Tails

Tails, açılımı The Amnesic Incognito Live System olan açık kaynak ve özgür yazılım işletim sistemidir. Tails açılımındaki kavramların neler olduğunu da kısaca bir incelemek sistemin neyi ifade ettiğini anlayabilmek açısından önemlidir. Kısaca:

amnesia: forgetfulness; loss of long-term memory.
Türkçesi hafıza kaybıdır. Tails’ta vurgulanmak istenen ise uzun dönemli bir hafıza kaybı olduğudur. Yani, kullandığınız bilgisayarlarda herhangi bir iz bırakmamasıdır.

incognito: (of a person) having one's true identity concealed.
Türkçesi kim olduğunu belli etmeyendir. Tails’ta vurgulanmak istenen ise bir kişinin gerçek kimliğinin gizlenmesidir. Yani, anonimlik.

Diğer bir ifadeyle Tails, canlı bir işletim sistemi olup bireyin gizliliğini ve anonimliğini, bunu aşmak isteyen saldırganlardan korumayı hedefler. Interneti herhangi bir sansüre takılmadan, gittiğiniz her yerde ve her bilgisayarda ve arkasında iz bırakmadan kullanmanızı sağlar.

Tails, tam bir işletim sistemi olup, DVD, USB, ve SD kartlara kurulabilen, bilgisayarlardaki işletim sisteminden bağımsız olarak kullanılması için tasarlanmıştır. Tails, özgür yazılımdır ve Debian GNU/Linux tabanlıdır.

Tails’ın daha iyi anlaşılabilmesi için çevrimiçi anonimliğin ve sansürlerden kurtulmanın neden önemli olduğunu tekrar ifade etmek gerekmektedir. Öncelikle, birey neden anonimliğe ihtiyaç duyar? Türkiye gibi devam etmekte olan baskıcı bir sistem içerisinde kendini özgürce ifade edecek bir alan bulunmamaktadır. Bunun nedeni baskı kelimesinin anlamında yatmaktadır. Çünkü, baskı muhalefetin kökünü kazımayı amaçlar ve bu yolda da kendine her şeyi mübah görecek sistematik bir şeydir. Siyasi ve psikolojik araçları kullanır ve kitleleri ifade özgürlüğünün dışına iter. Diğer taraftan, birey anaysal hakkı olan gizliliğinin bu baskı altında eridiğini ve kendisini birey yapan şeylerle çevrili yapay bir ada oluşturan gizliliğinin ortadan kalktığını görecektir. Bu yüzden de kendisini özgürce ifade edebilmek için anonimliği tercih edecektir. Ayrıca, baskı araçlardan bir tanesi de sansürdür. Sansür, her türlü yayının, sinema ve tiyatro eserinin hükûmetçe önceden denetlenmesi işi, sıkı denetim anlamına gelmektedir. Baskı için denetim her hükûmetin en sık başvurduğu yollardan biridir. Kendi çıkarları dışında kalan veya kendini eleştiren ve muhalefet eden her şeyin ifade özgürlüğünün dışına itilmesi için denetler ve sansürler.

Tails gibi işletim sistemleri ise içerdiği anonimlik araçları ile bireylerin kendilerini baskıcı yapılarda hiçbir sansür engeline takılmadan özgürce ifade edebilmelerine olanak sağlamaktadır. Tails’ın en önemli anonimlik aracı Tor’dur.

  • Tails’ın içerdiği tüm yazılımlar Internete Tor üzerinden bağlanır.
  • Eğer, bir uygulama Internete doğrudan bağlanmaya kalkarsa, bağlantı güvenlik sebebiyle otomatik olarak engellenir.

Tor (eski adıyla onion router), ilk olarak Amerikan Donanması ile beraber, devlet içi iletişimleri korumak için geliştirilmiştir. Günümüzde ise herkesin kullanabildiği (aktivist, ordu, gazeteci, kanun uygulayıcı vs.), sanal tünellerden oluşan, kişi ve grupların Internet üzerindeki gizliliklerini ve güvenliklerini sağlayan, geliştiren açık kaynak ve özgür yazlım olan bir anonimlik ağıdır.

Tor kullanarak:

  • Yerinizi belli etmeden anonim olarak çevrimiçi olabilirsiniz.
  • Sansürlenen içereklere herhangi bir engele takılmadan erişebilirsiniz.
  • Tor ağını engelleyen yapılardan köprü (bridge) kullanarak korunabilirsiniz.

Tails, özel olarak tasarlanmış olup kullanıldığı bilgisayarın harddiskini ve varsa takas (swap) alanlarını kullanmamak üzere çalışmaktadır. Tails’ın bir bilgisayar üzerinde kullandığı tek şey bellek (ram)’dir. Bilgisayarı kapattığınızda ise Tails otomatik olarak bellekteki tüm verileri geri getirilemeyecek şekilde siler ve arkasında herhangi bir iz bırakmaz. Bu yüzden, yazının başında bahsedilen “amnesic” kavramı Tails kavramlarından bir tanesidir. Fakat, Tails sihirli bir araç değildir ve çevrimiçi anonimlik gibi çok karmaşık problemler için %100 bir çözüm sunamaz. Bunun çeşitli sebepleri vardır:

  • Tor çıkış nodu ile bağlanmak istediğiniz websitesi arasındaki iletişim dinlenebilir. Bunun için HTTPS-Everywhere kullanmak veya HTTP sitelerine giriş yapmamak gerekmektedir.
  • Internet servis sağlayıları Tor kullandığını görmektedir. Bunun için köprü tercih edilebilir.
  • Bir MitM (man-in-the-middle) saldırısı kurbanı olunabilir.
  • Hem Tor ağına giden hem de Tor ağından çıkan trafiği görebilmek için tasarlanmış sistemlerde her yapılan görülebilir. İSS’nin de böyle bir çalışması olabilir.
  • Tails, belgelerini otomatik olarak şifrelemez.
  • Tails, belgelerin metadatalarını otomatik olarak silmez.
  • Tails, genel bir gözetim mekanizmasından korumaz. Örneğin, bağlanılan ağdaki tüm bilgisayarlar izleniyorsa bu bir koruma sağlamayacaktır.
  • Tails, kötü ve basit parolalarınızı güvenli hale getirmez.

Son bir kez daha belirtmek gerekirse, anonimlik ve güvenlik sadece bir araca bırakmak bireyi saldırganlardan korumayacaktır. Bu tarz araçları kullanırken ne amaçla kullandığının bilincinde olmak gerekmektedir. Çünkü, günümüz Interneti çoklu sekmelerden, her adımı şifrelenmiş ve anonimleştirilmiş yollardan akmamaktadır. Böyle bir yapı içerisinde tamamen anonim kalabilmek mümkün değildir.

Tails’i iki şekilde elde edilebilir.

  1. Doğrudan indirmek için buraya tıklayın.
  2. Torrent üzerinden indirmek için buraya tıklayın.

İmaj dosyasını çektikten sonraki en önemli adım imaj dosyasını doğrulamak olacaktır. Bu neden önemli? Eğer, bir MitM saldırısı varsa ve birey kaynak yerine aradaki saldırgandan dosyayı çektiyse, bu dosya değiştirilmiş olabilir ve kullandığında anonimlik tamamen tehlike altında olacaktır.

İlk olarak imaj dosyasının SHA256 çıktısına bakılmalıdır:
339c8712768c831e59c4b1523002b83ccb98a4fe62f6a221fee3a15e779ca65d

GNU/Linux
kame $ sha256sum tails-i386-1.4.iso

Windows
Raymond’s MD5 & SHA Checksum Utility uygulamasını indirin ve kurun. Browse diyerek tails-i386-1.4.iso dosyasını açıp yukarıdaki SHA256 çıktısı ile karşılaştırabilirsiniz.
windows-checksum-utility

İndirmiş olunan Tails imajının en önemli doğrulama adımı olan Tails imzasının kullanılmasıdır. Bütün Tails imajları Tails’e ait OpenPGP imzası ile imzalanmıştır. İmzayı indirmek için lütfen buraya tıklayın. İmza ile doğrulamak ise:

GNU/Linux
kame $ gpg --keyid-format long --verify tails-i386-1.4.iso.sig tails-i386-1.4.iso

gpg: Signature made Sun 08 Feb 2015 08:17:03 PM UTC
gpg: using RSA key 3C83DCB52F699C56
gpg: Good signature from "Tails developers (offline long-term identity key) " [unknown]
Primary key fingerprint: A490 D0F4 D311 A415 3E2B B7CA DBB8 02B2 58AC D84F
Subkey fingerprint: BA2C 222F 44AC 00ED 9899 3893 98FE C6BC 752A 3DB6

Eğer herhangi bir hata alınırsa, imajı silinmeli ve tekrar indirilmelidir.

