Güvenlik ve Gizlilik İçin Hangi İşletim Sistemi? Windows, macOS, Linux, Tails, Whonix ve Qubes OS Karşılaştırması

Mon, 22 Jun 2026 00:00:00 +0000

Bir işletim sistemi seçimi, yalnızca arayüz tercihi veya yazılım uyumluluğu meselesi değildir. Giderek artan biçimde bir güvenlik ve gizlilik kararıdır. Her işletim sistemi verileri farklı biçimde toplar, farklı saldırı yüzeyleri oluşturur ve kullanıcıya çok değişken düzeylerde kontrol sunar. Bu karşılaştırma, pazardaki başlıca sistemleri yalnızca bu açıdan ele almaktadır; en yaygın kullanılanlardan en özelleşmiş olanlara kadar.

Temel Ölçüt: Sisteminizi Kim Kontrol Ediyor?

Her işletim sisteminin ayrıntısına girmeden önce belirleyici bir ilke: Bir işletim sisteminin güvenliği, temelde kimin kodu elinde tuttuğuna ve tasarım aşamasında hangi mimari kararların alındığına bağlıdır. Kapalı kaynaklı tescilli bir işletim sistemi (Windows, macOS), bu güveni yayıncısına devreder. Açık kaynaklı bir işletim sistemi, bu güveni kodu denetleyen topluluğa devreder. Bölümlere ayrılmış güvenlik için tasarlanmış bir işletim sistemi (Qubes OS) ise sistemin hiçbir bileşenine tamamen güvenilmemesi gerektiği ilkesinden yola çıkar.

Windows 11

Veri Toplama ve Telemetri

Windows 11, dünyanın en çok kullanılan masaüstü işletim sistemidir ve aynı zamanda varsayılan olarak en fazla veri toplayanlardan biridir. Microsoft telemetrisini iki resmi kategoriye ayırmaktadır:

Zorunlu veriler (Home ve Pro sürümlerinde devre dışı bırakılamaz): donanım yapılandırması, cihaz tanımlayıcıları, hata ve kararlılık raporları, güncelleme ve sürücü verileri. Bu veriler, kullanıcı tercihlerinden bağımsız olarak Microsoft’a iletilmektedir.

İsteğe bağlı veriler: kullanım davranışı, uygulama etkileşimleri, kişiselleştirme verileri. Ayarlardan devre dışı bırakılabilir; ancak bazı büyük güncellemeler sırasında otomatik olarak yeniden etkinleştirilmektedir.

Windows 11 24H2, yapay zekâyla bağlantılı birçok yeni veri toplama katmanı eklemiştir:

Windows Recall: Makinenizde yaptığınız her şeyin aranabilir bir zaman çizelgesini oluşturmak için her beş saniyede bir ekran görüntüsü alır. Devre dışı bırakılabilir, ancak varsayılan olarak etkindir ve diğer uygulamalar tarafından genişletilebilir erişim haklarına bağlıdır.
Copilot: Her sorgu, ekran görüntüleri, seçili metin ve açık uygulamalar bağlamı dahil olmak üzere Microsoft sunucularına iletilmektedir.
Defender Bulut Koruması: Şüpheli dosya karmalarını ve davranışsal verileri analiz için Microsoft bulutuna göndermektedir.

Pek çok bağımsız teknik kaynak tarafından belgelenen sonuç tartışmasızdır: Windows 11 Home ve Pro sürümlerinde telemetriyi tamamen devre dışı bırakmak mümkün değildir. Bunu yapmanın tek yolu; Enterprise veya Education sürümü kullanmak, belirli grup ilkeleri uygulamak ya da O&O ShutUp10++ veya WPD gibi üçüncü taraf araçlara başvurmaktır; ancak bu, kararsızlık risklerini beraberinde getirmektedir.

Saldırı Yüzeyi ve Güvenlik

Windows 11, dünya genelindeki kötü amaçlı yazılımların, fidye yazılımlarının ve exploitlerin büyük çoğunluğunun hedefidir; bu durum pazar payıyla doğru orantılıdır. Microsoft önemli güvenlik mekanizmaları sunmuştur (zorunlu TPM 2.0, Secure Boot, VBS, Credential Guard); ancak bunlar monolitik bir model içinde çalışmaktadır: çekirdek veya ayrıcalıklı bir sistem hizmetinin ele geçirilmesi tüm ortamı etkiler.

