uluslararası İnsancıl Hukuk (International Humanitarian Law)

Tartışılması gereken bir diğer husus, uluslararası insancıl hukukun (uluslararası silahlı çatışmalar hukuku) hangi koşullarda siber operasyonlara uygulanabileceğidir. İnsancıl hukukun uygulanabilmesi için öncelikli olarak devlet ya da devlet dışı aktörlerin silahlı çatışma içerisine girmesi gerekmektedir. NotPetya’nın Rusya’nın kontrolündeki bir grup hackerca gerçekleştirdiğini varsayarsak ve Rusya ile Ukrayna’nın Kırım ve Ukrayna’nın doğusunda silahlı çatışma içerisinde olduğunu dikkate alırsak, insancıl hukukun uygulama alanı bulduğundan söz edebiliriz. Bu durumda siber operasyonları da insancıl hukuk normları kapsamında değerlendirmemiz gerekecektir.

Ancak eğer siber saldırı silahlı çatışma içerisinde olunmayan yani Rusya’nın dışında bir devlet tarafından gerçekleştirildiyse insancıl hukukun uygulanabilmesi için siber eylemin ‘saldırı’ seviyesinde olması şartı aranacaktır. Bu ise eylemin ölüm, yaralanma veya ciddi düzeyde fiziksel zarara yol açabileceği durumlarda mümkündür. Fakat NotPetya’nın bu seviyeye ulaşmadığını düşünüyoruz.

İnsancıl hukukun en temel ilkesi, silahlı çatışmalar sırasında gerçekleştirilen saldırılarda sivil ve askeri hedeflerin ayırt edilmesi gerektiğidir. Ancak bu ilke, yukarıda belirttiğimiz ‘saldırı’ seviyesindeki eylemler için geçerli olacaktır. NotPetya bu seviyede olmadığı için ‘ayırt etme ilkesi’ uygulanamayacaktır. İlkeyi anlamak adına NotPetya’nın bu seviyede bir ‘saldırı’ olduğunu varsayarsak, ilk olarak bu yazılımın sivilleri mi yoksa askeri unsurları mı hedef aldığını sormamız gerekecektir. NotPetya’nın özel şirketleri, Kiev Havaalanını, elektrik santrallerini ve sağlık ağını hedef aldığı göz önünde bulundurulduğunda, bunların askeri avantaj sağlayan unsurlardan çok sivil objeler olduğu kanaatine varılabilir. Bu varsayımla, NotPetya uluslararası insancıl hukuku ihlal etmiş sayılacaktır ve savaş suçu olarak değerlendirilecektir.

Sonuç olarak, siber eylemlerin sayısı ve etkileri arttıkça saldırıların uluslararası hukuk boyutuna ilişkin tartışmalar genişleyerek devam edecektir. Yukarıda yaptığımız tartışmalarda da görebileceğiniz üzere kinetik savaşa uygulanan hukuku siber dünyaya uyarlarken bazı belirsizlikler ortaya çıkmaktadır. Hem isnat edilebilirlik koşulları hem de saldırıların niteliğini belirlemede bazı sorunlar görülmektedir. Ancak NATO CCD COE araştırmacısı Tomáš Minárik’in   ifade ettiği gibi Microsoft’un önerdiği şekilde ‘yapılması hem hukuken karmaşık olacak hem de gerçekçi olmayacaktır. Siber hukuka ilişkin basit bildirilerde dahi devletler arasında bir mutabakat sağlanamazken, böylesine yenilikçi bir sözleşme beklemek şuan için pek gerçekçi değil. Ancak unutmamak gerekir ki uluslararası hukukun diğer bir kaynağı, uluslararası teamüller yani devletlerin uygulamalarıdır (state practice and opinio juris). Siber eylemlere karşı devletlerin refleksleri ve hukuki değerlendirmeleri zaman içinde siber savaş hukukunu belirleyen en temel unsur olacaktır.

