Şifreleme on Arpokrat

Şifreli mesajlaşma uygulamaları 2026: şifreleme artık yetmiyor

Thu, 10 Sep 2026 00:00:00 +0000

WhatsApp, Telegram, Signal, Messenger, Google Messages uygulamalarını açın. Bugün hepsi arayüzünün bir yerinde aynı vaadi gösteriyor: uçtan uca şifreleme. Bu ifade, bir mobil operatörün «taahhütsüz» sloganı gibi standart bir satış argümanına dönüştü. Artık hiçbir şeyi ayırt etmiyor, tam da neredeyse her yerde doğru hale geldiği için.

Yine de bu uygulamalar birbirine hiç benzemiyor. Biri telefon numaranızı istiyor ve sizi rehberinde tutan kişilerin listesini adalete teslim ediyor. Bir diğeri sizin hakkınızda kelimenin tam anlamıyla hiçbir şey bilmiyor, bir hesabın var olduğunu bile. İkisinin arasında on beş kadar proje çok farklı tercihler yapıyor ve hiçbiri bunları ana sayfasında açıkça anlatmıyor.

Uçtan uca şifreleme, mesajlarınızın içeriğinin onları taşıyan aracı için okunamaz olduğu anlamına gelir. Bu önemli bir kazanımdır ve küçümsemek saçma olur. Ama aynı aracının içerik dışında ne öğrendiği konusunda hiçbir şey söylemez: yazdığınızı, kime, saat kaçta, hangi IP adresinden, hangi sıklıkta, hangi gruplarda, kimlik bilgilerinize bağlı hangi telefon numarasıyla.

Şifreleme söylediğinizi korur. Bunu söylemiş olduğunuz gerçeğini korumaz, kime, ne zaman ve nereden söylediğinizi de.

Bu yazı bir sıralama yapmıyor. Mutlak anlamda en iyi mesajlaşma uygulaması yoktur, çünkü genel geçer bir düşman yoktur. Bu dosyanın sunduğu şey, önce henüz var olmayanlar da dahil olmak üzere herhangi bir uygulamayı değerlendirmenizi sağlayan yedi ölçütlük bir ızgara, ardından seçilen on dört uygulamanın her biri için dürüst bir künye ve son olarak tehdit profiline göre öneriler. Her künyede, uygulamanın neyi korumadığına ayrılmış bir bölüm bulunuyor, istisnasız, bizimki dahil.

İçindekiler

Şifrelemenin yerini alan yedi ölçüt

Bu bölüm yazının en önemli kısmı. Yalnızca birini okuyacaksanız bunu okuyun: bu metin yayımlandıktan sonra çıkacak olanlar dahil, herhangi bir mesajlaşma uygulamasını kendiniz değerlendirmenizi sağlayacak.

Uçtan uca şifreleme, artık ayırt etmeyen bir kazanım

2013 yılında yayımlanan ve o günden beri kriptografi araştırmacılarınca biçimsel olarak incelenen Signal protokolü fiili standart haline geldi. WhatsApp onu 2016 yılından beri kullanıyor, Google Messages kullanıyor, Messenger kullanıyor. Birebir görüşmelerin içeriği açısından kriptografik tartışma büyük ölçüde kapanmış durumda.

Hâlâ yararlı olan sorular artık şifrelemenin varlığıyla değil, biçimiyle ilgili. Varsayılan olarak açık mı, yoksa istemek mi gerekiyor? Grupları kapsıyor mu, yoksa yalnızca ikili yazışmaları mı? Yedekleri kapsıyor mu, yoksa bunlar Google ve Apple tarafına açık halde mi gidiyor? İleriye dönük gizlilik var mı, yani bugün bir anahtarın ele geçirilmesinin dünkü mesajlara erişim vermemesini güvence altına alan düzenli bir anahtar döngüsü?

Bu sorular hâlâ ayırt ediyor. Bir pazarlama sayfasında «şifreli» kelimesinin bulunması ayırt etmiyor.

Meta veriler, yani hizmetin mesajlarınızı okumadan bildikleri

Mayıs 2014 yılında Johns Hopkins Üniversitesinde hukukçu David Cole karşısında yapılan bir kamuya açık tartışmada, NSA ve CIA eski direktörü Michael Hayden ünlü olacak bir cümle söyledi. Cole az önce NSA eski hukuk danışmanı Stewart Baker’ı alıntılamıştı; ona göre «meta veriler size birinin hayatı hakkında kesinlikle her şeyi anlatır ve yeterince meta veriniz varsa içeriğe gerçekten ihtiyacınız olmaz». Hayden onaylayarak yanıt verdi: «Meta verilere dayanarak insan öldürüyoruz.» Hemen ardından bunun Amerikan yurt içi toplama programlarının yaptığı şey olmadığını ekledi; dürüstlük adına bu açıklamayı da aktarmak gerekir. Esası değiştirmez: Amerikan istihbaratının en üst düzey yetkilisi, meta verilerin ölümcül kararlar için yeterli olduğunu kamuoyu önünde doğruladı.

Bir mesajlaşma uygulamasında meta veri, içerik olmayan her şeydir: kimin kime yazdığı, saat kaçta, hangi IP adresinden, hangi sıklıkta, hangi gruplarda, hangi dosya boyutuyla. Bir gazeteciyle bir kaynak arasındaki bağı yeniden kurmak, yazışmalarını okumayı gerektirmez. Bir soruşturmanın yayımlanmasından üç gün önce birbirlerine yazmaya başladıklarını saptamak yeter. Aynı akıl yürütme bir avukatla müvekkili, bir hekimle hastası, bir çalışanla bir sendika, ilişkilerinin bilinmesini istemeyen iki kişi için de geçerlidir.

Dolayısıyla bir hizmet, içerik şifrelemesinde kusursuz ve geri kalan her şeyde tamamen şeffaf olabilir. Hatta en yaygın durum budur. Aynı akıl yürütmenin günlük hayatın diğer edilgen sinyallerine nasıl uygulandığını başka yerde ayrıntılandırdık; özellikle telefonun sürekli konum takibi üzerine yazımızda ve geçerken yakalanan Bluetooth tanımlayıcılarından güzergâhları ve ilişkileri yeniden kuran Leonardo firmasının SignalTrace sistemi hakkındaki çözümlememizde.

Herhangi bir sağlayıcıya sorulacak iyi bir soru: yarın sabah bir hâkim sunucularınıza el koyarsa geriye ne kalır?

İstenen tanımlayıcı: numara, adres ya da hiçbir şey

Bu en somut ve en çok hafife alınan ölçüt. Üç model bir arada bulunuyor.

Telefon numarası. Çoğu ülkede bir kimlik belgesine bağlıdır. Benzersizdir, kalıcıdır ve yüzlerce kişinin rehberinde zaten kayıtlıdır. Numara istemek, her hesabı bir resmi kimliğe bağlamak ve sosyal grafiğin ortaya çıkarılmasını önemsizleştirmek demektir: rehberleri karşılaştırmak yeter. Numara ayrıca kimlik doğrulamanın iyi bilinen zayıf noktasıdır; SMS ile iki aşamalı doğrulama üzerine yazımızda gösterdiğimiz gibi: başarılı bir SIM değiştirme yalnızca bir kodu çalmaz, bir mesajlaşma kimliğini çalar.

E-posta adresi ya da rastgele bir tanımlayıcı. Daha iyi, çünkü tek kullanımlık bir adres birkaç saniye alır ve rastgele bir tanımlayıcı hiçbir şey söylemez. Yine de sunucu tarafında kalıcı bir tanımlayıcı olarak kalır, yani oturumları zaman içinde ilişkilendirmek için bir tutamak.

Hiçbir tanımlayıcı. Bu en yeni ve en ender model. Hiç hesap yok, dizin yok, kalıcı adres yok. Cihazınızdaki bir kriptografik anahtar kümesi olarak varsınız ve size tek kullanımlık bir davet bağlantısıyla ulaşılıyor. Girilecek bir şey yok, sızacak bir şey yok, ilişkilendirilecek bir şey yok.

Açık kaynak ve bağımsız denetim, karıştırmaktan vazgeçilmesi gereken iki kavram

Bunlar iki farklı şey ve birlikte sunulmalarına son vermek gerekiyor.

Açık kaynak, kodun okunabilir olduğu anlamına gelir. Güvenin gerekli koşuludur, güvenliğin kanıtı değil. Kazara olmadıkça kodu kimse okumaz. Çok izlenen özgür projelerde ciddi açıklar yıllarca hayatta kaldı.

Bağımsız denetim, açık aramak için para alan üçüncü bir tarafın arama yaptığı ve bulduklarını yayımladığı anlamına gelir. Bu sonsuz derecede daha güçlüdür ve sonsuz derecede daha enderdir, çünkü pahalıdır.

Ardından iki denetim türünü ayırmak gerekir. Kriptografik tasarım incelemesi, protokolün kâğıt üzerinde iyi tasarlanıp tasarlanmadığını inceler. Uygulama denetimi, kodun protokolün iddia ettiğini gerçekten yapıp yapmadığını inceler. İkisi de yararlıdır, aynı şeyi kanıtlamazlar ve bir proje ikincisi olmadan birincisine sahip olabilir.

Threema örneği bu yaklaşımın değerini kusursuz biçimde gösteriyor. 2022 yılında Zürih ETH’den üç araştırmacı, protokolüne karşı üç farklı tehdit modelinde yedi saldırı buldu ve bunları geliştiriciye bildirdi. Threema, Kasım 2022 sonunda yayımlanan Ibex adlı yeni bir protokolle yanıt verdi. Kapalı ve denetlenmemiş bir uygulama bu olayı hiç yaşamazdı; bu da onun daha güvenli olduğu anlamına gelmezdi.

Yargı yetkisi ve CLOUD Act

Bir şirketin kuruluş yeri, hangi hükümetlerin onu zorlayabileceğini belirler. Bu teknik değil hukuki bir ölçüttür ve belirleyicidir.

2018 yılında Amerika Birleşik Devletleri’nde kabul edilen CLOUD Act, Microsoft Ireland davasının ortaya attığı soruyu çözer: bir Amerikan şirketi İrlanda’daki bir sunucuda saklanan e-postaları teslim etmeyi reddedebilir mi? Yasa koyucunun yanıtı hayır. Metin, Amerikan yargı yetkisi altındaki sağlayıcılara, saklama yerinden bağımsız olarak denetimleri altındaki verileri iletme yükümlülüğü getirir. Amerikan bir şirketin işlettiği Frankfurt’taki bir sunucu, Amerikan bir talebin erişiminde kalır. Talep yabancı hukukla çatışıyorsa sağlayıcı itiraz edebilir, ama itiraz bir usuldür, kalkan değil.

