WhatsApp güvenli mi ve hangi mesajlaşma uygulamaları en güvenli?

“Güvenlik her yıl daha önemli hale geliyor” diye yazmak artık o kadar bariz oldu ki neredeyse demode hissettiriyor. Siber suçu ölçen her yönetim organı yıldan yıla arttığını kanıtlayan istatistiklere sahip ve çoğumuz da AI’ın bazen tedirgin edici patlamasını izlerken bu gerçeği muhtemelen içgüdüsel olarak hissediyoruz.

Bize karşı silah olarak kullanılabilecek verileri düşündüğümüzde, aklımıza hemen kredi kartı bilgilerimiz, tıbbi kayıtlarımız ve hatta adreslerimiz gelir — ama sohbet geçmişimizi nadiren düşünürüz. Oysa en yakın arkadaşlarınızla yaptığınız sohbetleri açın; bunların bazılarının, hatta hepsinin bu kişisel ayrıntıları içerdiğine garanti veririm.

Pandora’nın Kutusu’nu bir kez açınca, güveninizi doğru uygulamalara mı verdiğinizi hızla sorgulamaya başlarsınız. Sonuçta Telegram gibi niş uygulamaların 2020’lerin başında neden çoğaldığının bir sebebi var. Ama kendimizi kaptırıyoruz. Önce en büyük balığa, yani WhatsApp’a daha yakından bakalım.

WhatsApp’ı kim sevmez ki?

WhatsApp. Ölçeğinin büyüklüğü akıl almaz.

Aklıma gelen, kısa mesajın yerini almaya çalışıp bunu başaran tek uygulama bu. Zaman içinde birkaç rakip çıktı (BlackBerry’nin BBM’i, hatırlayan var mı?) ve bazıları bugün bile iMessage’ın ona ciddi şekilde rakip olduğunu savunur…

Ama bana iMessage kullanan birini gösterin, size onda WhatsApp’ın da yüklü olduğuna garanti vereyim. Çünkü WhatsApp platform ayrımı yapmaz. Evrensel yapısı, WhatsApp’ın SMS pazarını nispeten kısa sürede ele geçirmesini muhtemelen sağlayan şeydi. Nitekim “Sana WhatsApp’tan yazarım” ifadesi artık neredeyse eskiden “mesaj atarım” demek kadar yaygın.

Peki ama güvenli mi?

Bu, “güvenli”yi nasıl tanımladığınıza bağlı. Gizliliğin birçok yönü vardır, özellikle de konu sohbetler gibi nüanslı bir şey olduğunda. Gelin birkaç temel unsuru inceleyelim, sonra soruya geri dönelim.

WhatsApp’ın şifrelemesi

WhatsApp, Signal Protocol kullanarak uçtan uca şifreleme sunduğunu söylüyor. Önce bunu incelemek mantıklı, çünkü bu muhtemelen en çok konuşulan güvenlik özelliği; ardından ana soruya geri dönebiliriz.

WhatsApp, 2014’ten beri Signal Protocol kullanıyor (ve bunu 2016’ya kadar tamamen devreye aldı). Signal ile iş birliği (onlara daha sonra döneceğiz), daha 2014’te bile uygulamalarında daha yüksek güvenlik ihtiyacından kaynaklanıyordu.

WhatsApp’ın üçüncü taraf bir protokol seçmiş olması, en azından kısmen, güvenlik konusunda daha iyisini yapmaya adanmış olduklarını belki de kanıtlıyor. Signal Protocol, mesajların, verilerin ve hatta görüntülü/sesli aramaların telefonunuzdan çıktığı andan itibaren şifrelendiği ve bunların yalnızca alıcının telefonu tarafından çözülebileceği anlamına gelir.

Şifre çözme anahtarı WhatsApp’ın kendisinde bile yoktur. Dahası, mesajları depolamazlar (hemen teslim edilemeyen mesajların geçici olarak saklanması dışında). Kısacası, mesajlarınız WhatsApp açısından okunamaz şifreli veri yığınları olarak kalır.

