WhatsApp kişisel ve grup mesajlarınızı görebilir mi? Cevap çok açık: EVET.
Peki E2EE (Uçtan Uca Şifreleme) kullandığını iddia eden bir uygulama bunu nasıl yapabilir? Bunu mümkün kılan teknik açıkları inceleyelim.
Paylaşılan Açık Anahtar Sorunu
Paylaşılan Açık Anahtar, kriptolojide PQR (Kuantum Sonrası Direnç) için kullanılır. Bernstein’ın çalışmaları sayesinde şifreleme/şifre çözme için kullanılan anahtarın Kuantum bilgisayarlara karşı dirençli olacak şekilde üretilmesini sağlar.
Her hafta ortalama 100 PreShared-Key WhatsApp’a gönderiyorsunuz. Bu şu anlama geliyor: “Bunlar benimle iletişim kurmak isteyenler için Açık Anahtarlarım. Lütfen bu açık anahtarları kullanarak benimle iletişim kurun.” Bu anahtarlar azaldıkça, yeni açık anahtarlarınızı WhatsApp sunucularına gönderiyorsunuz.
Ama kritik bir sorun var: konuştuğumuz kişinin açık anahtarının gerçekten onun açık anahtarı olup olmadığını bilmiyoruz. WhatsApp bize Bob’un Pre-Shared Key’i olarak kendi anahtarlarından birini verirse, doğrudan MITM (Ortadaki Adam) saldırısı gerçekleştiriyor demektir.
WhatsApp bunu doğrulamak için bir çözüm sunuyor: “Pre-shared key’den üretilen Root anahtarınızı arkadaşınızla kontrol edin. Aynı değilse, konuştuğunuz kişi o kişi değildir.” Bu yüzden biri WhatsApp’ı kaldırıp yeniden yüklediğinde, “Konuştuğunuz kişinin güvenlik kodu değişti. Lütfen kontrol edin” uyarısı veriyor.
Bu, dağıtık ve bağımsız PreSharedKey sunucuları gerektirir, ancak tabii ki WhatsApp bunu desteklemiyor ve buna karşı bir çözüm bulana kadar desteklemeyecek.
Çoklu Cihaz Sorunu
Artık WhatsApp’ı birden fazla cihazda, hatta QR kodu taramadan sadece Masaüstü uygulamasında bile kullanabilirsiniz.
Burada bir sorun ortaya çıkıyor. Başka bir cihazda oturum açtığınız bilgisi WhatsApp sunucularından size gelen bir bilgidir ve WhatsApp size bu bilgiyi göndermezse, diğer cihazlardaki mesajlarınızı da okuyabileceği bir sorun ortaya çıkar.
Signal bunun için önlem olarak "Sesame Algoritması"nı geliştirdi. Ancak WhatsApp’ın bu protokolü kullandığına dair bir bilgi yok.
Birden fazla cihaz kullandığınızda, her cihazın şifreleme anahtarlarını güvenli bir şekilde alması gerekir. Sesame gibi uygun bir protokol olmadan, bu güvenlik açıkları oluşturur.
Hızlı İletme Sorunu
Birine büyük bir dosya gönderdikten sonra, o dosyayı başka birine ilettiğinizde anında gidiyor. WhatsApp bunu sunucularında optimizasyon için yaptıklarını açıklıyor, ancak bu açıklama ikna edici veya gerçekçi değil.
Gerçek anlamda uçtan uca şifreli bir sistemde, iletme yeni alıcının anahtarlarıyla yeniden şifreleme gerektirmeli ve bu büyük dosyalar için zaman almalıdır. Anında iletme, WhatsApp’ın şifrelenmemiş içeriğe erişimi olabileceğini düşündürüyor.
Grup Mesajlaşma Sorunu
Grup E2EE uzun süredir tartışılan bir sorun olmuştur. Signal daha önce bu soruna çok ilkel bir çözüm bulmuştu: her kişiyle ayrı ayrı E2EE kurarak mesajı her birine ayrı ayrı gönderiyordu. Yani grupta 20 kişi varsa, mesajınız 20 kişiye ayrı ayrı şifrelenerek gönderiliyordu.
Daha sonra bu sorun için çözüm olarak MLS (Mesajlaşma Katmanı Güvenliği) protokolü geliştirildi. WhatsApp MLS protokolünü kullanmıyor, bunun yerine Oturum Tabanlı Anahtar adı verilen ara bir çözüm kullanıyor. Kısaca, grup yöneticisinin grubun anahtarını diğer üyelere dağıtması olarak düşünebilirsiniz.
