OPSEC on Arpokrat

Güvenlik ve Gizlilik İçin Hangi İşletim Sistemi? Windows, macOS, Linux, Tails, Whonix ve Qubes OS Karşılaştırması

Mon, 22 Jun 2026 00:00:00 +0000

Bir işletim sistemi seçimi, yalnızca arayüz tercihi veya yazılım uyumluluğu meselesi değildir. Giderek artan biçimde bir güvenlik ve gizlilik kararıdır. Her işletim sistemi verileri farklı biçimde toplar, farklı saldırı yüzeyleri oluşturur ve kullanıcıya çok değişken düzeylerde kontrol sunar. Bu karşılaştırma, pazardaki başlıca sistemleri yalnızca bu açıdan ele almaktadır; en yaygın kullanılanlardan en özelleşmiş olanlara kadar.

Temel Ölçüt: Sisteminizi Kim Kontrol Ediyor?

Her işletim sisteminin ayrıntısına girmeden önce belirleyici bir ilke: Bir işletim sisteminin güvenliği, temelde kimin kodu elinde tuttuğuna ve tasarım aşamasında hangi mimari kararların alındığına bağlıdır. Kapalı kaynaklı tescilli bir işletim sistemi (Windows, macOS), bu güveni yayıncısına devreder. Açık kaynaklı bir işletim sistemi, bu güveni kodu denetleyen topluluğa devreder. Bölümlere ayrılmış güvenlik için tasarlanmış bir işletim sistemi (Qubes OS) ise sistemin hiçbir bileşenine tamamen güvenilmemesi gerektiği ilkesinden yola çıkar.

Windows 11

Veri Toplama ve Telemetri

Windows 11, dünyanın en çok kullanılan masaüstü işletim sistemidir ve aynı zamanda varsayılan olarak en fazla veri toplayanlardan biridir. Microsoft telemetrisini iki resmi kategoriye ayırmaktadır:

Zorunlu veriler (Home ve Pro sürümlerinde devre dışı bırakılamaz): donanım yapılandırması, cihaz tanımlayıcıları, hata ve kararlılık raporları, güncelleme ve sürücü verileri. Bu veriler, kullanıcı tercihlerinden bağımsız olarak Microsoft’a iletilmektedir.

İsteğe bağlı veriler: kullanım davranışı, uygulama etkileşimleri, kişiselleştirme verileri. Ayarlardan devre dışı bırakılabilir; ancak bazı büyük güncellemeler sırasında otomatik olarak yeniden etkinleştirilmektedir.

Windows 11 24H2, yapay zekâyla bağlantılı birçok yeni veri toplama katmanı eklemiştir:

Windows Recall: Makinenizde yaptığınız her şeyin aranabilir bir zaman çizelgesini oluşturmak için her beş saniyede bir ekran görüntüsü alır. Devre dışı bırakılabilir, ancak varsayılan olarak etkindir ve diğer uygulamalar tarafından genişletilebilir erişim haklarına bağlıdır.
Copilot: Her sorgu, ekran görüntüleri, seçili metin ve açık uygulamalar bağlamı dahil olmak üzere Microsoft sunucularına iletilmektedir.
Defender Bulut Koruması: Şüpheli dosya karmalarını ve davranışsal verileri analiz için Microsoft bulutuna göndermektedir.

Pek çok bağımsız teknik kaynak tarafından belgelenen sonuç tartışmasızdır: Windows 11 Home ve Pro sürümlerinde telemetriyi tamamen devre dışı bırakmak mümkün değildir. Bunu yapmanın tek yolu; Enterprise veya Education sürümü kullanmak, belirli grup ilkeleri uygulamak ya da O&O ShutUp10++ veya WPD gibi üçüncü taraf araçlara başvurmaktır; ancak bu, kararsızlık risklerini beraberinde getirmektedir.

Saldırı Yüzeyi ve Güvenlik

Windows 11, dünya genelindeki kötü amaçlı yazılımların, fidye yazılımlarının ve exploitlerin büyük çoğunluğunun hedefidir; bu durum pazar payıyla doğru orantılıdır. Microsoft önemli güvenlik mekanizmaları sunmuştur (zorunlu TPM 2.0, Secure Boot, VBS, Credential Guard); ancak bunlar monolitik bir model içinde çalışmaktadır: çekirdek veya ayrıcalıklı bir sistem hizmetinin ele geçirilmesi tüm ortamı etkiler.

Güvenlik/gizlilik kararı: Karşılaştırmadaki en fazla saldırıya açık sistem; telemetri tamamen devre dışı bırakılamaz; güven modeli tamamen Microsoft’a ve ABD yargı yetkisine devredilmiştir.

macOS

Veri Toplama ve Telemetri

Apple, pazarlama imajının bir bölümünü gizlilik üzerine inşa etmiştir. Teknik gerçeklik ise daha nüanslıdır.

macOS varsayılan olarak Windows’tan çok daha az veri toplar; ancak toplama hâlâ gerçektir ve kısmen devre dışı bırakılamaz:

Gatekeeper ve OCSP doğrulaması: Her uygulama açılışında macOS, uygulamanın iptal edilmediğini doğrulamak amacıyla Apple sunucularına çevrimiçi bir doğrulama isteği gönderir. Bu istek, açılan uygulama ve cihazın IP adresi hakkında bilgi iletmektedir. Güvenlik zincirini bozmadan bu doğrulamaları devre dışı bırakacak yerel bir ayar bulunmamaktadır.
macOS Analitiği: Sistem kullanım verileri toplanmaktadır; Sistem Tercihleri > Gizlilik > Analiz bölümünden devre dışı bırakılabilir.
Apple uygulama telemetrisi: Haritalar, Siri, App Store ve diğer entegre Apple uygulamaları, sistem analitik ayarından bağımsız olarak dönen tanımlayıcılarla kendi veri toplamalarını sürdürmektedir.

