Tag Archives: casus yazılım

“İzi Sürülemeyen” Casus Yazılım ve Türkiye

Gün geçmiyor ki Türkiye’nin de içinde bulunduğu bir gözetleme sistemi orataya çıkmasın. Haklarımız o kadar büyük tehlike altında ki bunu hergün tekrar tekrar görüyorum.

Milan’dan kısaca HT S.r.l olarak bilinen Hacking Team, devletler için “saldırgan teknolojiler” tedarik eden bir firma. Makalelerde geçtiği üzere ürünlerinden bir tanesi “Remote Control System (RCS)“, –adı üzerinde– uzaktan kontrol sağlayan bir trojan olup dünya çapında gizli servislere ve kanun uygulayıcılara satılmış. Hacking Team’in tanımladığı üzere bu trojan devletin kontrol edebildiği alanların dışında kalanlar ve şifreleme kullanları monitörlemek için geliştirilmiş. 2011 yılı RCS tanıtım broşürü:

image00

Kısaca RCS hedef bilgisayar ve akıllı telefona girerek veri iletim için şifrelenmeden veya hiç iletilmemesi için müdahalede bulunuyor. Bununla birlikte, bir bilgisayarın harddiskinde bulunan dosyaları kopyalayabiliyor, Skype aramalarını, e-postaları, tarayıcıya girilen şifreleri (keylogger gibi) kaydedebiliyor. Ayrıca, cihazın kamerasını veya mikrofonunu da kullanıcıyı gözetlemek ve dinlemek için aktif edebiliyor. Hacking Team ise bu trojanı terör ve suçla mücadele etmek, siber soruşturmalar için oluşturduklarını, kesinlikle baskıcı rejimlere satılmayacağını/satmadıklarını söylüyor. İzi sürülememesine gelecek olursak hedefe yapılan saldırılar için kendine RCS sunucuları üzerinden tamamen farklı zıplama yolu hazırlamaktadır.

CIRCUITS_FINAL_REDACTED

Örneğin, RCS izinin sürülememesini sağlamak amacıyla Meksika’daki hedef için Hong Kong, Londra, Amstardam ve Atlanta üzerinden bir yol oluşturulmuş. Bir diğer örnek de Fas’taki hedef için oluşturulan Kiev ve Tampa yoludur.

İlk makale Ethiopian Satellite Television Service (ESAT) isimli, bağımsız ve Etiyopya diasporası üyelerine ait televizyon, radyo ve online haber kurumunu anlatıyor. ESAT kendini sürülen gazetecilerden, insan haklarını savunan, sivil toplum liderleri ve Diaspora üyelerinden oluşan bir yapı olarak tanımlamaktadır.  Etiyopya’nın dikkati çeken bir diğer özelliği de Afrika çapında en çok gazetecinin mahkum edildiği bir ülke. Ayrıca, Etiyopya devleti 1993’ten bu yana 75’ten fazla radyo ve televizyon kurumlarını kapatmış. ESAT’ın bir diğer özelliği ise Etiyopya hükümetinin muhalefet partilerini burada program yapmamaları için uyarmış olması. ESAT tek bir saldırgan tarafından 2 saat boyunca hedef alınmış ve ESAT gazetecilerine RCS içeren rar, doc gibi dosyalar gönderilmiş. Bu örnekten çıkartılacak en temel sonuç, “baskıcı rejimlere” satılmadığı söylenen bu casus yazılımın bizzat baskıcı rejimler tarafından kullanıldığıdır.

İkinci makale izi sürülemeyen bu casus yazılımın izini sürmeye çalışıyor. Kullandığı şüphelenilen ülkelerin haritası:

SUN_NOON_WORLD1

Şüphelenilen ülkeleri sıralayacak olursak Meksika, Kolombiya, Panama, Macaristan, İtalya, Polonya, Türkiye, Umman, Suudi Arabistan, Birleşik Arap Emirlikleri, Mısır, Etiyopya, Fas, Nijerya, Sudan, Azerbaycan, Kazakistan, Malezya, Tayland, Güney Kore ve Özbekistan. Harita üzerinde de görülüğü gibi ülkelerin %52’si Dünya Bankası tarafından 3. dünya ülkesi olarak tanımlanmakta ve Türkiye de dahil olmak üzere baskıcı rejimlerin yönetimi altında bulunmaktalar. Tekrar Hacking Team’in ifadesine dönecek olursak baskıcı rejimlere satılmayan bu casus yazılım bizzat bu rejimler tarafından kullanıldığından şüphelenilmiş.

