Arpokrat Security Team on Arpokrat

Sürekli konum takibi: telefonunuz, engellediğinizi sandığınız anda bile sizi nasıl izler

Sun, 02 Aug 2026 00:00:00 +0000

2024 yılında Maryland Üniversitesi’nden iki araştırmacı, herhangi bir ayrıcalığa ya da özel donanıma sahip olmadan Apple’ın Wi-Fi konumlandırma servisini tekrar tekrar sorguladı ve bir yıl içinde dünya genelinde iki milyardan fazla Wi-Fi erişim noktasının kesin konumunu yeniden oluşturdu. Surveilling the Masses with Wi-Fi-Based Positioning Systems başlıklı makaleleri bu haritanın neye izin verdiğini gösteriyor: Ukrayna’ya giren ve oradan çıkan malzemeyi izlemek, Maui yangınlarının ardından nüfus hareketlerini gözlemek, bir kişiyi evindeki internet modemi üzerinden takip etmek.

Bu cihazların hiçbirinde GPS açık değildi. Konum bilgisi başka bir yerden geliyordu.

Mobil mahremiyet konusundaki en yaygın kör nokta budur: bir konum düğmesi bulunduğu ve o düğme kapatıldığında telefonun nerede olduğunu bilmeyi bırakacağı inancı. Bu inanç yedi ayrı düzeyde yanlıştır.

Konum, telefonunuzun açtığı bir özellik değildir. Telefonunuzun ne olduğuna dair bir niteliktir.

GPS, yani en az sorunlu vektör

Herkesin adını sayabildiği tek mekanizma, aynı zamanda sizi en az kaygılandırması gereken mekanizmadır.

Amerikan GPS’ini, Galileo’yu, GLONASS’ı ve BeiDou’yu kapsayan genel terim olan GNSS, dinleme yoluyla çalışır. Uydular zaman damgalı sinyalleri sürekli yayar, alıcı bunlardan birkaçını yakalar ve yayılma süresi farklarından konumunu hesaplar. Açık alanda olağan hassasiyet: üç ila beş metre, şehirde ise sıklıkla birkaç on metre, çünkü cepheler sinyalleri yansıtır.

Belirleyici nokta, bu hesabın pasif olmasıdır. Telefon uydulara doğru hiçbir şey yaymaz, hiçbir uydu işletmecisi sizin var olduğunuzu bilmez. Devrede yalnızca GNSS olsaydı, GPS’i kapatmak yeterdi.

Yine de bir nüans var. İlk konum hesabını hızlandırmak için telefonlar A-GPS kullanır: SUPL protokolü üzerinden bir sunucudan uydu efemeris verilerini indirir. Doğru veriyi alabilmek için telefon, bağlı olduğu şebeke hücresinin kimliğini bu sunucuya iletir. Saf GNSS sizi ele vermez, ama ona eklenen hızlandırıcı verir.

Mobil şebeke: operatörün yapısı gereği bildiği şey

Bir aramanın size ulaşabilmesi için şebekenin hangi bölgede olduğunuzu bilmesi gerekir. Bu açılıp kapatılan bir seçenek değil, hizmetin var olma koşuludur. Telefonunuz sürekli olarak en yakın antene kendini bildirir ve bu kayıt operatör tarafında iz bırakır. Kurulu hiçbir uygulama, verilmiş hiçbir izin gerekmez: etkin bir SIM kart yeter.

Hassasiyet yönteme bağlıdır:

Yalnızca hücre kimliği: yoğun kentsel alanda 200 metreden, tek bir antenin çok geniş bir yarıçapı kapsadığı kırsal bölgede 30 kilometreden fazlasına kadar.
Zenginleştirilmiş Cell ID: anten sektörünü (çoğu saha 120 derecelik üç sektöre bölünmüştür) ve sinyal gücünü ekler: 100 metreden birkaç kilometreye.
Timing advance: telefon ile anten arasındaki gidiş dönüş gecikmesini ölçer: GSM’de 550 metre mertebesinde, LTE’de 78 metre civarında.
Üç ya da daha fazla anten üzerinden çok yönlü konumlama: kentsel LTE’de 50 ila 300 metre.

5G ölçeği iki birikimli nedenle değiştirir. Önce yoğunluk: 5G hücreleri çok daha kısa yarıçapları kapsar, dolayısıyla yalnızca bağlanmış olmak bile ince bir bilgidir. Sonra standartlaşma: Release 16’dan bu yana 3GPP yerleşik konumlandırma sinyalleri içeriyor. Ticari hedefler cihazların %80’i için iç mekânda 3 metrenin, dış mekânda 10 metrenin altını gözetiyor ve Release 18 bazı endüstriyel kullanımlar için santimetreye iniyor.

Sizi bağlayan altyapı böylece, siz hiçbir şeyi etkinleştirmemişken GPS’e denk kalitede bir konumlandırma sistemine dönüşür. Bu veri ulusal kurallara göre saklanır ve değişken usullerle yetkililere açılır. Bu, barındırılan verilere uygulanacak yargı yetkisi konusunda ele aldığımız tartışmanın aynısıdır: teknik koruma ile hukuki koruma üst üste binmez.

Wi-Fi: donanım adreslerinden yapılmış bir dünya haritası

Her Wi-Fi erişim noktası, benzersiz bir donanım kimliğini, BSSID‘yi sürekli yayınlar. Bu kimlikler sabittir ve coğrafi olarak durağandır: bir ev modemi yıllarca aynı yerde kalır.

Apple, Google ve birkaç uzmanlaşmış aktör, her BSSID’yi koordinatlarla eşleştiren veritabanları tutar. Bu veritabanları, görünen erişim noktalarının listesini bir GNSS konumuyla birlikte gönderen kendi kullanıcılarının telefonlarınca oluşturulur. Sonra işlem tersine çevrilir: bilinen dört erişim noktasını gören bir telefonun artık tek bir uyduya bile ihtiyacı yoktur. Yoğun kentsel alanda hassasiyet çoğunlukla birkaç on metreye ulaşır, iç mekânda ise daha da altına iner.

İki özellik bu mekanizmayı etkisiz kılmayı zorlaştırır. Birincisi, telefon Wi-Fi kapalı görünse bile tarama yapar: Android 4.3’ten beri sistem, hızlı panel düğmesinden bağımsız olarak, konum doğruluğunu artırmaya yönelik periyodik bir taramayı sürdürür. Bu davranış, konum servislerinin içine gömülü, kullanıcıların neredeyse hiçbirinin hiç açmadığı ayrı bir ayara bağlıdır.

İkincisi, veritabanı dışarıdan sorgulanabilir. Rye ve Levin’in sömürdüğü açık tam da budur: konumlandırma arayüzleri yalnızca istenen konumu değil, komşu erişim noktalarının konumlarını da döndürür; bu da haritanın, o yerlere fiziksel olarak hiç yaklaşmadan devşirilmesini mümkün kılar.

Bluetooth ve BLE: başkalarının telefonlarıyla konumlanmak

Bluetooth Low Energy, birkaç metreden birkaç on metreye uzanan menzille bir yakınlık katmanı ekler; yani mobil şebekeden çok daha ince bir çözünürlük. İki kullanım bir arada bulunur. Mağazalarda, havalimanlarında veya alışveriş merkezlerinde konuşlandırılan ticari işaretçiler, telefondaki uygulamaların tanıdığı bir kimlik yayar; bu da hangi rafın önünde ne kadar süre durduğunuzu açığa çıkarır. Bir de modeli Apple’ın Find My’ı olan, sonrasında Google ve Samsung tarafından da benimsenen imece konum ağları vardır.

Bu ikinci mekanizma örtük bir varsayımı tersine çevirir. Darmstadt Teknik Üniversitesi araştırmacılarının PETS 2021 bildirilerinde yayımladığı referans çalışma Who Can Find My Devices? , Apple’ın protokolünü tersine mühendislikle yeniden kurdu. Çevrimdışı bir cihaz bir BLE sinyali yayar, yakındaki herhangi bir Apple cihazı bunu yakalar, kendi konumunu ekler ve şifreli olarak Apple’ın sunucularına iletir; bunu ne kendi sahibinin ne de konumu bulunan cihazın sahibinin haberi olmadan yapar.

Sonuç yapısaldır: SIM kartı olmayan, Wi-Fi’ı olmayan, hiçbir türden şebeke bağlantısı olmayan bir cihaz, cebinde telefonuyla yanından bir yabancı geçtiği sürece bulunabilir kalır. Yalıtımınız artık sizin ayarlarınıza değil, yoldan geçenlerin ayarlarına bağlıdır.

Eylemsizlik sensörleri: konum izni olmadan konumlandırmak

Bir telefonda ivmeölçer, jiroskop, manyetometre ve çoğu zaman barometre bulunur. Bu sensörler konumdan ayrı bir izin kategorisine girer: bir uygulama, nerede olduğunuzu hiç sormadan onları okuyabilir.

Princeton’lı araştırmacılar bunu PinMe ile gösterdi. Uygulamaları kaba bir konum için IP adresi ve saat diliminden yola çıkar, sonra sensörleri okur: ivmeölçer hızlanma ve frenleme profilini, jiroskop dönüşlerin sırasını, manyetometre yönü, barometre yükseklik değişimlerini verir. Bir sinir ağı ulaşım biçimini, yürüme, otomobil, tren ya da uçak olarak belirler ve güzergâh kamuya açık harita, yükselti ve hava durumu verileriyle örtüştürülür. Sonuç: konum izni olmadan, GPS’e denk hassasiyette bir yörünge. Yöntemin yazarların da belgelediği sınırları var; yol bulunmayan bölgelerde başarısız oluyor ve birçok güzergâhın aynı imzayı ürettiği düzenli ızgara planlarda bozuluyor. Yine de reddedilmiş bir iznin kapalı bir kapı olmadığının kanıtı olarak duruyor.

Barometre ayrıca GNSS’in kötü idare ettiği boyutu, dikeyi sağlar. Amerikan acil çağrı gereklilikleri, iç mekândan yapılan çağrıların %80’i için artı eksi 3 metrelik kat hassasiyeti şart koşuyor. Birinin hangi katta olduğunu bilmek, hangi yapı adasında olduğunu bilmekten başka türden bir bilgidir.

Veri pazarı: en sıradan vektör

Önceki mekanizmalar bir konumun nasıl hesaplandığını anlatır. Geriye o konumun nereye gittiği kalıyor ve gündelik riskin esası tam da orada oynanıyor.

Binlerce uygulama, bir geliştiricinin işini paraya çevirmek ya da erişimini ölçmek için eklediği üçüncü taraf yazılım bileşenleri olan reklam SDK’ları içerir. Bu bileşenler barındıran uygulamanın izinlerini devralır: konumunuza meşru biçimde ihtiyaç duyan bir hava durumu uygulaması onu, adını hiç okumadığınız aktörlere iletir. Buna bir de reklam açık artırma akışları eklenir; her afiş gösteriminde yaklaşık konumunuz onlarca olası alıcıya dağıtılır, hiçbir şey satın almayıp yalnızca dinlemekle yetinenlere de.

Bu hammadde koca bir endüstriyi besler. Electronic Frontier Foundation, 250 milyondan fazla cihaza dair milyarlarca veri noktası iddia eden ve bunları ABD’deki yerel polis birimlerine satan Fog Data Science vakasını belgeledi. Brian Krebs ise haritada bir çokgen çizip o bölgeye giren ve çıkan cihazların geçmişini görmeyi sağlayan Locate X adlı ürünü anlattı.

Bu vektör hiçbir teknik marifet gerektirmez, yalnızca birinin ödemeye razı olmasını. Fiyat da mütevazıdır.

IMSI yakalayıcılar: etkin konumlandırma

Şimdiye kadar görülen mekanizmalar normal işleyişten yararlanır. Bir de şebekeye müdahale eden bir üçüncü tarafça yürütülen etkin konumlandırma vardır.

IMSI yakalayıcı, ya da hücre simülatörü, kendini meşru bir anten gibi gösteren bir donanımdır. Menzildeki telefonlar ona bağlanır ve böylece abone kimliklerini ve dar bir çevre içindeki varlıklarını açık eder.

5G’nin, açık haldeki kalıcı kimliği şifreli bir kimlikle, SUCI ile değiştirerek bu kapıyı kapatması bekleniyordu. Kapanma kısmi kaldı. 5G SUCI-catchers: still catching them all? başlığı altında sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesini sağlayan bağlantı saldırılarını belgeliyor. Daha da önemlisi, saldırgan cihazı önceki bir kuşağa, özellikle kimlik doğrulaması tek yönlü olan 2G’ye düşmeye zorlarsa koruma tümüyle çöker. 5G’li bir telefon, hâlâ oraya inmeyi kabul ettiği için 1990’ların şebekesi için tasarlanmış bir saldırıya karşı savunmasız kalır.

Karşı önlemler ve gerçek etkinlikleri

Aşağıdaki önlemlerin her biri bir şey yapar. Hiçbiri her şeyi yapmaz ve yaptıkları ile kendilerine atfedilen arasındaki açıklık, yanlış kararları doğurur.

Uçak modu

Uçak modu hücresel modemin, Wi-Fi’ın ve Bluetooth’un yayınını keser. Bu gerçek bir etkidir ve bu kadar az çabayla elde edilebilecek en iyi sonuçtur.

Yapmadıkları: eylemsizlik sensörlerini durdurmaz, yeniden bağlanıldığında gönderilecek olan önbelleğe alınmış konumları silmez ve çoğu cihazda moddan çıkmadan Wi-Fi ya da Bluetooth’un ayrı ayrı yeniden açılmasına izin verir. Son olarak bir yazılım durumudur, güç kesintisi değil: güvenilirliği onu uygulayan sistemin bütünlüğüne bağlıdır.

Hafife alınan bir ayrıntı: şebekeden ayrılma ve yeniden bağlanma, operatör tarafında zaman damgalı olaylardır. Saat 21’de bir hücrede kaybolup 23’te başka bir hücrede yeniden beliren bir telefon sessizlik değil, bilgi üretmiştir.

MAC adresi rastgeleleştirmesi

Mobil sistemler bugün, bir yerden diğerine izlemeyi önlemek için taramalar sırasında rastgele MAC adresleri yayar. Niyet iyi, sonuç eksiktir. Aralarında Why MAC Address Randomization is not Enough çalışmasının da bulunduğu referans araştırmalar, keşif çerçevelerinin içeriğinin cihazı yeniden tanımlamaya çoğu zaman yettiğini gösteriyor: bilgi öğelerinin sayısı, değerleri ve sıraları bir parmak izi oluşturuyor. Buna artımlı olduğu için zincirlenebilen sıra numaraları ve her modele özgü zamanlama imzası ekleniyor. Bazı çalışmalar cihazların yarısının en az yirmi dakika boyunca düzgün biçimde izlenebildiğini bildiriyor.

Son olarak kavramsal bir sınır: rastgeleleştirme yalnızca keşif aşamasını ilgilendirir. Bir ağa bağlandığınız andan itibaren kullanılan adres, bağlantının çalışabilmesi için tasarım gereği o ağ açısından sabittir. Her sabah gittiğiniz kahveci sizi tanır.

Taramaları gerçekten kapatmak

Bu, en kârlı ve en çok göz ardı edilen ayardır. Android’de Wi-Fi araması ve Bluetooth araması, konum servislerinin içinde yer alan, hızlı panel düğmelerinden bağımsız iki ayrı seçenektir. Bunlar etkin kaldığı sürece Wi-Fi’ı panelden kapatmak yetmez: tarama sürer.

Bunları devre dışı bırakmak, ilk konum hesabının biraz yavaşlaması dışında hiçbir bedeli olmadan koca bir toplama katmanını ortadan kaldırır. Okurların çoğu için harcanan çaba ile elde edilen sonuç arasındaki en iyi oran budur.

Uygulama izinleri

Konum iznini, buna açıkça ihtiyacı olmayan uygulamalardan geri almak yararlı olmayı sürdürüyor ve yeni sistemler üç kademe sunuyor: tek seferlik izin, etkin kullanımla sınırlı izin ve yalnızca bir kilometre mertebesinde bir bölge ileten yaklaşık konum.

Buna karşılık bu, konumunuza erişmek için meşru bir nedeni olan bir uygulamanın içindeki SDK’lardan da, eylemsizlik sensörlerinden de, hiçbir izinden geçmeyen şebeke katmanlarından da korumaz.