Daha ileri gitmek isteyenler için güvenlik uzmanları, uygulama bazında giden bağlantıları izleyip engelleyebilen bir uygulama güvenlik duvarı (Little Snitch veya açık kaynaklı ve ücretsiz LuLu) kullanılmasını önermektedir.

Saldırı Yüzeyi ve Güvenlik

macOS birkaç sağlam güvenlik mekanizmasından yararlanmaktadır: sistem dosyalarını salt okunur olarak koruyan System Integrity Protection (SIP), Apple Silicon çiplerinde donanım düzeyinde Kernel Integrity Protection, App Store uygulamaları için sandbox ve yakın zamanlı makinelerde Secure Enclave. Apple kimliğiyle ilişki, kişisel veri toplamada başlıca vektördür.

Güvenlik/gizlilik kararı: Varsayılan telemetri açısından Windows’tan daha iyidir; ancak yine de devre dışı bırakılamaz OCSP doğrulamalarına, ABD yargı yetkisine ve Apple’ın kapalı modeline tabidir. Bağımsız denetim yapmak güçtür.

Linux (Genel Amaçlı Dağıtımlar)

Linux tek bir işletim sistemi değil, üzerine çok farklı dağıtımların inşa edildiği bir çekirdektir. Güvenlik ve gizlilik açısından ortak bir temel paylaşırlar; ancak birçok noktada ayrışırlar.

Ubuntu, yeni başlayanlar için en popüler dağıtımdır. 2012’de yerel aramaları Amazon sunucularına göndererek tartışma yaratmış; bu davranış daha sonra kaldırılmıştır. Ubuntu, devre dışı bırakılabilen kendi kullanım verisi toplamasını (whoopsie, ubuntu-report) sürdürmekte ve Canonical Ltd. tarafından kontrol edilen Snap depolarıyla sıkı entegrasyon sağlamaktadır.

Debian, Ubuntu’nun üzerine inşa edildiği temeldir; Canonical tarafından eklenen katmanlar olmaksızın. Kâr amacı gütmeyen topluluk projesi tarafından yönetilmekte olup özgür yazılıma sıkı bağlılık anlayışıyla varsayılan olarak hiçbir telemetri toplamamaktadır. Muhafazakâr güncelleme politikası genellikle saldırı yüzeyi açısından tercih edilmektedir.

Fedora, Red Hat (IBM’in yan kuruluşu) tarafından desteklenmekte olup hızlı güncelleme döngüsüyle teknik açıdan moderndir. Varsayılan olarak telemetri içermez; ancak Red Hat/IBM ile ilişkisi kurumsal bir bağımlılık yaratmaktadır.

Linux Mint, Ubuntu’dan türetilmiş olup Windows’tan geçen kullanıcılar için tasarlanmıştır. Ubuntu’nun en tartışmalı bileşenlerini kaldırmış (Snap varsayılan olarak yoktur) ve kendine özgü bir telemetri eklememiştir.

Arch Linux, minimalist felsefesiyle ileri düzey kullanıcıları hedefler: kullanıcı yalnızca ihtiyaç duyduklarını yükler. Telemetri yoktur, sürekli güncellemeler (rolling release) ve tam özelleştirme özgürlüğü sunar.

Linux’un Temel Katkıları

Açık ve denetlenebilir kaynak kodu: Herhangi bir güvenlik araştırmacısı çekirdek ve ana bileşenlerin kodunu inceleyebilir
Dayatılmış telemetri yok: Hiçbir büyük dağıtım, devre dışı bırakılamayan veri toplamayı zorla uygulamaz
Varsayılan olarak daha katı izin modeli: Günlük işlemlerden ayrı bir root hesabının kullanılması
Azaltılmış saldırı yüzeyi: Linux toplu kötü amaçlı yazılımların daha az hedefindedir

Güvenlik/gizlilik kararı: Veri toplama açısından Windows ve macOS’tan belirgin biçimde üstündür. Hiçbir genel amaçlı dağıtım, bir uygulamanın ele geçirilmesinin tüm sisteme yayılmasına karşı koruma sağlamaz.

Tails OS

Felsefe: Koruma Olarak Bellek Yitimi

The Amnesic Incognito Live System kısaltması olan Tails, 2024’te Tor Project ile birleşen Debian tabanlı bir işletim sistemidir. Felsefesi diğer tüm işletim sistemlerinden köklü biçimde farklıdır: kalıcı bir ortamı güvenli kılmaya çalışmak yerine, varsayılan olarak tüm kalıcılığı ortadan kaldırır. Tails yalnızca bir oturum süresince var olur.

Teknik Mimari

Tails tamamen bir USB bellekten (en az 8 GB) çalışır ve tümüyle RAM üzerinde işlem yapar. Kapattığınızda, kullanılan ana makinede hiçbir iz kalmaz: geçici dosya yok, geçmiş yok, kimlik bilgisi yok, kullanılan bilgisayarın sabit diskinde adli delil eseri yok. O bilgisayar yazılım düzeyinde ele geçirilmiş olsa bile bu durum değişmez: Tails, diskine hiçbir zaman yazı yazmaz.