Güvenlik/gizlilik kararı: Karşılaştırmadaki en fazla saldırıya açık sistem; telemetri tamamen devre dışı bırakılamaz; güven modeli tamamen Microsoft’a ve ABD yargı yetkisine devredilmiştir.

macOS

Veri Toplama ve Telemetri

Apple, pazarlama imajının bir bölümünü gizlilik üzerine inşa etmiştir. Teknik gerçeklik ise daha nüanslıdır.

macOS varsayılan olarak Windows’tan çok daha az veri toplar; ancak toplama hâlâ gerçektir ve kısmen devre dışı bırakılamaz:

Gatekeeper ve OCSP doğrulaması: Her uygulama açılışında macOS, uygulamanın iptal edilmediğini doğrulamak amacıyla Apple sunucularına çevrimiçi bir doğrulama isteği gönderir. Bu istek, açılan uygulama ve cihazın IP adresi hakkında bilgi iletmektedir. Güvenlik zincirini bozmadan bu doğrulamaları devre dışı bırakacak yerel bir ayar bulunmamaktadır.
macOS Analitiği: Sistem kullanım verileri toplanmaktadır; Sistem Tercihleri > Gizlilik > Analiz bölümünden devre dışı bırakılabilir.
Apple uygulama telemetrisi: Haritalar, Siri, App Store ve diğer entegre Apple uygulamaları, sistem analitik ayarından bağımsız olarak dönen tanımlayıcılarla kendi veri toplamalarını sürdürmektedir.

Daha ileri gitmek isteyenler için güvenlik uzmanları, uygulama bazında giden bağlantıları izleyip engelleyebilen bir uygulama güvenlik duvarı (Little Snitch veya açık kaynaklı ve ücretsiz LuLu) kullanılmasını önermektedir.

Saldırı Yüzeyi ve Güvenlik

macOS birkaç sağlam güvenlik mekanizmasından yararlanmaktadır: sistem dosyalarını salt okunur olarak koruyan System Integrity Protection (SIP), Apple Silicon çiplerinde donanım düzeyinde Kernel Integrity Protection, App Store uygulamaları için sandbox ve yakın zamanlı makinelerde Secure Enclave. Apple kimliğiyle ilişki, kişisel veri toplamada başlıca vektördür.

Güvenlik/gizlilik kararı: Varsayılan telemetri açısından Windows’tan daha iyidir; ancak yine de devre dışı bırakılamaz OCSP doğrulamalarına, ABD yargı yetkisine ve Apple’ın kapalı modeline tabidir. Bağımsız denetim yapmak güçtür.

Linux (Genel Amaçlı Dağıtımlar)

Linux tek bir işletim sistemi değil, üzerine çok farklı dağıtımların inşa edildiği bir çekirdektir. Güvenlik ve gizlilik açısından ortak bir temel paylaşırlar; ancak birçok noktada ayrışırlar.

Ubuntu, yeni başlayanlar için en popüler dağıtımdır. 2012’de yerel aramaları Amazon sunucularına göndererek tartışma yaratmış; bu davranış daha sonra kaldırılmıştır. Ubuntu, devre dışı bırakılabilen kendi kullanım verisi toplamasını (whoopsie, ubuntu-report) sürdürmekte ve Canonical Ltd. tarafından kontrol edilen Snap depolarıyla sıkı entegrasyon sağlamaktadır.

Debian, Ubuntu’nun üzerine inşa edildiği temeldir; Canonical tarafından eklenen katmanlar olmaksızın. Kâr amacı gütmeyen topluluk projesi tarafından yönetilmekte olup özgür yazılıma sıkı bağlılık anlayışıyla varsayılan olarak hiçbir telemetri toplamamaktadır. Muhafazakâr güncelleme politikası genellikle saldırı yüzeyi açısından tercih edilmektedir.

Fedora, Red Hat (IBM’in yan kuruluşu) tarafından desteklenmekte olup hızlı güncelleme döngüsüyle teknik açıdan moderndir. Varsayılan olarak telemetri içermez; ancak Red Hat/IBM ile ilişkisi kurumsal bir bağımlılık yaratmaktadır.