Windows

  1. Öncelikle Gpg4win uygulamasını indirin ve kurun.
  2. Daha sonra Tails signin anahtarını indirin ve Gpg4win’e aktarın.
  3. Son olarak, indirmiş olduğunuz Tails imzası ve Tails imajını doğrulayın.

Doğrulama işlemini başarıyla tamamlandıysa artık imajı yazdırmaya geçilebilir. DVD, USB bellek veya SD kartlardan bir tanesini seçilebilir. DVD, hem ucuz hem de ele geçirilse bile virüs bulaşmayacağı ve üzerine tekrar bir şey yazılamayacağı için güvenli bir seçenektir. Fakat, hem taşınması hem de her bilgisayarda DVD sürücüsü bulunmayabileceği için bireyin insiyatifine kalmıştır. USB bellek ve SD kartlar ise taşınma ve kullanım kolaylığı açısından iyi bir esneklik sunabilmektedir fakat, saldırgan fiziksel olarak USB belleğe veya SD karta erişebilir ve içeriğini manipüle (virüs) edebilir.

GNU/Linux
USB belleğini takın ve bağlandıysa (mount) lütfen bağlantıyı kaldırın (umount). Kurulum yapacağınız bağlantı noktası çok önemli olduğu için dikkat edin yoksa kazara harddiskinizi silebilirsiniz. /dev/sd[x] USB belleğinizin bağlandığı yolu göstermektedir. Nümerik bir şey olmayacaktır; /dev/sdc1 gibi. Root olun ve:

root $ dd bs=4M if=tails-i386-1.4.iso of=/dev/sdx && sync

Bu işlem biraz vakit alacaktır. Başarıyla tamamlandığına dair çıktı ise aşağıdaki gibi olacaktır:

231+1 records in
231+1 records out
970584064 bytes transferred in 207.309208 secs (4681818 bytes/sec)

Windows
Windows’ta USB belleğe yazdırmak için Tails’ın yönergelerine buradan bakabilirsiniz.

Artık Tails kuruldu ve kullanıma hazır. Tek yapılması gereken, takılı olduğu bilgisayarı USB bellekten başlatmaktır. Bunun için taktığınız bilgisayarları yeniden başlatıp, açılış ekranında BIOS’a girerek USB belleği seçebilirsiniz.

Tails’ı USB bellekten başlattığımızda ilk olarak aşağıdaki ekran gelecektir. Enter’a basak devam edebilirsiniz. Eğer, basmazsanız 3 saniye içerisinde kendisi işletim sistemini başlatacaktır.
boot-menu-with-options

Başlatma bittiğinde karşınızda aşağıdaki karşılama ekran gelecektir. Bu karşılama ekranında alt satırda dil, ülke ve klavye seçeneklerini Türkçe olarak (veya hangi dilde kullanmak isterseniz) ayarlayabilirsiniz.
tails-greeter-welcome-to-tails

More options kutucuğunda lütfen Yes‘i seçin ve Login tuşuna basın.
3

Yukarıda gördüğünüz ekranda ilk olarak kendinize bir parola belirleyebilirsiniz. Güvenlik için parola kullanmamanızı tavsiye ederim. Yönetici hakları ile önemli ayarları istemeden değiştirebilirsiniz. Bir altta gördüğünüz Windows camouflage ise masaüstünün Windows 8’e benzemesini sağlayacaktır. Bu da kamuya açık ortamlarda dikkat çekmeden Tails kullanmanızı sağlar. Diğer seçenekleri varsayılan şekliyle olduğu gibi bırakabilirsiniz.

Screenshot from 2015-06-06 17:30:29

Internet bağlantınız Tor ağı üzerinden akmaya hazır olduğunda sağ üst köşede çıkan uyarıdaki gibi bir uyarı alacaksınız. Artık güvenli bir şekilde Tails üzerinden Internete girebiliriz. Windows tuşuna bastığınızda başlat menüsü açılacaktır. Bu menü:

5

şeklindedir. Dikkat ettiğiniz üzere hem Tor Browser hem de Unsafe Web Browser mevcuttur. Unsafe Web Browser, Tor ağını kullanmadan, doğrudan Internet bağlantınızı kullanarak websitelerine girmenizi sağlar. Bu ayrımı unutmamanız yararınıza olacaktır. Tor Browser’ı açtığınızda:

Screenshot from 2015-06-06 16:12:19

herhangi bir sansüre takılmadan, anonim olarak websitelerini görünteyebilirsiniz. Tails, Libre Office, Gimp ve Inkscape gibi grafik uygulamaları, Audacity ve Traverso gibi ses kayıt ve düzenleme uygulamaları, anlık mesaj uygulaması Pidgin‘i (OTR ayarlı), e-posta için Claws Mail‘ı, bir başka anonim ağ olan I2P‘yi, kablosuz ağlar için Aircrack-ng uygulaması, LUKS gibi disk şifreleme uygulaması ve birçok başka uygulamayı da içermektedir.

Tails üzerinden herhangi bir bulut üzerine veya herhangi bir yere dosya yüklemesi/göndermesi yapacaksanız, dosyaların Tor browser klasörü içerisinde yer alması gerekmektedir. Diğer türlü Tails dosyaların gönderilmesini engelleyecektir. Dosya gönderirken dikkat edilmesi gereken bir başka nokta da metadatalarının temizlenmesidir. Metadatalar dosyalarla ilgili eşsiz veriler saklar ve bu veriler dosyanın nerede, ne zaman, kimin tarafından oluşturulduğuna dair önemli bilgiler tutabilir. Bu bilgileri Tails’ta yer alan MAT uygulaması ile silebilirsiniz.

Screenshot from 2015-06-06 16:30:17

Add ile metadalarını silmek istediğiniz dosyaları ekleyebilir be Scourge ile silebilirsiniz.

Tails kullanırken dikkat etmeniz birkaç nokta aşağıdadır:

  • Tails kullanırken gerçek kimliğinize ait hesaplara (Facebook, Gmail gibi) giriş yapmamayı tercih edin.
  • Claws Mail, Internete Tor ağı üzerinden bağlanacağı için Gmail gibi hesaplar girişi engelleyebilir ve size şifre sıfırlama gibi mesajlar gönderebilir. Gmail, Hotmail, Yahoo gibi hesaplar yerine Tor ağı dostu e-posta servisleri tercih edilmelidir.
  • Kesinlikle Flash kurulmamalıdır.
  • Adblock gibi eklentiler reklamları engellerken IP bilgisi sızdırabilir.
  • Javascript kurulmamalı ve aktif edilmemelidir.

Tails kurulum ve kullanım olarak gayet kolay bir canlı işletim sistemidir. Öte yandan, bu yazı Tails’ın içerdiği tüm uygulamalara ait detaylar içeren bir yazı değildir. Birey, Tails’ı kendi bilgisayarında deneyerek içerdiği uygulamaların neler olduğunu çok kolay bir şekilde keşfedebilir. İlerleyen süreç içerisinde de bu uygulamalara ait detayları bu yazıda bulabilirsiniz.

Son olarak, Tails, Tor, VPN, Proxy vd. sizlere %100 anonimlik sağlamayacaktır. Bunun bilincinde olmak en az bir anonimlik aracını kullanmayı bilmek kadar önemlidir.

Tor Bir Öcü Mü?

Gelen yorumlardan sonra bu yazıyı yazmak şart oldu. Tor bir öcü mü, anonimlik nedir bir bakalım.

Anonimlik nedir? Anonimlik, özne setleri (anonimlik seti) içinde kimliğin saptanamaz olma durumuna denir. Bu tanım ilk olarak 2000 yılında Pfitzmann ve Hansen tarafından yapılmış ve Anonim literatürü genelinde kabul edilmiştir. Pfitzmann-Hansen için anonimlik, bir öznenin başka özneler (bir düşman, rakip, saldırgan) tarafından farkedilmeden anonim olarak işlemine devam etmesidir. Anonimliğin bu tanımı, ayrıca, düşmanların (rakiplerin, saldırganların) anonim özneler hakkında bilgi edinmeye çalışması olasılığını da ortaya çıkartmaktadır. Anonimlik düzeyi ölçülebilir. Burada çok teknik detaya girmeyeceğim ama kısaca şunun iyi kavranması gerekli; Anonimlik kişisel tehlike modellerine dayanır. Kimsiniz, kimden gizleniyorsunuz? Neden ve ne tür bir risk alıyorsunuz? Bunun cevabını verecek olan da anonim olmak isteyen öznedir. Her öznenin farklı yöntemleri, aldığı farklı riskler vardır ve kısaca herbiri eşsizdir.

