Yargı Yetkisi ve Siber Hukuk on Arpokrat

Data Act vs CLOUD Act: Verilerinizi bulutta gerçekten kim kontrol ediyor?

Fri, 19 Jun 2026 00:00:00 +0000

Yıllarca dünya basit bir varsayım üzerine işledi: verilerin fiziksel bir konumu vardır. Dublin’deki bir sunucudaysa, İrlanda ve Avrupa hukukuna tabidir. Bu varsayım 2018’de çöktü; Amerika Birleşik Devletleri, ABD’li şirketler tarafından kontrol edilen verilere yetkililerin erişimini mümkün kılan CLOUD Act’i kabul etti. Bu yasa, söz konusu verilerin dünyada fiziksel olarak nerede depolandığından bağımsız olarak uygulanıyordu. Birkaç yıl sonra Brüssel kendi koruma mekanizmasıyla yanıt verdi: artık tam anlamıyla uygulanabilir hâle gelen Data Act, üçüncü ülke yetkililerin Avrupa Birliği’nde tutulan verilere yaptığı sınır ötesi erişimi kısıtlamaya çalışıyor.

Bu iki metnin gerçekte ne öngördüğü, nerede çatıştıkları ve neden bu çatışmaya karşı gerçek anlamda güçlü tek korumanın teknik erişim imkânsızlığı olduğu aşağıda ele alınmaktadır.

Amerikan CLOUD Act’i: konuma değil, kontrole dayalı erişim

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Mart 2018’de kabul edilerek Amerikan hukukuna 18 U.S. Code § 2713 maddesini ekledi. Bu hüküm; elektronik iletişim hizmeti veya uzaktan bilgisayar işlemi sunan her sağlayıcıya, bir iletişimin içeriğini ya da buna ilişkin her kaydı, söz konusu veriler ABD içinde ya da dışında yer alıyor olsun, kendi elinde bulundurduğu, koruması altında tuttuğu veya kontrolünde olduğu durumlarda korumayı, güvenceye almayı veya ifşa etmeyi zorunlu kılmaktadır.

Son derece belirleyici olan işte bu son hükümdür. Benimsenen ölçüt, artık sunucunun fiziksel konumu değil, ana şirketin bağlı kuruluşları üzerindeki kontrolüdür. Bu nedenle, Avrupa’da veri merkezi işleten bir Amerikan şirketi, veriler tamamen Avrupa topraklarında depolanmış olsa bile Amerikan taleplere uymakla yükümlüdür.

Avrupa Data Act’i: sınır ötesi erişime karşı hukuki bir bariyer

Tüzük (AB) 2023/2854, yani Data Act, 11 Ocak 2024’te yürürlüğe girmiş ve 12 Eylül 2025 itibarıyla tam anlamıyla uygulanmaya başlamıştır; bazı hükümler ise 2026 ve 2027 yıllarına kadar kademeli biçimde devreye girecektir. 32. maddesi, hükümetlerin verilere uluslararası erişimi meselesini doğrudan düzenlemektedir.

Metin açık bir kural ortaya koymaktadır: Üçüncü bir ülkenin yargı mercii veya idari makamının, bir veri işleme hizmet sağlayıcısından Avrupa Birliği’nde tutulan kişisel olmayan verileri aktarmasını ya da bu verilere erişim sağlamasını talep eden her karar veya hüküm, ancak uluslararası bir anlaşmaya—örneğin, talep eden ülke ile AB arasında ya da ilgili üye devletle söz konusu ülke arasında yürürlükte olan bir karşılıklı hukuki yardım anlaşmasına (MLA)—dayanması hâlinde tanınabilir ve icra edilebilir nitelik taşır.

Böyle bir anlaşmanın mevcut olmadığı durumlarda, 32. madde ikinci bir yol öngörmektedir; ancak bu yol sıkı koşullara bağlıdır: yabancı karar, ancak üçüncü ülkenin hukuk sistemi talebin gerekçeli, orantılı ve yeterince spesifik olmasını şart koşuyorsa—örneğin belirli kişiler veya suçlarla açık bir bağlantı kurulmuşsa—ve muhatabın gerekçeli itirazı bu üçüncü ülkedeki yetkili bir mahkemenin denetimine sunulabiliyorsa icra edilebilir.

Doğrudan bir hukuki çatışma

Sorun açıktır: CLOUD Act, Avrupa hukukunun öngördüğü orantılılık koşuluna denk herhangi bir ölçüt olmaksızın, salt şirket kontrolüne dayalı bir ifşayı zorunlu kılmaktadır. Data Act ise tam tersine, böyle bir talebin tanınmasını uluslararası bir anlaşmanın varlığına ya da belirli usul güvencelerine bağlamaktadır. Avrupa’da faaliyet gösteren ve Amerikan yetkililer tarafından AB’de barındırılan verileri iletmesi istenen bir ABD şirketi, iki çelişkili hukuki yükümlülük arasında sıkışıp kalır: Amerikan talebine uymak AB hukukunu ihlal etmek anlamına gelirken, Data Act’e uymak ABD’de ret kararının sonuçlarına katlanmayı gerektirir.

Bu gerilim teorik değildir. Avrupa Birliği Adalet Divanı (ABAD) tarafından iki önemli kararında zaten belgelenmiştir: Schrems I (2015) ve Schrems II (2020). Schrems II kararında ABAD, FISA’nın 702. Maddesi (Foreign Intelligence Surveillance Act) ve Yürütme Kararnamesi 12333 kapsamında yürütülen Amerikan gözetiminin, AB hukukunun orantılılık ilkesi çerçevesinde talep ettiği asgari güvenceleri karşılamadığına ve dolayısıyla kesinlikle gerekli olanla sınırlı sayılamayacağına hükmetmiştir. Mahkeme ayrıca, Avrupa’daki ilgili kişiler için etkili bir yargısal başvuru yolunun bulunmadığını da tespit etmiş ve bu durumun Temel Haklar Şartı’nın 47. maddesini ihlal ettiğini vurgulamıştır. Bu karar, o zamana kadar AB ile ABD arasındaki veri transferlerini düzenleyen Privacy Shield çerçevesini geçersiz kılmıştır.

Yapısal risk: Harvest Now, Decrypt Later

Yetki alanı çatışmasının ötesinde, Amerikan hukukuna tabi altyapılarda barındırılan veriler üzerinde daha sinsi bir tehdit bulunmaktadır: Harvest Now, Decrypt Later (HNDL) stratejisi. Bu yöntemde bir istihbarat servisi ya da düşmanca bir devlet aktörü, gelecekte yeterli kuantum hesaplama kapasitesine kavuşulduğunda deşifre etmek üzere şifrelenmiş verileri şimdiden ele geçirip depolamaktadır.