VPN’in korumadıkları

Tersi inanç çok yaygın olduğu için açıklığa kavuşturulması gereken bir nokta: VPN konumunuzu gizlemez. Genel IP adresinizi gizler, dolayısıyla zaten listedeki en kaba mekanizma olan IP tabanlı konum tespitini yanıltır.

Bir VPN ne GNSS alıcısına, ne Wi-Fi taramasına, ne Bluetooth’a, ne de sensörlere dokunur. Operatörünüzün bildiklerinde hiçbir şeyi değiştirmez, çünkü şifreli tünel onun antenlerinden geçer ve hücreye bağlanma onun için görünür kalır. Konum iznine sahip bir uygulamanın tünelin içinden tam koordinat göndermesine engel olmaz. VPN, güvenilmeyen bir ağda iletişiminizin içeriğini ve hedefini korur, bu da az bir şey değildir. Konum onun kapsamına girmez.

Fiziksel sınırlar

Faraday kılıfı sözcüğün tam anlamıyla işe yarar: yayını da alımı da engeller. Hâlâ mümkün olduğu yerlerde pilin çıkarılması da öyle. Ayrı bir cihaz ya da telefonu başka bir yerde bırakmak en sağlam önlem olmayı sürdürüyor.

Bu çözümlerin yüzleşilmesi gereken ortak bir kusuru var: bir anormallik üretirler. Her salı akşamı iki saat susan bir telefon bir şey söylüyordur. Anlık konumlar yerine örüntüleri çözümleyen bir hasım karşısında yokluk da bir veridir.

Üç hasım, üç strateji

Bu, yazının en önemli ayrımı ve en az okunanı.

Bir reklamveren ya da veri simsarı karşısında mücadele kazanılabilir. İzin disiplini, taramaların kapatılması, tescilli konum servisleri barındırmayan bir sistem, reklam kimliğinin sıfırlanması: hepsi birlikte toplanan hacmi çok güçlü biçimde azaltır. Bu hasım ucuz hacim peşindedir, sizin özel durumunuzun değil.

Operatörünüz karşısında hiçbir yapılandırma yetmez. Hücresel konum, hizmetin koşuludur. Tek gerçek değişkenler hukuki, yani yasanın saklanmasına ve iletilmesine izin verdikleri, ve maddidir: hangi cihaz, hangi SIM kart, kimin adına, nerede açık.

Hedefli bir devlet hasmı karşısında akıl yürütme yeniden değişir, çünkü bu hasım operatör verilerine yasal erişimi, hücre simülatörüyle etkin konumlandırmayı, platformlara yöneltilen talepleri ve gerektiğinde cihazın ele geçirilmesini birleştirir. Yazılımsal karşı önlemler yüzeyi küçültür, ama gerçekçi hedef yok olmak değildir: neyin açıkta kaldığını tam olarak bilmektir.

ArpokratOS’un yaklaşımı

ArpokratOS bu manzaraya, yukarıdaki ayrımdan doğan bir tercihle yanıt verir: etkisizleştirilmesi gereken, bir menüde değil, sistem düzeyinde etkisizleştirilir.

GNSS tarafında donanım sürücüsü kaldırılmıştır. Cihaz, hem uygulamalar hem de sistemin kendisi açısından yonga hiç yokmuş gibi davranır. Ayarlardaki bir düğmeyle farkı kozmetik değildir. Düğme bir politikadır: yeterince ayrıcalıklı bir bileşenin atlatabileceği, bir güncellemenin yeniden açabileceği ya da ele geçirilmiş bir sistemin görmezden gelebileceği bir katman tarafından uygulanır. Kod yolunu kaldırmak soruyu ortadan kaldırır, çünkü artık etkinleştirilecek bir şey yoktur.

Bluetooth aynı mantıkla Core düzeyinde ele alınır. Ayarlardan kapatılmış bir Bluetooth, birçok cihazda yakınlık servislerini ve imece konum ağlarını beslemek üzere yazılım yığınını fiilen canlı bırakır. Sistem düzeyinde bulunmadığında ise ne bir mağaza işaretçisiyle konuşabilir, ne Find My türü bir ağa katılabilir, ne de etkileşimsiz bir saldırı yüzeyi olabilir.

Bunun ne yapmadığını açıkça söylemek gerekir. ArpokratOS bir telefonu saptanamaz kılmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve hiçbir işletim sistemi bunu değiştirmez, tüm trafik Tor üzerinden geçse bile. Yönlendirme içeriği ve hedefi korur, radyo geometrisini değil. Görünmezlik vadeden, masal satıyordur.

Böyle bir mimarinin getirdiği daha mütevazıdır: gerçek toplamanın çok büyük kısmının geçtiği uygulama ve yakınlık katmanlarının kaldırılması ve geriye kalan için açık bir tehdit modeli. Bu, bir masaüstü sistemi seçerken uyguladığımız akıl yürütmenin aynısıdır ve işletim sistemleri karşılaştırmamızda ayrıntılandırılmıştır: yararlı soru bir aracın koruyup korumadığı değil, neye karşı ve hangi bedelle koruduğudur.

Sonuç

Bu yazı yok olmanın bir yöntemini sunmuyor. Böyle bir yöntem yok ve aksini iddia eden metinler her şeyden önce sahte bir güven üretir; bu da insanı risk almaya ittiği için korumasızlıktan daha tehlikelidir.

Amaç, ikili bir soruyu, yani konumum bulunabilir mi bulunamaz mı sorusunu, yararlı bir soruyla değiştirmekti: kim tarafından, hangi hassasiyetle, onlar açısından hangi maliyetle ve bu benim için önemli mi? Yanıt, bir kaynağı koruyan gazeteci, hassas bir yargı bölgesine seyahat eden bir yönetici, randevuları bir stratejiyi ele veren bir avukat ve bir reklamverenin alışkanlıklarını bilmesinden rahatsız olan bir birey için farklıdır.

Zaten dikkati hak eden, bu mekanizmaların tek tek performansı değil, birbirleriyle örtüşmeleridir. Elli metre yaklaşıklıkla bir konum çok ilgi çekici değildir. Elli metre yaklaşıklıkla bir konum, on beş dakikada bir, iki yıl boyunca kaydedildiğinde bir ev, bir işyeri, bir inanç, bir sağlık durumu, bir ilişki, bir kaynak çizer. Konum verisi, diğer bütün üstverileri okunabilir kılan üstveridir ve pahalı olmasının nedeni tam da budur.

Kaynaklar

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems , IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System , PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World , IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms , AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police , 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data , 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking , Surveillance Self-Defense

Güvenlik ve Gizlilik İçin Hangi İşletim Sistemi? Windows, macOS, Linux, Tails, Whonix ve Qubes OS Karşılaştırması

Mon, 22 Jun 2026 00:00:00 +0000

Bir işletim sistemi seçimi, yalnızca arayüz tercihi veya yazılım uyumluluğu meselesi değildir. Giderek artan biçimde bir güvenlik ve gizlilik kararıdır. Her işletim sistemi verileri farklı biçimde toplar, farklı saldırı yüzeyleri oluşturur ve kullanıcıya çok değişken düzeylerde kontrol sunar. Bu karşılaştırma, pazardaki başlıca sistemleri yalnızca bu açıdan ele almaktadır; en yaygın kullanılanlardan en özelleşmiş olanlara kadar.

Temel Ölçüt: Sisteminizi Kim Kontrol Ediyor?

Her işletim sisteminin ayrıntısına girmeden önce belirleyici bir ilke: Bir işletim sisteminin güvenliği, temelde kimin kodu elinde tuttuğuna ve tasarım aşamasında hangi mimari kararların alındığına bağlıdır. Kapalı kaynaklı tescilli bir işletim sistemi (Windows, macOS), bu güveni yayıncısına devreder. Açık kaynaklı bir işletim sistemi, bu güveni kodu denetleyen topluluğa devreder. Bölümlere ayrılmış güvenlik için tasarlanmış bir işletim sistemi (Qubes OS) ise sistemin hiçbir bileşenine tamamen güvenilmemesi gerektiği ilkesinden yola çıkar.

Windows 11

Veri Toplama ve Telemetri

Windows 11, dünyanın en çok kullanılan masaüstü işletim sistemidir ve aynı zamanda varsayılan olarak en fazla veri toplayanlardan biridir. Microsoft telemetrisini iki resmi kategoriye ayırmaktadır:

Zorunlu veriler (Home ve Pro sürümlerinde devre dışı bırakılamaz): donanım yapılandırması, cihaz tanımlayıcıları, hata ve kararlılık raporları, güncelleme ve sürücü verileri. Bu veriler, kullanıcı tercihlerinden bağımsız olarak Microsoft’a iletilmektedir.

İsteğe bağlı veriler: kullanım davranışı, uygulama etkileşimleri, kişiselleştirme verileri. Ayarlardan devre dışı bırakılabilir; ancak bazı büyük güncellemeler sırasında otomatik olarak yeniden etkinleştirilmektedir.

Windows 11 24H2, yapay zekâyla bağlantılı birçok yeni veri toplama katmanı eklemiştir:

Windows Recall: Makinenizde yaptığınız her şeyin aranabilir bir zaman çizelgesini oluşturmak için her beş saniyede bir ekran görüntüsü alır. Devre dışı bırakılabilir, ancak varsayılan olarak etkindir ve diğer uygulamalar tarafından genişletilebilir erişim haklarına bağlıdır.
Copilot: Her sorgu, ekran görüntüleri, seçili metin ve açık uygulamalar bağlamı dahil olmak üzere Microsoft sunucularına iletilmektedir.
Defender Bulut Koruması: Şüpheli dosya karmalarını ve davranışsal verileri analiz için Microsoft bulutuna göndermektedir.

Pek çok bağımsız teknik kaynak tarafından belgelenen sonuç tartışmasızdır: Windows 11 Home ve Pro sürümlerinde telemetriyi tamamen devre dışı bırakmak mümkün değildir. Bunu yapmanın tek yolu; Enterprise veya Education sürümü kullanmak, belirli grup ilkeleri uygulamak ya da O&O ShutUp10++ veya WPD gibi üçüncü taraf araçlara başvurmaktır; ancak bu, kararsızlık risklerini beraberinde getirmektedir.

Saldırı Yüzeyi ve Güvenlik

Windows 11, dünya genelindeki kötü amaçlı yazılımların, fidye yazılımlarının ve exploitlerin büyük çoğunluğunun hedefidir; bu durum pazar payıyla doğru orantılıdır. Microsoft önemli güvenlik mekanizmaları sunmuştur (zorunlu TPM 2.0, Secure Boot, VBS, Credential Guard); ancak bunlar monolitik bir model içinde çalışmaktadır: çekirdek veya ayrıcalıklı bir sistem hizmetinin ele geçirilmesi tüm ortamı etkiler.

Güvenlik/gizlilik kararı: Karşılaştırmadaki en fazla saldırıya açık sistem; telemetri tamamen devre dışı bırakılamaz; güven modeli tamamen Microsoft’a ve ABD yargı yetkisine devredilmiştir.

macOS

Veri Toplama ve Telemetri

Apple, pazarlama imajının bir bölümünü gizlilik üzerine inşa etmiştir. Teknik gerçeklik ise daha nüanslıdır.

macOS varsayılan olarak Windows’tan çok daha az veri toplar; ancak toplama hâlâ gerçektir ve kısmen devre dışı bırakılamaz:

Gatekeeper ve OCSP doğrulaması: Her uygulama açılışında macOS, uygulamanın iptal edilmediğini doğrulamak amacıyla Apple sunucularına çevrimiçi bir doğrulama isteği gönderir. Bu istek, açılan uygulama ve cihazın IP adresi hakkında bilgi iletmektedir. Güvenlik zincirini bozmadan bu doğrulamaları devre dışı bırakacak yerel bir ayar bulunmamaktadır.
macOS Analitiği: Sistem kullanım verileri toplanmaktadır; Sistem Tercihleri > Gizlilik > Analiz bölümünden devre dışı bırakılabilir.
Apple uygulama telemetrisi: Haritalar, Siri, App Store ve diğer entegre Apple uygulamaları, sistem analitik ayarından bağımsız olarak dönen tanımlayıcılarla kendi veri toplamalarını sürdürmektedir.

Daha ileri gitmek isteyenler için güvenlik uzmanları, uygulama bazında giden bağlantıları izleyip engelleyebilen bir uygulama güvenlik duvarı (Little Snitch veya açık kaynaklı ve ücretsiz LuLu) kullanılmasını önermektedir.

Saldırı Yüzeyi ve Güvenlik

macOS birkaç sağlam güvenlik mekanizmasından yararlanmaktadır: sistem dosyalarını salt okunur olarak koruyan System Integrity Protection (SIP), Apple Silicon çiplerinde donanım düzeyinde Kernel Integrity Protection, App Store uygulamaları için sandbox ve yakın zamanlı makinelerde Secure Enclave. Apple kimliğiyle ilişki, kişisel veri toplamada başlıca vektördür.

Güvenlik/gizlilik kararı: Varsayılan telemetri açısından Windows’tan daha iyidir; ancak yine de devre dışı bırakılamaz OCSP doğrulamalarına, ABD yargı yetkisine ve Apple’ın kapalı modeline tabidir. Bağımsız denetim yapmak güçtür.

Linux (Genel Amaçlı Dağıtımlar)

Linux tek bir işletim sistemi değil, üzerine çok farklı dağıtımların inşa edildiği bir çekirdektir. Güvenlik ve gizlilik açısından ortak bir temel paylaşırlar; ancak birçok noktada ayrışırlar.

Ubuntu, yeni başlayanlar için en popüler dağıtımdır. 2012’de yerel aramaları Amazon sunucularına göndererek tartışma yaratmış; bu davranış daha sonra kaldırılmıştır. Ubuntu, devre dışı bırakılabilen kendi kullanım verisi toplamasını (whoopsie, ubuntu-report) sürdürmekte ve Canonical Ltd. tarafından kontrol edilen Snap depolarıyla sıkı entegrasyon sağlamaktadır.

Debian, Ubuntu’nun üzerine inşa edildiği temeldir; Canonical tarafından eklenen katmanlar olmaksızın. Kâr amacı gütmeyen topluluk projesi tarafından yönetilmekte olup özgür yazılıma sıkı bağlılık anlayışıyla varsayılan olarak hiçbir telemetri toplamamaktadır. Muhafazakâr güncelleme politikası genellikle saldırı yüzeyi açısından tercih edilmektedir.

Fedora, Red Hat (IBM’in yan kuruluşu) tarafından desteklenmekte olup hızlı güncelleme döngüsüyle teknik açıdan moderndir. Varsayılan olarak telemetri içermez; ancak Red Hat/IBM ile ilişkisi kurumsal bir bağımlılık yaratmaktadır.

Linux Mint, Ubuntu’dan türetilmiş olup Windows’tan geçen kullanıcılar için tasarlanmıştır. Ubuntu’nun en tartışmalı bileşenlerini kaldırmış (Snap varsayılan olarak yoktur) ve kendine özgü bir telemetri eklememiştir.

Arch Linux, minimalist felsefesiyle ileri düzey kullanıcıları hedefler: kullanıcı yalnızca ihtiyaç duyduklarını yükler. Telemetri yoktur, sürekli güncellemeler (rolling release) ve tam özelleştirme özgürlüğü sunar.

Linux’un Temel Katkıları

Açık ve denetlenebilir kaynak kodu: Herhangi bir güvenlik araştırmacısı çekirdek ve ana bileşenlerin kodunu inceleyebilir
Dayatılmış telemetri yok: Hiçbir büyük dağıtım, devre dışı bırakılamayan veri toplamayı zorla uygulamaz
Varsayılan olarak daha katı izin modeli: Günlük işlemlerden ayrı bir root hesabının kullanılması
Azaltılmış saldırı yüzeyi: Linux toplu kötü amaçlı yazılımların daha az hedefindedir

Güvenlik/gizlilik kararı: Veri toplama açısından Windows ve macOS’tan belirgin biçimde üstündür. Hiçbir genel amaçlı dağıtım, bir uygulamanın ele geçirilmesinin tüm sisteme yayılmasına karşı koruma sağlamaz.

Tails OS

Felsefe: Koruma Olarak Bellek Yitimi

The Amnesic Incognito Live System kısaltması olan Tails, 2024’te Tor Project ile birleşen Debian tabanlı bir işletim sistemidir. Felsefesi diğer tüm işletim sistemlerinden köklü biçimde farklıdır: kalıcı bir ortamı güvenli kılmaya çalışmak yerine, varsayılan olarak tüm kalıcılığı ortadan kaldırır. Tails yalnızca bir oturum süresince var olur.