Varsayılan ve istisnasız Tor

Tails’in tüm ağ trafiği sistematik olarak Tor ağı üzerinden yönlendirilir. Bir uygulama Tor’u atlayarak doğrudan bağlantı kurmaya çalışırsa Tails bunu engeller. Tails’i yanlışlıkla da olsa Tor olmadan kullanmak mümkün değildir.

Şifreli Kalıcı Depolama (isteğe bağlı)

Tails, varsayılan olarak her kapanışta her şeyi unutur. Oturumlar arasında belirli verileri saklamaları gerekebilecek kullanıcılar için Tails, Kalıcı Depolama sunar: USB belleğin kendisinde oluşturulan, parola ifadesiyle korunan şifreli (LUKS) bir birim. Kullanıcı, orada nelerin saklanacağını tam olarak seçer: bazı dosyalar, uygulama yapılandırmaları, PGP anahtarları vb. Bu kalıcı depolama, Tails’in ana makineye karşı bellek-yiten doğasını değiştirmez; yalnızca iki oturum arasında USB bellekte nelerin korunduğunu etkiler.

Önceden Yüklenmiş Araçlar

Tails; Tor Browser, şifreli posta istemcisi, dosya şifreleme aracı (Kleopatra/GnuPG), güvenli mesajlaşma istemcileri ve büro işleri için LibreOffice ile birlikte önceden yapılandırılmış olarak gelir. Yüksek güvenlikli rutin kullanım için ek yazılım yüklenmesine gerek yoktur.

2026 Teknik Notu: Tails 7.7, Secure Boot sertifikaları hakkında bir uyarı ekledi; çünkü Microsoft’un 2011 tarihli anahtarları Haziran 2026’da sona ermeye başlamaktadır. Firmware UEFI’si güncellenmeyen kullanıcılar, bazı makinelerde Tails’i artık başlatamayabilir.

Tails’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Tails Koruması
El koyma sonrası ana makine diskinin adli incelenmesi	Tam: ana makine diskine hiçbir zaman dokunulmaz
Ağ gözetimi (IP, ziyaret edilen siteler)	Tor aracılığıyla güçlü; ancak Tor’un sağlamlığına bağlıdır
Ana makinedeki kalıcı kötü amaçlı yazılım	Atlanır: Tails, kurulu sistemi kullanmaz
BIOS/UEFI kötü amaçlı yazılımı (ele geçirilmiş firmware)	Hiç: Tails, kullanılan makinenin firmware’ine karşı koruma sağlayamaz
İnsan hatası (kişisel hesaba bağlanma)	Hiç: Tails altında Gmail’e giriş yaparsanız oturumun anonimliğini bozarsınız
Oturumdaki bir yazılımın ele geçirilmesi	Mevcut oturumla sınırlı; kapanışta yok edilir

Dürüst Sınırlamalar

Tails günlük kullanıma uygun değildir: kalıcılık yokluğu, her başlatmada ortamın yeniden yapılandırılmasını gerektirir
BIOS veya firmware türünde bir kötü amaçlı yazılım (UEFI düzeyinde bir implant gibi), Tails oturumunu potansiyel olarak tehlikeye atabilir; çünkü Tails, üzerinde çalıştığı makinenin firmware katmanını kontrol etmez
Kişisel bir hesaba (e-posta, sosyal ağ) bağlanmak, Tor’dan bağımsız olarak oturumun anonimliğini ortadan kaldırır

Kimler İçin?

SecureDrop aracılığıyla kaynaklarla çalışan gazeteciler, baskıcı rejimlerdeki gözetim altındaki aktivistler, kontrol edilmeyen donanım üzerinde tek seferlik yüksek hassasiyetli oturum ihtiyacı duyan herkes. Glenn Greenwald ve Laura Poitras tarafından Snowden belgelerini işlemek için kullanılan; EFF, Freedom of the Press Foundation ve Tor Project tarafından tavsiye edilen araç.

Karar: Tek seferlik yüksek hassasiyetli oturumlar için birinci tercih araç. Günlük ana işletim sistemi değildir.

Whonix

Felsefe: Ağ İzolasyonu Aracılığıyla Yapısal Anonimlik

Whonix, Tails’den farklı bir soruya yanıt verir: Oturumdan sonra tüm izleri silmek yerine, çalışma ortamında çalışan bir kötü amaçlı yazılımın —çalışma sanal makinesinde root haklarına sahip olsa bile— yapısal olarak kullanıcının gerçek IP adresini öğrenememesini sağlar.

Whonix, Debian’a dayanmaktadır (aynı ekip tarafından geliştirilen Debian’ın sertleştirilmiş bir sürümü olan KickSecure aracılığıyla) ve herhangi bir ana işletim sistemi üzerinde Tip 2 hiper yönetici (VirtualBox, KVM) içinde ya da Tip 1 olarak Qubes OS’da yerel biçimde çalışır.

İki VM Mimarisi

Whonix’in temel ilkesi, iki ayrı sanal makine aracılığıyla uygulanan ağ katmanı ile uygulama katmanı arasında kesin bir ayrımdır:

Whonix-Gateway, birinci VM’dir. Tor arka plan programını çalıştırır ve yalnızca ağ geçidi işlevi görür. İnternet’e erişebilen tek VM odur. Herhangi bir kullanıcı uygulaması içermez. Tek rolü, gelen ve giden tüm ağ trafiğini yakalamak ve Tor üzerinden geçmesini zorlamaktır.

