Mobil ağlar on Arpokrat

SMS ile 2FA artık hiçbir şeyi korumuyor: yerine ne kullanmalı

Tue, 08 Sep 2026 00:00:00 +0000

9 Ocak 2024’te ABD finansal piyasalar düzenleyicisi Menkul Kıymetler ve Borsa Komisyonu’nun (SEC) resmî X hesabı, piyasanın aylardır beklediği bir kararı, Bitcoin ETF’lerinin onaylandığını duyurdu. Dakikalar içinde Bitcoin birim başına 1.000 doların üzerinde değer kazandı. Ardından SEC yalanladı: hesap ele geçirilmişti. Fiyat 2.000 doların üzerinde geri düştü.

Bu vakayı öğretici kılan, piyasa hareketinin büyüklüğü değil, kullanılan yöntemin sıradanlığıdır. ABD Adalet Bakanlığı’nın açıklamasına göre 26 yaşındaki Eric Council Jr., taşınabilir bir kart yazıcısıyla sahte bir kimlik bastı, bir AT&T mağazasına girdi ve bir çalışanı, hesaba bağlı telefon numarasını kendi kontrolündeki bir SIM karta aktarmaya ikna etti. Parola sıfırlama kodlarını SMS ile aldı ve suç ortaklarına iletti. 16 Mayıs 2025’te 14 ay hapis cezasına çarptırıldı.

Bir açıklama gerekiyor; vakanın okunuşunu değiştiriyor ama dersini zayıflatmıyor. SEC’in resmî açıklamasına göre bu hesapta çok faktörlü kimlik doğrulama, ekibin kendi talebi üzerine Temmuz 2023’te devre dışı bırakılmıştı. Yani olay sırasında SMS ikinci faktör değil, kurtarma kanalıydı. Örneği kullanışlı kılan da tam olarak bu: ister ikinci faktör olsun ister arka kapı, zincirin koptuğu nokta hep telefon numarası.

İkinci faktörün güvence altına alması gereken şey

İlke tek cümleye sığar. Tek başına parola bildiğiniz bir şeydir; buna sahip olduğunuz bir şey (bir telefon, fiziksel bir anahtar) ya da olduğunuz bir şey (bir parmak izi) eklenir. Parolanızı bir veri sızıntısından çalan kişi, bu sayede fiziksel nesnenize sahip olmaz.

Akıl yürütme nadiren dile getirilen bir varsayıma dayanır: ikinci faktörün gerçekten sizin elinizdeki bir nesneye bağlı olduğu ve sunulmasının, nereye giriş yaptığınıza dair bir şey kanıtladığı varsayımına. SMS her iki noktada da başarısız olur.

SMS bir sahiplik faktörü değildir

SMS ile kod almak bir cihaza sahip olduğunuzu kanıtlamaz; bir operatör tarafından tahsis edilen ve yine aynı operatör tarafından değiştirilebilen bir telefon numarasının bir cihazı işaret ettiğini kanıtlar. Bu aynı şey değildir. Bu boşluğu üç saldırı yolu kullanır ve bunlar aynı biçimde kapatılmaz.

SIM takası

SEC vakasındaki saldırı budur ve hiçbir teknik açığa dayanmaz. Saldırgan, hedefi hakkında çoğu zaman halka açık sızıntılarda zaten bulunan kişisel bilgileri toplar, ardından o kişiymiş gibi operatöre başvurur: telefon kayboldu, numarayı yeni bir SIM karta aktarın. İkna edici olursa ya da bir çalışan işbirliği yaparsa numara el değiştirir ve bütün SMS’ler ona gider. FBI’ın şikâyet merkezi IC3’ün 2024 yıllık raporu, yalnızca o yıl için 982 SIM takası bildirimi ve yaklaşık 26 milyon dolarlık beyan edilmiş kayıp kaydediyor; üstelik yalnızca şikâyette bulunan mağdurları sayarak. Hiçbir yazılım güncellemesi bu yolu kapatmaz: hedefi yazılım değil, insan eliyle yürüyen bir ticari süreçtir.

SS7 üzerinden dinleme

Signaling System 7, dünyadaki telefon şebekelerinin birbiriyle konuşmasını sağlayan protokoldür: bir çağrıyı yönlendirmek, dolaşımı yönetmek, bir SMS’i bir operatörden diğerine teslim etmek. 1975’te, operatörler kulübünün kapalı ve az sayıda olduğu, herkesin diğerlerini yapısı gereği güvenilir saydığı bir dönemde tasarlandı. Bu nedenle şebekeler arasında hiçbir yerleşik kimlik doğrulama içermez: meşru görünen bir istek meşru muamelesi görür.

Bu teorik bir zayıflık değil. Aralık 2014’te Alman araştırmacılar Tobias Engel ve Karsten Nohl bunu Chaos Communication Congress’te herkesin önünde gösterdi: yalnızca telefon numarasından yola çıkarak bir abonenin konumunu bulmak ve SMS’lerini dinlemek. 2017’de gerçek istismar doğrulandı: Alman operatör O2-Telefónica, saldırganların yabancı bir operatörün şebekesine erişim sağlayıp banka onay kodlarını yakalamak için SMS yönlendirmesi kurmasının ardından bazı müşterilerin banka hesaplarının boşaltıldığını kabul etti.

Gerçek zamanlı oltalama

Üçüncü yol en önemlisidir, çünkü hiçbir telekom açığına bağlı değildir ve diğer ikisinde düzeltilebilecek her şeyden sağ çıkar.

Sahte bir site, bir hizmetin giriş sayfasını kusursuzca taklit eder. Kullanıcı adınızı ve parolanızı oraya girersiniz; sahte site bunları anında gerçek siteye iletir, o da telefonunuza bir SMS gönderir. SMS gerçekten size ulaşır ve gerçektir. Kodu sahte siteye yazarsınız, o da birkaç saniye içinde onu iletir. Oturum açılır ve onu elinde tutan saldırgandır.

Buna adversary-in-the-middle saldırısı denir. Sanayileşmiştir: 2017’de ortaya çıkan ters vekil sunucu Evilginx gibi araçlar ya da aylık abonelikle satılan kitler, bunu özel bir beceri gerektirmeden erişilebilir kılar. Zaten çalınan yalnızca kod değildir, oturum çerezidir; bu çerez sonrasında hiçbir kimlik doğrulamadan geçmeden oturumda kalmayı sağlar.

Mesele mimaridir. SMS ile gönderilen kod, onu isteyen site hakkında hiçbir bilgi taşımaz. Dolayısıyla gerçeği sahteden ayırt edemez: nereye yazılırsa orada geçerlidir.

Bu artık bir görüş değil, resmî bir konum

SMS’e karşı en sağlam argüman çözüm satıcılarından değil, standartları yazan kurumlardan geliyor.

Temmuz 2025’te ABD’li NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management belgesinin nihai sürümünü yayımladı. Metin, tehditlerin evrimiyle birlikte direnç kapasitesi zayıflamış mekanizmalara ayrılmış, açık bir kısıtlı kimlik doğrulayıcı kategorisi oluşturuyor. 3.1.3.3 numaralı bölüm, kamusal anahtarlamalı telefon şebekesinin kullanımını, yani SMS ya da sesli aramayla gönderilen kodları buraya yerleştiriyor: “Use of the PSTN for out-of-band verification is restricted as described in this section and SHALL satisfy the requirements of Sec. 3.2.9.” Somut olarak, bunu hâlâ kullanan bir hizmetin kısıtlı olmayan bir alternatif sunması, kullanıcılarını risk konusunda bilgilendirmesi ve bir geçiş planına sahip olması gerekiyor.

Aralık 2024’te ABD siber güvenlik ajansı CISA, Çin devletiyle bağlantılı aktörlerin birkaç ABD telekom operatörüne sızdığı Salt Typhoon casusluk kampanyasının ardından Mobile Communications Best Practice Guidance belgesini yayımlamıştı. İfade yoruma yer bırakmıyor: “Do not use SMS as a second factor for authentication. SMS messages are not encrypted”, ve devamında, dolaysızca: “Only FIDO authentication is phishing-resistant.” Belge, Yubico ve Google Titan’ı adıyla anarak donanımsal FIDO anahtarlarını açıkça öneriyor ve FIDO etkinleştirildikten sonra SMS’in devre dışı bırakılması gerektiğini, aksi hâlde istismar edilebilir bir yedek yol olarak kalacağını belirtiyor.