Bu strateji, Amerikan bulut altyapısına uzun süreli bağımlılığı ertelenmiş bir güvenlik borcuna dönüştürür: bugün gizli olan şey on ya da on beş yıl içinde okunabilir hâle gelebilir; saldırganın yapması gereken tek şey zamanı beklemektir.

Neden yalnızca teknik imkânsızlık gerçek bir güvence oluşturur

Hukuki analiz, uyum uzmanlarının büyük çoğunluğunun paylaştığı bir sonuca yakınlaşmaktadır: Data Act’in yasal çerçevesi ne kadar sağlam olursa olsun, jeopolitik güç dengeleri ve diplomatik baskılar bu metni aşabilir, geciktirebilir ya da yeniden yorumlayabilir. Hiçbir gelecekteki müzakereye bağlı olmayan tek koruma, teknik icra imkânsızlığıdır.

Hizmet sağlayıcının şifre çözme anahtarlarını ne elinde bulundurduğu ne de koruması altında tuttuğu bir zero knowledge mimarisi, bir talebi maddeten işlevsiz kılar. Hiçbir zaman sahip olunmayan bir şeyi teslim etmeye zorlanmak mümkün değildir.

Arpokrat gibi ekosistemler bu mantık üzerine kurulmuştur:

Yetki alanı nötralizasyonu: Altyapı, CLOUD Act’in doğrudan sınır ötesi uygulanabilirliğinin kapsamı dışında kalan Federal Veri Koruma Kanunu (LPD/FADP) rejimine tabi olarak İsviçre’de barındırılmaktadır
Gözetim yokluğu: Zero knowledge mimarisi, sağlayıcıyı hiçbir zaman sahip olmadığı anahtarları veya içerikleri teslim etme kapasitesinden yoksun bırakmaktadır
Kimlik izinin azaltılması: Telefon numarası veya e-posta adresiyle kayıt zorunluluğunu ortadan kaldırarak—FISA’nın 702. Maddesine dayalı gözetiminin kolayca takip edebildiği bu tanımlayıcıları devre dışı bırakarak—kullanıcı, tespit edilebilir bir abone olmaktan çıkıp anonim bir kriptografik anahtara dönüşmektedir

Gözetim zinciri şifrelemeyle bitmez

Uyum analizlerinde sıklıkla göz ardı edilen bir husus şudur: Altta yatan işletim sistemi—Android ya da iOS—çekirdek düzeyinde meta veri veya telemetri toplamayı sürdürüyor ve bunları Amerikan yargı yetkisine tabi sunuculara iletiyorsa, iletişimin içeriğini şifrelemek tek başına yeterli değildir. Gizliliğin korunması, içerikten fiziksel altyapıya kadar gözetim zincirinin tümünün kapatılmasını gerektirir.

İşte bu nedenle dijital egemenlik, yalnızca mesajlaşma uygulamaları üzerine değil, aynı zamanda kullanılan işletim sistemi üzerine de bir düşünce geliştirmeyi zorunlu kılmaktadır. Bluetooth veya GNSS konumlandırma gibi modüllerin doğrudan çekirdek düzeyinde devre dışı bırakılabildiği Google bağımsız sistemler, hiçbir uygulama düzeyinde şifrelemenin telafi edemeyeceği fiziksel saldırı vektörlerini ortadan kaldırmaktadır.

Kuantum sonrası kriptografi: hâlihazırda başlamış bir süreç

HNDL stratejisinin oluşturduğu tehdit karşısında, kuantum sonrası kriptografi (PQC) standartlarının benimsenmesi, ister ticari sırlar, ister mesleki yazışmalar ister sağlık verileri söz konusu olsun, uzun vadede hassas verilerin gizliliğini güvence altına almak isteyen herkes için bir zorunluluk hâline gelmektedir. Bugün klasik standartlara göre sağlam sayılan bir şifreleme, önümüzdeki on beş yıl içinde beklenen kuantum hesaplama kapasitelerine karşı dayanacağını garanti etmemektedir.

Data Act ile CLOUD Act arasındaki çatışma daha geniş bir gerçeği gözler önüne sermektedir: dijital egemenlik artık yalnızca yasal metinler üzerine inşa edilemez; bu metinler ne kadar sağlam olursa olsun. Şifreleme protokolünden barındırma yargı yetkisine, işletim sisteminin kendisine kadar gözetim zincirinin her düzeyde kapatılmasını gerektirmektedir. Tek bir düzenleyici çerçeveye duyulan güvene dayanmak yerine bu katmanlı yaklaşım, bugün gerçek anlamda tasarım yoluyla dijital egemenliği tanımlamaktadır.

Monero ve Zcash 2027'den İtibaren Avrupa'da Yasaklanıyor: AMLR Neyi Değiştiriyor?

Thu, 18 Jun 2026 00:00:00 +0000

Monero ve Zcash’in Avrupa’da yasaklanması artık kesinleşti. Temmuz 2027’den itibaren Avrupa Birliği, AMLR adı verilen yeni bir kara para aklamayla mücadele tüzüğü aracılığıyla gizlilik odaklı kripto paralara kurumsal erişimi kapatıyor. Bu yazıda tüzüğün somut olarak neler öngördüğünü, uygulamadan sorumlu yeni Avrupa otoritesi AMLA’nın rolünü ve gizlilik coini bulunduran herkes için bunun gerçekte ne anlama geldiğini ele alıyoruz.

AMLR ve AMLA: Karıştırılmaması Gereken İki Farklı Metin

Ayrıntılara girmeden önce bir açıklama yapmak gerekiyor; bu iki kısaltma, özellikle sektör basınında sıkça karıştırılan iki farklı şeyi ifade etmektedir:

AMLR (Anti-Money Laundering Regulation — Kara Para Aklamayla Mücadele Tüzüğü), yasanın kendisidir: (AB) 2024/1624 sayılı Tüzük; anonim hesapların yasaklanması, doğrulama eşikleri ve gizlilik coinlerinin işlenmesi gibi kuralları belirler. Bu, “ne yapılacağını” ortaya koyar.
AMLA (Anti-Money Laundering Authority — Kara Para Aklamayla Mücadele Otoritesi), aynı gün kabul edilen ancak ayrı bir tüzükle, (AB) 2024/1620 sayılı Tüzük ile kurulan yeni Avrupa denetim otoritesidir. Görevi, özellikle birden fazla Üye Devlet’te faaliyet gösteren büyük kripto varlık hizmet sağlayıcıları (CASP) nezdinde AMLR’nin uygulanmasını doğrudan denetlemektir. Bu ise “kimin denetleyeceğini” belirler.

