Üstveri on Arpokrat

Şifreli mesajlaşma uygulamaları 2026: şifreleme artık yetmiyor

Thu, 10 Sep 2026 00:00:00 +0000

WhatsApp, Telegram, Signal, Messenger, Google Messages uygulamalarını açın. Bugün hepsi arayüzünün bir yerinde aynı vaadi gösteriyor: uçtan uca şifreleme. Bu ifade, bir mobil operatörün «taahhütsüz» sloganı gibi standart bir satış argümanına dönüştü. Artık hiçbir şeyi ayırt etmiyor, tam da neredeyse her yerde doğru hale geldiği için.

Yine de bu uygulamalar birbirine hiç benzemiyor. Biri telefon numaranızı istiyor ve sizi rehberinde tutan kişilerin listesini adalete teslim ediyor. Bir diğeri sizin hakkınızda kelimenin tam anlamıyla hiçbir şey bilmiyor, bir hesabın var olduğunu bile. İkisinin arasında on beş kadar proje çok farklı tercihler yapıyor ve hiçbiri bunları ana sayfasında açıkça anlatmıyor.

Uçtan uca şifreleme, mesajlarınızın içeriğinin onları taşıyan aracı için okunamaz olduğu anlamına gelir. Bu önemli bir kazanımdır ve küçümsemek saçma olur. Ama aynı aracının içerik dışında ne öğrendiği konusunda hiçbir şey söylemez: yazdığınızı, kime, saat kaçta, hangi IP adresinden, hangi sıklıkta, hangi gruplarda, kimlik bilgilerinize bağlı hangi telefon numarasıyla.

Şifreleme söylediğinizi korur. Bunu söylemiş olduğunuz gerçeğini korumaz, kime, ne zaman ve nereden söylediğinizi de.

Bu yazı bir sıralama yapmıyor. Mutlak anlamda en iyi mesajlaşma uygulaması yoktur, çünkü genel geçer bir düşman yoktur. Bu dosyanın sunduğu şey, önce henüz var olmayanlar da dahil olmak üzere herhangi bir uygulamayı değerlendirmenizi sağlayan yedi ölçütlük bir ızgara, ardından seçilen on dört uygulamanın her biri için dürüst bir künye ve son olarak tehdit profiline göre öneriler. Her künyede, uygulamanın neyi korumadığına ayrılmış bir bölüm bulunuyor, istisnasız, bizimki dahil.

İçindekiler

Şifrelemenin yerini alan yedi ölçüt

Bu bölüm yazının en önemli kısmı. Yalnızca birini okuyacaksanız bunu okuyun: bu metin yayımlandıktan sonra çıkacak olanlar dahil, herhangi bir mesajlaşma uygulamasını kendiniz değerlendirmenizi sağlayacak.

Uçtan uca şifreleme, artık ayırt etmeyen bir kazanım

2013 yılında yayımlanan ve o günden beri kriptografi araştırmacılarınca biçimsel olarak incelenen Signal protokolü fiili standart haline geldi. WhatsApp onu 2016 yılından beri kullanıyor, Google Messages kullanıyor, Messenger kullanıyor. Birebir görüşmelerin içeriği açısından kriptografik tartışma büyük ölçüde kapanmış durumda.

Hâlâ yararlı olan sorular artık şifrelemenin varlığıyla değil, biçimiyle ilgili. Varsayılan olarak açık mı, yoksa istemek mi gerekiyor? Grupları kapsıyor mu, yoksa yalnızca ikili yazışmaları mı? Yedekleri kapsıyor mu, yoksa bunlar Google ve Apple tarafına açık halde mi gidiyor? İleriye dönük gizlilik var mı, yani bugün bir anahtarın ele geçirilmesinin dünkü mesajlara erişim vermemesini güvence altına alan düzenli bir anahtar döngüsü?

Bu sorular hâlâ ayırt ediyor. Bir pazarlama sayfasında «şifreli» kelimesinin bulunması ayırt etmiyor.

Meta veriler, yani hizmetin mesajlarınızı okumadan bildikleri

Mayıs 2014 yılında Johns Hopkins Üniversitesinde hukukçu David Cole karşısında yapılan bir kamuya açık tartışmada, NSA ve CIA eski direktörü Michael Hayden ünlü olacak bir cümle söyledi. Cole az önce NSA eski hukuk danışmanı Stewart Baker’ı alıntılamıştı; ona göre «meta veriler size birinin hayatı hakkında kesinlikle her şeyi anlatır ve yeterince meta veriniz varsa içeriğe gerçekten ihtiyacınız olmaz». Hayden onaylayarak yanıt verdi: «Meta verilere dayanarak insan öldürüyoruz.» Hemen ardından bunun Amerikan yurt içi toplama programlarının yaptığı şey olmadığını ekledi; dürüstlük adına bu açıklamayı da aktarmak gerekir. Esası değiştirmez: Amerikan istihbaratının en üst düzey yetkilisi, meta verilerin ölümcül kararlar için yeterli olduğunu kamuoyu önünde doğruladı.

Bir mesajlaşma uygulamasında meta veri, içerik olmayan her şeydir: kimin kime yazdığı, saat kaçta, hangi IP adresinden, hangi sıklıkta, hangi gruplarda, hangi dosya boyutuyla. Bir gazeteciyle bir kaynak arasındaki bağı yeniden kurmak, yazışmalarını okumayı gerektirmez. Bir soruşturmanın yayımlanmasından üç gün önce birbirlerine yazmaya başladıklarını saptamak yeter. Aynı akıl yürütme bir avukatla müvekkili, bir hekimle hastası, bir çalışanla bir sendika, ilişkilerinin bilinmesini istemeyen iki kişi için de geçerlidir.

Dolayısıyla bir hizmet, içerik şifrelemesinde kusursuz ve geri kalan her şeyde tamamen şeffaf olabilir. Hatta en yaygın durum budur. Aynı akıl yürütmenin günlük hayatın diğer edilgen sinyallerine nasıl uygulandığını başka yerde ayrıntılandırdık; özellikle telefonun sürekli konum takibi üzerine yazımızda ve geçerken yakalanan Bluetooth tanımlayıcılarından güzergâhları ve ilişkileri yeniden kuran Leonardo firmasının SignalTrace sistemi hakkındaki çözümlememizde.

Herhangi bir sağlayıcıya sorulacak iyi bir soru: yarın sabah bir hâkim sunucularınıza el koyarsa geriye ne kalır?

İstenen tanımlayıcı: numara, adres ya da hiçbir şey

Bu en somut ve en çok hafife alınan ölçüt. Üç model bir arada bulunuyor.

Telefon numarası. Çoğu ülkede bir kimlik belgesine bağlıdır. Benzersizdir, kalıcıdır ve yüzlerce kişinin rehberinde zaten kayıtlıdır. Numara istemek, her hesabı bir resmi kimliğe bağlamak ve sosyal grafiğin ortaya çıkarılmasını önemsizleştirmek demektir: rehberleri karşılaştırmak yeter. Numara ayrıca kimlik doğrulamanın iyi bilinen zayıf noktasıdır; SMS ile iki aşamalı doğrulama üzerine yazımızda gösterdiğimiz gibi: başarılı bir SIM değiştirme yalnızca bir kodu çalmaz, bir mesajlaşma kimliğini çalar.

E-posta adresi ya da rastgele bir tanımlayıcı. Daha iyi, çünkü tek kullanımlık bir adres birkaç saniye alır ve rastgele bir tanımlayıcı hiçbir şey söylemez. Yine de sunucu tarafında kalıcı bir tanımlayıcı olarak kalır, yani oturumları zaman içinde ilişkilendirmek için bir tutamak.

Hiçbir tanımlayıcı. Bu en yeni ve en ender model. Hiç hesap yok, dizin yok, kalıcı adres yok. Cihazınızdaki bir kriptografik anahtar kümesi olarak varsınız ve size tek kullanımlık bir davet bağlantısıyla ulaşılıyor. Girilecek bir şey yok, sızacak bir şey yok, ilişkilendirilecek bir şey yok.

Açık kaynak ve bağımsız denetim, karıştırmaktan vazgeçilmesi gereken iki kavram

Bunlar iki farklı şey ve birlikte sunulmalarına son vermek gerekiyor.

Açık kaynak, kodun okunabilir olduğu anlamına gelir. Güvenin gerekli koşuludur, güvenliğin kanıtı değil. Kazara olmadıkça kodu kimse okumaz. Çok izlenen özgür projelerde ciddi açıklar yıllarca hayatta kaldı.

Bağımsız denetim, açık aramak için para alan üçüncü bir tarafın arama yaptığı ve bulduklarını yayımladığı anlamına gelir. Bu sonsuz derecede daha güçlüdür ve sonsuz derecede daha enderdir, çünkü pahalıdır.

Ardından iki denetim türünü ayırmak gerekir. Kriptografik tasarım incelemesi, protokolün kâğıt üzerinde iyi tasarlanıp tasarlanmadığını inceler. Uygulama denetimi, kodun protokolün iddia ettiğini gerçekten yapıp yapmadığını inceler. İkisi de yararlıdır, aynı şeyi kanıtlamazlar ve bir proje ikincisi olmadan birincisine sahip olabilir.

Threema örneği bu yaklaşımın değerini kusursuz biçimde gösteriyor. 2022 yılında Zürih ETH’den üç araştırmacı, protokolüne karşı üç farklı tehdit modelinde yedi saldırı buldu ve bunları geliştiriciye bildirdi. Threema, Kasım 2022 sonunda yayımlanan Ibex adlı yeni bir protokolle yanıt verdi. Kapalı ve denetlenmemiş bir uygulama bu olayı hiç yaşamazdı; bu da onun daha güvenli olduğu anlamına gelmezdi.

Yargı yetkisi ve CLOUD Act

Bir şirketin kuruluş yeri, hangi hükümetlerin onu zorlayabileceğini belirler. Bu teknik değil hukuki bir ölçüttür ve belirleyicidir.

2018 yılında Amerika Birleşik Devletleri’nde kabul edilen CLOUD Act, Microsoft Ireland davasının ortaya attığı soruyu çözer: bir Amerikan şirketi İrlanda’daki bir sunucuda saklanan e-postaları teslim etmeyi reddedebilir mi? Yasa koyucunun yanıtı hayır. Metin, Amerikan yargı yetkisi altındaki sağlayıcılara, saklama yerinden bağımsız olarak denetimleri altındaki verileri iletme yükümlülüğü getirir. Amerikan bir şirketin işlettiği Frankfurt’taki bir sunucu, Amerikan bir talebin erişiminde kalır. Talep yabancı hukukla çatışıyorsa sağlayıcı itiraz edebilir, ama itiraz bir usuldür, kalkan değil.

Pratik sonuç basit: barındırıcı, ana şirket ya da holding Amerikan hukukuna tabiyse Avrupa’da barındırmak yetmez. Sorulacak soru «sunucularınız nerede» değil, «sizi hukuken kim, hangi dayanakla zorlayabilir».

İki nüans eklemek gerekir. Birincisi, hizmet yine de işlenebilir veri tutuyorsa koruyucu bir yargı yetkisi işe yaramaz: en iyi savunma teslim edecek bir şeyi olmamaktır. İkincisi, düşmanca bir yargı yetkisi, yapısal olarak hiçbir şey bilmeyen bir hizmeti mahkûm etmez. Signal Amerikan bir hizmettir ve iki zaman damgasından başka hiçbir şey teslim edememiştir.

Projenin kalıcılığı, kimsenin bakmadığı ölçüt

Çok iyi tasarlanmış ama on sekiz ayda ortadan kaybolan bir mesajlaşma uygulaması, sizi kullanılamaz bir rehberle ve çoğu zaman kaybolmuş bir geçmişle baş başa bırakır. Bu ölçüt karşılaştırmalarda hiç yer almaz. 2026 yılı onu kaçınılmaz kıldı.

Nisan 2026’da Session Technology Foundation, yalnızca yaklaşık 65.000 dolar bağış topladığını, çalışmak için yılda kabaca bir milyon dolara ihtiyacı olduğunu ve kasasının temmuzdan öteye yetmeyeceğini kamuoyuna duyurdu. Tüm çalışanların işine son verildi ve geliştirme durdu. Session’ın aylık bir milyondan fazla etkin kullanıcısı var. Haziran ayında vakıf, projenin binlerce kullanıcının çoğu küçük tutarlı bağışlarıyla kurtarıldığını ve yazılım mimarı Jason Rhinelander’ın yönettiği üç geliştiriciden oluşan bir ekiple yeniden yola çıktığını duyurdu.

Üç hafta sonra, 9 Temmuz 2026’da Briar projesi benzer bir mesaj yayımladı: kapanmayı değerlendirdikten sonra bakım moduna geçiyor, yani kalıcı finansman bulunmadığı için yalnızca güvenlik ve hata düzeltmeleri, yeni işlev geliştirmesi yok.

İki simge proje, iki farklı ekonomik model, aynı yıl, aynı çıkmaz. Dolayısıyla bir mesajlaşma uygulamasını benimsemeden önce sorulacak soru artık şu: kim ödüyor, ne kadar ve ne kadar süre? Bağışlarla yaşayan bir vakıf, lisans satan bir şirket, desteklenen bir üniversite projesi ve gönüllü bir topluluk yazılımı aynı yaşam beklentisine sahip değildir ve bunun kriptografilerinin niteliğiyle hiçbir ilgisi yoktur.

Kullanışlılık, başlı başına bir güvenlik ölçütü

Bu son ölçüt saflar tarafından çoğu zaman küçümsenerek ele alınır. Bu bir hatadır.