Teknik Mimari

Tails tamamen bir USB bellekten (en az 8 GB) çalışır ve tümüyle RAM üzerinde işlem yapar. Kapattığınızda, kullanılan ana makinede hiçbir iz kalmaz: geçici dosya yok, geçmiş yok, kimlik bilgisi yok, kullanılan bilgisayarın sabit diskinde adli delil eseri yok. O bilgisayar yazılım düzeyinde ele geçirilmiş olsa bile bu durum değişmez: Tails, diskine hiçbir zaman yazı yazmaz.

Varsayılan ve istisnasız Tor

Tails’in tüm ağ trafiği sistematik olarak Tor ağı üzerinden yönlendirilir. Bir uygulama Tor’u atlayarak doğrudan bağlantı kurmaya çalışırsa Tails bunu engeller. Tails’i yanlışlıkla da olsa Tor olmadan kullanmak mümkün değildir.

Şifreli Kalıcı Depolama (isteğe bağlı)

Tails, varsayılan olarak her kapanışta her şeyi unutur. Oturumlar arasında belirli verileri saklamaları gerekebilecek kullanıcılar için Tails, Kalıcı Depolama sunar: USB belleğin kendisinde oluşturulan, parola ifadesiyle korunan şifreli (LUKS) bir birim. Kullanıcı, orada nelerin saklanacağını tam olarak seçer: bazı dosyalar, uygulama yapılandırmaları, PGP anahtarları vb. Bu kalıcı depolama, Tails’in ana makineye karşı bellek-yiten doğasını değiştirmez; yalnızca iki oturum arasında USB bellekte nelerin korunduğunu etkiler.

Önceden Yüklenmiş Araçlar

Tails; Tor Browser, şifreli posta istemcisi, dosya şifreleme aracı (Kleopatra/GnuPG), güvenli mesajlaşma istemcileri ve büro işleri için LibreOffice ile birlikte önceden yapılandırılmış olarak gelir. Yüksek güvenlikli rutin kullanım için ek yazılım yüklenmesine gerek yoktur.

2026 Teknik Notu: Tails 7.7, Secure Boot sertifikaları hakkında bir uyarı ekledi; çünkü Microsoft’un 2011 tarihli anahtarları Haziran 2026’da sona ermeye başlamaktadır. Firmware UEFI’si güncellenmeyen kullanıcılar, bazı makinelerde Tails’i artık başlatamayabilir.

Tails’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Tails Koruması
El koyma sonrası ana makine diskinin adli incelenmesi	Tam: ana makine diskine hiçbir zaman dokunulmaz
Ağ gözetimi (IP, ziyaret edilen siteler)	Tor aracılığıyla güçlü; ancak Tor’un sağlamlığına bağlıdır
Ana makinedeki kalıcı kötü amaçlı yazılım	Atlanır: Tails, kurulu sistemi kullanmaz
BIOS/UEFI kötü amaçlı yazılımı (ele geçirilmiş firmware)	Hiç: Tails, kullanılan makinenin firmware’ine karşı koruma sağlayamaz
İnsan hatası (kişisel hesaba bağlanma)	Hiç: Tails altında Gmail’e giriş yaparsanız oturumun anonimliğini bozarsınız
Oturumdaki bir yazılımın ele geçirilmesi	Mevcut oturumla sınırlı; kapanışta yok edilir

Dürüst Sınırlamalar

Tails günlük kullanıma uygun değildir: kalıcılık yokluğu, her başlatmada ortamın yeniden yapılandırılmasını gerektirir
BIOS veya firmware türünde bir kötü amaçlı yazılım (UEFI düzeyinde bir implant gibi), Tails oturumunu potansiyel olarak tehlikeye atabilir; çünkü Tails, üzerinde çalıştığı makinenin firmware katmanını kontrol etmez
Kişisel bir hesaba (e-posta, sosyal ağ) bağlanmak, Tor’dan bağımsız olarak oturumun anonimliğini ortadan kaldırır

Kimler İçin?

SecureDrop aracılığıyla kaynaklarla çalışan gazeteciler, baskıcı rejimlerdeki gözetim altındaki aktivistler, kontrol edilmeyen donanım üzerinde tek seferlik yüksek hassasiyetli oturum ihtiyacı duyan herkes. Glenn Greenwald ve Laura Poitras tarafından Snowden belgelerini işlemek için kullanılan; EFF, Freedom of the Press Foundation ve Tor Project tarafından tavsiye edilen araç.

Karar: Tek seferlik yüksek hassasiyetli oturumlar için birinci tercih araç. Günlük ana işletim sistemi değildir.

Whonix

Felsefe: Ağ İzolasyonu Aracılığıyla Yapısal Anonimlik

Whonix, Tails’den farklı bir soruya yanıt verir: Oturumdan sonra tüm izleri silmek yerine, çalışma ortamında çalışan bir kötü amaçlı yazılımın —çalışma sanal makinesinde root haklarına sahip olsa bile— yapısal olarak kullanıcının gerçek IP adresini öğrenememesini sağlar.

Whonix, Debian’a dayanmaktadır (aynı ekip tarafından geliştirilen Debian’ın sertleştirilmiş bir sürümü olan KickSecure aracılığıyla) ve herhangi bir ana işletim sistemi üzerinde Tip 2 hiper yönetici (VirtualBox, KVM) içinde ya da Tip 1 olarak Qubes OS’da yerel biçimde çalışır.

İki VM Mimarisi

Whonix’in temel ilkesi, iki ayrı sanal makine aracılığıyla uygulanan ağ katmanı ile uygulama katmanı arasında kesin bir ayrımdır:

Whonix-Gateway, birinci VM’dir. Tor arka plan programını çalıştırır ve yalnızca ağ geçidi işlevi görür. İnternet’e erişebilen tek VM odur. Herhangi bir kullanıcı uygulaması içermez. Tek rolü, gelen ve giden tüm ağ trafiğini yakalamak ve Tor üzerinden geçmesini zorlamaktır.

Whonix-Workstation, ikinci VM’dir. Tarayıcı, mesajlaşma, dosya işleme, geliştirme gibi çalışma ortamıdır. İnternet’e yalnızca Whonix-Gateway’e işaret eden dahili sanal ağ üzerinden bağlıdır. Doğrudan İnternet erişimi yoktur; Gateway’i atlayacak hiçbir bağlantı kapasitesi yoktur.

Workstation’dan bir ağ isteği yapıldığında şunlar gerçekleşir:

Uygulama bir ağ isteği gönderir
Workstation bunu dahili ağ arayüzü aracılığıyla Gateway’e iletir
Gateway isteği yakalar ve Tor aracılığıyla (üç ardışık aktarma) yeniden yönlendirir
Yanıt aynı yoldan ters yönde gelir
Workstation, çıkış IP adresini hiçbir zaman bilmeksizin yanıtı alır

Temel güvence: Bir kötü amaçlı yazılım, Workstation’ı root haklarıyla ele geçirse bile kullanıcının gerçek IP adresini öğrenemez; çünkü Workstation’ın kendisi buna hiçbir zaman erişemez. Workstation yalnızca Gateway’in dahili IP adresini görür.

Ek Güvenlik Mekanizmaları

Stream izolasyonu: Whonix, farklı uygulamalar için ayrı Tor devreleri kullanır (tarayıcı, e-posta istemcisiyle aynı devreyi kullanmaz vb.); bu sayede farklı etkinlikler arasındaki trafik korelasyonu önlenir.

Başlatma saati rastgeleleştirme: Zamanlama saldırılarını önlemek amacıyla Workstation’ın sistem saati her başlatmada hafifçe rastgele kaydırılır.

sdwdate: Whonix, IP adresini sızdırabilecek klasik NTP yerine Tor aracılığıyla soğan sunucularından zaman alan kendi zaman senkronizasyon arka plan programını (sdwdate) kullanır.

AppArmor: AppArmor profilleri, Tor Browser gibi kritik uygulamaların sistem düzeyinde sandboxlanmasını sertleştirir.

Tek kullanımlık VM’ler: Whonix, Tails yaklaşımına benzer şekilde kalıcılık olmaksızın tek seferlik görevler için tek kullanımlık Workstation’ları destekler (Qubes-Whonix’te Whonix-Workstation DispVM); ancak geri kalanı kalıcı bir ortamdır.

Üç Dağıtım Modu

VirtualBox veya KVM üzerinde Whonix (Tip 2): En erişilebilir mod. İki VM, mevcut bir ana işletim sistemi (Windows, Linux, macOS) üzerinde çalışır. Pratiktir; ancak ana işletim sistemine ek bir güven katmanı ekler: Ana sistem ele geçirilirse Whonix’in koruması aşılabilir.

Qubes-Whonix (Tip 1, önerilen): Whonix, Qubes OS’a şablon olarak yerel biçimde entegre edilmiştir. Gateway, ProxyVM (sys-whonix) haline gelir; Workstation ise AppQube (anon-whonix) haline gelir. İzolasyon, potansiyel olarak savunmasız bir ana işletim sistemi üzerinde çalışan Tip 2 hiper yönetici yerine bare-metal Xen hiper yöneticisine dayandığından bu en sağlam yapılandırmadır. Her iki proje tarafından da önerilen kombinasyon budur.

Fiziksel izolasyon (gelişmiş mod): Gateway ve Workstation, Ethernet kablosuyla birbirine bağlı iki ayrı fiziksel makinede çalışır. Workstation’ın Gateway’e bağlı olandan başka ağ kartı yoktur. Bu mod güven tabanını büyük ölçüde azaltır; ancak iki ayrı makine gerektirir.

Whonix’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Whonix Koruması
Workstation’dan IP adresi sızıntısı	Mimari gereği yapısal olarak imkânsız
DNS sızıntıları	İmkânsız: tüm DNS, Gateway üzerinden Tor’dan geçer
Gerçek IP’yi arayan Workstation’daki root kötü amaçlı yazılımı	Hiç: onu bulamaz
Gateway’in kendisinin ele geçirilmesi	Kısmi: Gateway ele geçirilirse IP sızabilir
Ana işletim sisteminin ele geçirilmesi (Tip 2 modunda)	Hiç: ele geçirilmiş bir ana sistem her iki VM’yi de gözlemleyebilir
Kullanıcı davranışıyla kimlik saptanması	Hiç: Whonix insan hatalarına karşı koruma sağlamaz
El koyma sonrası disk adli incelemesi	Kısmi: Whonix varsayılan olarak kalıcıdır, tek kullanımlık VM’ler hariç

Dürüst Sınırlamalar

Whonix diskteki izleri silmez: varsayılan olarak kalıcıdır (Tails’in aksine). Makinenize el konulursa ve ana disk şifrelemesi yoksa veya zayıfsa, VM verileri kurtarılabilir
Tip 2 modunda (bir ana işletim sistemi üzerinde VirtualBox/KVM), Whonix’in güvenliği ana işletim sisteminin güvenliğiyle sınırlıdır. Ele geçirilmiş bir ana sistem, iki VM arasındaki trafiği potansiyel olarak gözlemleyebilir
Çift sanallaştırma ve Tor üzerinden yönlendirme performansı etkiler: bağlantılar yavaştır, büyük indirmeler günlük kullanımda güçtür

Kimler İçin?

Yapısal ağ anonimliğine sahip kalıcı bir çalışma ortamına ihtiyaç duyan herkes: hassas yazılım geliştirme, uzun süreli takma adla araştırma, birden fazla ayrı dijital kimlik yönetimi, soğan sunucuları. Qubes-Whonix kombinasyonu, pek çok güvenlik uzmanı tarafından günlük kullanım için mevcut en sağlam anonim çalışma ortamı olarak değerlendirilmektedir.

Karar: Kalıcı ortamlarda yapısal ağ anonimliği için referans işletim sistemi. Tails’i (tek seferlik oturumları yöneten) tamamlar, ona rakip değildir.

Qubes OS

Felsefe: Bölümlere Ayırma Yoluyla Güvenlik

Qubes OS, önceki tüm sistemlerden köklü biçimde farklı bir yaklaşımı temsil eder. Diğer işletim sistemleri ele geçirmeleri önlemeye çalışırken Qubes, radikal biçimde farklı bir varsayımdan yola çıkar: Bazı bileşenlerin ele geçirilmesi kaçınılmazdır. Amaç, yayılmamasını sağlamaktır.

2012’de güvenlik araştırmacısı Joanna Rutkowska tarafından yaratılan Qubes OS, diğer güvenlik profesyonellerinin yanı sıra Edward Snowden tarafından kamuoyu önünde tavsiye edilmektedir.

Teknik Mimari

Temel katman olarak Xen hiper yöneticisi

Qubes, klasik anlamda bir Linux dağıtımı değildir. Qubes adı verilen hafif sanal makineler oluşturmak için, ara bir ana işletim sistemi olmaksızın doğrudan donanım üzerinde çalışan bare-metal bir sanallaştırma yazılımı olan Xen hiper yöneticisini kullanır. Qubes’ler arasındaki izolasyon, VM’lerin açık izin olmaksızın diğer VM’lerin belleğine veya aygıtlarına erişmesini engelleyen Intel VT-x/VT-d ve AMD-Vi (IOMMU) teknolojileri aracılığıyla donanım

Data Act vs CLOUD Act: Verilerinizi bulutta gerçekten kim kontrol ediyor?

Fri, 19 Jun 2026 00:00:00 +0000

Yıllarca dünya basit bir varsayım üzerine işledi: verilerin fiziksel bir konumu vardır. Dublin’deki bir sunucudaysa, İrlanda ve Avrupa hukukuna tabidir. Bu varsayım 2018’de çöktü; Amerika Birleşik Devletleri, ABD’li şirketler tarafından kontrol edilen verilere yetkililerin erişimini mümkün kılan CLOUD Act’i kabul etti. Bu yasa, söz konusu verilerin dünyada fiziksel olarak nerede depolandığından bağımsız olarak uygulanıyordu. Birkaç yıl sonra Brüssel kendi koruma mekanizmasıyla yanıt verdi: artık tam anlamıyla uygulanabilir hâle gelen Data Act, üçüncü ülke yetkililerin Avrupa Birliği’nde tutulan verilere yaptığı sınır ötesi erişimi kısıtlamaya çalışıyor.

Bu iki metnin gerçekte ne öngördüğü, nerede çatıştıkları ve neden bu çatışmaya karşı gerçek anlamda güçlü tek korumanın teknik erişim imkânsızlığı olduğu aşağıda ele alınmaktadır.

Amerikan CLOUD Act’i: konuma değil, kontrole dayalı erişim

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Mart 2018’de kabul edilerek Amerikan hukukuna 18 U.S. Code § 2713 maddesini ekledi. Bu hüküm; elektronik iletişim hizmeti veya uzaktan bilgisayar işlemi sunan her sağlayıcıya, bir iletişimin içeriğini ya da buna ilişkin her kaydı, söz konusu veriler ABD içinde ya da dışında yer alıyor olsun, kendi elinde bulundurduğu, koruması altında tuttuğu veya kontrolünde olduğu durumlarda korumayı, güvenceye almayı veya ifşa etmeyi zorunlu kılmaktadır.

Son derece belirleyici olan işte bu son hükümdür. Benimsenen ölçüt, artık sunucunun fiziksel konumu değil, ana şirketin bağlı kuruluşları üzerindeki kontrolüdür. Bu nedenle, Avrupa’da veri merkezi işleten bir Amerikan şirketi, veriler tamamen Avrupa topraklarında depolanmış olsa bile Amerikan taleplere uymakla yükümlüdür.

Avrupa Data Act’i: sınır ötesi erişime karşı hukuki bir bariyer

Tüzük (AB) 2023/2854, yani Data Act, 11 Ocak 2024’te yürürlüğe girmiş ve 12 Eylül 2025 itibarıyla tam anlamıyla uygulanmaya başlamıştır; bazı hükümler ise 2026 ve 2027 yıllarına kadar kademeli biçimde devreye girecektir. 32. maddesi, hükümetlerin verilere uluslararası erişimi meselesini doğrudan düzenlemektedir.

Metin açık bir kural ortaya koymaktadır: Üçüncü bir ülkenin yargı mercii veya idari makamının, bir veri işleme hizmet sağlayıcısından Avrupa Birliği’nde tutulan kişisel olmayan verileri aktarmasını ya da bu verilere erişim sağlamasını talep eden her karar veya hüküm, ancak uluslararası bir anlaşmaya—örneğin, talep eden ülke ile AB arasında ya da ilgili üye devletle söz konusu ülke arasında yürürlükte olan bir karşılıklı hukuki yardım anlaşmasına (MLA)—dayanması hâlinde tanınabilir ve icra edilebilir nitelik taşır.

