Ekim ayının ortalarında New York Eyalet Mahkemesikişisel verilerin gizliliği hakkında çok önemli bir soruyu tartışmaya açtı. Bilinmek istenen husus şuydu; mahkemeler, iPhone gibi elektronik cihazlardaki şifrelemelerin üretici firma tarafından çözümlenmesi yoluyla kişisel verilerin (mesajlaşmalar, e-mailler, fotoğraflar vs.) mahkemeye sunulmasını emredebilir mi? Mahkeme Apple’a gönderdiği bir yazıyla bu durumun teknik açıdan mümkün olup olmadığının ve ne gibi bir külfetinin olacağının açıklanmasını istedi.

İLGİLİ YAZI>> ABD-İRLANDA-MICROSOFT ARASINDA KİŞİSEL VERİ ÜÇGENİ

Apple yaptığı açıklamada iOS 8 ve üzeri yazılım kullanılan cihazlarda bu durumun teknik olarak mümkün olmadığını, yeni geliştirdikleri şifreleme ve parmak izi sistemi ile bu verilere ulaşımın sadece kullanıcıların eline bırakıldığını ifade etti. Yani kısaca Apple, bir mahkeme kararı olsa dahi kendilerinin şifrelenmiş verilere ulaşamayacağını belirtmiş oldu. Buna ek olarak, böyle bir durumda, zaten hali hazırda bekleme listesinde olan çok sayıda şifre çözümleme talebinin artacağı ve bunun Apple’ı normal işlerini yürütemez hale getireceği ifade edildi. Ayrıca tüketicilerin veri gizliliği noktasında firmaya olan güvenlerinin sarsılacağının ve firmanın itibarının zarar göreceğinin altı çizildi. Her ne kadar Apple açıklamasında, ilgili kanunun (the All Writs Act) firmalara bu kapsamda bir emrin gönderilmesine olanak tanıyıp tanımadığına değinmese de, New York Civil Liberties Union ve Electronic Frontier Foundation kuruluşları bu hususu değerlendirmiş ve kanunun mevcut haliyle böyle bir emre izin vermediğini ifade etmiştir.

İLGİLİ HABER >> ALMANYA KİŞİSEL VERİLER İÇİN ÖZEL BİRİM KURDU

Tartışmalar sürerken, Obama hükümeti de bu konuda geri adım attığını açıkça gösterdi ve dijital cihazların şifrelemelerinin çözümlenmesi için firmalara emir verilemeyeceğinibelirtti. Güvenlik birimlerine şifrelenmiş verilere ulaşabilme yolunun (“backdoor”) açılmasının,  Çin, Rusya ve siber saldırganlar için bir saldırı açığı oluşturabileceği vurgulandı. Gerçekten de Microsoft, Apple ve Google gibi firmaların yanı sıra çok sayıda bilgisayar uzmanı, hükümetin şifreleme yöntemlerine ve kaynak kodlarına ulaşmasının güvenlik açığı oluşturabileceğini belirtti. FBI yöneticisi James B. Comey de yaptığı açıklamada hükümetin, güvenlik birimlerine ve mahkemelere böyle bir yetkiyi açıkça tanıyan bir teklifi kanunlaştırmayacağını düşündüklerini açıkladı.

İLGİLİ HABER >> MICROSOFT KAYNAK KODLARINI AVRUPA’YA AÇTI

Verilere firmalar üzerinden ulaşım sağlanamaması FBI ve NSA’in hoşnut kalmayacağı bir durum. Ancak güvenlik ve istihbarat teşkilatlarının kuvvetli suç şüphesi taşıyan kişilere karşı elinin kolunun bağlı kalması, bu kişilere ait cihazlardan veri elde edememeleri pek de kabul görecek bir uygulamaya benzemiyor. Bu birimlerin bu hususta hükümet üzerinde baskılarını arttırıp yeni yöntemler ve hukuki düzenlemeler geliştireceğini söylemek mümkün.

