Etiket arşivi: algoritma

Sosyal medyanın popülarite algoritması mezenformasyona yol açıyor

Sosyal medyanın popülarite algoritması mezenformasyona yol açıyorSosyal medyanın popülerliği merkeze alarak kullanıcıları otomatik yönlendiren algoritması, yanlış bilginin yayılmasına neden olarak mezenformasyonun önünü açıyor.

Facebook, kullanıcıların haber akışlarında paylaştığı politik içerik miktarını azaltmaya çalışıyor. Sosyal medya devinin söz konusu girişimi, şirketin algoritmalarının sorunlu olabileceği ihtimalinin sessiz bir şekilde onaylandığı anlamına geldiği düşünülüyor.

Sosyal medya algoritmaları, bir başka deyişle “içeriğe karar verirken bilgisayarların izlediği prosedürler” büyük ölçüde insanların bu kararları alma noktasındaki davranışlarına dayanıyor. İnsanlar beğenmek, yorum yapmak ya da paylaşmak suretiyle etkileşimde bulunduğu içerikler için özellikle fırsat kolluyor.

KALABALIKLARIN BİLGELİĞİ VARSAYIMI

Bu algoritmalarda sayıca kalabalık olanların bilgeliğinden faydalanmak anlaşılır bir durum.  Ancak aynı zamanda sosyal medya şirketlerinin pratikte bunu nasıl yaptıkları konusunda önemli tuzaklar da bulunuyor.

“Kalabalıkların bilgeliği” kavramı, başkalarının eylemlerinden, görüşlerinden ve tercihlerinden gelen sinyalleri kılavuz olarak kullanmanın yerinde kararlara yol açacağını varsayar. Örneğin, toplu tahminler bireysel tahminlerden daha doğru çıkar. Kolektif zekâ, finansal piyasaları, spor etkinliklerini, seçimleri ve hatta salgınları tahmin etmede kullanılıyor.

HERKES KOŞMAYA BAŞLARSA SEN DE KOŞ 

Örneğin, “Herkes koşmaya başlarsa, sen de koşmaya başlamalısın” görüşünün arkasında önemli bir motivasyon kaynağı bulunuyor. Neticede biri bir aslanın geldiğini görmüş olabilir ve bu durumda koşmak hayat kurtarabilir. Bir başka ifadeyle bazı şeyleri neden yaptığını bilmiyor olabilirsin ama soruları daha sonra sormak akıllıca bir davranış.

Beynimiz, çevreden ipuçları alır ve bu sinyalleri hızlı bir şekilde kararlara dönüştürmek için basit kurallar kullanır: Kazananın peşinden gitmek, çoğunluğu takip etmek komşun ne yapıyorsa onu yapmak gibi. Bu kurallar “genel durumlarda” oldukça iyi iş görür zira sağlam varsayımlara dayanmaktadır. 

Teknoloji, çoğu insanın tanımadıkları çok daha fazla sayıda başka insanlardan gelen sinyallere erişmelerini sağlamakta. Yapay zekâ uygulamaları, arama motoru sonuçlarını seçmekten müzik ve video önermeye ve arkadaş önerisi yapmaktan haber akışlarındaki yayınları sıralamaya kadar bu popülarite veya “etkileşim” sinyallerinden yoğun bir şekilde yararlanıyor.

KALABALIKLARIN BİLGELİĞİ GERÇEKTEN BİLGELİK Mİ? 

Indiana Üniversitesi Enformatik ve Bilgisayar Bilimleri profesörü Filippe Menczer tarafından gerçekleştirilen bir araştırma ise sosyal medya ve haber öneri sistemleri gibi hemen hemen tüm web teknolojisi platformlarının güçlü bir şekilde “popülarite”ye eğilim gösterdiğini ortaya koydu.

Uygulamalar, arama motoru sorguları yerine etkileşime dayanan ipuçlarına göre yönlendirildiğinde, “popülerlik” tarafgirliği istenmeyen zararlı sonuçlara yol açabiliyor. 

Facebook, Instagram, Twitter, YouTube ve TikTok gibi sosyal medya platformları, içeriği sıralamak ve tavsiye etme noktasında büyük ölçüde yapay zeka algoritmalarına dayanıyor. Bu algoritmalar, “beğenilerinizi”, yorumlarınızı ve paylaşımlarınızı yani etkileşimde bulunduğunuz içeriği girdi olarak ele almakta. Bu algoritmaların amacı insanların neleri beğendiğini bulmak ve bunların haber akışlarında en üst sırada yer almasını sağlamak. 

Özünde bu makul görünüyor. İnsanlar güvenilir haberleri, uzman görüşlerini ve eğlenceli videoları beğendiklerinde algoritmaların bu kadar yüksek kaliteli içeriği tanımlaması oldukça yerinde. Ancak “kalabalıkların bilgeliği” popüler olanı tavsiye etmenin yüksek kaliteli içeriğin ortaya çıkacağına yardımcı olacağı şeklinde önemli bir varsayımda bulunmakta.

Bu varsayım, kalite ve popülerliği kullanarak öğeleri sıralayan bir algoritma incelenerek test edildi. Genel olarak, popülerlik yanlılığının içerik kalitesini düşürme olasılığının daha yüksek olduğu ortaya çıktı. Bunun nedeninin birkaç kişinin bir içeriğe maruz kalması durumunda etkileşimin güvenilir bir kalite göstergesi olmaması olarak düşünülüyor. Bu durumlarda, etkileşim “gürültülü” bir sinyal üretiyor ve algoritmanın bu ilk gürültüyü yükseltmesi muhtemel olarak değerlendiriliyor. Düşük kaliteli bir ürünün popülaritesi yeterince büyük olduğunda, popülerlik artmaya devam edecektir.