Pratik sonuç basit: barındırıcı, ana şirket ya da holding Amerikan hukukuna tabiyse Avrupa’da barındırmak yetmez. Sorulacak soru «sunucularınız nerede» değil, «sizi hukuken kim, hangi dayanakla zorlayabilir».

İki nüans eklemek gerekir. Birincisi, hizmet yine de işlenebilir veri tutuyorsa koruyucu bir yargı yetkisi işe yaramaz: en iyi savunma teslim edecek bir şeyi olmamaktır. İkincisi, düşmanca bir yargı yetkisi, yapısal olarak hiçbir şey bilmeyen bir hizmeti mahkûm etmez. Signal Amerikan bir hizmettir ve iki zaman damgasından başka hiçbir şey teslim edememiştir.

Projenin kalıcılığı, kimsenin bakmadığı ölçüt

Çok iyi tasarlanmış ama on sekiz ayda ortadan kaybolan bir mesajlaşma uygulaması, sizi kullanılamaz bir rehberle ve çoğu zaman kaybolmuş bir geçmişle baş başa bırakır. Bu ölçüt karşılaştırmalarda hiç yer almaz. 2026 yılı onu kaçınılmaz kıldı.

Nisan 2026’da Session Technology Foundation, yalnızca yaklaşık 65.000 dolar bağış topladığını, çalışmak için yılda kabaca bir milyon dolara ihtiyacı olduğunu ve kasasının temmuzdan öteye yetmeyeceğini kamuoyuna duyurdu. Tüm çalışanların işine son verildi ve geliştirme durdu. Session’ın aylık bir milyondan fazla etkin kullanıcısı var. Haziran ayında vakıf, projenin binlerce kullanıcının çoğu küçük tutarlı bağışlarıyla kurtarıldığını ve yazılım mimarı Jason Rhinelander’ın yönettiği üç geliştiriciden oluşan bir ekiple yeniden yola çıktığını duyurdu.

Üç hafta sonra, 9 Temmuz 2026’da Briar projesi benzer bir mesaj yayımladı: kapanmayı değerlendirdikten sonra bakım moduna geçiyor, yani kalıcı finansman bulunmadığı için yalnızca güvenlik ve hata düzeltmeleri, yeni işlev geliştirmesi yok.

İki simge proje, iki farklı ekonomik model, aynı yıl, aynı çıkmaz. Dolayısıyla bir mesajlaşma uygulamasını benimsemeden önce sorulacak soru artık şu: kim ödüyor, ne kadar ve ne kadar süre? Bağışlarla yaşayan bir vakıf, lisans satan bir şirket, desteklenen bir üniversite projesi ve gönüllü bir topluluk yazılımı aynı yaşam beklentisine sahip değildir ve bunun kriptografilerinin niteliğiyle hiçbir ilgisi yoktur.

Kullanışlılık, başlı başına bir güvenlik ölçütü

Bu son ölçüt saflar tarafından çoğu zaman küçümsenerek ele alınır. Bu bir hatadır.

Muhataplarınızın kurmayı reddettiği bir mesajlaşma uygulaması kimseyi korumaz, çünkü konuşma başka bir yerde, açık halde geçecektir. Bildirimleri ulaşmayan bir uygulama, acil yazışmalar için kullanıcılarını WhatsApp’a geri iter. İki kişinin de aynı anda bağlı olmasını isteyen bir uygulama, iki saat dilimi arasındaki sıradan bir yazışmaya uygun değildir.

Bir sistemin gerçek güvenliği, teknik künyesinin değil gerçek kullanımının güvenliğidir. Kişilerinizin fiilen kullandığı biraz daha az saf bir model, yalnızca sizin kullandığınız kusursuz bir modelden daha çok korur.

Kitlesel mesajlaşma uygulamaları

WhatsApp dünyada en çok kullanılan mesajlaşma uygulaması. Meta’ya ait, ücretsiz ve ekonomik modeli grubun reklam ekosistemine ve işletmelere sunulan hizmetlere dayanıyor.

Gerçekten neyi koruyor. Mesajların içeriğini, Signal protokolüyle, 2016 yılından beri. Bu uygulama ciddidir ve bunu açıkça söylemek gerekir: WhatsApp konuşmalarınızın içeriği Meta için okunabilir değildir. Uçtan uca şifrelenmiş yedekler mevcuttur ve etkinleştirilmeyi hak eder, çünkü varsayılan olarak açık değildir. Uygulama son derece güvenilirdir, her yerde bulunur ve kişileriniz onu zaten kullanıyordur.

Neyi korumuyor. Geri kalan her şeyi. Basit bir talep üzerine Meta abone verilerini bildirir: hesap adı, oluşturma tarihi, son bağlantı, IP adresi, e-posta adresi. Arama emri üzerine şirket, hedeflenen kişinin rehberini ve ayrıca bu kişiyi rehberinde tutan diğer WhatsApp kullanıcılarının listesini sağlar. Başka bir deyişle, sosyal grafik iki yönde de teslim edilebilir. Saklanan meta veriler zaman damgalarını, gönderen ve alıcı tanımlayıcılarını, teslim durumlarını, grupların bileşimini ve değişikliklerini içerir. Kamuoyuna açıklanan bir FBI belgesine göre WhatsApp, gerçek zamanlı gözetim kapsamında hedeflenen bir kullanıcının belirli meta verilerini her on beş dakikada bir üretebiliyor. Son olarak telefon numarası zorunludur ve Meta CLOUD Act kapsamındadır.

Kimin için yapılmış. Herkes için, ilişki grafiğinin Meta tarafından bilinmesini ve bir adli makama iletilebilmesini kabul ettiğiniz sıradan bir iletişim kanalı olarak.

Telegram çoğu zaman güvenli mesajlaşma uygulamaları arasına konuluyor. Bu, saldırganlığa kaçmadan giderilmesi gereken bir yanlış anlama, çünkü Telegram gerçekten yaptığı işte mükemmel.

Gerçekten neyi koruyor. Günlük kullanım için klasik bir çevrim içi hizmetten fazlasını değil. Bulut sohbetleri denen sıradan konuşmalar istemci ile sunucu arasında şifrelenir, ardından Telegram tarafında şifreli olarak saklanır ve Telegram bunları okuma araçlarına sahiptir. Uçtan uca şifreleme yalnızca gizli sohbetlerde vardır; bunlar varsayılan olarak açık değildir, ikili yazışmalarla sınırlıdır, ilk cihaza bağlı kalır ve eşitlenmez. Buna karşılık Telegram’ın mükemmel yaptığı şey devasa gruplar, yayın kanalları, büyük dosya paylaşımı ve çok cihazlı varlıktır. Muhteşem bir yayın ağıdır ve öyle değerlendirilmelidir.

Neyi korumuyor. Sıradan konuşmaların içeriğini hizmet sağlayıcıya karşı, telefon numarasını, IP adresini. Şirketin tutumu Eylül 2024’te, Pavel Durov’un Fransa’da tutuklanmasından sonra değişti: Telegram artık geçerli hukuki taleplere yanıt olarak şikâyet edilen kullanıcıların numaralarını ve IP adreslerini bildiriyor; oysa önceki taahhüt bu aktarımları terör davalarıyla sınırlıyordu. 2024 için yayımlanan sayılar ölçek değişimini yansıtıyor: Amerika Birleşik Devletleri’nde 2.253 kullanıcı için yaklaşık 900 karşılanan talep, Hindistan’da 23.535 kullanıcı için 14.641, Birleşik Krallık’ta 142. Grup ayrıca Britanya Virjin Adaları’nda kayıtlı ve Dubai’den yönetiliyor; bu yapının şeffaflıktan uzaklığı başlı başına bir analiz verisidir.

Kimin için yapılmış. Kamuya açık yayın, geniş topluluklar ve haber takibi için. Hizmet sağlayıcıya karşı gizli kalması gereken bir konuşma için değil.

Fiili standart

Signal

Signal referanstır ve bu yazı ona öyle davranıyor. Bağışlarla ve Brian Acton’ın başlangıç bağışıyla finanse edilen Amerikan kâr amacı gütmeyen kuruluş Signal Foundation tarafından yayımlanıyor.

Gerçekten neyi koruyor. İçeriği, kendi icat ettiği ve sektöre referans olan protokolle. Ama her şeyden önce, onu ayıran da bu, geri kalanı: gizli kişi keşfi, mühürlü gönderen, saklanan verilerin sistematik olarak en aza indirilmesi. Kanıt beyana dayalı değil, adli. Signal taleplere verdiği yanıtları özel bir sayfada yayımlıyor ve bu yanıtların hepsi birbirine benziyor: kuruluş yalnızca hesabın oluşturulma zaman damgasını ve son bağlantı tarihini sağlayabiliyor. Columbia Bölgesi mahkemesine taşınan bir davada adalet, otuz yedi telefon numarası için abone bilgilerini istedi. Yanıt aynıydı. Bu, tüm karşılaştırmada bu nitelikte taleplere direncin tek kamuya açık geçmişidir ve herhangi bir pazarlama vaadinden daha değerlidir.

Neyi korumuyor. Telefon numarası 2026 yılında kayıt sırasında zorunlu olmayı sürdürüyor. 2024’te getirilen kullanıcı adları, numaranızı kişilerinize bildirmemenizi sağlıyor ki bu gerçek bir ilerleme, ama hesap oluştururken numaranın istenmesini ortadan kaldırmıyor. Kamuya açık çalışmalar, Signal’in kötüye kullanımı sınırlamak için belki tek seferlik bir ödemeye dayanan numarasız kayıt üzerinde çalıştığını gösteriyor, ama bu satırlar yazılırken bu seçenek mevcut değil. Signal ayrıca Amerikan hukukuna, dolayısıyla CLOUD Act’e tabidir: koruma yargı yetkisinden gelmiyor, teslim edecek bir şey olmamasından geliyor. Son olarak altyapı merkezi ve ekosistem üçüncü taraf istemcilere kapalı; bu noktaya ileride döneceğiz.

Kimin için yapılmış. Neredeyse herkes için. Piyasada koruma ile gerçek yaygınlık arasındaki en iyi orandır ve telefon numarası tehdit modelinizde sorun değilse varsayılan öneridir.

Molly

Molly Signal’in Android için sertleştirilmiş bir çatallanmasıdır. Ne protokolü, ne ağı, ne de tanımlayıcı modelini değiştirir: istemciyi sertleştirir.