Böyle bir anlaşmanın mevcut olmadığı durumlarda, 32. madde ikinci bir yol öngörmektedir; ancak bu yol sıkı koşullara bağlıdır: yabancı karar, ancak üçüncü ülkenin hukuk sistemi talebin gerekçeli, orantılı ve yeterince spesifik olmasını şart koşuyorsa—örneğin belirli kişiler veya suçlarla açık bir bağlantı kurulmuşsa—ve muhatabın gerekçeli itirazı bu üçüncü ülkedeki yetkili bir mahkemenin denetimine sunulabiliyorsa icra edilebilir.

Doğrudan bir hukuki çatışma

Sorun açıktır: CLOUD Act, Avrupa hukukunun öngördüğü orantılılık koşuluna denk herhangi bir ölçüt olmaksızın, salt şirket kontrolüne dayalı bir ifşayı zorunlu kılmaktadır. Data Act ise tam tersine, böyle bir talebin tanınmasını uluslararası bir anlaşmanın varlığına ya da belirli usul güvencelerine bağlamaktadır. Avrupa’da faaliyet gösteren ve Amerikan yetkililer tarafından AB’de barındırılan verileri iletmesi istenen bir ABD şirketi, iki çelişkili hukuki yükümlülük arasında sıkışıp kalır: Amerikan talebine uymak AB hukukunu ihlal etmek anlamına gelirken, Data Act’e uymak ABD’de ret kararının sonuçlarına katlanmayı gerektirir.

Bu gerilim teorik değildir. Avrupa Birliği Adalet Divanı (ABAD) tarafından iki önemli kararında zaten belgelenmiştir: Schrems I (2015) ve Schrems II (2020). Schrems II kararında ABAD, FISA’nın 702. Maddesi (Foreign Intelligence Surveillance Act) ve Yürütme Kararnamesi 12333 kapsamında yürütülen Amerikan gözetiminin, AB hukukunun orantılılık ilkesi çerçevesinde talep ettiği asgari güvenceleri karşılamadığına ve dolayısıyla kesinlikle gerekli olanla sınırlı sayılamayacağına hükmetmiştir. Mahkeme ayrıca, Avrupa’daki ilgili kişiler için etkili bir yargısal başvuru yolunun bulunmadığını da tespit etmiş ve bu durumun Temel Haklar Şartı’nın 47. maddesini ihlal ettiğini vurgulamıştır. Bu karar, o zamana kadar AB ile ABD arasındaki veri transferlerini düzenleyen Privacy Shield çerçevesini geçersiz kılmıştır.

Yapısal risk: Harvest Now, Decrypt Later

Yetki alanı çatışmasının ötesinde, Amerikan hukukuna tabi altyapılarda barındırılan veriler üzerinde daha sinsi bir tehdit bulunmaktadır: Harvest Now, Decrypt Later (HNDL) stratejisi. Bu yöntemde bir istihbarat servisi ya da düşmanca bir devlet aktörü, gelecekte yeterli kuantum hesaplama kapasitesine kavuşulduğunda deşifre etmek üzere şifrelenmiş verileri şimdiden ele geçirip depolamaktadır.

Bu strateji, Amerikan bulut altyapısına uzun süreli bağımlılığı ertelenmiş bir güvenlik borcuna dönüştürür: bugün gizli olan şey on ya da on beş yıl içinde okunabilir hâle gelebilir; saldırganın yapması gereken tek şey zamanı beklemektir.

Neden yalnızca teknik imkânsızlık gerçek bir güvence oluşturur

Hukuki analiz, uyum uzmanlarının büyük çoğunluğunun paylaştığı bir sonuca yakınlaşmaktadır: Data Act’in yasal çerçevesi ne kadar sağlam olursa olsun, jeopolitik güç dengeleri ve diplomatik baskılar bu metni aşabilir, geciktirebilir ya da yeniden yorumlayabilir. Hiçbir gelecekteki müzakereye bağlı olmayan tek koruma, teknik icra imkânsızlığıdır.

Hizmet sağlayıcının şifre çözme anahtarlarını ne elinde bulundurduğu ne de koruması altında tuttuğu bir zero knowledge mimarisi, bir talebi maddeten işlevsiz kılar. Hiçbir zaman sahip olunmayan bir şeyi teslim etmeye zorlanmak mümkün değildir.

Arpokrat gibi ekosistemler bu mantık üzerine kurulmuştur:

Yetki alanı nötralizasyonu: Altyapı, CLOUD Act’in doğrudan sınır ötesi uygulanabilirliğinin kapsamı dışında kalan Federal Veri Koruma Kanunu (LPD/FADP) rejimine tabi olarak İsviçre’de barındırılmaktadır
Gözetim yokluğu: Zero knowledge mimarisi, sağlayıcıyı hiçbir zaman sahip olmadığı anahtarları veya içerikleri teslim etme kapasitesinden yoksun bırakmaktadır
Kimlik izinin azaltılması: Telefon numarası veya e-posta adresiyle kayıt zorunluluğunu ortadan kaldırarak—FISA’nın 702. Maddesine dayalı gözetiminin kolayca takip edebildiği bu tanımlayıcıları devre dışı bırakarak—kullanıcı, tespit edilebilir bir abone olmaktan çıkıp anonim bir kriptografik anahtara dönüşmektedir

Gözetim zinciri şifrelemeyle bitmez

Uyum analizlerinde sıklıkla göz ardı edilen bir husus şudur: Altta yatan işletim sistemi—Android ya da iOS—çekirdek düzeyinde meta veri veya telemetri toplamayı sürdürüyor ve bunları Amerikan yargı yetkisine tabi sunuculara iletiyorsa, iletişimin içeriğini şifrelemek tek başına yeterli değildir. Gizliliğin korunması, içerikten fiziksel altyapıya kadar gözetim zincirinin tümünün kapatılmasını gerektirir.

İşte bu nedenle dijital egemenlik, yalnızca mesajlaşma uygulamaları üzerine değil, aynı zamanda kullanılan işletim sistemi üzerine de bir düşünce geliştirmeyi zorunlu kılmaktadır. Bluetooth veya GNSS konumlandırma gibi modüllerin doğrudan çekirdek düzeyinde devre dışı bırakılabildiği Google bağımsız sistemler, hiçbir uygulama düzeyinde şifrelemenin telafi edemeyeceği fiziksel saldırı vektörlerini ortadan kaldırmaktadır.

Kuantum sonrası kriptografi: hâlihazırda başlamış bir süreç

HNDL stratejisinin oluşturduğu tehdit karşısında, kuantum sonrası kriptografi (PQC) standartlarının benimsenmesi, ister ticari sırlar, ister mesleki yazışmalar ister sağlık verileri söz konusu olsun, uzun vadede hassas verilerin gizliliğini güvence altına almak isteyen herkes için bir zorunluluk hâline gelmektedir. Bugün klasik standartlara göre sağlam sayılan bir şifreleme, önümüzdeki on beş yıl içinde beklenen kuantum hesaplama kapasitelerine karşı dayanacağını garanti etmemektedir.

Data Act ile CLOUD Act arasındaki çatışma daha geniş bir gerçeği gözler önüne sermektedir: dijital egemenlik artık yalnızca yasal metinler üzerine inşa edilemez; bu metinler ne kadar sağlam olursa olsun. Şifreleme protokolünden barındırma yargı yetkisine, işletim sisteminin kendisine kadar gözetim zincirinin her düzeyde kapatılmasını gerektirmektedir. Tek bir düzenleyici çerçeveye duyulan güvene dayanmak yerine bu katmanlı yaklaşım, bugün gerçek anlamda tasarım yoluyla dijital egemenliği tanımlamaktadır.

Monero ve Zcash 2027'den İtibaren Avrupa'da Yasaklanıyor: AMLR Neyi Değiştiriyor?

Thu, 18 Jun 2026 00:00:00 +0000

Monero ve Zcash’in Avrupa’da yasaklanması artık kesinleşti. Temmuz 2027’den itibaren Avrupa Birliği, AMLR adı verilen yeni bir kara para aklamayla mücadele tüzüğü aracılığıyla gizlilik odaklı kripto paralara kurumsal erişimi kapatıyor. Bu yazıda tüzüğün somut olarak neler öngördüğünü, uygulamadan sorumlu yeni Avrupa otoritesi AMLA’nın rolünü ve gizlilik coini bulunduran herkes için bunun gerçekte ne anlama geldiğini ele alıyoruz.

AMLR ve AMLA: Karıştırılmaması Gereken İki Farklı Metin

Ayrıntılara girmeden önce bir açıklama yapmak gerekiyor; bu iki kısaltma, özellikle sektör basınında sıkça karıştırılan iki farklı şeyi ifade etmektedir:

AMLR (Anti-Money Laundering Regulation — Kara Para Aklamayla Mücadele Tüzüğü), yasanın kendisidir: (AB) 2024/1624 sayılı Tüzük; anonim hesapların yasaklanması, doğrulama eşikleri ve gizlilik coinlerinin işlenmesi gibi kuralları belirler. Bu, “ne yapılacağını” ortaya koyar.
AMLA (Anti-Money Laundering Authority — Kara Para Aklamayla Mücadele Otoritesi), aynı gün kabul edilen ancak ayrı bir tüzükle, (AB) 2024/1620 sayılı Tüzük ile kurulan yeni Avrupa denetim otoritesidir. Görevi, özellikle birden fazla Üye Devlet’te faaliyet gösteren büyük kripto varlık hizmet sağlayıcıları (CASP) nezdinde AMLR’nin uygulanmasını doğrudan denetlemektir. Bu ise “kimin denetleyeceğini” belirler.

Özetle: AMLR kuralları belirler, AMLA bu kurallara uyulup uyulmadığını denetler. Her iki metin de kara para aklaması ve terörün finansmanına karşı tek bir Avrupa yasama paketini oluşturmaktadır.

AMLR Tüzüğü Ne Söylüyor?

Avrupa Parlamentosu ve Konsey tarafından 31 Mayıs 2024’te kabul edilen ve 19 Haziran 2024’te Avrupa Birliği Resmî Gazetesi’nde yayımlanan (AB) 2024/1624 sayılı Tüzük‘ün “Anonim araçlarla ilgili risklerin azaltılmasına yönelik tedbirler” başlıklı VIII. Bölümü (79-80. Maddeler), daha spesifik olarak 79. Maddesi (“Anonim hesaplar, hamiline yazılı hisseler ve hisse senedi alım hakkı senetleri”), kredi kuruluşlarının, finansal kuruluşların ve kripto varlık hizmet sağlayıcılarının (CASP) artık anonim hesap tutmasını veya işlemlerin anonimleştirilmesini sağlayan ürünler sunmasını yasaklamaktadır.

Metin, birbiriyle bağlantılı iki ayrı kategoriyi açıkça hedef almaktadır:

Anonim hesaplar — bankacılık, ödeme veya kripto olsun. Bu kural, kripto sektörünü anonim banka hesapları, hamiline yazılı menkul kıymetler ve anonim kasalar için halihazırda mevcut olan kısıtlamalarla aynı hizaya getirmektedir.
“Anonimleştirici özellikli kripto para birimleri” (anonymity-enhancing coins) — tüzüğün, işlem akışlarını izlenemez kılan gelişmiş kriptografik teknikler kullanan varlıkları tanımlamak için kullandığı genel terim. Önemli bir not: Yasal metin hiçbir tokeni ismiyle anmamaktadır. Monero (XMR), Zcash (ZEC) ve Dash (DASH)‘ı bu kategoriye dahil eden, European Crypto Initiative’in (EUCI) AML El Kitabı da dahil olmak üzere uyum firmaları ve sektör tarafından paylaşılan yorumdur. Bu, tüzüğün tanımıyla tutarlı bir okumadur; ancak kanunda yer alan bir isim listesi değil, sektörel bir yorumdur.

Tüzük, 2024-2025’ten itibaren yürürlükte olan ve Kraken’in Ekim 2024’ten başlayarak ardından düzinelerce başka platformun Monero’yu Avrupa piyasalarından önceden çekmesine yol açan MiCA (Markets in Crypto-Assets — Kripto Varlıklar Piyasaları) ile birlikte daha kapsamlı bir yasal çerçevenin parçasıdır.

Hatırlanması Gereken Tarih: Temmuz 2027

AMLR’nin kesin bir uygulama tarihi vardır. Fransızca kaynaklar da dahil olmak üzere uzman kaynaklarının büyük çoğunluğu tam uygulama tarihi olarak 10 Temmuz 2027‘de birleşmektedir. Bu tarihten itibaren kripto para borsaları ve emanetçi kripto varlık hizmetleri artık ne anonim hesaplarla ne de gizlilik coinleriyle işlem yapabilecektir.

Bu tarihe kadar tüzük zaten güçlendirilmiş yükümlülükler getirmektedir:

1.000 Euro’yu aşan tüm tek seferlik kripto işlemleri için zorunlu kimlik doğrulaması — birçok platformun mevcut uygulamalarına kıyasla önemli ölçüde düşürülmüş bir eşik
Öz-saklama cüzdanlarına (self-custody) yönelik güçlendirilmiş kontroller: Bir kullanıcı düzenlenmiş bir platform ile kişisel cüzdanı arasında fon transferi yaptığında, CASP fonların kaynağı ve varış yeri hakkında bilgi toplamak ve en azından harici cüzdan sahibinin kimliğini doğrulamak zorunda kalacaktır
Tüm anonim finansal araçlara yönelik kimlik kontrollerinin genişletilmesi mantığıyla, 3.000 Euro’nun üzerindeki nakit ödemelerin kaldırılması

Bruxelles Neden Monero ve Zcash’i Düzenlenmiş Platformlarda Yasaklıyor?

EUCI, AML El Kitabı’nda metnin altında yatan mantığı şöyle özetliyor: Kripto varlıklardaki anonimlik, işlem akışlarının izlenebilirliğini engelleyerek ve şüpheli faaliyetlerin tespitini güçleştirerek suç amaçlı kötüye kullanım için önemli riskler barındırmaktadır.

Bu, Japonya’nın, Güney Kore’nin ve daha yakın zamanda Filipinler’in gizlilik coinlerini düzenlenmiş platformlarından dışlamaya yol açan mantığın ta kendisidir; bu durum, gelişmiş ülke yargı bölgelerinin FATF (GAFI) standartlarına giderek artan bir şekilde yakınlaşmasını yansıtmaktadır. AB, bu yasağı 27 Üye Devlet’in tamamında doğrudan uygulanabilir bir tüzükte resmileştirerek bu eğilime, tekil ulusal kararların çok ötesinde bir hukuki ağırlık ve sürükleyici etki (“Brüksel Etkisi”) kazandırmaktadır.

Yasaklanmayan Şeyler — Önemli Bir Ayrım

Birçok hukuki analiz ortak bir noktada buluşmaktadır: AMLR, gizlilik coinlerinin bireysel olarak bulundurulmasını ya da düzenlenmiş platformlar dışındaki eşten eşe transferleri suç olarak tanımlamamaktadır. Öz-saklama cüzdanları kendi başına yasaklanmamış olup yalnızca düzenlemeye tabi bir platformla etkileşime girdiklerinde güçlendirilmiş kontrollere tabi tutulmaktadır.

AMLR’nin kapattığı şey kurumsal erişim noktalarıdır: Avrupa Birliği içinde düzenlenmiş bir CASP aracılığıyla gizlilik coinleri satın alma, satma, yatırma ve çekme işlemleri. Özel mülkiyet ve merkeziyetsiz borsalar, bu aşamada, Filipinler’de gözlemlenen düzenin aynısıyla, yasağın doğrudan kapsamı dışında kalmaktadır.

Bu Durum XMR ve ZEC Sahipleri İçin Pratikte Ne Anlama Geliyor?