Biden, Facebook’a yüklendi: Aşıyla ilgili mezenformasyon insanları öldürüyor

Algoritmalar, etkileşim tarafgirliğinden etkilenen tek şey değil. İnsanlar da bu tarafgirlikten etkilenmekte. Bulgular bir kişinin çevrimiçi bir fikre ne kadar çok maruz kalırsa onu benimseme ve yeniden paylaşma olasılığının o kadar yüksek olduğunu ortaya koymakta. Sosyal medya insanlara bir içeriğin viral hale geldiğini söylediğinde, bilişsel önyargılar devreye giriyor ve buna ilgi göstermek ve paylaşmak için karşı konulmaz bir dürtü oluşuyor.

KALABALIKLAR HER ZAMAN AKILLICA KARARLAR VERMİYOR OLABİLİR

Yakın zamanda Fakey adlı bir “haber okuryazarlığı” uygulaması kullanılarak bir deney yapılmış. Bu, Facebook ve Twitter’ınki gibi bir haber akışını simüle eden bir laboratuvar tarafından geliştirilen bir oyun. Oyuncular, sahte haberlerden, popüler bilimden, aşırı partizan ve komplocu kaynaklardan ve ana kaynaklardan gelen güncel makalelerin bir karışımını görmekteler. Oyuncular güvenilir kaynaklardan gelen haberleri beğendiğinde ve paylaşım yaptıklarında ve güvenilirliği düşük haberleri işaretlediklerinde puan kazanıyorlar.

Araştırma sonunda oyuncuların, diğer birçok kullanıcının bu haberlerle etkileşim kurduklarında, oyuncuların düşük güvenilirlikteki kaynaklardan gelen haberleri beğenme veya paylaşma olasılıklarının daha yüksek olduğu ortaya çıktı. Bu durumun zafiyete yol açtığını söylemek zor değil.

Bu durumda Kalabalıkların bilgeliği tezi başarısız olmakta zira bu varsayım kalabalığın çeşitli ve bağımsız kaynaklardan oluştuğu fikrine dayanmakta. Bunun böyle olmamasının birkaç nedeni var. 

Birincisi, insanların benzer insanlarla ilişki kurma eğilimi nedeniyle, çevrimiçi ortamlarında çeşitlilik az bulunan bir durum. İkincisi, birçok insan arkadaşlarından etkilenmekte. Ünlü bir deney, arkadaşlarınızın hangi müzik türünden hoşlandığını bilmenin kendi tercihlerinizi etkilediğini göstermekte.

YouTube, kullanıcıları radikalleştiriyor mu?

Şu hepimizin başına gelmiştir: YouTube‘da bir video izleriz ve karşımıza çıkan öneriler birden değişmeye başlar. Google’ın algoritmaları, izlediğimiz videonun konusu sanki hayatımızda büyük bir yere sahipmiş düşüncesine dayalıdır. Birdenbire, size sunulan tüm videolar, aynı konuya ilişkin hale gelmiştir.

Yeni yapılan bir araştırma, söz konusu çevrimiçi radikalleşme hikayelerinin münferit olaylar mı yoksa büyük bir eğilimi temsil eden olaylar mı olduğunu inceliyor. Veriler çevrimiçi radikalleşmenin varlığını dışlamasa da bunun kesinlikle çok yaygın bir eğilim olmadığını gösteriyor. 

Normalde, böyle bir çalışma yapmanın zorluğu, insanların video izleme alışkanlıklarına ve davranışlarının bu alışkanlıklara göre değişip değişmediğine dair veri elde etmenin güçlüğünden kaynaklanmakta. Araştırmacılar, insanların ne izlediğini takip eden Nielsen şirketinden veri alarak bu soruna geçici bir çözüm buldular. İnsanlar Nielsen’e video izleme alışkanlıklarını takip etmesi noktasında izin vermekte, firma da ortaya çıkan verileri anonimleştirmekte. Bu çalışma için ise araştırmacılar, 2016’dan 2019’un sonuna kadar devam eden bir dönemde YouTube’da 21 milyondan fazla videoyu toplu olarak izleyen 300 binden fazla izleyiciden veri topladı.

ANTI-WOKE AKIMI DA ARAŞTIRMAYA DAHİL EDİLDİ

Bu videoların çoğunun siyasetle hiçbir ilgisi bulunmamaktaydı, bu nedenle yazarlar, daha önceki araştırmaların en sol kanattan en sağ kanata kadar politik eğimlerine göre etiketlediği bir yığın youtube kanalını tanımlamak için literatür taraması yaptılar. Bu listeye araştırmacılar “anti-woke” (siyaseten doğruculuk karşıtı) olarak adlandırdıkları bir kategori eklediler. Bunlar aleni bir şekilde politik olmasalar da gittikçe artan bir kanallar dizisi “ilerici sosyal adalet hareketlerine muhalefet” konusuna odaklanıyordu. Bu kanallar sağ kanadın çıkarlarıyla uyuşma eğiliminde olsa da fikirler genellikle videoların sahipleri tarafından bu şekilde lanse edilmiyor.