Özetle: AMLR kuralları belirler, AMLA bu kurallara uyulup uyulmadığını denetler. Her iki metin de kara para aklaması ve terörün finansmanına karşı tek bir Avrupa yasama paketini oluşturmaktadır.

AMLR Tüzüğü Ne Söylüyor?

Avrupa Parlamentosu ve Konsey tarafından 31 Mayıs 2024’te kabul edilen ve 19 Haziran 2024’te Avrupa Birliği Resmî Gazetesi’nde yayımlanan (AB) 2024/1624 sayılı Tüzük‘ün “Anonim araçlarla ilgili risklerin azaltılmasına yönelik tedbirler” başlıklı VIII. Bölümü (79-80. Maddeler), daha spesifik olarak 79. Maddesi (“Anonim hesaplar, hamiline yazılı hisseler ve hisse senedi alım hakkı senetleri”), kredi kuruluşlarının, finansal kuruluşların ve kripto varlık hizmet sağlayıcılarının (CASP) artık anonim hesap tutmasını veya işlemlerin anonimleştirilmesini sağlayan ürünler sunmasını yasaklamaktadır.

Metin, birbiriyle bağlantılı iki ayrı kategoriyi açıkça hedef almaktadır:

Anonim hesaplar — bankacılık, ödeme veya kripto olsun. Bu kural, kripto sektörünü anonim banka hesapları, hamiline yazılı menkul kıymetler ve anonim kasalar için halihazırda mevcut olan kısıtlamalarla aynı hizaya getirmektedir.
“Anonimleştirici özellikli kripto para birimleri” (anonymity-enhancing coins) — tüzüğün, işlem akışlarını izlenemez kılan gelişmiş kriptografik teknikler kullanan varlıkları tanımlamak için kullandığı genel terim. Önemli bir not: Yasal metin hiçbir tokeni ismiyle anmamaktadır. Monero (XMR), Zcash (ZEC) ve Dash (DASH)‘ı bu kategoriye dahil eden, European Crypto Initiative’in (EUCI) AML El Kitabı da dahil olmak üzere uyum firmaları ve sektör tarafından paylaşılan yorumdur. Bu, tüzüğün tanımıyla tutarlı bir okumadur; ancak kanunda yer alan bir isim listesi değil, sektörel bir yorumdur.

Tüzük, 2024-2025’ten itibaren yürürlükte olan ve Kraken’in Ekim 2024’ten başlayarak ardından düzinelerce başka platformun Monero’yu Avrupa piyasalarından önceden çekmesine yol açan MiCA (Markets in Crypto-Assets — Kripto Varlıklar Piyasaları) ile birlikte daha kapsamlı bir yasal çerçevenin parçasıdır.

Hatırlanması Gereken Tarih: Temmuz 2027

AMLR’nin kesin bir uygulama tarihi vardır. Fransızca kaynaklar da dahil olmak üzere uzman kaynaklarının büyük çoğunluğu tam uygulama tarihi olarak 10 Temmuz 2027‘de birleşmektedir. Bu tarihten itibaren kripto para borsaları ve emanetçi kripto varlık hizmetleri artık ne anonim hesaplarla ne de gizlilik coinleriyle işlem yapabilecektir.

Bu tarihe kadar tüzük zaten güçlendirilmiş yükümlülükler getirmektedir:

1.000 Euro’yu aşan tüm tek seferlik kripto işlemleri için zorunlu kimlik doğrulaması — birçok platformun mevcut uygulamalarına kıyasla önemli ölçüde düşürülmüş bir eşik
Öz-saklama cüzdanlarına (self-custody) yönelik güçlendirilmiş kontroller: Bir kullanıcı düzenlenmiş bir platform ile kişisel cüzdanı arasında fon transferi yaptığında, CASP fonların kaynağı ve varış yeri hakkında bilgi toplamak ve en azından harici cüzdan sahibinin kimliğini doğrulamak zorunda kalacaktır
Tüm anonim finansal araçlara yönelik kimlik kontrollerinin genişletilmesi mantığıyla, 3.000 Euro’nun üzerindeki nakit ödemelerin kaldırılması

Bruxelles Neden Monero ve Zcash’i Düzenlenmiş Platformlarda Yasaklıyor?

EUCI, AML El Kitabı’nda metnin altında yatan mantığı şöyle özetliyor: Kripto varlıklardaki anonimlik, işlem akışlarının izlenebilirliğini engelleyerek ve şüpheli faaliyetlerin tespitini güçleştirerek suç amaçlı kötüye kullanım için önemli riskler barındırmaktadır.

Bu, Japonya’nın, Güney Kore’nin ve daha yakın zamanda Filipinler’in gizlilik coinlerini düzenlenmiş platformlarından dışlamaya yol açan mantığın ta kendisidir; bu durum, gelişmiş ülke yargı bölgelerinin FATF (GAFI) standartlarına giderek artan bir şekilde yakınlaşmasını yansıtmaktadır. AB, bu yasağı 27 Üye Devlet’in tamamında doğrudan uygulanabilir bir tüzükte resmileştirerek bu eğilime, tekil ulusal kararların çok ötesinde bir hukuki ağırlık ve sürükleyici etki (“Brüksel Etkisi”) kazandırmaktadır.

Yasaklanmayan Şeyler — Önemli Bir Ayrım

Birçok hukuki analiz ortak bir noktada buluşmaktadır: AMLR, gizlilik coinlerinin bireysel olarak bulundurulmasını ya da düzenlenmiş platformlar dışındaki eşten eşe transferleri suç olarak tanımlamamaktadır. Öz-saklama cüzdanları kendi başına yasaklanmamış olup yalnızca düzenlemeye tabi bir platformla etkileşime girdiklerinde güçlendirilmiş kontrollere tabi tutulmaktadır.

AMLR’nin kapattığı şey kurumsal erişim noktalarıdır: Avrupa Birliği içinde düzenlenmiş bir CASP aracılığıyla gizlilik coinleri satın alma, satma, yatırma ve çekme işlemleri. Özel mülkiyet ve merkeziyetsiz borsalar, bu aşamada, Filipinler’de gözlemlenen düzenin aynısıyla, yasağın doğrudan kapsamı dışında kalmaktadır.