Makale & Analiz

Uluslararası hukuk açısından Rusya’nın ABD seçimlerine müdahalesi

Yorum yapın

Rusya’nın ABD seçimlerine siber saldırılar ile müdahale ettiği iddiası kesinlik kazanmaya başladı. Amerikalı yetkililer, Rus hükümetine bağlı bilgisayar korsanlarının Clinton’ın seçim kampanyasını yürüten Demokratik Ulusal Komite’nin (DNC) bilgisayarlarına sızarak Trump’a karşı yürütülen kampanyalara dair bilgiler edindiğini açıkladı. Demokrat ve cumhuriyetçi senatörlerin ortak bir komisyon kurarak bu olayı incelemesi saldırıların ulusal bir tehdit olarak algılandığını gösteriyor. Son olarak 35 Rus diplomatın ‘istenmeyen adam’ ilan edilerek sınır dışı edilmesi ise meselenin ciddiyetini gözler önüne serdi. Bu yazıda bu saldırıların uluslararası hukukta ne tür bir ihlal olarak tanımlanabileceği ve ABD’nin Rusya’ya karşı ne tür tedbirlere başvurabileceği sorularının cevaplarını arayacağız.

İlgili yazı >> ABD İranlı hackerları gerçekten yakalayabilir mi?

Öncelikle söz konusu siber saldırılara karşı ABD’nin ‘meşru müdafaa hakkı’nın (self-defense) doğmadığını açıkça söyleyebiliriz. BM Sözleşmesi’nin 51. maddesi gereğince bu hakkın doğabilmesi için bir devletin ‘silahlı saldırı’ya (armed attack) uğraması gerekmektedir. NATO’nun hazırladığı siber savaş hukukunu düzenleyen Tallinn Kılavuzu’nda da ifade edildiği üzere, ancak ölüm, yaralama veya ciddi fiziksel yıkıma sebebiyet veren siber saldırılar bu kapsamda değerlendirilmektedir. DNC saldırılarının böyle bir amacı ve sonucunun olmadığı açıktır.

İlgili yazı >> Uluslararası hukuk açısından Türkiye siber saldırılara karşı ne yapabilir? 

Ölçü ve etkileri bakımından ‘silahlı saldırı’ seviyesine varmayan ancak belli bir fiziksel zarara sebep olan siber saldırılar ise ‘kuvvet kullanımı’ (use of force) olarak değerlendirilebilir. Bunlar, casusluk faaliyetleri veya geçici sistem aksaklıkları düzeyini aşan eylemlerdir (örneğin Stuxnet). Bu sebeple, Moskova’nın Clinton’ın seçim kampanyasına dair bilgi toplama amacıyla yaptığı bu sızıntılar ‘kuvvet kullanımı’ olarak da değerlendirilemeyecektir.

Ancak bu şekilde fiziksel zarara sebebiyet vermemiş olsa da bir ülkenin siber altyapısına yönelik eylemler uluslararası hukukta yasaklanmıştır. Her şeyden önce DNC saldırılarının seçimlere müdahale etmek suretiyle bir ülkenin iç işlerine karışmak olduğu söylenebilir. Uluslararası teamül hukukunca kabul edilen ‘müdahale etmeme prensibi’ (principle of non-intervention), bir ülkenin başka bir ülkenin iç işlerine karışmasını yasaklamaktadır. Bu müdahalenin cebir (coercion) içermesi gerekmektedir. Yani, saldırıya maruz kalan devletin bu saldırıları engellemek için olağandışı tedbirler almak zorunda kalmış olma şartı aranmaktadır. Siber anlamda cebrin tanımı halen tartışmalı olsa da cebir şartı somut olaylara özgü değerlendirilmelidir. DNC saldırıları açısından ise, her ne kadar saldırıların kapsamının daha da aydınlatılması gerekse de, cebrin söz konusu olduğu ve Rusya’nın müdahale etmeme ilkesini ihlal ettiği söylenebilir. Bu tartışmanın ötesinde, ABD’nin egemenliği kapsamında bulunan siber altyapısına yapılan bu saldırı, bir ülkenin egemenlik hakkına tecavüz olarak da nitelendirilebilir. Bazı yazarların salt casusluk faaliyetlerinin egemenlik hakkına tecavüz oluşturmayacağı görüşünü de not etmekte fayda var.

