Etiket arşivi: siber güvenlik ve uluslararası hukuk

Makale & Analiz

ABD backdoor istedi, Apple red etti; şimdi ne olacak?

Yorum yapın

Ekim ayının ortalarında New York Eyalet Mahkemesikişisel verilerin gizliliği hakkında çok önemli bir soruyu tartışmaya açtı. Bilinmek istenen husus şuydu; mahkemeler, iPhone gibi elektronik cihazlardaki şifrelemelerin üretici firma tarafından çözümlenmesi yoluyla kişisel verilerin (mesajlaşmalar, e-mailler, fotoğraflar vs.) mahkemeye sunulmasını emredebilir mi? Mahkeme Apple’a gönderdiği bir yazıyla bu durumun teknik açıdan mümkün olup olmadığının ve ne gibi bir külfetinin olacağının açıklanmasını istedi.

İLGİLİ YAZI>> ABD-İRLANDA-MICROSOFT ARASINDA KİŞİSEL VERİ ÜÇGENİ

Apple yaptığı açıklamada iOS 8 ve üzeri yazılım kullanılan cihazlarda bu durumun teknik olarak mümkün olmadığını, yeni geliştirdikleri şifreleme ve parmak izi sistemi ile bu verilere ulaşımın sadece kullanıcıların eline bırakıldığını ifade etti. Yani kısaca Apple, bir mahkeme kararı olsa dahi kendilerinin şifrelenmiş verilere ulaşamayacağını belirtmiş oldu. Buna ek olarak, böyle bir durumda, zaten hali hazırda bekleme listesinde olan çok sayıda şifre çözümleme talebinin artacağı ve bunun Apple’ı normal işlerini yürütemez hale getireceği ifade edildi. Ayrıca tüketicilerin veri gizliliği noktasında firmaya olan güvenlerinin sarsılacağının ve firmanın itibarının zarar göreceğinin altı çizildi. Her ne kadar Apple açıklamasında, ilgili kanunun (the All Writs Act) firmalara bu kapsamda bir emrin gönderilmesine olanak tanıyıp tanımadığına değinmese de, New York Civil Liberties Union ve Electronic Frontier Foundation kuruluşları bu hususu değerlendirmiş ve kanunun mevcut haliyle böyle bir emre izin vermediğini ifade etmiştir.

İLGİLİ HABER >> ALMANYA KİŞİSEL VERİLER İÇİN ÖZEL BİRİM KURDU

Tartışmalar sürerken, Obama hükümeti de bu konuda geri adım attığını açıkça gösterdi ve dijital cihazların şifrelemelerinin çözümlenmesi için firmalara emir verilemeyeceğinibelirtti. Güvenlik birimlerine şifrelenmiş verilere ulaşabilme yolunun (“backdoor”) açılmasının,  Çin, Rusya ve siber saldırganlar için bir saldırı açığı oluşturabileceği vurgulandı. Gerçekten de Microsoft, Apple ve Google gibi firmaların yanı sıra çok sayıda bilgisayar uzmanı, hükümetin şifreleme yöntemlerine ve kaynak kodlarına ulaşmasının güvenlik açığı oluşturabileceğini belirtti. FBI yöneticisi James B. Comey de yaptığı açıklamada hükümetin, güvenlik birimlerine ve mahkemelere böyle bir yetkiyi açıkça tanıyan bir teklifi kanunlaştırmayacağını düşündüklerini açıkladı.

İLGİLİ HABER >> MICROSOFT KAYNAK KODLARINI AVRUPA’YA AÇTI

Verilere firmalar üzerinden ulaşım sağlanamaması FBI ve NSA’in hoşnut kalmayacağı bir durum. Ancak güvenlik ve istihbarat teşkilatlarının kuvvetli suç şüphesi taşıyan kişilere karşı elinin kolunun bağlı kalması, bu kişilere ait cihazlardan veri elde edememeleri pek de kabul görecek bir uygulamaya benzemiyor. Bu birimlerin bu hususta hükümet üzerinde baskılarını arttırıp yeni yöntemler ve hukuki düzenlemeler geliştireceğini söylemek mümkün.