Ama kulağa ne kadar harika gelse de, daha önce incelediğimiz gibi bunun birkaç oldukça büyük çekincesi var. İlk olarak, bir kullanıcı bir mesajı bildirirse, bu mesaj ve ona kadar gelen birkaç mesaj daha (muhtemelen bağlam için) WhatsApp moderatörlerine gönderilir. Yani davet edilmeleri gerekse de, WhatsApp yine de özel kalmasını tercih edebileceğiniz mesajları görebilir.

Bir dakika… Yeni bir telefon aldım ve tüm mesaj geçmişim oradaydı

Bu belki de hepsinin en büyük kusuru. Android veya iPhone’da WhatsApp kullanıyorsanız, mesajlarınızı yedeklemeniz teşvik edilir. Ancak bu yedekler şifrelenmemiş olabilir. Eğer şifrelenmemişlerse, mahkeme veya devlet tarafından talep edilmesi halinde WhatsApp, hatta Apple/Google bile bu kayıtlara erişebilir.

Bunu düzeltmek oldukça kolay:

1. Cihazınızdaki WhatsApp ayarlarına gidin.

2. Sohbetler > Sohbet Yedekleri

3. Uçtan Uca Şifrelenmiş Yedek

Ve mümkünse arkadaşlarınızın da bunu yaptığından emin olun — tek bir şifrelenmemiş yedek bile yeterlidir.

Advanced Chat Privacy

Bu yılın başlarında WhatsApp, Advanced Chat Privacy özelliğini kullanıma sunmaya başladı. “En hassas konuşmalarınız için” olarak tanımlanan bu özellik, “başkalarının içeriği WhatsApp dışına çıkarmasını önlemeye yardımcı olmak” için tasarlanmış — her ne demekse. Esas olarak daha büyük grup konuşmalarını hedefliyor (ki bu mantıklı) ve insanların hem konuşmayı dışa aktarmasını hem de ekleri otomatik indirmesini engelliyor.

Bu özelliği bizzat test etmiş biri olarak, ekran görüntülerine ve mesajların kopyalanıp yapıştırılmasına hâlâ izin verdiğini gördüm; bu yüzden tam olarak neyi çözdüğünden emin değilim. Grup sohbetleri konusunda endişeniz varsa, kaybolan mesajlar ekstra iç rahatlığı için hâlâ daha güvenli (biraz titiz olsa da) bir seçenek olabilir.

2021’in meta veri krizi

Girişte de belirttiğim gibi, 2020’lerin başında WhatsApp’tan Telegram gibi alternatiflere kitlesel bir göç yaşandı. Bunun en belirgin örneği ise WhatsApp’ın gizlilik politikasını değiştirdiği 2021 yılıydı.

Bu değişiklikler, WhatsApp’ın meta verilerini ana şirketi Meta (diğer adıyla Facebook) ile paylaşmasına izin verdi. Bu değişiklik büyük tepkiyle karşılandı; bunun bir nedeni uygulamaya alınış biçimiydi (özeti “Kabul et ya da ayrıl” olan basit bir uygulama bildirimi), elbette bir diğer nedeni de veri paylaşımının sonuçlarıydı.

WhatsApp’ın bu ek verileri kullanıcılarından daha fazla gelir elde etmek için kullandığı düşünülüyordu. Ayrıca işletme kullanıcılarının müşterilerle yaptıkları konuşmaları üçüncü taraflarla saklamasına da izin verdi; birçok kişi bunu, şifreleme konusundaki önceki tavizsiz duruşunu bir miktar zayıflatmak olarak gördü. İşletmeler bu verileri (teorik olarak) reklam hedefleme ve analiz için satabilirdi.

Meta veri nedir?

WhatsApp söz konusu olduğunda bu, esasen telefon numaraları, cihaz bilgileri, IP adresleri, kişiler ve kullanım kalıplarıdır. Bunlar tek tek çok ilginç görünmeyebilir, ancak doğru şekilde işlendiğinde birlikte oldukça ayrıntılı içgörüler sunabilirler.

Jamie, Erkek, 34

• Birleşik Krallık, Exeter’da zaman geçiriyor.

• Penhaligons Ltd ile sık sık etkileşim kuruyor.