Gerçekten neyi koruyor. Signal’in cihaz tarafında korumadıklarını. Molly yerel veritabanını bir parola tümcesinin arkasında şifreler, bu da uygulamanın tamamını kilitler; kilitlenme sırasında el koyma sonrası adli analize direnmek için çalışma belleğini rastgele verilerle siler. Ayrıca trafiği bir SOCKS vekil sunucusundan ya da Tor üzerinden yönlendirmeye izin verir. Molly-FOSS türevi Google’ın tescilli bileşenlerini kaldırır. Resmi istemcinin yapmadığı şeyler.

Neyi korumuyor. Sunucuyla ilgili her şeyi. Molly Signal’in sunucularını kullanır, dolayısıyla telefon numarası ister ve tam olarak aynı meta veri profilini ve aynı yargı yetkisini devralır. Yalnızca Android’de vardır. Ve Signal ağında vakfın hoşgörüsüyle çalışır, resmi izniyle değil; bu durum yıllardır olaysız sürüyor.

Kimin için yapılmış. Tehdit modeli telefona fiziksel olarak el konulmasını içeren bir Android Signal kullanıcısı için: yolculuktaki gazeteci, eylemci, sınır geçen avukat.

Telefon numarası istemeyen uygulamalar

Session

Session radikal bir bahse girdi: numarayı ve e-postayı kaldırmak. Kayıt sırasında uygulama rastgele bir hesap tanımlayıcısı üretir ve başka hiçbir şey istemez. Projeyi İsviçre hukukuna tabi bir vakıf olan Session Technology Foundation yürütüyor.

Gerçekten neyi koruyor. Kayıttaki kimliği ve IP adresini. Mesajlar soğan yönlendirmeli merkeziyetsiz bir düğüm ağından geçer, öyle ki hiçbir sunucu kaynağı ve hedefi aynı anda bilmez. Android, iOS ve masaüstü istemcilerinin kodu, Fransız Quarkslab şirketinin yayımladığı bir denetime konu oldu; denetim Android’de yedi, iOS’ta yedi ve masaüstü istemcisinde iki sorun saptadı, çoğu o günden beri giderildi. Uygulama tüm platformlarda mevcut ve sıradan bir mesajlaşma uygulaması gibi görünüyor ki bu kategoride bu az şey değil.

Neyi korumuyor. Session, merkeziyetsiz mimarisiyle yaşadığı kararlılık sorunlarını gerekçe göstererek 2021’de ileriye dönük gizliliği kaldırdı. Somut olarak, uzun ömürlü bir anahtarın ele geçirilmesi geçmiş mesajları açığa çıkarır. Vakıf Aralık 2025’te ileriye dönük gizliliği geri getiren ve ML-KEM tabanlı kuantum sonrası anahtar değişimi ekleyen bir V2 protokolü duyurdu, ama bu protokol yazının yazıldığı sırada tamamlanmamıştı. Ve her şeyden önce burada kalıcılık ölçütü ağır basıyor: proje 2026’da kapanmaya birkaç hafta kala kurtuldu ve şimdi bir milyondan fazla kullanıcı için üç geliştiriciyle çalışıyor.

Kimin için yapılmış. Kullanım alışkanlıklarını değiştirmeden telefon numarasından vazgeçmek isteyen ve ileriye dönük gizliliğin şu anki yokluğunu kabul edenler için.

Threema

Threema uygulamasını satan bir İsviçre şirketidir. Bu karşılaştırmadaki tek ücretli oyuncudur ve modelini okunabilir kılan da tam olarak budur.

Gerçekten neyi koruyor. Kimliği ve yargı yetkisini. Kurulumda uygulama rastgele bir Threema ID üretir. Telefon numarası ve e-posta adresi isteğe bağlıdır ve yalnızca kişilerinizin sizi bulmasına yarar; bunu etkinleştirmeye hiçbir şey zorlamaz. Sunucular şirkete aittir ve Zürih’te ISO 27001 belgeli bir veri merkezinde, İsviçre hukuku altında, CLOUD Act dışında bulunur. Kaynak kod yayımlanmıştır ve yeniden üretilebilir derlemeler Android’de mevcuttur; bu da dağıtılan uygulamanın koda karşılık geldiğini doğrulamayı sağlar. Threema mobil uygulamalarını Ekim 2020’de Cure53’e, ardından masaüstü uygulamasını Ocak 2024’te denetlettirdi. 2022 sonunda benimsenen Ibex protokolü, 2023’te Alman araştırmacıların yayımladığı biçimsel bir güvenlik kanıtına konu oldu.

Neyi korumuyor. Tek seferlik alımda yaklaşık altı avroluk fiyat, yakınlarınızın benimsemesi önünde gerçek bir engeldir ve başlıca pratik frendir. 2022 Zürih ETH olayı ayrıca ciddi bir oyuncunun bile yıllarca savunmasız bir protokole sahip olabileceğini hatırlatıyor: yedi saldırı bulundu, protokol baştan yapıldı. Son olarak Threema tanımlayıcısı sunucu tarafında kalıcı bir tanımlayıcı olarak kalır ki bu, hiçbir tanımlayıcı olmayan model değildir.

Kimin için yapılmış. Avrupalı bir şirket, bir hukuk bürosu, bir kamu kurumu ya da bağışlara bağlı kalmaktansa bir ürüne para ödemeyi tercih eden ve net bir İsviçre yargı yetkisi isteyen bir birey için.

Wire

Wire niteliğini epeyce değiştirdi. Kitlesel bir mesajlaşma uygulaması olarak doğdu, sonra kuruluşlara, şirketlere ve kamu sektörüne yöneldi.

Gerçekten neyi koruyor. İçeriği, Proteus protokolüyle ve ardından Wire’ın ilk ciddi uygulayıcılarından biri olduğu IETF grup mesajlaşma standardı MLS ile. Kayıt e-posta ile yapılır, bu da telefon numarasından kaçınmayı sağlar. Denetimler kamuya açıktır: Kudelski Security ve X41 D-Sec 2017’de protokol uygulamasının bir incelemesini, ardından 2018’de iOS, Android ve web istemcilerinin uygulama denetimlerini yayımladı.

Neyi korumuyor. Wire’ın sunucu tarafında açık halde sakladığı meta verileri; geliştiricinin hiç gizlemediği ve düzenli olarak eleştirilen bir nokta. Hukuki yapı da karmaşık: operasyonlar İsviçre’deki Wire Swiss GmbH’ye bağlı, grubun holdingi Berlin’de kurulu ve geliştirici sermayenin %90’ından fazlasının Avrupalı kurumsal yatırımcılarda olduğunu söylüyor, ama 2019’da Delaware’de bir Amerikan tüzel kişiliği kuruldu. Wire’ı hassas bir kullanım için seçmeden önce bu karmaşıklığı anlamakta yarar var.

Kimin için yapılmış. Anonimlik arayan bir bireyden çok, ticari destek ve merkezi yönetimle mevzuata uygun şifreli iş birliğine ihtiyaç duyan bir kuruluş için.

Element ve Matrix protokolü

Element, açık ve federe bir protokol olan Matrix‘in başlıca istemcisidir. Model bu karşılaştırmadaki tüm diğerlerinden farklıdır: herkes kendi sunucusunu barındırabilir ve sunucular tıpkı e-posta sunucuları gibi birbirleriyle haberleşir.

Gerçekten neyi koruyor. Özerkliği. Bir kuruluş kendi sunucusunu barındırabilir, altyapısını denetleyebilir, hiçbir sağlayıcıya bağımlı olmaz ve ağın geri kalanından erişilebilir kalır. Bu karşılaştırmada bu bileşimi sunan tek modeldir ve birçok Avrupa idaresinin onu seçmesinin nedeni budur. Mesajların uçtan uca şifrelenmesi devrededir.

Neyi korumuyor. Meta verileri, ve bu yapısaldır. Sunucunuzun yöneticisi kimin kiminle, ne zaman ve hangi odalarda konuştuğunu görür. Oda meta verileri, ad, konu ve diğer durum olayları, sunucuda açık halde saklanır. Element bu durum olaylarının şifrelenmesi üzerinde çalışıyor, ama işlev Eylül 2025’te hâlâ deneyseldi ve laboratuvar seçeneklerine ayrılmıştı. Federasyon sorunu ağırlaştırır: bir odanın geçmişi katılımcı sunuculara kopyalanır ve onlar bunu saklar. Geliştirici ayrıca bu sızıntıları sınırlamak için federasyonu süzmeye yönelik bir geçit satıyor; bu, işe yarar bir itiraf.

Kimin için yapılmış. Altyapısı üzerinde egemenlik isteyen ve düşmanı kendi sistem yöneticisi olmayan bir kuruluş için. İlişkilerini gizlemek isteyen bir birey için değil.

Hiçbir tanımlayıcı istemeyen uygulamalar

Bu en yeni kategori. İlke bir tanımlayıcıyı gizlemek değil, hiç oluşturmamaktır.

SimpleX Chat

SimpleX Chat, rastgele olanlar dahil hiçbir kullanıcı tanımlayıcısı olmayan ilk mesajlaşma ağıdır. Bu gerçek bir kavramsal ilerlemedir ve öyle sunulmalıdır.

Gerçekten neyi koruyor. Sosyal grafiği, tasarımı gereği. Hesap yok, dizin yok, kalıcı adres yok. Her konuşma farklı aktarıcılarda barındırılan tek yönlü kuyruklara dayanır: gönderdiğiniz şey bir aktarıcıdaki kuyruktan geçer, yanıtlar başka bir aktarıcıdaki başka bir kuyruktan döner, öyle ki hiçbir aktarıcı iki ucu birden görmez. Aktarıcılar kördür, ne göndereni ne alıcıyı bilirler. Proje, Trail of Bits tarafından gerçekleştirilen iki bağımsız denetim yayımladı: Kasım 2022’de uygulamanın güvenlik değerlendirmesi, ardından Ekim 2024’te protokollerin kriptografik tasarım incelemesi; ikincisi kuyruk anlaşma protokolünün biçimsel doğrulamasını içeriyordu ve hepsi zor sömürülür üç orta ve bir düşük önem dereceli sorunla sonuçlandı. Protokol, çift mandala kuantum sonrası bir katman ekliyor. Aktarıcılar kendi kendine barındırılabilir, Android, iOS ve masaüstünde istemciler var ve geliştirici SimpleX Chat Ltd, Ekim 2021’den beri kayıtlı bir Britanya şirketidir.