Linux Mint, Ubuntu’dan türetilmiş olup Windows’tan geçen kullanıcılar için tasarlanmıştır. Ubuntu’nun en tartışmalı bileşenlerini kaldırmış (Snap varsayılan olarak yoktur) ve kendine özgü bir telemetri eklememiştir.

Arch Linux, minimalist felsefesiyle ileri düzey kullanıcıları hedefler: kullanıcı yalnızca ihtiyaç duyduklarını yükler. Telemetri yoktur, sürekli güncellemeler (rolling release) ve tam özelleştirme özgürlüğü sunar.

Linux’un Temel Katkıları

Açık ve denetlenebilir kaynak kodu: Herhangi bir güvenlik araştırmacısı çekirdek ve ana bileşenlerin kodunu inceleyebilir
Dayatılmış telemetri yok: Hiçbir büyük dağıtım, devre dışı bırakılamayan veri toplamayı zorla uygulamaz
Varsayılan olarak daha katı izin modeli: Günlük işlemlerden ayrı bir root hesabının kullanılması
Azaltılmış saldırı yüzeyi: Linux toplu kötü amaçlı yazılımların daha az hedefindedir

Güvenlik/gizlilik kararı: Veri toplama açısından Windows ve macOS’tan belirgin biçimde üstündür. Hiçbir genel amaçlı dağıtım, bir uygulamanın ele geçirilmesinin tüm sisteme yayılmasına karşı koruma sağlamaz.

Tails OS

Felsefe: Koruma Olarak Bellek Yitimi

The Amnesic Incognito Live System kısaltması olan Tails, 2024’te Tor Project ile birleşen Debian tabanlı bir işletim sistemidir. Felsefesi diğer tüm işletim sistemlerinden köklü biçimde farklıdır: kalıcı bir ortamı güvenli kılmaya çalışmak yerine, varsayılan olarak tüm kalıcılığı ortadan kaldırır. Tails yalnızca bir oturum süresince var olur.

Teknik Mimari

Tails tamamen bir USB bellekten (en az 8 GB) çalışır ve tümüyle RAM üzerinde işlem yapar. Kapattığınızda, kullanılan ana makinede hiçbir iz kalmaz: geçici dosya yok, geçmiş yok, kimlik bilgisi yok, kullanılan bilgisayarın sabit diskinde adli delil eseri yok. O bilgisayar yazılım düzeyinde ele geçirilmiş olsa bile bu durum değişmez: Tails, diskine hiçbir zaman yazı yazmaz.

Varsayılan ve istisnasız Tor

Tails’in tüm ağ trafiği sistematik olarak Tor ağı üzerinden yönlendirilir. Bir uygulama Tor’u atlayarak doğrudan bağlantı kurmaya çalışırsa Tails bunu engeller. Tails’i yanlışlıkla da olsa Tor olmadan kullanmak mümkün değildir.

Şifreli Kalıcı Depolama (isteğe bağlı)

Tails, varsayılan olarak her kapanışta her şeyi unutur. Oturumlar arasında belirli verileri saklamaları gerekebilecek kullanıcılar için Tails, Kalıcı Depolama sunar: USB belleğin kendisinde oluşturulan, parola ifadesiyle korunan şifreli (LUKS) bir birim. Kullanıcı, orada nelerin saklanacağını tam olarak seçer: bazı dosyalar, uygulama yapılandırmaları, PGP anahtarları vb. Bu kalıcı depolama, Tails’in ana makineye karşı bellek-yiten doğasını değiştirmez; yalnızca iki oturum arasında USB bellekte nelerin korunduğunu etkiler.

Önceden Yüklenmiş Araçlar

Tails; Tor Browser, şifreli posta istemcisi, dosya şifreleme aracı (Kleopatra/GnuPG), güvenli mesajlaşma istemcileri ve büro işleri için LibreOffice ile birlikte önceden yapılandırılmış olarak gelir. Yüksek güvenlikli rutin kullanım için ek yazılım yüklenmesine gerek yoktur.

