Siber Güvenliği Akademik Derneği'nin düzenlediği kongrede “Dijital Parmak İzi: Geride Bıraktığımız Görünmez İmza” başlıklı bir konuşma yapan Furkan Erdoğan, katılımcılara iki soruyla seslendi. Erdoğan, “Bu sabah uyandığınızdan bu yana telefonunuza kaç kez baktınız?” sorusunun ardından asıl meselenin ikinci soru olduğunu belirterek, “Telefonunuz bu sabah size kaç kez baktı? Bu sorunun cevabını hiçbirimiz bilmiyoruz, çünkü o bakış sessiz. Bildirim göndermiyor, izin istemiyor” dedi.
“İZ BIRAKMAK YENİ BİR ŞEY DEĞİL”
İnsanlığın kimliğin bedende taşındığını çok erken fark ettiğini vurgulayan Erdoğan, dört bin yıl önce Babil'de bir tüccarın kil tablete bastığı parmak izinin bugünkü bir kredi sözleşmesi kadar bağlayıcı olduğunu hatırlattı. Nippur'daki antik bir yazı okulunda, sıkılıp tableti ısıran öğrencilerin diş ve parmak izlerinin bulunduğunu anlatan Erdoğan, arkeologların buna “istemsiz otobiyografi” dediğini belirterek, “Bugün hepimiz, farkında olmadan, saniye saniye bir otobiyografi yazıyoruz” ifadesini kullandı.
Erdoğan, 1910 yılında Osmanlı polis teşkilatında Hacı Yusuf Cemil Bey başkanlığında kurulan Daktiloskopi Dairesi'ni de hatırlattı. Aynı dönemde bir konakta işlenen, şahidi ve delili olmayan cinayetin, kurbanın kanının bulaştığı yüzeydeki bir parmak iziyle aydınlatıldığını ve bunun Türkiye'de parmak iziyle çözülen ilk cinayet olduğunu aktardı.
Madalyonun öteki yüzüne de dikkat çeken Erdoğan, 2004 Madrid tren saldırılarında FBI'ın olay yerindeki parmak izini, hayatında İspanya'ya hiç gitmemiş ABD'li avukat Brandon Mayfield ile eşleştirdiğini anlattı. Erdoğan, “En güvendiğimiz delil bile yanlış insanı işaret edebilir. Bir algoritma ise aynı hatayı saniyede milyon kez yapabilir” dedi.
“ÇEREZ SİLMEK YETMİYOR”
Bir internet sitesine girildiği anda tarayıcının ekran çözünürlüğü, yazı tipleri, saat dilimi ve grafik kartının çizim biçimi gibi bilgileri karşı tarafa ilettiğini söyleyen Erdoğan, 2012'de yapılan bir araştırmada en çok ziyaret edilen 100 bin sitenin yaklaşık 5 bin 500'ünde “canvas fingerprinting” tekniğinin kullanıldığının ortaya çıktığını belirtti. Bu verilerin tek başına kişisel veri sayılmadığını, ancak bir araya geldiğinde bir isimden daha kesin bir imzaya dönüştüğünü vurgulayan Erdoğan, “Çerez silmek, kardaki tek ayak izini silmeye benzer. Siz hâlâ o karda yürüyen tek kişisiniz” diye konuştu.
Erdoğan, 2013'te yapılan bir çalışmada yalnızca 68 Facebook beğenisinin bir kişinin cinsiyetini yüzde 93, siyasi görüşünü yüzde 85 doğrulukla ortaya koyduğunu, Cambridge Analytica skandalında ise basit bir kişilik testinin 270 bin indirmeyle 87 milyon kişinin verisine ulaştığını hatırlattı.
“HİÇBİR ŞEY SEÇİLMİYOR, HER ŞEY KOPYALANIYOR”
Konuşmasının siber istihbarat bölümünde Erdoğan, 2006'da San Francisco'daki bir AT&T binasında ifşa edilen 641A numaralı odayı örnek gösterdi. İnternet omurgasından geçen verinin optik bir ayırıcıyla ikiye bölünüp bir kopyasının bu odaya aktarıldığını anlatan Erdoğan, gözetimin mantığının “şüpheliyi izle”den “herkesi kaydet, gerektiğinde geriye dönüp bak” anlayışına geçtiğini söyledi.