Kimlik doğrulama uygulamaları: gerçek bir ilerleme, kısmi bir çözüm

Time-based One-Time Password kısaltmasıyla TOTP uygulamaları, her otuz saniyede bir değişen altı haneli bir kod üretir; kod, etkinleştirme sırasında paylaşılan bir sırdan ve o anki saatten yerel olarak hesaplanır. Telefon şebekesinden hiçbir şey geçmez.

Kazanç anında görülür: numara artık devrede olmadığı için SIM takası etkisiz kalır, hiçbir mesaj taşınmadığı için SS7 dinlemesi de öyle. Daha ileri gidemeyen her hesapta bir kimlik doğrulama uygulamasına geçmek değerlidir.

Ama üçüncü yol olduğu gibi durur. Sahte bir siteye girilen TOTP kodu, tıpkı SMS kodu gibi gerçek siteye iletilir. Uygulama nereye giriş yaptığınızı bilmez: bir sayı gösterir ve bu sayı, otuz saniyelik penceresi içinde onu sunan herkes için geçerlidir. CISA da aynı ifadelerle söylüyor: kimlik doğrulama kodları SMS’ten iyidir ama oltalamaya karşı savunmasız kalır.

TOTP dürüst bir ara aşamadır, bir varış noktası değil.

FIDO2 anahtarı sorunun doğasını neden değiştirir

FIDO2/WebAuthn donanım anahtarı saldırıyı yalnızca zorlaştırmakla kalmaz, ona mekanik olarak imkânsız hâle getirir.

Bir hizmete kaydolurken anahtar, o hizmete özel bir kriptografik anahtar çifti üretir. Açık kısım hizmete gider, özel kısım çipten asla çıkmaz ve ne dışa aktarılabilir ne de okunabilir. Kopyalanabilecek hiçbir paylaşılan sır, yakalanacak hiçbir altı haneli kod yoktur.

Ardından belirleyici mekanizma gelir: kaynağa bağlanma. Giriş anında tarayıcı, görüntülenen sayfanın gerçek alan adını anahtara iletir. Bu bilgi imzalanan verilerin içindedir ve tarayıcı bunu dayatır: sayfanın JavaScript’i onu ne değiştirebilir ne de sahteleyebilir.

FIDO2 anahtarı oltalamanın başarılı olmasını zorlaştırmaz. Oltalamanın sonucunu kullanılamaz hâle getirir.

Adversary-in-the-middle saldırısını bu kez bir anahtarla ele alalım. Sahte site kusursuz, kurban hiçbir şey fark etmiyor ve anahtarına dokunuyor. Tarayıcı sayfanın gerçek alan adını, yani dolandırıcı sitenin adını iletiyor. Anahtar bu alan adı için bir çift bulunmadığını görür ya da onun için imzalar ve gerçek hizmetin reddedeceği bir imza üretir. Her iki durumda da saldırgan kullanılabilir hiçbir şey elde etmez.

Doğa farkı işte buradadır. SMS veya TOTP ile güvenlik nihayetinde kullanıcının dikkatine, acelesi olduğu ve sayfanın normal göründüğü bir anda adres çubuğundaki sahte alan adını fark etme becerisine dayanır. FIDO2 ile bu denetimi bir makine yapar, her seferinde, kimsenin dikkatine bağlı kalmadan. Kriptografik sağlamlıktan çok, sorumluluğun bu şekilde devredilmesi önemlidir.

Etki ölçülebilir. Google, 2017 başında çalışanları için anahtarları zorunlu kıldı ve 85.000’den fazla kişide 2018’de hiçbir hesap ele geçirilmesi kaydetmediğini açıkladı.

Donanım anahtarlarının gerçek sınırları

Onları kusursuz diye sunmak dürüst olmaz ve asıl kararları hazırlamak için de işe yaramaz.

Maliyet var. Modele göre 25 ila 60 avro hesaplayın, biyometrik sürümlerde daha fazlası, ve bunu ikiyle çarpın.

Asıl risk anahtarı kaybetmektir. Kritik bir hesapta tek anahtar bir tasarım hatasıdır. Her önemli hesapta ikisinin kayıtlı olması gerekir; biri başka bir yerde, bir yakınınızda ya da bir kasada durmalı. İkincisi bir konfor değildir, birincisini korkusuzca kullanılabilir kılan şeydir.

Kapsama eksiktir. Özellikle Avrupa’daki bankacılık hizmetleri olmak üzere pek çok hizmet henüz FIDO2 desteklemiyor; aşağıdaki öncelik sıralamasının nedeni de bu.

Anahtar çalınabilir. Bu yüzden anahtara bir PIN kodu tanımlamak ya da parmak izli bir model seçmek gerekir: aksi hâlde nesnenin kendisi, onu bulan için yeterlidir.

Yedek yol en zayıf halka olmayı sürdürür. SMS’i kapatmadan FIDO2’yi açmak hiçbir şeye karşı korumaz: saldırgan basitçe açık kalan yoldan gider. Geçiş, ancak eski mekanizma hesaptan kaldırıldığında, kurtarma seçenekleri dahil, tamamlanmış olur.

Donanıma gelince, YubiKey serisi en geniş protokol yelpazesini kapsar, Google Titan anahtarları daha ucuzdur ve FIDO ile sınırlıdır, Nitrokey ve SoloKeys açık ve denetlenebilir bellenimli alternatifler sunar, Token2 ise PIN’in klavyede değil doğrudan anahtar üzerinde girildiği, tuş takımı gömülü modeller üretir. FIDO2 sertifikalı anahtarlar arasında kötü seçim yoktur: protokol aynıdır, yalnızca yan kullanımlar değişir.

Her şeyi birden değiştiremiyorsanız nereden başlamalı

Geçiş sırası bir tercih meselesi değildir, hesaplarınız arasındaki bağımlılıklardan doğar.

Önce ana e-posta kutusu. Neredeyse diğer her şeyin sıfırlama bağlantılarını o alır. Onu ele geçiren bir saldırgan, hiçbirine doğrudan saldırmadan diğer hesapları tek tek devralır. Ondan önce güvenceye alınmayı hak eden hiçbir şey yoktur.
Parola yöneticisi. Bütün erişimlerinizin birinci faktörünü toplar, dolayısıyla koruması, içerdiği en iyi korunan hesabınkine denk olmalıdır. Ana parolanın kalitesini gözden geçirmenin tam zamanıdır; bu konuyu entropi ve güvenliğinizin ardındaki bilim yazımızda ayrıntılarıyla ele aldık.
Finansal hesaplar ve kripto platformları. Anında değeri olan hedefler; burada bir ele geçirilme, dakikalar içinde geri döndürülemez bir kayba dönüşür.
Takipçisi olan sosyal hesaplar. SEC vakası, takip edilen bir hesabın sözünün ne ettiğini gösteriyor ve zarar her zaman sahibine gelmiyor.
Gerisi bekleyebilir, SMS yerine bir TOTP uygulamasıyla. Bir forum ya da bir yayın hizmeti aynı çabayı hak etmez.

Henüz FIDO2 desteklemeyen hesaplar için: mümkün olan her yerde TOTP’ye geçin ve operatörünüzden numara taşıma kilidi isteyin; çoğunda ücretsiz bir seçenektir.

Bu, Arpokrat’ın yaklaşımı hakkında ne söylüyor

Bu dosya, yalnızca bir tanımlayıcı sistemin merkezine yerleştirildiği için var olan bir sorunu anlatıyor. Telefon numarası hiçbir zaman kimlik kanıtı olarak tasarlanmadı: alışkanlıkla çevrimiçi kimlik doğrulamanın omurgası hâline geldi ve yukarıda anlatılan üç saldırının hepsi tam da bu amaç dışı kullanımı sömürüyor.

Arpokrat Messenger protokolünün tasarımına yön veren akıl yürütme budur: ne telefon numarası, ne e-posta adresi, ne hesap. Kullanıcı, kendi cihazında saklanan bir kriptografik anahtar kümesi olarak vardır ve tanışma tek kullanımlık davet bağlantılarıyla gerçekleşir. Mantık FIDO2’nin mantığıdır, bir kademe yukarıda: bir üçüncü tarafın elinde olmayan şey, ne bir operatöre karşı sosyal mühendislikle ne de yasal talep yoluyla ondan alınabilir. Zero-Knowledge mimarisiyle bu tutarlılığı şimdi topla, sonra çöz yazımızda derinleştiriyoruz.