2026 Teknik Notu: Tails 7.7, Secure Boot sertifikaları hakkında bir uyarı ekledi; çünkü Microsoft’un 2011 tarihli anahtarları Haziran 2026’da sona ermeye başlamaktadır. Firmware UEFI’si güncellenmeyen kullanıcılar, bazı makinelerde Tails’i artık başlatamayabilir.

Tails’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Tails Koruması
El koyma sonrası ana makine diskinin adli incelenmesi	Tam: ana makine diskine hiçbir zaman dokunulmaz
Ağ gözetimi (IP, ziyaret edilen siteler)	Tor aracılığıyla güçlü; ancak Tor’un sağlamlığına bağlıdır
Ana makinedeki kalıcı kötü amaçlı yazılım	Atlanır: Tails, kurulu sistemi kullanmaz
BIOS/UEFI kötü amaçlı yazılımı (ele geçirilmiş firmware)	Hiç: Tails, kullanılan makinenin firmware’ine karşı koruma sağlayamaz
İnsan hatası (kişisel hesaba bağlanma)	Hiç: Tails altında Gmail’e giriş yaparsanız oturumun anonimliğini bozarsınız
Oturumdaki bir yazılımın ele geçirilmesi	Mevcut oturumla sınırlı; kapanışta yok edilir

Dürüst Sınırlamalar

Tails günlük kullanıma uygun değildir: kalıcılık yokluğu, her başlatmada ortamın yeniden yapılandırılmasını gerektirir
BIOS veya firmware türünde bir kötü amaçlı yazılım (UEFI düzeyinde bir implant gibi), Tails oturumunu potansiyel olarak tehlikeye atabilir; çünkü Tails, üzerinde çalıştığı makinenin firmware katmanını kontrol etmez
Kişisel bir hesaba (e-posta, sosyal ağ) bağlanmak, Tor’dan bağımsız olarak oturumun anonimliğini ortadan kaldırır

Kimler İçin?

SecureDrop aracılığıyla kaynaklarla çalışan gazeteciler, baskıcı rejimlerdeki gözetim altındaki aktivistler, kontrol edilmeyen donanım üzerinde tek seferlik yüksek hassasiyetli oturum ihtiyacı duyan herkes. Glenn Greenwald ve Laura Poitras tarafından Snowden belgelerini işlemek için kullanılan; EFF, Freedom of the Press Foundation ve Tor Project tarafından tavsiye edilen araç.

Karar: Tek seferlik yüksek hassasiyetli oturumlar için birinci tercih araç. Günlük ana işletim sistemi değildir.

Whonix

Felsefe: Ağ İzolasyonu Aracılığıyla Yapısal Anonimlik

Whonix, Tails’den farklı bir soruya yanıt verir: Oturumdan sonra tüm izleri silmek yerine, çalışma ortamında çalışan bir kötü amaçlı yazılımın —çalışma sanal makinesinde root haklarına sahip olsa bile— yapısal olarak kullanıcının gerçek IP adresini öğrenememesini sağlar.

Whonix, Debian’a dayanmaktadır (aynı ekip tarafından geliştirilen Debian’ın sertleştirilmiş bir sürümü olan KickSecure aracılığıyla) ve herhangi bir ana işletim sistemi üzerinde Tip 2 hiper yönetici (VirtualBox, KVM) içinde ya da Tip 1 olarak Qubes OS’da yerel biçimde çalışır.

İki VM Mimarisi

Whonix’in temel ilkesi, iki ayrı sanal makine aracılığıyla uygulanan ağ katmanı ile uygulama katmanı arasında kesin bir ayrımdır:

Whonix-Gateway, birinci VM’dir. Tor arka plan programını çalıştırır ve yalnızca ağ geçidi işlevi görür. İnternet’e erişebilen tek VM odur. Herhangi bir kullanıcı uygulaması içermez. Tek rolü, gelen ve giden tüm ağ trafiğini yakalamak ve Tor üzerinden geçmesini zorlamaktır.

Whonix-Workstation, ikinci VM’dir. Tarayıcı, mesajlaşma, dosya işleme, geliştirme gibi çalışma ortamıdır. İnternet’e yalnızca Whonix-Gateway’e işaret eden dahili sanal ağ üzerinden bağlıdır. Doğrudan İnternet erişimi yoktur; Gateway’i atlayacak hiçbir bağlantı kapasitesi yoktur.