• Arkadaşlarının önemli bir kısmı Londra’da.

• Genellikle sabah 8 ile akşam 10 arasında aktif oluyor (elbette bunun böyle yazmayacağını biliyorum ama hayal kurabilirim).

Bu varsayımsal örnekte, WhatsApp’ın meta verilerimdeki ufak tefek parçaları kullanarak benim için nasıl mini bir profil oluşturabileceğini hızla görüyoruz. Facebook ve Instagram’dan toplayabilecekleri verileri bir kenara bıraksak bile, beni şimdiden şu reklamlarla hedefleyebilirler:

• En aktif olma ihtimalimin yüksek olduğu zamanlarda.

• Parfümler veya sabunlarla ilgili olanlarla.

• Exeter’daki yerel olanlarla.

• Seyahat, kalacak yerler ve yapılacak şeyler dahil olmak üzere Londra’yı ziyaret etme fikrini aşılayanlarla.

Ve bunların hepsi oldukça yüzeysel fikirler. WhatsApp’tan topladıkları sınırlı verinin son parasal değer kırıntısına kadar sömüren karmaşık bir algoritmaya beni beslediklerini hayal etmek zor değil. Ve 2021’de birçok kişinin fark ettiği şey de buydu.

WhatsApp ile ilgili diğer endişeler

Ödemeler ve işlemler

Ödemeleri işlemek için WhatsApp kullanıyorsanız, bu işlemlerin konuşmalarda olduğu gibi aynı şekilde uçtan uca şifrelenmemesi mümkündür.

Bu birkaç sorunu beraberinde getiriyor. Ödemelerin kendisi uçtan uca şifrelenmez ve bunun yerine üçüncü taraf bankalar tarafından işlenir. Bu kendi başına mutlaka bir sorun olmasa da, cihazınız casus yazılım veya kötü amaçlı yazılım tarafından ele geçirilirse Meta’nın şifrelemesi sizi korumaz. Ayrıca satın alma meta verilerinin, daha önce sözünü ettiğimiz kişisel profili Meta’nın daha da güçlendirmesi için kullanılabileceğine dair endişeler de var.

Grup verileri

Grup verileri doğası gereği bir “sorun” olmasa da, kişisel verilerinizi gizlemek için WhatsApp’ta diğer platformlara kıyasla daha az seçenek vardır. Adınızın, numaranızın ve fotoğrafınızın görünmesini istemediğiniz büyük bir grup sohbetine katılıyorsanız, bu WhatsApp’ın bir dezavantajıdır.

Hükümet ve kolluk kuvvetlerinde yolsuzluk

Birçok kişi meta veri gizliliği endişeleri nedeniyle WhatsApp’tan uzaklaşmış olsa da, bazıları için bu hikâyenin yalnızca bir parçası. Bazıları için daha güvenli bir uygulama bir lüks değil, bir zorunluluktur ve doğru olanı seçmek büyük fark yaratabilir.

Bazı hükümetler yozlaşmıştır ve vatandaşları hakkında hak ettiklerinden daha fazla veriyi elde etmek, hatta sadece izlemek için kötü niyetli yöntemler kullanabilir. İnternete erişimi olan 5 milyar insanın %79’u, siyasi, sosyal veya dini konularda içerik paylaştıkları için bireylerin tutuklandığı veya hapsedildiği ülkelerde yaşıyor.

Yakın tarihli bir makale, Amerika’nın FBI kurumunun WhatsApp ve iMessage’dan Telegram ve Signal’a kıyasla çok daha fazla veri elde edebildiğini öne sürüyor. İlginç bir yazı, ancak büyük ölçüde tek bir kaynağa dayandığı için buna biraz temkinli yaklaşın.

Bunu akılda tutarak, şimdi diğer bazı uygulamalara ve daha fazla kaybedecek şeyi olan kişilerin neden bunları tercih edebileceğine bakalım. Küçük bir spoiler: Bahsetmek üzere olduğumuz tüm mesajlaşma uygulamalarında (Telegram hariç) varsayılan olarak uçtan uca şifreleme vardır. Mesaj güvenliğinde kıstas bu olduğundan, bu şaşırtıcı değil; dolayısıyla bunu veri kabul edip diğer özelliklere odaklanacağız.