Bu Durum XMR ve ZEC Sahipleri İçin Pratikte Ne Anlama Geliyor?

Şu anda Avrupa Birliği içindeki düzenlenmiş bir borsada gizlilik coini bulunduruyorsanız:

Temmuz 2027’ye kadar bu platformların söz konusu varlıkları kaldırmış ya da yeni yatırımları kabul etmeyi durdurmuş olması gerekecektir
Bu platformlardan kişisel cüzdanlara yapılan transferler, nihai son tarihten önce bile güçlendirilmiş kimlik doğrulama kontrollerine tabi olacaktır
1.000 Euro’yu aşan tüm kripto işlemleri, gizlilik coini olsun ya da olmasın, eksiksiz bir kimlik doğrulaması gerektirecektir

Kripto sektörünün içinden gelen eleştirmenler de dahil olmak üzere metne yönelik eleştiriler, yapısal bir riski işaret etmektedir: Düzenlenmiş devreleri kapatmak, varlıkları teknik olarak yasaklamaksızın, tüzüğün zorunlu bir şekilde gizlilik coini sahiplerini daha az şeffaf piyasalara ve düzenlenmemiş platformlara yönlendirdiği anlamına gelmektedir; bu da Brüksel’in öne sürdüğü izlenebilirlik hedefinin tam tersidir.

2027 Son Tarihinden Önce Hazırlık Yapmak

Ufku 2027 olarak belirlenmiş olsa da geçiş süreci hemen gerçekleşmeyecektir; ancak süreç zaten başlamıştır. Platformlar uyum gerekliliklerini öngörerek tekliflerini zaten ayarlamakta olup bu yargı bölgesine tabi altyapılara bağımlı kalmadan gizlilik coinlerini değiştirme veya pozisyonları konsolide etme penceresi her geçen ay daralmaktadır.

Arpokrat Swap , Monero, Zcash ve diğer tüm gizlilik odaklı kripto paraların kayıt olmadan, kimlik bilgisi toplamadan ve AMLR’ye tabi düzenlenmiş bir CASP’a bağımlı olmadan değiştirilmesine olanak tanır. Platform hem clearnet’te hem de .onion adresimiz üzerinden erişilebilir olup bu varlıkları değiştirme kapasiteniznin, erişim noktalarını bir gün ansızın kapatan herhangi bir yargı bölgesine bağlı olmadığını güvence altına alır.

AMLR, artık pek az şüpheye yer bırakılan bir yörüngeyi doğrulamaktadır: Düzenlenmiş kripto piyasaları ile finansal gizlilik, yargı bölgesinden yargı bölgesine yapısal olarak bağdaşmaz hale gelmektedir. Soru artık bu eğilimin gelişmiş ekonomilerin tamamına yayılıp yayılmayacağı değil, 2027 sonrasında özel varlıkların bunlara artık dokunma hakkı olmayacak devreler dışında ne kadar süre daha değiştirilebileceğidir.

Filipinler, Monero ve Zcash'i Düzenlenmiş Platformlarda Yasakladı: Küresel Bir Eğilimin İşareti

Wed, 17 Jun 2026 00:00:00 +0000

Filipinler Merkez Bankası, gizlilik odaklı kripto paralara ağır bir darbe vurdu. Uluslararası kara para aklamayla mücadele standartlarına uyum gerekçesiyle alınan bu karar, çok daha geniş bir coğrafyayı kapsayan düzenleyici bir dinamiğin yansımasıdır ve Monero ya da Zcash gibi varlıkları elinde bulunduran veya kullanan herkes için ciddi bir uyarı niteliği taşımaktadır.

Memorandum Ne Diyor?

Ülkenin merkez bankası olan Bangko Sentral ng Pilipinas (BSP), Başkan Yardımcısı Lyn Javier tarafından imzalanan M-2026-023 sayılı Memorandum‘u onayladı. Metin, lisanslı tüm sanal varlık hizmet sağlayıcılarını (VASP) “anonimleştirici nitelikteki sanal varlıkları” listelemeyi ve desteklemeyi durdurmakla yükümlü kılmaktadır. Memorandumda hiçbir token’ın adı açıkça geçmemekle birlikte, hedef alınan kategori Monero, Zcash ve Dash’i — işlem izlemeyi zorlaştırmak veya olanaksız kılmak için tasarlanmış kripto paraları — tartışmasız biçimde kapsamaktadır.

Düzenleme, herhangi bir geçiş süresi tanınmaksızın derhal yürürlüğe girdi. VASP’lar bu varlıkları platformlarından kaldırmanın ötesinde, listelenen her token’ı artık altı uyum kriterine göre değerlendirmek zorundadır: ihraçcının güvenilirliği, piyasa olgunluğu, kullanım senaryosu, şeffaflık ve güvenlik, likidite ve rezervler, yasal uyumluluk. Bunun yanı sıra, bir varlığın bu kriterleri karşılamadığı durumlarda otomatik olarak kotasyon iptali tetikleyecek dahili eşikler de belirlemek durumundadırlar.

Pratikte Ne Değişiyor?

Memorandum, Monero veya Zcash’in özel olarak elde bulundurulmasını ya da düzenlenmiş platformların dışında yapılan eşler arası transferleri suç kapsamına almamaktadır. Ortadan kalkan şey kurumsal erişimdir: Lisanslı platformlardaki düzenlenmiş giriş ve çıkış noktaları (alım, satım, yatırma, çekme) artık bu varlıkları işleyemeyecektir.

Pratikte şu anlama gelir: BSP lisansına tabi bir Filipinler platformunda — Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank veya UnionBank gibi — privacy coin bulunduruyorsanız, platform bu varlıkları kaldırmak zorunda kalmadan önce bunları kişisel bir cüzdana aktarmanız ya da dönüştürmeniz gerekmektedir.

Ülkede 16 milyonun üzerinde kripto para kullanıcısı olduğu düşünüldüğünde, bu kararın yerel pazara etkisi büyük ölçekte hissedilecektir. Bununla birlikte, Filipinler’in XMR veya ZEC’nin küresel likiditesindeki payı oldukça sınırlı olduğundan bu varlıkların dünya genelindeki fiyatına etkisinin kısıtlı kalması beklenmektedir.

Evrensel Gerekçe: FATF Uyumu

BSP kararını, kara para aklamayla mücadele ve terörizmin finansmanının önlenmesi kurallarını belirleyen uluslararası kuruluş FATF (GAFI) standartlarıyla açık bir uyum sağlama gerekçesiyle savunmaktadır. FATF ile iyi ilişkileri sürdürmek, merkez bankalarının büyük çoğunluğu için zorunludur; düşük bir derecelendirme, bir ülkenin tüm uluslararası finansal sistemlere erişimini olumsuz etkileyebilmektedir.