Araştırmacıların kategorize ettiği kanallar (1000’in biraz altında) bu dönemde toplam video görüntülemelerinin yalnızca yüzde 3,3’ünü oluşturdu. Ayrıca bu videoları görüntüleyenler tek bir içerik türüne bağlı kalma eğilimindeydiler. Yani, 2016’da sol eğilimli içerikleri izlemeye başladıysanız, araştırmanın sona erdiği 2020’de hala bu içerikleri izliyor olma ihtimaliniz bulunmaktaydı. Hatta, video başına harcanan zamana dayanarak, belki de Trump yıllarının tartışmalı ortamının bir ürünü olarak, 2020’de bu içeriğin daha da fazlasını izlemeniz çok muhtemeldi.

YOUTUBE GİDEREK GELENEKSEL MEDYANIN YERİNİ ALMA EĞİLİMİNDE

Uç fikirlerin dışındaki hemen hemen tüm içerik türleri hem toplam izleyici hem de bu kanallarda video izlemek için harcanan süre açısından (istisna en sol ve en sağ içerik) bu dönemde artış gösterdi. Bu bulgu, eğilimlerin en azından bir kısmının YouTube’un giderek geleneksel medyanın yerini aldığını yansıttığını ortaya koymakta.

İzleyiciler çoğunlukla tek bir içerik türü izlediğinden, bunların farklı gruplar oluşturduğunu düşünmek en kolay yoldur. Araştırmacılar, her gruba ait kişi sayısını ve dört yıllık süre boyunca video izlemek için harcadıkları zamanı takip ettiler.

Dezenformasyonun farkına var: Özgürlüğünü yalana karşı koru!

Bu süre zarfında ana akım sol, diğer gruplar kadar büyüktü; bunu “orta yolcular” izledi. Ana akım sağ ve “anti-woke” hareketi, aşırı sağ ile yaklaşık aynı seviyede idi. Fakat hepsi farklı eğilimler gösterdi. Aşırı sağ izleyicilerin toplam sayısı sabit kaldı, ancak video izlemek için harcadıkları süre arttı. Buna karşılık, ana akım sağ izleyicilerin toplam sayısı arttı, ancak izlemek için harcadıkları zaman aşırı sağdan çok farklı değildi.

Anti-woke izleyicileri, herhangi bir grubun en yüksek büyüme oranını gösterdi. Dönemin sonunda, sayıları daha düşük kalsa bile, video izlemeye harcadıkları süre “orta yolculardan” daha fazla oldu.

İKİ UÇ NOKTADA DA DİKKAT ÇEKİCİ BİR ARTIŞ YOK

Peki bunlar, herhangi biri radikalleşmeyi temsil ediyor mu? İki uç noktada dikkat çekici bir artış olmaması, insanları aşırı sola veya aşırı sağa iten büyük bir YouTube izleme eğilimi olmadığını gösteriyor. Hatta araştırmacılar, sağ uçtaki insanların çoğunun YouTube’u, içinde bulundukları ekosistemin bir parçası olarak kullandıklarına dair bulgular elde etti. (Yine, sol uçtaki kişi sayısı analiz edilemeyecek kadar küçüktü.) Aşırı sağ videoları izleyenlerin, başka bir videodan ziyade sağcı web sitelerinden gelen bağlantılar nedeniyle onlara ulaşma olasılıkları daha yüksekti.

Ayrıca, herhangi bir ivme belirtisi de bulunmuyor. YouTube’un algoritmaları insanları daha aşırı videolara yönlendirmeye devam ediyor olsaydı, aşırı sağ videoların sıklığı bir görüntüleme oturumunun sonuna doğru artıyor olmalıdır. Böyle bir şey olmadı-hatta tam tersi oldu.

KENDİNE DAHA ÇOK BAĞLIYOR AMA RADİKALLEŞTİRMİYOR

Ancak araştırmacılar, aşırı sağcı izleyici topluluğunun önemli ölçüde büyümemesine rağmen, aşırı sağ içeriğin izleyicilerin daha fazla zaman harcaması nedeniyle biraz daha bulaşkan olduğunu belirtti. Anti-woke içerikleri daha bulaşkandı ve izleyici sayılarında o zamana kadarki en büyük büyümeyi gördü. Ayrıca, bir oturumda birkaç anti-woke videosu görüntüleyen kişilerin gelecekte onları izlemeye devam etme olasılıkları daha yüksekti.

İçerik moderasyonu aşırı sağ söylemlere karşı ne kadar etkili?

Anti-woke videoları kendilerini alenen politik olarak göstermese de, izleyicileri sağcı web sitelerinin daha büyük ekosistemiyle entegre olmalarına dayanarak onları sağcı olarak görme eğilimindeydi. Bununla birlikte, bu radikalleşmeye yol açmadı—bir başka deyişle daha fazla anti-woke izleyiciye sahip olmak sonuçta daha fazla aşırı sağ izleyici üretmedi.

Araştırmacılar YouTube’un radikalleştirici olduğuna dair herhangi bir kanıt bulmamış olsa da, araştırmanın bir takım sınırları olduğu bilinmesi gereken bir nokta. Birincisi, araştırma yalnızca masaüstü tarayıcı kullanımını izledi, bu nedenle mobil görüntülemeyi kaçırdı. Araştırmacılar ayrıca YouTube’un algoritmalarının gerçekte ne önerdiğini belirleyemediler, bu nedenle yalnızca genel davranışa dayalı önerilere verilen gerçek yanıtı çıkarabildiler. Ve her zaman olduğu gibi, kullanıcıların ortalama davranışları bazı belirgin istisnaları gizleyebilir.