Anonimliğe kısa bir giriş yaptıktan sonra konuya Tor açısından bakalım. Tor, misyon olarak devam etmekte olan ifade özgürlüğü, çevrimiçi gizlilik hakları ve sansür alanlarında,  teknoloji, müdafa, araştırma ve eğitim için küresel bir kaynak olmayı hedeflemektedir. Sizlere belirli bir düzey anonimlik sağlar, çeşitli riskler içerir (mitm, dinleme vs.) ve bunu da olabildiğince güvenli ve gereksiz işlem yükü bindirmeden yapar. Büyük medya organizasyonları tarafından (özellikle yabancı) çok farklı şekillerde, özellikle çocuk pornosu, uyuşturucu, terörizme aracı gibi tanıtılmaktadır. Tor’u duyan kişiler genellikle bunu kullananlardan, konferanslardan, kendi websitesinden öğrenmediği ve genellikle bu medya organizasyonların yaptığı haberler ve yazdığı makalelerden öğrendiği için kafalarda çok farklı bir algı oluşmaktadır. Tor, bu “kötü” şeyler için yapılmış, yasa dışılığı savunan bir araç değildir. Fakat, bilinen şudur; evet birileri Tor’u kullanarak yasa dışı aktivitelerde bulunmaktadır.

Yasa dışı aktivitelere gelelim. Kötü bireyler, kötü bireylerdir. Tor olsun veya olmasın, zaten kötü bir şeyler yapmışlardır, yapıyorlardır veya yapacaklardır. Kaldı ki Tor’un sağlayacağı anonimlikten çok daha fazla seçeneğe sahiptirler. Bunun için büyük miktarlada para harcayabilirler, farklı ülkelerdeki bilgisayarları hackleyerek kötüye kullanabilirler vs. Fakat, parası olmayan, normal bir bireyin anonimlik için, ifade özgürlüğü için, sansürü aşabilmek için çok fazla bir alternatifi yoktur. Teoride suçluların Tor kullandığı söylenebilir, fakat daha fazla ve daha iyi seçeneklere sahiptirler. Tor’un olması veya olmaması onları kötü işler yapmaya devam etmekten alıkoymayacaktır.

Şimdi bir elimizde (Suriye’de Tor ile rejime yakalanmadan ailesi ile iletişim kuran bir kız olayı var.) ifade özgürlüğü kısıtlanmış, baskıcı bir ülkede, sansürden erişilemeyen sitelerde dünyaya sesini duyurmak isteyen bir birey var. Diğer elimizde de bu kötü bireylerden biri var. Soru şu; biz bu ikisini nasıl dengeleyeceğiz? Bu iki duruma nasıl bir değer vereceğiz? Bu durumları nasıl değerlendireceğiz? Baskıcı ülkede yaşayan bireyle, kötü işler yapan bireye nasıl bir değer atayacağız? Bunların hangisinin daha önemli olduğuna nasıl karar vereceğiz? Cevabı kısaca şudur; bu seçimi yapmak kimseye düşmez. Baskıcı ülkede yaşayan kişinin elinden böyle bir seçeneği alırsanız kendini özgürce ifade edemeyecek, özgür bilgiye ulaşamayacak ve hatta öldürülebilecektir. Fakat kötü bireyin elinden Tor alınırsa, kötülük yapabilmek için farklı birçok yönteme başvuracaktır. Kaldı ki, normal bireyler, yani bizlerin Tor dışında çok fazla alternatifi yoktur.

Bununla birlikte, bir analiz için kurulan Exit Relay’e ait Tor trafiğinin %3’ünde “kötü” aktiviteye rastlanmıştır. Medyanın Tor’u nasıl öcü gibi gösterdiğine gelelim. BBC, Tor ve Silkroad ile nasıl uyuşturucu alınacağına dair bir makale yazıyor. İşin enteresan tarafı Tor geliştiricilerinin hiçbiri böyle bir şeyi savunmamasına rağmen makale Tor’un yasa dışı işler için kullanılan bir araç gibi göstermekte. Makalenin yorum kısmında ziyaretçilerden gelen “artık sayenizde öldürülmeden uyuşturucu alacağım” diyen teşekkür mesajları ile bir patlama yaşanıyor. Bu makalenin devamında gelen yeni BBC makalesinde ise uyuşturucu aldıklarını ve çok iyi olduğunu söylüyorlar. Burada amaç Tor’u bir öcü göstermenin ve yapmaya çalıştığını yıkmanın yanında daha fazla tıklama ve daha fazla gelir için makale yazmak da denilebilir.

Yazı ek olarak kısaca Tor kullanıcılarının bilmesi gereken basit bir terminolojiden bahsedeyim:

Web: The World Wide Web. Tarayıcı ile erişilebilen, Internetin parçasıdır.
Deep Web: Bilgisi hiçbir arama motoru tarafından kaydedilmemiştir. Bu bilgi veritabanlarında tutulan veya yapılan istek sonrası oluşturulan sayfaları da kapsamaktadır.
Dark Web: Web’in herkerse açık Internet tarafından kolayca erişilemeyen, erişilmek için özel araçlara ihtiyaç duyulan kısmı. Tor ağı için Hidden Service, I2P ağı için eepsites.
Herkese Açık Internet: Herkesin kullanıma açık olan, devletler ve İSS’ler tarafından filtrelenen ve sansürlenen Internet.
Özel Ağ: Belirli bir amaç için oluşuturulan bilgisayar ağı.

Son olarak sıkça yapılan yanlış önerilerden bahsedeyim. Tor tarayıcısı nasıl geliyorsa, geldiği gibi kalmalı (fingerprint ne kadar önemli kötü yollardan deneyimlemeyin). Eklenti kurmayın, bir örnek isterseniz Adblock. Reklamları engellerken Tor’un gerçek IP’yi sızdırdığı farkedilmiştir ve bu yüzden kurulması tavsiye edilmiyor. Bir diğeri Adobe Flash. Bilgisayarınızda Adobe Flash eklentisi olsa dahi Tor tarayıcısında bunu aktif etmeyin. Son olarak Java. Tor tarayıcıda gördüğünüz üzere NoScript eklentisi mevcut. Eğer güvendiğiniz bir site değilse scriptlere izin vermeyin.

Tarayıcılar ve Eklentiler

E-postalar üzerinden de bu sorular devamlı sorulduğu için kısa bir rehber hazırladım. Umarım işinizi görür.

İlk olarak belirtmeliyim ki bu rehberin %100 anonimlik veya güvenlik sağladığı yanılgısına kapılmak veya burada yazan tarayıcı ve eklentileri kullanarak gizliliğin sağlandığı, anonim kalındığı ve güvenli olunduğu kullanıcıyı büyük riskler içine çekebilir. Bu kavramların içi iyi bir şekilde doldurulmadığı sürece, bir tarayıcıdan veya eklentiden bir şeyler beklemek hata olur. Buraya kadar her şey anlaşıldıysa bana sıkça sorulan sorulara geçelim.

Hangi tarayıcıları kullanıyorum?

Neden Firefox Aurora ve Tor Browser kullanıyorum?

Öncelikle bu iki tarayıcıyı şu şekilde ayıralım: Firefox Aurora benim anonimliğe ihtiyaç duymadan, güdenlik işlerimi yüksek bir güvenlik sağlayarak gerçekleştirdiğim, eklenti desteği yüksek, stabil ve hızlı bir tarayıcıdır. Diğer yandan Tor Browser, anonim kalmamı sağlayan ve bunu en iyi şekilde yapan, benimle ilgili, gerçek kimliğime veya trafiğime ait en düşük bilgiyi sızdıran (İSS trafiğinizi şifreli bile görse %100 anonimlik diye bir şey yoktur!) bir tarayıcı olup, anonimliğe ihtiyaç duyduğum zamanlarda kullandığım diğer tarayıcıdır. İki tarayıcının kullanım amaçlarını ayırdıktan sonra diyeceğim bir diğer şey de, evet Firefox Aurora veya Google Chrome veya Opera veya başka bir tarayıcı da Tor ağı üzerinden Internete çıkabilir. Fakat, anonimlik açısından bakarsak Firefox’un Tor ağı üzerinden Internete çıkması sizinle ilgili belirleyici bir bilgi sızdırır. Kaldı ki çeşitli ayarları (useragent vs) değiştirseniz dahi sizinle ilgili bilgi toplayan servisler Tor Browser’dan farklı bir tarayıcı kullandığınızı parmak izleri (fingerprinting) üzerinden görebilir.