Bu yaklaşım, grup şifreleme anahtarlarının nasıl yönetildiği ve dağıtıldığı konusunda potansiyel açıklar ortaya koyuyor.
Grup Video Konferans Sorunu
Video konferans ve şifreleme, akış dünyasındaki en büyük zorluklardan biridir.
WhatsApp veya Zoom’da video konferans yaptığınızda, video görüntüleriniz Medya Akış sunucularında birleştirilir ve diğer Peer’lara tek bir video olarak gönderilir. Bu süreç, sunucunun şifrelenmemiş video akışlarına erişmesini gerektirir.
Signal ise aksine her Peer’a ayrı ayrı akış yapar. Veriler şifreli olduğu için sunucu tarafında işlenemez. Grup mesajlaşmada olduğu gibi MLS çözümü burada kullanılamaz.
Bu yüzden Signal sınırlı sayıda kişi için video konferansı destekliyor. Bu yaklaşım birçok optimizasyon zorluğu, pil sorunları ve ağ sorunları getiriyor, ancak gerçek uçtan uca şifrelemeyi koruyor.
Gelir Sorunu
WhatsApp üzerinden günde yaklaşık 100 milyar mesaj gönderildiği tahmin ediliyor. Bu kadar büyük talebi karşılayan sunucuları işletmek için gereken parayı az çok tahmin edebilirsiniz.
Sorun şu: WhatsApp neden böyle bir hizmeti ücretsiz sunuyor?
Veri toplama üzerine kurulu iş modeline sahip Meta (eski adıyla Facebook), bu tür bilgilerden para kazanabilecekken, insanların rahatça ve güvenle mesajlaşması için bu parayı harcıyor olabilir mi?
Meta Veri Sorunu
Diğer bazı uçtan uca şifreli uygulamalar, WhatsApp’ın meta verileri işlediğini ve bunlardan çıkarımlar yaptığını iddia ederken, kendilerinin böyle bir şey yapmadığını söylüyorlar. Ancak bu muhtemelen WhatsApp için son bilgi kaynaklarından biri.
Mükemmel mesaj şifrelemesiyle bile, meta veri analizi kiminle konuştuğunuzu, ne zaman, ne sıklıkta ve oldukça açıklayıcı olabilecek iletişim kalıplarını ortaya çıkarabilir.
Gerçek Hayat Anomalileri
Kişisel olarak konuştuğum bir iş adamı, yurt dışına gittiğinde yetkililerin tüm WhatsApp yazışmalarını önüne koyduğunu ve bu kadar çok kişiyle yazıştığını bile bilmediğini söyledi.
Ayrıca mahkeme davalarında WhatsApp yazışmalarının ortaya çıkması oldukça yaygın hale geldi.
Bazıları karşı tarafın cihazının ele geçirildiğini iddia edebilir, ancak bu o kadar basit değil. WhatsApp “İnkar Edilebilirlik” uyguladığını iddia ediyor - konuştuğunuz kişiyle yazışmanızı kriptolojik olarak inkar edebilmeniz gerekiyor. Ancak ne yazık ki bu pratikte başarılıyor gibi görünmüyor.
Bazıları “WhatsApp beni özellikle takip edecek mi?” diye merak edebilir. Hayır, bireyleri ayrı ayrı takip etmiyorlar. Ancak siz bütünün bir parçasısınız ve pazarlama amaçlı büyük veriden veri analizi yapıyorlar.
Sonuç
Bir sunucuya bağlı hiçbir mesajlaşma uygulaması gerçekten güvenli değildir. Daha önce yazdığım gibi, ihtiyacımız olan E2EE değil P2PE’dir (Eşler Arası Şifreleme). Gerçek güvenlik, sunucuyu potansiyel bir açık noktası olarak ortadan kaldırmaktan gelir.
P2PE sisteminde mesajlar, merkezi sunuculardan geçmeden veya orada saklanmadan doğrudan kullanıcılar arasında seyahat eder. Bu, yukarıda açıklanan açıkların çoğunu ortadan kaldırır ve kullanıcılara iletişimleri üzerinde gerçek kontrol sağlar.
Bunu başarana kadar, merkezi sunucuları koruyan ve devasa operasyonel maliyetlerini nasıl karşıladıklarını şeffaf bir şekilde açıklamayan herhangi bir hizmetten gelen “kırılamaz” şifreleme iddialarına sağlıklı bir şüphecilikle yaklaşmalıyız.