Araştırmacıların belirttiği gibi, “Neredeyse 2 milyar kullanıcısı olan bir platformda, hemen hemen her tür davranışın örneklerini bulmak mümkün”.

Büyük veriler için sancılı ama faydalı bir şifreleme formatı: Key Block

Son yıllarda hayatımıza girmiş bir kavram olan Key Block konusunu Cyberwise Siber Güvenlik Firmasının Veri Güvenliği Takım Lideri Onay Küçükesin Siber Bülten için ayrıntılı olarak anlattı:

Key Block Diğer adı ile ANSI TR-31, 2014 yılında yayımlanan bültenle 2018 yılı itibariyle kullanıma geçmesi planlanmış bir şifreleme formatı. Ancak altyapı hazırlıklarının uzun sürmesi ve firmalar arası uyumun kolay sağlanabilmesi için 2019 yılından itibaren 3 faza ayrılmış süreçle kullanıma geçilmesine karar verildi.

Bu sürecin Haziran 2021’de başlayacak ikinci fazı Zone’lar arası keyblock formatı uygulaması da Kovid-19 nedeni ile Ocak 2023 tarihine ertelendi.

Şu anda kullanılan format olan ANSI X9.17, basit olarak anahtarın, belirli algoritmalarla şifrelenmiş halinin saklanması temeline dayanıyor.

3DES bir anahtarı örnek alırsak, 24 Byte olan bu anahtarın X9.17 formatında şifrelenmiş hali de yine 24 Byte bir veri olarak görünüyor. Aşağıdaki tabloda görüldüğü gibi bu formatta anahtarın şifreli hali, anahtarın kullanım amacıyla da ilgili tipi gibi özelliklerini belirten bir alan bulunmuyor.

Anahtarın ne amaçla kullanılacağı, anahtarı oluştururken girilen bilgilere bağlı oluyor ve bu bilgiler kaybedilirse süreçle ilgili sorunlara neden olabiliyor. Ek olarak belirli bir kontrol mekanizması olmadığı için, anahtar zafiyet oluşturabilecek farklı amaçlarla kullanılabiliyor ve güvenlik riski yaratıyor.

Keyblock formatı işte tüm bu sorunlara çözüm olacak yeni özellikler getiriyor. Bu özellikleri inceleyebilmek için örnek bir Anahtar üzerinden yola çıkarabiliriz.

X9.17 formatındaki anahtar ile aynı boyutta yani 24 Byte olan bu anahtarın keyblock formatındaki gösterilişi çok daha uzun. Bu şekilde uzun olmasının sebebi ise keyblock formatına eklenen özellikleri anahtar ile birlikte taşıyan ek bölümlerinin olması. Anahtarımızı bu bölümlere ayırarak ilerlersek, karşımıza aşağıdaki örnekte görüldüğü gibi 5 ana bölüm çıkıyor.

 

  • Keyblock’un başındaki S harfi; anahtarın Keyblock formatında olduğu gösterir ve sabittir.
  • En önemli ana bölüm olan Keyblock Header; anahtar ile birlikte taşınacak özelliklerini barındırır. Birazdan bu bölüm ile ilgili detaylı bir inceleme yapacağız.
  • Optional Header; anahtar ile birlikte taşınmasını istediğimiz, önceden belirlenmiş ya da bizim seçeceğimiz bilgiler barındırır.
  • Key Status alanı; anahtarın hangi durumda olduğunu gösterir. Bunlar Live, Pending, Revoked, Expired ve Test olabilir ve uygulama tarafından mevcut anahtar üzerinde değiştirilebilirler. Bu alandaki bilgilere göre HSM anahtarlarının kullanılıp kullanmaması gerektiğine karar verir. Start Date ve End Date; anahtarın kullanılabilir olacağı tarih ve saat aralığını belirlememizi sağlar. Text alanı ise okunabilir karakterler ile yazacağımız bilgilerin anahtar ile birlikte taşınması için kullanılabilir. Örneğimizde anahtarın hangi amaçla kullanıldığını belirtmek için bir değer girildiği görülebilir. Bir sonraki alan, anahtarın gerçek uzunluğu ve anahtarın şifrelenmiş halinden oluşur. Bu değer tüm keyblock’a özgü olacağından ayrıca alınıp kullanılamaz.
  • Son olarak Authentication Block Bu bölüm anahtar üzerinde yapılacak herhangi bir değişiklikte farklılık gösterecek hash alanıdır ve anahtarın yaratıldığı ya da import edildiği LMK değeriyle birlikte hesaplanır. Bu nedenle hem anahtarda değişiklik yapıldığında kullanılır hem de farklı bir LMK altında kullanılmasını engelleyen bir mekanizma sağlar.  Şimdi tüm bu alanların içerisindeki özellikleri tek tek inceleyelim:

KEYBLOCK HEADER NEDİR?