Muhataplarınızın kurmayı reddettiği bir mesajlaşma uygulaması kimseyi korumaz, çünkü konuşma başka bir yerde, açık halde geçecektir. Bildirimleri ulaşmayan bir uygulama, acil yazışmalar için kullanıcılarını WhatsApp’a geri iter. İki kişinin de aynı anda bağlı olmasını isteyen bir uygulama, iki saat dilimi arasındaki sıradan bir yazışmaya uygun değildir.

Bir sistemin gerçek güvenliği, teknik künyesinin değil gerçek kullanımının güvenliğidir. Kişilerinizin fiilen kullandığı biraz daha az saf bir model, yalnızca sizin kullandığınız kusursuz bir modelden daha çok korur.

Kitlesel mesajlaşma uygulamaları

WhatsApp dünyada en çok kullanılan mesajlaşma uygulaması. Meta’ya ait, ücretsiz ve ekonomik modeli grubun reklam ekosistemine ve işletmelere sunulan hizmetlere dayanıyor.

Gerçekten neyi koruyor. Mesajların içeriğini, Signal protokolüyle, 2016 yılından beri. Bu uygulama ciddidir ve bunu açıkça söylemek gerekir: WhatsApp konuşmalarınızın içeriği Meta için okunabilir değildir. Uçtan uca şifrelenmiş yedekler mevcuttur ve etkinleştirilmeyi hak eder, çünkü varsayılan olarak açık değildir. Uygulama son derece güvenilirdir, her yerde bulunur ve kişileriniz onu zaten kullanıyordur.

Neyi korumuyor. Geri kalan her şeyi. Basit bir talep üzerine Meta abone verilerini bildirir: hesap adı, oluşturma tarihi, son bağlantı, IP adresi, e-posta adresi. Arama emri üzerine şirket, hedeflenen kişinin rehberini ve ayrıca bu kişiyi rehberinde tutan diğer WhatsApp kullanıcılarının listesini sağlar. Başka bir deyişle, sosyal grafik iki yönde de teslim edilebilir. Saklanan meta veriler zaman damgalarını, gönderen ve alıcı tanımlayıcılarını, teslim durumlarını, grupların bileşimini ve değişikliklerini içerir. Kamuoyuna açıklanan bir FBI belgesine göre WhatsApp, gerçek zamanlı gözetim kapsamında hedeflenen bir kullanıcının belirli meta verilerini her on beş dakikada bir üretebiliyor. Son olarak telefon numarası zorunludur ve Meta CLOUD Act kapsamındadır.

Kimin için yapılmış. Herkes için, ilişki grafiğinin Meta tarafından bilinmesini ve bir adli makama iletilebilmesini kabul ettiğiniz sıradan bir iletişim kanalı olarak.

Telegram çoğu zaman güvenli mesajlaşma uygulamaları arasına konuluyor. Bu, saldırganlığa kaçmadan giderilmesi gereken bir yanlış anlama, çünkü Telegram gerçekten yaptığı işte mükemmel.

Gerçekten neyi koruyor. Günlük kullanım için klasik bir çevrim içi hizmetten fazlasını değil. Bulut sohbetleri denen sıradan konuşmalar istemci ile sunucu arasında şifrelenir, ardından Telegram tarafında şifreli olarak saklanır ve Telegram bunları okuma araçlarına sahiptir. Uçtan uca şifreleme yalnızca gizli sohbetlerde vardır; bunlar varsayılan olarak açık değildir, ikili yazışmalarla sınırlıdır, ilk cihaza bağlı kalır ve eşitlenmez. Buna karşılık Telegram’ın mükemmel yaptığı şey devasa gruplar, yayın kanalları, büyük dosya paylaşımı ve çok cihazlı varlıktır. Muhteşem bir yayın ağıdır ve öyle değerlendirilmelidir.

Neyi korumuyor. Sıradan konuşmaların içeriğini hizmet sağlayıcıya karşı, telefon numarasını, IP adresini. Şirketin tutumu Eylül 2024’te, Pavel Durov’un Fransa’da tutuklanmasından sonra değişti: Telegram artık geçerli hukuki taleplere yanıt olarak şikâyet edilen kullanıcıların numaralarını ve IP adreslerini bildiriyor; oysa önceki taahhüt bu aktarımları terör davalarıyla sınırlıyordu. 2024 için yayımlanan sayılar ölçek değişimini yansıtıyor: Amerika Birleşik Devletleri’nde 2.253 kullanıcı için yaklaşık 900 karşılanan talep, Hindistan’da 23.535 kullanıcı için 14.641, Birleşik Krallık’ta 142. Grup ayrıca Britanya Virjin Adaları’nda kayıtlı ve Dubai’den yönetiliyor; bu yapının şeffaflıktan uzaklığı başlı başına bir analiz verisidir.

Kimin için yapılmış. Kamuya açık yayın, geniş topluluklar ve haber takibi için. Hizmet sağlayıcıya karşı gizli kalması gereken bir konuşma için değil.

Fiili standart

Signal

Signal referanstır ve bu yazı ona öyle davranıyor. Bağışlarla ve Brian Acton’ın başlangıç bağışıyla finanse edilen Amerikan kâr amacı gütmeyen kuruluş Signal Foundation tarafından yayımlanıyor.

Gerçekten neyi koruyor. İçeriği, kendi icat ettiği ve sektöre referans olan protokolle. Ama her şeyden önce, onu ayıran da bu, geri kalanı: gizli kişi keşfi, mühürlü gönderen, saklanan verilerin sistematik olarak en aza indirilmesi. Kanıt beyana dayalı değil, adli. Signal taleplere verdiği yanıtları özel bir sayfada yayımlıyor ve bu yanıtların hepsi birbirine benziyor: kuruluş yalnızca hesabın oluşturulma zaman damgasını ve son bağlantı tarihini sağlayabiliyor. Columbia Bölgesi mahkemesine taşınan bir davada adalet, otuz yedi telefon numarası için abone bilgilerini istedi. Yanıt aynıydı. Bu, tüm karşılaştırmada bu nitelikte taleplere direncin tek kamuya açık geçmişidir ve herhangi bir pazarlama vaadinden daha değerlidir.

Neyi korumuyor. Telefon numarası 2026 yılında kayıt sırasında zorunlu olmayı sürdürüyor. 2024’te getirilen kullanıcı adları, numaranızı kişilerinize bildirmemenizi sağlıyor ki bu gerçek bir ilerleme, ama hesap oluştururken numaranın istenmesini ortadan kaldırmıyor. Kamuya açık çalışmalar, Signal’in kötüye kullanımı sınırlamak için belki tek seferlik bir ödemeye dayanan numarasız kayıt üzerinde çalıştığını gösteriyor, ama bu satırlar yazılırken bu seçenek mevcut değil. Signal ayrıca Amerikan hukukuna, dolayısıyla CLOUD Act’e tabidir: koruma yargı yetkisinden gelmiyor, teslim edecek bir şey olmamasından geliyor. Son olarak altyapı merkezi ve ekosistem üçüncü taraf istemcilere kapalı; bu noktaya ileride döneceğiz.

Kimin için yapılmış. Neredeyse herkes için. Piyasada koruma ile gerçek yaygınlık arasındaki en iyi orandır ve telefon numarası tehdit modelinizde sorun değilse varsayılan öneridir.

Molly

Molly Signal’in Android için sertleştirilmiş bir çatallanmasıdır. Ne protokolü, ne ağı, ne de tanımlayıcı modelini değiştirir: istemciyi sertleştirir.

Gerçekten neyi koruyor. Signal’in cihaz tarafında korumadıklarını. Molly yerel veritabanını bir parola tümcesinin arkasında şifreler, bu da uygulamanın tamamını kilitler; kilitlenme sırasında el koyma sonrası adli analize direnmek için çalışma belleğini rastgele verilerle siler. Ayrıca trafiği bir SOCKS vekil sunucusundan ya da Tor üzerinden yönlendirmeye izin verir. Molly-FOSS türevi Google’ın tescilli bileşenlerini kaldırır. Resmi istemcinin yapmadığı şeyler.

Neyi korumuyor. Sunucuyla ilgili her şeyi. Molly Signal’in sunucularını kullanır, dolayısıyla telefon numarası ister ve tam olarak aynı meta veri profilini ve aynı yargı yetkisini devralır. Yalnızca Android’de vardır. Ve Signal ağında vakfın hoşgörüsüyle çalışır, resmi izniyle değil; bu durum yıllardır olaysız sürüyor.

Kimin için yapılmış. Tehdit modeli telefona fiziksel olarak el konulmasını içeren bir Android Signal kullanıcısı için: yolculuktaki gazeteci, eylemci, sınır geçen avukat.

Telefon numarası istemeyen uygulamalar

Session

Session radikal bir bahse girdi: numarayı ve e-postayı kaldırmak. Kayıt sırasında uygulama rastgele bir hesap tanımlayıcısı üretir ve başka hiçbir şey istemez. Projeyi İsviçre hukukuna tabi bir vakıf olan Session Technology Foundation yürütüyor.

Gerçekten neyi koruyor. Kayıttaki kimliği ve IP adresini. Mesajlar soğan yönlendirmeli merkeziyetsiz bir düğüm ağından geçer, öyle ki hiçbir sunucu kaynağı ve hedefi aynı anda bilmez. Android, iOS ve masaüstü istemcilerinin kodu, Fransız Quarkslab şirketinin yayımladığı bir denetime konu oldu; denetim Android’de yedi, iOS’ta yedi ve masaüstü istemcisinde iki sorun saptadı, çoğu o günden beri giderildi. Uygulama tüm platformlarda mevcut ve sıradan bir mesajlaşma uygulaması gibi görünüyor ki bu kategoride bu az şey değil.

Neyi korumuyor. Session, merkeziyetsiz mimarisiyle yaşadığı kararlılık sorunlarını gerekçe göstererek 2021’de ileriye dönük gizliliği kaldırdı. Somut olarak, uzun ömürlü bir anahtarın ele geçirilmesi geçmiş mesajları açığa çıkarır. Vakıf Aralık 2025’te ileriye dönük gizliliği geri getiren ve ML-KEM tabanlı kuantum sonrası anahtar değişimi ekleyen bir V2 protokolü duyurdu, ama bu protokol yazının yazıldığı sırada tamamlanmamıştı. Ve her şeyden önce burada kalıcılık ölçütü ağır basıyor: proje 2026’da kapanmaya birkaç hafta kala kurtuldu ve şimdi bir milyondan fazla kullanıcı için üç geliştiriciyle çalışıyor.

Kimin için yapılmış. Kullanım alışkanlıklarını değiştirmeden telefon numarasından vazgeçmek isteyen ve ileriye dönük gizliliğin şu anki yokluğunu kabul edenler için.

Threema

Threema uygulamasını satan bir İsviçre şirketidir. Bu karşılaştırmadaki tek ücretli oyuncudur ve modelini okunabilir kılan da tam olarak budur.

Gerçekten neyi koruyor. Kimliği ve yargı yetkisini. Kurulumda uygulama rastgele bir Threema ID üretir. Telefon numarası ve e-posta adresi isteğe bağlıdır ve yalnızca kişilerinizin sizi bulmasına yarar; bunu etkinleştirmeye hiçbir şey zorlamaz. Sunucular şirkete aittir ve Zürih’te ISO 27001 belgeli bir veri merkezinde, İsviçre hukuku altında, CLOUD Act dışında bulunur. Kaynak kod yayımlanmıştır ve yeniden üretilebilir derlemeler Android’de mevcuttur; bu da dağıtılan uygulamanın koda karşılık geldiğini doğrulamayı sağlar. Threema mobil uygulamalarını Ekim 2020’de Cure53’e, ardından masaüstü uygulamasını Ocak 2024’te denetlettirdi. 2022 sonunda benimsenen Ibex protokolü, 2023’te Alman araştırmacıların yayımladığı biçimsel bir güvenlik kanıtına konu oldu.

Neyi korumuyor. Tek seferlik alımda yaklaşık altı avroluk fiyat, yakınlarınızın benimsemesi önünde gerçek bir engeldir ve başlıca pratik frendir. 2022 Zürih ETH olayı ayrıca ciddi bir oyuncunun bile yıllarca savunmasız bir protokole sahip olabileceğini hatırlatıyor: yedi saldırı bulundu, protokol baştan yapıldı. Son olarak Threema tanımlayıcısı sunucu tarafında kalıcı bir tanımlayıcı olarak kalır ki bu, hiçbir tanımlayıcı olmayan model değildir.

Kimin için yapılmış. Avrupalı bir şirket, bir hukuk bürosu, bir kamu kurumu ya da bağışlara bağlı kalmaktansa bir ürüne para ödemeyi tercih eden ve net bir İsviçre yargı yetkisi isteyen bir birey için.

Wire

Wire niteliğini epeyce değiştirdi. Kitlesel bir mesajlaşma uygulaması olarak doğdu, sonra kuruluşlara, şirketlere ve kamu sektörüne yöneldi.

Gerçekten neyi koruyor. İçeriği, Proteus protokolüyle ve ardından Wire’ın ilk ciddi uygulayıcılarından biri olduğu IETF grup mesajlaşma standardı MLS ile. Kayıt e-posta ile yapılır, bu da telefon numarasından kaçınmayı sağlar. Denetimler kamuya açıktır: Kudelski Security ve X41 D-Sec 2017’de protokol uygulamasının bir incelemesini, ardından 2018’de iOS, Android ve web istemcilerinin uygulama denetimlerini yayımladı.