İlgili yazı >> ABD backdoor istedi, Apple reddetti peki şimdi ne olacak?

Nihayetinde DNC saldırılarının silahlı saldırı ve kuvvet kullanımı olarak nitelendirilemeyeceği ancak müdahale etmeme ilkesinin ihlal edildiği ve ABD’nin egemenlik hakkına bir tecavüzün söz konusu olduğu sonucuna varabiliriz. Meşru müdafaa hakkının doğmadığı bu durumda uluslararası hukuk, devletlere ‘karşı önlemlere’ (countermeasures) başvurma imkanı tanımıştır. Karşı önlemler, bir devletin kendisine yönelen uluslararası haksız bir fiile karşı alabileceği tedbirleri içermektedir. Bu karşı önlemlerin kendisi, normal şartlarda hukuka aykırı değerlendirilse de tedbir amacıyla icra edildiği için meşruiyet kazanmaktadır. Yine de bu önlemlerin ‘kuvvet kullanımı’ seviyesine varmaması ve sadece söz konusu haksız fiili sona erdirmeye yönelik olması gerekmektedir.

Yani ABD hükümeti Rusya’nın saldırılarını engellemeye yönelik karşı saldırılar yapabilmekle beraber bu saldırılar fiziksel zarara sebebiyet verecek düzeyde olmamalıdır. Ancak görülüyor ki, Obama hükümeti saldırılara karşı ciddi bir reaksiyon gösterse de bunları uluslararası hukuka aykırı eylemler olarak nitelendirmemiştir. Saldırıları sadece devletler arası davranış kurallarına (international norms of behavior) aykırı olarak nitelendirmiş ve diplomatları sınır dışı etmekle yetinmiştir. Zaten diplomatların sınır dışı edilmesi, uluslararası hukuk kapsamında bir karşı önlem olarak nitelendirilemez.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

[wysija_form id=”2″]
Makale & Analiz

ABD İranlı hackerları gerçekten yakalayabilir mi?

Yorum yapın

Obama, geçen sene Çinli lider Xi Jinping’in Washington ziyareti öncesi siber saldırılara ilişkin şu ifadeleri kullanmıştı: “Devletler bu saldırıları bir meydan okuma aracı haline getirebilir. Ancak sizi temin ederim ki, böyle bir mücadele içine girmek zorunda kalırsak kazanan biz olacağız.” Siber saldırılara yönelik buna benzer politik söylemlerin ardına hukuki adımlar da atılmaya başladı. Yabancı devletlerle bağlantılı hareket ettiği ileri sürülen hackerlara yönelik cezai soruşturmalara bir yenisi geçtiğimiz Mart ayında eklendi. ABD genelinde 46 finans kuruluşu ve New York’ta bulunan bir barajı hedef almakla suçlanan 7 İranlı hackera yönelik iddianame kamuoyuna duyuruldu. ABD-İran arasındaki nükleer müzakerelerin sürdüğü dönemde tamamlanan bu iddianame, siyasi sebeplerle bir yılı aşkındır raflarda bekletiliyordu. Her ne kadar hackerların İran devleti adına hareket ettiği iddia edilse de, suçlamalar bireysel düzeyde kaldı.