Workstation’dan bir ağ isteği yapıldığında şunlar gerçekleşir:

Uygulama bir ağ isteği gönderir
Workstation bunu dahili ağ arayüzü aracılığıyla Gateway’e iletir
Gateway isteği yakalar ve Tor aracılığıyla (üç ardışık aktarma) yeniden yönlendirir
Yanıt aynı yoldan ters yönde gelir
Workstation, çıkış IP adresini hiçbir zaman bilmeksizin yanıtı alır

Temel güvence: Bir kötü amaçlı yazılım, Workstation’ı root haklarıyla ele geçirse bile kullanıcının gerçek IP adresini öğrenemez; çünkü Workstation’ın kendisi buna hiçbir zaman erişemez. Workstation yalnızca Gateway’in dahili IP adresini görür.

Ek Güvenlik Mekanizmaları

Stream izolasyonu: Whonix, farklı uygulamalar için ayrı Tor devreleri kullanır (tarayıcı, e-posta istemcisiyle aynı devreyi kullanmaz vb.); bu sayede farklı etkinlikler arasındaki trafik korelasyonu önlenir.

Başlatma saati rastgeleleştirme: Zamanlama saldırılarını önlemek amacıyla Workstation’ın sistem saati her başlatmada hafifçe rastgele kaydırılır.

sdwdate: Whonix, IP adresini sızdırabilecek klasik NTP yerine Tor aracılığıyla soğan sunucularından zaman alan kendi zaman senkronizasyon arka plan programını (sdwdate) kullanır.

AppArmor: AppArmor profilleri, Tor Browser gibi kritik uygulamaların sistem düzeyinde sandboxlanmasını sertleştirir.

Tek kullanımlık VM’ler: Whonix, Tails yaklaşımına benzer şekilde kalıcılık olmaksızın tek seferlik görevler için tek kullanımlık Workstation’ları destekler (Qubes-Whonix’te Whonix-Workstation DispVM); ancak geri kalanı kalıcı bir ortamdır.

Üç Dağıtım Modu

VirtualBox veya KVM üzerinde Whonix (Tip 2): En erişilebilir mod. İki VM, mevcut bir ana işletim sistemi (Windows, Linux, macOS) üzerinde çalışır. Pratiktir; ancak ana işletim sistemine ek bir güven katmanı ekler: Ana sistem ele geçirilirse Whonix’in koruması aşılabilir.

Qubes-Whonix (Tip 1, önerilen): Whonix, Qubes OS’a şablon olarak yerel biçimde entegre edilmiştir. Gateway, ProxyVM (sys-whonix) haline gelir; Workstation ise AppQube (anon-whonix) haline gelir. İzolasyon, potansiyel olarak savunmasız bir ana işletim sistemi üzerinde çalışan Tip 2 hiper yönetici yerine bare-metal Xen hiper yöneticisine dayandığından bu en sağlam yapılandırmadır. Her iki proje tarafından da önerilen kombinasyon budur.

Fiziksel izolasyon (gelişmiş mod): Gateway ve Workstation, Ethernet kablosuyla birbirine bağlı iki ayrı fiziksel makinede çalışır. Workstation’ın Gateway’e bağlı olandan başka ağ kartı yoktur. Bu mod güven tabanını büyük ölçüde azaltır; ancak iki ayrı makine gerektirir.

Whonix’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Whonix Koruması
Workstation’dan IP adresi sızıntısı	Mimari gereği yapısal olarak imkânsız
DNS sızıntıları	İmkânsız: tüm DNS, Gateway üzerinden Tor’dan geçer
Gerçek IP’yi arayan Workstation’daki root kötü amaçlı yazılımı	Hiç: onu bulamaz
Gateway’in kendisinin ele geçirilmesi	Kısmi: Gateway ele geçirilirse IP sızabilir
Ana işletim sisteminin ele geçirilmesi (Tip 2 modunda)	Hiç: ele geçirilmiş bir ana sistem her iki VM’yi de gözlemleyebilir
Kullanıcı davranışıyla kimlik saptanması	Hiç: Whonix insan hatalarına karşı koruma sağlamaz
El koyma sonrası disk adli incelemesi	Kısmi: Whonix varsayılan olarak kalıcıdır, tek kullanımlık VM’ler hariç