Hangi eklentileri kullanıyorum?

Tor Browser; HTTPS-Everywhere, Tor Button ve NoScript eklentileri ile birlikte gelmektedir. Bunun dışında başka bir eklenti kurmaya gerek yoktur. Diğer yandan, kurulacak eklentilerin anonimlik derecesini etkileme olasılığı da mevcuttur. Tor Browser’ı olduğu haliyle korumak en iyisidir.

Firefox Aurora için kullandığım eklentileri ve özelliklerini sıralayarak ilerleyeyim.

Adblock Edge, Adblock Plus’ın forklanmış halidir. Kendi tanımında da yazdığı üzere farkı; Plus  –muhtemelen– maddi kazanç sağlamak için bazı reklamlara (acceptable ads) izin vermektedir, Edge’de ise izin yoktur.

Tarayıcı üzerinden şifreli ve gizli mesajlaşmak ve sohbet (OTR) için –şimdilik– en iyi eklenti. Ayrıca, grup özelliğine sahip olduğu için birden fazla kişi ile bir grupta toplu yazışma yapabilirsiniz. Bilinmesi gereken en temel şey, Cryptocat kullanırken IP adresiniz gizlenmiyor ve bu yüzden takip edilebilme olasılığınız vardır. Tor ağı üzerinden Cryptocat kullanarak bunu da aşabilirsiniz. Bunun için custom server’dan Tor Hidden Service’i seçebilirsiniz.

Eğer tarayıcı üzerinde bir proxy yönetimi ihtiyacı duyuyorsam bunun için kullandığım tek eklenti. Proxy yönetimi ile kastettiğim gerektiğinde örneğin Tor, i2p gibi proxyler veya sahip olduğum shell hesabı ile ssh tünel için kullanmaktır.

Birçok website https yapısına sahip olsa bile ziyaretçileri http üzerinden karşılamaktadır. Bu eklenti ise güvenli olmayan http bağlantısını –eğer website sahipse– https olarak yeniden yazar ve kullanıcıları şifreli bir bağlantı ile karşılamaya zorlar. Olmazsa olmazdır. Bunun örneğini çok yakınlarda bir Youtube videosuna yapılan URL tabanlı engeli aşmada ne kadar işe yaradığını görmüştük. Fakat tek sıkıntı, hala ve ısrarlar birçok website https kullanmamakta ve SSL sertifikası için para ödememektedir. Ayrıca, tavsiye olarak SSL Oberservation özelliğini aktif edin. Bu sizlere eğer bir man-in-the-middle saldırısı varsa bilgi verecek ve eklentinin daha iyi geliştirilmesi için EFF‘ye anonim rapor gönderecektir.

Tarayıcı üzerinden OpenPGP şifreli e-posta göndermek için -bence- en iyi eklenti. Grafik arayüzü, hazır gelen servisler (Gmail, Yahoo vs.), anahtar yönetimi ile son kullanıcıya yönelik ve bu işi de en basit şekilde yerine getiriyor. Artık günümüzde şifreli e-posta göndermek bir zorunluluk olduğu için denenmesinde fayda var.

Websiteleri üzerinde gelen JavaScript, Java, Flash, Silverlight ve diğer çalıştırılabilir eklentilerin kontrolünü ve iznini kullanıcıya bırakarak bu eklentilerden gelebilecek veri toplama ve saldırıları engeller. Hatırlarsanız, Freedom Hosting baskını sonrası zararlı bir JavaScript bulunduğundan Tor Browser’ın bundan etkilendiği –kısa süre içinde bu durum düzeltildi– sözedilmişti.

Bunu kısaca şöyle anlatayım; bir websiteye herhangi bir makaleyi okumak için girdiniz, bu site üzerinde sunulan içerik olarak bir Youtube videosu da var, bu videoyu izlemeseniz dahi tarayıcınız Youtube’dan gelen isteği yanıtladı, ayrıca bir de Analytics mevcut. Böylelikle Google, Analytics ve Youtube ile sizin girdiğiniz siteyi ve okumak istediğiniz makaleyi, bu site üzerinde ne kadar vakit harcadığınızı öğrenerek sizin profilinizi çıkarmaktadır. RequestPolicy ise bu websitelerden gelen istekleri otomatik olarak engelliyor. Yönetim işini kullanıcıya bırakıyor. Diğer yandan XSS veya CSRF gibi saldırıları da bu şekilde engellemektedir. NoScript ile birlikte müthiş bir ikili oluşturur.

Uzun zamandır Cookieless Cookies, yani çerezsiz çerezler (tercüme benim) nedir, bir sayfayı çerezler ve JavaScript kapalı, VPN üzerinden ziyaret ettiğiniz zaman bile bu yöntemle takip edilebildiğinizi anlatmak istiyordum. Nasip bu yazıya oldu. Kısaca Etag (entity tag) kavramını açıklayayım. Etag, http’nin parçası olan bir protokol olup, bir URL’de gelen içeriklerin (gif, jpeg, js vs.) değişip değişmediğini doğrular ve her içeriğe özgü bir etag (checksum, sağlama toplamı) atar. Eğer URL’deki içerik değişmişse yeni bir etag atanır. Bir örnek vereyim; bir sayfaya girdiniz, sayfada bir jpeg var. Bu jpeg’in kendine ait bir etag’ı mevcut. Tarayıcı jpeg’i açtığı ve etag’ı öğrendiği zaman sunucuya doğrulama için bilgi gönderir. Sunucu jpeg’de bir değişklik olup olmadığını kontrol eder. Eğer yoksa jpeg’i yeniden almaya gerek kalmaz ve böylece gereksiz veri akışından kurtulunur. Ziyaretçilerin takibi ise bu yöntemle olmaktadır. Çünkü sunucu her tarayıcıya has bir etag verecek ve veritabanından da bunu kontrol edecektir. Bunu aşmada Self-Destructing Cookies’in yanısıra Secret Agent eklentisi de işe yaramaktadır. Tarayıcının useragent’ını düzenli olarak değiştirerek devamlı farklı etag’ların oluşturulmasını sağlar ve bunlar üzerinden gerçekleştirilecek takibi aşmaya çalışır. Whitelist’e sahip, böylece güvendiğiniz websitelerini buraya ekleyebilir ve sorunsuz kullanabilirsiniz.

Otomatik olarak kullanılmayan çerezleri temizleyen bir eklenti. Ayrıca bir whitelist’e de sahip. Buraya güvendiğiniz websiteleri girerek diğer sitelerden gelen çerezlerin belirli bir zaman aralığında otomatik ve kalıcı olarak silinmesini sağlayabilirsiniz. Böylelikle farkında olmadan çerezler tarafından gözetlenmenin de önüne geçersiniz.

Bir imajın sahte olup olmadığını anlamanın en iyi yolu bu eklentiden geçiyor. Örneğin Twitter’da paylaşılan bir fotoğrafın o ana ait olup olmadığını merak ettiniz. Bu eklenti ile fotoğrafa sağ tıklayarak TinEye’ın devasa veritabanında aratabilir, daha önce kullanılmışsa hangi sitelerde ve ne zaman kullanıldığını görebilirsiniz. Dezenformasyona karşı ilaç gibi gelecektir.

WebPG’de tıpkı Mailvelope gibi GnuPG/PGP şifreli e-postalar göndermenizi sağlayan gayet kullanışlı bir eklenti. Bazı web arayüzleri ile sıkıntıları giderilebilmiş değil ama basit bir kullanıma sahip. Sisteminizde ekli olan size ve arkadaşlarınıza sahip tüm anahtarları otomatik olarak alıyor. Denemeye kesinlikle değer.

Vim kullanmaktan büyük keyif aldığım bir editör. Kısayolları çok sevdiğim için ve bunları da bir tarayıcı üzerinde fareye ihtiyaç duymadan rahat bir şekilde kullanabilmek için en iyi eklenti Vimperator. Gerçi, VimFx ve Vimium ve Pentadactyl gibi uygulamalar da mevcut. Hepsi de aynı işi yapıyor.

Tüm bunlar gizliliğim, anonimliğim veya güvenliğim için yeterli midir?