Makalede geçen RCS hedeflerine de kısaca bir bakacak olursak:

  • Faslı yurttaş gazeteci grup Mamfakinch
  • Arap Emirlikleri’nden insan hakları aktivisti Ahmed Mansour
  • Arap Emirlikleri’nden bir gazeteci ve bir insan hakları aktivisti

Makalede “Bilinmiyor” olarak geçen birkaç hedef daha mevcut. Bu durumun enteresan tarafı Hacking Team’in ısrarla Avrupa Birliği, Amerika, NATO ve benzer uluslararası organizasyonların baskıcı rejim, ifade özgürlüğünün kısıtlı, adalet sisteminin yozlaşmış, insan hakları ihlallerinin olduğu ülkeler diye adlandırdığı ülkelere kesinlikle tedarik edilmediğini söylemesine rağmen örnekler bunun tam tersini söylemekte, yurttaş gazeteci, insan hakları aktivistleri veya gazetecileri hedef alınmaktadır.

Türkiye bunun neresinde kısmına gelelim. Türkiye de sahip olduğu iktidar ile gayet baskıcı, hiçbir muhalefete tahammülü olmayan, kendi kıt anlayaşılarını hukuk diye dayatan polis devletinden muhaberat devletine geçmek için gün sayan bir devlet konumuna geldiğini biliyoruz. CitizenLab, RCS’nin proxy zincilerini 6 parmak izi (fingerprinting) üzerinden taramış ve bir sunucular listesi çıkartmıştır. Bu listeye bakıldığında Türkiye’den (firma ismi vermiyorum, whois çekin) 1 Şubat 2014 tarihi itibariyle 176.216.47.175, 176.218.9.153, 176.55.188.147, 85.153.34.173, 85.153.34.187, 85.153.34.9 ve 95.9.71.180 adreslerine ulaşılmış. Bu adreslerle birlikte, ben de Türkiye’yi şüphelenilen (kullanma potansiyeli yüksek) ülkeler kapsamına alırım.

Durumun vehameti açıkça ortada. Siber soruşturmalar için –sözde– izi sürülemeyen bir casus yazılım ve bu yazılımla insan haklarının ihlal edildiği ülkelerde muhalefet, gazeteci ve aktivistleri hedef alan rejimler. Diğer yanda para için gözetleme/takip yazılımları hazırlayanlar. Yakınlarda çıkan Internetten illegal mp3 indirenleri tespit edecek casus yazılım haberi de şu bahsi geçen iki makaleye tam oturmuyor değil. Türkiye birçok alanda geri kalmış bir ülke olabilir fakat gözetleme, takip, sansür ve fişlemede teknolojiyi hiç kaçırmıyor gibi duruyor.

Tagged , , , , , , , , , , , , , , ,

Casus Yazılım Ve Teknoloji Kültürsüzlüğü

Kapalı kapılar ardında sözde kanun tasarı hazırlanıyor ve bu kanunda geçen maddeler direkt anayasaya aykırı düşüyor. Bir de yetmiyor, Türkiye’de yayınlanan teknoloji dergilerinden birinin online yayın yönetmeni çıkıp pratik olarak devlet casus yazılım yerine gitsin İSS’den takip etsin kullanıcıları diyebiliyor.

Geçenlerde “Internetten müzik indirene casus önlemi” diye bir haber çıktı. Haberde:

Bir siteden programlar vasıtasıyla bir müzik parçası veya film indirdiğinizde, buradaki hükümle karşı karşıyasınız. Diyor ki bu hüküm, ‘Hak sahibinden izin alınmaksızın noktadan noktaya ağlar üzerinden eserleri umuma ileten bireysel internet kullanıcılarının IP adresleri, telif birliklerince Telekomünikasyon İletişim Başkanlığı tarafından akredite edilmiş yazılım vasıtasıyla tespit edilir. Burası çok tehlikeli. Bu ne demek biliyor musunuz? Yani kanun koyucu sizin bilgisayarınıza casus yazılım gönderecek. Buna sistem müsaade edecek. Erişim sağlayanlar müsaade etmek zorunda kalacaklar. Siz güvenli şekilde internette sörf yaptığınızı sanırken bu yazılım sayesinde bilgisayarda hangi işlemleri yaptığınız ve hangi hak ihlallerinde bulunduğunuz tespit edilecek. Ardından bu casus yazılım akredite olacak, Telekomünikasyon İletişim Başkanlığı tarafından da bu yazılım onaylanacak.