Dürüst Sınırlamalar

Whonix diskteki izleri silmez: varsayılan olarak kalıcıdır (Tails’in aksine). Makinenize el konulursa ve ana disk şifrelemesi yoksa veya zayıfsa, VM verileri kurtarılabilir
Tip 2 modunda (bir ana işletim sistemi üzerinde VirtualBox/KVM), Whonix’in güvenliği ana işletim sisteminin güvenliğiyle sınırlıdır. Ele geçirilmiş bir ana sistem, iki VM arasındaki trafiği potansiyel olarak gözlemleyebilir
Çift sanallaştırma ve Tor üzerinden yönlendirme performansı etkiler: bağlantılar yavaştır, büyük indirmeler günlük kullanımda güçtür

Kimler İçin?

Yapısal ağ anonimliğine sahip kalıcı bir çalışma ortamına ihtiyaç duyan herkes: hassas yazılım geliştirme, uzun süreli takma adla araştırma, birden fazla ayrı dijital kimlik yönetimi, soğan sunucuları. Qubes-Whonix kombinasyonu, pek çok güvenlik uzmanı tarafından günlük kullanım için mevcut en sağlam anonim çalışma ortamı olarak değerlendirilmektedir.

Karar: Kalıcı ortamlarda yapısal ağ anonimliği için referans işletim sistemi. Tails’i (tek seferlik oturumları yöneten) tamamlar, ona rakip değildir.

Qubes OS

Felsefe: Bölümlere Ayırma Yoluyla Güvenlik

Qubes OS, önceki tüm sistemlerden köklü biçimde farklı bir yaklaşımı temsil eder. Diğer işletim sistemleri ele geçirmeleri önlemeye çalışırken Qubes, radikal biçimde farklı bir varsayımdan yola çıkar: Bazı bileşenlerin ele geçirilmesi kaçınılmazdır. Amaç, yayılmamasını sağlamaktır.

2012’de güvenlik araştırmacısı Joanna Rutkowska tarafından yaratılan Qubes OS, diğer güvenlik profesyonellerinin yanı sıra Edward Snowden tarafından kamuoyu önünde tavsiye edilmektedir.

Teknik Mimari

Temel katman olarak Xen hiper yöneticisi

Qubes, klasik anlamda bir Linux dağıtımı değildir. Qubes adı verilen hafif sanal makineler oluşturmak için, ara bir ana işletim sistemi olmaksızın doğrudan donanım üzerinde çalışan bare-metal bir sanallaştırma yazılımı olan Xen hiper yöneticisini kullanır. Qubes’ler arasındaki izolasyon, VM’lerin açık izin olmaksızın diğer VM’lerin belleğine veya aygıtlarına erişmesini engelleyen Intel VT-x/VT-d ve AMD-Vi (IOMMU) teknolojileri aracılığıyla donanım

Telemetri on Arpokrat

Güvenlik ve Gizlilik İçin Hangi İşletim Sistemi? Windows, macOS, Linux, Tails, Whonix ve Qubes OS Karşılaştırması

Temel Ölçüt: Sisteminizi Kim Kontrol Ediyor?

Windows 11

Veri Toplama ve Telemetri

Saldırı Yüzeyi ve Güvenlik

macOS

Veri Toplama ve Telemetri

Saldırı Yüzeyi ve Güvenlik

Linux (Genel Amaçlı Dağıtımlar)

Linux’un Temel Katkıları

Tails OS

Felsefe: Koruma Olarak Bellek Yitimi

Teknik Mimari

Tails’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Dürüst Sınırlamalar

Kimler İçin?

Whonix

Felsefe: Ağ İzolasyonu Aracılığıyla Yapısal Anonimlik

İki VM Mimarisi

Ek Güvenlik Mekanizmaları

Üç Dağıtım Modu

Whonix’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Dürüst Sınırlamalar

Kimler İçin?

Qubes OS

Felsefe: Bölümlere Ayırma Yoluyla Güvenlik

Teknik Mimari