Şu anda Avrupa Birliği içindeki düzenlenmiş bir borsada gizlilik coini bulunduruyorsanız:

Temmuz 2027’ye kadar bu platformların söz konusu varlıkları kaldırmış ya da yeni yatırımları kabul etmeyi durdurmuş olması gerekecektir
Bu platformlardan kişisel cüzdanlara yapılan transferler, nihai son tarihten önce bile güçlendirilmiş kimlik doğrulama kontrollerine tabi olacaktır
1.000 Euro’yu aşan tüm kripto işlemleri, gizlilik coini olsun ya da olmasın, eksiksiz bir kimlik doğrulaması gerektirecektir

Kripto sektörünün içinden gelen eleştirmenler de dahil olmak üzere metne yönelik eleştiriler, yapısal bir riski işaret etmektedir: Düzenlenmiş devreleri kapatmak, varlıkları teknik olarak yasaklamaksızın, tüzüğün zorunlu bir şekilde gizlilik coini sahiplerini daha az şeffaf piyasalara ve düzenlenmemiş platformlara yönlendirdiği anlamına gelmektedir; bu da Brüksel’in öne sürdüğü izlenebilirlik hedefinin tam tersidir.

2027 Son Tarihinden Önce Hazırlık Yapmak

Ufku 2027 olarak belirlenmiş olsa da geçiş süreci hemen gerçekleşmeyecektir; ancak süreç zaten başlamıştır. Platformlar uyum gerekliliklerini öngörerek tekliflerini zaten ayarlamakta olup bu yargı bölgesine tabi altyapılara bağımlı kalmadan gizlilik coinlerini değiştirme veya pozisyonları konsolide etme penceresi her geçen ay daralmaktadır.

Arpokrat Swap , Monero, Zcash ve diğer tüm gizlilik odaklı kripto paraların kayıt olmadan, kimlik bilgisi toplamadan ve AMLR’ye tabi düzenlenmiş bir CASP’a bağımlı olmadan değiştirilmesine olanak tanır. Platform hem clearnet’te hem de .onion adresimiz üzerinden erişilebilir olup bu varlıkları değiştirme kapasiteniznin, erişim noktalarını bir gün ansızın kapatan herhangi bir yargı bölgesine bağlı olmadığını güvence altına alır.

AMLR, artık pek az şüpheye yer bırakılan bir yörüngeyi doğrulamaktadır: Düzenlenmiş kripto piyasaları ile finansal gizlilik, yargı bölgesinden yargı bölgesine yapısal olarak bağdaşmaz hale gelmektedir. Soru artık bu eğilimin gelişmiş ekonomilerin tamamına yayılıp yayılmayacağı değil, 2027 sonrasında özel varlıkların bunlara artık dokunma hakkı olmayacak devreler dışında ne kadar süre daha değiştirilebileceğidir.

Anonim blok zincirleri: Monero, Zcash ve gizlilik coinleri işlemlerinizi gerçekte nasıl korur?

Wed, 17 Jun 2026 00:00:00 +0000

Bitcoin hiçbir zaman anonim olmadı. Bu, kripto dünyasının en yaygın — ve en tehlikeli — yanlış anlamalarından biridir. Her Bitcoin işlemi, herkesin inceleyebileceği bir deftere kaydedilir; herkese açık ve kalıcıdır. Doğru zincir üzeri analiz araçlarıyla bir adresin tüm geçmişini takip etmek, bunu bir borsa platformuyla, ardından gerçek bir kimlikle ilişkilendirmek artık başlı başına profesyonel bir faaliyet alanına dönüşmüştür.

“Anonim” blok zincirleri — ya da daha doğru bir ifadeyle gizlilik coinleri (privacy coins) — basit bir tespite dayanarak ortaya çıktı: Genel bir defterinin tam şeffaflığı, finansal gizlilikle bağdaşmaz. Bu coinlerin gerçekte nasıl çalıştığını, neyi koruduklarını ve sınırlarının nerede olduğunu aşağıda ele alıyoruz.

Bitcoin ve Ethereum neden gizli değil?

Bitcoin, Ethereum ve neredeyse tüm klasik blok zincirlerinde her işlem üç bilgiyi kamuya açık biçimde sergiler: gönderenin adresi, alıcının adresi ve transfer edilen miktar. Bu şeffaflık; adres kümeleme analizine, varlık tahminine, ödeme takibine ve nihayetinde — KYC zorunluluğuna tabi bir borsa aracılığıyla tek bir adres gerçek bir kimlikle ilişkilendirildiğinde — kişisel tanımlamaya kapı aralar.

Burada söz konusu olan takma ad kullanımıdır, anonimlik değil. Bir adres adınızı göstermez; ancak bir kez sizinle ilişkilendirildiğinde tüm işlem geçmişiniz geriye dönük olarak okunabilir hale gelir.

Monero: Gizlilik bir seçenek değil, kural

Monero (XMR), günümüzde dolaşımdaki en sağlam gizlilik odaklı kripto para olarak kabul edilmektedir — bunu, isteğe bağlı gizlilik araçları sunduğu için değil, gizliliğin her işlem için zorunlu ve otomatik olması sayesinde başarmaktadır, istisnasız.

Ring signatures (Halka imzalar)

Monero’nun temel mekanizması ring signature (halka imza) yöntemidir. Bir işlem gönderildiğinde, blok zinciri üzerindeki eski işlem çıktılarından seçilen tuzak (decoy) işlemlerle bir araya getirilir ve bir halka oluşturulur. Bir gözlemci, olası imzacılardan oluşan bir küme görür; ancak hangisinin işlemi gerçekten gerçekleştirdiğini belirleyemez.

Bu prensibi şöyle hayal edebilirsiniz: Bir belgeyi, içinde başka insanların da bulunduğu bir odada imzalıyorsunuz. Herkes imzalıyor; oradaki birinin imzaladığını herkes doğrulayabilir, ancak kimin imzaladığını kimse bilemez. Mevcut halka boyutu, gerçek işlemi 15 tuzak işlemle bir araya getirerek 16 olası imzacıdan oluşan bir küme oluşturur.

Ekim 2020’den bu yana Monero, CLSAG (Compact Linkable Spontaneous Anonymous Group signatures) şemasını kullanmaktadır. Bu şema, aynı gizlilik garantilerini korurken ortalama işlem boyutunu yaklaşık %25 oranında küçültmüştür.

Stealth addresses (Gizli adresler)

Birisi size Monero gönderdiğinde, gönderen fonları doğrudan genel adresinize iletmez. Bunun yerine açık anahtarınızdan türetilmiş tek kullanımlık bir gizli adres oluşturur. Blok zincirinde görünen bu geçici adrestir — sizin gerçek adresiniz değil. Monero adresinizi herkese açık biçimde yayımlasanız bile, hiç kimse blok zincirini tarayarak gelen işlemlerinizi tespit edemez: Her ödeme, yalnızca özel görüntüleme anahtarınız sayesinde cüzdanınızın tanıyabileceği benzersiz bir adres oluşturur.

RingCT: Transfer miktarlarını gizleme

Ring Confidential Transactions (RingCT), transfer miktarlarını gizler. Ağın, yapay olarak para yaratılmadığından emin olmak için girişlerin çıkışlara eşit olduğunu doğrulaması gerekir; ancak bunu görünür rakamlar yerine kriptografik taahhütler aracılığıyla yapar. Bulletproofs teknolojisinin kullanıma girmesi, bu kanıtların boyutunu ve ilişkili ücretleri önemli ölçüde azaltarak gizli miktarları günlük kullanımda pratik bir seçeneğe dönüştürmüştür.

Dandelion++: Ağ katmanında koruma

Dördüncü bir mekanizma olan Dandelion++, zincir üzeri protokolün dışında işlev görür: Hangi IP adresinin bir işlemi ağa ilk yayan olduğunun tespit edilmesini engeller. Bu tamamlayıcı bir koruma katmanıdır — halka imzaların, gizli adreslerin ve RingCT’nin kapamadığı, ağ katmanı gözetimine açık bir güvenlik açığını kapatır.

Bu mekanizmaların her biri farklı bir gözetim açığını kapatır. Herhangi birinin kaldırılması, diğerlerinin karşılayamadığı bir analiz kategorisine kapı aralar — Monero’yu takibi bu denli güç kılan şey, tam da bu mekanizmaların bir arada etkileşimidir.

Zcash: Sıfır bilgi kanıtlarıyla gizlilik

Zcash (ZEC) farklı bir yaklaşıma dayanır: zk-SNARKs (zero-knowledge succinct non-interactive arguments of knowledge — sıfır bilgili kısa ve etkileşimsiz bilgi kanıtları). Bu kriptografik kanıt ailesi, bir işlemin içeriğine dair hiçbir ayrıntıyı açığa çıkarmadan söz konusu işlemin tüm mutabakat kurallarını karşıladığını doğrulamayı mümkün kılar.

İki havuzlu sistem

Zcash, yan yana var olan iki adres türüyle çalışır: genel geçmişi olan Bitcoin gibi davranan şeffaf adresler (t-addr) ve zk-SNARKs sayesinde gönderici, alıcı ve miktarı gizleyen korumalı adresler (z-addr). Bir işlem tamamen şeffaf, tamamen korumalı ya da karma (bir havuzdan diğerine geçiş, kısmen görünür) olabilir.

Bu isteğe bağlı tasarım uzun süre Zcash’in zayıf noktası oldu: Kullanıcıların büyük çoğunluğu şeffaf havuzda kaldığı sürece korumalı havuzun anonimlik kümesi küçük kalır ve bu da istatistiksel analizleri kolaylaştırır. Ancak durum belirgin biçimde değişti: 2026 başı itibarıyla dolaşımdaki ZEC’in yaklaşık %30’u korumalı havuzlarda bulunmaktadır; bu oran 2024’te yalnızca %8’di. Pek çok modern cüzdan artık varsayılan olarak korumalı işlemlere geçmekte; bu da tüm kullanıcılar için mevcut anonimlik kümesini otomatik olarak genişletmektedir.

Halo 2 ve “güvenilir kurulum” sorununun sonu

Zcash’teki ilk zk-SNARKs sürümleri bir güvenilir kurulum seremonisi (trusted setup) gerektiriyordu — yalnızca tek bir katılımcının güvenliğinin ihlal edilmesinin bile sınırsız miktarda korumalı coin oluşturmaya izin verebileceği, hassas bir süreçti. Halo 2 ile birlikte tanıtılan Orchard havuzu, herhangi bir güvenilir kurulum gerektirmeyen özyinelemeli kanıt bileşimi sayesinde bu bağımlılığı tamamen ortadan kaldırmaktadır.

Seçici açıklama

Zcash’in belirgin özelliklerinden biri seçici açıklama (selective disclosure) mekanizmasıdır. Bir kullanıcı, tüm finansal faaliyetini kamuya açmak zorunda kalmadan korumalı bir işlemin ayrıntılarını bir denetçiyle, bir şirketle veya bir düzenleyiciyle paylaşmayı seçebilir. Bu esneklik, gizlilik ile uyumluluk arasında çok az kripto paranın sunduğu bir denge noktası yaratır; Zcash, bunu düzenleyicilere karşı bir argüman olarak öne sürmektedir. Ticari açıdan gerçek bir karşılık bulmakla birlikte, düzenleyici sonuçların yargı bölgesine göre son derece farklılık gösterdiği bu durumu ilerleyen bölümlerde ele alacağız.

Sınırlar ve dikkat edilmesi gereken noktalar

Hiçbir gizlilik odaklı blok zinciri kusursuz değildir; gerçek sınırların nerede olduğunu anlamak büyük önem taşır:

Miktarlar gizlenmiş olsa bile zamanlama ve miktar analizi, diğer meta veriler (zaman damgası, işlem boyutu) kullanılabilir korelasyonlar oluşturduğu belirli senaryolarda hâlâ mümkün olabilir.
Adres yeniden kullanımı veya fonların şeffaf geçmişli varlıklarla karıştırılması, özellikle giriş/çıkış akışlarının büyük ölçüde şeffaf havuzdan geçtiği Zcash’te bilgi sızıntısını yeniden gündeme getirebilir.
Uzun vadeli kuantum tehdidi: Mevcut zk-SNARKs ve bazı kriptografik ilkel öğeler, yeterince güçlü kuantum bilgisayarlarına karşı savunmasız olabilir. Zcash, 2026 için “kuantum kurtarılabilir” cüzdanlar ve 2027 için tam kuantum sonrası güvenliği hedefleyen bir kuantum sonrası geçiş üzerinde çalışmaktadır.
Uzak düğümler: Kendi yerel düğümünüz yerine üçüncü taraf bir düğüme bağlanmak, protokolün kriptografik korumalarından bağımsız olarak bakiyeniz ve IP adresinizle ilgili meta verileri ifşa edebilir.

Bu blok zincirleri neden küresel bir düzenleyici hedef haline geldi?

Bu teknik sağlamlığın doğrudan sonucu şudur: Gizlilik coinleri, Avrupa, Japonya, Güney Kore ve yakın zamanda başka büyük Asya pazarları dahil olmak üzere giderek daha fazla yargı bölgesinde düzenlenmiş platformlardan sistematik biçimde dışlanmaktadır. Öne sürülen gerekçe neredeyse her zaman aynıdır: FATF (Financial Action Task Force) kara para aklamayla mücadele standartlarına uyum.

Bu düzenleyici baskı, bireysel mülkiyet veya eşler arası transferleri neredeyse hiç hedef almaz; özellikle kurumsal giriş noktalarını (borsalar, düzenlenmiş saklama hizmeti sağlayıcıları) hedef alır. Arpokrat gibi müşteri varlığı tutmayan ve veri toplamayan platformların doldurmaya geldiği boşluk tam da budur.

Gizlilik coinlerini varlık nedenlerinden ödün vermeden takas etmek

Monero veya Zcash’i tam KYC talep eden, IP günlüklerinizi saklayan ve takas geçmişinizi izleyen bir platformda işlem yapmak, bu blok zincirlerinin sunduğu korumayı önemli ölçüde geri almak anlamına gelir. Zincir üzeri gizlilik, ancak çevresindeki altyapının gizliliği kadar değerlidir.

Arpokrat Swap , XMR, ZEC ve başlıca gizlilik odaklı kripto paraların tamamını çerez toplamadan, IP günlüğü tutmadan ve kayıt gerektirmeden takas etmenizi sağlar. Platform, uçtan uca koruma — protokolden takas altyapısına kadar — için hem clearnet üzerinden hem de .onion adresimiz aracılığıyla erişilebilir durumdadır.

Pratik ipucu: İki izlenebilir varlık arasındaki zincir üzeri bağlantıyı kesmek için Monero üzerinden geçiş yapmak (örneğin BTC → XMR → ETH), günümüzde mevcut en sağlam yöntemlerden biri olmayı sürdürmektedir.

Finansal gizlilik, kripto dünyasının tali bir özelliği değildi — en çok kullanılan blok zincirlerinin şeffaflığı bu vaadi fiilen sessizliğe gömmeden önce, onun kurucu taahhütlerinden biriydi. Monero ve Zcash, her biri kendi yöntemiyle bu vaadi protokol düzeyinde yerine getirmektedir. Zincirin geri kalanı — nerede takas yaptığınız, nasıl sakladığınız, hangi altyapıyı kullandığınız — tamamen sizin sorumluluğunuzdadır.

Filipinler, Monero ve Zcash'i Düzenlenmiş Platformlarda Yasakladı: Küresel Bir Eğilimin İşareti

Wed, 17 Jun 2026 00:00:00 +0000

Filipinler Merkez Bankası, gizlilik odaklı kripto paralara ağır bir darbe vurdu. Uluslararası kara para aklamayla mücadele standartlarına uyum gerekçesiyle alınan bu karar, çok daha geniş bir coğrafyayı kapsayan düzenleyici bir dinamiğin yansımasıdır ve Monero ya da Zcash gibi varlıkları elinde bulunduran veya kullanan herkes için ciddi bir uyarı niteliği taşımaktadır.

Memorandum Ne Diyor?

Ülkenin merkez bankası olan Bangko Sentral ng Pilipinas (BSP), Başkan Yardımcısı Lyn Javier tarafından imzalanan M-2026-023 sayılı Memorandum‘u onayladı. Metin, lisanslı tüm sanal varlık hizmet sağlayıcılarını (VASP) “anonimleştirici nitelikteki sanal varlıkları” listelemeyi ve desteklemeyi durdurmakla yükümlü kılmaktadır. Memorandumda hiçbir token’ın adı açıkça geçmemekle birlikte, hedef alınan kategori Monero, Zcash ve Dash’i — işlem izlemeyi zorlaştırmak veya olanaksız kılmak için tasarlanmış kripto paraları — tartışmasız biçimde kapsamaktadır.