  • Header içerisindeki ilk karakter 0 ya da 1 olabilir ve Anahtarın 0 için DES, 1 için AES olduğunu belirtir.
  • Sıradaki 4 karakterlik alan, başındaki S karakteri dışındaki tüm Keyblock’un uzunluğunu byte cinsinden gösterir. Optional header uzunluğu değişiklik gösterebileceğinden bunu anahtarın uzunluğu ile karıştırmamak gerekir.
  • Üçüncü alan, 2 karakterden oluşur ve Key Usage alanıdır. Bu alanda girilen değer anahtar oluşturulurken belirlenir ve daha sonra değiştirilemez. Bu alandaki değer, Anahtarın kullanım amacını belirtir. Örneğin ZMK oluştururken bu alan K0 olarak, ZPK oluştururken ise P0 olarak verilmelidir.
  • Dördüncü alan tek kararter içerir ve anahtarın kullanılabileceği algoritmayı belirtir. Bunlar şu an için AES, DES, RSA ve HMAC’ken gelecekte yeni algoritmalar eklenebilir.
  • Sıradaki alan yine tek karakter içerir ve anahtarın kullanım amacına göre değişiklik gösterir. Anahtar bir encryption key ya da wrapper key ise işlevi Encryption ya da decryption ile sınırlandırılabilir ya da ikisine de izin verilebilir. Eğer anahtar bir RSA anahtar ise bu durumda işlevi Sign ya da verify olarak sınırlandırılabilir ya da her ikisine de izin verilebilir. Bu alanın doğru kullanılması güvenlik konusunda ciddi katkılar sağlamaktadır. Bu konuyu detaylı bir şekilde inceleyeceğiz.
  • Sıradaki alan Versiyon numarasını içerir. Bu alan anahtar oluşturulurken verilir ve anahtarların takibi konusunda uygulamaya ve anahtar sahiplerine kolaylık sağlar.
  • Exportability alanı, anahtarın sadece güvenli olan keyblock formatında mı yoksa mümkün olan tüm formatlarda mı export edilebileceğini ya da hiç export edilemeyeceğini belirtir. Özellikle import edildikten sonra yeniden export edilme ihtiyacı olmayan anahtarlar için export işlemine izin verilmeyecek şekilde import işlemi yapılmalıdır.

OPTIONAL HEADER NEDİR?

Bu bölüm block sayısını belirtir. Eğer optional header block eklenmeyeceksse “00” olarak girilmelidir. Girilecekse bu durumda kaç adet farklı optional header block ekleneceği bu alanda belirtilmelidir. Son alan ise anahtarın yaratıldığı LMK ID’sini içerir. Bu alan anahtar yaratılırken girilmez, HSM tarafından otomatik olarak eklenir. İç kullanım amaçlı anahtarların authentication block ile doğrulanması için gereklidir. Anahtarın export edilmesi durumunda bu alan HSM tarafından FF olarak değiştirilir ve böylece her LMK ile import edilebilir olur.

Mevcut anahtarlarımızı Keyblock formatına geçirirken ya da keyblock formatında yeni bir anahtar oluştururken, tüm bu alanların doğru bir şekilde belirlenmesi gerekir. Tecrübelerimizde, anahtarların bu özelliklerinin netleştirilmesi ek çalışma gerektirdiğinden, en hızlı ve kolay yöntem olan mümkün olan en serbest özelliklerin kullanıldığını gördük. Bu şekilde yaratılan anahtarlar görevini yerine getirse de, keyblock geçişi ile sağlanması beklenen güvenlik seviyesini sağlayamadığından güvenlik riskleri oluşturabilir ve gelecekte yeniden değiştirilmesi gerekeceğinden ek operasyon gücü harcanmasına neden olacaktır.

Bu durumu basit bir örnekle inceleyelim:

  • A firması, ödeme bilgisi oluşturan ve bu bilgiyi şifreleyerek B firmasına ödemenin işlenmesi için gönderiyor olsun. İki firmanın data encryption Key’i en serbest özellikler ile yaratması durumunda anahtarımız data encryption ve decryption yapabilecek ve export edilebilecektir. Anahtar bu şekilde görevini yerine getirecek ve A firmasında encrypt edilen veri, B firması tarafından decrypt edilerek işlenebilecektir. Bu noktada güvenlik açısından A firmasının gözünden bakarsak, A firması kendi anahtarının güvenliğini sağlayacak önlemleri almış ve ödeme verisinin sadece yetkili uygulamaları tarafından oluşturulabileceğini garantilemiştir. Ancak B firmasındaki güvenlik standartları konusunda söz sahibi değildir.
  • B firmasına erişimi olan Rogue bir uygulamanın olduğunu düşünelim. Bu uygulamanın A firmasına ait anahtarı HSM’den export etmesi ya da anahtarın tutulduğu Database’den edinmesi durumunda, sahte bir ödeme verisi oluşturup, bu veriyi A firmasına ait anahtar ile encrypt ederek işleme alınması için sisteme gönderebilir. Bu senaryoda A firmasının bu süreçte hiçbir kontrolü olmaz.
  • Yapımızı güvenli hale getirmek için, aynı anahtarın A firmasında sadece encryption yapabilmesi ve B firmasında sadece Decrytion yapabilmesi aynı zamanda export edilememesi sağlanabilir.

Bu durumda Rogue Uygulamamız B firmasına ulaştığında, anahtara ulaşmak için HSM üzerinden export etmeyi deneyebilir, ancak anahtar exportable olmadığından bunu başaramaz.

Anahtarı Database’den aldığını düşünelim. Bu durumda da anahtarın encryption yapma özelliği olmadığı için sahte ödeme verisini encrypt edemez ve dolayısı ile sisteme sahte veri gönderemez.

Böylece A firması kendi sisteminde Anahtarlarının güvenliğini sağladığı sürece, kendisi adına sahte ödeme verisi gönderilemeyeceğinden emin olur.

X9.17 FORMATINDAN KEYBLOCK FORMATINA GEÇİŞTE BİZİ NELER BEKLİYOR? 