Bu yöntemlerden ilk akla gelen, teşkilatların firmalardan çözümlenmesini isteyemediği şifreli verileri kendi hacking yöntemleriyle elde etmeleridir. Aslında Edward Snowden’ın yayınladığı belgelerden de açıkça gördüğümüz üzere, NSA bu yöntemi uzun bir süre uygulamış ve Facebook, Google, Apple gibi büyük şirketlere ait şifrelemeleri kırarak kullanıcılara ait bilgilere erişebilmiştir. NSA’in tarafından gerçekleştirilen bu faaliyetler mahkeme kararı olmadan gerçekleştirildiği için skandal olarak adlandırılmıştı. “Hukuka uygun hacking” dediğimiz yöntemde ise, güvenlik birimleri tıpkı telefon dinlemelerinde olduğu gibi ancak mahkeme kararıyla bu işlemi yapabilmektedirler. Ancak şirketler üzerinden veri elde edilemediği durumlarda, istihbarat birimleri zaten yapabilme kapasitesine sahip oldukları hukuka uygun hacking faaliyetlerini arttıracak ve bu durum veri güvenliği açısından daha büyük endişelere sebebiyet verecektir. Kendi hacking kapasitelerini arttırma yoluna gidecekler ve mahkemelerden aldıkları arama kararlarıyla Apple gibi firmalara ihtiyaç duymadan şifrelenmiş verilere ulaşabileceklerdir.

İLGİLİ HABER >> FRANSA FİBER OPTİK ÜZERİNDEN 40 ÜLKEYİ DİNLEDİ

Zaten meşruiyeti ve sınırları tartışılan bu hacking yöntemleri, bu durumda mevcut sıkıntıları daha da arttıracaktır. Öncelikle şunu belirtmek gerekir ki, şuan Apple’ın da dahil olduğu bazı şirketler yıllık olarak şeffaflık raporları yayınlamaktadırlar. Bu raporlarda, mahkemelerin firmalara gönderdiği veri talepleri yer almaktadır. Eğer güvenlik teşkilatları hukuka uygun hacking yöntemlerine başvurur ise, bu yöntemle elde edilen veriler bu yayınlanan raporlarda yer almayacaktır ve hacking gölge faaliyet olarak devam edecektir.

Ayrıca bu yöntem klasik hukuk uygulamalarına nazaran kötüye kullanılmaya daha müsaittir. Her ne kadar bu işlemler yine bir mahkeme kararıyla kanunun çizdiği çerçevede yapılmaya çalışılsa da bunun dışarıdan denetimi pek de mümkün olmayacaktır. Çünkü bu durumdan ne şüphelinin ne de kullandığı cihazın firmasının bu hacklemeden haberi olacaktır. Örnek verecek olursak, eski durumda mahkeme Apple’dan bir şifreli verinin çözümlenerek mahkemeye ibrazını istediğinde Apple avukatları talebi veri gizliliği açısından değerlendirecek ve gerekirse itiraz edebilecektir. Ancak birimlerin doğrudan hacking yöntemine başvurması halinde böyle bir durumdan tarafların haberi olmayacağı için herhangi bir itiraz mekanizması harekete geçmeyecektir. Böylece güvenlik birimleri uzaktan takip yöntemleri dahil her türlü hacking metoduna başvurabilecektir.

İLGİLİ YAZI>> ABD CYCON’DA: DÜNYAYI DİNLİYORUM GÖZLERİM KAPALI

Bu hassas tartışma konusu bir müddet devam edeceğe benziyor. İlk bakışta, Apple’ın yeni şifreleme yöntemi, kullanıcılara kişisel verilerinin gizliliği hususunda bir güven verse de, güvenlik birimlerinin Apple’dan elde edemeyeceği verileri kendi hacking yöntemleriyle elde edebilme ihtimali tedirginlikyaratmaktadır. Kişiler, bir yandan verilerinin gizli kalmasını talep etse de, diğer yandan güvenlik birimleri de kuvvetli suç şüphesi durumlarında bu verilere erişmek istemektedirler. Yapılacak bir kanunla bu konu ayrıntılı olarak düzenlenmeli ve bu iki denge unsuru göz önünde bulundurulmalıdır. Güvenlik birimlerinin bu yöntemlere başvurmaları zorlaştırılmalı, gereken durumlarda uygulanması halinde ise şeffaflık ve denetlenebilirlik gibi hususlar dikkate alınmalıdır.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