Sırrını hiç açık etmeden imzalayan bir donanım anahtarı, esasen çevrimdışı bir kripto cüzdanının da çalışma biçimidir; eksiksiz cold wallet rehberimizde ayrıntılandırdık: gizli kısmı kendine ayrılmış bir nesnede tutmak ve dışarıya yalnızca bir imza bırakmak.

Sonuç

SMS ile 2FA kötü tasarlanmış değildi. 2010’ların başında yaygınlaştığında tek başına paroladan hatırı sayılır bir ilerlemeydi ve ölçekte önem taşıyan tek niteliği yanında taşıyordu: herkesin zaten bir telefonu vardı.

Sorun icadı değil, hayatta kalışı. SS7 gösterimleri 2014’e, bankacılıkta gerçek istismar 2017’ye, gerçek zamanlı oltalamanın sanayileşmesi o on yılın sonuna uzanıyor. CISA 2024’te artık kullanılmamasını yazdı, NIST 2025’te kısıtlamayı resmileştirdi. Açıkların büyük ölçekte istismar edilebilir hâle geldiği an ile kurumların bunu kâğıda döktüğü an arasında yaklaşık on yıl var. Ve SMS, geniş kitleye yönelik hizmetlerin çoğunda hâlâ varsayılan ikinci faktör.

Asıl bilgi bu açıklıkta. Güvenlik mekanizmaları çalışmayı bıraktıklarında değil, yerlerini aynı ölçüde basit bir şey aldığında ortadan kalkar ve bu çok daha uzun sürer. Dolayısıyla soru SMS’i bırakmanız gerekip gerekmediği değil, bu yıllar önce karara bağlandı. Soru şu: verili saydığınız hangi başka korumalar, henüz kimse yazmamış olsa da, çoktan aynı durumda?

Kaynaklar

ABD Adalet Bakanlığı, Alabama Man Sentenced to 14 Months in Connection with Securities and Exchange Commission X Hack that Spiked Bitcoin Prices, 16 Mayıs 2025
Securities and Exchange Commission, SECGov X Account, 22 Ocak 2024 tarihli resmî açıklama
NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, nihai sürüm, Temmuz 2025
CISA, Mobile Communications Best Practice Guidance, 18 Aralık 2024
FBI Internet Crime Complaint Center, 2024 Internet Crime Report
Threatpost, Cellular Privacy, SS7 Security Shattered at 31C3, Tobias Engel ve Karsten Nohl’un gösterimi, Aralık 2014
Help Net Security, Attackers exploited SS7 flaws to empty Germans’ bank accounts, Mayıs 2017
Krebs on Security, Google: Security Keys Neutralized Employee Phishing, Temmuz 2018
W3C, Web Authentication: An API for accessing Public Key Credentials, WebAuthn belirtimi

5G, konum verisi ve hukukun hedef şaşırması

Tue, 18 Aug 2026 00:00:00 +0000

2011 yılında Detroit polisi bir mobil operatörden Timothy Carpenter’ın telefonunun baz istasyonu bağlanma geçmişini istedi. 127 güne yayılan 12.898 konum noktası elde etti, günde yaklaşık yüz nokta. Yedi yıl sonra Amerika Birleşik Devletleri Yüksek Mahkemesi bu talebin bir arama teşkil ettiğine ve yargı kararı gerektirdiğine hükmetti.

Bu 12.898 nokta, her biri birkaç kilometrelik bir yarıçapı kapsayan dördüncü nesil antenlerden geliyordu. Aynı talep bugün kentsel bir 5G şebekesine yöneltilseydi, birkaç kilometre yaklaşıklıkla günde yüz nokta döndürmezdi. Birkaç on metre yaklaşıklıkla çok daha büyük bir hacim döndürürdü.

Teknoloji ölçek değiştirdi. Hukuki muhakeme ise zincirin aynı noktasında kaldı.

Atlantik’in iki yakasındaki yargıçların tanıdığı bir hukuki değer

Neredeyse herkesin kabul ettiği, buna karşılık neredeyse hiçbir metnin etkili biçimde korumadığı bir menfaat var: bir yerde bulunmanın kayda geçirilmemesi hakkı.

Avrupa içtihadı bunu açıkça ortaya koydu. Digital Rights Ireland (birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014) ve ardından Tele2 Sverige ve Watson (birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016) kararlarında Avrupa Birliği Adalet Divanı, bu verilerin bütün olarak ele alındığında kişilerin özel hayatına ilişkin çok kesin sonuçlar çıkarmaya imkân verdiğine hükmetti: günlük yaşam alışkanlıkları, bulunulan yerler, hareketler, yürütülen faaliyetler ve toplumsal ilişkiler.

Amerika Birleşik Devletleri Yüksek Mahkemesi Carpenter v. United States, 585 U.S. 296 (2018) kararında benzer bir sonuca vardı. Amerikan doktrininin çokça yorumladığı bir noktanın altını çizdi: bu toplamanın kaçınılmaz ve otomatik niteliği. Kimse bir antene bağlanmaya rıza göstermez; açık bir telefona sahip olduğu için bağlıdır.

Demek ki hukuki değer mevcut ve bu alanda ağırlığı olan iki yüksek mahkeme tarafından tanınıyor. Sorun başka yerde.

5G’nin gerçekte değiştirdiği şey

Yaygın bir karışıklık, konumu telefonun ilettiği bir veri olarak, bir mesaj ya da fotoğraf gibi görmekten kaynaklanır. Durum böyle değildir. Konum, şebekenin işleyişinin fiziksel bir sonucudur. Operatör cihazın hangi antene bağlı olduğunu bilir, çünkü bir aramayı yönlendirmek için bilmek zorundadır. Bu bilgiyi şifrelemeye yarayacak hiçbir anahtar yoktur, zira söz konusu olan bir içerik değil, bağlantının kendisine ait bir özelliktir.

5G’yi teknik düzlemde değil, hukuki düzlemde anlamlı kılan tam da budur.

Önceki mimariler geniş hücrelere dayanıyordu. Bir 4G anteni yaygın olarak birkaç kilometrelik bir yarıçapa hizmet verir ve yalnızca bağlanmadan çıkarılan konum şehirde yüzlerce metreyle, kırsalda kimi zaman onlarca kilometreyle ölçülürdü. 5G kitlesel bir sıklaştırmaya dayanır: kentsel hücreler tipik olarak birkaç yüz metreyi kapsar ve mühendislik yazını 3G döneminde dört ya da beş olan yoğunluğa karşılık kilometrekare başına kırk ila elli baz istasyonu mertebesinde yoğunluklarla çalışır.

Sonuç mekaniktir. Ericsson’un 5G konumlandırma teknik raporuna göre yalnızca bağlanabilirlik için kurulan altyapı açık alanda yirmi ila elli metre, iç mekânda bir ila üç metre hassasiyete ulaşır ve elverişli kentsel koşullarda bir metrenin altına iner. Bu, bir yerde açılmış bir konum işlevi değil, hiçbir uygulama kurulmadan ve hiçbir izin verilmeden şebekenin yapısı gereği bildiği şeydir. Bütün bu mekanizmaları ve gerçekten işe yarayan karşı önlemleri telefonun kalıcı konum takibi üzerine yazımızda ayrıntılı olarak ele aldık.

Müdahale böylece birkaç büyüklük mertebesi arttı. Uygulanacak hukuki çerçeve ise 2G ve 3G için tasarlanmış olan çerçeve olarak kaldı. Bu ölçek değişimine hiçbir mevzuat uyarlaması eşlik etmedi.

Hukuk erişimi korur, üretimi değil

Avrupa hukuku konum verilerine kimin, hangi koşullarda ve hangi denetim altında erişebileceğini titizlikle düzenler. 2002/58/AT sayılı Direktif haberleşmenin gizliliği ilkesini koyar ve Adalet Divanı La Quadrature du Net (birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020) kararında, bu direktifin 15(1) maddesinin, Şart’ın 7, 8, 11 ve 52(1) maddeleri ışığında okunduğunda, trafik ve konum verilerinin önleyici amaçla genel ve ayrım gözetmeyen biçimde saklanmasına engel olduğuna hükmetti. Divan yine de, bir üye devletin gerçek ve güncel ya da öngörülebilir nitelikte ciddi bir ulusal güvenlik tehdidiyle karşı karşıya olduğu hallerde, etkili bir denetime tabi olmak kaydıyla çerçevelenmiş istisnaları kabul etti.