Hayır! Öncelikle gizlilik, anonimlik ve güvenlik gibi kavramlar doğru anlaşılmalıdır. Anlaşılmadığı takdirde kullandığınız araçlar elinizde bir çöpe dönüşür. Bu yüzden tekrar ve tekrar tavsiye olarak gizlilik, anonimlik gibi kavramların içini iyi doldurmak ve bu konularda bolca araştırma yapmak gerekiyor.

Girift Haklar

Gizlilik hakkı birçok hakla girift haldedir. Bu hakkı ihlal etmek ya da birilerinin çıkarları için kullanmak veya sadece muktedire hizmet etmesi diğer hakların da doğrudan etkileneceği anlamına gelir. Bir inceleme yazısı olarak eleştirilerinizi bekler.

Girift: Birbirinin içine girip karışmış, girişik, çapraşık.

Önce gizlilik hakkının bize ne ifade etmesi gerektiğine bir bakalım ve kısaca tanımlayalım:

Gizlilik hakkı, bizi biz yapan şeylerin tümünü içeren, örneğin bedenimiz, evimiz, mülkiyetimiz, düşüncelerimiz, duygularımız, gizlerimiz ve kimliğimiz gibi, bizi çevreleyen bir alana sahip olma hakkıdır. Gizlilik hakkı, bizlere, bu alandaki parçalara kimlerin erişip erişemeyeceğini, ve açığa çıkarmak istediğimiz parçaların kapsamını, niyetini ve zamanlamasını kontrol etme yeteneği verir.

Tanımda da görüldüğü üzere gizlilik bizi biz yapan değerlerin tümünü içeren bir yapıya sahiptir. Gizlilik açık toplumlar için bir gerekliliktir. Gizlilik, gizli kapaklı işler yapmak ya da “saklanmak” değildir.  En önemli noktası ise kişi eğer kimliğini açıklamak istiyorsa “kendi” açıklar, açıklayacağı kişileri ve zamanını kendi seçer. Genelden özele doğru gideceksek eğer gizlilik hakkından özel hayata doğru bir yol izlemek daha uygun gözükmekte. Fakat, aynı yöntemle özel hayattan gizliliğe doğru da alternatif bir yol izlenebilir. Seçimini ilk söylediğim yol üzerinden yapacağım.

Açık toplum, devletin şeffaf, bürokrasiden uzak, toleranslı olduğu, sırrını halkından gizlemediği, otoriterlik karşıtı bir yapıyı ifade eder. Açık toplum için o toplumda ifade özgürlüğünün olması şarttır. İfade özgürlüğü bireyin düşüncelerini açıklamasıdır. Düşünce ise bir kişi, olay vs. hakkında görüş sahibi olmak, zihinsel hüküm kurmak, değerlendirmek ve yorumda bulunmaktır. Bunu ise yazıyla, sözle, resimle, fotoğrafla, video vs. ile yansıtmasıdır. Zihinsel hüküm şunu söyler; bu süreç bireyin kendi iç dünyasındadır, başkası tarafından bilinemez. Birey özgür olarak düşünemiyorsa, kendini özgürce ifade edemez. Ayrıca, düşüncenin oluşabilmesi için birey kaynaklara özgürce ulaşabilmeli, erişmek istediği bilgileri özgürce seçebilmelidir.

Şimdi gizlilik hakkının ihlal edildiğini düşünün. Örneğin, iletişim sürecinde herhangi bir mekanizma tarafından (dinleme vd. yollarla) kişisel kimliğiniz ve mesaj içeriğiniz ifşa edildi. İletişim süreci içerisinde kendinizi özgürce ifade ettiğinizi düşünmekteydiniz. Yazılı veya sözlü, nasıl olduğunun çok bir önemi yok. Sonuçta, gizliliğinizle birlikte iletişim özgürlüğünüz ihlal ve ifşa edildi. Böylece ifade özgürlüğünüz darbe yemiş oldu. Bu ihlalden dolayı artık kendinizi rahatça ifade edemeyecek, düşüncelerinizi “kimliğim ifşa edilirse” korkusu yüzünden açıklayamayacak, daha farklı davranacak, dürüstlüğünüzden ödün vermeye başlayacaksınız.

Gizlilik ihlali = İletişim gizliliği ihlali -> Düşünce özgürlüğü ihlali -> İfade özgürlüğü ihlali

Dijital bir çağda yaşıyoruz. Kendimizi en çok ifade ettiğimiz yerlerden biri Internet. Yazılı, sözlü, görsel, işitsel, her türlü ifade şeklini rahatça yapabilmekteyiz. Sadece biz değil, basından, partilere aklınıza gelebilecek herkes, her oluşum kendini Internet’te ifade etmekte. Internet’te yapılacak herhangi bir sansür doğrudan ifade özürlüğünü kısıtlar. Çünkü, Internet özgürlüğü ifade özgürlüğünün koruyucusudur. Eğer herhangi bir sitede kendini ifade edenlerin kimlikleri ifşa edilirse, site sansürlenir olmadı içerikler kaldırılmaya zorlanırsa, ifade özgürlüğünü de sansürlemiş olur zıt düşünceleri ortadan kaldırılmış olur. Devletin buradaki rolü kendi koyduğu normlara uygun düşmemeyi güvence altına almaktır, engellemek değil. Devlet eğer bir sınırlama yapacaksa uluslararası sözleşmelerle çizilmiş meşru sınırları dikkate almalı. Kısaca bir örnek verirsem, müslüman iktidar  için ateist içerikler sansürlenemez.

Gizlilik ihlali = Internet sansürü -> Düşünce özgürlüğü ihlali -> İfade özgürlüğü ihlali

Birey ev, aile ve özel hayatında gizlilik hakkına sahiptir. Bunun nasıl ifşa edildiğinin -bence- bir önemi yok. Seks kasedi, bireyin özel hayatına dair ses kayıtları, görseller vs. Bunu sadece ahlaksızlık ya da  “sevişiyorlarsa bizi ilgilendirmez” diye kestirip atmak büyük resmi görmemizi engeller. Özel hayatı ifşa olan (sadece özel hayat değil elbette) birey kendini ister istemez bireysel-sansüre alır. Sadece hareketlerini değil düşüncelerini de sansürler. Düşüncelerini sansürleyen birey, ifade özgürlüğünü de kısıtlar. Görebildiğiniz üzere bir gizlilik ihlali yapıldığı zaman diğer hakların nasıl etkilendiği çorap söküğü gibi gelmekte.

Gizlilik ihlali = Özel hayatın ifşası -> Bireysel-sansür -> Düşünce özgürlüğü sansürü -> İfade özgürlüğü sansürü

Bireyin nereye gittiğinin ve nasıl gittiğinin fişlendiğini THY’nın kendisiyle uçanları MIT ile fişlediklerinden öğrenmiştir. Birey, seyahat özgürlüğüne sahiptir. Anayasal bir hak olarak birey yaşadığı ülke içinde özgürce dolaşabilir ya da oturma izni alabilir. Bireyin nereye ne zaman gittiğini sadece kullandığı şirket bilmelidir. Bunun ifşa edilmesi ya da üçücü şahıslarla paylaşılması dahi düşünülemez.

Gizlilik ihlali = Seyahat özgürlüğü ihlali (ifşası, paylaşılması)

Örnekler çoğaltılabilir, hak ve özgürlükler kapsamında daha da ilerlenebilir. Görüldüğü üzere bu hakların hepsi girifttir. Birini ihlal ettiğiniz zaman ya bu süreç içerisinde ya da sonrasında diğer hakları da ihlal etmiş oluyorsunuz. O yüzden sürekli vurguladığım şey şu; bir hakkın eksik, kusurlu, muktedirin çıkarlarını korumaya yönelik ya da kontrolü altında olması diğer hakların da bundan etkileneceği ve eksik, kusurlu veya doğrudan muktedirin çıkarlarını koruyacağı ya da kontrolü altında kalabileceğidir. İhlal edilen sadece sizin hakkınız değil, herkesin hakkıdır.

Birinin düşüncelerine katılın veya katılmayın ama onun bunları özgürce söylebilmesi için çaba sarfetmeniz ve bunun için çalışmanız gerekmektedir.

Anonim Hesapların Korunması

Üye olduğunuz bir sitenin hiç Privacy Policy kısmını okuyor ya da sizi yasal süreçte neler bekliyor farkında mısınız? Gelin küçük bir inceleme yapalım.