Avrupa Birliği, Japonya ve Güney Kore’nin son yıllarda privacy coin’leri düzenlenmiş platformlardan kademeli olarak dışlamasının ardında da aynı gerekçe yatmaktadır. Dolayısıyla Filipinler kararı izole bir örnek değildir: Fiilen yaygınlaşan bir standardın teyididir. Uluslararası alanda tanınan bir kripto piyasası işletmek isteyen bir yargı bölgesi için gizlilik odaklı varlıkların artık yeri kalmamaktadır.

Kimsenin Gerçekten Çözmediği Bir Gerilim

Kararı destekleyenlerin bile kısıtlamaya çalıştığı kullanımın meşruiyetini kabul etmesi, düşündürücüdür. Ülkenin en büyük fintek şirketlerinden GCash’in kripto direktörü, Monero ve Zcash’in “meşru amaçlarla var olduğunu” ve gizliliğin “kriptonun kurucu değerlerinden birini — gözetim olmaksızın işlem yapabilme kapasitesini — oluşturduğunu” açıkça kabul etti. Buna karşın, döviz havalesi akışlarına yüksek oranda bağımlı bir ülke olan Filipinler’in anonimleştirici varlıkların serbest dolaşımına izin vererek güvenilir bir finansal altyapı konumlanması yapamayacağı gerekçesiyle tedbiri destekledi.

Bu gerilim çözüme kavuşturulmadı; yalnızca düzenleyici perspektif lehine bir karar verildi: Havale hacimleri ve uluslararası güvenilirlik, bu denge her kurulduğunda meşru gizlilik argümanından daha ağır basmaktadır.

Mantıksal Sonuç: Öz-Saklama’ya Geçiş

Yargı bölgesinden yargı bölgesine tekrarlanan örüntü artık okunabilir hâle geldi. Senaryo neredeyse her zaman aynıdır: Finansal gizlilik bireysel düzeyde yasal olmaya devam etmekte, ancak kurumsal kanallar aracılığıyla kullanılması giderek olanaksızlaşmaktadır. Öz-saklama (self-custody) henüf doğrudan hedef alınmış değildir; ancak bu modeli benimseyen her yeni yargı bölgesi, söz konusu varlıkların düzenleyici kısıtlama olmaksızın dolaşabildiği alanı biraz daha daraltmaktadır.

Bu blokzincirlerin teknik işleyişini ve düzenleyicilerin birincil hedefi hâline gelmelerinin nedenlerini — ring signature’lar, zk-SNARK’lar ve bu teknolojilerin gerçek sınırları dahil — anonim blokzincirler hakkındaki kapsamlı rehberimizde ayrıntılı biçimde ele almıştık.

Kapanan Devrelerin Dışında İşlem Yapmak

Düzenlenmiş platformlar privacy coin piyasasından birer birer çekilirken, gözetim altındaki veri toplama yapmayan emanet dışı (non-custodial) altyapıların rolü giderek daha merkezi bir önem kazanmaktadır. Bu durum özellikle, politikasını bir gecede değiştirebilecek herhangi bir yargı bölgesindeki bir VASP’a bağımlı kalmadan bu varlıkları kullanmaya devam etmek isteyenler için geçerlidir.

Arpokrat Swap , Monero, Zcash ve tüm gizlilik odaklı kripto paraları kayıt gerektirmeksizin, IP log’u toplamadan ve çerez kullanmadan değiştirmenize olanak tanır; ister clearnet üzerinden ister .onion adresimiz aracılığıyla erişin. Hiçbir yargı bölgesi, hiçbir zaman toplamadığımız şeyi kaldıramaz.

Bu Filipinler kararı, bu yılın sonuncusu olmayacaktır. Artık sorulması gereken soru diğer ülkelerin aynı yolu izleyip izlemeyeceği değildir — yakın tarihli örnekler bunun gerçekleşeceğine işaret etmektedir — asıl soru, kurumsal erişimin istisna değil norm hâline gelmesine ne kadar zaman kaldığıdır.

Gizliliğin sonu mu? Arka kapılar, Çevrimiçi Güvenlik Yasası ve egemen ekosistemlerin yanıtı

Wed, 10 Jun 2026 00:00:00 +0000

Londra, dijital gizliliğin geleceği için küresel bir savaşın merkez üssü haline geldi. 2023 Çevrimiçi Güvenlik Yasası’nın (Online Safety Act - OSA) kabul edilmesi ve eleştirenler tarafından “Casusların Şartı” olarak adlandırılan Soruşturma Yetkileri Yasası’nı (Investigatory Powers Act - IPA) revize etmeye yönelik son tekliflerle birlikte İngiliz hükümeti, özel iletişimlerin tam kalbine gözetim yükümlülükleri getirme hakkını iddia ediyor. Kırılma noktası, düzenleyici kurum OFCOM’a, platformların uçtan uca şifrelenmiş iletişimler dahil olmak üzere çocuklara yönelik cinsel istismar (CSEA) materyallerini veya terörizmi tespit etmek için “akredite edilmiş teknoloji” dağıtmalarını talep etme yetkisinin verilmesidir.

Büyük dijital platformlar için Westminster’in mesajı açıktır: Ya altyapılarına devlet erişimini kolaylaştırırlar ya da küresel gelirlerinin %10’una varan para cezalarıyla karşı karşıya kalırlar. Tepki anında geldi: Signal ve WhatsApp gibi hizmetler, yalnızca tek bir yargı yetkisini tatmin etmek için kullanıcılarının güvenliğinden taviz vermeyi reddederek İngiltere pazarından çekilmekle açıkça tehdit ettiler. Teknik argümana itiraz etmek zordur: Yalnızca meşru aktörlere ayrılmış bir ana anahtar (master key) yoktur. Kolluk kuvvetlerine açılan bir kapı, tasarımı gereği, siber suçlulara ve yabancı istihbarat servislerine açılan bir kapıdır.