Whonix-Workstation, ikinci VM’dir. Tarayıcı, mesajlaşma, dosya işleme, geliştirme gibi çalışma ortamıdır. İnternet’e yalnızca Whonix-Gateway’e işaret eden dahili sanal ağ üzerinden bağlıdır. Doğrudan İnternet erişimi yoktur; Gateway’i atlayacak hiçbir bağlantı kapasitesi yoktur.

Workstation’dan bir ağ isteği yapıldığında şunlar gerçekleşir:

Uygulama bir ağ isteği gönderir
Workstation bunu dahili ağ arayüzü aracılığıyla Gateway’e iletir
Gateway isteği yakalar ve Tor aracılığıyla (üç ardışık aktarma) yeniden yönlendirir
Yanıt aynı yoldan ters yönde gelir
Workstation, çıkış IP adresini hiçbir zaman bilmeksizin yanıtı alır

Temel güvence: Bir kötü amaçlı yazılım, Workstation’ı root haklarıyla ele geçirse bile kullanıcının gerçek IP adresini öğrenemez; çünkü Workstation’ın kendisi buna hiçbir zaman erişemez. Workstation yalnızca Gateway’in dahili IP adresini görür.

Ek Güvenlik Mekanizmaları

Stream izolasyonu: Whonix, farklı uygulamalar için ayrı Tor devreleri kullanır (tarayıcı, e-posta istemcisiyle aynı devreyi kullanmaz vb.); bu sayede farklı etkinlikler arasındaki trafik korelasyonu önlenir.

Başlatma saati rastgeleleştirme: Zamanlama saldırılarını önlemek amacıyla Workstation’ın sistem saati her başlatmada hafifçe rastgele kaydırılır.

sdwdate: Whonix, IP adresini sızdırabilecek klasik NTP yerine Tor aracılığıyla soğan sunucularından zaman alan kendi zaman senkronizasyon arka plan programını (sdwdate) kullanır.

AppArmor: AppArmor profilleri, Tor Browser gibi kritik uygulamaların sistem düzeyinde sandboxlanmasını sertleştirir.

Tek kullanımlık VM’ler: Whonix, Tails yaklaşımına benzer şekilde kalıcılık olmaksızın tek seferlik görevler için tek kullanımlık Workstation’ları destekler (Qubes-Whonix’te Whonix-Workstation DispVM); ancak geri kalanı kalıcı bir ortamdır.

Üç Dağıtım Modu

VirtualBox veya KVM üzerinde Whonix (Tip 2): En erişilebilir mod. İki VM, mevcut bir ana işletim sistemi (Windows, Linux, macOS) üzerinde çalışır. Pratiktir; ancak ana işletim sistemine ek bir güven katmanı ekler: Ana sistem ele geçirilirse Whonix’in koruması aşılabilir.

Qubes-Whonix (Tip 1, önerilen): Whonix, Qubes OS’a şablon olarak yerel biçimde entegre edilmiştir. Gateway, ProxyVM (sys-whonix) haline gelir; Workstation ise AppQube (anon-whonix) haline gelir. İzolasyon, potansiyel olarak savunmasız bir ana işletim sistemi üzerinde çalışan Tip 2 hiper yönetici yerine bare-metal Xen hiper yöneticisine dayandığından bu en sağlam yapılandırmadır. Her iki proje tarafından da önerilen kombinasyon budur.

Fiziksel izolasyon (gelişmiş mod): Gateway ve Workstation, Ethernet kablosuyla birbirine bağlı iki ayrı fiziksel makinede çalışır. Workstation’ın Gateway’e bağlı olandan başka ağ kartı yoktur. Bu mod güven tabanını büyük ölçüde azaltır; ancak iki ayrı makine gerektirir.

Whonix’in Neye Karşı Koruma Sağladığı ve Sağlamadığı

Tehdit	Whonix Koruması
Workstation’dan IP adresi sızıntısı	Mimari gereği yapısal olarak imkânsız
DNS sızıntıları	İmkânsız: tüm DNS, Gateway üzerinden Tor’dan geçer
Gerçek IP’yi arayan Workstation’daki root kötü amaçlı yazılımı	Hiç: onu bulamaz
Gateway’in kendisinin ele geçirilmesi	Kısmi: Gateway ele geçirilirse IP sızabilir
Ana işletim sisteminin ele geçirilmesi (Tip 2 modunda)	Hiç: ele geçirilmiş bir ana sistem her iki VM’yi de gözlemleyebilir
Kullanıcı davranışıyla kimlik saptanması	Hiç: Whonix insan hatalarına karşı koruma sağlamaz
El koyma sonrası disk adli incelemesi	Kısmi: Whonix varsayılan olarak kalıcıdır, tek kullanımlık VM’ler hariç

Dürüst Sınırlamalar

Whonix diskteki izleri silmez: varsayılan olarak kalıcıdır (Tails’in aksine). Makinenize el konulursa ve ana disk şifrelemesi yoksa veya zayıfsa, VM verileri kurtarılabilir
Tip 2 modunda (bir ana işletim sistemi üzerinde VirtualBox/KVM), Whonix’in güvenliği ana işletim sisteminin güvenliğiyle sınırlıdır. Ele geçirilmiş bir ana sistem, iki VM arasındaki trafiği potansiyel olarak gözlemleyebilir
Çift sanallaştırma ve Tor üzerinden yönlendirme performansı etkiler: bağlantılar yavaştır, büyük indirmeler günlük kullanımda güçtür

Kimler İçin?

