This translation provided courtesy of Alper Atmaca of the Free Software Association of Turkey.
Bilgisayarın Senin Değil
O gün vardı. Gerçek oldu. Fark ettin mi?
Haliyle Richard Stallman’ın 1997’de öngördüğü dünyadan bahsediyorum. Cory Doctorow’un bizi uyardığı günden.
Güncel macOS versiyonunda, eylemleriniz aktarılıp kaydedilmeden artık basitçe bilgisayarınızı çalıştırıp, bir metin editörü veya e-kitap okuyucu çalıştırıp yazıp okuyamazsınız.
Ortaya çıktı ki macOS’in yeni sürümünde, işletim sistemi her programın özüt değerini (özel bir tanımlayıcı) çalıştırıldığı anda Apple’a göndermekte. Pek çok insan bu gerçekleşen durumu, sessiz ve görünmez olması ile offline durumunda anında ve sorunsuz şekilde durumu toparladığından fark edemedi fakat bugün sunucular gerçekten çok yavaşladı ve sistem offline durumdaki hızlı hata yolunu takip edemediğinden herkesin yazılımları eğer Internete bağlı iseler çalışmayı reddetti.
Söz konusu sistem İnternet kullandığından, sunucu IP adresinizi görmekte ve hali ile atılan isteğin zamanını da bilmekte. IP adresi kaba, şehir ve hizmet sağlayıcı seviyesinde konum elde etmeye ve aşağıdaki tablodaki verileri elde etmeye imkan tanımakta:
Tarih, Saat, Bilgisayar, ISS, Şehir, Mahalle*, Yazılım Özüt Değeri
Apple (veya dileyen herkes) söz konusu yaygınca kullanılan yazılımların özüt değerini alabilir; Appe store, Creative Cloud, Tor Tarayıcısı, cracking veya ters mühendislik araçları, vs…
Bu Apple’ın sizin evde olduğunuzda bunu bilmesi demek veya işyerinizde. Buralarda hangi yazılımları kullandığınızı veya ne sıklıkla da bilmesi demek. Apple arkadaşınızın evindeki Wi-Fi ağında Premier çalıştırdığınızı ve başka bir şehre seyahatinizde otelde Tor Tarayıcısı kullandığınızı da bilmesi demek.
“Kimin umurumda?” dediğinizi duyar gibiyim.
Yani, sorun sadece Apple da değil. Bu bilgi sadece onlara gitmiyor:
Bu OCSP istekleri şifresiz aktarılmakta. ISS ve ağı takip edebilen herkes bu istekleri görebilir durumda.
Bu istekler üçünü taraf içerik yönetim ağına sahip şirket olan Akamai’ye aktarılmakta
2012’nin Ekim ayını takiben Apple ABD askeri istihbarat örgütünün gözetim programı olan PRISM’in ortağı olarak kendisinde toplanan verilere ilişkin ABD federal polis ve askeri gücüne her istediklerinde mahkeme kararı aramaksızın sınırsız erişim imkanı tanımakta. 2019’un ilk yarısında tam 18.000, ikinci yarasında da 17.500+ talebe cevap vermiş durumdalar.
Bu hayatınız, alışkanlıklarınız hakkında muazzam bir bilgi hazinesi anlamına gelmekle bu verilere sahip olan kişilere kişilere hareketlerinizi ve yaşam örüntülerinizi tanımlama imkanı verir. Kimi insanlar için bu durum fiziksel tehlike bile arz edebilir.