Düzenleme, herhangi bir geçiş süresi tanınmaksızın derhal yürürlüğe girdi. VASP’lar bu varlıkları platformlarından kaldırmanın ötesinde, listelenen her token’ı artık altı uyum kriterine göre değerlendirmek zorundadır: ihraçcının güvenilirliği, piyasa olgunluğu, kullanım senaryosu, şeffaflık ve güvenlik, likidite ve rezervler, yasal uyumluluk. Bunun yanı sıra, bir varlığın bu kriterleri karşılamadığı durumlarda otomatik olarak kotasyon iptali tetikleyecek dahili eşikler de belirlemek durumundadırlar.

Pratikte Ne Değişiyor?

Memorandum, Monero veya Zcash’in özel olarak elde bulundurulmasını ya da düzenlenmiş platformların dışında yapılan eşler arası transferleri suç kapsamına almamaktadır. Ortadan kalkan şey kurumsal erişimdir: Lisanslı platformlardaki düzenlenmiş giriş ve çıkış noktaları (alım, satım, yatırma, çekme) artık bu varlıkları işleyemeyecektir.

Pratikte şu anlama gelir: BSP lisansına tabi bir Filipinler platformunda — Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank veya UnionBank gibi — privacy coin bulunduruyorsanız, platform bu varlıkları kaldırmak zorunda kalmadan önce bunları kişisel bir cüzdana aktarmanız ya da dönüştürmeniz gerekmektedir.

Ülkede 16 milyonun üzerinde kripto para kullanıcısı olduğu düşünüldüğünde, bu kararın yerel pazara etkisi büyük ölçekte hissedilecektir. Bununla birlikte, Filipinler’in XMR veya ZEC’nin küresel likiditesindeki payı oldukça sınırlı olduğundan bu varlıkların dünya genelindeki fiyatına etkisinin kısıtlı kalması beklenmektedir.

Evrensel Gerekçe: FATF Uyumu

BSP kararını, kara para aklamayla mücadele ve terörizmin finansmanının önlenmesi kurallarını belirleyen uluslararası kuruluş FATF (GAFI) standartlarıyla açık bir uyum sağlama gerekçesiyle savunmaktadır. FATF ile iyi ilişkileri sürdürmek, merkez bankalarının büyük çoğunluğu için zorunludur; düşük bir derecelendirme, bir ülkenin tüm uluslararası finansal sistemlere erişimini olumsuz etkileyebilmektedir.

Avrupa Birliği, Japonya ve Güney Kore’nin son yıllarda privacy coin’leri düzenlenmiş platformlardan kademeli olarak dışlamasının ardında da aynı gerekçe yatmaktadır. Dolayısıyla Filipinler kararı izole bir örnek değildir: Fiilen yaygınlaşan bir standardın teyididir. Uluslararası alanda tanınan bir kripto piyasası işletmek isteyen bir yargı bölgesi için gizlilik odaklı varlıkların artık yeri kalmamaktadır.

Kimsenin Gerçekten Çözmediği Bir Gerilim

Kararı destekleyenlerin bile kısıtlamaya çalıştığı kullanımın meşruiyetini kabul etmesi, düşündürücüdür. Ülkenin en büyük fintek şirketlerinden GCash’in kripto direktörü, Monero ve Zcash’in “meşru amaçlarla var olduğunu” ve gizliliğin “kriptonun kurucu değerlerinden birini — gözetim olmaksızın işlem yapabilme kapasitesini — oluşturduğunu” açıkça kabul etti. Buna karşın, döviz havalesi akışlarına yüksek oranda bağımlı bir ülke olan Filipinler’in anonimleştirici varlıkların serbest dolaşımına izin vererek güvenilir bir finansal altyapı konumlanması yapamayacağı gerekçesiyle tedbiri destekledi.

Bu gerilim çözüme kavuşturulmadı; yalnızca düzenleyici perspektif lehine bir karar verildi: Havale hacimleri ve uluslararası güvenilirlik, bu denge her kurulduğunda meşru gizlilik argümanından daha ağır basmaktadır.

Mantıksal Sonuç: Öz-Saklama’ya Geçiş

Yargı bölgesinden yargı bölgesine tekrarlanan örüntü artık okunabilir hâle geldi. Senaryo neredeyse her zaman aynıdır: Finansal gizlilik bireysel düzeyde yasal olmaya devam etmekte, ancak kurumsal kanallar aracılığıyla kullanılması giderek olanaksızlaşmaktadır. Öz-saklama (self-custody) henüf doğrudan hedef alınmış değildir; ancak bu modeli benimseyen her yeni yargı bölgesi, söz konusu varlıkların düzenleyici kısıtlama olmaksızın dolaşabildiği alanı biraz daha daraltmaktadır.

Bu blokzincirlerin teknik işleyişini ve düzenleyicilerin birincil hedefi hâline gelmelerinin nedenlerini — ring signature’lar, zk-SNARK’lar ve bu teknolojilerin gerçek sınırları dahil — anonim blokzincirler hakkındaki kapsamlı rehberimizde ayrıntılı biçimde ele almıştık.

Kapanan Devrelerin Dışında İşlem Yapmak

Düzenlenmiş platformlar privacy coin piyasasından birer birer çekilirken, gözetim altındaki veri toplama yapmayan emanet dışı (non-custodial) altyapıların rolü giderek daha merkezi bir önem kazanmaktadır. Bu durum özellikle, politikasını bir gecede değiştirebilecek herhangi bir yargı bölgesindeki bir VASP’a bağımlı kalmadan bu varlıkları kullanmaya devam etmek isteyenler için geçerlidir.

Arpokrat Swap , Monero, Zcash ve tüm gizlilik odaklı kripto paraları kayıt gerektirmeksizin, IP log’u toplamadan ve çerez kullanmadan değiştirmenize olanak tanır; ister clearnet üzerinden ister .onion adresimiz aracılığıyla erişin. Hiçbir yargı bölgesi, hiçbir zaman toplamadığımız şeyi kaldıramaz.

Bu Filipinler kararı, bu yılın sonuncusu olmayacaktır. Artık sorulması gereken soru diğer ülkelerin aynı yolu izleyip izlemeyeceği değildir — yakın tarihli örnekler bunun gerçekleşeceğine işaret etmektedir — asıl soru, kurumsal erişimin istisna değil norm hâline gelmesine ne kadar zaman kaldığıdır.

Arpokrat Swap: kripto paralarınızı iz bırakmadan değiştirin

Tue, 16 Jun 2026 00:00:00 +0000

Değer alışverişi eyleminin iz bırakmaması gerektiğine inanıyoruz. Bugün bu inancı somutlaştırıyoruz: Baştan sona mutlak gizlilik gözetilerek tasarlanmış bir kripto para borsası platformu olan Arpokrat Swap ‘ı kullanıma sunuyoruz.

Sizi tanımayan bir altyapı

Borsaların büyük çoğunluğu, “özel” olduğunu iddia edenler dahil, varsayılan olarak veri toplar: IP adresi, oturum çerezleri, tarayıcı parmak izi (fingerprinting), işlem günlükleri. Çoğunlukla küçümsenen bu meta veriler, üçüncü taraflar, düzenleyiciler veya bir veri sızıntısı durumunda kötü niyetli aktörler tarafından kullanılabilecek davranışsal bir profil oluşturur.

Arpokrat Swap tam tersine kurulu bir ilke üzerine inşa edilmiştir: Sizi tanımlayamıyoruz çünkü bunu yapmaya çalışmıyoruz.

Hiçbir çerez yok — ne oturum, ne takip, ne analitik
Hiçbir IP kaydı yok — ağ adresiniz ne kaydedilir ne de iletilir
Hiçbir kayıt yok — hesap yok, e-posta adresi yok, KYC yok
Hiçbir parmak izi yok — üçüncü taraf JavaScript yok, veri toplama komut dosyası yok

Tor üzerinden erişilebilir

Ağ düzeyinde ek bir koruma katmanı isteyen kullanıcılar için Arpokrat Swap, .onion adresimiz üzerinden tamamen erişilebilir:

arpokrat4asurnhw7v3s6rinjqgcwo2fx54fq7zlacawc2xuq7wppsad.onion

Tor tarayıcısından veya Orbot aracılığıyla erişilebilen bu arayüz, clearnet sürümüyle işlevsel olarak aynıdır — özelliklerden ödün verilmez, kullanıcı deneyiminde herhangi bir bozulma yaşanmaz.

Gizlilik odaklı kripto paralar öncelikli

Arpokrat Swap, tüm büyük blok zincirleri üzerinde 350’den fazla dijital varlığı desteklemektedir. Felsefemizin özünü oluşturan, gelişmiş gizlilik sunan kripto paralara özel önem veriyoruz:

Monero (XMR) — varsayılan olarak opak işlemler, zincir üzeri gizlilikte referans standart
Zcash (ZEC) — zk-SNARKs protokolü aracılığıyla korumalı ödemeler
Bitcoin (BTC) — ana ağ ve Lightning üzerinde
Ethereum (ETH) — ve tüm ERC-20 token’ları
Litecoin (LTC), Dogecoin (DOGE), Cardano (ADA), Solana (SOL)
Avalanche (AVAX), Polkadot (DOT), Chainlink (LINK), Uniswap (UNI)
Tether (USDT) ve USD Coin (USDC) — Ethereum, Tron, BSC ve Polygon üzerinde
XRP, Stellar (XLM), Cosmos (ATOM), Algorand (ALGO)
Toncoin (TON), Near (NEAR), Aptos (APT), Sui (SUI)
Shiba Inu (SHIB), Pepe (PEPE) ve başlıca memecoin token’ları
Dai (DAI), FRAX ve merkezi olmayan stablecoin’ler
Ve yüzlerce başka token ve çapraz zincir çifti

OPSEC ipucu: İzlenebilir varlıklar içeren takaslar için Monero’yu ara birim olarak kullanmanızı öneririz — örneğin doğrudan BTC → ETH yerine BTC → XMR → ETH. Bu, iki adres arasındaki zincir üzeri bağlantıyı koparır.

xStocks: Aracısız işlem görebilen tokenize edilmiş hisseler

Arpokrat Swap ayrıca xStocks‘u da entegre ediyor — düzenlenmiş bir saklayıcı tarafından tutulan dayanak varlığa 1:1 oranında bağlı, tokenize edilmiş Amerikan hisseleri ve ETF’ler. Her token, ilgili şirketin tam olarak bir hissesini temsil eder; anında zincir üzeri ödeme yapılır ve borsa saatleri olmaksızın 7/24 kullanılabilir.

Mevcut xStocks’lardan bazıları:

Teknoloji AAPLx Apple · MSFTx Microsoft · NVDAx NVIDIA · GOOGLx Alphabet · METAx Meta · AMZNx Amazon · TSLAx Tesla · AMDx AMD · ADBEx Adobe · ACNx Accenture · APPx Applovin · AMATx Applied Materials · APLDx Applied Digital

Finans & Kripto Bitişiği COINx Coinbase · HOODx Robinhood · MSTRx MicroStrategy · CRCLx Circle · AMBRx Amber

Sağlık & İlaç MRKx Merck · AZNx AstraZeneca · ABTx Abbott · ABBVx AbbVie

Tüketim & Çeşitli MCDx McDonald’s · NFLXx Netflix · GMEx GameStop

ETF & Endeksler SPYx S&P 500 · QQQx Nasdaq-100 · GLDx Altın · PALLx Paladyum · PPLTx Platin

Ve çok daha fazlası — tam liste 131’den fazla varlığı aşıyor (100 hisse, 27 ETF ve 4 özel varlık); doğrudan platformda görülebilir.

xStocks, oy hakları veya doğrudan temettü hakkı sağlamaz. Temettüler otomatik olarak token bakiyesine yeniden yatırılır. Coğrafi kısıtlamalar geçerlidir — Amerika Birleşik Devletleri, Kanada, Birleşik Krallık ve Avustralya sakinlerine sunulmamaktadır.

Tek bir sağlayıcı değil, rota toplayıcı

Arpokrat Swap kendi bünyesinde bir borsa değildir: bir toplayıcıdır. Bir takas başlattığınızda, birden fazla ortak sağlayıcıyı eş zamanlı olarak sorgular ve size iki şeffaf kritere göre en iyi mevcut seçenekleri sunarız:

1. En düşük ücretler Görüntülenen oran, ağ ücretleri ve sağlayıcı komisyonu dahil tüm ücretleri zaten kapsamaktadır. Toplayıcımızı kullanmak için ekstra bir ödeme yapmazsınız: komisyonumuz doğrudan sağlayıcının komisyonundan alınır, oranınızı etkilemez.

2. Sağlayıcının KYC notu Her rota, her ortağın genel şartlarını ve gizlilik politikalarını okuyarak, uygulamaları hakkında onlarla doğrudan iletişim kurarak ve geçmişlerini göz önünde bulundurarak belirlediğimiz bir gizlilik derecelendirmesiyle ilişkilendirilir:

Not	Anlamı
✅ A	Hiçbir zaman kimlik doğrulaması talep etmez
🟡 B	Çok nadiren KYC talep eder, reddedilmesi durumunda iade eder
🟠 C	Nadiren KYC talep eder, birkaç gün içinde iade eder
🔴 D	KYC talep edebilir ve fonları potansiyel olarak bloke edebilir

Özellikle büyük işlem hacimleri veya gelişmiş gizlilik sunan kripto paralar içeren takaslar için A veya B notu almış rotaları tercih etmenizi öneririz.

Bu neden fark yaratır

Çoğu toplayıcı sizi en avantajlı orana yönlendirirken, altta yatan sağlayıcının gizlilikle ilgili risklerini size bildirmez. Bir borsa, mükemmel bir oran sunup ardından işleminizi engelleyecek ve fonlarınızı tutacak agresif bir KYC politikası uygulayabilir.

Arpokrat Swap, maliyet ve KYC riskinin bir arada sunulduğu tek platformdur; bu sayede kör bir arbitraj yapmak yerine bilinçli bir tercihte bulunabilirsiniz.

Arpokrat Swap’a git →

Arpokrat Swap, gözetim altında tutmayan (non-custodial) bir hizmettir. Fonlarınıza hiçbir zaman erişimimiz yoktur. Takaslar, doğrudan cüzdanınız ile seçilen ortak sağlayıcı arasında gerçekleştirilir.

Gizliliğin sonu mu? Arka kapılar, Çevrimiçi Güvenlik Yasası ve egemen ekosistemlerin yanıtı

Wed, 10 Jun 2026 00:00:00 +0000

Londra, dijital gizliliğin geleceği için küresel bir savaşın merkez üssü haline geldi. 2023 Çevrimiçi Güvenlik Yasası’nın (Online Safety Act - OSA) kabul edilmesi ve eleştirenler tarafından “Casusların Şartı” olarak adlandırılan Soruşturma Yetkileri Yasası’nı (Investigatory Powers Act - IPA) revize etmeye yönelik son tekliflerle birlikte İngiliz hükümeti, özel iletişimlerin tam kalbine gözetim yükümlülükleri getirme hakkını iddia ediyor. Kırılma noktası, düzenleyici kurum OFCOM’a, platformların uçtan uca şifrelenmiş iletişimler dahil olmak üzere çocuklara yönelik cinsel istismar (CSEA) materyallerini veya terörizmi tespit etmek için “akredite edilmiş teknoloji” dağıtmalarını talep etme yetkisinin verilmesidir.

Büyük dijital platformlar için Westminster’in mesajı açıktır: Ya altyapılarına devlet erişimini kolaylaştırırlar ya da küresel gelirlerinin %10’una varan para cezalarıyla karşı karşıya kalırlar. Tepki anında geldi: Signal ve WhatsApp gibi hizmetler, yalnızca tek bir yargı yetkisini tatmin etmek için kullanıcılarının güvenliğinden taviz vermeyi reddederek İngiltere pazarından çekilmekle açıkça tehdit ettiler. Teknik argümana itiraz etmek zordur: Yalnızca meşru aktörlere ayrılmış bir ana anahtar (master key) yoktur. Kolluk kuvvetlerine açılan bir kapı, tasarımı gereği, siber suçlulara ve yabancı istihbarat servislerine açılan bir kapıdır.