“Sadece üstveri topluyoruz” savunmasının yanıltıcı olduğunu vurgulayan Erdoğan, katılımcılardan üç telefon kaydını düşünmelerini istedi: gece saat ikide bir kadın doğum uzmanı, iki on dörtte bir klinik, iki kırkta anne. Erdoğan, “Bu görüşmelerin tek bir kelimesini duymadık, ama hikâyeyi biliyoruz. Üstveri masum bir muhasebe kaydı değil, bir insanın hayatının haritasıdır” dedi. Erdoğan, bu yaklaşımın kökeninin Birinci Dünya Savaşı'nda İngiliz analistlerin şifresini çözemedikleri Alman telsiz yayınlarının sıklığından filo hareketlerini okumasına dayandığını da ekledi.
GÜVENİLEN ARAÇ ELE VEREN ARAÇ OLABİLİR
Erdoğan, CIA ile Batı Alman istihbaratı BND'nin 1970'te İsviçre merkezli şifreleme şirketi Crypto AG'yi gizlice satın aldığını ve yüzden fazla ülkeye satılan makinelerin şifrelemesinin kasıtlı olarak zayıflatıldığını anlattı. 2020'de ifşa olan bu operasyonun, kurumların en çok güvendikleri aracın onları ele veren araç olabileceğini gösterdiğini belirten Erdoğan, katılımcılara “Bugün güvenli olduğuna inandığımız hangi teknolojiler benzer bir kör güven taşıyor olabilir?” sorusunu yöneltti.
Pegasus casus yazılımı üzerinden sıfır-tık saldırılarına da değinen Erdoğan, kurbanın hiçbir işlem yapmasına gerek kalmadan cihazın ele geçirilebildiğini, bu durumda uçtan uca şifrelemenin de koruma sağlamadığını ifade etti. Erdoğan, gözetimin artık yalnızca devletlerin kabiliyeti değil, satın alınabilir bir ürün hâline geldiğini vurguladı.
“AVCI DA AVLANABİLİR”
Konuşmasında savunma tarafına da yer veren Erdoğan, iz bırakmamak üzere tasarlanmış milyonlarca dolarlık casus yazılımların bile adli incelemelerle tespit edildiğini belirterek, adli bilimin öncülerinden Edmond Locard'ın “Her temas bir iz bırakır” ilkesinin siber alanda da geçerli olduğunu söyledi. Saldırganın gerçek parmak izinin bir dosya özeti ya da IP adresi değil, davranışı olduğunu vurgulayan Erdoğan, “Göstergeyi değiştirmek dakikalar sürer, alışkanlığı değiştirmek aylar” dedi. Erdoğan, siber saldırılarda atıfın bir kesinlik değil olasılık değerlendirmesi olduğunu da hatırlattı.
“BUGÜNÜN MAHREMİYET KARARLARI, YİRMİ YIL SONRASININ KARARI”
Kapanışta “şimdi topla, sonra çöz” yaklaşımına dikkat çeken Erdoğan, bugün çözülemeyen şifreli trafiğin kuantum bilgisayarlar olgunlaştığında açılmak üzere depolandığını söyledi. Gözetimin kaçınılmaz olmadığını da vurgulayan Erdoğan, 2007'deki büyük siber saldırının ardından devletini şeffaf bir dijital kimlik altyapısı üzerine yeniden kuran Estonya'yı ve ABD ile AB arasındaki iki veri anlaşmasını tek başına çökerten Avusturyalı hukuk öğrencisi Max Schrems'i örnek gösterdi.
Bireylere izlerinin farkında olmalarını ve uygulama izinlerini düzenli olarak gözden geçirmelerini öneren Erdoğan, kurumlara ise “Topladığınız her veri, bir gün sızacak veridir. Veri minimizasyonu bir uyum maddesi değil, bir güvenlik kontrolüdür” çağrısında bulundu. Erdoğan konuşmasını, “Dört bin yıl önce Babilli tüccar kil tablete parmağını bastığında ne imzaladığını biliyordu. Bugün cebinizdeki cihaz sizin adınıza onlarca tablete parmak basıyor. İzinizi sürebilirler, ama iz bırakmak bir seçimdir” sözleriyle tamamladı.
Program sonunda Siber Güvenliği Akademik Derneği Başkanı Süreyya Kara Hanım, Furkan Erdoğan'a katkılarından dolayı teşekkür belgesi takdim etti.