Teorik olarak, yalnızca şifreleme nedeniyle hiçbir mesajlaşma uygulaması diğerinden daha güvenli değildir. Bunun büyük kısmı meta veriye ve onun nasıl kullanıldığına bağlıdır. Dolayısıyla ayırt edici güvenlik esas olarak meta veri izlemeleriyle ilgilidir; ama daha doğru ifadeyle mesele inanca dayanır — kullanıcıların, bu şirketlerin yozlaşmış kolluk kuvvetleriyle gerekmeyen verileri teslim etmek için iş birliği yapacağına inanıp inanmadığına.

Telegram

Alternatif uygulamaları düşündüğümüzde, muhtemelen listenin başında Telegram gelir. Ancak bu, algı ile gerçeklik arasındaki ilginç bir örnektir. Çünkü yukarıda dikkat ettiyseniz, incelemek üzere olduğumuz uygulamalar arasında uçtan uca şifrelenmemiş tek uygulamanın aslında Telegram olduğunu fark etmişsinizdir; bunun yerine istemci-sunucu şifreleme yöntemine dayanır. Bu da diğer platformların aksine Telegram’ın bunların şifresini çözebileceği anlamına gelir.

Telegram’da yalnızca Secret Chats tam şifreleme sunar. Peki o halde neden daha güvenli olduğu yönünde bir ün kazandı (gerçeklik bunu desteklemese bile)?

Bunun büyük kısmı pazarlamayla ilgilidir. Telegram’ın kurucuları sık sık kâr amacı gütmediğini vurguladı, ancak bu, non-profit olmakla aynı şey değildir ve bu çok önemli bir ayrımdır.

Yine de, gizlilik konusunda WhatsApp’ta olmayan daha “ayrıntılı” kontrollere sahiptir. Örneğin telefon numaranızı gizleyebilir ve fotoğrafınız gibi profil verilerini kimin göreceğini seçebilirsiniz. Ayrıca kimliğinizi açığa çıkarmadan paylaşım yapmanızı sağlayan anonim yönetici modu da vardır. Yani Telegram’ı daha güvenli hale getirmenin yolları vardır, ancak güvenlikle bu kadar özdeşleşmiş bir isimden bekleyebileceğiniz kadar otomatik değildir.

Ayrıca WhatsApp gibi o da bir telefon numarasına bağlıdır. Bu da daha derin bir düzeyde iletişiminizin size kadar izlenebilir olduğu anlamına gelir. Gerçekten görünmez olmanız gerekiyorsa bu kötü bir şeydir. Listede aşağı indikçe bunun daha az yaygın hale geldiğini göreceğiz.

Belki de güvenlik cilasının altında Telegram, daha çok beslediği topluluklar ve benzer düşünen insanlarla özgürce konuşabilme fikri sayesinde başarılı oldu. Ama yine de WhatsApp’a alternatif olarak yerini hak ediyor.

Signal

Signal’dan zaten bahsettik; çünkü WhatsApp’ı güvence altına alan uçtan uca şifreleme protokolü onlara ait. Bir zamanlar Edward Snowdon tarafından da desteklenmişti; bu da güvenlik seviyeleri hakkında çok şey söylüyor. WhatsApp’ta olduğu gibi, şifreleme mesajlara sunucu düzeyinde erişimi imkânsız hale getirir.

Signal’da kayıt olmak için bir cep telefonu numarasına ihtiyacınız vardır, ancak bundan sonra izlenmeyi zorlaştıran bir kullanıcı adı seçebilirsiniz. Signal’ın güvenlik konusundaki yaklaşımı güçlüdür ve mesajları size kadar izlemek imkânsız olmasa da, bunu zorlaştıracak şekilde tasarlanmıştır.

Sakladıkları veriler de meşhur derecede asgaridir. Numaranızı, hesabınızı kaydettiğiniz tarihi, en son ne zaman bağlandığınızı ve şu anda çevrimiçi olup olmadığınızı bilirler. Başka hiçbir meta veriyi tutmazlar ve hatta Sealed Sender kullanarak kime yazdığınızın ayrıntılarını bile şifrelerler. Sunucu mesajın nereye teslim edileceğini bilir, ama kimin gönderdiğini bilmez.