Neyi korumuyor. Wire’ın sunucu tarafında açık halde sakladığı meta verileri; geliştiricinin hiç gizlemediği ve düzenli olarak eleştirilen bir nokta. Hukuki yapı da karmaşık: operasyonlar İsviçre’deki Wire Swiss GmbH’ye bağlı, grubun holdingi Berlin’de kurulu ve geliştirici sermayenin %90’ından fazlasının Avrupalı kurumsal yatırımcılarda olduğunu söylüyor, ama 2019’da Delaware’de bir Amerikan tüzel kişiliği kuruldu. Wire’ı hassas bir kullanım için seçmeden önce bu karmaşıklığı anlamakta yarar var.

Kimin için yapılmış. Anonimlik arayan bir bireyden çok, ticari destek ve merkezi yönetimle mevzuata uygun şifreli iş birliğine ihtiyaç duyan bir kuruluş için.

Element ve Matrix protokolü

Element, açık ve federe bir protokol olan Matrix‘in başlıca istemcisidir. Model bu karşılaştırmadaki tüm diğerlerinden farklıdır: herkes kendi sunucusunu barındırabilir ve sunucular tıpkı e-posta sunucuları gibi birbirleriyle haberleşir.

Gerçekten neyi koruyor. Özerkliği. Bir kuruluş kendi sunucusunu barındırabilir, altyapısını denetleyebilir, hiçbir sağlayıcıya bağımlı olmaz ve ağın geri kalanından erişilebilir kalır. Bu karşılaştırmada bu bileşimi sunan tek modeldir ve birçok Avrupa idaresinin onu seçmesinin nedeni budur. Mesajların uçtan uca şifrelenmesi devrededir.

Neyi korumuyor. Meta verileri, ve bu yapısaldır. Sunucunuzun yöneticisi kimin kiminle, ne zaman ve hangi odalarda konuştuğunu görür. Oda meta verileri, ad, konu ve diğer durum olayları, sunucuda açık halde saklanır. Element bu durum olaylarının şifrelenmesi üzerinde çalışıyor, ama işlev Eylül 2025’te hâlâ deneyseldi ve laboratuvar seçeneklerine ayrılmıştı. Federasyon sorunu ağırlaştırır: bir odanın geçmişi katılımcı sunuculara kopyalanır ve onlar bunu saklar. Geliştirici ayrıca bu sızıntıları sınırlamak için federasyonu süzmeye yönelik bir geçit satıyor; bu, işe yarar bir itiraf.

Kimin için yapılmış. Altyapısı üzerinde egemenlik isteyen ve düşmanı kendi sistem yöneticisi olmayan bir kuruluş için. İlişkilerini gizlemek isteyen bir birey için değil.

Hiçbir tanımlayıcı istemeyen uygulamalar

Bu en yeni kategori. İlke bir tanımlayıcıyı gizlemek değil, hiç oluşturmamaktır.

SimpleX Chat

SimpleX Chat, rastgele olanlar dahil hiçbir kullanıcı tanımlayıcısı olmayan ilk mesajlaşma ağıdır. Bu gerçek bir kavramsal ilerlemedir ve öyle sunulmalıdır.

Gerçekten neyi koruyor. Sosyal grafiği, tasarımı gereği. Hesap yok, dizin yok, kalıcı adres yok. Her konuşma farklı aktarıcılarda barındırılan tek yönlü kuyruklara dayanır: gönderdiğiniz şey bir aktarıcıdaki kuyruktan geçer, yanıtlar başka bir aktarıcıdaki başka bir kuyruktan döner, öyle ki hiçbir aktarıcı iki ucu birden görmez. Aktarıcılar kördür, ne göndereni ne alıcıyı bilirler. Proje, Trail of Bits tarafından gerçekleştirilen iki bağımsız denetim yayımladı: Kasım 2022’de uygulamanın güvenlik değerlendirmesi, ardından Ekim 2024’te protokollerin kriptografik tasarım incelemesi; ikincisi kuyruk anlaşma protokolünün biçimsel doğrulamasını içeriyordu ve hepsi zor sömürülür üç orta ve bir düşük önem dereceli sorunla sonuçlandı. Protokol, çift mandala kuantum sonrası bir katman ekliyor. Aktarıcılar kendi kendine barındırılabilir, Android, iOS ve masaüstünde istemciler var ve geliştirici SimpleX Chat Ltd, Ekim 2021’den beri kayıtlı bir Britanya şirketidir.

Neyi korumuyor. İki şey söylenmeyi hak ediyor. Birincisi varsayılan barındırma: projenin işlettiği aktarıcılar tek bir sağlayıcıda, Amerikan Akamai’nin iştiraki Linode’da, onun Londra, Frankfurt ve Stockholm’deki Avrupa veri merkezlerinde çalışıyor. Tor’u etkinleştirmeyen ve aktarıcı değiştirmeyen bir kullanıcı, dolayısıyla Amerikan bir şirketin işlettiği bir altyapıya bağımlıdır ki bu, CLOUD Act’i yeniden tabloya sokar. Konu projenin deposunda kamuya açık biçimde belgelenmiştir. İkincisi, kullanım deneyimi zorlayıcı olmayı sürdürüyor: bağlantı kurmak bir bağlantı ya da QR kodu değişimi gerektiriyor, iOS’ta bildirim güvenilirliği uzun süre zayıf noktaydı ve büyük grupların ölçeklenmesi hâlâ bir şantiye. Finansman ise artık Ağustos 2026’da başlatılan sermaye tabanlı bir kitle fonlamasına dayanıyor.

Kimin için yapılmış. Tanımlayıcısız modeli bugün mevcut en iyi dış doğrulama düzeyiyle isteyen ve daha teknik bir kullanımı kabul edenler için.

Arpokrat Messenger

Arpokrat Messenger bizim ürünümüz ve bu künye diğerleriyle aynı ızgarayı izliyor. İşe bunu dolambaçsız söyleyerek başlamak gerek: Arpokrat Messenger SimpleX’in bir çatallanmasıdır. Yukarıda anlatılan mimari, tanımlayıcı yokluğu, tek yönlü kuyruklar, kör aktarıcılar, bizim değil, SimpleX’indir. Onu kriptografik olarak iyileştirdiğimizi iddia etmiyoruz, hakkını veriyoruz; tıpkı protokol sayfamızın açıkça yaptığı gibi. ArpokratOS için GrapheneOS karşısında da aynı tutumu koruyoruz.

Gerçekten neyi koruyor. SimpleX’in koruduklarını, artı bir dizi işletme ve ürün tercihini. İşlettiğimiz aktarıcılar hukukları nedeniyle seçilmiş beş yargı bölgesine dağıtılmıştır: İsviçre, İzlanda, Panama, Malezya ve Mauritius, hiçbiri Amerikan değil; altyapı hiçbir Amerikan hiperölçekleyicisine dayanmıyor, ne Amazon Web Services, ne Google Cloud, ne Microsoft Azure, ne de Cloudflare. Bekleyen mesajlar yalnızca çalışma belleğinde yaşar, takas alanı kapalıdır, bir elektrik kesintisi her şeyi siler ve yayın bildirimleri ağdan yalıtılmış bir Qubes OS makinesinde imzalanır. Tor tek bir düğmeyle etkinleşir, üçüncü taraf uygulama gerekmez, ve varsayılan olarak kapalı kalır. Gizli mod her kişiye ayrı bir profil atar, görünen ad ve aktarıcı dahil, bu da mesleki hayatla özel hayatın ilişkilendirilmesini engeller. Yazılım açık olduğundan aktarıcıları herkes kendi barındırabilir. İstemciler AGPLv3 lisansıyla yayımlanır. Saklamasız cüzdan Bitcoin, Ethereum, Monero, Polygon, Solana ve Tron ile çalışır, anahtarlar cihazdan hiç çıkmaz; Zcash desteği duyuruldu ama bugüne dek mevcut değil. Yerleşik Swap, bağımsız sağlayıcıların tekliflerini karşılaştıran ve her birini istenen kimlik doğrulama düzeyine göre A’dan D’ye puanlayan bir toplayıcıdır: KYC olmaması için A, zorunlu KYC için D; para doğrudan kullanıcı ile seçilen sağlayıcı arasında geçer. Bildiğimiz kadarıyla başka hiçbir mesajlaşma uygulaması bu puanlamayı sunmuyor. Geliştirici nihayet tanımlanabilir bir ticari tüzel kişiliktir: İsviçre’nin Zug kentinde yerleşik Arpokrat GmbH, kamuya açık posta adresi, altmış günlük geçerlilik penceresiyle yenilenen PGP imzalı bir warrant canary ve 24 saat içinde destek yanıtı taahhüdü ile. Uygulama ücretsizdir, reklamsızdır.

Neyi korumuyor. Ve burada kesin olmak gerekiyor, çünkü geri kalanda inandırıcı olmanın tek yolu bu.

Arpokrat Messenger’ın bugüne dek kendi adına yayımlanmış hiçbir bağımsız kriptografik denetimi yok. SimpleX’in iki tane var. Dolayısıyla temeldeki protokol denetlenmiştir, bizim uygulamamız ve işletmemiz denetlenmemiştir, ve bu aynı şey değildir; yazının yukarısında açıkladığımız gibi.

Arpokrat’ın adli taleplere direncine dair hiçbir kamuya açık geçmişi yok. Signal’in var, doğrulanabilir ve yıllara yayılmış. Warrant canary ciddi bir taahhüttür, adli bir emsal değildir.

Uygulama bugün yalnızca Android‘de var. iOS, Linux, macOS ve Windows sürümleri duyuruldu, mevcut değil. iPhone kullanıcılarıyla yazışanlar için bu, anında bir engeldir ve etrafından dolaşmanın yolu yoktur.

Ağ nihayet genç ve küçük. Kullanıcı sayısı güvenliği yapmaz, ama muhataplarınızın erişilebilirliğini yapar ve bu, yukarıda bizzat savunduğumuz meşru bir ölçüttür.

Kimin için yapılmış. Günlük kullanımdan vazgeçmeden tanımlayıcısız bir mimari isteyen ve finansmanı kesilebilecek bir topluluk projesi yerine tanımlanabilir bir ticari tüzel kişiliği tercih edenler için. Savunduğumuz konum «en mahrem olan» değil; daha dar ve daha dürüst: tanımlayıcısız mimariler arasında en kullanılabilir olan, eşler arası mimarilerin sunmadığı eşzamansız bir modelle, bir ekosistem ve ticari destekle.

Briar

Briar bu listedeki muhtemelen en ödünsüz proje. Hiç sunucu yok: mesajlar Tor üzerinden doğrudan bir cihazdan diğerine geçiyor, bağlantı yoksa yakındaki cihazlar arasında Wi-Fi ya da Bluetooth ile.

Gerçekten neyi koruyor. Altyapıya bağlı olan her şeyi, çünkü altyapı yok. El konulacak bir şey yok, talep edilecek bir şey yok, zorlanacak bir işletmeci yok. Çevrim dışı örgü modu internet kesintisinde gerçekten çalışıyor; bu da Briar’ı elektrik kesintileri ve gösteriler için referans araç yapıyor. Kod Mart 2017’de Cure53 tarafından denetlendi, on iki sorun saptandı ve giderildi. Proje özgürdür ve tasarımı otorite kabul edilir. Açık bırakılmış yedek bir Android cihaza kurulan ayrı bir uygulama olan Briar Mailbox, ana telefon çevrim dışıyken mesaj almayı sağlıyor; bu da eşler arası modelin başlıca sınırına kısmen yanıt veriyor.

Neyi korumuyor. Kullanım konforunu, ve artık projenin gidişatını. Pil tüketimi yüksek, Android’de arka planda çalışma düzensiz, hesap yedeği ve ekler eksik, kişi eklemek zahmetli. iOS sürümü yok. Masaüstü sürümü beta aşamasında; sonuncusu 20 Şubat 2026’da yayımlanan 0.6.5-beta. Ve her şeyden önce 9 Temmuz 2026 duyurusu projeyi bakım moduna alıyor: güvenlik ve hata düzeltmeleri, işlev geliştirmesi yok. Proje, tümüyle kapanma söylentilerinin geçersiz olduğunu belirtiyor, ama iddia açıkça askıya alınmış durumda.

Kimin için yapılmış. İnternet kesintisi bölgesi, bir gösteri, bir sansür ortamı ya da tümüyle altyapısız olmak karşılığında kısıtı kabul eden küçük bir grup için.

Cwtch

Cwtch, Vancouver merkezli Kanadalı kâr amacı gütmeyen bir dernek olan Open Privacy Research Society tarafından geliştiriliyor. Proje açıkça meta verilere dayanıklı grup mesajlaşmasını hedefliyor.

Gerçekten neyi koruyor. Meta verileri, grup içinde de, ki zor olan sorun budur. Bağlantılar Tor v3 onion hizmetlerinden geçiyor ve grup konuşmalarını aktaran sunucular ilkesel olarak güvenilmez kabul edilecek biçimde tasarlanmış: hiçbir şey öğrenmemeleri gerekiyor. Eylül 2023’te yayımlanan 1.13 sürümü uzun alfa ve beta evresinin sonunu işaretledi ve proje 1.15’e kadar sürdü.

Neyi korumuyor. Kalıcılığı, bir kez daha. Kuruluş esas olarak bireysel bağışlarla yaşıyor ve bunu birçok kez kamuoyuna yineledi. iOS sürümü yok. Geliştirme temposu küçük bir ekibin temposu ve kullanıcı ekosistemi çok dar. SimpleX ya da Briar denetimlerine denk yayımlanmış bir dış denetim bulamadık.