Büyük platformların iş modeli: Zero-Knowledge önünde yapısal bir engel

Büyük platformların Zero-Knowledge (Sıfır Bilgi) tipi şifrelemeyi benimsemeye karşı dirençleri teknik bir yetersizlikle değil, temel bir ekonomik uyumsuzlukla açıklanmaktadır. Alphabet ve Meta gibi şirketler, davranışsal verilerin sistematik olarak toplanmasına dayanan para kazanma modellerine güveniyor. Bu arada bu model, Avrupa Birliği’nin Dijital Piyasalar Yasası (DMA) tarafından üstü kapalı olarak tanınmaktadır ve bu “eşik bekçilerini” (gatekeepers), hakim konumları tam olarak verilerin benzersiz bir ölçekte birikmesiyle beslenen kuruluşlar olarak sınıflandırmaktadır. Bu aktörler için Zero-Knowledge mimarisini benimsemek, reklam sistemlerini yakıtını oluşturan kullanıcıların sürekli kimlik tespitinden mahrum bırakmak anlamına gelir. Bu nedenle bu teknik bir seçim değil, kullanıcı gizliliği ile iş modellerinin uygulanabilirliği arasında bir değiş tokuştur.

Stratejik risk: “Harvest Now, Decrypt Later” tehdidi

Gizlilik tartışmasının ötesinde, şifrelemenin zayıflatılması, tamamen farklı kapsamda bir ulusal güvenlik sorununu gündeme getirmektedir. Harvest Now, Decrypt Later (HNDL) olarak bilinen strateji, devlet düşmanlarının gelecekteki kuantum şifre çözme yeteneklerini öngörerek bugün devasa hacimlerde şifrelenmiş iletişimi ele geçirmesini ve saklamasını içerir. İngiliz yasal çerçevesi, mevcut şifreleme standartlarını zayıflatarak, hükümet, diplomatik veya endüstriyel iletişimlere karşı bu tür operasyonları nesnel olarak kolaylaştırır.

Arpokrat gibi ekosistemlerin operasyonel uygunluk kazanması tam da bu güven eksikliği bağlamındadır. Hiçbir sivil tanımlayıcı toplamayan bir mimariyle İsviçre Federal Veri Koruma Yasası (FADP) rejimi altında faaliyet gösteren Arpokrat, İngiliz yargı yetkisine tabi altyapılardan teknik bir kopuş sunarak — sistemin OSA tarafından öngörülen emirlere karşı sağır kalmasını garanti eder.

Normların çatışması: Avrupa hukukuna karşı OSA ve IPA

Yeni İngiliz devlet ayrıcalıklarının yasal analizi, veri koruma ve iletişimlerin gizliliğine ilişkin Avrupa hukukunun temelleriyle doğrudan bir çarpışmayı ortaya koymaktadır.

Genel gözetim yasağına karşı OSA

OSA’nın 121. Maddesi, OFCOM’a platformları istemci tarafı tarama (client-side scanning) uygulamaya zorlayan emirler çıkarma olasılığını getiriyor. Bu önlem, Avrupa hukukundan türetilen ve AB Adalet Divanı’nın (CJEU) içtihadında yer alan ve genel gözetim yükümlülüklerini yasaklayan ilkeye doğrudan aykırıdır. Bir “tasarım gereği güvenlik açığı” (vulnerability by design) dayatarak, şirketleri aynı zamanda bir çıkmaza sokar: Bir devlet emrine uymak için güvenliklerini zayıflatarak, GDPR’nin 32. Maddesinde kutsanan, işleme uygun bir güvenlik seviyesini garanti etme yükümlülüklerinde başarısız olurlar.

ePrivacy Direktifi ve iletişimlerin gizliliği

Özel mesajların taranması, Üye Devletleri elektronik iletişimlerin gizliliğini garanti etmeye zorlayan ve ilgili kullanıcıların açık rızası olmadan herhangi bir müdahale veya gözetim biçimini yasaklayan 2002/58/EC Direktifi’nin (ePrivacy) 5. Maddesi, 1. fıkrası ile doğrudan çelişmektedir.

Technical Capability Notices ve güvenlik güncellemelerinin engellenmesi

IPA 2016 rejimi altında, İngiliz hükümeti artık Teknik Yetenek Bildirimlerini (Technical Capability Notices - TCN) dağıtılmadan önce güvenlik güncellemelerine karşı çıkmak için kullanmayı amaçlıyor. Bu mekanizma, GDPR’nin 32. Maddesi ile belirlenen, işleme sistemlerinin sürekli güvenliğini sağlama yükümlülüğü ile çözülemez bir çatışma yaratır — bu yükümlülük, yamaları (patches) gecikmeden veya dış müdahale olmadan tam olarak uygulama becerisini gerektirir.

Avrupa’da faaliyet gösteren şirketler için uyumluluk riskleri

IPA revizyonları, şirketleri güvenliği etkileyen herhangi bir teknik değişiklik hakkında uygulanmasından önce İngiliz hükümetini bilgilendirmeye zorlamayı amaçlamakta ve böylece ona ürün geliştirme üzerinde bir veto hakkı tanımaktadır. Bu müdahale, Avrupa pazarında faaliyet gösteren tedarikçiler için önemli bir hukuki güvensizlik yaratmaktadır: İngiltere artık GDPR’ninkine önemli ölçüde eşdeğer bir korumayı garanti etmiyorsa, halihazırda kırılgan olan İngilizlerin Avrupa hukukuna yeterliliği (adequacy) sorgulanabilir. Bu nedenle, bu yeni çerçeve kapsamında Birleşik Krallık’a veri aktarımları muhtemelen şirketleri GDPR kapsamında yaptırımlara maruz bırakacaktır.

Teknik imkansızlık yoluyla savunma: Yasal bir kalkan olarak Zero-Knowledge ilkesi

CJEU’nun Schrems I ve Schrems II kararlarıyla pekiştirilen uluslararası içtihat, belirleyici bir ilke oluşturmuştur: Orantısız gözetime karşı tek sağlam güvence, ona erişmenin teknik imkansızlığıdır. Zero-Knowledge mimarileri bu ilkeyi üç koruma katmanında uygular:

Gözetim eksikliği: Platform şifre çözme anahtarlarını elinde tutmadığı için mesajları taramaya yönelik herhangi bir emir teknik olarak uygulanamaz;
İşletim sisteminin egemenliği: ArpokratOS kontrolü, cihaz düzeyinde istihbarat toplanmasını besleyen telemetriyi ortadan kaldırır;
İsviçre yargı yetkisi bağlantısı: Altyapısını İsviçre’de barındıran Arpokrat, bireyselleştirilmiş ve gerekçeli adli yardımlaşma talepleri gerektiren yasal bir rejim altında faaliyet göstererek OSA tarafından öngörülen kitlesel taramaların otomatik olarak yürütülmesini etkisiz hale getirir.