Bunlar gerçek güvencelerdir ve küçümsemek saçma olur. Ama hepsi olaydan sonra devreye girer. Verinin var olduğunu, saklandığını varsayar ve ardından kullanılma koşullarını düzenlerler.

Oysa konum şebekenin işleyişinin kaçınılmaz bir yan ürünüyse, uygun müdahale noktası gizlilik değildir. Kalıcılıktır.

Bir iletişimi yönlendirmek için gereken ve hemen ardından silinen anlık bir konum, bir gözetim aracı değildir. Aylarca saklanan bir konum geçmişi ise, çevresindeki erişim güvenceleri ne olursa olsun, bir gözetim aracıdır.

İkisi arasındaki fark hukuki değil, mimaridir. Ve Avrupa takvimi soruyu kuramsal olmaktan çıkarıp acil hale getiriyor. Komisyon, ortak yasa koyucular arasında uzlaşma sağlanamadığı için ePrivacy tüzüğü teklifini 2025’te geri çekti. O tarihten beri, ceza amaçlı veri saklamaya ilişkin ayrı bir araç üzerinde çalışıyor; 2026 için duyurulan bu araç, 2006 direktifinin iptalinden bu yana birbirinden uzaklaşmış ulusal rejimleri uyumlaştırmayı amaçlıyor. Başka bir deyişle, konum üstverilerinin rejimini on yıl boyunca belirleyecek metin şu anda, kilometrelik hücreler döneminde tasarlanmış bir muhakeme temelinde yazılıyor.

5G’nin kendi yarattığı emsal

Dosyanın en ilginç yanı, doğru cevabın teknik standartta zaten yer alması, ancak başka bir nesneye uygulanmış olmasıdır.

4G’ye kadar abonenin kalıcı kimliği, IMSI, bağlanma sırasında telsiz arayüzünde açık olarak dolaşıyordu. IMSI yakalayıcılarını mümkün kılan da budur: Electronic Frontier Foundation’ın başvuru niteliğindeki açıklamasına göre, cihazları kendine çekip kimliklerini yakalamak için meşru antenlerden daha güçlü yayın yapan sahte baz istasyonları.

3GPP şartnamelerinin 2019’da yayımlanan Release 15 sürümünden bu yana 5G zarif bir cevap getiriyor. Artık SUPI adı verilen kalıcı kimlik, telsiz arayüzünde SUCI ile değiştirilebilir: aboneye özgü kısmın, ana operatörün açık anahtarıyla eliptik eğri kriptografisi kullanılarak şifrelenmesiyle elde edilen gizlenmiş bir kimlik. Yalnızca ilgili özel anahtarı elinde tutan ana şebeke bunu çözebilir. Sonuç her hesaplamada benzersizdir; bu da bir oturumdan diğerine ilişkilendirmeyi engeller.

Benimsenen mantığın altını çizmek gerekir, çünkü yasa koyucuya yol göstermesi gereken mantık tam olarak budur: teknik olarak imkânsız olacağı için konum şifrelenmez, kimlik şifrelenir. Bağlanabilir bir kimlikten yoksun bir konumun bireyselleştirilmiş gözetim açısından değeri çok sınırlıdır.

Açık: isteğe bağlı bir koruma

Ne var ki önemli bir çekince mevcut ve bize göre bütün dosyanın en somut müdahale noktası bu.

National Institute of Standards and Technology tarafından Mart 2026’da yayımlanan NIST CSWP 36A teknik raporu bunu dolaysızca ifade ediyor. Release 15 veya sonrasına uygun cihazlar ve şebeke işlevleri SUCI’yi desteklemek zorundadır, ancak etkinleştirilmesi operatörün isteğine bağlıdır. Üç koşulun bir araya gelmesi gerekir: cihaz üreticisi desteklemeli, operatör kendi şebekesinde etkinleştirmeli ve SIM kart hesaplama için gerekli unsurları taşımalıdır.

Buna bir yapılandırma tuzağı eklenir. Standart, SUCI biçiminin resmen kullanıldığı ama gerçek bir şifreleme yapılmadığı, dolayısıyla kimliğin açık olarak dolaştığı bir sıfır koruma şeması öngörür. NIST, operatörün şebekesini sıfır olmayan bir koruma şemasıyla yapılandırmasının gerekli olduğunu yazar ve Federal Communications Commission’ın danışma organı CSRIC’in bir raporunun daha 2021’de sıfır şemasını yalnızca şebekenin tanımadığı bir cihazdan yapılan acil çağrılara ayırmayı önerdiğini hatırlatır.

Bu ifadeyi olduğu gibi bırakmakta yarar var. Mobil cihaz takibine karşı mevcut en iyi koruma teknik standartta 2019’dan beri var. Operatörün takdirine bırakılmış bir yapılandırma tercihine dayanıyor. Bir Amerikan federal kurumu, açılması gerektiğini hatırlatmak için 2026’da bir belge yayımlamayı yararlı görüyor. Ve hiçbir Avrupa hukuk aracı bunu zorunlu kılmıyor.

Eklemek gerekir ki SUCI konuyu kapatmıyor. 5G SUCI-catchers: still catching them all? başlığıyla sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesine imkân veren bağlanabilirlik saldırılarını belgeliyor ve saldırgan cihazı önceki bir nesle geçmeye zorlarsa koruma tümüyle çöküyor. Demek ki hukuki bir yükümlülük her şeyi çözmezdi. Yine de savunulabilir hiçbir gerekçesi olmayan bir açığı ortadan kaldırırdı: standardın izin verdiği ile ticari şebekelerin yaptığı arasındaki açığı.

Tutarlı üç müdahale

Konumun sonradan korunmak yerine tasarımdan itibaren asgariye indirilmesi gerektiği fikri ciddiye alınırsa, mantıken üç önlem kendini dayatır.

Kimliğin etkili biçimde gizlenmesini zorunlu kılmak. SUCI’nin etkinleştirilmesini dayatmak ve acil çağrıların artık durumu dışında ticari şebekelerde sıfır koruma şemalarını yasaklamak. Yeni bir teknoloji öngörmek ya da bir kurulumu finanse etmek söz konusu değildir; yedi yıldır standartlaştırılmış ve cihazlarda hâlihazırda bulunan bir işlevin açılmasını istemek söz konusudur.
Saklamayı varsayılan değil istisna saymak. Bir iletişimi yönlendirmek için gereken konum, bu işlev yerine getirilir getirilmez silinmelidir. Bir geçmiş oluşturmak özel bir gerekçe gerektirmelidir. Nerede olduğunuzu bilen bir şebeke ile nerede olduğunuzu hatırlayan bir şebeke arasındaki fark budur.
Anahtarın muhafazasını asıl bağlanma ölçütü haline getirmek. Verileri anlaşılır kılan anahtarlar başka yerdeyse, sunucuların Birlik içinde bulunması pek bir şey ifade etmez. Hukuken anlamlı ölçüt, şifre çözme araçları üzerindeki fiili hâkimiyet olmalıdır; bu soruyu Data Act ile CLOUD Act arasındaki çatışma vesilesiyle ayrıntılı olarak inceledik.

Arpokrat’ın izlediği bakış açısı

Bu muhakeme telekomünikasyon hukukuna özgü değildir. Kendi mimari tercihlerimize uyguladığımız muhakemedir ve tek cümleye sığar: üretilmemiş olanın korunmaya ihtiyacı yoktur.

ArpokratOS GPS, Bluetooth ve NFC’yi bir menüden kapatmak yerine çekirdek düzeyinde kaldırmasının nedeni budur. Bir anahtar bir politikadır: ayrıcalıklı bir bileşen tarafından atlatılabilir, bir güncelleme tarafından yeniden açılabilir, ele geçirilmiş bir sistem tarafından yok sayılabilir. Kod yolunu kaldırmak soruyu ortadan kaldırır. Bu, hukuk ölçeğinde savunduğumuz aynı kaymanın cihaz ölçeğine aktarılmasıdır: erişime değil, üretime müdahale etmek.