Neyi korumuyor. İki şey söylenmeyi hak ediyor. Birincisi varsayılan barındırma: projenin işlettiği aktarıcılar tek bir sağlayıcıda, Amerikan Akamai’nin iştiraki Linode’da, onun Londra, Frankfurt ve Stockholm’deki Avrupa veri merkezlerinde çalışıyor. Tor’u etkinleştirmeyen ve aktarıcı değiştirmeyen bir kullanıcı, dolayısıyla Amerikan bir şirketin işlettiği bir altyapıya bağımlıdır ki bu, CLOUD Act’i yeniden tabloya sokar. Konu projenin deposunda kamuya açık biçimde belgelenmiştir. İkincisi, kullanım deneyimi zorlayıcı olmayı sürdürüyor: bağlantı kurmak bir bağlantı ya da QR kodu değişimi gerektiriyor, iOS’ta bildirim güvenilirliği uzun süre zayıf noktaydı ve büyük grupların ölçeklenmesi hâlâ bir şantiye. Finansman ise artık Ağustos 2026’da başlatılan sermaye tabanlı bir kitle fonlamasına dayanıyor.

Kimin için yapılmış. Tanımlayıcısız modeli bugün mevcut en iyi dış doğrulama düzeyiyle isteyen ve daha teknik bir kullanımı kabul edenler için.

Arpokrat Messenger

Arpokrat Messenger bizim ürünümüz ve bu künye diğerleriyle aynı ızgarayı izliyor. İşe bunu dolambaçsız söyleyerek başlamak gerek: Arpokrat Messenger SimpleX’in bir çatallanmasıdır. Yukarıda anlatılan mimari, tanımlayıcı yokluğu, tek yönlü kuyruklar, kör aktarıcılar, bizim değil, SimpleX’indir. Onu kriptografik olarak iyileştirdiğimizi iddia etmiyoruz, hakkını veriyoruz; tıpkı protokol sayfamızın açıkça yaptığı gibi. ArpokratOS için GrapheneOS karşısında da aynı tutumu koruyoruz.

Gerçekten neyi koruyor. SimpleX’in koruduklarını, artı bir dizi işletme ve ürün tercihini. İşlettiğimiz aktarıcılar hukukları nedeniyle seçilmiş beş yargı bölgesine dağıtılmıştır: İsviçre, İzlanda, Panama, Malezya ve Mauritius, hiçbiri Amerikan değil; altyapı hiçbir Amerikan hiperölçekleyicisine dayanmıyor, ne Amazon Web Services, ne Google Cloud, ne Microsoft Azure, ne de Cloudflare. Bekleyen mesajlar yalnızca çalışma belleğinde yaşar, takas alanı kapalıdır, bir elektrik kesintisi her şeyi siler ve yayın bildirimleri ağdan yalıtılmış bir Qubes OS makinesinde imzalanır. Tor tek bir düğmeyle etkinleşir, üçüncü taraf uygulama gerekmez, ve varsayılan olarak kapalı kalır. Gizli mod her kişiye ayrı bir profil atar, görünen ad ve aktarıcı dahil, bu da mesleki hayatla özel hayatın ilişkilendirilmesini engeller. Yazılım açık olduğundan aktarıcıları herkes kendi barındırabilir. İstemciler AGPLv3 lisansıyla yayımlanır. Saklamasız cüzdan Bitcoin, Ethereum, Monero, Polygon, Solana ve Tron ile çalışır, anahtarlar cihazdan hiç çıkmaz; Zcash desteği duyuruldu ama bugüne dek mevcut değil. Yerleşik Swap, bağımsız sağlayıcıların tekliflerini karşılaştıran ve her birini istenen kimlik doğrulama düzeyine göre A’dan D’ye puanlayan bir toplayıcıdır: KYC olmaması için A, zorunlu KYC için D; para doğrudan kullanıcı ile seçilen sağlayıcı arasında geçer. Bildiğimiz kadarıyla başka hiçbir mesajlaşma uygulaması bu puanlamayı sunmuyor. Geliştirici nihayet tanımlanabilir bir ticari tüzel kişiliktir: İsviçre’nin Zug kentinde yerleşik Arpokrat GmbH, kamuya açık posta adresi, altmış günlük geçerlilik penceresiyle yenilenen PGP imzalı bir warrant canary ve 24 saat içinde destek yanıtı taahhüdü ile. Uygulama ücretsizdir, reklamsızdır.

Neyi korumuyor. Ve burada kesin olmak gerekiyor, çünkü geri kalanda inandırıcı olmanın tek yolu bu.

Arpokrat Messenger’ın bugüne dek kendi adına yayımlanmış hiçbir bağımsız kriptografik denetimi yok. SimpleX’in iki tane var. Dolayısıyla temeldeki protokol denetlenmiştir, bizim uygulamamız ve işletmemiz denetlenmemiştir, ve bu aynı şey değildir; yazının yukarısında açıkladığımız gibi.

Arpokrat’ın adli taleplere direncine dair hiçbir kamuya açık geçmişi yok. Signal’in var, doğrulanabilir ve yıllara yayılmış. Warrant canary ciddi bir taahhüttür, adli bir emsal değildir.

Uygulama bugün yalnızca Android‘de var. iOS, Linux, macOS ve Windows sürümleri duyuruldu, mevcut değil. iPhone kullanıcılarıyla yazışanlar için bu, anında bir engeldir ve etrafından dolaşmanın yolu yoktur.

Ağ nihayet genç ve küçük. Kullanıcı sayısı güvenliği yapmaz, ama muhataplarınızın erişilebilirliğini yapar ve bu, yukarıda bizzat savunduğumuz meşru bir ölçüttür.

Kimin için yapılmış. Günlük kullanımdan vazgeçmeden tanımlayıcısız bir mimari isteyen ve finansmanı kesilebilecek bir topluluk projesi yerine tanımlanabilir bir ticari tüzel kişiliği tercih edenler için. Savunduğumuz konum «en mahrem olan» değil; daha dar ve daha dürüst: tanımlayıcısız mimariler arasında en kullanılabilir olan, eşler arası mimarilerin sunmadığı eşzamansız bir modelle, bir ekosistem ve ticari destekle.

Briar

Briar bu listedeki muhtemelen en ödünsüz proje. Hiç sunucu yok: mesajlar Tor üzerinden doğrudan bir cihazdan diğerine geçiyor, bağlantı yoksa yakındaki cihazlar arasında Wi-Fi ya da Bluetooth ile.

Gerçekten neyi koruyor. Altyapıya bağlı olan her şeyi, çünkü altyapı yok. El konulacak bir şey yok, talep edilecek bir şey yok, zorlanacak bir işletmeci yok. Çevrim dışı örgü modu internet kesintisinde gerçekten çalışıyor; bu da Briar’ı elektrik kesintileri ve gösteriler için referans araç yapıyor. Kod Mart 2017’de Cure53 tarafından denetlendi, on iki sorun saptandı ve giderildi. Proje özgürdür ve tasarımı otorite kabul edilir. Açık bırakılmış yedek bir Android cihaza kurulan ayrı bir uygulama olan Briar Mailbox, ana telefon çevrim dışıyken mesaj almayı sağlıyor; bu da eşler arası modelin başlıca sınırına kısmen yanıt veriyor.

Neyi korumuyor. Kullanım konforunu, ve artık projenin gidişatını. Pil tüketimi yüksek, Android’de arka planda çalışma düzensiz, hesap yedeği ve ekler eksik, kişi eklemek zahmetli. iOS sürümü yok. Masaüstü sürümü beta aşamasında; sonuncusu 20 Şubat 2026’da yayımlanan 0.6.5-beta. Ve her şeyden önce 9 Temmuz 2026 duyurusu projeyi bakım moduna alıyor: güvenlik ve hata düzeltmeleri, işlev geliştirmesi yok. Proje, tümüyle kapanma söylentilerinin geçersiz olduğunu belirtiyor, ama iddia açıkça askıya alınmış durumda.

Kimin için yapılmış. İnternet kesintisi bölgesi, bir gösteri, bir sansür ortamı ya da tümüyle altyapısız olmak karşılığında kısıtı kabul eden küçük bir grup için.

Cwtch

Cwtch, Vancouver merkezli Kanadalı kâr amacı gütmeyen bir dernek olan Open Privacy Research Society tarafından geliştiriliyor. Proje açıkça meta verilere dayanıklı grup mesajlaşmasını hedefliyor.

Gerçekten neyi koruyor. Meta verileri, grup içinde de, ki zor olan sorun budur. Bağlantılar Tor v3 onion hizmetlerinden geçiyor ve grup konuşmalarını aktaran sunucular ilkesel olarak güvenilmez kabul edilecek biçimde tasarlanmış: hiçbir şey öğrenmemeleri gerekiyor. Eylül 2023’te yayımlanan 1.13 sürümü uzun alfa ve beta evresinin sonunu işaretledi ve proje 1.15’e kadar sürdü.

Neyi korumuyor. Kalıcılığı, bir kez daha. Kuruluş esas olarak bireysel bağışlarla yaşıyor ve bunu birçok kez kamuoyuna yineledi. iOS sürümü yok. Geliştirme temposu küçük bir ekibin temposu ve kullanıcı ekosistemi çok dar. SimpleX ya da Briar denetimlerine denk yayımlanmış bir dış denetim bulamadık.

Kimin için yapılmış. Meta verilere dayanıklı toplu konuşmalara ihtiyaç duyan ve üyeleri teknik olarak rahat olan bir eylemci ya da araştırma grubu için.

2026 yakınsaması: mesajlaşma uygulaması cüzdana dönüşüyor

İşte bu yılın en ilginç gözlemi ve bildiğimiz kadarıyla kimse bunu henüz böyle formüle etmedi.

2026 yılında, birbirleriyle bağlantısı olmayan üç ekibin geliştirdiği üç farklı protokolün üç çatallanması aynı anda aynı sezgiyi yaşadı: şifreli bir mesajlaşma uygulamasına saklamasız bir cüzdan eklemek. Radar, Lightning üzerinde Bitcoin ile Signal’in bir çatallanması. Zerion, Bitcoin ve Monero ile Briar’dan türemiş bir uygulama. Arpokrat Messenger, çok zincirli bir cüzdan ve bir takas toplayıcısıyla SimpleX’in bir çatallanması.

Üç zıt teknik temel, aynı sonuç. Bu rastlantı değil, ayrı ayrı ele alınan iki ihtiyacın birleştiğinin işareti. Para göndermek ve mesaj göndermek aynı sorunu ortaya koyar: iki ucu birden bilen bir aracı. Mesajlar için kurulan yanıt, içeriğin şifrelenmesi ve meta verilerin en aza indirilmesi, tam da kripto para kullanıcılarının aradığı yanıttır. Ve mesajlaşma uygulaması, alıcınızı zaten bildiğiniz tek yerdir.