Küçük bir dezavantaj olarak, Signal perde arkasında nasıl çalıştığı nedeniyle ülkeler ve yargı bölgeleri tarafından daha kolay engellenebilir. Örneğin, İran ve Mısır dahil bazı ülkelerde engellemelerle karşılaştı.

Bunun nedeni, Signal’ın mesaj teslimi ve kayıt için merkezi sunuculara dayanmasıdır; bu da hükümetlerin bu belirli IP adreslerini tespit edip engelleyebilmesi anlamına gelir. İkinci olarak, Signal kurulum sırasında SMS veya sesli doğrulama gerektirir; bu da telekom sağlayıcılarına kayıt sürecini tamamen engelleme veya araya girme fırsatı verir.

Ama Signal çoğu bölgede güçlü bir seçimdir ve Telegram’ın aksine Signal non profit bir yapıya sahiptir; bu da finansal motivasyonları konusunda bir miktar güven verir.

Session

Session, Signal’ın turbo takılmış hali gibidir. Hiç meta veri tutmaz ve şimdiye kadar bahsedilen uygulamaların aksine kayıt olmak için telefon numarası ya da e-posta adresi de istemez.

Bunun yerine, çerezlerin ve perde arkasındaki tanımlama yöntemlerinin akıllıca bir birleşimini kullanarak cihazınıza bir kimlik atar; bu da gerçekten anonim kalabilmeniz anlamına gelir (şartlar ve koşullar geçerlidir). Benzer şekilde, diğer uygulamaların mesaj verilerini fiziksel olarak aktarmak ve işlemek için kullandığı sunucuları da ortadan kaldırır; bunun yerine TOR tarayıcısına benzer şekilde düğümler kullanan merkeziyetsiz bir yapı tercih eder.

Bu, verileri işleyen merkezi bir bilgisayar olmadığı anlamına gelir ve işleri geriye doğru izlemeyi çok daha zorlaştırır.

Peki neden hepimiz Session kullanmıyoruz? Çünkü bazı dezavantajları var. Merkezi sunucuların olmaması (ve düğümlere dayanması), hem aramalar hem de kısa mesajlar için hız sorunları yaratıyor.

Benzersiz tanımlayıcılar risk oluşturabilir. Anonimlik iki ucu keskin bir kılıçtır ve Session, kimliğe bürünmeyi veya başka kötü niyetli faaliyetleri gizlemeyi kolaylaştırır. Sadece bu da değil, çoğu sıradan durumda biraz hantaldırlar. 66 haneli alfa-nümerik Session kimliğinizi manuel olarak paylaşmanız gerekir ve bu da hatalara yol açabilir.

Sevin ya da nefret edin, telefon numaraları ve onlarla ilişkili riskler bazı avantajlarla birlikte gelir — örneğin arkadaşları kolayca bulabilmek (diğer hesaplarınıza olan bağlantıları sayesinde) ya da sadece bir numara vermenin basitliği gibi.

Sonuç olarak Session, yaklaşan bir tehdit nedeniyle gerçekten anonimlik gerekiyorsa harikadır, ancak günlük kullanım için oldukça pratik değildir. Gerçek anonimliğin bedeli budur.

Thunderbolt

Thunderbolt, gizliliği Session ve Signal’a benzer ama aynı olmayan bir şekilde önceleyen, güvenlik odaklı bir iletişim uygulamasıdır.

Bir bakıma Session’a benzer şekilde kişisel bilgilerinizi ortadan kaldırmayı amaçlar, ancak bunu biraz daha az kullanışsız bir yolla yapar. Telefon numarasını veya e-postayı sonsuz uzunlukta bir kodla değiştirmek yerine, tanımlayıcınız olarak bir alan adı kullanır. Bu, hem görünüş hem de işlev açısından e-posta adresinden belirgin şekilde farklıdır. Görünüş olarak, ad ve @ sembolü olmadan adres çubuğuna girdiğiniz kısımdır. İşlevsel olarak ise, paylaşmak istediğinizde kullanışlı ve pratik kalırken daha iyi güvenlik sağlar.