Bunun ne yapmadığını da hemen söylemek gerekir. Hiçbir işletim sistemi bir cihazı şebekenin geometrisinden çıkarmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve tüm trafiğin Tor üzerinden yönlendirilmesi bunu değiştirmez, çünkü Tor içeriği ve hedefi korur, telsiz katmanını değil. Konunun hukuki olmasının nedeni tam da budur. Hiçbir bireysel yapılandırmanın azaltmadığı ve tek değişkeni operatöre uygulanacak kural olan bir risk kategorisi vardır.

Aynı kaygı çalışmalarımızın geri kalanını da yönetir. Var olmayan bir veri ne el konulabilir, ne yeniden satılabilir, ne sızdırılabilir, ne de bugün kimsenin sahip olmadığı bir makineyle on yıl sonra çözülebilir; bu soruyu şimdi toplanıp sonra kırılan şifreleme açısından ele aldık.

Sonuç

Mobil gözetim üzerine kamusal tartışma neredeyse tamamen erişime odaklanıyor: verilere kim, hangi dayanakla, hangi izinle bakabilir. Bu tartışma meşrudur ve Adalet Divanı’nın 2014’ten bu yana verdiği kararlar somut sonuçlar doğurmuştur. Ama zincirde çok geç devreye giriyor.

Ondan önce gelen ve daha belirleyici olan soru, geçmişin var olup olmaması gerektiğidir. Bugün meşru bir gerekçeyle oluşturulan bir veri tabanı yarın bir başkası için kullanılabilir durumda kalır ve onu çevreleyen güvenceler, toplama anında kimsenin denetleyemediği sonraki siyasi kararlara bağlıdır. Bu, kurumların istikrarı üzerine, kimsenin süresini belirlemediği bir bahistir.

5G bu bilginin çözünürlüğünü kat kat artırdı, hiçbir mevzuat uyarlaması ise devreye girmedi. Aynı anda, SUCI mekanizması aracılığıyla, uygulanabilir yolun şebekenin fiziksel bir özelliğini şifrelemeye çalışmak değil, konumu kimlikten ayırmak olduğunu gösterdi. Teknik standart cevabı, hukuk soruyu sormadan yedi yıl önce verdi.

Veri saklamaya ilişkin Avrupa metni şimdi yazılıyor. Üstverilere, dolayısıyla konuma, dolayısıyla 5G’nin bugün yazarlarının tanımadığı bir incelikte ürettiği şeye ilişkin olacak. Verili sayılan bir geçmişe erişimi düzenlemekle yetinip yetinmeyeceği, yoksa bu geçmişin gerekliliğini sorgulamaya cesaret edip etmeyeceği, muhtemelen Avrupa’da önümüzdeki yılların en önemli mahremiyet sorusudur. Ve bu, teknik sektörün bir kez olsun doğru yönde çoktan karara bağladığı bir sorudur.

Kaynaklar

Avrupa Birliği Adalet Divanı, Digital Rights Ireland, birleştirilmiş C-293/12 ve C-594/12 sayılı davalar, 8 Nisan 2014
Avrupa Birliği Adalet Divanı, Tele2 Sverige ve Watson, birleştirilmiş C-203/15 ve C-698/15 sayılı davalar, Büyük Daire, 21 Aralık 2016
Avrupa Birliği Adalet Divanı, La Quadrature du Net ve diğerleri, birleştirilmiş C-511/18, C-512/18 ve C-520/18 sayılı davalar, Büyük Daire, 6 Ekim 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, Mart 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta ve diğerleri, 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Sürekli konum takibi: telefonunuz, engellediğinizi sandığınız anda bile sizi nasıl izler

Sun, 02 Aug 2026 00:00:00 +0000

2024 yılında Maryland Üniversitesi’nden iki araştırmacı, herhangi bir ayrıcalığa ya da özel donanıma sahip olmadan Apple’ın Wi-Fi konumlandırma servisini tekrar tekrar sorguladı ve bir yıl içinde dünya genelinde iki milyardan fazla Wi-Fi erişim noktasının kesin konumunu yeniden oluşturdu. Surveilling the Masses with Wi-Fi-Based Positioning Systems başlıklı makaleleri bu haritanın neye izin verdiğini gösteriyor: Ukrayna’ya giren ve oradan çıkan malzemeyi izlemek, Maui yangınlarının ardından nüfus hareketlerini gözlemek, bir kişiyi evindeki internet modemi üzerinden takip etmek.

Bu cihazların hiçbirinde GPS açık değildi. Konum bilgisi başka bir yerden geliyordu.

Mobil mahremiyet konusundaki en yaygın kör nokta budur: bir konum düğmesi bulunduğu ve o düğme kapatıldığında telefonun nerede olduğunu bilmeyi bırakacağı inancı. Bu inanç yedi ayrı düzeyde yanlıştır.

Konum, telefonunuzun açtığı bir özellik değildir. Telefonunuzun ne olduğuna dair bir niteliktir.

GPS, yani en az sorunlu vektör

Herkesin adını sayabildiği tek mekanizma, aynı zamanda sizi en az kaygılandırması gereken mekanizmadır.

Amerikan GPS’ini, Galileo’yu, GLONASS’ı ve BeiDou’yu kapsayan genel terim olan GNSS, dinleme yoluyla çalışır. Uydular zaman damgalı sinyalleri sürekli yayar, alıcı bunlardan birkaçını yakalar ve yayılma süresi farklarından konumunu hesaplar. Açık alanda olağan hassasiyet: üç ila beş metre, şehirde ise sıklıkla birkaç on metre, çünkü cepheler sinyalleri yansıtır.

Belirleyici nokta, bu hesabın pasif olmasıdır. Telefon uydulara doğru hiçbir şey yaymaz, hiçbir uydu işletmecisi sizin var olduğunuzu bilmez. Devrede yalnızca GNSS olsaydı, GPS’i kapatmak yeterdi.

Yine de bir nüans var. İlk konum hesabını hızlandırmak için telefonlar A-GPS kullanır: SUPL protokolü üzerinden bir sunucudan uydu efemeris verilerini indirir. Doğru veriyi alabilmek için telefon, bağlı olduğu şebeke hücresinin kimliğini bu sunucuya iletir. Saf GNSS sizi ele vermez, ama ona eklenen hızlandırıcı verir.

Mobil şebeke: operatörün yapısı gereği bildiği şey

Bir aramanın size ulaşabilmesi için şebekenin hangi bölgede olduğunuzu bilmesi gerekir. Bu açılıp kapatılan bir seçenek değil, hizmetin var olma koşuludur. Telefonunuz sürekli olarak en yakın antene kendini bildirir ve bu kayıt operatör tarafında iz bırakır. Kurulu hiçbir uygulama, verilmiş hiçbir izin gerekmez: etkin bir SIM kart yeter.

Hassasiyet yönteme bağlıdır:

Yalnızca hücre kimliği: yoğun kentsel alanda 200 metreden, tek bir antenin çok geniş bir yarıçapı kapsadığı kırsal bölgede 30 kilometreden fazlasına kadar.
Zenginleştirilmiş Cell ID: anten sektörünü (çoğu saha 120 derecelik üç sektöre bölünmüştür) ve sinyal gücünü ekler: 100 metreden birkaç kilometreye.
Timing advance: telefon ile anten arasındaki gidiş dönüş gecikmesini ölçer: GSM’de 550 metre mertebesinde, LTE’de 78 metre civarında.
Üç ya da daha fazla anten üzerinden çok yönlü konumlama: kentsel LTE’de 50 ila 300 metre.

5G ölçeği iki birikimli nedenle değiştirir. Önce yoğunluk: 5G hücreleri çok daha kısa yarıçapları kapsar, dolayısıyla yalnızca bağlanmış olmak bile ince bir bilgidir. Sonra standartlaşma: Release 16’dan bu yana 3GPP yerleşik konumlandırma sinyalleri içeriyor. Ticari hedefler cihazların %80’i için iç mekânda 3 metrenin, dış mekânda 10 metrenin altını gözetiyor ve Release 18 bazı endüstriyel kullanımlar için santimetreye iniyor.

Sizi bağlayan altyapı böylece, siz hiçbir şeyi etkinleştirmemişken GPS’e denk kalitede bir konumlandırma sistemine dönüşür. Bu veri ulusal kurallara göre saklanır ve değişken usullerle yetkililere açılır. Bu, barındırılan verilere uygulanacak yargı yetkisi konusunda ele aldığımız tartışmanın aynısıdır: teknik koruma ile hukuki koruma üst üste binmez.