Yapısal ağ anonimliğine sahip kalıcı bir çalışma ortamına ihtiyaç duyan herkes: hassas yazılım geliştirme, uzun süreli takma adla araştırma, birden fazla ayrı dijital kimlik yönetimi, soğan sunucuları. Qubes-Whonix kombinasyonu, pek çok güvenlik uzmanı tarafından günlük kullanım için mevcut en sağlam anonim çalışma ortamı olarak değerlendirilmektedir.

Karar: Kalıcı ortamlarda yapısal ağ anonimliği için referans işletim sistemi. Tails’i (tek seferlik oturumları yöneten) tamamlar, ona rakip değildir.

Qubes OS

Felsefe: Bölümlere Ayırma Yoluyla Güvenlik

Qubes OS, önceki tüm sistemlerden köklü biçimde farklı bir yaklaşımı temsil eder. Diğer işletim sistemleri ele geçirmeleri önlemeye çalışırken Qubes, radikal biçimde farklı bir varsayımdan yola çıkar: Bazı bileşenlerin ele geçirilmesi kaçınılmazdır. Amaç, yayılmamasını sağlamaktır.

2012’de güvenlik araştırmacısı Joanna Rutkowska tarafından yaratılan Qubes OS, diğer güvenlik profesyonellerinin yanı sıra Edward Snowden tarafından kamuoyu önünde tavsiye edilmektedir.

Teknik Mimari

Temel katman olarak Xen hiper yöneticisi

Qubes, klasik anlamda bir Linux dağıtımı değildir. Qubes adı verilen hafif sanal makineler oluşturmak için, ara bir ana işletim sistemi olmaksızın doğrudan donanım üzerinde çalışan bare-metal bir sanallaştırma yazılımı olan Xen hiper yöneticisini kullanır. Qubes’ler arasındaki izolasyon, VM’lerin açık izin olmaksızın diğer VM’lerin belleğine veya aygıtlarına erişmesini engelleyen Intel VT-x/VT-d ve AMD-Vi (IOMMU) teknolojileri aracılığıyla donanım

Parola ve Entropi: Güvenliğinizin arkasındaki bilim

Wed, 03 Jun 2026 00:00:00 +0000

« Parolanız 8 karakter, bir büyük harf, bir küçük harf, bir rakam ve bir özel karakter içermelidir. »

Hepimiz bu kuralı biliyoruz. Ancak siber güvenlikte buna “güvenlik tiyatrosu” diyoruz. P@ssw0rd1! gibi bir parola bu kuralların hepsine uyar, ancak herhangi bir modern bilgisayar korsanlığı yazılımı tarafından göz açıp kapayıncaya kadar kırılır.

Gerçek güvenlik, keyfi görsel kurallara değil, affetmez bir matematiksel gerçekliğe dayanır: entropi.

Claude Shannon’a Göre Entropi

Bir parolanın gücünü anlamak için bilgi teorisinin babası Claude Shannon’a bakmalıyız. Entropi, bilginin belirsizlik veya öngörülemezlik derecesini ölçer.

Parolalara uygulandığında entropi bit cinsinden hesaplanır. Bit sayısı ne kadar yüksek olursa, parolanın bir bilgisayar için öngörülmesi o kadar zor olur. Rastgele oluşturulmuş bir parolanın entropisi (E) için basitleştirilmiş formül şöyledir:

E = L × log2(R)

L parolanın uzunluğudur.
R havuz boyutudur (küçük harfler için 26, büyük harfler ve rakamlar eklendiğinde 62, sembollerle birlikte 94).

Havuz boyutunu artırmak (semboller eklemek) entropiyi artırır, ancak uzunluğu artırmak (karakter eklemek) bunu çok daha ciddi şekilde artırır. Ancak uzunluk, karmaşıklığı yalnızca tek bir şartla yener: parolanın tamamen rastgele oluşturulması gerekir.

Kaba Kuvvet (Brute Force) vs. Sözlük Saldırısı

Kelimeler veya öngörülebilir yapılar kullanırsanız, salt uzunluk kuralı çöker.

Bilgisayar korsanlığı yazılımları tüm harf kombinasyonlarını tek tek denemez (buna Kaba Kuvvet / Brute Force denir). Milyarlarca mevcut kelime, yaygın ifade ve geçmiş veri sızıntılarını içeren devasa veritabanları kullanırlar. Bu Sözlük Saldırısıdır (Dictionary Attack).

Parolanız uzun olsa bile sözlük kelimelerinden veya öngörülebilir değiştirmelerden oluşuyorsa, gerçek entropisi teorik matematiksel entropisinden önemli ölçüde düşüktür.