Bu yöntemlerden ilk akla gelen, teşkilatların firmalardan çözümlenmesini isteyemediği şifreli verileri kendi hacking yöntemleriyle elde etmeleridir. Aslında Edward Snowden’ın yayınladığı belgelerden de açıkça gördüğümüz üzere, NSA bu yöntemi uzun bir süre uygulamış ve Facebook, Google, Apple gibi büyük şirketlere ait şifrelemeleri kırarak kullanıcılara ait bilgilere erişebilmiştir. NSA’in tarafından gerçekleştirilen bu faaliyetler mahkeme kararı olmadan gerçekleştirildiği için skandal olarak adlandırılmıştı. “Hukuka uygun hacking” dediğimiz yöntemde ise, güvenlik birimleri tıpkı telefon dinlemelerinde olduğu gibi ancak mahkeme kararıyla bu işlemi yapabilmektedirler. Ancak şirketler üzerinden veri elde edilemediği durumlarda, istihbarat birimleri zaten yapabilme kapasitesine sahip oldukları hukuka uygun hacking faaliyetlerini arttıracak ve bu durum veri güvenliği açısından daha büyük endişelere sebebiyet verecektir. Kendi hacking kapasitelerini arttırma yoluna gidecekler ve mahkemelerden aldıkları arama kararlarıyla Apple gibi firmalara ihtiyaç duymadan şifrelenmiş verilere ulaşabileceklerdir.

İLGİLİ HABER >> FRANSA FİBER OPTİK ÜZERİNDEN 40 ÜLKEYİ DİNLEDİ

Zaten meşruiyeti ve sınırları tartışılan bu hacking yöntemleri, bu durumda mevcut sıkıntıları daha da arttıracaktır. Öncelikle şunu belirtmek gerekir ki, şuan Apple’ın da dahil olduğu bazı şirketler yıllık olarak şeffaflık raporları yayınlamaktadırlar. Bu raporlarda, mahkemelerin firmalara gönderdiği veri talepleri yer almaktadır. Eğer güvenlik teşkilatları hukuka uygun hacking yöntemlerine başvurur ise, bu yöntemle elde edilen veriler bu yayınlanan raporlarda yer almayacaktır ve hacking gölge faaliyet olarak devam edecektir.

Ayrıca bu yöntem klasik hukuk uygulamalarına nazaran kötüye kullanılmaya daha müsaittir. Her ne kadar bu işlemler yine bir mahkeme kararıyla kanunun çizdiği çerçevede yapılmaya çalışılsa da bunun dışarıdan denetimi pek de mümkün olmayacaktır. Çünkü bu durumdan ne şüphelinin ne de kullandığı cihazın firmasının bu hacklemeden haberi olacaktır. Örnek verecek olursak, eski durumda mahkeme Apple’dan bir şifreli verinin çözümlenerek mahkemeye ibrazını istediğinde Apple avukatları talebi veri gizliliği açısından değerlendirecek ve gerekirse itiraz edebilecektir. Ancak birimlerin doğrudan hacking yöntemine başvurması halinde böyle bir durumdan tarafların haberi olmayacağı için herhangi bir itiraz mekanizması harekete geçmeyecektir. Böylece güvenlik birimleri uzaktan takip yöntemleri dahil her türlü hacking metoduna başvurabilecektir.

İLGİLİ YAZI>> ABD CYCON’DA: DÜNYAYI DİNLİYORUM GÖZLERİM KAPALI

Bu hassas tartışma konusu bir müddet devam edeceğe benziyor. İlk bakışta, Apple’ın yeni şifreleme yöntemi, kullanıcılara kişisel verilerinin gizliliği hususunda bir güven verse de, güvenlik birimlerinin Apple’dan elde edemeyeceği verileri kendi hacking yöntemleriyle elde edebilme ihtimali tedirginlikyaratmaktadır. Kişiler, bir yandan verilerinin gizli kalmasını talep etse de, diğer yandan güvenlik birimleri de kuvvetli suç şüphesi durumlarında bu verilere erişmek istemektedirler. Yapılacak bir kanunla bu konu ayrıntılı olarak düzenlenmeli ve bu iki denge unsuru göz önünde bulundurulmalıdır. Güvenlik birimlerinin bu yöntemlere başvurmaları zorlaştırılmalı, gereken durumlarda uygulanması halinde ise şeffaflık ve denetlenebilirlik gibi hususlar dikkate alınmalıdır.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]
Makale & Analiz

Microsoft – ABD – İrlanda üçgeninde veri mahremiyeti davası

Yorum yapın

Microsoft ve ABD hükümeti arasında uzun zamandan bu yana bir hukuk mücadelesi yaşanıyor. Eylül ayında New York Eyaleti Temyiz Mahkemesi’nde görülmeye başlayan dava Microsoft’un ABD hükümetine karşı verdiği savaşın son basamağını oluşturuyor. Dava sonunda verilecek karar yalnızca Microsoft’u değil dünya üzerinde hizmet veren çok sayıda şirketi etkileyecek ve hatta ülkelerin sınırları içerisindeki egemenliği konusunu tartışmaya açacağa benziyor.