Wi-Fi: donanım adreslerinden yapılmış bir dünya haritası

Her Wi-Fi erişim noktası, benzersiz bir donanım kimliğini, BSSID‘yi sürekli yayınlar. Bu kimlikler sabittir ve coğrafi olarak durağandır: bir ev modemi yıllarca aynı yerde kalır.

Apple, Google ve birkaç uzmanlaşmış aktör, her BSSID’yi koordinatlarla eşleştiren veritabanları tutar. Bu veritabanları, görünen erişim noktalarının listesini bir GNSS konumuyla birlikte gönderen kendi kullanıcılarının telefonlarınca oluşturulur. Sonra işlem tersine çevrilir: bilinen dört erişim noktasını gören bir telefonun artık tek bir uyduya bile ihtiyacı yoktur. Yoğun kentsel alanda hassasiyet çoğunlukla birkaç on metreye ulaşır, iç mekânda ise daha da altına iner.

İki özellik bu mekanizmayı etkisiz kılmayı zorlaştırır. Birincisi, telefon Wi-Fi kapalı görünse bile tarama yapar: Android 4.3’ten beri sistem, hızlı panel düğmesinden bağımsız olarak, konum doğruluğunu artırmaya yönelik periyodik bir taramayı sürdürür. Bu davranış, konum servislerinin içine gömülü, kullanıcıların neredeyse hiçbirinin hiç açmadığı ayrı bir ayara bağlıdır.

İkincisi, veritabanı dışarıdan sorgulanabilir. Rye ve Levin’in sömürdüğü açık tam da budur: konumlandırma arayüzleri yalnızca istenen konumu değil, komşu erişim noktalarının konumlarını da döndürür; bu da haritanın, o yerlere fiziksel olarak hiç yaklaşmadan devşirilmesini mümkün kılar.

Bluetooth ve BLE: başkalarının telefonlarıyla konumlanmak

Bluetooth Low Energy, birkaç metreden birkaç on metreye uzanan menzille bir yakınlık katmanı ekler; yani mobil şebekeden çok daha ince bir çözünürlük. İki kullanım bir arada bulunur. Mağazalarda, havalimanlarında veya alışveriş merkezlerinde konuşlandırılan ticari işaretçiler, telefondaki uygulamaların tanıdığı bir kimlik yayar; bu da hangi rafın önünde ne kadar süre durduğunuzu açığa çıkarır. Bir de modeli Apple’ın Find My’ı olan, sonrasında Google ve Samsung tarafından da benimsenen imece konum ağları vardır.

Bu ikinci mekanizma örtük bir varsayımı tersine çevirir. Darmstadt Teknik Üniversitesi araştırmacılarının PETS 2021 bildirilerinde yayımladığı referans çalışma Who Can Find My Devices?, Apple’ın protokolünü tersine mühendislikle yeniden kurdu. Çevrimdışı bir cihaz bir BLE sinyali yayar, yakındaki herhangi bir Apple cihazı bunu yakalar, kendi konumunu ekler ve şifreli olarak Apple’ın sunucularına iletir; bunu ne kendi sahibinin ne de konumu bulunan cihazın sahibinin haberi olmadan yapar.

Sonuç yapısaldır: SIM kartı olmayan, Wi-Fi’ı olmayan, hiçbir türden şebeke bağlantısı olmayan bir cihaz, cebinde telefonuyla yanından bir yabancı geçtiği sürece bulunabilir kalır. Yalıtımınız artık sizin ayarlarınıza değil, yoldan geçenlerin ayarlarına bağlıdır.

Eylemsizlik sensörleri: konum izni olmadan konumlandırmak

Bir telefonda ivmeölçer, jiroskop, manyetometre ve çoğu zaman barometre bulunur. Bu sensörler konumdan ayrı bir izin kategorisine girer: bir uygulama, nerede olduğunuzu hiç sormadan onları okuyabilir.

Princeton’lı araştırmacılar bunu PinMe ile gösterdi. Uygulamaları kaba bir konum için IP adresi ve saat diliminden yola çıkar, sonra sensörleri okur: ivmeölçer hızlanma ve frenleme profilini, jiroskop dönüşlerin sırasını, manyetometre yönü, barometre yükseklik değişimlerini verir. Bir sinir ağı ulaşım biçimini, yürüme, otomobil, tren ya da uçak olarak belirler ve güzergâh kamuya açık harita, yükselti ve hava durumu verileriyle örtüştürülür. Sonuç: konum izni olmadan, GPS’e denk hassasiyette bir yörünge. Yöntemin yazarların da belgelediği sınırları var; yol bulunmayan bölgelerde başarısız oluyor ve birçok güzergâhın aynı imzayı ürettiği düzenli ızgara planlarda bozuluyor. Yine de reddedilmiş bir iznin kapalı bir kapı olmadığının kanıtı olarak duruyor.

Barometre ayrıca GNSS’in kötü idare ettiği boyutu, dikeyi sağlar. Amerikan acil çağrı gereklilikleri, iç mekândan yapılan çağrıların %80’i için artı eksi 3 metrelik kat hassasiyeti şart koşuyor. Birinin hangi katta olduğunu bilmek, hangi yapı adasında olduğunu bilmekten başka türden bir bilgidir.

Veri pazarı: en sıradan vektör

Önceki mekanizmalar bir konumun nasıl hesaplandığını anlatır. Geriye o konumun nereye gittiği kalıyor ve gündelik riskin esası tam da orada oynanıyor.

Binlerce uygulama, bir geliştiricinin işini paraya çevirmek ya da erişimini ölçmek için eklediği üçüncü taraf yazılım bileşenleri olan reklam SDK’ları içerir. Bu bileşenler barındıran uygulamanın izinlerini devralır: konumunuza meşru biçimde ihtiyaç duyan bir hava durumu uygulaması onu, adını hiç okumadığınız aktörlere iletir. Buna bir de reklam açık artırma akışları eklenir; her afiş gösteriminde yaklaşık konumunuz onlarca olası alıcıya dağıtılır, hiçbir şey satın almayıp yalnızca dinlemekle yetinenlere de.

Bu hammadde koca bir endüstriyi besler. Electronic Frontier Foundation, 250 milyondan fazla cihaza dair milyarlarca veri noktası iddia eden ve bunları ABD’deki yerel polis birimlerine satan Fog Data Science vakasını belgeledi. Brian Krebs ise haritada bir çokgen çizip o bölgeye giren ve çıkan cihazların geçmişini görmeyi sağlayan Locate X adlı ürünü anlattı.

Bu vektör hiçbir teknik marifet gerektirmez, yalnızca birinin ödemeye razı olmasını. Fiyat da mütevazıdır.

IMSI yakalayıcılar: etkin konumlandırma

Şimdiye kadar görülen mekanizmalar normal işleyişten yararlanır. Bir de şebekeye müdahale eden bir üçüncü tarafça yürütülen etkin konumlandırma vardır.

IMSI yakalayıcı, ya da hücre simülatörü, kendini meşru bir anten gibi gösteren bir donanımdır. Menzildeki telefonlar ona bağlanır ve böylece abone kimliklerini ve dar bir çevre içindeki varlıklarını açık eder.

5G’nin, açık haldeki kalıcı kimliği şifreli bir kimlikle, SUCI ile değiştirerek bu kapıyı kapatması bekleniyordu. Kapanma kısmi kaldı. 5G SUCI-catchers: still catching them all? başlığı altında sunulan çalışmalar, şifrelemeye rağmen oturumların yeniden ilişkilendirilmesini sağlayan bağlantı saldırılarını belgeliyor. Daha da önemlisi, saldırgan cihazı önceki bir kuşağa, özellikle kimlik doğrulaması tek yönlü olan 2G’ye düşmeye zorlarsa koruma tümüyle çöker. 5G’li bir telefon, hâlâ oraya inmeyi kabul ettiği için 1990’ların şebekesi için tasarlanmış bir saldırıya karşı savunmasız kalır.

Karşı önlemler ve gerçek etkinlikleri

Aşağıdaki önlemlerin her biri bir şey yapar. Hiçbiri her şeyi yapmaz ve yaptıkları ile kendilerine atfedilen arasındaki açıklık, yanlış kararları doğurur.