AHMET GÜMÜŞBAŞ’IN DİĞER YAZILARINA ULAŞMAK İÇİN TIKLAYINIZ

Bu iddianame, Çin ordusuna mensup hackerların Amerikan şirketlerine yönelik saldırılar gerçekleştirdiğine ilişkin 2014 yılının Mayıs ayında tamamlanan iddianameyle benzer amaçlar güdüyor. Her iki iddianame de ABD’nin sınır ötesinden gelen saldırılara karşı da hukuki süreçlere başvurmaktan kaçınmayacağını gösteriyor. Bunun yanı sıra geçtiğimiz Mart ayında Suriye Elektronik Ordusu’na mensup üç hacker hakkında çıkarılan yakalama kararı da ABD’nin hukuki yaptırımlara başvurma iradesinin bir sonucu. Ancak hatırlatmak gerekir ki, bu hackerlar ABD topraklarında ikamet etmiyor.  Çin, İran ve Suriye ile aralarında suçluların iadesine yönelik herhangi bir hukuki antlaşma bulunmayan ABD’nin pratikte söz konusu ülkelerde yaşayan bu kişilere ilişkin cezaları uygulayabilme imkanı yok. Ancak meselenin hukuki boyutunu uluslararası kamuoyuna yansıtmanın, hackerlar ve bağlantılı devletler açısından caydırıcılık unsuru olabileceğine inanılıyor.

Peki New York savcılarını yaşları 23 ila 37 arasında değişen bu yedi İranlı hackerın peşine düşüren saldırılar nelerdi? 2011-2013 yıllarında aralarında New York Borsası, Bank of America, NASDAQ,  JPMorgan Chase Wells Fargo ve American Express’in bulunduğu çok sayıda finans kuruluşuna DDoS saldırılar gerçekleştirildi. İddianameyi basın açıklamasıyla bizzat kendisi duyuran ABD Adalet Bakanı Loretta Lynch, internet sitelerini bloke eden bu saldırıların şirketleri milyonlarca dolar zarara uğrattığını belirtti. Ancak Amerikalı yetkilileri alarma geçiren esas olay 2013 yılında New York’ta su taşkınlarına karşı kullanılan küçük bir barajın kontrol sistemine İranlı hackerlardan birinin erişim sağlaması oldu. Su seviyesi, sıcaklık ve baraj kapaklarına dair bilgiler ele geçirildi. Her ne kadar söz konusu baraj tehlike doğuracak büyüklükte olmasa da benzer yöntem ve edinilen bilgiler ile daha büyük barajlara bir saldırı endişesi ortaya çıktı.

İddialara göre saldırıları gerçekleştirenler İran’da bulunan ITSecTeam ve Mersad adlı iki bilgisayar firmasında çalışıyor. Bu şirketler ise İran hükümeti ve Devrim Muhafızları Ordusu adına faaliyet gösteriyor. Bu eylemlerin 2010 yılında İran’ı hedef alan Stuxnet saldırısını takip eden dönemde gerçekleşmesi, Tahran’ın Washington’a karşılık verme amacıyla bu eylemleri koordine ettiği iddialarını kuvvetlendiriyor.

Basın toplantısında kullanılan dil ise yetkililerin caydırıcılık unsuru üzerinde durduğunu gösteriyor.  FBI Başkanı James Comey, “Her nerede ve kim olurlarsa olsunlar, bu saldırıların arkasındakiler mutlaka tespit edilecek ve hesap verecektir” ifadelerini kullanırken, Adalet Bakanı Yardımcısı General Carlin, kimsenin siber dünyanın görünmezlik perdesi arkasına saklanamayacağını ve devlet destekli bu hackerların tespit edilebileceğini bu iddianame ile bir kez daha gösterdiklerini vurguladı.

İran’ın yanı sıra Suriye Elektronik Ordusu da 2011’den bu yana Amerikan basın kuruluşlarını ve teknoloji şirketlerini hedef alıyor. Bu eylemlerden yakalama kararlarına konu olan iki saldırı öne çıkıyor. Bunlardan ilki, FBI’ın ‘Cyber Most Wanted’ listesinde yer alan Agha ve Dardar isimli iki hackerın Associated Press’in twitter hesabını ele geçirerek, Beyaz Saray’ın bombalandığını yazmasıydı. İddianın akabinde Standard & Poor 500 endeksi kısa süre içerisinde 136 milyar dolar değer kaybetmişti. Diğer saldırıda ise, ABD Donanma Kuvvetleri’nin askere alma sitesi hacklenerek “emirlere uymayın” mesajı bırakılmıştı.