Kimin için yapılmış. Meta verilere dayanıklı toplu konuşmalara ihtiyaç duyan ve üyeleri teknik olarak rahat olan bir eylemci ya da araştırma grubu için.

2026 yakınsaması: mesajlaşma uygulaması cüzdana dönüşüyor

İşte bu yılın en ilginç gözlemi ve bildiğimiz kadarıyla kimse bunu henüz böyle formüle etmedi.

2026 yılında, birbirleriyle bağlantısı olmayan üç ekibin geliştirdiği üç farklı protokolün üç çatallanması aynı anda aynı sezgiyi yaşadı: şifreli bir mesajlaşma uygulamasına saklamasız bir cüzdan eklemek. Radar, Lightning üzerinde Bitcoin ile Signal’in bir çatallanması. Zerion, Bitcoin ve Monero ile Briar’dan türemiş bir uygulama. Arpokrat Messenger, çok zincirli bir cüzdan ve bir takas toplayıcısıyla SimpleX’in bir çatallanması.

Üç zıt teknik temel, aynı sonuç. Bu rastlantı değil, ayrı ayrı ele alınan iki ihtiyacın birleştiğinin işareti. Para göndermek ve mesaj göndermek aynı sorunu ortaya koyar: iki ucu birden bilen bir aracı. Mesajlar için kurulan yanıt, içeriğin şifrelenmesi ve meta verilerin en aza indirilmesi, tam da kripto para kullanıcılarının aradığı yanıttır. Ve mesajlaşma uygulaması, alıcınızı zaten bildiğiniz tek yerdir.

Yine de üç yaklaşım çok farklı ve karşılaştırma öğretici.

Radar

Radar 7 Temmuz 2026’da Cake Wallet ekibi tarafından, kurucusu Vikrant Sharma’nın yönettiği ayrı bir tüzel kişilik olan Radar Chat, Inc. altında piyasaya sürüldü. Signal’in bir çatallanması; ücretsiz, açık kaynak, iOS ve Android’de mevcut. Cüzdan saklamasız, on iki kelimelik bir kurtarma tümcesi ve şifreli yedeklerle. Ödeme katmanı bir açıklamayı hak ediyor, çünkü kaynaklar aynı şeyi söylemiyor. Radar’ın sitesi Lightning ağına dayanan bir Bitcoin cüzdanı tarif ediyor, her hesaba bir Lightning adresi atıyor ve başka bir şeyden söz etmiyor. Buna karşılık Temmuz 2026’da çıkan birkaç yazı, alttaki mekanizmanın Breez SDK aracılığıyla entegre edilen 2. katman Bitcoin ağı Spark’a dayandığını, iki Radar kullanıcısı arasındaki bir transferin o zaman Spark’tan Spark’a saniyenin altında sonuçlandığını belirtiyor. İki anlatı birbirini dışlamıyor, çünkü Breez’in belgeleri Spark ile Lightning’i birlikte destekleyen, Lightning adresleri ve bolt11 faturaları dahil bir SDK tarif ediyor. Geliştiricinin kendisinden kamuya açık bir doğrulama olmadığından, kendi sitesinde doğrulanabilir olana bağlı kalıyoruz: Lightning ağıyla erişilebilen saklamasız Bitcoin ödemeleri.

En dikkat çekici tercih başka yerde. Radar ayrı bir ağ değil: ona mevcut Signal hesabınızla bağlanıyorsunuz ve kişiler, konuşmalar, gruplar ve kullanıcı adı sizinle geliyor. Bu Radar’ın rekabet üstünlüğü ve aynı zamanda başlıca açık sorusu.

Bu birlikte çalışabilirlik, Radar’ın Signal modelini bütünüyle devraldığı anlamına geliyor: telefon numarası tanımlayıcı olmayı sürdürüyor, Signal PIN kodu hesap kurtarmayı ve dolayısıyla varsayılan olarak Radar’ın Signal hesabına şifrelediği cüzdan anahtarlarına erişimi yönetiyor, ve kullanılan altyapı Amerikan yargı yetkisi altındaki Signal Foundation’ın altyapısı.

Ardından bu kurgunun kalıcılığı sorusunu, bir olgu gibi ileri sürmeden sormak gerekiyor. Signal tarihsel olarak üçüncü taraf istemcilerin sunucularını kullanmasını reddetti: 2016’da LibreSignal projesi, Moxie Marlinspike’ın Signal’in ne adının ne de sunucularının bir çatallanma tarafından kullanılmasını istemediğini bildirmesinin ardından terk edildi; ayrıca gelecekteki her türlü federasyonu dışladı. Vakıf, bir üçüncü taraf istemciyi imzasıyla engelleme teknik yetisini koruyor. Bugüne dek bunu yapmadı ve Molly ağı yıllardır olaysız kullanıyor; Radar ekibi bu emsale açıkça dayanıyor. Radar ayrıca Signal Foundation’a aylık bir katkı ödüyor ve büyüdükçe bunu artırmayı öngörüyor. Dolayısıyla hiçbir şey Radar’ın engelleneceğine işaret etmiyor. Ama ağa erişimi bir üçüncü tarafın süregelen hoşgörüsüne bağlı olan bir ürün, ne SimpleX’in ne de Briar’ın taşıdığı yapısal bir risk taşır ve kullanıcı oraya para koymadan önce bunu bilmeyi hak eder.

Zerion

Zerion, Bramble taşıma protokolü üzerine kurulmuş, GPL v3 altında yayımlanmış, Briar’dan türemiş bir uygulama; proje Briar projesiyle ne bağlantılı ne de onun onayına sahip olduğunu açıkça belirtiyor. Yalnızca Android’de var.

Hakkını vermek gerek, çünkü birkaç şeyi dikkat çekici biçimde iyi yapıyor. Tüm trafik istisnasız Tor’dan geçiyor: cihazınız üç sıçramalı bir devre kuruyor, muhatabınızınki bir başkasını kuruyor ve ikisi bir buluşma aktarıcısında karşılaşıyor, yani toplam altı sıçrama ve hiçbir IP adresi ifşası yok. Her mesaj ML-KEM-768 tabanlı kuantum sonrası bir anahtar değişimiyle korunuyor. 3.0 sürümü, bireysel ve grup mesajlarını komşu telefonlar üzerinden aktaran, her aktarıcının yalnızca şifreli malzeme taşıdığı Bluetooth tabanlı bir çevrim dışı örgü ile isteğe bağlı bir I2P taşımasını ekledi. Sertleştirilmiş bir mod, ele geçirilmiş bir cihazda, hata ayıklayıcı altında ya da kanca çerçeveleriyle başlamayı reddediyor. 3.0.4 sürümünden beri şifreli bir kasa, anahtarları cihazda üretilen ve kendi parolasıyla korunan saklamasız Bitcoin ve Monero cüzdanları barındırabiliyor; dondurulmuş kaynaklardan yeniden üretilebilir derlemeler ve yayımlanmış parmak izleriyle.

Sınır yapısaldır ve proje bunu gizlemiyor: belgeleri, bir mesajın ancak iki cihaz da çevrim içi ve Tor’a bağlıyken teslim edildiğini ve bu arada hiçbir sunucunun onu uzun çevrim dışı dönemler boyunca saklamadığını açıkça yazıyor. Başka bir deyişle Briar Mailbox’ın bir dengi yok. Belirleyici teknik nokta budur ve eşler arası modeli, kör bir aktarıcının şifreli mesajı alıcı gelip alana dek sakladığı store and forward modelinden ayıran da budur. Aynı anda bağlı olmayan iki kişi arasındaki sıradan bir yazışma için fark kuramsal değildir, kullanımı belirler.

İkinci bir soru açık kalıyor ve bunu soru olarak formüle ediyoruz, çünkü kamuya açık hiçbir ölçüm bulamadık: altı Tor sıçramalı bir mimaride eşler arası sesli ve görüntülü aramaların gerçek niteliği nedir? Duyurulan teknik tercihler ciddi, Opus, H.264, AES-256-GCM şifreleme ve doldurulmuş çerçeveler, ve aramalar varsayılan olarak kapalı. Ama Tor düşük gecikme için tasarlanmadı ve yayımlanmış ölçümler yokluğunda ne geliştirici ne de biz deneyimin klasik bir aramayla karşılaştırılabilir olduğunu ileri sürebiliriz.

Son olarak Zerion için yayımlanmış bağımsız bir denetim bulamadık.

Karşılaştırıldığında üç yaklaşım üç net ödünleşim çiziyor. Radar, bir üçüncü tarafa bağımlılık ve telefon numarasının korunması pahasına anında yaygınlaşmayı seçiyor. Zerion, teslim edilebilirlik ve iPhone’da bulunabilirlik pahasına azami ağ direncini seçiyor. Arpokrat, henüz var olmayan bir geçmiş ve denetim pahasına eşzamansız modeli ve yargısal dağılımı seçiyor. Bu üç ödünleşimden hiçbiri saçma değil ve hiçbiri bedava değil.

Özet tablo

Uygulama	İstenen tanımlayıcı	Yargı yetkisi ve barındırma	Sunucu tarafı meta veriler	Yayımlanmış dış denetim	Çevrim dışı teslim	Kod
WhatsApp	Telefon numarası	Amerika Birleşik Devletleri (Meta), CLOUD Act	Geniş, kişi grafiği mahkeme kararıyla teslim edilebilir	Hizmet için hayır	Evet	Kapalı istemci
Telegram	Telefon numarası	Britanya Virjin Adaları, yönetim Dubai’de	Geniş, bulut sohbetleri geliştirici tarafından okunabilir	Hayır	Evet	Açık istemci, kapalı sunucu
Signal	Telefon numarası	Amerika Birleşik Devletleri, CLOUD Act	İki zaman damgası, kamuya açık adli geçmiş	Protokol biçimsel olarak incelendi	Evet	Açık
Molly	Numara (Signal hesabı)	Signal sunucuları, Amerika Birleşik Devletleri	Signal ile aynı	Signal’den devralındı	Evet	Açık
Session	Yok, rastgele tanımlayıcı	İsviçre, merkeziyetsiz düğüm ağı	Asgari, bugüne dek ileriye dönük gizlilik yok	Evet, Quarkslab	Evet	Açık
Threema	Yok, Threema ID	İsviçre, sunucular Zürih’te	Asgari	Evet, Cure53 ve Zürih ETH	Evet	Açık, ücretli
Wire	E-posta ya da numara	İsviçre ve Almanya, Delaware’de Amerikan tüzel kişilik	Açık halde saklanıyor	Evet, Kudelski ve X41	Evet	Açık
Element / Matrix	Sunucuya göre, çoğunlukla e-posta	Barındırıcınızınki	Sunucuya görünür, oda durumu açık halde	Protokol üzerine denetimler yayımlandı	Evet	Açık
SimpleX Chat	Yok, tanımlayıcısız	Birleşik Krallık, varsayılan aktarıcılar Linode ve Akamai’de	Tek bir aktarıcıyla ilişkilendirme olanaksız	Evet, iki Trail of Bits denetimi	Evet	Açık
Arpokrat Messenger	Yok, tanımlayıcısız	İsviçre (Zug), beş Amerikan olmayan yargı bölgesinde aktarıcılar	Kör aktarıcılar, yalnızca çalışma belleği	Bugüne dek hayır	Evet	Açık, AGPLv3
Briar	Yok, tanımlayıcısız	Yok, sunucu yok	Yok, el konulacak bir şey yok	Evet, 2017’de Cure53	Briar Mailbox aracılığıyla	Açık
Cwtch	Yok, tanımlayıcısız	Dernek için Kanada, sunucular tasarımı gereği güvenilmez	Grup meta verilerine dayanıklılık	Saptanmadı	Kısmi	Açık
Radar	Numara (Signal hesabı)	Signal sunucuları, Amerika Birleşik Devletleri	Signal ile aynı	Saptanmadı	Evet	Açık
Zerion	Yok, tanımlayıcısız	Yok, sunucu yok	Yok, her şey Tor’dan geçiyor	Saptanmadı	Hayır, iki cihaz da çevrim içi olmalı	Açık, GPL v3

Hangi profil için hangi uygulama

Kazanan yok, durumlar var.

Aile ve yakınlar için. Signal, tereddütsüz. Ciddi bir korumayı, muhataplarınızın onu kurma ihtimalinin gerçekliğiyle birleştiren tek seçenek. Telefon numarası sizi rahatsız ediyorsa, bildirmemek için bir kullanıcı adı etkinleştirin. Yakınlarınız kesinlikle yerinden kıpırdamıyorsa, hiç değilse WhatsApp’ta uçtan uca şifreli yedekleri açın: aynı koruma değil, ama gerçek ve ücretsiz bir ilerleme.

Kaynakları olan bir gazeteci için. Sorun içerik değil, bağdır. Tanımlayıcısız bir mimari burada tek tutarlı yanıttır: SimpleX Chat ya da Arpokrat Messenger, Tor etkin ve her kaynak için ayrı profil ile. Kaynağınız zaten Signal kullanıyor ve başka bir şey kurmayı reddediyorsa, hiç yoktan Signal kullanın; sizi tanımlamayan ayrı bir numarayla ve el koyma durumunda cihazın kendisini korumak için Android’de Molly ile.

Bir yönetici ya da hukuk danışmanı için. Belirleyici ölçüt anonimlik değil yargı yetkisidir. Bir büro ya da küçük bir yapı için Threema, net faturalama ve İsviçre sunucularıyla. Teknik ekibi olan ve altyapısı üzerinde egemenlik isteyen bir kuruluş için kendi barındırdığı Element; sunucu yöneticisinin meta verileri gördüğü akılda tutularak. Ticari bir iş birliği ürünü isteyen bir kuruluş için Wire, ortaklık yapısı incelendikten sonra.