Yine de üç yaklaşım çok farklı ve karşılaştırma öğretici.

Radar

Radar 7 Temmuz 2026’da Cake Wallet ekibi tarafından, kurucusu Vikrant Sharma’nın yönettiği ayrı bir tüzel kişilik olan Radar Chat, Inc. altında piyasaya sürüldü. Signal’in bir çatallanması; ücretsiz, açık kaynak, iOS ve Android’de mevcut. Cüzdan saklamasız, on iki kelimelik bir kurtarma tümcesi ve şifreli yedeklerle. Ödeme katmanı bir açıklamayı hak ediyor, çünkü kaynaklar aynı şeyi söylemiyor. Radar’ın sitesi Lightning ağına dayanan bir Bitcoin cüzdanı tarif ediyor, her hesaba bir Lightning adresi atıyor ve başka bir şeyden söz etmiyor. Buna karşılık Temmuz 2026’da çıkan birkaç yazı, alttaki mekanizmanın Breez SDK aracılığıyla entegre edilen 2. katman Bitcoin ağı Spark’a dayandığını, iki Radar kullanıcısı arasındaki bir transferin o zaman Spark’tan Spark’a saniyenin altında sonuçlandığını belirtiyor. İki anlatı birbirini dışlamıyor, çünkü Breez’in belgeleri Spark ile Lightning’i birlikte destekleyen, Lightning adresleri ve bolt11 faturaları dahil bir SDK tarif ediyor. Geliştiricinin kendisinden kamuya açık bir doğrulama olmadığından, kendi sitesinde doğrulanabilir olana bağlı kalıyoruz: Lightning ağıyla erişilebilen saklamasız Bitcoin ödemeleri.

En dikkat çekici tercih başka yerde. Radar ayrı bir ağ değil: ona mevcut Signal hesabınızla bağlanıyorsunuz ve kişiler, konuşmalar, gruplar ve kullanıcı adı sizinle geliyor. Bu Radar’ın rekabet üstünlüğü ve aynı zamanda başlıca açık sorusu.

Bu birlikte çalışabilirlik, Radar’ın Signal modelini bütünüyle devraldığı anlamına geliyor: telefon numarası tanımlayıcı olmayı sürdürüyor, Signal PIN kodu hesap kurtarmayı ve dolayısıyla varsayılan olarak Radar’ın Signal hesabına şifrelediği cüzdan anahtarlarına erişimi yönetiyor, ve kullanılan altyapı Amerikan yargı yetkisi altındaki Signal Foundation’ın altyapısı.

Ardından bu kurgunun kalıcılığı sorusunu, bir olgu gibi ileri sürmeden sormak gerekiyor. Signal tarihsel olarak üçüncü taraf istemcilerin sunucularını kullanmasını reddetti: 2016’da LibreSignal projesi, Moxie Marlinspike’ın Signal’in ne adının ne de sunucularının bir çatallanma tarafından kullanılmasını istemediğini bildirmesinin ardından terk edildi; ayrıca gelecekteki her türlü federasyonu dışladı. Vakıf, bir üçüncü taraf istemciyi imzasıyla engelleme teknik yetisini koruyor. Bugüne dek bunu yapmadı ve Molly ağı yıllardır olaysız kullanıyor; Radar ekibi bu emsale açıkça dayanıyor. Radar ayrıca Signal Foundation’a aylık bir katkı ödüyor ve büyüdükçe bunu artırmayı öngörüyor. Dolayısıyla hiçbir şey Radar’ın engelleneceğine işaret etmiyor. Ama ağa erişimi bir üçüncü tarafın süregelen hoşgörüsüne bağlı olan bir ürün, ne SimpleX’in ne de Briar’ın taşıdığı yapısal bir risk taşır ve kullanıcı oraya para koymadan önce bunu bilmeyi hak eder.

Zerion

Zerion, Bramble taşıma protokolü üzerine kurulmuş, GPL v3 altında yayımlanmış, Briar’dan türemiş bir uygulama; proje Briar projesiyle ne bağlantılı ne de onun onayına sahip olduğunu açıkça belirtiyor. Yalnızca Android’de var.

Hakkını vermek gerek, çünkü birkaç şeyi dikkat çekici biçimde iyi yapıyor. Tüm trafik istisnasız Tor’dan geçiyor: cihazınız üç sıçramalı bir devre kuruyor, muhatabınızınki bir başkasını kuruyor ve ikisi bir buluşma aktarıcısında karşılaşıyor, yani toplam altı sıçrama ve hiçbir IP adresi ifşası yok. Her mesaj ML-KEM-768 tabanlı kuantum sonrası bir anahtar değişimiyle korunuyor. 3.0 sürümü, bireysel ve grup mesajlarını komşu telefonlar üzerinden aktaran, her aktarıcının yalnızca şifreli malzeme taşıdığı Bluetooth tabanlı bir çevrim dışı örgü ile isteğe bağlı bir I2P taşımasını ekledi. Sertleştirilmiş bir mod, ele geçirilmiş bir cihazda, hata ayıklayıcı altında ya da kanca çerçeveleriyle başlamayı reddediyor. 3.0.4 sürümünden beri şifreli bir kasa, anahtarları cihazda üretilen ve kendi parolasıyla korunan saklamasız Bitcoin ve Monero cüzdanları barındırabiliyor; dondurulmuş kaynaklardan yeniden üretilebilir derlemeler ve yayımlanmış parmak izleriyle.

Sınır yapısaldır ve proje bunu gizlemiyor: belgeleri, bir mesajın ancak iki cihaz da çevrim içi ve Tor’a bağlıyken teslim edildiğini ve bu arada hiçbir sunucunun onu uzun çevrim dışı dönemler boyunca saklamadığını açıkça yazıyor. Başka bir deyişle Briar Mailbox’ın bir dengi yok. Belirleyici teknik nokta budur ve eşler arası modeli, kör bir aktarıcının şifreli mesajı alıcı gelip alana dek sakladığı store and forward modelinden ayıran da budur. Aynı anda bağlı olmayan iki kişi arasındaki sıradan bir yazışma için fark kuramsal değildir, kullanımı belirler.

İkinci bir soru açık kalıyor ve bunu soru olarak formüle ediyoruz, çünkü kamuya açık hiçbir ölçüm bulamadık: altı Tor sıçramalı bir mimaride eşler arası sesli ve görüntülü aramaların gerçek niteliği nedir? Duyurulan teknik tercihler ciddi, Opus, H.264, AES-256-GCM şifreleme ve doldurulmuş çerçeveler, ve aramalar varsayılan olarak kapalı. Ama Tor düşük gecikme için tasarlanmadı ve yayımlanmış ölçümler yokluğunda ne geliştirici ne de biz deneyimin klasik bir aramayla karşılaştırılabilir olduğunu ileri sürebiliriz.

Son olarak Zerion için yayımlanmış bağımsız bir denetim bulamadık.

Karşılaştırıldığında üç yaklaşım üç net ödünleşim çiziyor. Radar, bir üçüncü tarafa bağımlılık ve telefon numarasının korunması pahasına anında yaygınlaşmayı seçiyor. Zerion, teslim edilebilirlik ve iPhone’da bulunabilirlik pahasına azami ağ direncini seçiyor. Arpokrat, henüz var olmayan bir geçmiş ve denetim pahasına eşzamansız modeli ve yargısal dağılımı seçiyor. Bu üç ödünleşimden hiçbiri saçma değil ve hiçbiri bedava değil.

Özet tablo

Uygulama	İstenen tanımlayıcı	Yargı yetkisi ve barındırma	Sunucu tarafı meta veriler	Yayımlanmış dış denetim	Çevrim dışı teslim	Kod
WhatsApp	Telefon numarası	Amerika Birleşik Devletleri (Meta), CLOUD Act	Geniş, kişi grafiği mahkeme kararıyla teslim edilebilir	Hizmet için hayır	Evet	Kapalı istemci
Telegram	Telefon numarası	Britanya Virjin Adaları, yönetim Dubai’de	Geniş, bulut sohbetleri geliştirici tarafından okunabilir	Hayır	Evet	Açık istemci, kapalı sunucu
Signal	Telefon numarası	Amerika Birleşik Devletleri, CLOUD Act	İki zaman damgası, kamuya açık adli geçmiş	Protokol biçimsel olarak incelendi	Evet	Açık
Molly	Numara (Signal hesabı)	Signal sunucuları, Amerika Birleşik Devletleri	Signal ile aynı	Signal’den devralındı	Evet	Açık
Session	Yok, rastgele tanımlayıcı	İsviçre, merkeziyetsiz düğüm ağı	Asgari, bugüne dek ileriye dönük gizlilik yok	Evet, Quarkslab	Evet	Açık
Threema	Yok, Threema ID	İsviçre, sunucular Zürih’te	Asgari	Evet, Cure53 ve Zürih ETH	Evet	Açık, ücretli
Wire	E-posta ya da numara	İsviçre ve Almanya, Delaware’de Amerikan tüzel kişilik	Açık halde saklanıyor	Evet, Kudelski ve X41	Evet	Açık
Element / Matrix	Sunucuya göre, çoğunlukla e-posta	Barındırıcınızınki	Sunucuya görünür, oda durumu açık halde	Protokol üzerine denetimler yayımlandı	Evet	Açık
SimpleX Chat	Yok, tanımlayıcısız	Birleşik Krallık, varsayılan aktarıcılar Linode ve Akamai’de	Tek bir aktarıcıyla ilişkilendirme olanaksız	Evet, iki Trail of Bits denetimi	Evet	Açık
Arpokrat Messenger	Yok, tanımlayıcısız	İsviçre (Zug), beş Amerikan olmayan yargı bölgesinde aktarıcılar	Kör aktarıcılar, yalnızca çalışma belleği	Bugüne dek hayır	Evet	Açık, AGPLv3
Briar	Yok, tanımlayıcısız	Yok, sunucu yok	Yok, el konulacak bir şey yok	Evet, 2017’de Cure53	Briar Mailbox aracılığıyla	Açık
Cwtch	Yok, tanımlayıcısız	Dernek için Kanada, sunucular tasarımı gereği güvenilmez	Grup meta verilerine dayanıklılık	Saptanmadı	Kısmi	Açık
Radar	Numara (Signal hesabı)	Signal sunucuları, Amerika Birleşik Devletleri	Signal ile aynı	Saptanmadı	Evet	Açık
Zerion	Yok, tanımlayıcısız	Yok, sunucu yok	Yok, her şey Tor’dan geçiyor	Saptanmadı	Hayır, iki cihaz da çevrim içi olmalı	Açık, GPL v3

Hangi profil için hangi uygulama

Kazanan yok, durumlar var.