Şunu ifade etmek gerekir ki, hazırlanan iddianameler ve yakalama kararları söylemden öteye geçip fiili bir yaptırıma dönüşemiyor. ABD’yi hedef alan saldırıların çoğu Çin, İran ve Rusya gibi ABD’nin suçluların iadesi antlaşması yapmadığı ülkelerce gerçekleştiriliyor. Yukarıda bahsettiğimiz ondan fazla şüphelinin yakalanmasına dair Amerikan devleti fiilen bir adım atabilmiş değil. Tek umutları, haklarında 10 yıla kadar hapis cezası istenen bu hackerların bir şekilde kendi ülkelerinden çıkıp ABD’nin iade antlaşması yaptığı ülkelere (örneğin Türkiye) giriş yapması. FBI Başkanı’nın ifadesiyle, “Dünya küçük ve bizim hafızamız kuvvetli. Muhtemelen bir gün bu kişiler, tatil ya da eğitim için Amerika’nın dostu bir ülkeye seyahat edecektir.”

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]

Makale & Analiz

Paris saldırıları ve backdoor

Yorum yapın

130 kişinin ölümüne sebep olan Paris saldırılarının ardından, Fransız hükümeti ülke genelinde olağanüstü hal kararı aldı. 26 Şubat’a kadar sürecek bu güvenlik tedbirinin amacı, saldırılara yönelik soruşturmayı daha sağlıklı yürütebilmek ve muhtemel yeni saldırıların önüne geçebilmek olarak açıklandı. Bu kapsamda, özel yetkilerle donatılan güvenlik güçleri, mahkeme kararı olmadan şüphelilerin evinde arama yapabilme ve kişilerin telefon ve bilgisayarlarındaki verilere erişebilme hakkı elde etti. Ayrıca yine mahkeme kararı olmadan elektronik iletişimin takip ve tespitine de izin verildi.

AHMET GÜMÜŞBAŞ’IN DİĞER YAZILARINA ULAŞMAK İÇİN TIKLAYIN

Olağanüstü hallerde verilen bu yetkiler geçici mahiyette olduğu için ciddi tepkilere yol açmadı. Ancak Ocak ayının başlarında Fransa parlamentosunun önüne gelen yasa değişikliği teklifi, olağanüstü hal kaldırıldıktan sonra da devam edecek nitelikte. Bu değişiklikle birlikte, bir mahkeme kararı doğrultusunda, cihaz ve yazılım üreticileri güvenlik güçlerine back-door veya şifre çözümü sağlamak zorunda kalacak. ‘Digital Republic’ yasasındaki bu değişiklik yoğun eleştirilere rağmen 26 Ocak’ta Fransa Parlamentosu tarafından kabul edildi. Bu kararın gerekçeli açıklamasında, ulusal güvenlik ve cezai soruşturmaların yürütülmesi açısından elektronik verilere ulaşımın sağlanmasının gerekliliği vurgulanıyor. Üretici firmaların kişisel verilerin korunması adına şifreleme tekniklerini ciddi anlamda geliştirdiği ifade edilmekle birlikte, bu durumun ulusal güvenlik açısından bir takım sıkıntıları beraberinde getireceği belirtiliyor. Bu yasa kapsamında elde edilen back-door’lar vasıtasıyla güvenlik güçlerinin soruşturmayı sekteye uğratan şifrelemeleri aşabileceği öngörülüyor.

Son saldırıların soruşturulması aşamasında yaşanan bazı aksaklıklar, yukarıda belirtilen yasa değişikliğinin temel sebebi olarak gösteriliyor. Fransız yetkililer saldırıların nasıl planlandığını bütünüyle tespit edememelerini, teröristlerin Telegram gibi şifreli mesajlaşma sağlayan programlar kullanmalarına bağlıyorlar. İletişimleri deşifre edemediklerini ve bu sebeple soruşturmada bazı kör noktaların kaldığını ifade ediyorlar.

Diğer ülkelerdeki tartışmalar

Her ne kadar Fransa, Paris saldırıları akabinde hızlıca yasa değişikliğine gitse de, elektronik iletişim imkanlarıyla birlikte gelişen kişisel şifreleme teknikleri başka ülkeleri de benzer kararlar almaya itiyor. İngiltere’de de Fransa’dakine benzer bir yasa değişikliği halen tartışılıyor.