  • Anahtarların ağırlıklı olarak tutulduğu database tabloları üzerinde, anahtar uzunluğundaki değişime uygun değişiklikler yapılması gerekecek. Sabit uzunluktaki sütunların serbest uzunluğa dönüştürülmesi yeterli olacaktır.
  • Geçişe hazırlanırken HSM ve anahtarlar ile ilgili yapılması gereken işlemler olacaktır. Öncelikle HSM üzerinde keyblock formatında bir Master Key oluşturulması gerekecektir. Bu anahtarın AES olması gelecekte yeniden değişiklik gerektirmemesi için önemlidir.
  • AES LMK oluşturulacak ise HSM’in AES algoritmasını destekleyen lisanslara sahip olduğundan emin olmak gerekir. Hali hazırda kullanılan anahtarların listesinin oluşturulması, hangi amaçla kullanıldıklarının ve keyblock formatında hangi özellikleri almaları gerektiğinin belirlenmesi gerekecektir. Mevcut key tipi bilinmeyen anahtarların Keyblock formatına dönüştürülmesi mümkün olmakla birlikte ek efor gerektirecektir. Çalışan sistemin yapısına bağlı olarak, anahtarlar geçiş öncesi ya da geçiş sırasında Keyblock formatına dönüştürülebilirler. Bu geçişin kesintisiz yapılabilmesi mümkündür, ancak ek uygulama geliştirme efor gerektirir. Keyblock formatına geçişte yazılım üzerinde değişiklikler gerekecektir.
  • HSM’e gönderilen tüm komutlar incelenmeli, keyblock formatındaki anahtarları ve verileri kabul edecek şekilde değiştirilmelidir. Fazlı geçiş nedeni ile yazılım üzerinde mevcutta olmayan HSM fonksiyonlarına ihtiyaç olacaktır. Fazlı geçiş sırasında anahtar paylaşımı X9.17 formatında yapılırken, bu anahtarın kullanımının Keyblock ile olması gerekebilir. Bu durumda iki formatı da destekleyecek bir HSM ile iki format arasında geçişi sağlayacak ek fonksiyonlar oluşturulmalıdır. Oluşturulacak bu ek fonksiyonların hangi durumlarda kullanılacağının belirlenmesini sağlayacak kontroller oluşturulmalıdır. Örneğin Keyblock formatında anahtar paylaşımını destekleyen bir firma ile bu şekilde paylaşım yapabilecek, desteklemeyen bir firma ile X9.17 formatında anahtar paylaşımı yapabilecek bir kontrol mekanizması gerekecektir.
  • Henüz mecburi olmayan ancak gelecekte 3DES anahtarların yerini alacağını düşündüğümüz AES anahtarları kullanabilmek için keyblock geçişinde AES master key yaratılması tavsiye edilmektedir.Keyblock formatındaki hiçbir anahtar X9.17 formatına dönüştürülemez.DES bir anahtar, X9.17 formatında paylaşıldığında, alıcı firma tarafından import sırasında Keyblock formatına dönüştürülebilir. Ancak aynı durum AES anahtarlar için geçerli değildir.
  • AES anahtarlar sadece Keyblock formatında export edilip bu formatta iletildiğinde import edilebilir. Keyblock formatını desteklemeyen bir HSM ile export edilmiş bir AES anahtar, keyblock formatını destekleyen bir HSM’e import edilemeyeceğinden, AES anahtar ihtiyacı olan sistemlerde anahtar paylaşımı konusunda tüm partilerin ortak bir format ya da HSM tipi belirleyerek ilerlemesi gerekecektir. Keyblock geçişi sancılı olacağı kadar anahtar ve veri güvenliği açısından faydalı bir değişim olacaktır. Her ne kadar faz iki ertelenmiş olsa da geçiş hazırlıklarına mümkün olduğu kadar erken başlanılması gerektiğini vurgulamak isteriz.

Yapay Zekâ, Veri Güvenliği ve GDPR

Günümüzde pek çok sektörde kullanılmaya başlanana yapay zekâ ve makine öğreniminin öne çıkan özellikleri arasında, verileri programatik araçlardan ve insandan çok daha hızlı analiz edebilmesi ve verilerin nasıl işleneceğini kendi kendine öğrenebiliyor olması bulunuyor.

Özellikle son yıllarda hem kamu hem de özel sektörde sıklıkla kullanılan profilleme ve otomatik karar verme sistemleri, artan verimlilik ve kaynakların korunması bakımından bireylere ve kurumlara çeşitli faydalar sunarken aynı zamanda riskleri de beraberinde getiriyor. Bu sistemlerin aldığı kararlar bireyleri etkileyebiliyor ve karmaşık yapısı dolayısıyla kararlarının gerekçesini izlemek mümkün olamayabiliyor. Örneğin, yapay zekâ, bir kullanıcıyı belirli bir kategoriye kilitleyip, önerilen tercihlere göre kısıtlayabiliyor. Bu, dolayısıyla onların kitap, müzik veya haber yazısı gibi belirli ürün ve hizmetleri seçme özgürlüklerini de daraltabiliyor. (Article 29 Data Protection Working Party, WP251, sf.5)

Mayıs ayında Avrupa’da yürürlüğe girecek olan GDPR, profilleme ve otomatik karar vermenin bireylerin hakları üzerinde olumsuz bir etki doğuracak şekilde kullanılmaması için çeşitli hükümler barındırıyor. GDPR, profillemeyi madde 4’te şöyle tanımlıyor: “Profilleme, belirli bir şahısla ilgili onun kişisel yönlerini değerlendirmek için kişisel verilerinin kullanılması; özellikle bu kişinin işteki performansı, ekonomik durumu, sağlık bilgileri, ilgi alanları, güvenilirlik, davranış, konum veya hareketlerinin analiz edilmesi veya tahmin edilmesidir.” (WP251, sf.6) Profilleme, çeşitli kaynaklardan bireylerle ilgili elde edilen verilerin kullanılarak, kişilerle ilgili tahminlerde bulunmada kullanılır. Bu açıdan, yaş, cinsiyet, kilo gibi özelliklere dayanarak bireylerin değerlendirilmesi ya da sınıflandırılması olarak da düşünülebilir.