Modern grafik kartlarından (GPU) oluşan bir kümeye karşı tahmin edilen kırılma süreleri aşağıdadır; yapısal zayıflıklardan yararlanılarak bulunan en hızlı yol kalın harflerle vurgulanmıştır:

Parola	Teorik Entropi	Kaba Kuvvete Karşı	Sözlüğe Karşı
`password123`	~15 bit	Birkaç saat	Anında
`S3cr3t!99`	~40 bit	Birkaç yıl	Birkaç saat / gün (mutasyonlar yoluyla)
`correct horse battery staple`	~130 bit	Milyarlarca yıl	Birkaç saat / gün
`gL7!pQ9z#vX2`	~78 bit	~3.000 yıl	Başarısızlık (Kaba kuvvete dönüş)

Leetspeak Yanılsaması ve Mutasyon Kuralları

S3cr3t!99 örneğini ele alalım. Görsel olarak karmaşık ve sağlam görünüyor. Oysa bu sadece sözlükteki “secret” kelimesidir, ’e’ harfleri ‘3’ ile değiştirilmiş ve sonuna çok yaygın bir ek (!99) eklenmiştir. Buna leetspeak denir.

Sözlük saldırısına karşı bu parola sadece birkaç saat, hatta dakikalar dayanabilir. Modern kırma yazılımları (Hashcat gibi) yalnızca statik kelime listelerini test etmekle yetinmez; otomatik olarak mutasyon kuralları uygularlar. Sözlüklerindeki her kelimeyi alırlar, olası tüm leetspeak kombinasyonlarını test ederler, büyük-küçük harfleri değiştirirler ve yıllar veya semboller eklerler. Leetspeak yalnızca yanlış bir güvenlik hissi sağlar.

Klavye Kaydırma Hilesi (Keyboard Shift)

Akılda kalıcı bir ifadeyi karmaşıklaştırmak için bazıları klavye düzenini kaydırma hilesini kullanır. Örneğin, my-cat gibi bir ifadeyi ezberlersiniz. Ancak bunu yazarken işletim sisteminiz AZERTY (Fransızca) olarak ayarlanmışken parmaklarınızı fiziksel bir QWERTY klavyeye yerleştirirsiniz.

Düşünülen kelime: my-cat
Yazılan sonuç: ,y)cqt (’m’ tuşu ‘,’ olur; ‘-’ ise ‘)’ olur; ‘a’ ise ‘q’ olur).

OPSEC’te bu iyi bir fikir mi? Hayır, tek başına kullanıldığında bu yöntem yeterli değildir. Tıpkı leetspeak’te olduğu gibi, gelişmiş kırma yazılımları uluslararası klavye kaydırmalarını (QWERTY, AZERTY, QWERTZ, Dvorak) otomatik olarak test eden donanım mutasyon kuralları içerir. OPSEC’te bu gizlilik yoluyla güvenliktir: amatör bir saldırganı geciktirir, ancak hedefli ve donanımlı bir saldırıyı durdurmaz.

Bununla birlikte, bu teknik halihazırda temelde güçlü olan bir parolayla birleştirilirse (çok uzun, akılda kalıcı bir parola cümlesi gibi), halihazırda sağlam olan bir yapının içine beklenmedik özel karakterler sokarak entropiyi önemli ölçüde artırır.

İdeal Parolanın Oluşturulması (~250 bit)

Kelime listelerinin, leetspeak’in ve yazma hilelerinin sınırları varsa, mükemmel ana parolayı nasıl oluşturabiliriz? Optimum güvenliğe ulaşmak ve yeni nesil bilgisayar araçlarına direnmek için mevcut hedef yaklaşık 250 bit entropiye ulaşmaktır.

İhtiyaçlarınıza bağlı olarak bunu başarmanın iki yolu vardır:

1. Tamamen Rastgele Seçenek (Parola yöneticisi için idealdir)

Tamamen rastgele oluşturulmuş bir karakter dizisi, bir makinenin tahmin etmesini son derece zorlaştırır: k9$Yz2!pL#8vQx5@mN7*jW4&hC1%bF3^tR9(dZ6 Tüm sembol havuzunu kullanan 39 rastgele karakter.

2. Hibrit Parola Cümlesi Seçeneği (Akılda kalıcı bir ana parola için idealdir)

Rakamlar ve sembollerle sıkı bir şekilde birleştirilmiş, rastgele oluşturulmuş sözlük kelimelerinin bir dizisi: Sovereign_Crypto_99_Privacy_Zero_Knowledge_Secure_2026_Key_Lock_Cloud_Act_Grover Bu yöntem, bir insanın yapıyı görsel veya kas hafızasıyla ezberlemesine olanak tanırken devasa bir matematiksel bariyeri korur.

Kuantum Tehdidi: Grover Algoritması

128 bit günümüzün süper bilgisayarlarını zaten engelliyorken neden 250 biti hedefleyelim? Cevap, kuantum hesaplamanın ortaya çıkışında yatıyor.

Kriptografide Grover algoritması, bir kuantum bilgisayarın sıralanmamış bir veritabanında klasik bir bilgisayardan çok daha hızlı arama yapmasını sağlar. Somut olarak Grover, simetrik bir anahtarın veya parolanın etkili güvenlik seviyesini yarıya indirir.

Grover algoritmasını çalıştıran bir kuantum bilgisayarına karşı, 128 bit entropili bir parola yalnızca 64 bite eşdeğer bir direnç sunacaktır (bu da kırılabilir hale gelir).

Sonuç olarak, kuantum sonrası bir dünyada gerçek 128 bit güvenliği sürdürmek için başlangıç entropisini iki katına çıkarmak gerekir. Bu, Harvest Now, Decrypt Later (HNDL) konseptinin temel direklerinden biridir: devlet saldırganları yarın kırmak için bugün şifrelenmiş verileri vakumluyor. 250 bit entropiyi hedeflemek, ana anahtarlarınızı uzun vadede korumak için asgari standarttır.