Sonuç

OSA’nın hükümleri ve IPA’nın revizyonları sadece bireylerin gizliliğine yönelik bir tehdit değildir: İngiliz yargı yetkisine tabi altyapılardan geçen tüm Avrupa verileri için yasal kesinliğin ihlalini temsil ederler. Kamu güvenliği adına şifrelemenin zayıflatılmasını meşrulaştırarak, Londra paradoksal olarak müttefiklerini ve ticaret ortaklarını Zero-Knowledge mimarilerinin tam olarak önlemek için tasarlandığı endüstriyel ve devlet casusluğu risklerine maruz bırakmaktadır.

Profesyonel ve kurumsal iletişimlerin bütünlüğü artık yapısal bir yanıt talep ediyor: Kod seviyesinden yargı bağlantısına kadar dijital egemenliği garanti eden merkezi olmayan ekosistemlere geçiş.

Çığlık Atan Sessizlik: Warrant Canary Nedir ve Kaybolması Sizi Neden Endişelendirmelidir?

Mon, 01 Jun 2026 00:00:00 +0000

yüzyıl kömür madenlerinin derinliklerinde, madenciler yanlarında kafeslenmiş kanaryalar taşırlardı. Karbon monoksit gibi zehirli gazlara karşı son derece hassas olan bu küçük kuşlar, madenciler tehlikeyi fark etmeden çok önce ölürlerdi. Böylece sessiz ama son derece etkili bir erken uyarı sistemi olarak hizmet ettiler.

Modern dijital dünyamızda, bu kuş « Warrant Canary » şeklinde hayata geri döndü.

Warrant Canary Nedir?

Bir hizmet sağlayıcı (mesajlaşma, VPN, barındırma) tarafından düzenli olarak güncellenen ve o kesin tarihe kadar, kullanıcılarının verilerini tehlikeye atmaya zorlayan hiçbir gizli yasal talep almadığını (Amerikan National Security Letter (NSL) veya bir FISA mahkemesi kararı gibi) doğrulayan halka açık bir beyandır.

Kanaryanın tüm inceliği — ve ciddiyeti — kaybolduğunda ne olduğunda yatar.

Her ay “Hiçbir gizli emir almadık” beyanını gösteren bir hizmet bunu güncellemeyi aniden durdurursa, bilgili kullanıcı açık olanı anlar: kanarya öldü.

Şirket, bu talebin varlığını açıklamasını yasal olarak yasaklayan bir konuşma yasağı (gag order) ile birlikte bir gözetim önleminin hedefi olmuştur. Tehlikeye atıldıklarını söyleyemedikleri için, sadece güvende olduklarını söylemeyi bırakırlar.

Görünmez Gözetim Çağı

CLOUD Act ve FISA gibi yasaların ABD hükümetine verileri ele geçirme yetkisi verdiği bir dönemde, Warrant Canary çok önemlidir.

Proton : İsviçre mesajlaşma servisi sıkı bir kanarya yayınlar.
Riseup : Aktivistler için güvenli iletişim kolektifi.
Arpokrat : Kendi ekosistemimiz, kriptografik olarak güncellenen halka açık bir Warrant Canary tutar.

Yasal Analiz: Yalan Söylememe Hakkı

Kanaryanın varlığı compelled speech (zorlanmış konuşma) doktrinine dayanır. Devletin size sessizlik dayatma gücü varsa (bir yayın yasağı aracılığıyla), sizi yalan söylemeye zorlama anayasal gücü yoktur.

Arpokrat Yaklaşımı (Zero-Knowledge)

İsviçre FADP yasası altında, Arpokrat’ın Zero-Knowledge mimarisi bir emre uymayı teknik olarak imkansız kılar. Teslim edilecek hiçbir özel anahtar veya kimlik (Zero-ID) yoktur.

Utiq: Telekom Operatörlerinin Gizliliğinizi Tehdit Eden Yeni 'Süper Çerezi' (Super-Cookie)

Mon, 01 Jun 2026 00:00:00 +0000

Web tarayıcılarında üçüncü taraf çerezlerin (third-party cookies) planlanan sonu, hedefli reklamcılık sektöründe gerçek bir silahlanma yarışını tetikledi. Google kendi standartlarını (Privacy Sandbox gibi) dayatmaya çalışırken, beklenmedik bir başka oyuncu pastadan pay almaya karar verdi: İnternet Servis Sağlayıcınız (ISP).

Böylece, Avrupalı telekomünikasyon devleri tarafından kurulan bir ortak girişim olan Utiq (eski adıyla TrustPid projesi) doğdu. Kamuoyuna "şeffaf ve saygılı" bir çözüm olarak pazarlanan Utiq, aslında siber güvenlik uzmanlarının en çok korktuğu şeydir: ağ düzeyinde çalışan bir "süper çerez".

Utiq Nedir ve Nasıl Çalışır?

Geleneksel olarak reklam takibi (çerezler), web tarayıcınız (Chrome , Firefox , Safari ) tarafından yönetilir. Bunu, eklentiler (örneğin uBlock Origin ) veya gizlilik odaklı bir tarayıcı (örneğin Brave ) kullanarak engelleyebiliyordunuz.

Utiq sorunu bir adım geriye, yani ağ bağlantınızın düzeyine taşır.

Tuzak şu şekilde kurulur:

Ağ Düzeyinde Müdahale: Mobil bağlantınız (4G/5G) veya ev yönlendiriciniz üzerinden internette gezindiğinizde, Utiq sizi tanımlamak için IP adresinizi ve telekom abonelik verilerinizi kullanır.
Onay (Sahte Seçim): Ortak bir siteye ulaştığınızda, beliren bir pencere (popup) sizden Utiq’i kabul etmenizi ister. Çerez banner’larının yarattığı bıkkınlık nedeniyle (Consent Fatigue), milyonlarca kullanıcı okumadan "Kabul Et" butonuna tıklar.
„Network Signal“: Onay verildikten sonra Utiq doğrudan telekom operatörünüzle iletişime geçer. Operatör, reklamcılara ilettiği benzersiz ve takma adlı (pseudonymized) bir kimlik belirteci (ağ sinyali) oluşturur.

Artık bilgisayarınızda depolanan bir dosya tarafından değil, size interneti sağlayan altyapının kendisi tarafından siteden siteye izlenebilir durumdasınız.