İnternet kesintisi ya da sansür bölgesi için. Briar, çünkü Bluetooth ve Wi-Fi örgü modu hiçbir altyapı olmadan çalışıyor, ve aynı nedenlerle daha yeni bir çevrim dışı örgüye sahip Zerion. Düşman ağın kendisi olduğunda gerçek olan tek iki yanıt bunlar. Yazışmanız uzun çevrim dışı dönemleri atlatmak zorundaysa Briar Mailbox’ı öngörün.

Günlük olarak kriptoyla uğraşanlar için. 2026 yakınsamasının bir şey değiştirdiği tek profil bu. Kullanımınız Bitcoin ise ve çevreniz zaten Signal’deyse, Signal altyapısına bağımlılığı ve telefon numarasını kabul ederek Radar. Azami ağ direnciyle Bitcoin ve Monero istiyorsanız ve muhataplarınız Android’de ve sık çevrim içiyse Zerion. Birden çok zincir, eşzamansız erişilebilirlik ve takas sağlayıcılarını KYC istekleri açısından karşılaştırma olanağı istiyorsanız Arpokrat Messenger.

Kullanımdan ödün vermeden azamiyi isteyenler için. Böyle bir kategori yok ve bu karşılaştırmanın dürüst sonucu da bu. Kuramsal azami Briar ya da Zerion’dur ve bunun bedeli teslim edilebilirlik, pil ve iPhone’un yokluğudur. Muhataplarınız Android’deyse bugün en elverişli ödünleşim, Tor etkinleştirilmiş halde store and forward modunda tanımlayıcısız bir mimaridir: SimpleX Chat ya da Arpokrat Messenger. iPhone kullanıcılarını da kapsamanız gerekiyorsa, bu ailede iki platformu birden kapsayan tek uygulama bugün SimpleX Chat’tir. Android’de mevcut olan Arpokrat Messenger, iOS ve masaüstü platformlar için geliştirilme aşamasında, duyurulmuş bir çıkış tarihi olmadan.

Arpokrat olarak neyi seçtik ve neden

Bu bölüm bir savunma metni değil, ödünleşimlerin bir açıklaması; yapmadıklarımız da dahil.

Bir protokol yazmak yerine SimpleX’ten yola çıktık. Neden basit: güvenli bir mesajlaşma protokolünün değeri ancak incelenmiş olduğunda ortaya çıkar ve yeni bir protokolün tanımı gereği arkasında hiçbir inceleme yoktur. SimpleX’in kamuya açık bir şartnamesi, kamuya açık kodu ve iki Trail of Bits denetimi var. Kendi kriptografimizi icat etmek bize daha iyi bir pazarlama sayfası ve daha kötü bir mesajlaşma uygulaması kazandırırdı.

Eşler arası yerine store and forward modelini seçtik. Bu, kuramsal azamiye karşı açık bir ödünleşimdir. Şifreli bir mesajı alınana dek saklayan kör bir aktarıcı, bir altyapı parçası daha, dolayısıyla bir yüzey daha demektir. Karşılığında bir mesaj siz yazdığınızda yola çıkar ve muhatabınız bağlandığında ulaşır ki bu, normal bir yazışmanın koşuludur. Bu yazının başında savunduğumuz kullanışlılık ölçütü bir söz süsü değil: onu kendimize uyguladık.

Aktarıcıları Amerika Birleşik Devletleri dışında beş yargı bölgesine dağıttık ve Amerikan hiperölçekleyicileri dışladık; poz olsun diye değil, CLOUD Act Amerikan bir sağlayıcıyı denetimindeki veriler konusunda zorlayarak işlediği için. Diske hiçbir şey yazmayan kör bir aktarıcının teslim edecek pek bir şeyi yoktur; hiçbir Amerikan emrinin ulaşamadığı kör bir aktarıcının daha da azı vardır. İki önlem birbirine eklenir, hiçbiri diğerinin yerini almaz.

Bir cüzdan ve bir takas toplayıcı ekledik, çünkü bir aracının muhataplarını bilmesini istemeyen aynı kişi genellikle bir aracının işlemlerini bilmesini de istemez. Takas sağlayıcılarının kimlik doğrulama isteğine göre A’dan D’ye puanlanması aynı mantıktan geliyor: kullanıcının yerine hangi mahremiyet düzeyini satın almak istediğine biz karar vermiyoruz, ona tartıp karar vermesi için bilgiyi veriyoruz.

Henüz yapmadıklarımız nihayet aynı bölümde söylenmeyi hak ediyor. Kendi adımıza yayımlanmış bağımsız bir denetimimiz yok. Yayımlanmış adli talep geçmişimiz yok, yalnızca bir warrant canary var. Henüz iOS’ta değiliz. Bu üç eksik gerçektir, yukarıdaki künyemizde belgelenmiştir ve hiçbiri bir basın bülteniyle kapanmaz.

Sonuç

Doğru soru «en iyi mesajlaşma uygulaması hangisi» değil. Yanıtı yok, çünkü yanlış kurulmuş. Doğru soru şu: kime karşı korunuyorsunuz?

İlgi alanlarınızın profilini çıkarmak isteyen bir reklamcıya karşı bu karşılaştırmadaki hemen hemen bütün uygulamalar iş görür. Telefonunuza erişimi olan şiddet uygulayan bir eşe karşı mesele yerel kilit ve bellek silmedir ve Molly, Threema’dan daha iyi yanıt verir. Ülkenizdeki bir adli talebe karşı mesele yargı yetkisi ve hizmetin neyi elinde tuttuğudur. Biriyle konuştuğunuzu saptamaya çalışan bir düşmana karşı tek yanıt, bu bilgiyi hiç üretmeyen bir mimaridir. Ve ağı kesebilen bir düşmana karşı tek yanıt, ona bağımlı olmamaktır.

Hiçbir uygulama bu tehditlerin hepsine birden yanıt vermez ve verdiğini ileri sürenler ilk olarak sizin güvensizliğinizi hak eder. 2026’nın gösterdiği şey, şifrelemenin artık kolay kısım olduğudur. Zor kalan meta veriler, yargı yetkisi ve bir projenin iki yıl sonra da var olabilme yetisidir. Session yok olmaya birkaç hafta kaldı, Briar hedeflerini kıstı ve bu iki olay sektörün gerçek durumu hakkında herhangi bir kriptografik ilkel karşılaştırmasından daha çok şey söylüyor.

O halde bir sıralamaya göre değil, düşmanınıza göre seçin. Ve aklınızda tutun: dünyanın en iyi aracı, muhatabınız onu kurmak istemediği için konuşma başka yerde bitiyorsa hiçbir işe yaramaz.

Kaynaklar

SignalTrace: Avrupa kendine izin vermediği gözetimi ihraç ediyor

Tue, 01 Sep 2026 00:00:00 +0000

Gri bir sedan, saatte 110 kilometreyle bir otoyol portalının altından geçiyor. Direğe sabitlenmiş kamera plakayı okuyor, zaman damgası vuruyor, kaydediyor. Yeni bir şey yok: bu düzenek yirmi yıldır var, Kuzey Amerika’da da Avrupa’da da on binlerce adet kurulu.

Ama o portal, İtalyan Leonardo grubunun haziran 2026’dan beri sattığı modülü aldıysa, az önce başka bir şey daha kaydetti. Sürücünün iPhone’unu. Yolcunun kablosuz kulaklıklarını. Torpido üstündeki akıllı saati. Oto teybini. Torpido gözündeki bağlantılı anahtarlığı. Dört lastiğin basınç sensörlerini. Bir cekette unutulmuş giriş kartını. Ve arkada bir köpek uyuyorsa, onun kimlik çipini.

Bir düzine kimlik, bir plaka, bir konum, bir saat. Bunu ağdaki her portalda yineleyin; artık bir arabayı izlemiyorsunuz: insanları izliyorsunuz ve kiminle birlikte yol aldıklarını biliyorsunuz.

Cihazın gerçekte yaptığı şey

Ürünün adı SignalTrace. Leonardo US Cyber and Security Solutions tarafından satılıyor ve Amerikan pazarındaki en yaygın otomatik plaka okuyucu hatlarından biri olan ELSAG serisini tamamlıyor. Varlığı, üreticinin bir ürün föyünden yola çıkarak 8 Haziran 2026’da Joseph Cox tarafından 404 Media‘da ortaya çıkarıldı.

Belirleyici nokta tek cümleye sığıyor: söz konusu olan yeni kameralar değil. SignalTrace, hâlihazırda kurulu plaka okuyuculara eklenen bir radyo sensörü. Direk değişmiyor, konum değişmiyor, yol kenarındaki donanımın silueti değişmiyor. Değişen şey, donanımın neyi dinlediği.

Sensör, araçtaki cihazların Bluetooth, Wi-Fi ve RFID protokollerince açık biçimde yayılan kimlikleri kaydediyor. Sıkça yanlış anlaşılan teknik nokta: hiçbir cihaz hacklenmiyor ve hiçbir açık sömürülmüyor. Bir Bluetooth ya da Wi-Fi cihazı sürekli keşif çerçeveleri yayar, çünkü bu protokoller böyle tasarlanmıştır. Kulaklıklarınız telefonunuz tarafından bulunabilmek için varlıklarını duyurur, telefon da bildiği ağları aramak için çevredeki havayı yoklar. Bu yayınlar yapısı gereği kamuya açıktır ve menzildeki her alıcı onları duyar.

Leonardo zaten sistemin plaka okuyucuyla ya da onsuz, kapalı mekânlar dâhil çalıştığını ve plakası kapatılmış ya da sökülmüş bir aracı tanıdığını belirtiyor.

Asıl siyasi mesele, mevcut donanımın güncellenmesi. Yeni bir kamera ağı kurmak bir oylamayı, bir müzakereyi, kimi zaman bir davayı tetikler. Zaten onaylanmış bir kutunun içine bir elektronik kart eklemek hiçbir şeyi tetiklemez. Gözetim kapasitesi kamusal tartışma olmadan nitelik değiştirir, çünkü maddi olarak görülecek yeni bir şey yoktur.

Araçtan kişiye, kişiden gruba

Bir plaka okuyucu tek bir soruya yanıt verir: bu araç neredeydi. SignalTrace iki soru daha ekler: içinde kim vardı ve kiminle.

Leonardo bunu gizlemiyor, satış argümanı bu. Sistem, belgelerin elektronik parmak izi dediği şeyi oluşturuyor: «sık sık birlikte yayılan» kimliklerden oluşan bir küme. Üreticinin örneği açık: koca bir şehirde yalnızca tek bir araç bir iPhone 13rev2’yi, bir Audi oto teybini, bir Bose kulaklığı, bir Garmin saati, bir anahtar bulucuyu ve ABC-1234 plakasını bir arada barındıracaktır.

Ürün araçları izlemekle yetinmiyor. Kimsenin en ufak bir şüpheyi dile getirmesine gerek kalmadan, kişiler arasında otomatik olarak bir ilişki grafiği üretiyor.

Nitel sıçrama burada gerçekleşiyor. Düzenli olarak birlikte seyahat eden cihazları ilişkilendiren sistem, mekanik biçimde bir toplumsal grafik kuruyor. Her sabah aynı arabada buluşan iki telefon bir araç paylaşımıdır ya da iki tarafın da kamuya açmak istemediği bir ilişkidir. Aynı yerde aynı saatte yakalanan elli cihaz bir toplanmadır: bir gösteri, bir ayin, bir sendika toplantısı ya da bir kliniğin önündeki kuyruk.

Bu sonuçların hiçbiri bir iletişimin içeriğine erişmeyi gerektirmez. Bir yakınlık tablosundan çıkarılır, varsayılan olarak, belirlenmiş hedefler üzerinde değil, dolaşımdaki tüm nüfus üzerinde. Bu, her türlü soruşturmadan önce, sınai ölçekte üretilen bir çağrışım yoluyla suçluluktur. Center for Democracy & Technology hukukçusu Tom Bowman, sorunu TechNewsWorld sayfalarında özetliyor: aracı gerçek bir şüpheliyi izlemek için yararlı kılan şey, onu diğer tüm sürücüleri izlemeye de aynı ölçüde muktedir kılıyor; oysa bu sürücülerin hiçbiri cihazlarının kaydedilmesine rıza göstermedi.

Leonardo iki argüman öne sürüyor: sistem iletişimlerin içeriğini ne deşifre ediyor ne de okuyor, ve kişileri kendiliğinden tanımlamıyor. Her iki ifade de doğru ve her ikisi de konunun dışında. Aranan istihbarat hiçbir zaman içerik olmadı, konum üstverisinde yatıyor, ki bu bir mesajdan daha çok şey ele verir. Tanımlamaya gelince, üreticinin kendisi bir soruşturmacının bir elektronik imzayı bir plakayla ilişkilendirebileceğini, ardından tescil kayıtları üzerinden ruhsat sahibine ulaşabileceğini kabul ediyor.

Başka bir şey için yazılmış bir Amerikan hukuku

Amerika Birleşik Devletleri’nde plaka okuyucuları düzenleyen eyalet yasaları mevcut ve bazıları saklama süreleri ile erişim amaçları konusunda titiz. Ama hepsi tek bir kesin nesne etrafında kaleme alındı: bir plakanın görüntüsü. Hiçbiri aynı donanımın kişisel cihaz kimliklerini yakalamasını öngörmüyor.