Uçak modu

Uçak modu hücresel modemin, Wi-Fi’ın ve Bluetooth’un yayınını keser. Bu gerçek bir etkidir ve bu kadar az çabayla elde edilebilecek en iyi sonuçtur.

Yapmadıkları: eylemsizlik sensörlerini durdurmaz, yeniden bağlanıldığında gönderilecek olan önbelleğe alınmış konumları silmez ve çoğu cihazda moddan çıkmadan Wi-Fi ya da Bluetooth’un ayrı ayrı yeniden açılmasına izin verir. Son olarak bir yazılım durumudur, güç kesintisi değil: güvenilirliği onu uygulayan sistemin bütünlüğüne bağlıdır.

Hafife alınan bir ayrıntı: şebekeden ayrılma ve yeniden bağlanma, operatör tarafında zaman damgalı olaylardır. Saat 21’de bir hücrede kaybolup 23’te başka bir hücrede yeniden beliren bir telefon sessizlik değil, bilgi üretmiştir.

MAC adresi rastgeleleştirmesi

Mobil sistemler bugün, bir yerden diğerine izlemeyi önlemek için taramalar sırasında rastgele MAC adresleri yayar. Niyet iyi, sonuç eksiktir. Aralarında Why MAC Address Randomization is not Enough çalışmasının da bulunduğu referans araştırmalar, keşif çerçevelerinin içeriğinin cihazı yeniden tanımlamaya çoğu zaman yettiğini gösteriyor: bilgi öğelerinin sayısı, değerleri ve sıraları bir parmak izi oluşturuyor. Buna artımlı olduğu için zincirlenebilen sıra numaraları ve her modele özgü zamanlama imzası ekleniyor. Bazı çalışmalar cihazların yarısının en az yirmi dakika boyunca düzgün biçimde izlenebildiğini bildiriyor.

Son olarak kavramsal bir sınır: rastgeleleştirme yalnızca keşif aşamasını ilgilendirir. Bir ağa bağlandığınız andan itibaren kullanılan adres, bağlantının çalışabilmesi için tasarım gereği o ağ açısından sabittir. Her sabah gittiğiniz kahveci sizi tanır.

Taramaları gerçekten kapatmak

Bu, en kârlı ve en çok göz ardı edilen ayardır. Android’de Wi-Fi araması ve Bluetooth araması, konum servislerinin içinde yer alan, hızlı panel düğmelerinden bağımsız iki ayrı seçenektir. Bunlar etkin kaldığı sürece Wi-Fi’ı panelden kapatmak yetmez: tarama sürer.

Bunları devre dışı bırakmak, ilk konum hesabının biraz yavaşlaması dışında hiçbir bedeli olmadan koca bir toplama katmanını ortadan kaldırır. Okurların çoğu için harcanan çaba ile elde edilen sonuç arasındaki en iyi oran budur.

Uygulama izinleri

Konum iznini, buna açıkça ihtiyacı olmayan uygulamalardan geri almak yararlı olmayı sürdürüyor ve yeni sistemler üç kademe sunuyor: tek seferlik izin, etkin kullanımla sınırlı izin ve yalnızca bir kilometre mertebesinde bir bölge ileten yaklaşık konum.

Buna karşılık bu, konumunuza erişmek için meşru bir nedeni olan bir uygulamanın içindeki SDK’lardan da, eylemsizlik sensörlerinden de, hiçbir izinden geçmeyen şebeke katmanlarından da korumaz.

VPN’in korumadıkları

Tersi inanç çok yaygın olduğu için açıklığa kavuşturulması gereken bir nokta: VPN konumunuzu gizlemez. Genel IP adresinizi gizler, dolayısıyla zaten listedeki en kaba mekanizma olan IP tabanlı konum tespitini yanıltır.

Bir VPN ne GNSS alıcısına, ne Wi-Fi taramasına, ne Bluetooth’a, ne de sensörlere dokunur. Operatörünüzün bildiklerinde hiçbir şeyi değiştirmez, çünkü şifreli tünel onun antenlerinden geçer ve hücreye bağlanma onun için görünür kalır. Konum iznine sahip bir uygulamanın tünelin içinden tam koordinat göndermesine engel olmaz. VPN, güvenilmeyen bir ağda iletişiminizin içeriğini ve hedefini korur, bu da az bir şey değildir. Konum onun kapsamına girmez.

Fiziksel sınırlar

Faraday kılıfı sözcüğün tam anlamıyla işe yarar: yayını da alımı da engeller. Hâlâ mümkün olduğu yerlerde pilin çıkarılması da öyle. Ayrı bir cihaz ya da telefonu başka bir yerde bırakmak en sağlam önlem olmayı sürdürüyor.

Bu çözümlerin yüzleşilmesi gereken ortak bir kusuru var: bir anormallik üretirler. Her salı akşamı iki saat susan bir telefon bir şey söylüyordur. Anlık konumlar yerine örüntüleri çözümleyen bir hasım karşısında yokluk da bir veridir.

Üç hasım, üç strateji

Bu, yazının en önemli ayrımı ve en az okunanı.

Bir reklamveren ya da veri simsarı karşısında mücadele kazanılabilir. İzin disiplini, taramaların kapatılması, tescilli konum servisleri barındırmayan bir sistem, reklam kimliğinin sıfırlanması: hepsi birlikte toplanan hacmi çok güçlü biçimde azaltır. Bu hasım ucuz hacim peşindedir, sizin özel durumunuzun değil.

Operatörünüz karşısında hiçbir yapılandırma yetmez. Hücresel konum, hizmetin koşuludur. Tek gerçek değişkenler hukuki, yani yasanın saklanmasına ve iletilmesine izin verdikleri, ve maddidir: hangi cihaz, hangi SIM kart, kimin adına, nerede açık.

Hedefli bir devlet hasmı karşısında akıl yürütme yeniden değişir, çünkü bu hasım operatör verilerine yasal erişimi, hücre simülatörüyle etkin konumlandırmayı, platformlara yöneltilen talepleri ve gerektiğinde cihazın ele geçirilmesini birleştirir. Yazılımsal karşı önlemler yüzeyi küçültür, ama gerçekçi hedef yok olmak değildir: neyin açıkta kaldığını tam olarak bilmektir.

ArpokratOS’un yaklaşımı

ArpokratOS bu manzaraya, yukarıdaki ayrımdan doğan bir tercihle yanıt verir: etkisizleştirilmesi gereken, bir menüde değil, sistem düzeyinde etkisizleştirilir.

GNSS tarafında donanım sürücüsü kaldırılmıştır. Cihaz, hem uygulamalar hem de sistemin kendisi açısından yonga hiç yokmuş gibi davranır. Ayarlardaki bir düğmeyle farkı kozmetik değildir. Düğme bir politikadır: yeterince ayrıcalıklı bir bileşenin atlatabileceği, bir güncellemenin yeniden açabileceği ya da ele geçirilmiş bir sistemin görmezden gelebileceği bir katman tarafından uygulanır. Kod yolunu kaldırmak soruyu ortadan kaldırır, çünkü artık etkinleştirilecek bir şey yoktur.

Bluetooth aynı mantıkla Core düzeyinde ele alınır. Ayarlardan kapatılmış bir Bluetooth, birçok cihazda yakınlık servislerini ve imece konum ağlarını beslemek üzere yazılım yığınını fiilen canlı bırakır. Sistem düzeyinde bulunmadığında ise ne bir mağaza işaretçisiyle konuşabilir, ne Find My türü bir ağa katılabilir, ne de etkileşimsiz bir saldırı yüzeyi olabilir.

Bunun ne yapmadığını açıkça söylemek gerekir. ArpokratOS bir telefonu saptanamaz kılmaz. Bir SIM kart etkin olduğu sürece operatör bağlanılan hücreyi bilir ve hiçbir işletim sistemi bunu değiştirmez, tüm trafik Tor üzerinden geçse bile. Yönlendirme içeriği ve hedefi korur, radyo geometrisini değil. Görünmezlik vadeden, masal satıyordur.

Böyle bir mimarinin getirdiği daha mütevazıdır: gerçek toplamanın çok büyük kısmının geçtiği uygulama ve yakınlık katmanlarının kaldırılması ve geriye kalan için açık bir tehdit modeli. Bu, bir masaüstü sistemi seçerken uyguladığımız akıl yürütmenin aynısıdır ve işletim sistemleri karşılaştırmamızda ayrıntılandırılmıştır: yararlı soru bir aracın koruyup korumadığı değil, neye karşı ve hangi bedelle koruduğudur.