Aile ve yakınlar için. Signal, tereddütsüz. Ciddi bir korumayı, muhataplarınızın onu kurma ihtimalinin gerçekliğiyle birleştiren tek seçenek. Telefon numarası sizi rahatsız ediyorsa, bildirmemek için bir kullanıcı adı etkinleştirin. Yakınlarınız kesinlikle yerinden kıpırdamıyorsa, hiç değilse WhatsApp’ta uçtan uca şifreli yedekleri açın: aynı koruma değil, ama gerçek ve ücretsiz bir ilerleme.

Kaynakları olan bir gazeteci için. Sorun içerik değil, bağdır. Tanımlayıcısız bir mimari burada tek tutarlı yanıttır: SimpleX Chat ya da Arpokrat Messenger, Tor etkin ve her kaynak için ayrı profil ile. Kaynağınız zaten Signal kullanıyor ve başka bir şey kurmayı reddediyorsa, hiç yoktan Signal kullanın; sizi tanımlamayan ayrı bir numarayla ve el koyma durumunda cihazın kendisini korumak için Android’de Molly ile.

Bir yönetici ya da hukuk danışmanı için. Belirleyici ölçüt anonimlik değil yargı yetkisidir. Bir büro ya da küçük bir yapı için Threema, net faturalama ve İsviçre sunucularıyla. Teknik ekibi olan ve altyapısı üzerinde egemenlik isteyen bir kuruluş için kendi barındırdığı Element; sunucu yöneticisinin meta verileri gördüğü akılda tutularak. Ticari bir iş birliği ürünü isteyen bir kuruluş için Wire, ortaklık yapısı incelendikten sonra.

İnternet kesintisi ya da sansür bölgesi için. Briar, çünkü Bluetooth ve Wi-Fi örgü modu hiçbir altyapı olmadan çalışıyor, ve aynı nedenlerle daha yeni bir çevrim dışı örgüye sahip Zerion. Düşman ağın kendisi olduğunda gerçek olan tek iki yanıt bunlar. Yazışmanız uzun çevrim dışı dönemleri atlatmak zorundaysa Briar Mailbox’ı öngörün.

Günlük olarak kriptoyla uğraşanlar için. 2026 yakınsamasının bir şey değiştirdiği tek profil bu. Kullanımınız Bitcoin ise ve çevreniz zaten Signal’deyse, Signal altyapısına bağımlılığı ve telefon numarasını kabul ederek Radar. Azami ağ direnciyle Bitcoin ve Monero istiyorsanız ve muhataplarınız Android’de ve sık çevrim içiyse Zerion. Birden çok zincir, eşzamansız erişilebilirlik ve takas sağlayıcılarını KYC istekleri açısından karşılaştırma olanağı istiyorsanız Arpokrat Messenger.

Kullanımdan ödün vermeden azamiyi isteyenler için. Böyle bir kategori yok ve bu karşılaştırmanın dürüst sonucu da bu. Kuramsal azami Briar ya da Zerion’dur ve bunun bedeli teslim edilebilirlik, pil ve iPhone’un yokluğudur. Muhataplarınız Android’deyse bugün en elverişli ödünleşim, Tor etkinleştirilmiş halde store and forward modunda tanımlayıcısız bir mimaridir: SimpleX Chat ya da Arpokrat Messenger. iPhone kullanıcılarını da kapsamanız gerekiyorsa, bu ailede iki platformu birden kapsayan tek uygulama bugün SimpleX Chat’tir. Android’de mevcut olan Arpokrat Messenger, iOS ve masaüstü platformlar için geliştirilme aşamasında, duyurulmuş bir çıkış tarihi olmadan.

Arpokrat olarak neyi seçtik ve neden

Bu bölüm bir savunma metni değil, ödünleşimlerin bir açıklaması; yapmadıklarımız da dahil.

Bir protokol yazmak yerine SimpleX’ten yola çıktık. Neden basit: güvenli bir mesajlaşma protokolünün değeri ancak incelenmiş olduğunda ortaya çıkar ve yeni bir protokolün tanımı gereği arkasında hiçbir inceleme yoktur. SimpleX’in kamuya açık bir şartnamesi, kamuya açık kodu ve iki Trail of Bits denetimi var. Kendi kriptografimizi icat etmek bize daha iyi bir pazarlama sayfası ve daha kötü bir mesajlaşma uygulaması kazandırırdı.

Eşler arası yerine store and forward modelini seçtik. Bu, kuramsal azamiye karşı açık bir ödünleşimdir. Şifreli bir mesajı alınana dek saklayan kör bir aktarıcı, bir altyapı parçası daha, dolayısıyla bir yüzey daha demektir. Karşılığında bir mesaj siz yazdığınızda yola çıkar ve muhatabınız bağlandığında ulaşır ki bu, normal bir yazışmanın koşuludur. Bu yazının başında savunduğumuz kullanışlılık ölçütü bir söz süsü değil: onu kendimize uyguladık.

Aktarıcıları Amerika Birleşik Devletleri dışında beş yargı bölgesine dağıttık ve Amerikan hiperölçekleyicileri dışladık; poz olsun diye değil, CLOUD Act Amerikan bir sağlayıcıyı denetimindeki veriler konusunda zorlayarak işlediği için. Diske hiçbir şey yazmayan kör bir aktarıcının teslim edecek pek bir şeyi yoktur; hiçbir Amerikan emrinin ulaşamadığı kör bir aktarıcının daha da azı vardır. İki önlem birbirine eklenir, hiçbiri diğerinin yerini almaz.

Bir cüzdan ve bir takas toplayıcı ekledik, çünkü bir aracının muhataplarını bilmesini istemeyen aynı kişi genellikle bir aracının işlemlerini bilmesini de istemez. Takas sağlayıcılarının kimlik doğrulama isteğine göre A’dan D’ye puanlanması aynı mantıktan geliyor: kullanıcının yerine hangi mahremiyet düzeyini satın almak istediğine biz karar vermiyoruz, ona tartıp karar vermesi için bilgiyi veriyoruz.

Henüz yapmadıklarımız nihayet aynı bölümde söylenmeyi hak ediyor. Kendi adımıza yayımlanmış bağımsız bir denetimimiz yok. Yayımlanmış adli talep geçmişimiz yok, yalnızca bir warrant canary var. Henüz iOS’ta değiliz. Bu üç eksik gerçektir, yukarıdaki künyemizde belgelenmiştir ve hiçbiri bir basın bülteniyle kapanmaz.

Sonuç

Doğru soru «en iyi mesajlaşma uygulaması hangisi» değil. Yanıtı yok, çünkü yanlış kurulmuş. Doğru soru şu: kime karşı korunuyorsunuz?

İlgi alanlarınızın profilini çıkarmak isteyen bir reklamcıya karşı bu karşılaştırmadaki hemen hemen bütün uygulamalar iş görür. Telefonunuza erişimi olan şiddet uygulayan bir eşe karşı mesele yerel kilit ve bellek silmedir ve Molly, Threema’dan daha iyi yanıt verir. Ülkenizdeki bir adli talebe karşı mesele yargı yetkisi ve hizmetin neyi elinde tuttuğudur. Biriyle konuştuğunuzu saptamaya çalışan bir düşmana karşı tek yanıt, bu bilgiyi hiç üretmeyen bir mimaridir. Ve ağı kesebilen bir düşmana karşı tek yanıt, ona bağımlı olmamaktır.

Hiçbir uygulama bu tehditlerin hepsine birden yanıt vermez ve verdiğini ileri sürenler ilk olarak sizin güvensizliğinizi hak eder. 2026’nın gösterdiği şey, şifrelemenin artık kolay kısım olduğudur. Zor kalan meta veriler, yargı yetkisi ve bir projenin iki yıl sonra da var olabilme yetisidir. Session yok olmaya birkaç hafta kaldı, Briar hedeflerini kıstı ve bu iki olay sektörün gerçek durumu hakkında herhangi bir kriptografik ilkel karşılaştırmasından daha çok şey söylüyor.

O halde bir sıralamaya göre değil, düşmanınıza göre seçin. Ve aklınızda tutun: dünyanın en iyi aracı, muhatabınız onu kurmak istemediği için konuşma başka yerde bitiyorsa hiçbir işe yaramaz.

Kaynaklar

Gizliliğin sonu mu? Arka kapılar, Çevrimiçi Güvenlik Yasası ve egemen ekosistemlerin yanıtı

Wed, 10 Jun 2026 00:00:00 +0000

Londra, dijital gizliliğin geleceği için küresel bir savaşın merkez üssü haline geldi. 2023 Çevrimiçi Güvenlik Yasası’nın (Online Safety Act - OSA) kabul edilmesi ve eleştirenler tarafından “Casusların Şartı” olarak adlandırılan Soruşturma Yetkileri Yasası’nı (Investigatory Powers Act - IPA) revize etmeye yönelik son tekliflerle birlikte İngiliz hükümeti, özel iletişimlerin tam kalbine gözetim yükümlülükleri getirme hakkını iddia ediyor. Kırılma noktası, düzenleyici kurum OFCOM’a, platformların uçtan uca şifrelenmiş iletişimler dahil olmak üzere çocuklara yönelik cinsel istismar (CSEA) materyallerini veya terörizmi tespit etmek için “akredite edilmiş teknoloji” dağıtmalarını talep etme yetkisinin verilmesidir.

Büyük dijital platformlar için Westminster’in mesajı açıktır: Ya altyapılarına devlet erişimini kolaylaştırırlar ya da küresel gelirlerinin %10’una varan para cezalarıyla karşı karşıya kalırlar. Tepki anında geldi: Signal ve WhatsApp gibi hizmetler, yalnızca tek bir yargı yetkisini tatmin etmek için kullanıcılarının güvenliğinden taviz vermeyi reddederek İngiltere pazarından çekilmekle açıkça tehdit ettiler. Teknik argümana itiraz etmek zordur: Yalnızca meşru aktörlere ayrılmış bir ana anahtar (master key) yoktur. Kolluk kuvvetlerine açılan bir kapı, tasarımı gereği, siber suçlulara ve yabancı istihbarat servislerine açılan bir kapıdır.