Bu kayma bir yasadışılık yaratmıyor, satıcı için daha elverişli bir gri alan yaratıyor. Bir polis teşkilatı, yalan söylemeden, plaka okuyucu programının izinli ve uyumlu olduğunu savunabilir; bu arada aynı rejim altında tümüyle farklı nitelikte veriler toplamaya başlamıştır. Leonardo ayrıca Special Operations Command ve General Services Administration nezdinde federal sözleşmelere sahip, yani yerel onayları büyük ölçüde atlayan bir satın alma yoluna.

Anayasal tartışmaya gelince, o da yeni kımıldadı ve burada kesin olmak gerekiyor, çünkü hukukun durumu bu yaz değişti. Ocak 2026’da Virginia’daki bir federal mahkeme, Schmidt v. City of Norfolk davasında, şehrin Flock kamera ağının sakinlerin tüm hareketlerini kapsamadığı gerekçesiyle dördüncü ek madde anlamında bir arama teşkil etmediğine hükmetti. Karar, ACLU’nun müdahil olduğu Dördüncü Daire önünde temyizde.

Ardından, 29 Haziran 2026’da Yüksek Mahkeme Chatrie v. United States kararını verdi. Yargıç Kagan’ın kaleminden, beşe karşı dört oyla, polisin bir telefonun konum verilerini elde etmesinin bir arama teşkil ettiğine hükmetti; kişi, veriler bir üçüncü tarafın elinde olsa ve kısa bir süreye ilişkin olsa bile bu veriler üzerinde makul bir mahremiyet beklentisini korur. Karar, 2018 tarihli Carpenter v. United States‘i sürdürüyor ve CDT’nin de belirttiği gibi üçüncü taraf doktrinini zayıflatıyor.

Chatrie’nin SignalTrace üzerindeki tam kapsamı belirlenmiş değil ve aksini iddia etmek tedbirsizlik olur: karar Google’dan talep edilen verilere ilişkin, kamusal alanda bir polis sensörünün doğrudan yakalamasına değil. Ama önemli olan akıl yürütmeyi yerleştiriyor: bir konum verisinin hassasiyeti onu kimin elinde tuttuğuna bağlı değildir.

Asıl mesele olan Avrupa meselesi

İşte dosyanın Avrupa için rahatsız edici hâle geldiği yer. Leonardo bir Amerikan tedarikçisi değil, Milano’da işlem gören ve ilk hissedarı yaklaşık %30 sermaye payıyla İtalyan Ekonomi ve Maliye Bakanlığı olan, yönetim kurulunun çoğunluğunu atama yetkisine sahip bir İtalyan grubu. İtalyan devleti bu üründe pasif bir hissedar değil.

Önce teknik nokta

Avrupa hukukunda bir cihaz kimliği kişisel veridir. Bu bir öğreti görüşü değil, otoritelerin istikrarlı tutumudur. CNIL, ziyaretçi yoğunluğu ölçüm sistemleri hakkındaki öğretisinde MAC adresini açıkça böyle ele alıyor ve kamusal alanda toplanmasına ancak dar koşullarda izin veriyor: bireyler arasında yüksek çakışma oranıyla birkaç dakika içinde anonimleştirme ya da güvenilir bir takma adlaştırmanın ardından yirmi dört saat içinde imha; aksi hâlde rıza zorunlu hâle geliyor. Aynı öğreti, insanları Wi-Fi’larını kapatmaya davet etmenin kabul edilebilir bir itiraz yöntemi olmadığını belirtiyor.

Avrupa Birliği Adalet Divanı, 4 Eylül 2025’te EDPS / SRB (C-413/23 P) davasında, takma adlaştırılmış bir verinin kişisel niteliğinin makul biçimde seferber edilebilecek yeniden tanımlama araçları ışığında değerlendirileceğini belirtti. Oysa burada veriyi elinde tutan, tescil kayıtlarına sahip bir polis otoritesidir. Yeniden tanımlama araçları varsayımsal değil, yan odadadır.

Her şeyi değiştiren nüans

SignalTrace’in «Avrupa’da yasadışı olacağını» yazmak yanlış olurdu ve hukukçu bir okur bunu hemen fark ederdi. Yetkili bir otorite tarafından suçun önlenmesi ve kovuşturulması amacıyla yürütülen bir işleme GDPR kapsamına girmez. Polis-Adalet Direktifi denen ve her üye devlet tarafından ayrı ayrı iç hukuka aktarılan, Fransa’da Bilişim ve Özgürlükler Kanunu’nun III. başlığında yer alan (AB) 2016/680 sayılı direktif kapsamına girer. CNIL, bu rejimin kendi hukukilik temelleri ve kendi haklarıyla özerk olduğunu hatırlatıyor.

Dolayısıyla doğru soru soyut yasallık sorusu değil, koşullar sorusudur. Bu rejim altında böyle bir düzenek açık bir ulusal yasal dayanağı, belirlenmiş amaçları, kanıtlanmış bir gerekliliği, sınırlandırılmış bir saklama süresini, bir etki değerlendirmesini ve bağımsız bir denetimi gerektirirdi. Fransa’da plaka okuyucular böyle düzenlenmiştir: İç Güvenlik Kanunu’nun L233-1 ve L233-1-1 maddeleri kullanımlarına imkân veren sınırlı bir suç listesi belirler ve saklama süresi Birlik’teki en kısalardan biri olmayı sürdürür, ilke olarak on beş gün, her ne kadar bir Senato kanun teklifi bunu uzatmaya çalışsa da.

Amerikan durumuyla temel fark budur. Amerika Birleşik Devletleri’nde yasa bir nesneyi, plakayı düzenler ve cihaz kimlikleri konusundaki sessizlik izin anlamına gelir. Avrupa’da yasa amaçları ve veri kategorilerini düzenler ve bu sessizlik, açık bir yasal dayanağın yokluğunda daha çok yasak anlamına gelir. Atlantik’in ötesinde saptanan boşluk burada aynı biçimde yoktur. Avrupa daha erdemli olduğu için değil: hukuk tekniği terstir.

Peki koruma ne işe yarar

Geriye bu yazının konusu olan soru kalıyor. Bir üye devletin denetimindeki bir Avrupa şirketi, kendi ülkesinde yeni bir yasa olmadan konuşlandıramayacağı bir kapasiteyi Avrupa dışına satarken, Avrupa’nın düzenleyici koruması ne işe yarar?

İtirazlar ciddiye alınmayı hak ediyor. Bir sanayici müşterisinin hukuki çerçevesinden sorumlu değildir: kendi ülkelerinde neye izin verdiklerine Amerikan makamları karar verir. Ürün bir diktatörlüğe değil, Chatrie’nin az önce hatırlattığı gibi etkin bir yüksek mahkemeye sahip bir hukuk devletine satılıyor. Ve sınai egemenlik argümanı meşrudur: Avrupalı gruplar bu pazarları kendilerine yasaklarsa, pazarları İsrailli, Amerikalı ya da Çinli tedarikçiler alır, gözetim bir metre bile gerilemez ve Avrupa bu arada teknolojik tabanını yitirir.

Bu argümanlar kabul edilebilir. Sorunu yanıtlamıyorlar.

Öncelikle, Birlik gözetim araçlarının ihracatının sıradan bir ticaret olmadığını zaten kabul etmiştir. Çift kullanımlı ürünlere ilişkin (AB) 2021/821 sayılı tüzük, 5. maddesinde siber gözetim ürünlerini hedefleyen kapsayıcı bir hüküm getirdi; çünkü yasa koyucu, üretmesi yasal olan bir aracın varış yerinde gayrimeşru olabileceğini kabul etti. Sınırı öğreticidir: iç baskı ya da ağır insan hakları ihlalleri riskinde devreye girer, yani otoriter rejimler için düşünülmüş kategorilerde. Bir Amerikan belediye polisine satış bunlara girmez. Avrupa ızgarası müşterinin ahlakını inceler, satılan kapasitenin niteliğini asla.

Sonra, böyle bir ürün elden çıkarılacak bir stok değil, sürdürülen bir kapasitedir: araştırmayı finanse eder, mühendis yetiştirir, teknik birikim biriktirir ve kurulu bir taban yaratır. Büyük bir saldırının bir üye devleti bu kapasiteyi talep etmeye ittiği gün, tartışma artık onu inşa etmenin yerindeliği üzerine olmayacaktır. Kapasite var olacak, Avrupalı olacak, olgun olacak ve tedarikçisi kısmen kamusal olacaktır. «Yalnızca pazarı izliyoruz» argümanı o zaman döngüsel hâle gelir, çünkü iç pazar ihracat tarafından hazırlanmış olacaktır.

Bu senaryoda düzenleyici korumanın değeri işte budur: Avrupalıları kullanımlara karşı korur, araçların varlığına karşı değil. Düğmeye basma hakkının kimde olduğu sorusunu çözer ve onu inşa etmeyi, satmayı, geliştirmeyi, sonra beklemeyi sanayiye bırakır.

Kendimize masal anlatmadan ne yapılabilir

İlk anılan yanıt her zaman MAC adresi rastgeleleştirmesidir. Dürüst bir incelemeyi hak ediyor, ne övgü ne yergi. Gerçektir ve işe yarar.

Android 10. sürümden, iOS 14. sürümden itibaren Wi-Fi’da kullanılan MAC adresini varsayılan olarak, her ağ için ayrı bir adresle rastgeleleştiriyor. Bluetooth Low Energy’de modern cihazlar çözülebilir özel adresler yayınlıyor; bu adresler düzenli aralıklarla değişiyor ve gerçek cihaza yalnızca çözüm anahtarını elinde tutan bir muhatap tarafından bağlanabiliyor.

Sınırları da o kadar gerçek.

Eşleştirme kapıyı yeniden açar. Çözüm anahtarı eşleştirme sırasında iletilir. Zaten eşleştirilmiş ya da açıkça onaylanmış bir cihaz, dönen adresin ardındaki sabit kimliği yeniden bulur. Mekanizma bunun için tasarlanmıştır.
Birçok nesne hiçbir şeyi rastgeleleştirmez. Lastik basınç sensörleri, RFID kartlar, hayvan kimlik çipleri, oto teypleri ve ucuz çevre birimleri sabit kimlikler yayar. Leonardo’nun ürün föyü tam da bu kategorileri anıyor, ki bu tesadüf değil.
Rastgeleleştirme kapatılabilir. Ağ ağ devre dışı bırakılır ve çoğu zaman kolaylık olsun diye, ev yönlendiricisinde MAC filtrelemesi için ya da kurumsal politika gereği kapalıdır.
Grup, kimliklerin dönüşümünden sağ çıkar. Bu en az sezgisel ve en önemli noktadır. SignalTrace bir kimlik aramaz, birlikte yol alan bir cihazlar kümesi arar. Grubun tek bir üyesi sabit bir kimlik yayarsa, diğerlerinin disiplini ne olursa olsun küme bağlanabilir kalır.

En etkili önlem en sıkıcı olanıdır: yaymamak. Bu, Bluetooth ve Wi-Fi’ı kısayol panelinden değil, ayarlardan, sistem düzeyinde kapatmayı gerektirir. Bu ayrım kozmetik değil, telefonun sürekli konum takibi üzerine yazımızda ayrıntılandırmıştık: çoğu tüketici sisteminde hızlı panel düğmesi görünür eşleştirmeyi keser ama yazılım yığınını canlı bırakır ve yakınlık analizleri sürer. O yazı Bluetooth taramasını kuramsal bir vektör olarak betimliyordu. SignalTrace onun ticari ürünüdür, kataloglanmış ve teslim edilebilir.

Sonuç konusunda dürüst kalmak gerekir: bu önlemler maruziyet yüzeyini azaltır, ortadan kaldırmaz. Bir araç bir plaka olmayı sürdürür ve bir plaka okunabilir olmayı sürdürür. Hiçbir şey yaymamanın tek yolu hiçbir şey taşımamaktır, ki bu bir kamu politikası değildir.

Bunun tasarım tercihlerimiz hakkında söyledikleri

Arpokrat’ta Bluetooth’u ayarlar düzeyinde değil de ArpokratOS’un Core düzeyinde ele almamıza yol açan tam da bu akıl yürütmeydi. Bir arayüzdeki düğme bir kullanıcı tercihidir: bir güncelleme, bir sistem uygulaması ya da bir konum servisi bunu kullanıcının haberi olmadan atlayabilir ya da yeniden etkinleştirebilir. Var olmayan bir yığın yeniden etkinleştirilemez.

SignalTrace türünden bir yakalama karşısında bu, elbette bir cihazı tespit edilemez kılmaz ve biz de bunu iddia etmiyoruz: bir telefon bir mobil şebekede kalır ve bir araçtaki diğer nesneler kendi hesaplarına yayın yapar. Bunun güvence altına aldığı şey, belirli bir yayın vektörünün güvene dayalı olarak devre dışı bırakılmak yerine yapısı gereği yok olmasıdır. Bu, 5G ve hukukun hedef şaşırması hakkında savunduğumuz tezdir: hukuki koruma verilere erişime odaklanıyor, oysa onları üreten altyapının varlığına yönelmesi gerekirdi. SignalTrace bunun örneğidir, şu farkla ki bu altyapı Avrupa’da inşa ediliyor.

Sonuç

Bu dosyada en çarpıcı olan, araştırmacıların yıllardır betimlediği teknik kapasite değil. Konuşlandırma yöntemi.

Açılışı yapılacak yeni bir kamera ağı olmayacak, itiraz edilecek bir belediye kararı olmayacak, nitelik değişikliği olarak tanınabilecek bir kamu ihalesi olmayacak. Mevcut direklere eklenmiş modüller olacak, mevcut sözleşmeler altında, çoktan izin verilmiş programlar içinde. Kamusal tartışma açıldığı gün altyapı kurulmuş, amortismanı tamamlanmış ve soruşturma usullerine bütünleşmiş olacak. Tartışma o zaman var olan bir veri tabanına erişim koşulları üzerine olacak, onu oluşturmanın yerindeliği üzerine asla.