Sonuç

Bu yazı yok olmanın bir yöntemini sunmuyor. Böyle bir yöntem yok ve aksini iddia eden metinler her şeyden önce sahte bir güven üretir; bu da insanı risk almaya ittiği için korumasızlıktan daha tehlikelidir.

Amaç, ikili bir soruyu, yani konumum bulunabilir mi bulunamaz mı sorusunu, yararlı bir soruyla değiştirmekti: kim tarafından, hangi hassasiyetle, onlar açısından hangi maliyetle ve bu benim için önemli mi? Yanıt, bir kaynağı koruyan gazeteci, hassas bir yargı bölgesine seyahat eden bir yönetici, randevuları bir stratejiyi ele veren bir avukat ve bir reklamverenin alışkanlıklarını bilmesinden rahatsız olan bir birey için farklıdır.

Zaten dikkati hak eden, bu mekanizmaların tek tek performansı değil, birbirleriyle örtüşmeleridir. Elli metre yaklaşıklıkla bir konum çok ilgi çekici değildir. Elli metre yaklaşıklıkla bir konum, on beş dakikada bir, iki yıl boyunca kaydedildiğinde bir ev, bir işyeri, bir inanç, bir sağlık durumu, bir ilişki, bir kaynak çizer. Konum verisi, diğer bütün üstverileri okunabilir kılan üstveridir ve pahalı olmasının nedeni tam da budur.

Kaynaklar

Erik Rye, Dave Levin, Surveilling the Masses with Wi-Fi-Based Positioning Systems, IEEE Symposium on Security and Privacy, 2024
Alexander Heinrich et al., Who Can Find My Devices? Security and Privacy of Apple’s Crowd-Sourced Bluetooth Location Tracking System, PoPETs, 2021
Arsalan Mosenia et al., PinMe: Tracking a Smartphone User around the World, IEEE Transactions on Multi-Scale Computing Systems
Mathy Vanhoef et al., Why MAC Address Randomization is not Enough: An Analysis of Wi-Fi Network Discovery Mechanisms, AsiaCCS, 2016
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
5G NR Positioning Enhancements in 3GPP Release-18
Electronic Frontier Foundation, Inside Fog Data Science, the Secretive Company Selling Mass Surveillance to Local Police, 2022
Krebs on Security, The Global Surveillance Free-for-All in Mobile Ad Data, 2024
Electronic Frontier Foundation, Mobile Phones: Location Tracking, Surveillance Self-Defense

Utiq: Telekom Operatörlerinin Gizliliğinizi Tehdit Eden Yeni 'Süper Çerezi' (Super-Cookie)

Mon, 01 Jun 2026 00:00:00 +0000

Web tarayıcılarında üçüncü taraf çerezlerin (third-party cookies) planlanan sonu, hedefli reklamcılık sektöründe gerçek bir silahlanma yarışını tetikledi. Google kendi standartlarını (Privacy Sandbox gibi) dayatmaya çalışırken, beklenmedik bir başka oyuncu pastadan pay almaya karar verdi: İnternet Servis Sağlayıcınız (ISP).

Böylece, Avrupalı telekomünikasyon devleri tarafından kurulan bir ortak girişim olan Utiq (eski adıyla TrustPid projesi) doğdu. Kamuoyuna "şeffaf ve saygılı" bir çözüm olarak pazarlanan Utiq, aslında siber güvenlik uzmanlarının en çok korktuğu şeydir: ağ düzeyinde çalışan bir "süper çerez".

Utiq Nedir ve Nasıl Çalışır?

Geleneksel olarak reklam takibi (çerezler), web tarayıcınız (Chrome, Firefox, Safari) tarafından yönetilir. Bunu, eklentiler (örneğin uBlock Origin) veya gizlilik odaklı bir tarayıcı (örneğin Brave) kullanarak engelleyebiliyordunuz.

Utiq sorunu bir adım geriye, yani ağ bağlantınızın düzeyine taşır.

Tuzak şu şekilde kurulur:

Ağ Düzeyinde Müdahale: Mobil bağlantınız (4G/5G) veya ev yönlendiriciniz üzerinden internette gezindiğinizde, Utiq sizi tanımlamak için IP adresinizi ve telekom abonelik verilerinizi kullanır.
Onay (Sahte Seçim): Ortak bir siteye ulaştığınızda, beliren bir pencere (popup) sizden Utiq’i kabul etmenizi ister. Çerez banner’larının yarattığı bıkkınlık nedeniyle (Consent Fatigue), milyonlarca kullanıcı okumadan "Kabul Et" butonuna tıklar.
„Network Signal“: Onay verildikten sonra Utiq doğrudan telekom operatörünüzle iletişime geçer. Operatör, reklamcılara ilettiği benzersiz ve takma adlı (pseudonymized) bir kimlik belirteci (ağ sinyali) oluşturur.

Artık bilgisayarınızda depolanan bir dosya tarafından değil, size interneti sağlayan altyapının kendisi tarafından siteden siteye izlenebilir durumdasınız.

Utiq Neden Gizlilik İçin Bir Kabustur (OPSEC)

Bu girişim, dijital egemenlik ve verilerinizin gizliliği için ciddi sorunlar doğurmaktadır:

Kaynağında Takip: Klasik çerezlerin aksine, Utiq’ten kurtulmak için sadece "geçmişi silmek" veya "önbelleği temizlemek" yeterli olmaz. Kimlik belirteci doğrudan ISP’niz tarafından üretilir.
Profillerin Merkezileştirilmesi: Telekom operatörleri adınızı, fiziksel adresinizi, banka bilgilerinizi ve gerçek zamanlı konumunuzu zaten bilmektedir. Web tarama geçmişinizi Utiq aracılığıyla bu verilerle ilişkilendirerek, korkutucu doğrulukta davranışsal profiller oluştururlar.
Takma Ad Güvenliği Yanılgısı: Utiq, adınızı açık metin olarak paylaşmadığını savunarak "şifreli" belirteçler kullandığını iddia etmektedir. Ancak siber güvenlik dünyasında, takma adlaştırmanın tersine çevrilebilir olduğu kanıtlanmıştır. Bu belirteçlerin diğer veri tabanlarıyla çapraz eşleştirilmesi, bireylerin kimliklerinin kolayca yeniden tespit edilmesini sağlar.

Hangi Operatörler Utiq Kullanıyor?

Utiq, en büyük dört Avrupalı operatörün ittifakı tarafından kurulmuştur. Eğer bunlardan birinin müşterisiyseniz, bağlantınız zaten potansiyel olarak bu takiple "uyumludur".

OPSEC İpucu: Utiq, erişimi iptal etmek için merkezi bir onay yönetim portalı (consenthub.utiq.com) sunsa da, en iyi savunma teknolojik olandır.

Utiq’i Etkisiz Hale Getirmek İçin Zero-Trust Yaklaşımı

Arpokrat gibi ekosistemler tarafından savunulan dijital egemenlik felsefesi, basit bir ilkeye dayanır: ağ altyapısına asla güvenme.

Utiq gibi sistemleri teknik olarak etkisiz kılmak için çözüm, trafiğinizi kendi internet servis sağlayıcınızdan gizlemektir:

Egemen Bir VPN Kullanmak: Trafiğinizi cihazınızdan çıktığı andan itibaren şifreleyerek, ISP’nizin yalnızca VPN sunucusuna yönlendirilmiş okunamaz bir veri akışı görmesini sağlarsınız. Artık Utiq belirteçleri enjekte edemez veya okuyamaz.
Tor Ağı (Orbot): Onion yönlendirme, uçtan uca her türlü kimlik tespitini engeller.
DNS Şifreleme (DoH/DoT): Operatörünüzün hangi web sitelerini ziyaret etmek istediğinizi bilmesini engeller.

Özetle Utiq, internet servis sağlayıcılarının artık sadece birer "boru" olmakla yetinmediklerinin; birer veri komisyoncusu olmak istediklerinin kanıtıdır. Trafiğinizi şifrelemek artık bir güvenlik seçeneği değil, dijital sessizliğinizi korumak için mutlak bir zorunluluktur.