Bu yasanın arkasında ne tür bir güç olduğunu, alıntıda geçen “telif birlikleri” çok iyi özetlemektedir. Birilerinin “sanatçıyı ve sanatı koruma” adı altında böyle keyfi yaptırımlarına hepimiz alıştık. Ama bu yapılanları normalleştirmek anlamına gelmesin kesinlikle. Akredite edilmiş yazılım ile kastedilen (benim anladığım); kullanıcıları tespit etmek için yazılıma (ya da onu kim kullanacaksa) yetki verildiği ve yazılımın sağlayacağı bilginin resmen tanındığı ve kabul edildiği anlamına geliyor. Şimdi, “casus” bir yazılım var, bu yazılım telif birlikleri ile kanun uygulayıcı tarafından kullanıcının Internetten müzik indirip indirmediğini tespit edip bunun üzerinden yasal işlem uygulayacak. Bu, öncelikle TCK’nın onuncu bölümünde bahsettiği bilişim suçlarından hangisine giriyor, onunla ilgili bir bilgi verilmemiş. 243-246 aralığında maddelere bakıldığında, bilişim sistemine girme, sistemi engelleme, bozma, verileri yok etme veya değiştirme, banka veya kredi kartlarının kötüye kullanılması ve son olarak da tüzel kişiler hakkında güvenlik tedbiri uygulanması adında ana başlıklara sahip.

Bu başlıklar altında tanımlanan hiçbir madde haberde söylenenle ilişkili değil, onu da geçtim casus yazılım” ile böyle bir izleme/cezalandırma yapılması T.C. Anayasası, madde 20‘de belirtilen özel hayatın gizliliği ilkesine tamamen aykırı. Düşünün ki bir anayasanız var, bu anayasada özel hayatın gizliliği ilkesinde böyle kafanıza göre izleme yapamayacağınız, kişinin şahsi olan bilgisayarına “casus” bir yazalımla girip acaba hangi hakkı ihlal etti diye izleyemeyeceğiniz kısa ve net olarak (haberleşme özgürlüğü) belirtilmiş. Haberde geçen ve tasarı halinde olduğu söylenen “Fikir ve Sanat Eserleri Kanunu” var fakat buradan sızan bilgilere bakarsak TCK ve anayasa ile şimdiden çelişmeye ve aykırı düşmeye başladı bile.

Bu haber çıktıktan birkaç gün sonra bu habere Türkiye’de “Teknoloji Kültürü” adıyla yayınlanan Chip dergisinin online yayın yönetmeni Cenk Tarhan ve PCNet yayın yönetmeni Erdal Kaplanseren‘in açıklamaları eklenerek tekrar sunuldu. Kaplanseren yasaya aykırılığını söylemese de en azından insanların izlenebilmesi için bir bahane üretildiğini ve asıl bunları yayınlayan sitelerle uğraşılması gerektiğini söylemiş. Fakat,  Tarhan’ın yaptığı açıklamayı okurken şok geçirdim:

CHIP Online Yayın Yönetmeni Cenk Tarhan, illegal olarak MP3 indirmenin elbette kötü bir şey olduğunu; ancak devletin casus yazılım kullanmak yerine çok daha pratik yollara başvurabileceğini hatırlattı ve şu sözleri kaydetti: Devlet isterse internet servis sağlayıcılarının kayıtlarına bakarak kullanıcıların hangi siteye girdiğini, hangi dosyaları indirdiğini anında görebilir ve illegal bir durum söz konusuysa bu kayıtları delil olarak kullanabilir.