Arpokrat Password Generator: Kendiniz Test Edin

Erişiminizin güvenliğini şansa bırakmayın. Kriptografik olarak sağlam (kuantum sonrası dahil) parolalar oluşturmanıza ve hepsinden önemlisi kendi parolalarınızın gerçek entropisini değerlendirmenize olanak tanıyan dahili bir araç geliştirdik.

👉 Arpokrat Password Generator

Mevcut parolalarınızı modern hesaplama gücüne dayanıp dayanamayacaklarını görmek için test edin. Araç, tarayıcınızda %100 yerel olarak çalışır, ağda hiçbir veri dolaşmaz.

Son Zayıf Halka: Geri Dönüşüm ve Erişim Yönetimi

Matematiksel entropi insan hatasına karşı koruma sağlamaz. 250 bitlik bir parola, birden fazla sitede yeniden kullanılırsa (Credential Stuffing adı verilen bir saldırı) veya ikinci bir kimlik doğrulama faktörü (2FA) ile korunmuyorsa işe yaramaz.

Dijital hijyenin altın kuralı, sadece tek bir parolayı hatırlamak zorunda olmaktır: 250 bitlik ana parolanız (hibrit bir parola cümlesi şeklinde). Diğer tüm erişimleriniz (banka, sosyal ağlar, sunucular), kendileri için özel olarak oluşturulmuş 250 bit saf entropiye (rastgele karakter dizileri) sahip benzersiz parolalar kullanmalıdır.

Kafanızda hatırlanması imkansız olan bu hacimdeki anahtarları depolamak ve yönetmek için Sıfır Bilgi (Zero-Knowledge) parola yöneticisi kullanımı çok önemlidir. Mevcut en iyi standartlardan biri Proton Pass ’tir. İsviçre merkezli, açık kaynaklı ve uçtan uca şifreli olması, kendi mühendislerinin bile kasanızın içeriğini okuyamamasını garanti eder. Arpokrat tarafından üretilen ultra güçlü anahtarları depolamak ve tüm dijital yaşamınızı gerçek bir matematiksel bariyerin arkasına kilitlemek için ideal bir yol arkadaşıdır.

Çığlık Atan Sessizlik: Warrant Canary Nedir ve Kaybolması Sizi Neden Endişelendirmelidir?

Mon, 01 Jun 2026 00:00:00 +0000

yüzyıl kömür madenlerinin derinliklerinde, madenciler yanlarında kafeslenmiş kanaryalar taşırlardı. Karbon monoksit gibi zehirli gazlara karşı son derece hassas olan bu küçük kuşlar, madenciler tehlikeyi fark etmeden çok önce ölürlerdi. Böylece sessiz ama son derece etkili bir erken uyarı sistemi olarak hizmet ettiler.

Modern dijital dünyamızda, bu kuş « Warrant Canary » şeklinde hayata geri döndü.

Warrant Canary Nedir?

Bir hizmet sağlayıcı (mesajlaşma, VPN, barındırma) tarafından düzenli olarak güncellenen ve o kesin tarihe kadar, kullanıcılarının verilerini tehlikeye atmaya zorlayan hiçbir gizli yasal talep almadığını (Amerikan National Security Letter (NSL) veya bir FISA mahkemesi kararı gibi) doğrulayan halka açık bir beyandır.

Kanaryanın tüm inceliği — ve ciddiyeti — kaybolduğunda ne olduğunda yatar.

Her ay “Hiçbir gizli emir almadık” beyanını gösteren bir hizmet bunu güncellemeyi aniden durdurursa, bilgili kullanıcı açık olanı anlar: kanarya öldü.

Şirket, bu talebin varlığını açıklamasını yasal olarak yasaklayan bir konuşma yasağı (gag order) ile birlikte bir gözetim önleminin hedefi olmuştur. Tehlikeye atıldıklarını söyleyemedikleri için, sadece güvende olduklarını söylemeyi bırakırlar.

Görünmez Gözetim Çağı

CLOUD Act ve FISA gibi yasaların ABD hükümetine verileri ele geçirme yetkisi verdiği bir dönemde, Warrant Canary çok önemlidir.

Proton : İsviçre mesajlaşma servisi sıkı bir kanarya yayınlar.
Riseup : Aktivistler için güvenli iletişim kolektifi.
Arpokrat : Kendi ekosistemimiz, kriptografik olarak güncellenen halka açık bir Warrant Canary tutar.

Yasal Analiz: Yalan Söylememe Hakkı

Kanaryanın varlığı compelled speech (zorlanmış konuşma) doktrinine dayanır. Devletin size sessizlik dayatma gücü varsa (bir yayın yasağı aracılığıyla), sizi yalan söylemeye zorlama anayasal gücü yoktur.

Arpokrat Yaklaşımı (Zero-Knowledge)

İsviçre FADP yasası altında, Arpokrat’ın Zero-Knowledge mimarisi bir emre uymayı teknik olarak imkansız kılar. Teslim edilecek hiçbir özel anahtar veya kimlik (Zero-ID) yoktur.

Utiq: Telekom Operatörlerinin Gizliliğinizi Tehdit Eden Yeni 'Süper Çerezi' (Super-Cookie)

Mon, 01 Jun 2026 00:00:00 +0000

Web tarayıcılarında üçüncü taraf çerezlerin (third-party cookies) planlanan sonu, hedefli reklamcılık sektöründe gerçek bir silahlanma yarışını tetikledi. Google kendi standartlarını (Privacy Sandbox gibi) dayatmaya çalışırken, beklenmedik bir başka oyuncu pastadan pay almaya karar verdi: İnternet Servis Sağlayıcınız (ISP).