Bu yönüyle Thunderbolt da merkeziyetsizdir. Session’ın kullandığı tamamen bağımsız “düğümleri” kullanmasa da (bunun yerine daha güvenilir merkezi sunucuları tercih eder), alan adı sahipliği üzerinden merkeziyetsiz kimliğe dayanır. DNS’ten yararlandığı için Thunderbolt’un ülkeler tarafından yasaklanması da biraz daha zordur.

DNS tabanlı kimlik, kullanıcıların kendilerini alan adı sahipliği üzerinden doğruladığı anlamına gelir; bu da merkeziyetsizdir ve bu nedenle düzenlenmesi (merkezi telefon numarası sistemlerine kıyasla) daha zordur. DNS altyapısını engellemek ayrıca yan hasar riski de taşır — hükümetlerin alan adı çözümlemesine doğrudan müdahale etmesi gerekir ki bu da ilgisiz hizmetleri ve web sitelerini aksatabilir. Pek riske değmez.

Handshake veya ENS alan adı tercih ederseniz Thunderbolt ile daha yüksek anonimlik seviyeleri elde edilebilir. Bu, anonimliği alan adı kayıt sürecinin merkezine koyan merkeziyetsiz, blockchain tarzı bir ağ kullanır. Session’ın aksine, rehber dışı olabilir ve yine de alan adınızı (tanımlayıcınızı) kolayca paylaşabilirsiniz.

Bu yöntemin diğer uygulamalarla kıyaslanamayacak ek bir avantajı da, DNS’in sizin kimliğinize bürünülmesini zorlaştırmasıdır. Telefon numaraları ve e-posta adreslerinin her ikisi de taklit edilmeye meşhur derecede açıktır. Bir alan adı hesabı genellikle İki Faktörlü Kimlik Doğrulama (2FA) ve güçlü bir parola ile korunacağından, bu onu doğası gereği daha güvenli ve hacklenmesi ya da taklit edilmesi daha zor hale getirir.

Thunderbolt, bu benzersiz kimlik sistemini güvenlik ve gizlilikteki temel değerlerle birleştirir. Bu nedenle, anonimliğin en iyisini sunarken aynı zamanda erişilebilir ve hızlı teslimata sahip olan bir “iki dünyanın en iyisi” senaryosu olarak görülebilir.

Thunderbolt, Signal ile benzer düzeyde meta veri tutsa da, bu verilerin asla paraya dönüştürülmeyeceğini veya başka şekilde kullanılmayacağını açıkça belirtir.

Tablo olarak sunuldu

Bu oldukça fazla bilgiydi, bu yüzden ana noktaları faydalı bir tabloda özetledik.

Hangi uygulama en güvenli?

Özetle bakıldığında, çoğu uygulama belli bir düzeyde gizlilik sunduğunu iddia eder ve geri kalanı şirkete duyduğunuz bireysel güvene bağlıdır. Yani onların yozlaşmış kolluk kuvvetleriyle veya hükümetlerle iş birliği yapabileceğine ne ölçüde inanacağınız meselesidir.

Netflix’ten True Crime diplomasını gururla taşıyan hepimiz biliriz ki, dünyadaki en güçlü şifreleme bile biri cihazınızı hacklediyse ya da onu sizden basitçe aldıysa sizi korumaz. Bu durumlarda incelenen şey çoğu zaman mesajlardan çok daha fazlasıdır. Bu yüzden iletişim uygulamaları ve onların güvenlik avantajları, içinde yaşadığınız daha geniş dünyaya göre her zaman görecelidir ve denklemin yalnızca bir parçasıdır.

Çoğumuz için mesele, verilerimizin silah haline getirilmesinden çok paraya dönüştürülmesidir ve Signal veya Thunderbolt gibi bir şeye basit bir geçiş yapmak, daha kapalı mesajlaşma uygulamalarının dezavantajları olmadan güvenliğinizi artırabilir.