Tarhan’ın bunu hangi kafayla söylediğini (gene iyi niyetli davranıp söyleminin yanlış aktarılmış olabileceğini de ekleyeyim) anladığım söylenemez. Öncelikle, devlet isterse diye bir durum söz konusu değil. Böyle bir keyfiyet yok, yasayla da belirtilmiştir. İkincisi, “devlet kullanıcıların hangi siteye girdiğini ya da hangi dosyaları indirdiğini anında görebilir” demek, devletin gayri hukuki izleme yaptığını ve kendini teknoloji kültürünün parçası olarak gören bir yayın yönetmeninin bunu pratik yol diye söylemesi ise nasıl bir aklın tezahürüdür bilemiyorum. Öncelikle Tarhan’a TCK’nın dokuzuncu bölümü olan “özel hayata ve  hayatın gizli alanına karşı suçlar“‘dan birkaç madde göstereyim:

Madde 134 (1) – Kişilerin özel hayatının gizliliğini ihlâl eden kimse, altı aydan iki yıla kadar hapis veya adlî para cezası ile cezalandırılır. Gizliliğin görüntü veya seslerin kayda alınması suretiyle ihlâl edilmesi hâlinde, cezanın alt sınırı bir yıldan az olamaz.

Madde 135 (1) – Hukuka aykırı olarak kişisel verileri kaydeden kimseye altı aydan üç yıla kadar hapis cezası verilir.

Madde 136 (1)Kişisel verileri, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişi, bir yıldan dört yıla kadar hapis cezası ile cezalandırılır.

Basit bir dille, veriler yasal bir merci tarafından istense dahi;

  • Hukuka aykırı yollarla delil toplayamazsın.
  • Hukuka aykırı yollarla topladığın delilleri mahkemede kullanıcının aleyhine sunamazsın.
  • Kullanıcı o suçu işlemiş dahi olsa, hukuka aykırı yollarla topladığın deliller üzerinden kullanıcıyı suçlayamazsın.
  • Bunun üzerine alacağın cezalar da yasada mevcut.

Devam edelim, bir kullanıcının hak ihlalinde bulunduğunu “casus yazılım” haricinde kanun uygulayıcı nasıl anlayabilir? Tahminde bulunacak değil, örneklem oluşturup belirli bir sayıda kullanıcıyı izleyerek de bir sonuca ulaşamaz. Onun yerine tüm trafik akışını “izlemek” ve verileri de bir şekilde “kaydetmek” durumunda. Böyle bir şey teknik olarak mümkün olsa bile tekrar yasaya aykırı (yukarıda da belirttiğim üzere) bir durum söz konusu. Onu da geçtim (felix‘e tekrar tekrar teşekkürler), CMK 134. maddeyi açıp hiç okumuş mudur merak ediyorum. O maddeye bakarak, diyelim ki; hakim kararı çıkartıldı, anayasaya da uygun bir karar (bu tartışılır elbette) ve benim buna benzer bir suç işlediğim üzerinden bilgisayarıma el konuldu. Ben harddisk’im yedeğini istedim, kanuna uygun olarak da harddiskimin yedeği kanun uygulayıcı tarafından alındı ve bana geri verildi. Yani, beni suçladıkları “illegal mp3’leri” bana “buyur al kardeş mp3’lerini” diyerek geri mi verecekler? Ee, hani ben yasalara aykırı bir suç işlemiştim?

Burada söylemek isteyeceğim bir başka şey de bu tarz haberlerin temel amacı oto-kontrolü sağlamaya çalışmaktır. Yani, sizi bir üçüncü göz, casus yazılım, olmadı “pratik olarak” İSS’niz tarafından ne yapıyorsunuz, ne indiriyorsunuz, hangi sitelerde geziyorsunuz takip edebilir, yasa üzerinde çalışıyoruz, “ha çıktı ha çıkacak” diyerek “kapalı kapılar ardında” muktedirlerin kafalarınca anayasaya aykırı yasalar çıkartıyor gözükmesinin ve haberlerinin yapılmasının amacı, içinize korku yerleştirmektir. İçinizdeki bu korku üzerinden de sizler oto-kontrolünüzü sağlayacaksınız. Bir diğer nokta da bireysel-sansürdür. Devlet sizlerin sözüm ona illegal içeriklere ulaşmanızı engellemek yerine bu korku ile hareketlerinizi ve söylemlerinizi kendiniz sansürleyeceksiniz.

Türkiye’deki teknoloji kültürünün sıkıntılı olduğunu açık ve net olarak artık söyleyebilirim. Bundan sonra bu tarz söylemlerde bulunan kişileri de yakından takip edeceğim. Bakalım başka ne yumurtlayacaklar insan merak ediyor doğrusu.

Tagged , , , , , , , , , , , , , , , , , , ,