Gözetim konusunda işlerin olağan sırası budur ve bu tesadüfi değildir. Geriye, kendi devletlerine yaslanan kendi sanayicileri bu altyapıyı başkaları için inşa ederken Avrupa’nın söyleyecek bir sözü olduğunu düşünüp düşünmediği kalıyor. Avrupa hukuku, bu verileri bizde kimin görebileceği sorusunun yanıtını özenle düzenledi. Makineyi imal etme hakkının kimde olduğu sorusunu ise hiç sormadı.

Sürekli konum takibi: telefonunuz, engellediğinizi sandığınız anda bile sizi nasıl izler

Sun, 02 Aug 2026 00:00:00 +0000

2024 yılında Maryland Üniversitesi’nden iki araştırmacı, herhangi bir ayrıcalığa ya da özel donanıma sahip olmadan Apple’ın Wi-Fi konumlandırma servisini tekrar tekrar sorguladı ve bir yıl içinde dünya genelinde iki milyardan fazla Wi-Fi erişim noktasının kesin konumunu yeniden oluşturdu. Surveilling the Masses with Wi-Fi-Based Positioning Systems başlıklı makaleleri bu haritanın neye izin verdiğini gösteriyor: Ukrayna’ya giren ve oradan çıkan malzemeyi izlemek, Maui yangınlarının ardından nüfus hareketlerini gözlemek, bir kişiyi evindeki internet modemi üzerinden takip etmek.

Bu cihazların hiçbirinde GPS açık değildi. Konum bilgisi başka bir yerden geliyordu.

Mobil mahremiyet konusundaki en yaygın kör nokta budur: bir konum düğmesi bulunduğu ve o düğme kapatıldığında telefonun nerede olduğunu bilmeyi bırakacağı inancı. Bu inanç yedi ayrı düzeyde yanlıştır.

Konum, telefonunuzun açtığı bir özellik değildir. Telefonunuzun ne olduğuna dair bir niteliktir.

GPS, yani en az sorunlu vektör

Herkesin adını sayabildiği tek mekanizma, aynı zamanda sizi en az kaygılandırması gereken mekanizmadır.

Amerikan GPS’ini, Galileo’yu, GLONASS’ı ve BeiDou’yu kapsayan genel terim olan GNSS, dinleme yoluyla çalışır. Uydular zaman damgalı sinyalleri sürekli yayar, alıcı bunlardan birkaçını yakalar ve yayılma süresi farklarından konumunu hesaplar. Açık alanda olağan hassasiyet: üç ila beş metre, şehirde ise sıklıkla birkaç on metre, çünkü cepheler sinyalleri yansıtır.

Belirleyici nokta, bu hesabın pasif olmasıdır. Telefon uydulara doğru hiçbir şey yaymaz, hiçbir uydu işletmecisi sizin var olduğunuzu bilmez. Devrede yalnızca GNSS olsaydı, GPS’i kapatmak yeterdi.

Yine de bir nüans var. İlk konum hesabını hızlandırmak için telefonlar A-GPS kullanır: SUPL protokolü üzerinden bir sunucudan uydu efemeris verilerini indirir. Doğru veriyi alabilmek için telefon, bağlı olduğu şebeke hücresinin kimliğini bu sunucuya iletir. Saf GNSS sizi ele vermez, ama ona eklenen hızlandırıcı verir.

Mobil şebeke: operatörün yapısı gereği bildiği şey

Bir aramanın size ulaşabilmesi için şebekenin hangi bölgede olduğunuzu bilmesi gerekir. Bu açılıp kapatılan bir seçenek değil, hizmetin var olma koşuludur. Telefonunuz sürekli olarak en yakın antene kendini bildirir ve bu kayıt operatör tarafında iz bırakır. Kurulu hiçbir uygulama, verilmiş hiçbir izin gerekmez: etkin bir SIM kart yeter.

Hassasiyet yönteme bağlıdır:

Yalnızca hücre kimliği: yoğun kentsel alanda 200 metreden, tek bir antenin çok geniş bir yarıçapı kapsadığı kırsal bölgede 30 kilometreden fazlasına kadar.
Zenginleştirilmiş Cell ID: anten sektörünü (çoğu saha 120 derecelik üç sektöre bölünmüştür) ve sinyal gücünü ekler: 100 metreden birkaç kilometreye.
Timing advance: telefon ile anten arasındaki gidiş dönüş gecikmesini ölçer: GSM’de 550 metre mertebesinde, LTE’de 78 metre civarında.
Üç ya da daha fazla anten üzerinden çok yönlü konumlama: kentsel LTE’de 50 ila 300 metre.

5G ölçeği iki birikimli nedenle değiştirir. Önce yoğunluk: 5G hücreleri çok daha kısa yarıçapları kapsar, dolayısıyla yalnızca bağlanmış olmak bile ince bir bilgidir. Sonra standartlaşma: Release 16’dan bu yana 3GPP yerleşik konumlandırma sinyalleri içeriyor. Ticari hedefler cihazların %80’i için iç mekânda 3 metrenin, dış mekânda 10 metrenin altını gözetiyor ve Release 18 bazı endüstriyel kullanımlar için santimetreye iniyor.

Sizi bağlayan altyapı böylece, siz hiçbir şeyi etkinleştirmemişken GPS’e denk kalitede bir konumlandırma sistemine dönüşür. Bu veri ulusal kurallara göre saklanır ve değişken usullerle yetkililere açılır. Bu, barındırılan verilere uygulanacak yargı yetkisi konusunda ele aldığımız tartışmanın aynısıdır: teknik koruma ile hukuki koruma üst üste binmez.

Wi-Fi: donanım adreslerinden yapılmış bir dünya haritası

Her Wi-Fi erişim noktası, benzersiz bir donanım kimliğini, BSSID‘yi sürekli yayınlar. Bu kimlikler sabittir ve coğrafi olarak durağandır: bir ev modemi yıllarca aynı yerde kalır.

Apple, Google ve birkaç uzmanlaşmış aktör, her BSSID’yi koordinatlarla eşleştiren veritabanları tutar. Bu veritabanları, görünen erişim noktalarının listesini bir GNSS konumuyla birlikte gönderen kendi kullanıcılarının telefonlarınca oluşturulur. Sonra işlem tersine çevrilir: bilinen dört erişim noktasını gören bir telefonun artık tek bir uyduya bile ihtiyacı yoktur. Yoğun kentsel alanda hassasiyet çoğunlukla birkaç on metreye ulaşır, iç mekânda ise daha da altına iner.

İki özellik bu mekanizmayı etkisiz kılmayı zorlaştırır. Birincisi, telefon Wi-Fi kapalı görünse bile tarama yapar: Android 4.3’ten beri sistem, hızlı panel düğmesinden bağımsız olarak, konum doğruluğunu artırmaya yönelik periyodik bir taramayı sürdürür. Bu davranış, konum servislerinin içine gömülü, kullanıcıların neredeyse hiçbirinin hiç açmadığı ayrı bir ayara bağlıdır.

İkincisi, veritabanı dışarıdan sorgulanabilir. Rye ve Levin’in sömürdüğü açık tam da budur: konumlandırma arayüzleri yalnızca istenen konumu değil, komşu erişim noktalarının konumlarını da döndürür; bu da haritanın, o yerlere fiziksel olarak hiç yaklaşmadan devşirilmesini mümkün kılar.

Bluetooth ve BLE: başkalarının telefonlarıyla konumlanmak

Bluetooth Low Energy, birkaç metreden birkaç on metreye uzanan menzille bir yakınlık katmanı ekler; yani mobil şebekeden çok daha ince bir çözünürlük. İki kullanım bir arada bulunur. Mağazalarda, havalimanlarında veya alışveriş merkezlerinde konuşlandırılan ticari işaretçiler, telefondaki uygulamaların tanıdığı bir kimlik yayar; bu da hangi rafın önünde ne kadar süre durduğunuzu açığa çıkarır. Bir de modeli Apple’ın Find My’ı olan, sonrasında Google ve Samsung tarafından da benimsenen imece konum ağları vardır.

Bu ikinci mekanizma örtük bir varsayımı tersine çevirir. Darmstadt Teknik Üniversitesi araştırmacılarının PETS 2021 bildirilerinde yayımladığı referans çalışma Who Can Find My Devices?, Apple’ın protokolünü tersine mühendislikle yeniden kurdu. Çevrimdışı bir cihaz bir BLE sinyali yayar, yakındaki herhangi bir Apple cihazı bunu yakalar, kendi konumunu ekler ve şifreli olarak Apple’ın sunucularına iletir; bunu ne kendi sahibinin ne de konumu bulunan cihazın sahibinin haberi olmadan yapar.

Sonuç yapısaldır: SIM kartı olmayan, Wi-Fi’ı olmayan, hiçbir türden şebeke bağlantısı olmayan bir cihaz, cebinde telefonuyla yanından bir yabancı geçtiği sürece bulunabilir kalır. Yalıtımınız artık sizin ayarlarınıza değil, yoldan geçenlerin ayarlarına bağlıdır.

Eylemsizlik sensörleri: konum izni olmadan konumlandırmak

Bir telefonda ivmeölçer, jiroskop, manyetometre ve çoğu zaman barometre bulunur. Bu sensörler konumdan ayrı bir izin kategorisine girer: bir uygulama, nerede olduğunuzu hiç sormadan onları okuyabilir.

Princeton’lı araştırmacılar bunu PinMe ile gösterdi. Uygulamaları kaba bir konum için IP adresi ve saat diliminden yola çıkar, sonra sensörleri okur: ivmeölçer hızlanma ve frenleme profilini, jiroskop dönüşlerin sırasını, manyetometre yönü, barometre yükseklik değişimlerini verir. Bir sinir ağı ulaşım biçimini, yürüme, otomobil, tren ya da uçak olarak belirler ve güzergâh kamuya açık harita, yükselti ve hava durumu verileriyle örtüştürülür. Sonuç: konum izni olmadan, GPS’e denk hassasiyette bir yörünge. Yöntemin yazarların da belgelediği sınırları var; yol bulunmayan bölgelerde başarısız oluyor ve birçok güzergâhın aynı imzayı ürettiği düzenli ızgara planlarda bozuluyor. Yine de reddedilmiş bir iznin kapalı bir kapı olmadığının kanıtı olarak duruyor.

Barometre ayrıca GNSS’in kötü idare ettiği boyutu, dikeyi sağlar. Amerikan acil çağrı gereklilikleri, iç mekândan yapılan çağrıların %80’i için artı eksi 3 metrelik kat hassasiyeti şart koşuyor. Birinin hangi katta olduğunu bilmek, hangi yapı adasında olduğunu bilmekten başka türden bir bilgidir.

Veri pazarı: en sıradan vektör

Önceki mekanizmalar bir konumun nasıl hesaplandığını anlatır. Geriye o konumun nereye gittiği kalıyor ve gündelik riskin esası tam da orada oynanıyor.

Binlerce uygulama, bir geliştiricinin işini paraya çevirmek ya da erişimini ölçmek için eklediği üçüncü taraf yazılım bileşenleri olan reklam SDK’ları içerir. Bu bileşenler barındıran uygulamanın izinlerini devralır: konumunuza meşru biçimde ihtiyaç duyan bir hava durumu uygulaması onu, adını hiç okumadığınız aktörlere iletir. Buna bir de reklam açık artırma akışları eklenir; her afiş gösteriminde yaklaşık konumunuz onlarca olası alıcıya dağıtılır, hiçbir şey satın almayıp yalnızca dinlemekle yetinenlere de.

Bu hammadde koca bir endüstriyi besler. Electronic Frontier Foundation, 250 milyondan fazla cihaza dair milyarlarca veri noktası iddia eden ve bunları ABD’deki yerel polis birimlerine satan Fog Data Science vakasını belgeledi. Brian Krebs ise haritada bir çokgen çizip o bölgeye giren ve çıkan cihazların geçmişini görmeyi sağlayan Locate X adlı ürünü anlattı.

Bu vektör hiçbir teknik marifet gerektirmez, yalnızca birinin ödemeye razı olmasını. Fiyat da mütevazıdır.

IMSI yakalayıcılar: etkin konumlandırma

Şimdiye kadar görülen mekanizmalar normal işleyişten yararlanır. Bir de şebekeye müdahale eden bir üçüncü tarafça yürütülen etkin konumlandırma vardır.

IMSI yakalayıcı, ya da hücre simülatörü, kendini meşru bir anten gibi gösteren bir donanımdır. Menzildeki telefonlar ona bağlanır ve böylece abone kimliklerini ve dar bir çevre içindeki varlıklarını açık eder.

5G’nin, açık haldeki kalıcı kimliği şifreli bir kimlikle, SUCI ile değiştirerek bu kapıyı kapatması bekleniyordu. Kapanma kısmi kaldı. 5G SUCI-catchers: still catching them all? başlığı altında sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesini sağlayan bağlantı saldırılarını belgeliyor. Daha da önemlisi, saldırgan cihazı önceki bir kuşağa, özellikle kimlik doğrulaması tek yönlü olan 2G’ye düşmeye zorlarsa koruma tümüyle çöker. 5G’li bir telefon, hâlâ oraya inmeyi kabul ettiği için 1990’ların şebekesi için tasarlanmış bir saldırıya karşı savunmasız kalır.