Büyük platformların iş modeli: Zero-Knowledge önünde yapısal bir engel

Büyük platformların Zero-Knowledge (Sıfır Bilgi) tipi şifrelemeyi benimsemeye karşı dirençleri teknik bir yetersizlikle değil, temel bir ekonomik uyumsuzlukla açıklanmaktadır. Alphabet ve Meta gibi şirketler, davranışsal verilerin sistematik olarak toplanmasına dayanan para kazanma modellerine güveniyor. Bu arada bu model, Avrupa Birliği’nin Dijital Piyasalar Yasası (DMA) tarafından üstü kapalı olarak tanınmaktadır ve bu “eşik bekçilerini” (gatekeepers), hakim konumları tam olarak verilerin benzersiz bir ölçekte birikmesiyle beslenen kuruluşlar olarak sınıflandırmaktadır. Bu aktörler için Zero-Knowledge mimarisini benimsemek, reklam sistemlerini yakıtını oluşturan kullanıcıların sürekli kimlik tespitinden mahrum bırakmak anlamına gelir. Bu nedenle bu teknik bir seçim değil, kullanıcı gizliliği ile iş modellerinin uygulanabilirliği arasında bir değiş tokuştur.

Stratejik risk: “Harvest Now, Decrypt Later” tehdidi

Gizlilik tartışmasının ötesinde, şifrelemenin zayıflatılması, tamamen farklı kapsamda bir ulusal güvenlik sorununu gündeme getirmektedir. Harvest Now, Decrypt Later (HNDL) olarak bilinen strateji, devlet düşmanlarının gelecekteki kuantum şifre çözme yeteneklerini öngörerek bugün devasa hacimlerde şifrelenmiş iletişimi ele geçirmesini ve saklamasını içerir. İngiliz yasal çerçevesi, mevcut şifreleme standartlarını zayıflatarak, hükümet, diplomatik veya endüstriyel iletişimlere karşı bu tür operasyonları nesnel olarak kolaylaştırır.

Arpokrat gibi ekosistemlerin operasyonel uygunluk kazanması tam da bu güven eksikliği bağlamındadır. Hiçbir sivil tanımlayıcı toplamayan bir mimariyle İsviçre Federal Veri Koruma Yasası (FADP) rejimi altında faaliyet gösteren Arpokrat, İngiliz yargı yetkisine tabi altyapılardan teknik bir kopuş sunarak — sistemin OSA tarafından öngörülen emirlere karşı sağır kalmasını garanti eder.

Normların çatışması: Avrupa hukukuna karşı OSA ve IPA

Yeni İngiliz devlet ayrıcalıklarının yasal analizi, veri koruma ve iletişimlerin gizliliğine ilişkin Avrupa hukukunun temelleriyle doğrudan bir çarpışmayı ortaya koymaktadır.

Genel gözetim yasağına karşı OSA

OSA’nın 121. Maddesi, OFCOM’a platformları istemci tarafı tarama (client-side scanning) uygulamaya zorlayan emirler çıkarma olasılığını getiriyor. Bu önlem, Avrupa hukukundan türetilen ve AB Adalet Divanı’nın (CJEU) içtihadında yer alan ve genel gözetim yükümlülüklerini yasaklayan ilkeye doğrudan aykırıdır. Bir “tasarım gereği güvenlik açığı” (vulnerability by design) dayatarak, şirketleri aynı zamanda bir çıkmaza sokar: Bir devlet emrine uymak için güvenliklerini zayıflatarak, GDPR’nin 32. Maddesinde kutsanan, işleme uygun bir güvenlik seviyesini garanti etme yükümlülüklerinde başarısız olurlar.

ePrivacy Direktifi ve iletişimlerin gizliliği

Özel mesajların taranması, Üye Devletleri elektronik iletişimlerin gizliliğini garanti etmeye zorlayan ve ilgili kullanıcıların açık rızası olmadan herhangi bir müdahale veya gözetim biçimini yasaklayan 2002/58/EC Direktifi’nin (ePrivacy) 5. Maddesi, 1. fıkrası ile doğrudan çelişmektedir.

Technical Capability Notices ve güvenlik güncellemelerinin engellenmesi

IPA 2016 rejimi altında, İngiliz hükümeti artık Teknik Yetenek Bildirimlerini (Technical Capability Notices - TCN) dağıtılmadan önce güvenlik güncellemelerine karşı çıkmak için kullanmayı amaçlıyor. Bu mekanizma, GDPR’nin 32. Maddesi ile belirlenen, işleme sistemlerinin sürekli güvenliğini sağlama yükümlülüğü ile çözülemez bir çatışma yaratır — bu yükümlülük, yamaları (patches) gecikmeden veya dış müdahale olmadan tam olarak uygulama becerisini gerektirir.

Avrupa’da faaliyet gösteren şirketler için uyumluluk riskleri

IPA revizyonları, şirketleri güvenliği etkileyen herhangi bir teknik değişiklik hakkında uygulanmasından önce İngiliz hükümetini bilgilendirmeye zorlamayı amaçlamakta ve böylece ona ürün geliştirme üzerinde bir veto hakkı tanımaktadır. Bu müdahale, Avrupa pazarında faaliyet gösteren tedarikçiler için önemli bir hukuki güvensizlik yaratmaktadır: İngiltere artık GDPR’ninkine önemli ölçüde eşdeğer bir korumayı garanti etmiyorsa, halihazırda kırılgan olan İngilizlerin Avrupa hukukuna yeterliliği (adequacy) sorgulanabilir. Bu nedenle, bu yeni çerçeve kapsamında Birleşik Krallık’a veri aktarımları muhtemelen şirketleri GDPR kapsamında yaptırımlara maruz bırakacaktır.

Teknik imkansızlık yoluyla savunma: Yasal bir kalkan olarak Zero-Knowledge ilkesi

CJEU’nun Schrems I ve Schrems II kararlarıyla pekiştirilen uluslararası içtihat, belirleyici bir ilke oluşturmuştur: Orantısız gözetime karşı tek sağlam güvence, ona erişmenin teknik imkansızlığıdır. Zero-Knowledge mimarileri bu ilkeyi üç koruma katmanında uygular:

Gözetim eksikliği: Platform şifre çözme anahtarlarını elinde tutmadığı için mesajları taramaya yönelik herhangi bir emir teknik olarak uygulanamaz;
İşletim sisteminin egemenliği: ArpokratOS kontrolü, cihaz düzeyinde istihbarat toplanmasını besleyen telemetriyi ortadan kaldırır;
İsviçre yargı yetkisi bağlantısı: Altyapısını İsviçre’de barındıran Arpokrat, bireyselleştirilmiş ve gerekçeli adli yardımlaşma talepleri gerektiren yasal bir rejim altında faaliyet göstererek OSA tarafından öngörülen kitlesel taramaların otomatik olarak yürütülmesini etkisiz hale getirir.

Sonuç

OSA’nın hükümleri ve IPA’nın revizyonları sadece bireylerin gizliliğine yönelik bir tehdit değildir: İngiliz yargı yetkisine tabi altyapılardan geçen tüm Avrupa verileri için yasal kesinliğin ihlalini temsil ederler. Kamu güvenliği adına şifrelemenin zayıflatılmasını meşrulaştırarak, Londra paradoksal olarak müttefiklerini ve ticaret ortaklarını Zero-Knowledge mimarilerinin tam olarak önlemek için tasarlandığı endüstriyel ve devlet casusluğu risklerine maruz bırakmaktadır.

Profesyonel ve kurumsal iletişimlerin bütünlüğü artık yapısal bir yanıt talep ediyor: Kod seviyesinden yargı bağlantısına kadar dijital egemenliği garanti eden merkezi olmayan ekosistemlere geçiş.

Parola ve Entropi: Güvenliğinizin arkasındaki bilim

Wed, 03 Jun 2026 00:00:00 +0000

« Parolanız 8 karakter, bir büyük harf, bir küçük harf, bir rakam ve bir özel karakter içermelidir. »

Hepimiz bu kuralı biliyoruz. Ancak siber güvenlikte buna “güvenlik tiyatrosu” diyoruz. P@ssw0rd1! gibi bir parola bu kuralların hepsine uyar, ancak herhangi bir modern bilgisayar korsanlığı yazılımı tarafından göz açıp kapayıncaya kadar kırılır.

Gerçek güvenlik, keyfi görsel kurallara değil, affetmez bir matematiksel gerçekliğe dayanır: entropi.

Claude Shannon’a Göre Entropi

Bir parolanın gücünü anlamak için bilgi teorisinin babası Claude Shannon’a bakmalıyız. Entropi, bilginin belirsizlik veya öngörülemezlik derecesini ölçer.

Parolalara uygulandığında entropi bit cinsinden hesaplanır. Bit sayısı ne kadar yüksek olursa, parolanın bir bilgisayar için öngörülmesi o kadar zor olur. Rastgele oluşturulmuş bir parolanın entropisi (E) için basitleştirilmiş formül şöyledir:

E = L × log2(R)

L parolanın uzunluğudur.
R havuz boyutudur (küçük harfler için 26, büyük harfler ve rakamlar eklendiğinde 62, sembollerle birlikte 94).

Havuz boyutunu artırmak (semboller eklemek) entropiyi artırır, ancak uzunluğu artırmak (karakter eklemek) bunu çok daha ciddi şekilde artırır. Ancak uzunluk, karmaşıklığı yalnızca tek bir şartla yener: parolanın tamamen rastgele oluşturulması gerekir.

Kaba Kuvvet (Brute Force) vs. Sözlük Saldırısı

Kelimeler veya öngörülebilir yapılar kullanırsanız, salt uzunluk kuralı çöker.

Bilgisayar korsanlığı yazılımları tüm harf kombinasyonlarını tek tek denemez (buna Kaba Kuvvet / Brute Force denir). Milyarlarca mevcut kelime, yaygın ifade ve geçmiş veri sızıntılarını içeren devasa veritabanları kullanırlar. Bu Sözlük Saldırısıdır (Dictionary Attack).

Parolanız uzun olsa bile sözlük kelimelerinden veya öngörülebilir değiştirmelerden oluşuyorsa, gerçek entropisi teorik matematiksel entropisinden önemli ölçüde düşüktür.

Modern grafik kartlarından (GPU) oluşan bir kümeye karşı tahmin edilen kırılma süreleri aşağıdadır; yapısal zayıflıklardan yararlanılarak bulunan en hızlı yol kalın harflerle vurgulanmıştır:

Parola	Teorik Entropi	Kaba Kuvvete Karşı	Sözlüğe Karşı
`password123`	~15 bit	Birkaç saat	Anında
`S3cr3t!99`	~40 bit	Birkaç yıl	Birkaç saat / gün (mutasyonlar yoluyla)
`correct horse battery staple`	~130 bit	Milyarlarca yıl	Birkaç saat / gün
`gL7!pQ9z#vX2`	~78 bit	~3.000 yıl	Başarısızlık (Kaba kuvvete dönüş)

Leetspeak Yanılsaması ve Mutasyon Kuralları

S3cr3t!99 örneğini ele alalım. Görsel olarak karmaşık ve sağlam görünüyor. Oysa bu sadece sözlükteki “secret” kelimesidir, ’e’ harfleri ‘3’ ile değiştirilmiş ve sonuna çok yaygın bir ek (!99) eklenmiştir. Buna leetspeak denir.

Sözlük saldırısına karşı bu parola sadece birkaç saat, hatta dakikalar dayanabilir. Modern kırma yazılımları (Hashcat gibi) yalnızca statik kelime listelerini test etmekle yetinmez; otomatik olarak mutasyon kuralları uygularlar. Sözlüklerindeki her kelimeyi alırlar, olası tüm leetspeak kombinasyonlarını test ederler, büyük-küçük harfleri değiştirirler ve yıllar veya semboller eklerler. Leetspeak yalnızca yanlış bir güvenlik hissi sağlar.

Klavye Kaydırma Hilesi (Keyboard Shift)

Akılda kalıcı bir ifadeyi karmaşıklaştırmak için bazıları klavye düzenini kaydırma hilesini kullanır. Örneğin, my-cat gibi bir ifadeyi ezberlersiniz. Ancak bunu yazarken işletim sisteminiz AZERTY (Fransızca) olarak ayarlanmışken parmaklarınızı fiziksel bir QWERTY klavyeye yerleştirirsiniz.

Düşünülen kelime: my-cat
Yazılan sonuç: ,y)cqt (’m’ tuşu ‘,’ olur; ‘-’ ise ‘)’ olur; ‘a’ ise ‘q’ olur).

OPSEC’te bu iyi bir fikir mi? Hayır, tek başına kullanıldığında bu yöntem yeterli değildir. Tıpkı leetspeak’te olduğu gibi, gelişmiş kırma yazılımları uluslararası klavye kaydırmalarını (QWERTY, AZERTY, QWERTZ, Dvorak) otomatik olarak test eden donanım mutasyon kuralları içerir. OPSEC’te bu gizlilik yoluyla güvenliktir: amatör bir saldırganı geciktirir, ancak hedefli ve donanımlı bir saldırıyı durdurmaz.

Bununla birlikte, bu teknik halihazırda temelde güçlü olan bir parolayla birleştirilirse (çok uzun, akılda kalıcı bir parola cümlesi gibi), halihazırda sağlam olan bir yapının içine beklenmedik özel karakterler sokarak entropiyi önemli ölçüde artırır.

İdeal Parolanın Oluşturulması (~250 bit)

Kelime listelerinin, leetspeak’in ve yazma hilelerinin sınırları varsa, mükemmel ana parolayı nasıl oluşturabiliriz? Optimum güvenliğe ulaşmak ve yeni nesil bilgisayar araçlarına direnmek için mevcut hedef yaklaşık 250 bit entropiye ulaşmaktır.

İhtiyaçlarınıza bağlı olarak bunu başarmanın iki yolu vardır:

1. Tamamen Rastgele Seçenek (Parola yöneticisi için idealdir)

Tamamen rastgele oluşturulmuş bir karakter dizisi, bir makinenin tahmin etmesini son derece zorlaştırır: k9$Yz2!pL#8vQx5@mN7*jW4&hC1%bF3^tR9(dZ6 Tüm sembol havuzunu kullanan 39 rastgele karakter.

2. Hibrit Parola Cümlesi Seçeneği (Akılda kalıcı bir ana parola için idealdir)

Rakamlar ve sembollerle sıkı bir şekilde birleştirilmiş, rastgele oluşturulmuş sözlük kelimelerinin bir dizisi: Sovereign_Crypto_99_Privacy_Zero_Knowledge_Secure_2026_Key_Lock_Cloud_Act_Grover Bu yöntem, bir insanın yapıyı görsel veya kas hafızasıyla ezberlemesine olanak tanırken devasa bir matematiksel bariyeri korur.

Kuantum Tehdidi: Grover Algoritması

128 bit günümüzün süper bilgisayarlarını zaten engelliyorken neden 250 biti hedefleyelim? Cevap, kuantum hesaplamanın ortaya çıkışında yatıyor.

Kriptografide Grover algoritması, bir kuantum bilgisayarın sıralanmamış bir veritabanında klasik bir bilgisayardan çok daha hızlı arama yapmasını sağlar. Somut olarak Grover, simetrik bir anahtarın veya parolanın etkili güvenlik seviyesini yarıya indirir.

Grover algoritmasını çalıştıran bir kuantum bilgisayarına karşı, 128 bit entropili bir parola yalnızca 64 bite eşdeğer bir direnç sunacaktır (bu da kırılabilir hale gelir).

Sonuç olarak, kuantum sonrası bir dünyada gerçek 128 bit güvenliği sürdürmek için başlangıç entropisini iki katına çıkarmak gerekir. Bu, Harvest Now, Decrypt Later (HNDL) konseptinin temel direklerinden biridir: devlet saldırganları yarın kırmak için bugün şifrelenmiş verileri vakumluyor. 250 bit entropiyi hedeflemek, ana anahtarlarınızı uzun vadede korumak için asgari standarttır.

Arpokrat Password Generator: Kendiniz Test Edin

Erişiminizin güvenliğini şansa bırakmayın. Kriptografik olarak sağlam (kuantum sonrası dahil) parolalar oluşturmanıza ve hepsinden önemlisi kendi parolalarınızın gerçek entropisini değerlendirmenize olanak tanıyan dahili bir araç geliştirdik.

👉 Arpokrat Password Generator

Mevcut parolalarınızı modern hesaplama gücüne dayanıp dayanamayacaklarını görmek için test edin. Araç, tarayıcınızda %100 yerel olarak çalışır, ağda hiçbir veri dolaşmaz.

Son Zayıf Halka: Geri Dönüşüm ve Erişim Yönetimi

Matematiksel entropi insan hatasına karşı koruma sağlamaz. 250 bitlik bir parola, birden fazla sitede yeniden kullanılırsa (Credential Stuffing adı verilen bir saldırı) veya ikinci bir kimlik doğrulama faktörü (2FA) ile korunmuyorsa işe yaramaz.