Diğer taraftan, FBI’ın Apple’dan back-door talep ettiğini ancak Apple’ın reddettiğini daha önceki bir yazımızda ifade etmiştik. FBI’ın baskılarına rağmen ABD hükümeti şifreleme karşıtı böyle bir yasaya sıcak bakmadıklarını açıklamıştı. Hollanda hükümeti ise Ocak ayı içerisinde yaptığı yazılı bir açıklamada, kişisel verileri koruyan şifreleme tekniklerinin geliştirilmesini desteklediklerini ve back-door’ların güvenlik zafiyeti yaratacağını belirtti.

Hollanda hükümeti, güvenlik endişeleri sebebiyle şifrelemelerin zayıflatılmasına sert bir biçimde karşı çıktı. Şifreleme teknikleriyle kuvvetlendirilen internet güvenliğinin bireyler ve şirketlerin yanı sıra hükümetler için de son derece önemli olduğuna dikkat çekti. Avrupa İnsan Hakları Sözleşmesi (AİHS)’nin özel hayatın korunmasına ilişkin maddesine dikkat çeken Hollanda Adalet Bakanı Ard van der Steur,  back-door’ların elektronik iletişim araçlarını teröristlerin ve yabancı istihbarat örgütlerinin suistimaline açık hale getireceğini belirtti.

İnsan hakları vs. Güvenlik

Gerek suçun önlenmesi aşamasında eyleme hazırlık görüşmelerinin tespiti adına gerekse soruşturma aşamasında suçun aydınlatılması adına şifrelerin çözülmesini ciddi bir gereklilik olarak görebiliriz. Ancak bu durum, diğer taraftan kişisel verilerin gizliliğinin ihlaline dair bazı şüpheleri beraberinde getiriyor. Ayrıca, back-door’ların hackerlar ve yabancı istihbarat örgütlerince casusluk, internet dolandırıcılığı, kişisel verilere ulaşma gibi amaçlarla kullanılması riski de söz konusu.

AİHS, özel hayatın gizliliğini (kişisel verilerin korunmasını) güvence altına almış olsa da ulusal güvenlik ve kamu güvenliği sebepleriyle bu hak kısıtlanabilmektedir. Gerçekten, AİHS’de yer alan bazı temel haklar mutlak nitelikte değildir ve belirtilen hallerde kanunla kısıtlanabilir. Bu sebeple, şifrelemeyi zayıflatan yahut back-door talep eden kanun maddeleri insan haklarına her durumda aykırı olmayacaktır. Ancak makamlar, tedbirlerin (back-door oluşturulması emri) korunan menfaat (ulusal güvenlik) ile orantılı olmasına özen göstermelidir.

Buna ek olarak, BM İnsan Hakları Konseyi’nin şifrelemeyi mühim bir insan hakkı olarak nitelendirdiği Mayıs 2015’te yayınlanan raporunu hatırlamakta fayda var. Rapor, şifrelenmiş iletişim verilerini fikir ve inanç özgürlüğü kapsamında değerlendiriyor. BM Özel Raportörü David Kaye, güvenlik güçlerinin şirketlerden şifre çözümleme ve back-door talep etmek yerine telefon dinleme, fiziki takip gibi klasik yöntemleri sürdürmeleri gerektiğini hatırlatıyor.

Sonuç olarak, Hollanda ve ABD back-door oluşturulmasını, şifreleme tekniklerinin devletle paylaşılmasını desteklemezken, Fransa ve İngiltere ulusal güvenlik gerekçesiyle yasal tedbirlere başvuruyor. Önümüzdeki günlerde bu tartışmaların giderek artacağını da söyleyebiliriz. Ayrıca bu kısıtlamaların, AİHS’i ihlal edip etmediğini kesin olarak ifade edebilmemiz için, bireylerin şikayetleri sonucunda bu konuyla ilgili bir içtihat gelişmesini beklememiz gerekecek.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]