Büyük platformların iş modeli: Zero-Knowledge önünde yapısal bir engel

Büyük platformların Zero-Knowledge (Sıfır Bilgi) tipi şifrelemeyi benimsemeye karşı dirençleri teknik bir yetersizlikle değil, temel bir ekonomik uyumsuzlukla açıklanmaktadır. Alphabet ve Meta gibi şirketler, davranışsal verilerin sistematik olarak toplanmasına dayanan para kazanma modellerine güveniyor. Bu arada bu model, Avrupa Birliği’nin Dijital Piyasalar Yasası (DMA) tarafından üstü kapalı olarak tanınmaktadır ve bu “eşik bekçilerini” (gatekeepers), hakim konumları tam olarak verilerin benzersiz bir ölçekte birikmesiyle beslenen kuruluşlar olarak sınıflandırmaktadır. Bu aktörler için Zero-Knowledge mimarisini benimsemek, reklam sistemlerini yakıtını oluşturan kullanıcıların sürekli kimlik tespitinden mahrum bırakmak anlamına gelir. Bu nedenle bu teknik bir seçim değil, kullanıcı gizliliği ile iş modellerinin uygulanabilirliği arasında bir değiş tokuştur.

Stratejik risk: “Harvest Now, Decrypt Later” tehdidi

Gizlilik tartışmasının ötesinde, şifrelemenin zayıflatılması, tamamen farklı kapsamda bir ulusal güvenlik sorununu gündeme getirmektedir. Harvest Now, Decrypt Later (HNDL) olarak bilinen strateji, devlet düşmanlarının gelecekteki kuantum şifre çözme yeteneklerini öngörerek bugün devasa hacimlerde şifrelenmiş iletişimi ele geçirmesini ve saklamasını içerir. İngiliz yasal çerçevesi, mevcut şifreleme standartlarını zayıflatarak, hükümet, diplomatik veya endüstriyel iletişimlere karşı bu tür operasyonları nesnel olarak kolaylaştırır.

Arpokrat gibi ekosistemlerin operasyonel uygunluk kazanması tam da bu güven eksikliği bağlamındadır. Hiçbir sivil tanımlayıcı toplamayan bir mimariyle İsviçre Federal Veri Koruma Yasası (FADP) rejimi altında faaliyet gösteren Arpokrat, İngiliz yargı yetkisine tabi altyapılardan teknik bir kopuş sunarak — sistemin OSA tarafından öngörülen emirlere karşı sağır kalmasını garanti eder.

Normların çatışması: Avrupa hukukuna karşı OSA ve IPA

Yeni İngiliz devlet ayrıcalıklarının yasal analizi, veri koruma ve iletişimlerin gizliliğine ilişkin Avrupa hukukunun temelleriyle doğrudan bir çarpışmayı ortaya koymaktadır.

Genel gözetim yasağına karşı OSA

OSA’nın 121. Maddesi, OFCOM’a platformları istemci tarafı tarama (client-side scanning) uygulamaya zorlayan emirler çıkarma olasılığını getiriyor. Bu önlem, Avrupa hukukundan türetilen ve AB Adalet Divanı’nın (CJEU) içtihadında yer alan ve genel gözetim yükümlülüklerini yasaklayan ilkeye doğrudan aykırıdır. Bir “tasarım gereği güvenlik açığı” (vulnerability by design) dayatarak, şirketleri aynı zamanda bir çıkmaza sokar: Bir devlet emrine uymak için güvenliklerini zayıflatarak, GDPR’nin 32. Maddesinde kutsanan, işleme uygun bir güvenlik seviyesini garanti etme yükümlülüklerinde başarısız olurlar.

ePrivacy Direktifi ve iletişimlerin gizliliği

Özel mesajların taranması, Üye Devletleri elektronik iletişimlerin gizliliğini garanti etmeye zorlayan ve ilgili kullanıcıların açık rızası olmadan herhangi bir müdahale veya gözetim biçimini yasaklayan 2002/58/EC Direktifi’nin (ePrivacy) 5. Maddesi, 1. fıkrası ile doğrudan çelişmektedir.

Technical Capability Notices ve güvenlik güncellemelerinin engellenmesi

IPA 2016 rejimi altında, İngiliz hükümeti artık Teknik Yetenek Bildirimlerini (Technical Capability Notices - TCN) dağıtılmadan önce güvenlik güncellemelerine karşı çıkmak için kullanmayı amaçlıyor. Bu mekanizma, GDPR’nin 32. Maddesi ile belirlenen, işleme sistemlerinin sürekli güvenliğini sağlama yükümlülüğü ile çözülemez bir çatışma yaratır — bu yükümlülük, yamaları (patches) gecikmeden veya dış müdahale olmadan tam olarak uygulama becerisini gerektirir.

Avrupa’da faaliyet gösteren şirketler için uyumluluk riskleri

IPA revizyonları, şirketleri güvenliği etkileyen herhangi bir teknik değişiklik hakkında uygulanmasından önce İngiliz hükümetini bilgilendirmeye zorlamayı amaçlamakta ve böylece ona ürün geliştirme üzerinde bir veto hakkı tanımaktadır. Bu müdahale, Avrupa pazarında faaliyet gösteren tedarikçiler için önemli bir hukuki güvensizlik yaratmaktadır: İngiltere artık GDPR’ninkine önemli ölçüde eşdeğer bir korumayı garanti etmiyorsa, halihazırda kırılgan olan İngilizlerin Avrupa hukukuna yeterliliği (adequacy) sorgulanabilir. Bu nedenle, bu yeni çerçeve kapsamında Birleşik Krallık’a veri aktarımları muhtemelen şirketleri GDPR kapsamında yaptırımlara maruz bırakacaktır.

Teknik imkansızlık yoluyla savunma: Yasal bir kalkan olarak Zero-Knowledge ilkesi

CJEU’nun Schrems I ve Schrems II kararlarıyla pekiştirilen uluslararası içtihat, belirleyici bir ilke oluşturmuştur: Orantısız gözetime karşı tek sağlam güvence, ona erişmenin teknik imkansızlığıdır. Zero-Knowledge mimarileri bu ilkeyi üç koruma katmanında uygular:

Gözetim eksikliği: Platform şifre çözme anahtarlarını elinde tutmadığı için mesajları taramaya yönelik herhangi bir emir teknik olarak uygulanamaz;
İşletim sisteminin egemenliği: ArpokratOS kontrolü, cihaz düzeyinde istihbarat toplanmasını besleyen telemetriyi ortadan kaldırır;
İsviçre yargı yetkisi bağlantısı: Altyapısını İsviçre’de barındıran Arpokrat, bireyselleştirilmiş ve gerekçeli adli yardımlaşma talepleri gerektiren yasal bir rejim altında faaliyet göstererek OSA tarafından öngörülen kitlesel taramaların otomatik olarak yürütülmesini etkisiz hale getirir.

Sonuç

OSA’nın hükümleri ve IPA’nın revizyonları sadece bireylerin gizliliğine yönelik bir tehdit değildir: İngiliz yargı yetkisine tabi altyapılardan geçen tüm Avrupa verileri için yasal kesinliğin ihlalini temsil ederler. Kamu güvenliği adına şifrelemenin zayıflatılmasını meşrulaştırarak, Londra paradoksal olarak müttefiklerini ve ticaret ortaklarını Zero-Knowledge mimarilerinin tam olarak önlemek için tasarlandığı endüstriyel ve devlet casusluğu risklerine maruz bırakmaktadır.

Profesyonel ve kurumsal iletişimlerin bütünlüğü artık yapısal bir yanıt talep ediyor: Kod seviyesinden yargı bağlantısına kadar dijital egemenliği garanti eden merkezi olmayan ekosistemlere geçiş.

Parola ve Entropi: Güvenliğinizin arkasındaki bilim

Wed, 03 Jun 2026 00:00:00 +0000

« Parolanız 8 karakter, bir büyük harf, bir küçük harf, bir rakam ve bir özel karakter içermelidir. »

Hepimiz bu kuralı biliyoruz. Ancak siber güvenlikte buna “güvenlik tiyatrosu” diyoruz. P@ssw0rd1! gibi bir parola bu kuralların hepsine uyar. Ama yaygın bir kelimenin öngörülebilir değiştirmelerle yazılmış hâlidir ve kırma araçlarının ilk denediği şey tam olarak budur.

Gerçek güvenlik, keyfi görsel kurallara değil, affetmez bir matematiksel gerçekliğe dayanır: entropi.

Claude Shannon’a Göre Entropi

Bir parolanın gücünü anlamak için bilgi teorisinin babası Claude Shannon’a bakmalıyız. Entropi, bilginin belirsizlik veya öngörülemezlik derecesini ölçer.

Parolalara uygulandığında entropi bit cinsinden hesaplanır. Bit sayısı ne kadar yüksek olursa, parolanın bir bilgisayar için öngörülmesi o kadar zor olur. Rastgele oluşturulmuş bir parolanın entropisi (E) için basitleştirilmiş formül şöyledir:

E = L × log2(R)

L parolanın uzunluğudur.
R havuz boyutudur (küçük harfler için 26, büyük harfler ve rakamlar eklendiğinde 62, yazdırılabilir tüm sembollerle birlikte 94). Oluşturucumuzun dört karakter kümesi 91 eder, çünkü sembol kümesinde 29 karakter vardır.

Havuz boyutunu artırmak (semboller eklemek) entropiyi artırır, ancak uzunluğu artırmak (karakter eklemek) bunu çok daha ciddi şekilde artırır. Ancak uzunluk, karmaşıklığı yalnızca tek bir şartla yener: parolanın tamamen rastgele oluşturulması gerekir.

Kaba Kuvvet (Brute Force) vs. Sözlük Saldırısı

Kelimeler veya öngörülebilir yapılar kullanırsanız, salt uzunluk kuralı çöker.

Bilgisayar korsanlığı yazılımları tüm harf kombinasyonlarını tek tek denemez (buna Kaba Kuvvet / Brute Force denir). Geçmiş veri sızıntılarından elde edilen gerçek parolaların devasa listelerini, yaygın kelime ve ifadelerle birlikte kullanırlar. Bu Sözlük Saldırısıdır (Dictionary Attack).

Parolanız uzun olsa bile sözlük kelimelerinden veya öngörülebilir değiştirmelerden oluşuyorsa, gerçek entropisi teorik matematiksel entropisinden önemli ölçüde düşüktür.