Utiq Neden Gizlilik İçin Bir Kabustur (OPSEC)

Bu girişim, dijital egemenlik ve verilerinizin gizliliği için ciddi sorunlar doğurmaktadır:

Kaynağında Takip: Klasik çerezlerin aksine, Utiq’ten kurtulmak için sadece "geçmişi silmek" veya "önbelleği temizlemek" yeterli olmaz. Kimlik belirteci doğrudan ISP’niz tarafından üretilir.
Profillerin Merkezileştirilmesi: Telekom operatörleri adınızı, fiziksel adresinizi, banka bilgilerinizi ve gerçek zamanlı konumunuzu zaten bilmektedir. Web tarama geçmişinizi Utiq aracılığıyla bu verilerle ilişkilendirerek, korkutucu doğrulukta davranışsal profiller oluştururlar.
Takma Ad Güvenliği Yanılgısı: Utiq, adınızı açık metin olarak paylaşmadığını savunarak "şifreli" belirteçler kullandığını iddia etmektedir. Ancak siber güvenlik dünyasında, takma adlaştırmanın tersine çevrilebilir olduğu kanıtlanmıştır. Bu belirteçlerin diğer veri tabanlarıyla çapraz eşleştirilmesi, bireylerin kimliklerinin kolayca yeniden tespit edilmesini sağlar.

Hangi Operatörler Utiq Kullanıyor?

Utiq, en büyük dört Avrupalı operatörün ittifakı tarafından kurulmuştur. Eğer bunlardan birinin müşterisiyseniz, bağlantınız zaten potansiyel olarak bu takiple "uyumludur".

OPSEC İpucu: Utiq, erişimi iptal etmek için merkezi bir onay yönetim portalı (consenthub.utiq.com ) sunsa da, en iyi savunma teknolojik olandır.

Utiq’i Etkisiz Hale Getirmek İçin Zero-Trust Yaklaşımı

Arpokrat gibi ekosistemler tarafından savunulan dijital egemenlik felsefesi, basit bir ilkeye dayanır: ağ altyapısına asla güvenme.

Utiq gibi sistemleri teknik olarak etkisiz kılmak için çözüm, trafiğinizi kendi internet servis sağlayıcınızdan gizlemektir:

Egemen Bir VPN Kullanmak: Trafiğinizi cihazınızdan çıktığı andan itibaren şifreleyerek, ISP’nizin yalnızca VPN sunucusuna yönlendirilmiş okunamaz bir veri akışı görmesini sağlarsınız. Artık Utiq belirteçleri enjekte edemez veya okuyamaz.
Tor Ağı (Orbot ): Onion yönlendirme, uçtan uca her türlü kimlik tespitini engeller.
DNS Şifreleme (DoH/DoT): Operatörünüzün hangi web sitelerini ziyaret etmek istediğinizi bilmesini engeller.

Özetle Utiq, internet servis sağlayıcılarının artık sadece birer "boru" olmakla yetinmediklerinin; birer veri komisyoncusu olmak istediklerinin kanıtıdır. Trafiğinizi şifrelemek artık bir güvenlik seçeneği değil, dijital sessizliğinizi korumak için mutlak bir zorunluluktur.

Egemenlik Yanılsaması: Olvid Vakası ve CLOUD Act Tuzağı

Thu, 21 May 2026 00:00:00 +0000

Duyuru, Paris koridorlarında gerçek bir “bağımsızlık çığlığı” gibi yankılandı: Başbakan, hükümetin WhatsApp ve Signal’i terk edip “yerli” olarak sunulan Olvid’i kullanmasını emretti. Hedef netti: devlet sırlarını yabancı istihbarat teşkilatlarından korumak.

Ancak kısa sürede acı bir ironi ortaya çıktı: Olvid’in kalbi — sunucu altyapısı — bir Amerikan devi olan Amazon Web Services (AWS) içinde atıyordu.

Halk için bu basit bir teknik barındırma sorunu gibi görünüyor. Ancak egemen siber güvenlik mimarları için bu, birinci dereceden bir siyasi güvenlik açığıdır.

Sınır Aşan Yargı Yetkisi ve Egemenlik Çatışması

Amazon altyapısına dayanarak Olvid, otomatik olarak ABD’nin CLOUD Act yörüngesine girer.

Bu davanın yasal analizi, yalnızca ulusal bir “uygulama” benimsemenin çözemeyeceği bir yargı güvensizliği senaryosunu ortaya koyuyor. Dönüm noktası “kontrol” ve “yerelleştirme” kavramlarında yatmaktadır.

CLOUD Act, sunucunun fiziksel konumunun önemli olmadığını şart koşarak yasal paradigmayı radikal bir şekilde değiştirdi. Hizmet sağlayıcının (burada AWS) işbirliği yapma yükümlülüğü, yalnızca ABD ile olan yargı bağından kaynaklanmaktadır.

Yasal olarak bu, GDPR ile doğrudan bir çatışma yaratır. Avrupa Adalet Divanı, ABD gözetim yasalarının Avrupa’ya eşdeğer bir koruma seviyesi sunmadığını zaten tespit etmiştir.

Dijital egemenlik, yazılımın bir özelliği değil, veri gözetim zincirinin bütünlüğünün bir özelliğidir.

FISA Hayaleti ve Şifrelemenin Sahte Vaadi

Daha da kötüsü, Amerikan altyapısına olan bu bağımlılık, bu verileri Foreign Intelligence Surveillance Act (FISA) gölgesine sokmaktadır.

Bu tehditler karşısında Olvid, uçtan uca şifrelemesinin yeterli bir kalkan olduğunu iddia ediyor. Gizlilik mühendisliği perspektifinden bakıldığında, bu savunma tehlikeli derecede yetersizdir.

Mesaj içeriği şifrelenmiş olsa bile, AWS’nin merkezi altyapısı meta verileri açığa çıkarır. Kimin kiminle, ne zaman, ne sıklıkla ve nereden konuştuğunu bilmek, istihbarat için genellikle mesaj içeriğinden çok daha değerlidir.

Şifreleme metni korur, ancak merkezi sunucu iletişim ağını ele verir.

Gerçek Tehlike Henüz Gelmedi

Avrupa altyapısı, sınır aşan yasalara tabi kurumlara bağımlı olduğu sürece, iletişimimizin yasal güvenliği tamamen geçici ve yanıltıcı kalacaktır.

yüzyılda ulusal güvenlik, tam altyapı ve donanım bağımsızlığı gerektirir. “Şimdi topla, sonra şifresini çöz” stratejisi önümüzdeki on yılın en yıkıcı tehdididir.

Bugün ele geçirilen bir devlet sırrı, matematiksel bir saatli bombadan başka bir şey değildir.

(Analizimizin geri kalanını Bölüm 2’de okuyun: Saatli Bomba ve Zero-Knowledge Zorunluluğu )