İddiam şu; hemen hemen hiçbirimiz üye olduğumuz sosyal medya sitelerinin gizlilik politikaları (Privacy Policy) bölümünü okumuyoruz. Okumuyoruz ve eğer bizimle ilgili herhangi bir yasal süreç işlerse, bu noktada üyesi olduğumuz sosyal medya sitelerinin nasıl tepki verebileceğini, bizimle ilgili nerenin/hangi yasalara uygun olarak ifşalarda bulunabileceğini de bilmiyoruz. Diyelim ki, benim (çok kullanılan hesaplardan biri olarak) bir last.fm hesabım var (siz başka sitelerin Privacy Policy kısımlarını inceleyebilirsiniz, iyi de olur.), bununla birlikte bir de anonim kimliğim “X“‘e ait, aktivistlik yaptığım bir Twitter hesabım var. Ayrıca, Twitter daha önce Türkiye hükümetinin yapmış olduğu bilgi paylaşımı isteğini reddettiği için üzerime de bir rahatlık çökmüş durumda.

Öncelikle last.fm’in Privacy Policy sayfasının 16 numaralı, yasal olarak mecbur kalınan ifşalar anlamına gelen “Legally-Compelled Disclosures” bölümüne bakalım:

We believe in privacy and therefore will take all reasonable measures to ensure that your personally identifiable information remains private. However, in the event that we are required to disclose personally identifiable information by a court, the police or other law enforcement bodies for their investigations, regulation or other governmental authority we will make such a disclosure without being in violation of this Policy.

Diyorlar ki, bizler gizliliğe inanıyoruz ve kişisel kimliğinizi saptayabilecek bilginizin gizli kalaması için tüm sorumlulukları alacağız. Fakat, bir olayda bizden kişisel kimliği saptayacabilecek bilginin mahkeme, polis ya da kanun uygulayıcının araştırmaları, düzenlemeleri ya da  devletin diğer bir yetkilisi tarafından istenirse bu politikayı ihlal etmeden bir ifşada bulunuruz. İddiamın olasılığını merak edip last.fm ile iletişime geçtim. Soru olarak da:

Örneğin, ben bir internet akvisitiyim ve ayrıca last.fm hesabım da var. Bir şekilde devlet, Twitter’da yazdıklarım için ifşa edilebilir kişisel bilgilerimi Twitter’dan istedi ve Twitter reddetti. Daha sonra last.fm hesabımı farkettiler (tweet’lerden) ve sizden benim kişisel bilgilerimi istedi. Bu noktada siz ne yaparsınız?

dedim. Sorduğum bu soru için bana 25 Kasım‘da “bunu hukuki olarak kabul ettiklerini ve konuyla ilgili bir araştırma yapacaklarını” söyledir. Tabi tüm bunları söylerken de tam bir açıklama olmadığını, bu açıklama üzerinden hiçbir hak talep edilemeyeceğini ve şirkete çemkirilemeyeceğini de belirttiler. Bunu belirtmezsem ben de last.fm’e ayıp etmiş olurum.

2 gün sonra, 27 Kasım‘da gelen yeni cevapta ise last.fm’in ilgili ülkenin tatbik edilebilir kanunları  ile birlikte “Legally-Compelled Disclosures“‘a uygun olarak yükümlüğünü yerine getireceğini ve bireysel sorunlar üzerine daha fazla yardımcı olamayacaklarını belirttiler. Yani, eğer sizin kişisel bilgileriniz last.fm’in belirttiği doğrultuda (mesela mahkeme kararı, devlet yetkilisinin isteği gibi) istenirse (muhtemelen diyelim biz gene) kanun uygulayıcı ile paylaşılacaktır.

Örnek senaryo; yukarıda bahsettiğim iddiama uygun olarak bir senaryo oluşturayım. Diyelim ki ben anonim kimliği “X” olan bir internet aktivistiyim (aktivist olmanız şart değil). Twitter üzerinde iktidar karşıtı söylemlerde (küfür de ediyor olabilirsiniz) bulunuyorum. Bir yandan last.fm profilimle ilgili bir şeyler paylaşıyorum (tekrar diyeyim last.fm şart değil, sadece bir örnek!). Diğer yandan Hayyam rt’leri yapıyorum (hahah). Eğer, benim hesabımın bir savcı tarafından polise (ya da başkasına) takibinin yapılması için bir istekte bulunulmuşsa polis, önce Twitter’a gidecektir. Twitter, polisi reddeder, işbirliğinde bulunmayacağını, kullanıcı bilgilerini paylaşmayacağını söylerse, polis; bu sefer takip ettiği hesabımın başka hesaplarla ilişkili olup olmadığını inceleyecektir. Çünkü (felix‘e teşekkürler), mecra (Twitter, last.fm vs) farketmeyecek (mecra sadece nerenin savcılığının soruşturacağı noktasında anlamlı), savcılık resen veya şikayet doğrultusunda benim profilimi inceleyip kanun uygulayıcıya vermişse, kanun uygulayıcı incelemesi için önce Twitter’a, sonra eğer ben diğer hesaplarımı burada paylaşmışsam oradan hareketle gidecektir. Bunun bir sonucu olarak, benim anonimliğim tehlikeye girmiş, ayrıca önümde bir yasal süreç olacaktır.

Sonuç, anonim hesaplarınızı ve sizi ifşa edebilecek diğer sosyal medya hesaplarınızı birbirleri ile ilişkilendirmeyin. Anonim kimliğinize ait hesaplarınızla yapmak istediğiniz şey neyse sadece onu yapın. Diğer sosyal medya hesaplarınızı da bu yaklaşımla kullanırsanız, anonim ve gerçek hesaplarınızı birbirinden ayrı tutmada ilerleme kadedersiniz. Bunu sansür olarak da algılamayın lütfen. Diğer sosyal medya hesaplarınızı silmeniz için bir neden olarak da düşünmeyin. Vurgulamak istediğim şey iddiamda da söylediğim üzere kendimizi sosyal medyanın içine atıp orada kayboluyor, başımıza bir şey gelene kadar da üyelik sözleşmesi olsun, gizlilik politikaları olsun hiçbirini okumuyor ve incelemiyoruz. Dikkatli olmakta ve hesapları temiz tutmakta fayda var! Çünkü kullandığınız servis tarafından anonim hesabınıza ait kişisel bilgileriniz paylaşılmasa bile bu hesapta üzerinde paylaştığınız diğer servisler sizin bilgilerinizi ifşa edebilir.

Veriyi Unutmak Ve Unutulma Hakkı

Türkiye’de ciddi sıkıntılar doğuran, verilerin elden ele dolaştığı, veritabanlarının yüksek fiyatlara satılıp size ait kişisel verilerin ve gizlilik hakkınızın hiçe sayıldığı bir ortam mevcut. Durup dururken gelen bir telefonla “Merhabalar … bey, ben …, sizlere bir ürünümüzü tanıtmak istiyorum…” şeklinde yapılan tacizkar pazarlamaların bitmek tükenmek bilmediği şu zamanda, verinin unutulması ve unutulma hakkı üzerine bolca eleştiriye açık fikirlerimi belirtmek istedim.

Kafanızda önce bir örnek canlandıralım. Sarhoşsunuz, canınız sıkkın veya çok mutlusunuz, bilgisayarın başında sosyal medya profillerinizin birinde (Facebook, G+ vs.) kendinize ait bir fotoğraf ya da bir yazı vs. paylaştınız. Bu fotoğraf (veya yazı) sizinle ilgili ileride başınıza iş açabilecek, her zaman karşınıza çıkabilecek bir şey taşıyor. Örneğin yarı (veya tamemen) çıplaksınız, (birine veya birilerine) nefret (veya aşk) dolu (küfür şart değil) bir yazı yazdınız. Sabah uyandığınızda bir de baktınız ki gönderdiğiniz fotoğraf 10 arkadaşınızın da duvarında, bir sürü yorum almış, üstüne arkadaşlarınızın duvarından başka yerlere aktarılmış, Internet Wayback Machine tarafından Internet tarihin tozlu sayfalarına eklenmiş ve arama motorlarında adınız ve soyadınız aratıldığında direkt karşınıza çıkmış. Hemen kullandığınız sosyal medya sitesiyle iletişime geçtiniz, fotoğrafı duvarınızdan sildiğinizi ve sunuculardan da silinmesini istediğinizi söylediniz. Kabul edildi veya edilmedi (fakat yasa varsa buna bir şekilde zorlayacaktır), bir de baktınız arkadaşlarınızın duvarlarında fotoğraf durmaya devam ediyor, aramalarda karşınıza çıkıyor, ya şimdi ne olacak?