Bu kritik davanın başlangıç noktasını, ilk dereceli Eyalet Mahkemesi’nin Aralık 2013’te Microsoft’a gönderdiği bir arama emri oluşturuyor. FBI’ın talebi doğrultusunda uyuşturucu ticaretini konu alan bir soruşturma yürüten Mahkeme, soruşturmanın derinleştirilmesi için şüphelilerden birinin outlook.com bünyesinde gerçekleştirdiği e-mailleşmelerin Microsoft tarafından mahkemeye ibraz edilmesi istedi.

İLGİLİ YAZI >> HACKING TEAM WASSENAAR DÜZENLEMESİNİ ETKİLER Mİ?

Elektronik iletişim verilerinin soruşturma aşamasında mahkemelerce talep edilmesi aslında günümüzde çokça rastlanan bir durum. Hatta bir çok ülke kanununa göre, şirketler telefon görüşmelerinden e-mailleşmelere kadar her türlü iletişim bilgisini belli şartları taşımak kaydıyla mahkemelere sunmak zorunda. Ancak söz konusu davada Microsoft’tan talep edilen standart bir mahkeme emrinden farklıdır. Çünkü olayımızda, şüpheliye ait veriler ABD mahkemelerinin yargılama yetkisinin olduğu kendi topraklarında değil, Microsoft’un İrlanda’daki veri depolarında tutulmaktadır.

İlk akla gelen soru, verilerin ABD topraklarında değil de başka bir ülkede depolanıyor olmasının neyi değiştirdiğidir. Hukukun en temel ilkesinden biri olan yargılama yetkisi (jurisdiction) gereğince, ülke mahkemeleri bu yetkisini ancak kendi egemenliği altındaki sınırlar içerisinde (territorial jurisdiction) kullanabilir. Örnek verecek olursak, bir Türk Mahkemesi Rusya’da ikamet eden bir kişiye karşı (Türk vatandaşı olsa dahi) yürüttüğü soruşturmada, şüpheliye ait bilgilerin (delillerin) mahkemeye sunulması yada şüphelinin evinde arama yapılması gibi talepleri Rusya’daki ilgili makamlara iletmesi ve adli destek alması gerekmektedir. Bu süreçte, Rusya makamları söz konusu talebin kendi iç hukuklarına uygunluğunu denetleyecektir. Olayımızda da ABD mahkemesi bu prosedürleri uygulamadan, İrlanda devleti egemenliği kapsamında bulunan bir verinin  direkt olarak ibraz edilmesini emretmektedir.

İLGİLİ HABER >> MICROSOFT KAYNAK KODLARINI AVRUPA’YA AÇTI

Microsoft mahkemeye sunduğu itirazda, emrin dayanağı olan Elektronik İletişimin Gizliliği Hakkındaki Kanun’a göre verilerin ibrazını emreden bu talebin ABD sınırları dışındaki verileri kapsayamayacağını, yalnızca iç hukukta etki doğuracağını ifade etmiştir. Microsoft’a göre bu verilerin mahkemeye sunulması ancak ABD ve İrlanda arasında yapılan Adli Yardımlaşma Antlaşması (Mutual Legal Assistance Agreement) çerçevesinde mümkün olacaktır. Aksi halde ABD, İrlanda’nın toprakları üzerindeki egemenlik hakkını ihlal ederek uluslararası hukuku çiğnemiş olacaktır. ABD hükümeti ise, Microsoft’un kişiler bakımından yargı yetkisi (personal jurisdiction) kapsamında yer aldığını vurgulamıştır. Bu açıdan, şirketin fiili hakimiyetinde olan bir verinin yabancı ülke topraklarında bulunsa dahi ABD’nin yargılama yetkisi kapsamında değerlendirilmesi gerektiği belirtilmiştir. Bu şekilde, mahkemenin bu verileri doğrudan Microsoft’tan talep edebileceği iddia edilmiştir. Mahkeme ise Microsoft’un argümanları reddederek, Amerikan şirketlerinin ellerinde bulunan bu verilerin, verilerin nerede bulunduğuna bakılmaksızın, Mahkemeye sunulması gerektiğine hükmetti. Sonuç olarak, Mahkeme Microsoft’un veri üzerinde kontrol ve hakimiyetinin bulunmasını yeterli saymış oldu. Ancak bu karar Microsoft tarafından temyiz edilmiştir ve verilecek nihai karar önümüzdeki aylarda kesinleşecektir.