Karşı önlemler ve gerçek etkinlikleri

Aşağıdaki önlemlerin her biri bir şey yapar. Hiçbiri her şeyi yapmaz ve yaptıkları ile kendilerine atfedilen arasındaki açıklık, yanlış kararları doğurur.

Uçak modu

Uçak modu hücresel modemin, Wi-Fi’ın ve Bluetooth’un yayınını keser. Bu gerçek bir etkidir ve bu kadar az çabayla elde edilebilecek en iyi sonuçtur.

Yapmadıkları: eylemsizlik sensörlerini durdurmaz, yeniden bağlanıldığında gönderilecek olan önbelleğe alınmış konumları silmez ve çoğu cihazda moddan çıkmadan Wi-Fi ya da Bluetooth’un ayrı ayrı yeniden açılmasına izin verir. Son olarak bir yazılım durumudur, güç kesintisi değil: güvenilirliği onu uygulayan sistemin bütünlüğüne bağlıdır.

Hafife alınan bir ayrıntı: şebekeden ayrılma ve yeniden bağlanma, operatör tarafında zaman damgalı olaylardır. Saat 21’de bir hücrede kaybolup 23’te başka bir hücrede yeniden beliren bir telefon sessizlik değil, bilgi üretmiştir.

MAC adresi rastgeleleştirmesi

Mobil sistemler bugün, bir yerden diğerine izlemeyi önlemek için taramalar sırasında rastgele MAC adresleri yayar. Niyet iyi, sonuç eksiktir. Aralarında Why MAC Address Randomization is not Enough çalışmasının da bulunduğu referans araştırmalar, keşif çerçevelerinin içeriğinin cihazı yeniden tanımlamaya çoğu zaman yettiğini gösteriyor: bilgi öğelerinin sayısı, değerleri ve sıraları bir parmak izi oluşturuyor. Buna artımlı olduğu için zincirlenebilen sıra numaraları ve her modele özgü zamanlama imzası ekleniyor. Bazı çalışmalar cihazların yarısının en az yirmi dakika boyunca düzgün biçimde izlenebildiğini bildiriyor.

Son olarak kavramsal bir sınır: rastgeleleştirme yalnızca keşif aşamasını ilgilendirir. Bir ağa bağlandığınız andan itibaren kullanılan adres, bağlantının çalışabilmesi için tasarım gereği o ağ açısından sabittir. Her sabah gittiğiniz kahveci sizi tanır.

Taramaları gerçekten kapatmak

Bu, en kârlı ve en çok göz ardı edilen ayardır. Android’de Wi-Fi araması ve Bluetooth araması, konum servislerinin içinde yer alan, hızlı panel düğmelerinden bağımsız iki ayrı seçenektir. Bunlar etkin kaldığı sürece Wi-Fi’ı panelden kapatmak yetmez: tarama sürer.

Bunları devre dışı bırakmak, ilk konum hesabının biraz yavaşlaması dışında hiçbir bedeli olmadan koca bir toplama katmanını ortadan kaldırır. Okurların çoğu için harcanan çaba ile elde edilen sonuç arasındaki en iyi oran budur.

Uygulama izinleri

Konum iznini, buna açıkça ihtiyacı olmayan uygulamalardan geri almak yararlı olmayı sürdürüyor ve yeni sistemler üç kademe sunuyor: tek seferlik izin, etkin kullanımla sınırlı izin ve yalnızca bir kilometre mertebesinde bir bölge ileten yaklaşık konum.

Buna karşılık bu, konumunuza erişmek için meşru bir nedeni olan bir uygulamanın içindeki SDK’lardan da, eylemsizlik sensörlerinden de, hiçbir izinden geçmeyen şebeke katmanlarından da korumaz.

VPN’in korumadıkları

Tersi inanç çok yaygın olduğu için açıklığa kavuşturulması gereken bir nokta: VPN konumunuzu gizlemez. Genel IP adresinizi gizler, dolayısıyla zaten listedeki en kaba mekanizma olan IP tabanlı konum tespitini yanıltır.

Bir VPN ne GNSS alıcısına, ne Wi-Fi taramasına, ne Bluetooth’a, ne de sensörlere dokunur. Operatörünüzün bildiklerinde hiçbir şeyi değiştirmez, çünkü şifreli tünel onun antenlerinden geçer ve hücreye bağlanma onun için görünür kalır. Konum iznine sahip bir uygulamanın tünelin içinden tam koordinat göndermesine engel olmaz. VPN, güvenilmeyen bir ağda iletişiminizin içeriğini ve hedefini korur, bu da az bir şey değildir. Konum onun kapsamına girmez.

Fiziksel sınırlar

Faraday kılıfı sözcüğün tam anlamıyla işe yarar: yayını da alımı da engeller. Hâlâ mümkün olduğu yerlerde pilin çıkarılması da öyle. Ayrı bir cihaz ya da telefonu başka bir yerde bırakmak en sağlam önlem olmayı sürdürüyor.

Bu çözümlerin yüzleşilmesi gereken ortak bir kusuru var: bir anormallik üretirler. Her salı akşamı iki saat susan bir telefon bir şey söylüyordur. Anlık konumlar yerine örüntüleri çözümleyen bir hasım karşısında yokluk da bir veridir.

Üç hasım, üç strateji

Bu, yazının en önemli ayrımı ve en az okunanı.

Bir reklamveren ya da veri simsarı karşısında mücadele kazanılabilir. İzin disiplini, taramaların kapatılması, tescilli konum servisleri barındırmayan bir sistem, reklam kimliğinin sıfırlanması: hepsi birlikte toplanan hacmi çok güçlü biçimde azaltır. Bu hasım ucuz hacim peşindedir, sizin özel durumunuzun değil.

Operatörünüz karşısında hiçbir yapılandırma yetmez. Hücresel konum, hizmetin koşuludur. Tek gerçek değişkenler hukuki, yani yasanın saklanmasına ve iletilmesine izin verdikleri, ve maddidir: hangi cihaz, hangi SIM kart, kimin adına, nerede açık.

Hedefli bir devlet hasmı karşısında akıl yürütme yeniden değişir, çünkü bu hasım operatör verilerine yasal erişimi, hücre simülatörüyle etkin konumlandırmayı, platformlara yöneltilen talepleri ve gerektiğinde cihazın ele geçirilmesini birleştirir. Yazılımsal karşı önlemler yüzeyi küçültür, ama gerçekçi hedef yok olmak değildir: neyin açıkta kaldığını tam olarak bilmektir.

ArpokratOS’un yaklaşımı

ArpokratOS bu manzaraya, yukarıdaki ayrımdan doğan bir tercihle yanıt verir: etkisizleştirilmesi gereken, bir menüde değil, sistem düzeyinde etkisizleştirilir.

GNSS tarafında donanım sürücüsü kaldırılmıştır. Cihaz, hem uygulamalar hem de sistemin kendisi açısından yonga hiç yokmuş gibi davranır. Ayarlardaki bir düğmeyle farkı kozmetik değildir. Düğme bir politikadır: yeterince ayrıcalıklı bir bileşenin atlatabileceği, bir güncellemenin yeniden açabileceği ya da ele geçirilmiş bir sistemin görmezden gelebileceği bir katman tarafından uygulanır. Kod yolunu kaldırmak soruyu ortadan kaldırır, çünkü artık etkinleştirilecek bir şey yoktur.

Bluetooth aynı mantıkla Core düzeyinde ele alınır. Ayarlardan kapatılmış bir Bluetooth, birçok cihazda yakınlık servislerini ve imece konum ağlarını beslemek üzere yazılım yığınını fiilen canlı bırakır. Sistem düzeyinde bulunmadığında ise ne bir mağaza işaretçisiyle konuşabilir, ne Find My türü bir ağa katılabilir, ne de etkileşimsiz bir saldırı yüzeyi olabilir.

Bunun ne yapmadığını açıkça söylemek gerekir. ArpokratOS bir telefonu saptanamaz kılmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve hiçbir işletim sistemi bunu değiştirmez, tüm trafik Tor üzerinden geçse bile. Yönlendirme içeriği ve hedefi korur, radyo geometrisini değil. Görünmezlik vadeden, masal satıyordur.

Böyle bir mimarinin getirdiği daha mütevazıdır: gerçek toplamanın çok büyük kısmının geçtiği uygulama ve yakınlık katmanlarının kaldırılması ve geriye kalan için açık bir tehdit modeli. Bu, bir masaüstü sistemi seçerken uyguladığımız akıl yürütmenin aynısıdır ve işletim sistemleri karşılaştırmamızda ayrıntılandırılmıştır: yararlı soru bir aracın koruyup korumadığı değil, neye karşı ve hangi bedelle koruduğudur.

Sonuç

Bu yazı yok olmanın bir yöntemini sunmuyor. Böyle bir yöntem yok ve aksini iddia eden metinler her şeyden önce sahte bir güven üretir; bu da insanı risk almaya ittiği için korumasızlıktan daha tehlikelidir.

Amaç, ikili bir soruyu, yani konumum bulunabilir mi bulunamaz mı sorusunu, yararlı bir soruyla değiştirmekti: kim tarafından, hangi hassasiyetle, onlar açısından hangi maliyetle ve bu benim için önemli mi? Yanıt, bir kaynağı koruyan gazeteci, hassas bir yargı bölgesine seyahat eden bir yönetici, randevuları bir stratejiyi ele veren bir avukat ve bir reklamverenin alışkanlıklarını bilmesinden rahatsız olan bir birey için farklıdır.

Zaten dikkati hak eden, bu mekanizmaların tek tek performansı değil, birbirleriyle örtüşmeleridir. Elli metre yaklaşıklıkla bir konum çok ilgi çekici değildir. Elli metre yaklaşıklıkla bir konum, on beş dakikada bir, iki yıl boyunca kaydedildiğinde bir ev, bir işyeri, bir inanç, bir sağlık durumu, bir ilişki, bir kaynak çizer. Konum verisi, diğer bütün üstverileri okunabilir kılan üstveridir ve pahalı olmasının nedeni tam da budur.

Kaynaklar

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Egemenlik Yanılsaması: Olvid Vakası ve CLOUD Act Tuzağı

Thu, 21 May 2026 00:00:00 +0000

Duyuru, Paris koridorlarında gerçek bir “bağımsızlık çığlığı” gibi yankılandı: Başbakan, hükümetin WhatsApp ve Signal’i terk edip “yerli” olarak sunulan Olvid’i kullanmasını emretti. Hedef netti: devlet sırlarını yabancı istihbarat teşkilatlarından korumak.

Ancak kısa sürede acı bir ironi ortaya çıktı: Olvid’in kalbi — sunucu altyapısı — bir Amerikan devi olan Amazon Web Services (AWS) içinde atıyordu.

Halk için bu basit bir teknik barındırma sorunu gibi görünüyor. Ancak egemen siber güvenlik mimarları için bu, birinci dereceden bir siyasi güvenlik açığıdır.

Sınır Aşan Yargı Yetkisi ve Egemenlik Çatışması

Amazon altyapısına dayanarak Olvid, otomatik olarak ABD’nin CLOUD Act yörüngesine girer.

Bu davanın yasal analizi, yalnızca ulusal bir “uygulama” benimsemenin çözemeyeceği bir yargı güvensizliği senaryosunu ortaya koyuyor. Dönüm noktası “kontrol” ve “yerelleştirme” kavramlarında yatmaktadır.

CLOUD Act, sunucunun fiziksel konumunun önemli olmadığını şart koşarak yasal paradigmayı radikal bir şekilde değiştirdi. Hizmet sağlayıcının (burada AWS) işbirliği yapma yükümlülüğü, yalnızca ABD ile olan yargı bağından kaynaklanmaktadır.

Yasal olarak bu, GDPR ile doğrudan bir çatışma yaratır. Avrupa Adalet Divanı, ABD gözetim yasalarının Avrupa’ya eşdeğer bir koruma seviyesi sunmadığını zaten tespit etmiştir.

Dijital egemenlik, yazılımın bir özelliği değil, veri gözetim zincirinin bütünlüğünün bir özelliğidir.

FISA Hayaleti ve Şifrelemenin Sahte Vaadi

Daha da kötüsü, Amerikan altyapısına olan bu bağımlılık, bu verileri Foreign Intelligence Surveillance Act (FISA) gölgesine sokmaktadır.

Bu tehditler karşısında Olvid, uçtan uca şifrelemesinin yeterli bir kalkan olduğunu iddia ediyor. Gizlilik mühendisliği perspektifinden bakıldığında, bu savunma tehlikeli derecede yetersizdir.

Mesaj içeriği şifrelenmiş olsa bile, AWS’nin merkezi altyapısı meta verileri açığa çıkarır. Kimin kiminle, ne zaman, ne sıklıkla ve nereden konuştuğunu bilmek, istihbarat için genellikle mesaj içeriğinden çok daha değerlidir.

Şifreleme metni korur, ancak merkezi sunucu iletişim ağını ele verir.

Gerçek Tehlike Henüz Gelmedi

Avrupa altyapısı, sınır aşan yasalara tabi kurumlara bağımlı olduğu sürece, iletişimimizin yasal güvenliği tamamen geçici ve yanıltıcı kalacaktır.

yüzyılda ulusal güvenlik, tam altyapı ve donanım bağımsızlığı gerektirir. “Şimdi topla, sonra şifresini çöz” stratejisi önümüzdeki on yılın en yıkıcı tehdididir.

Bugün ele geçirilen bir devlet sırrı, matematiksel bir saatli bombadan başka bir şey değildir.

(Analizimizin geri kalanını Bölüm 2’de okuyun: Saatli Bomba ve Zero-Knowledge Zorunluluğu)