Otomatik karar verme ise insan müdahalesi olmaksızın teknolojik araçlarla (yapay zekâ gibi) karar verme özelliğidir. Otomatik karar verme herhangi bir veri türüne dayanabilir. Örneğin, kişiler tarafından doğrudan sağlanan veriler (ankete verilen cevaplar); kişilerden sağlanan veriler (uygulama aracılığıyla konum verisinin toplanması); önceden oluşturulmuş, türetme ya da sonuç çıkarmaya dayalı bireyin profili.

Potansiyel bir profilleme için ise üç yol vardır:

-i. Genel profilleme,

-ii. Karar verme temelli profilleme,

-iii. Yalnızca otomatik karar verme içeren profilleme (madde 22)

(ii) ve (iii) arasındaki fark, (ii)’de tamamen otomatik araçlarla üretilen bir profile dayalı insan kararı vardır. (iii)’te ise kararı algoritma verir ve karar anlamlı insan girdisi olmaksızın bireye otomatik olarak teslim edilir. (WP251, sf.8)

Burada karşılaşılacak önemli sorular ise şunlardır:

-Algoritma bu verilere nasıl erişiyor?

-Verinin kaynağı doğru mu?

-Algoritmanın verdiği karar, kişi üzerinde yasal etkiler doğuruyor mu?

-Bireyler otomatik işlemeye dayalı verilen karar karşısında birtakım haklara sahip olabilir mi?

-Veri sorumluları bu durumda ne gibi önlemler almak zorunda?

Günümüzde çoğu şirket müşterilerinin davranışlarını onlardan topladıkları verilerle analiz edebiliyor. Örneğin, bir sigorta şirketi, sürücünün sürüş davranışlarını izleyerek sigorta primlerini otomatik karar verme yoluyla belirleyebilir. Bunun yanında özellikle reklam ve pazarlama uygulamalarında farklı kişilerin verilerinden yola çıkarak yapılan profilleme ve otomatik karar verme sistemleri, diğer bireyler üzerinde de etkili sonuçlar doğurabiliyor. Varsayımsal olarak, bir kredi kartı şirketi, bir müşterinin kart limitini, kendi ödeme geçmişine dayanmadan aynı bölgede yaşayan ve aynı mağazadan alışveriş yapan diğer müşterileri analiz ederek azaltabilir. Dolayısıyla bu, başkalarının eylemlerine dayalı olarak, bir fırsattan mahrum kalma anlamına gelir.

Hataların hesabı veri sorumlusundan sorulacak

Bu nokta dikkat edilmesi gereken husus, toplanan veya paylaşılan verilerdeki hatalar ya da önyargılar otomatik karar verme sürecinde yanlış sınıflandırmalara ve kesin olmayan sonuçlara dayalı değerlendirmelere neden olup bireyler açısından olumsuz etkiler doğurabilmesidir. Kararlar güncel olmayan verilere dayanabilir ya da dışarıdan alınan veriler sistem tarafından yanlış yorumlanabilir. Yani otomatik karar vermede kullanılan veri doğru değilse bu durumda sonuçtaki karar ya da profilleme de doğru olmayacaktır.

Yapay zekâ ve makine öğrenmesinin kullanıldığı bu gibi sistemlerde oluşabilecek benzeri muhtemel hatalar karşısında “veri sorumlusunun” birtakım yükümlülükleri doğacaktır. Veri sorumlusu, kullanılan ya da dolaylı olarak elde edilen verilerin doğru ve güncel olması için yeterli önlemleri almalıdır. Ayrıca verilerin saklanma süreleri de doğruluk ve güncelliğin sağlanması için sakıncalar yaratabileceği gibi, orantılılık ilkesi ile de çelişeceğinden uzun süreli veri saklanması konusunda da veri sorumlusu gerekli adımları atmalıdır.

Diğer önemli husus ise özel nitelikli kişisel verilerin bu sistemlerce işlenip kullanılmasıdır. GDPR, özel nitelikli kişisel verilerin işlenmesinde ilgili kişinin açık rızasını aramaktadır. Ancak, bu durumda veri sorumlusunun unutmaması gereken şey, profillemenin özel nitelikli kişisel veri olmayan verilerin birleşimi ile özel nitelikli kişisel veri oluşturabilir olmasıdır. Örneğin, bir kişinin sağlık durumu, gıda alışverişi kayıtlarından, gıdaların kalite ve enerji içeriği ile ilgili verilerinden elde edilmesi ile mümkün olabilir. (WP251, sf.22)

GDPR, verileri kullanılarak otomatik karar verme işlemlerinden etkilenen kişilerin bu durum karşısında bazı hakları olduğundan da bahseder. GDPR’ın temelini oluşturan şeffaflık ilkesi göz önüne alındığında, madde 13 ve 14’e göre, veri sorumlusu bireylere açık bir şekilde profilleme veya otomatik karar verme sürecinin nasıl işlediğini açıklamalıdır.