Edward Snowden geçtiğimiz yıllarda, NSA’in Microsoft, Google, Apple ve Facebook’un gibi şirketlerin bünyesindeki kullanıcı verilerini gözetlediğine dair bilgileri sızdırmıştı. Wikileaks skandalı çok sayıda şirketi veri güvenliği ve gizliliği noktasında adımlar atmaya yönlendirdi. Ayrıca, “Cloud Computing” sistemlerinin bu kadar yaygınlaştığı günümüzde kullanıcılar kişisel verilerinin gizli kalması noktasında çok daha hassaslar ve şirketlerden bu noktada gerekli tüm tedbirleri almalarını beklemektedir. Microsoft’un 2013’ün sonlarında başlayan bu mücadelesi ve aralarında Apple, AT&T, Cisco ve Verizon’un da bulunduğu 94 şirketin bu davaya kısmen de olsa müdahil olması şirketlerin veri gizliliği noktasındaki hassasiyetlerinin en önemli göstergesidir.

İLGİLİ HABER >> ADALET DİVANI KARARI AB – ABD ANLAŞMASINI İPTAL ETTİ

Her ne kadar kullanıcılar elektronik verilerin de fiziki veriler gibi değerlendirilmesi gerektiği noktasında diretse de yaşanan gelişmeler kaygıları daha da arttırmaktadır. Örneğin İngiltere Temmuz 2014’te çıkardığı bir kanunla, şirketlere yabancı ülkelerde depoladıkları verileri dahi gerektiğinde mahkemelere sunma zorunluluğu getirdi. Eğer Microsoft hakkında verilen karar da temyiz mahkemesince bozulmaz ise kullanıcıların ABD şirketlerine karşı olan güveni iyice sarsılmış olacak ve verilerin gizliliği noktasında endişeler artacaktır. Diğer yandan, çok muhtemelen ABD dışındaki ülkeler de bu duruma misilleme olarak kendi ülkelerinde kurulu ancak verilerini ABD topraklarında depolayan şirketlerin elektronik verilerine doğrudan ulaşılması noktasında mahkemelerine yetki tanıyacaktır. Örnek olarak, Türk mahkemeleri Microsoft Türkiye’den veriler nerede depolanırsa depolansın kendisine sunulmasını isteyebilecektir. Ancak her ülkenin veri gizliliğini düzenleyen kanun hükümlerinin farklı olduğu göz önünde bulundurulduğunda Microsoft Türkiye’nin bu verileri ibraz etmesi, verilerin bulunduğu ülkenin hukukunu ihlal edebilecektir. Özellikle AB ülkelerinde bulunan veri gizliliği üst düzeyde garanti altına alan hukuki normlar ile arama emri gönderen ülke hukuku bir çatışma içerisine girebilecektir.

Genel kanaate göre, çözüm için gerek kullanıcıların veri gizliliği gerek uluslararası hukuk kapsamında ülkelerin egemenliği göz önünde bulundurulduğunda, elektronik verilerin de fiziksel veriler gibi değerlendirilmesi ve bu verilerin yabancı ülke mahkemelerine sunulmasının ancak ülkeler arasındaki Adli Yardımlaşma Antlaşmaları (Uluslararası İstinabe) kapsamında gerçekleşmesi gerekmektedir. Ancak çok yavaş işleyen adli yardımlaşma prosedürlerinin elektronik bir sistem kurularak hızlandırılması uygulanabilirliği arttıracaktır.

HAFTALIK SİBER BÜLTEN RAPORUNA ABONE OLMAK İÇİN FORMU DOLDURUNUZ

[wysija_form id=”2″]