Böylece, Avrupalı telekomünikasyon devleri tarafından kurulan bir ortak girişim olan Utiq (eski adıyla TrustPid projesi) doğdu. Kamuoyuna "şeffaf ve saygılı" bir çözüm olarak pazarlanan Utiq, aslında siber güvenlik uzmanlarının en çok korktuğu şeydir: ağ düzeyinde çalışan bir "süper çerez".

Utiq Nedir ve Nasıl Çalışır?

Geleneksel olarak reklam takibi (çerezler), web tarayıcınız (Chrome , Firefox , Safari ) tarafından yönetilir. Bunu, eklentiler (örneğin uBlock Origin ) veya gizlilik odaklı bir tarayıcı (örneğin Brave ) kullanarak engelleyebiliyordunuz.

Utiq sorunu bir adım geriye, yani ağ bağlantınızın düzeyine taşır.

Tuzak şu şekilde kurulur:

Ağ Düzeyinde Müdahale: Mobil bağlantınız (4G/5G) veya ev yönlendiriciniz üzerinden internette gezindiğinizde, Utiq sizi tanımlamak için IP adresinizi ve telekom abonelik verilerinizi kullanır.
Onay (Sahte Seçim): Ortak bir siteye ulaştığınızda, beliren bir pencere (popup) sizden Utiq’i kabul etmenizi ister. Çerez banner’larının yarattığı bıkkınlık nedeniyle (Consent Fatigue), milyonlarca kullanıcı okumadan "Kabul Et" butonuna tıklar.
„Network Signal“: Onay verildikten sonra Utiq doğrudan telekom operatörünüzle iletişime geçer. Operatör, reklamcılara ilettiği benzersiz ve takma adlı (pseudonymized) bir kimlik belirteci (ağ sinyali) oluşturur.

Artık bilgisayarınızda depolanan bir dosya tarafından değil, size interneti sağlayan altyapının kendisi tarafından siteden siteye izlenebilir durumdasınız.

Utiq Neden Gizlilik İçin Bir Kabustur (OPSEC)

Bu girişim, dijital egemenlik ve verilerinizin gizliliği için ciddi sorunlar doğurmaktadır:

Kaynağında Takip: Klasik çerezlerin aksine, Utiq’ten kurtulmak için sadece "geçmişi silmek" veya "önbelleği temizlemek" yeterli olmaz. Kimlik belirteci doğrudan ISP’niz tarafından üretilir.
Profillerin Merkezileştirilmesi: Telekom operatörleri adınızı, fiziksel adresinizi, banka bilgilerinizi ve gerçek zamanlı konumunuzu zaten bilmektedir. Web tarama geçmişinizi Utiq aracılığıyla bu verilerle ilişkilendirerek, korkutucu doğrulukta davranışsal profiller oluştururlar.
Takma Ad Güvenliği Yanılgısı: Utiq, adınızı açık metin olarak paylaşmadığını savunarak "şifreli" belirteçler kullandığını iddia etmektedir. Ancak siber güvenlik dünyasında, takma adlaştırmanın tersine çevrilebilir olduğu kanıtlanmıştır. Bu belirteçlerin diğer veri tabanlarıyla çapraz eşleştirilmesi, bireylerin kimliklerinin kolayca yeniden tespit edilmesini sağlar.

Hangi Operatörler Utiq Kullanıyor?

Utiq, en büyük dört Avrupalı operatörün ittifakı tarafından kurulmuştur. Eğer bunlardan birinin müşterisiyseniz, bağlantınız zaten potansiyel olarak bu takiple "uyumludur".

OPSEC İpucu: Utiq, erişimi iptal etmek için merkezi bir onay yönetim portalı (consenthub.utiq.com ) sunsa da, en iyi savunma teknolojik olandır.

Utiq’i Etkisiz Hale Getirmek İçin Zero-Trust Yaklaşımı

Arpokrat gibi ekosistemler tarafından savunulan dijital egemenlik felsefesi, basit bir ilkeye dayanır: ağ altyapısına asla güvenme.

Utiq gibi sistemleri teknik olarak etkisiz kılmak için çözüm, trafiğinizi kendi internet servis sağlayıcınızdan gizlemektir:

Egemen Bir VPN Kullanmak: Trafiğinizi cihazınızdan çıktığı andan itibaren şifreleyerek, ISP’nizin yalnızca VPN sunucusuna yönlendirilmiş okunamaz bir veri akışı görmesini sağlarsınız. Artık Utiq belirteçleri enjekte edemez veya okuyamaz.
Tor Ağı (Orbot ): Onion yönlendirme, uçtan uca her türlü kimlik tespitini engeller.
DNS Şifreleme (DoH/DoT): Operatörünüzün hangi web sitelerini ziyaret etmek istediğinizi bilmesini engeller.

Özetle Utiq, internet servis sağlayıcılarının artık sadece birer "boru" olmakla yetinmediklerinin; birer veri komisyoncusu olmak istediklerinin kanıtıdır. Trafiğinizi şifrelemek artık bir güvenlik seçeneği değil, dijital sessizliğinizi korumak için mutlak bir zorunluluktur.