Profilleme, hata riskini artıran bir tahmin unsuru içerebilir. Girdi verileri yanlış veya alakasız olabilir ya da bağlam dışı kalabilir. Bireyler kullanılan verilerin ve gruplandırmanın doğruluğunu sorgulamak isteyebilir. Bu noktada, madde 16’ya göre, ilgili kişinin düzeltme hakkı da söz konusu olacaktır.

Benzer şekilde, madde 17’de belirtilen silme hakkı da bu çerçevede ilgili kişi tarafından talep edilebilir. Profillemenin temeli için rıza gösterilirse ve bu rıza sonradan geri çekilirse veri sorumlusu profilleme için başka yasal dayanak olmadığı sürece ilgili kişinin kişisel verilerini silmek zorundadır.

Çocukların kişisel verilerinin önemi

Profilleme ve otomatik karar vermede dikkat edilmesi gereken bir başka nokta ise çocukların kişisel verilerinin kullanılmasıdır. Çocuklar özellikle çevrimiçi ortamlarda daha duyarlı olabilir ve daha kolay etkilenebilir. Örneğin, çevrimiçi oyunlarda profilleme, algoritmanın daha fazla kişiselleştirilmiş reklam sunmasının yanı sıra, oyunda para harcamasının daha olası olduğunu düşündüğü oyuncuları hedeflemesi için de kullanılabilir. GDPR madde 22’de işlemenin çocuklar ve yetişkinler ile ilgili olup olmadığı konusunda ayrım yapmıyor. Ancak yine de çocuklar bu tür pazarlama çalışmalarından kolayca etkilenebileceği için, veri sorumlusu, çocuklar için uygun önlemleri almalı ve bu önemlerin çocukların haklarını, özgürlüklerini ve meşru çıkarlarını korumada etkili olduğundan emin olmalıdır.

Sonuç olarak, yapay zekâ ve makine öğrenimi gibi sistemlere dayanarak yapılan profilleme ve otomatik karar verme, birey hakkında önemli sonuçlar doğurabilir. Bu teknolojiyle bağlantılı olarak toplanan verilerin, kişilerin rızası alınarak toplanması ya da yasal bir zemine oturtulması gerekir. Akabinde kullanılacak olan bu verilerin toplandıkları amaçla bağlantılı olarak kullanılması da önemlidir. Sistemin aniden alışılmadık kararlar almaya başlaması halinde ne gibi yol haritaları izleneceği de dâhil olmak üzere, veri sorumlusu gereken önlemleri almalı ve ilgili kişilerin hak ve özgürlüklerini de gözetmelidir.

Siber Bülten abone listesine kaydolmak için formu doldurun

MIT’in yeni algoritması bilgi güvenliğinde çığır açabilir

Massachusetts Teknoloji Enstitüsü’nden (MIT) araştırmacılar problemlerin çözüm sürecini 200 kata kadar hızlandıran bir algoritma geliştirdiklerini açıkladı. Geliştirilen algoritma problemi çözmek için her bir bilinmeyen değişkene değer tahminleri yapmayı hedefliyor.

MIT’nin algoritması her türlü bilgisayımsal probleme uygulanabilmesi ile geniş bir yelpazeye hitap ediyor. Algoritma bir problemin her bir bilinmeyeni için değer tahmini yaparak doğru çözümü ortaya çıkartıyor.

Yapılan açıklamada, MIT algoritmanın çalışma prensibinin gittikçe küçülen bir hedef çemberi olarak düşünülebileceğini söyledi. Algoritmanın modeli, ilgili verilerin de eklenmesi ile problemin çözümünü içeren daireyi her seferinde biraz daha daraltıyor. Doğru çözümün elde edilmesi, bilinmeyen değişkenlerin değerlerinin olasılık dağılımının yapılabilmesi ile gerçekleşiyor.

İLGİLİ HABER >> AMERİKAN KRİPTOLOGLARINI YETİŞTİREN GİZLİ OKULUN HİKAYESİ

Dünyanın ileri gelen bilişim teknolojileri şirketi Gartner’in analistleri bilişim teknolojilerinden sorumlu üst düzey yöneticilere algoritmaların bir işletmedeki en değerli varlıklar olacağını daha önceden açıklamıştı. Bu  gibi algoritmalar ticari olarak geliştirilebilir, borsada alınıp satılabilir ve hatta kilit varlıklardan biri olabilir.

Amerikan İstatistik Derneği’nin yayın organında yayımlanan araştırmanın sonuçları, MİT tarafından geliştirilen algoritmanın örnekleme işlemini hızlandırmayı ve ünlü istatistiksel örnekleme metodu olan Monte Carlo analizine bir alternatif oluşturmayı hedeflediğini gösteriyor. Bu yaklaşım herhangi bir karmaşık model üzerinde olasılık dağılımını hesaplayabiliyor ve aynı zamanda muhtelif girdiler ile de çalışıyor. Algoritma aynı zamanda ilgili verileri kullanarak bilinmeyen değişkenlerle alakalı değerleri sağlıyor

Finansal açıdan enerji bölümü tarafından desteklenen araştırmanın sonucu ortaya çıkan algoritma, 24 bilinmeyen değişken içeren Antartika’daki deniz buzullarının hareketlerinin benzetiminde kullanıldı. Algoritmanın gelecek sefer süpersonik jetlerdeki yanma sistemlerinin modellemesi için kullanılacak.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]