Bir Internet sitesi bu durumda kimin duygularını esas almalı? Duvardan duvara aktarılan o fotoğraf artık kimin? Siz üzgünsünüz diye bir Internet sitesi başkalarına da müdahale etmeli mi? Bununla ilgili söylenen temel şeylerden birisi; “eğer bir salaklık yapıp açık bir alan adı üzerinde, gruplarda, forumlarda vs. böyle bir paylaşımda bulunmuş veya kendinizle ilgili tüm özel şeyleri anlatmışsanız, ileride bunlardan dolayı başınıza bir şey gelmesi durumunda şaşırmamalısınız“. Bir diğer nokta da Jeffrey Rosen‘in “Internet yapısına, Google, Facebook ve Yahoo gibi sitelere zarar vereceği ve en önemlisi de Internet’te konuşma özgürlüğünün bundan olumsuz etkileneceği” görüşü. Bunlar haklı bir cevap, fakat bir kişinin yaptığı bir salaklıktan dolayı bir verinin saatli bomba gibi, kontrolü dışında ve ulaşamayacağı bir bulut üzerinde durmaya devam etmesi de doğru değildir. Bu işin bir orta yolu olmalı. Peki bu orta yol nasıl olacak? Benim şahsi görüşüm, unutulma hakkı açık ve net olarak ne çok aşırı detaylı ne de çok basit bir şekilde tanımlanmalı, konuşma özgürlüğü, bilgi alma özgürlüğü, ifade özgürlüğü ve Internet özgürlüğü gibi temel hak ve özgürlüklere zarar verici olmamalı. Kanun uygulayıcının veya Internet sitelerinin (bu tartışılabilir. çünkü bir Internet sitesi jüri görevi de görmeli mi yoksa sadece teknik hizmet mi vermeli?) bu yasaya baktıklarında herhangi bir olay için uygulanabilir veya reddedilebilir olmasına karar verebilmeli. Bu şunu sağlar:

  • Konuşma özgürlüğü, bilgi alma özgürlüğü, ifade özgürlüğü ve Internet özgürlüğü gibi temel hak ve özgürlüklerin bundan olumsuz etkilenmesinin önüne geçecektir.
  • Yasanın açık, anlaşılır ve uygulanır olması yasayı eğip bükmek isteyen, bunu kendi çıkarları için kullanmak isteyen muktedirlerin önüne geçecektir.
  • Sosyal medyanın, Internet sitelerinin ve Internet yapısının bundan en az zararla etkilenmeleri sağlanmış olacaktır.
  • Her “ben bir salaklık yaptım bunu silin” diyenin isteğiyle kafasına göre verinin silinmesi engellenmiş olacak (yukarıda bahsettiğim temel hak ve özgürlükler doğrultusunda).

Bir sosyal medya sitesine (ya da herhangi bir siteye) üye oldunuz, bir şeyler paylaştınız, daha sonra aldığınız hizmetten vazgeçmek istediniz ve hesabınızı silmeye karar verdiniz. Hesabınıza ait veriler ne olacak? Bu veriler üçüncü şahıslara kişinin izni alınmadan satılıyor mu ya da  satıldı mı? Nasıl oluyor da hiç tanımadığınız birileri sizi arayıp bir ürün satmaya çalışıyor? Veya nasıl oluyor da hesabını sildiğiniz bir Internet sitesi sizlere düzenli olarak e-posta göndermeye devam ediyor? Tacizkar pazarlama demiştim kısaca bir anlatayım. Bir bara gidiyorsunuz ve biri kabul edene kadar önünüze gelene evlenme teklif ediyorsunuz. Kimse kabul etmezse de suçu kendinizde bulmuyor o barı size önerene kızıyorsunuz. Sizleri arayıp ürün satmaya çalışan insanlar da ürünü satana kadar birilerini aramaya ya da hesabını sildiğiniz Internet sitesi sizi geri kazanana kadar bilgilendirme, gelişme, haber vs. adı altında e-posta göndermeye devam ediyor. Kısa bir tanımdan sonra verinin unutulması ile ilgili olarak benim şahsi görüşüm, eğer bir kullanıcı hesabını silmişse, o hesap silinmiştir. Bitti! Bir banka hesabının, bir sosyal medya hesabının, bir cep telefonu operatörü hesabının ya da bir e-posta hesabının silinmesi arasında bana göre fark yok. Şirketler, belirli bir süreliğine (mesela 6 ay, en fazla 1 sene, daha fazlasına karşıyım!) verileri saklayabilirler ama bunu sadece ve sadece şirket içi performans ölçümü ve yeni teknolojilerin geliştirilmesi için “anonim” olarak kullanabilirler. Ayrıca, bu verilerin kesinlikle ve kesinlikle belirli bir süre sonra silinecek diyerek 3. şahıslarla paylaşılması veya satılması (ben buna da karşıyım ama söylemekte yarar var; eğer kullanıcı aksini belirtmemişse ve izinli pazarlama için onayı varsa verebilirler) söz konusu dahi olamaz. Bu konuda gelecek en temel itirazlardan bazıları şunlar; “eğer biz hesap silindikten sonra o hesaba ait tüm verileri (mesela banka için hesap numarası) de silersek ilerde o hesap numarası boşta kalacağı için başkasına verilebilir, (internet için) kullanıcı adı (ya da banka için hesap numarası) başkası tarafından alınıp kötüye kullanılabilir (inceleme yapılırsa eski kullanıcı bundan dolaylı olarak etkilenebilir) ve kullanıcı tekrar geri dönmek isterse bu onu olumsuz (kullanıcı adım alınmış, hesap numaram başkasının vs.) etkileyebilir…“. Eğer böyle sıkıntıların doğabileceğinden bahsedilebiliyorsa konuyla ilgili en temel çözüm; hesap silinmişse ve kullanıcı, verinin unutulma süresi içinde dönmemişse hesap numarasını, kullanıcı adını vs. tamamen bloklansın ve bir daha kullanılamasın. Bu kadar basit. “O zaman bir sürü ölü hesap, kullanıcı adı vs olur.” safsatasını geçelim. Çünkü ciddiye almayacağım.

Son olarak Almanya’dan bir örnek verelim. İki kişi birlikte ünlü birini öldürüyor ve mahkemeye çıkartılıp yargılandıktan sonra suçlu bulunup hapse gönderiliyor. Ceza süreleri tamamlanıp hapisten çıktıktan sonra Wikipedia‘da öldürdükleri ünlü kişinin sayfasına girdiklerinde “tarafından öldürüldü” şeklinde kendi isimlerini de görüyorlar. Wikipedia’yı “Biz hapiste cezamızı çektik, topluma olan borcumuzu ödedik ve bu kazanın unutulmasını istiyoruz.” diyerek isimlerinin kaldırılması için dava ediyorlar. Peki, Tarih, unutulma hakkı için bu iki kişiyi silebilir mi? Geçmişe bu nedenle müdahale edilmeli mi? Orwell’den gelsin; “geçmişi kontrol eden geleceği kontrol eder.” Tüm bunlar bir hikaye değil, yaşanmış ve yaşanmakta olan durumlar.

Sonuçta, unutulma hakkı çok detaylı ve detaylandıkça da zorlaşan bir yapıya sahip. Bunun üzerine ne kadar çok çalışma yapılırsa bizim için o kadar iyi olacak, o kadar çok farklı fikir üretilecek ve değerlendirilecek ve bu çalışmalar herkes için yararlı olacaktır.

Büyük Birader’le Mücadele Etmek

Çocukluğumda yaptığım yaramazlıklar için en çok duyduğum öğüt, “karda yürü ama izini belli etme” idi. Her anımızın gözetlendiği, bir şekilde kaydı tutulduğu ya da bir şekilde bize ait özel dediğimiz verilerin okunduğu şu günlerde Büyük Birader’le mücadeleye nereden başlamalı, bir giriş olarak anlatmak istedim.

  • Biraz paranoya iyidir

Anonimlikte, bence, motivasyon çok önemli. Her adımınızı gözetleyen Büyük Birader’e karşı zihnen de bir mücadele vermektesiniz ve bu konuda motive, sizlere çok büyük bir destek kaynağı olacaktır. Motivasyonun yanına biraz da paranoya eklersek, bence harika olur. Paranoya’nın kısa bir tanımına bakalım:

Paranoya, bireyin herhangi bir olay karşısında olayın oluşumundan farklı olarak gelişebileceğini kendi içerisinde canlandırma yolu ile öne sürdüğü ve sınırsız sayıda çeşitlendirebileceği hayal ürünlerinin tümüdür.