Aşağıdaki tablo tek bir kural kullanır: saniyede 100 milyar deneme, yani oluşturucumuzun sayfasının hızlı bir hash’e yapılan çevrimdışı bir saldırı için varsaydığı hız. Süreler ortalamadır (tüm olasılıkların yarısı) ve o sayfayla aynı formülle aşağı yuvarlanmıştır. Her parola için en hızlı yol kalın harflerle gösterilmiştir:

Parola	Her karakter rastgele olsaydı entropi	Kaba kuvvet (ortalama)	Sözlük saldırısı (bizim tahminimiz)
`password123`	56 bit (11 karakter, küçük harf ve rakam)	7 gün	Bir saniyeden kısa
`S3cr3t!99`	58 bit (9 karakter, dört kümenin hepsi)	24 gün	Bir saniyeden kısa
`correct horse battery staple`	133 bit (28 karakter, küçük harf ve boşluk)	1 trilyon yıldan fazla	1 dakika
`gL7!pQ9z#vX2`	78 bit (12 karakter, dört kümenin hepsi)	51 bin yıl	Kestirme yol yok

Sözlük sütunu bir tahmindir. Saldırganın tahminlerinin her parolanın yapısını izlediğini ve her temel kelimenin en yaygın 1.000 kelime arasında olduğunu varsayar:

password123: yaygın bir kelime ve üç rakam. Bu, 1.000 × 1.000, yani yaklaşık bir milyon tahmin eder.
S3cr3t!99: yaygın bir kelime; büyük harfli ya da değil, her “e” “3” ile değiştirilmiş ya da değil, ardından herhangi bir üç karakterlik ek. Bu, yaklaşık 7 milyar tahmin eder.
correct horse battery staple: dört yaygın kelime. Onu ünlü yapan xkcd çizgi romanı, 2.048 kelimelik bir listeden seçilen dört kelime için 44 bit sayar. Aynı hızla bu, ortalama 88 saniye eder; aşağı yuvarlanınca 1 dakika.
gL7!pQ9z#vX2: ne kelime ne de desen var, bu yüzden en hızlı yol kaba kuvvettir.

Bu tahminler, her parolanın saldırgan tarafından bilinmediğini varsayar. Bu makaledeki her parola artık herkese açıktır, dolayısıyla her biri bir sözlükte yer almayı hak eder. Yayımlanmış bir parola, yanmış bir paroladır.

Leetspeak Yanılsaması ve Mutasyon Kuralları

S3cr3t!99 örneğini ele alalım. Görsel olarak karmaşık ve sağlam görünüyor. Oysa bu sadece sözlükteki “secret” kelimesidir, ’e’ harfleri ‘3’ ile değiştirilmiş ve sonuna çok yaygın bir ek (!99) eklenmiştir. Buna leetspeak denir.

Sözlük saldırısına karşı bu parola bir saniyeden kısa dayanır; uzunluğunun düşündüreceği 24 gün değil. Modern kırma yazılımları (Hashcat gibi) yalnızca statik kelime listelerini test etmekle yetinmez; otomatik olarak mutasyon kuralları uygularlar. Sözlüklerindeki her kelimeyi alırlar, olası tüm leetspeak kombinasyonlarını test ederler, büyük-küçük harfleri değiştirirler ve yıllar veya semboller eklerler. Leetspeak yalnızca yanlış bir güvenlik hissi sağlar.

Klavye Kaydırma Hilesi (Keyboard Shift)

Akılda kalıcı bir ifadeyi karmaşıklaştırmak için bazıları klavye düzenini kaydırma hilesini kullanır. Örneğin, my-cat gibi bir ifadeyi ezberlersiniz. Ancak bunu yazarken işletim sisteminiz AZERTY (Fransızca) olarak ayarlanmışken parmaklarınızı fiziksel bir QWERTY klavyeye yerleştirirsiniz.

Düşünülen kelime: my-cat
Yazılan sonuç: ,y)cqt (’m’ tuşu ‘,’ olur; ‘-’ ise ‘)’ olur; ‘a’ ise ‘q’ olur).

OPSEC’te bu iyi bir fikir mi? Hayır, tek başına kullanıldığında bu yöntem yeterli değildir. Tıpkı leetspeak gibi, klavye düzeni kaydırması da sabit bir değiştirmedir: bundan şüphelenen bir saldırgan aynı eşlemeyi her tahmine uygular. OPSEC’te bu gizlilik yoluyla güvenliktir: amatör bir saldırganı geciktirir, ancak hedefli ve donanımlı bir saldırıyı durdurmaz.

Zaten güçlü olan bir parolayla (uzun, rastgele bir parola öbeği gibi) birleştirildiğinde çok az şey katar. Bir saldırgan bin klavye düzeni çifti denese bile bu 10 bitten az ekler, çünkü log2(1.000) ≈ 9,97. Güç yine alttaki parola öbeğinden gelir.

Bir Ana Parola Oluşturmak (~250 bit)

Kelime listelerinin, leetspeak’in ve yazma hilelerinin sınırları varsa, uzun ömürlü bir ana parolayı nasıl oluşturabiliriz? Oluşturucumuz 80 biti zaten “Güçlü”, 100 biti ise “Çok Güçlü” olarak derecelendiriyor. Onlarca yıl dayanması gereken bir ana parola için bu makale çok daha yükseği hedefliyor: yaklaşık 250 bit entropi. Aşağıdaki kuantum bölümü bunun nedenini ve bu payın neyi sağlamadığını açıklıyor.

İhtiyaçlarınıza bağlı olarak bunu başarmanın iki yolu vardır:

1. Rastgele Karakterler (bir parola yöneticisi için)

Tamamen rastgele oluşturulmuş, bir makinenin yararlanabileceği hiçbir deseni olmayan bir karakter dizisi: 8}8,_$-p)M&n,XvUCT0o+.5hDE6P^w6b@U-evS0 Oluşturucumuzun 91 karakterinden rastgele çekilmiş 39 karakter: ≈ 253 bit. Bu makale için çekildi, dolayısıyla artık herkese açık. Asla kullanmayın.

2. Rastgele Bir Parola Öbeği (ezberlediğiniz bir parola için)

Rastgele kelimeleri hatırlamak, rastgele karakterlerden daha kolaydır. 7.776 kelimelik EFF listesinden çekilen her kelime yaklaşık 12,9 bit ekler; yani entropiyi kelime sayısı belirler. 12 kelime ≈ 155 bit verir; bu, oluşturucumuzun “Çok Güçlü” eşiğinin çok üzerindedir. Düz kelimeler 250 biti ancak 20 kelimede geçer.

Oluşturucumuz 12 kelimede durur. Daha az kelimeyle 250 biti geçmek için “Her kelimeden sonra rastgele rakam” seçeneğini işaretleyin ve ayraç olarak “Rakam + Sembol” seçin. 11 kelime o zaman ≈ 260 bit verir: depletion78$sporting14~overlap11>macaw86>paced95,paramedic41}blot41$flagstone07;uncanny92/broadways77#say2 Bu makale için, tam olarak bu ayarlarla rastgele çekildi. Yayımlanmış bir parola, yanmış bir paroladır: bunu ya da okuduğunuz herhangi bir örneği asla kullanmayın. Yalnızca rastgele çekilen şey sayılır. Her kelimenin baş harfini büyütmek hiçbir şey katmaz; kendi seçtiğiniz kelimeler ise rastgele olanlardan çok daha zayıftır.

Kuantum Tehdidi: Grover Algoritması

128 bit günümüzün süper bilgisayarlarını zaten engelliyorken neden 250 biti hedefleyelim? Cevap, büyük kuantum bilgisayarların ortaya çıkma ihtimalinde yatıyor.

Kriptografide Grover algoritması, bir kuantum bilgisayarın sıralanmamış bir veritabanında klasik bir bilgisayardan çok daha hızlı arama yapmasını sağlar. Somut olarak Grover, simetrik bir anahtarın veya parolanın etkili güvenlik seviyesini yarıya indirir.

Grover algoritmasını çalıştıran bir kuantum bilgisayarına karşı, 128 bit entropili bir parola teoride yalnızca 64 bite eşdeğer bir direnç sunar. Bu çok daha ince bir paydır.

Entropiyi iki katına çıkarmak güvenlik payını korur: yaklaşık 256 bit, Grover’a karşı hâlâ yaklaşık 128 bit bırakır. Bu makalenin 250 bitlik hedefi buradan gelir. Bu, bir standarttan alınmış bir rakam değil, bu makalenin seçtiği bir önlemdir.

Bu payın sınırları vardır. Grover’ın sağladığı hızlanma karesel düzeydedir, sınırsız değildir. Her adımında yine sitenin parola özetinin (hash) hesaplanması gerekir, üstelik bunu çalıştıracak kadar büyük bir kuantum bilgisayarda. Karşılaştırma için, oluşturucumuzun sayfasının varsaydığı saniyede 100 milyar denemeyle, 100 bitlik ortalama bir arama bile en az 200 milyar yıl sürer.

Bu mantık Harvest Now, Decrypt Later (HNDL) yaklaşımına benzer: çalınmış bir parola özeti veritabanı bugün saklanıp daha sonra, daha iyi makinelerle saldırıya uğrayabilir. Daha büyük bir pay, buna karşı çıtayı yükseltir. Kalıcı bir garanti değildir.

Arpokrat Password Generator: Kendi Parolanızı Oluşturun

Erişiminizin güvenliğini şansa bırakmayın. Ücretsiz oluşturucumuz rastgele parolalar ve parola öbekleri üretir. Her biri için entropiyi bit cinsinden ve bir aramanın ortalama ne kadar süreceğini gösterir.

Yalnızca üretir: hâlihazırda kullandığınız bir parolayı derecelendirmez. Yukarıdaki 250 bitlik hedef için, dört karakter kümesinin hepsini içeren 39 karakterlik bir parola seçin. Oluşturucu bunu “≈ 253 bit” olarak gösterir.

👉 Arpokrat Password Generator

Tarayıcınızda çalışır. Ürettiği hiçbir şey gönderilmez veya kaydedilmez.

Son Zayıf Halka: Geri Dönüşüm ve Erişim Yönetimi

Matematiksel entropi insan hatasına karşı koruma sağlamaz. 250 bitlik bir parola, sızdığı anda değerini kaybeder; birden fazla sitede yeniden kullanılırsa (Credential Stuffing adı verilen bir saldırı) veya ikinci bir kimlik doğrulama faktörü (2FA) ile korunmuyorsa.

Dijital hijyenin altın kuralı, sadece tek bir parolayı hatırlamak zorunda olmaktır: 250 bitlik ana parolanız (yukarıdaki gibi rastgele bir parola öbeği). Diğer tüm erişimleriniz (banka, sosyal ağlar, sunucular), kendileri için özel olarak oluşturulmuş benzersiz rastgele parolalar kullanmalıdır.

Hatırlayamayacağınız tüm bu parolaları saklamak için bir parola yöneticisi kullanın. Kasanızı eşitlemeden önce cihazınızda şifreleyen birini seçin (genellikle Sıfır Bilgi, yani Zero-Knowledge olarak adlandırılır); tercihen açık kaynaklı ve bağımsız olarak denetlenen bir yönetici.