Dijital hijyenin altın kuralı, sadece tek bir parolayı hatırlamak zorunda olmaktır: 250 bitlik ana parolanız (hibrit bir parola cümlesi şeklinde). Diğer tüm erişimleriniz (banka, sosyal ağlar, sunucular), kendileri için özel olarak oluşturulmuş 250 bit saf entropiye (rastgele karakter dizileri) sahip benzersiz parolalar kullanmalıdır.

Kafanızda hatırlanması imkansız olan bu hacimdeki anahtarları depolamak ve yönetmek için Sıfır Bilgi (Zero-Knowledge) parola yöneticisi kullanımı çok önemlidir. Mevcut en iyi standartlardan biri Proton Pass ’tir. İsviçre merkezli, açık kaynaklı ve uçtan uca şifreli olması, kendi mühendislerinin bile kasanızın içeriğini okuyamamasını garanti eder. Arpokrat tarafından üretilen ultra güçlü anahtarları depolamak ve tüm dijital yaşamınızı gerçek bir matematiksel bariyerin arkasına kilitlemek için ideal bir yol arkadaşıdır.

Çığlık Atan Sessizlik: Warrant Canary Nedir ve Kaybolması Sizi Neden Endişelendirmelidir?

Mon, 01 Jun 2026 00:00:00 +0000

yüzyıl kömür madenlerinin derinliklerinde, madenciler yanlarında kafeslenmiş kanaryalar taşırlardı. Karbon monoksit gibi zehirli gazlara karşı son derece hassas olan bu küçük kuşlar, madenciler tehlikeyi fark etmeden çok önce ölürlerdi. Böylece sessiz ama son derece etkili bir erken uyarı sistemi olarak hizmet ettiler.

Modern dijital dünyamızda, bu kuş « Warrant Canary » şeklinde hayata geri döndü.

Warrant Canary Nedir?

Bir hizmet sağlayıcı (mesajlaşma, VPN, barındırma) tarafından düzenli olarak güncellenen ve o kesin tarihe kadar, kullanıcılarının verilerini tehlikeye atmaya zorlayan hiçbir gizli yasal talep almadığını (Amerikan National Security Letter (NSL) veya bir FISA mahkemesi kararı gibi) doğrulayan halka açık bir beyandır.

Kanaryanın tüm inceliği — ve ciddiyeti — kaybolduğunda ne olduğunda yatar.

Her ay “Hiçbir gizli emir almadık” beyanını gösteren bir hizmet bunu güncellemeyi aniden durdurursa, bilgili kullanıcı açık olanı anlar: kanarya öldü.

Şirket, bu talebin varlığını açıklamasını yasal olarak yasaklayan bir konuşma yasağı (gag order) ile birlikte bir gözetim önleminin hedefi olmuştur. Tehlikeye atıldıklarını söyleyemedikleri için, sadece güvende olduklarını söylemeyi bırakırlar.

Görünmez Gözetim Çağı

CLOUD Act ve FISA gibi yasaların ABD hükümetine verileri ele geçirme yetkisi verdiği bir dönemde, Warrant Canary çok önemlidir.

Proton : İsviçre mesajlaşma servisi sıkı bir kanarya yayınlar.
Riseup : Aktivistler için güvenli iletişim kolektifi.
Arpokrat : Kendi ekosistemimiz, kriptografik olarak güncellenen halka açık bir Warrant Canary tutar.

Yasal Analiz: Yalan Söylememe Hakkı

Kanaryanın varlığı compelled speech (zorlanmış konuşma) doktrinine dayanır. Devletin size sessizlik dayatma gücü varsa (bir yayın yasağı aracılığıyla), sizi yalan söylemeye zorlama anayasal gücü yoktur.

Arpokrat Yaklaşımı (Zero-Knowledge)

İsviçre FADP yasası altında, Arpokrat’ın Zero-Knowledge mimarisi bir emre uymayı teknik olarak imkansız kılar. Teslim edilecek hiçbir özel anahtar veya kimlik (Zero-ID) yoktur.

Utiq: Telekom Operatörlerinin Gizliliğinizi Tehdit Eden Yeni 'Süper Çerezi' (Super-Cookie)

Mon, 01 Jun 2026 00:00:00 +0000

Web tarayıcılarında üçüncü taraf çerezlerin (third-party cookies) planlanan sonu, hedefli reklamcılık sektöründe gerçek bir silahlanma yarışını tetikledi. Google kendi standartlarını (Privacy Sandbox gibi) dayatmaya çalışırken, beklenmedik bir başka oyuncu pastadan pay almaya karar verdi: İnternet Servis Sağlayıcınız (ISP).

Böylece, Avrupalı telekomünikasyon devleri tarafından kurulan bir ortak girişim olan Utiq (eski adıyla TrustPid projesi) doğdu. Kamuoyuna "şeffaf ve saygılı" bir çözüm olarak pazarlanan Utiq, aslında siber güvenlik uzmanlarının en çok korktuğu şeydir: ağ düzeyinde çalışan bir "süper çerez".

Utiq Nedir ve Nasıl Çalışır?

Geleneksel olarak reklam takibi (çerezler), web tarayıcınız (Chrome , Firefox , Safari ) tarafından yönetilir. Bunu, eklentiler (örneğin uBlock Origin ) veya gizlilik odaklı bir tarayıcı (örneğin Brave ) kullanarak engelleyebiliyordunuz.

Utiq sorunu bir adım geriye, yani ağ bağlantınızın düzeyine taşır.

Tuzak şu şekilde kurulur:

Ağ Düzeyinde Müdahale: Mobil bağlantınız (4G/5G) veya ev yönlendiriciniz üzerinden internette gezindiğinizde, Utiq sizi tanımlamak için IP adresinizi ve telekom abonelik verilerinizi kullanır.
Onay (Sahte Seçim): Ortak bir siteye ulaştığınızda, beliren bir pencere (popup) sizden Utiq’i kabul etmenizi ister. Çerez banner’larının yarattığı bıkkınlık nedeniyle (Consent Fatigue), milyonlarca kullanıcı okumadan "Kabul Et" butonuna tıklar.
„Network Signal“: Onay verildikten sonra Utiq doğrudan telekom operatörünüzle iletişime geçer. Operatör, reklamcılara ilettiği benzersiz ve takma adlı (pseudonymized) bir kimlik belirteci (ağ sinyali) oluşturur.

Artık bilgisayarınızda depolanan bir dosya tarafından değil, size interneti sağlayan altyapının kendisi tarafından siteden siteye izlenebilir durumdasınız.

Utiq Neden Gizlilik İçin Bir Kabustur (OPSEC)

Bu girişim, dijital egemenlik ve verilerinizin gizliliği için ciddi sorunlar doğurmaktadır:

Kaynağında Takip: Klasik çerezlerin aksine, Utiq’ten kurtulmak için sadece "geçmişi silmek" veya "önbelleği temizlemek" yeterli olmaz. Kimlik belirteci doğrudan ISP’niz tarafından üretilir.
Profillerin Merkezileştirilmesi: Telekom operatörleri adınızı, fiziksel adresinizi, banka bilgilerinizi ve gerçek zamanlı konumunuzu zaten bilmektedir. Web tarama geçmişinizi Utiq aracılığıyla bu verilerle ilişkilendirerek, korkutucu doğrulukta davranışsal profiller oluştururlar.
Takma Ad Güvenliği Yanılgısı: Utiq, adınızı açık metin olarak paylaşmadığını savunarak "şifreli" belirteçler kullandığını iddia etmektedir. Ancak siber güvenlik dünyasında, takma adlaştırmanın tersine çevrilebilir olduğu kanıtlanmıştır. Bu belirteçlerin diğer veri tabanlarıyla çapraz eşleştirilmesi, bireylerin kimliklerinin kolayca yeniden tespit edilmesini sağlar.

Hangi Operatörler Utiq Kullanıyor?

Utiq, en büyük dört Avrupalı operatörün ittifakı tarafından kurulmuştur. Eğer bunlardan birinin müşterisiyseniz, bağlantınız zaten potansiyel olarak bu takiple "uyumludur".

OPSEC İpucu: Utiq, erişimi iptal etmek için merkezi bir onay yönetim portalı (consenthub.utiq.com ) sunsa da, en iyi savunma teknolojik olandır.

Utiq’i Etkisiz Hale Getirmek İçin Zero-Trust Yaklaşımı

Arpokrat gibi ekosistemler tarafından savunulan dijital egemenlik felsefesi, basit bir ilkeye dayanır: ağ altyapısına asla güvenme.

Utiq gibi sistemleri teknik olarak etkisiz kılmak için çözüm, trafiğinizi kendi internet servis sağlayıcınızdan gizlemektir:

Egemen Bir VPN Kullanmak: Trafiğinizi cihazınızdan çıktığı andan itibaren şifreleyerek, ISP’nizin yalnızca VPN sunucusuna yönlendirilmiş okunamaz bir veri akışı görmesini sağlarsınız. Artık Utiq belirteçleri enjekte edemez veya okuyamaz.
Tor Ağı (Orbot ): Onion yönlendirme, uçtan uca her türlü kimlik tespitini engeller.
DNS Şifreleme (DoH/DoT): Operatörünüzün hangi web sitelerini ziyaret etmek istediğinizi bilmesini engeller.

Özetle Utiq, internet servis sağlayıcılarının artık sadece birer "boru" olmakla yetinmediklerinin; birer veri komisyoncusu olmak istediklerinin kanıtıdır. Trafiğinizi şifrelemek artık bir güvenlik seçeneği değil, dijital sessizliğinizi korumak için mutlak bir zorunluluktur.

Saatli Bomba: Şimdi Topla, Sonra Şifresini Çöz ve Zero-Knowledge Zorunluluğu

Tue, 26 May 2026 00:00:00 +0000

Avrupa hükümetlerinin Amerikan bulut altyapısına bağımlılığı, anlık bir dinleme sorunundan fazlasını teşkil ediyor. Gelecek on yıllar için en yıkıcı tehdit, HNDL: “Harvest Now, Decrypt Later” stratejisidir.

Bu önden bir saldırı değil, sessiz bir hırsızlıktır. İstihbarat teşkilatları bugün depolama maliyeti önemsiz hale geldiği için devasa miktarda şifreli veriyi saklıyor.

Teknolojik sıçramaların mevcut kriptografik anahtarları geçersiz kılacağı anı sabırla bekliyorlar. 2026’da korunan bir devlet sırrı, on beş yıl içinde açık bir kitap haline gelebilir.

Geçmişe Dönük Sorumluluk ve Zamansal Risk

HNDL modeli yeni bir kavram sunar: ertelenmiş yasal zarar. Gelecekte şifre çözmek için verilerin kitlesel olarak toplanmasıyla gizlilik, zamana bağlı bir değişken haline gelir.

HNDL modeli, sırrın gerekli ömrü düşmanın şifre çözme ufkunu aştığında gizliliğin kaçınılmaz olarak başarısız olduğunu tanımlar.

Bir devlet donanım altyapısının mutlak egemenliğini garanti etmezse, pratikte vatandaşları için uzun vadeli gizlilikten feragat etmiş olur.

Bugünün dinlenmesi, yarının ifşasıdır. Bulut bağımlılığını ulusal güvenlik borcuna dönüştürmek, ödenmesi imkansız bir kumardır.

Arpokrat Antitezi: Kod Yoluyla Yasal İmkansızlık

Sektör buna radikal dijital egemenlik ekosistemleri yaratarak yanıt veriyor. Arpokrat modeli, katı İsviçre Veri Koruma Yasası (FADP) tarafından korunan merkezi olmayan bir ağda çalışır.

Merkezi mantık mutlak Privacy by Design dır. Telefon numarası ihtiyacını ortadan kaldırarak kullanıcı basit bir kriptografik anahtara dönüşür.

Yasal olarak, mimari temelden Zero-Knowledge ise , şirket yabancı emirleri yerine getirmekte teknik bir imkansızlıkla karşı karşıya kalır.

Bu durdurulamaz bir matematiksel ve yasal güvencedir: Sahip olmadığınız bir şeyi ifşa edemezsiniz.

Şifrelemenin Ötesinde: Hedef Veriyi Değersizleştirmek

Arpokrat uygulamasındaki gerçek yanıt, sonsuz matematiğe bahis oynamak değil, verinin kendisini değersizleştirmektir.

Bir mesajı fiziksel bir kişiye bağlayacak merkezi meta veriler olmadan, şifrelenmiş içerik stratejik değerini kaybeder.

Ancak donanım ona ihanet ederse yazılım tek başına hiçbir şey yapamaz.

yüzyılda güvenlik, makinein kendisinin bağımsızlığını gerektirir. Google’dan arındırılmış egemen bir OS dağıtmak, hayatta kalmak için mutlak bir gereklilik haline geldi.

Egemenlik Yanılsaması: Olvid Vakası ve CLOUD Act Tuzağı

Thu, 21 May 2026 00:00:00 +0000

Duyuru, Paris koridorlarında gerçek bir “bağımsızlık çığlığı” gibi yankılandı: Başbakan, hükümetin WhatsApp ve Signal’i terk edip “yerli” olarak sunulan Olvid’i kullanmasını emretti. Hedef netti: devlet sırlarını yabancı istihbarat teşkilatlarından korumak.

Ancak kısa sürede acı bir ironi ortaya çıktı: Olvid’in kalbi — sunucu altyapısı — bir Amerikan devi olan Amazon Web Services (AWS) içinde atıyordu.

Halk için bu basit bir teknik barındırma sorunu gibi görünüyor. Ancak egemen siber güvenlik mimarları için bu, birinci dereceden bir siyasi güvenlik açığıdır.

Sınır Aşan Yargı Yetkisi ve Egemenlik Çatışması

Amazon altyapısına dayanarak Olvid, otomatik olarak ABD’nin CLOUD Act yörüngesine girer.

Bu davanın yasal analizi, yalnızca ulusal bir “uygulama” benimsemenin çözemeyeceği bir yargı güvensizliği senaryosunu ortaya koyuyor. Dönüm noktası “kontrol” ve “yerelleştirme” kavramlarında yatmaktadır.

CLOUD Act, sunucunun fiziksel konumunun önemli olmadığını şart koşarak yasal paradigmayı radikal bir şekilde değiştirdi. Hizmet sağlayıcının (burada AWS) işbirliği yapma yükümlülüğü, yalnızca ABD ile olan yargı bağından kaynaklanmaktadır.

Yasal olarak bu, GDPR ile doğrudan bir çatışma yaratır. Avrupa Adalet Divanı, ABD gözetim yasalarının Avrupa’ya eşdeğer bir koruma seviyesi sunmadığını zaten tespit etmiştir.

Dijital egemenlik, yazılımın bir özelliği değil, veri gözetim zincirinin bütünlüğünün bir özelliğidir.

FISA Hayaleti ve Şifrelemenin Sahte Vaadi

Daha da kötüsü, Amerikan altyapısına olan bu bağımlılık, bu verileri Foreign Intelligence Surveillance Act (FISA) gölgesine sokmaktadır.

Bu tehditler karşısında Olvid, uçtan uca şifrelemesinin yeterli bir kalkan olduğunu iddia ediyor. Gizlilik mühendisliği perspektifinden bakıldığında, bu savunma tehlikeli derecede yetersizdir.

Mesaj içeriği şifrelenmiş olsa bile, AWS’nin merkezi altyapısı meta verileri açığa çıkarır. Kimin kiminle, ne zaman, ne sıklıkla ve nereden konuştuğunu bilmek, istihbarat için genellikle mesaj içeriğinden çok daha değerlidir.

Şifreleme metni korur, ancak merkezi sunucu iletişim ağını ele verir.

Gerçek Tehlike Henüz Gelmedi

Avrupa altyapısı, sınır aşan yasalara tabi kurumlara bağımlı olduğu sürece, iletişimimizin yasal güvenliği tamamen geçici ve yanıltıcı kalacaktır.

yüzyılda ulusal güvenlik, tam altyapı ve donanım bağımsızlığı gerektirir. “Şimdi topla, sonra şifresini çöz” stratejisi önümüzdeki on yılın en yıkıcı tehdididir.

Bugün ele geçirilen bir devlet sırrı, matematiksel bir saatli bombadan başka bir şey değildir.

(Analizimizin geri kalanını Bölüm 2’de okuyun: Saatli Bomba ve Zero-Knowledge Zorunluluğu )