Sizlere yazılarımda devamlı “tehlike modeli“‘nden bahsetmekteyim. Tehlike modeli oluşturmak (kişisel görüşüm) biraz da paranoyaya dayanıyor (ayrıca hesapları ayrıbilmekte örnek bir model var). Çünkü her olay karşısında, bu olayın gelişimi için farklı canlandırmalar oluşturuyor ve buna karşı güvenliğinizi sağlamak üzerine yeni yöntemler geliştiriyorsunuz. Elbette bunu hastalık boyutuna taşımak kişise zarar verecektir. Fakat, paranoyanın model geliştirmedeki etkisini gözardı etmemek gerekli. Anonimlikle ilgili ısrarla söylediğim şeylerden birisi de; “kimsiniz ve kimden saklanıyorsunuz, neden ve ne tür bir risk almayı hedefliyorsunuz?”. Yani, anonimlik düzeyiniz hesaplanabilir, biraz paranoyak olun, iyi bir model oluşturun ve kendinizi koruyun!

  • Kriptografiye önem vermek

Türkiye’deki üniversitelerde kriptografi ile ilgili ne kadar eğitim veriliyor ya da ne kadar insan bu konuda bilgilendiriliyor, bunun üzerine pek bilgi sahibi değilim. Kriptografi çok çok önemli bir konu ve üzerine ciddi olarak düşülmesi, ayrıca bu konuda yerel literatüre çok şey katılması gerekli olduğu düşünüyorum. Kısa bir tanım yapacak olursak:

Kriptografi, gizlilik, kimlik denetimi, bütünlük gibi bilgi güvenliği kavramlarını sağlamak için çalışan matematiksel yöntemler bütünüdür. Bu yöntemler, bir bilginin iletimi esnasında karşılaşılabilecek aktif ya da pasif ataklardan bilgiyi -dolayısıyla bilgi ile beraber bilginin göndericisi ve alıcısını da- koruma amacı güderler.

Sizin için önemli olan tüm verileri şifrelemelisiniz. Bunun daha başka bir açıklaması yok. Eğer mümkünse tüm verilerinizi şifreleyin. Bu, sizi güvende tutmanın temel ve başlıca yollarından biridir. Bu konuda ne tür araçlar kullanabilirsiniz, kısaca bir göz atacak olursak:

* E-postalarınız için GnuPG kullanabilirsiniz.
* Dosyalar için ccrypt ya da encfs kullanabilirsiniz.
* Disk için TrueCrypt ya da dm-crypt + LUKS kullanabilirsiniz.
* Anlık mesajlaşmalarda OTR eklentisini kullanabilirsiniz.
* Ağ için SSH kullanabilirsiniz.

Örnekler elbette çoğaltılabilir. Burada iş sadece şifrelemekle bitmiyor. Temel bir örnek ve tavsiye olarak, kullanacağınız şifre ya da şifreler sizinle ilgili ya da size ait herhangi bir bilgi içermemeli. Güvenli bir şifrenin yolu akılda kalması (inanın kalıyor) zor da olsa, rastgele şifrelerden geçiyor. Bu, sözlük saldırılarında ya da brute force saldırılarında sizlere ciddi bir avantaj sağlamakta. Dikkati çekmek istediğim bir diğer nokta ise kanun uygulayıcılarının yoktan delil var etme ya da herhangi bir şeyi delil olarak kullanma konusundaki tutumları. Bu nedenle, şifrelediğiniz herhangi bir şey yazılı/basılı olarak elinizde bulunmamalı. Elinizdeki basılı dökümanlarla işiniz bittiyse, yakın gitsin. Yedek alacaksanız, aldığınız bu önemli ve şifreleri verilerin yedeğini ailenize, eşinize, dostunuza ait bilgisayarlarda saklamamanız tavsiyedir.

  • Hesapları ayırabilmek

Hesapları ayırmaktan kastettiğim, anonim kimliğiniz ile gerçek kimliğinizi içeren hesapların ayrımını yapmak çok önemli. Anonim hesabınız üzerinden gerçek hesaplarınıza bir bağlantı kurulmamalı. Eğer bu bağlantı kurulursa, artık anonim de değilsinizdir. Anonimlik, tanımı gereği içinde anonim özneleri aşmaya çalışan saldırganları da içerir. Yani, eğer bir anonimlik varsa bu anonimliği ortadan kaldırabilmek için çalışanlar da olacaktır. Bu, kanun uygulayıcı olur, gizli servisler olur, başka bir anonim özne olur. Önemli olan bir saldırgan varlığını asla unutmamak.

Bir diğer nokta da anonim hesabınız üzerinden gerçekte tanıdığınız ve sizin bu kimliğinizi bilen insanlarla pek iletişime geçmemeniz (özellikle telefonla) gerekliliği. Bu konuda kararınız net olmalı ya da en azından ne kadar bilgiye sahip ya da ne zaman bilgiye sahip olacaklarını iyi kararlaştırmak gerekli. Bu, bence çeşitli riskleri de beraberinde getiriyor. Saldırgan ne kadar dar bir çevre oluşturabilirse, sizin kimliğinizi tespit etmesi de o kadar çabuk olabilir. Şimdi bunu basitçe örneklendirelim (şema eklendi):

model

Ben anonim kimliği “X“, gerçek kimliği “A” olan bir bireyim. “X” kimliğini gerçekte kim olduğunu (A’yı) bilen “W“, “Y” ve “Z” gerçek kimlikleri var. Ayrıca, “X” kimliğini aşıp “A” kimliğine ulaşmak isteyen saldırgan “S” var. Eğer, saldırgan “S“, benim “W“, “Y” veya “Z” gerçek kimlikleri ile iletişimde olduğumu bir şekilde farkederse saldırı kapsamını daha karmaşık ve kapsamlı bir halden daha spesifik ve daha dar bir hale getirir. Gerekirse, “W“, “Y” ya da “Z“‘ye doğrudan veya dolaylı olarak baskı/saldırı düzenleyerek benim gerçek kimliğime ulaşabilir. Bu saldırı, örneğin, bir man-in-the-middle saldırısı olabilir. Siz “X” anonim kimliği üzerinden “W” gerçek kimliği ile iletişime geçerken, saldırgan araya girip mesaj içerikleri ile oynayarak sizin “A” gerçek kimliğinizi elde edebilir. Bu bahsettiğim örnek, ayrıca bir tehlike modelidir. Bu yüzden ısrarla diyorum ki, bir tehlike modelinizin olması şart!

  • Kayıtlar

Özellikle /tmp, /var/log ve kullanıcı dizininde (/home/kullanıcı) kalan geçmiş ya da yedek dosyaları sizin için bir risk teşkil etmekte. Kullandığınız program, araç vs. her ne ise bunun nerede kayıt tuttuğunu bilmeniz sizin faydanıza olacaktır. Bir diğer noktada terminal üzerinde gerçekleştirdiğiniz şeylerin (kabuktan kabuğa değişmekte) de ayrı ayrı kaydı tutulmakta. Örneğin:

bash: .bash_history
zsh: .zsh_history
vim: .viminfo
.
.

Yedekler için:
*.swp
*.bak
*~
.
.

Bu sizin kullandığınız ortama göre değişim göstereceği için temel olarak sıralayabileceğim belli başlı şeyleri örnek olarak gösterdim. Sistemden çıkış yaparken bunları silerseniz ya da en azından nelerin kaydını tuttuklarını incelerseniz sizin yararınıza olur. Uygulama olarak Bleachbit, temizleme konusunda tercih edilebilir (Emre’ye teşekkürler.).

  • Karda yürü ama izini belli etme

Ceza hukukunun ciddi bir eleştirisini hukukçu olmadığım için yapamam. Fakat, kanun uygulayıcılarının hukuk dışı deliller elde ederek bireyi hapse atıp, daha sonra mahkemede tutuklu olarak yargılamaya başlaması ne vahim bir durumda olduğunun göstergesidir. Sonuca gelirsek, iyi bir motivasyon, biraz paranoya, önemli verileri şifreleyip anonim kimliğimizle gerçek kimliğimizin ayrımı tam olarak yapabilmek, kendimize uygun tehlike modelleri geliştirip bunlara karşı savunma yöntemleri hazırlamak, ve son olarak karda yürüyüp izimizi belli etmemek! Ayrıca, bu yöntemler sadece burada yazanlarla sınırlı değildir. Herkesin ayrı bir modeli olacak ve yöntemler de ona göre şekillenecektir.

Büyük Birader’i artık her zamankinden daha soğuk bir kış bekliyor.