Bugüne kadar bu gibi şeyleri Little Snitch (gerçekten, şu noktada macOS kullanmaya devam etmemin tek sebebi) adında bir yazılım yargımı ile Mac bilgisayarınızda engellemek mümkündü. Yazılım standart yapılandırmasında bilgisayardan Apple’a tüm iletişime izin vermekte fakat bu standart kurallar kapatılabilmekte ve bağlantı temelli olarak izin veya engel yaratılabilmekteydi. Bu sayede bilgisayarınız sizi Apple’a ispiyonlamadan işinize kaldığınız yerden devam edebilmekteydiniz.
macOS’in bugün yayınlanan, Big Sur olarak da bilinen sürümü olan 11.0 ile birlikte gelen yeni API Little Snitch’in eskisi gibi çalışmasına engel olmakta. Yeni API Little Snitch’in işletim sistemi seviyesindeki işlemleri incelemesine veya engellemesine izin vermemekte. Ek olarak macOS 11 ile gelen yeni kurallar VPN’lerin tökezlemesine ve Apple’ın bağlantının etrafından dolanmasına imkan sağlamakta.
@patrickwardle, bu isteklerden sorumlu olan trustd’nin macOS 11’deki ContentFilterExclusionList** arasında olduğunu ve kullanıcı erişimindeki firewall veya VPN ile engellenemediğini gösterdi. Aldığı ekran görüntülerinden CommCenter (Mac cihazınızdan telefon araması için kullanılır) ve haritaların da firewall/VPN’i aşabildiğini için sesli görüşmeleriniz ile gideceğiniz veya planladığınız konum bilgilerini sızdıracağını görüldü.
Apple’ın daha yeni açıkladığı pırılpırıl yeni Apple silikonu taşıyan, üç kat daha hızlı, %50 daha verimli mac’ler var ya? Big Sur’dan önceki hiç bir işletim sistemini çalıştırmayacak.
Bu makineler, sıradışı bir tercihi yapmanızı zorunlu kılan dünya tarihinde yapılmış ilk genel amaçlı bilgisayarlar: ya hızlı ve etkili bir makineye ya da mahremiyet sağlayan bir tanesine sahip olabilirsiniz. (Apple’ın mobil cihazları zaten yıllardır bu durumdaydı.) Taşınabilir VPN’li bir yönlendirici gibi tamamen sizin kontrolünüzde olan harici bir ağ filtreleme cihazı kullanmadığınız sürece yeni Apple silikonu taşıyan hiç bir mac cihazı, sizi ispiyonlamadan kullanabileceğiniz bir işletim sistemi ile çalıştırmanız veya işletim sistemini bunu engelleyecek şekilde değiştirmeniz mümkün olmayacak.(diğer türlü cihaz donanım tabanlı kriptografik tedbirlerden dolayı çalışmayacak.)
Güncelleme 2020-11-13 07:20 UTC: Dikkatimi çeken bir ihtimal, boot korumalarını kaparak bputil aracı ile Apple silikonu taşıyan mac’lerin SSV bölümünü (Signed System Volume) değiştirmek mümkün olabilir. Bir cihaz sipariş ettim ve araştırıp bu blog’da sonuçlarını paylaşacağım. Anladığım kadarı ile bu hala Apple tarafından imzalanan işletim macOS’in çalışmasına izin verecek lakin belki kimi sorunlu sistem işlemlerinin kaldırılmış veya etkisizleştirilmiş hali ile. Cihaz elime geçince daha fazla bilgi ileteceğim.
Bilgisayarın artık seni gözetlemeyi kendinde hak gören uzak bir efendiye hizmet ediyor. Eğer Dünyadaki en verimli yüksek çözünürlüklü dizüstünü istiyorsan bundan kurtulamazsın.
Apple’ın bu online sertifika denetlemeleri ile istedikleri (veya devletlerinin) herhangi bir yazılımı çalıştırmanı engelleyebileceği gerçeğini şimdilik çok düşünmeyelim.
Stallman ve Doctorow’un bizi uyardığı günler bu hafta artık vardı. Yavaş ve adım adım bir süreç oldu fakat sonunda buradayız. Artık daha fazla emare görmeyeceksiniz.
21 Ocak 2020: FBI’ın itirazı üzerine Apple yedeklemeleri şifreleme planından vazgeçti.
Bir başka haber, Apple iMessage yazışmalarının uçtan uca şifrelemesine arkakapı koydu. Gün itibari ile modern iOS sizden Apple ID’nizi kurulum sırasında isteyecek ve otomatik olarak iClod ve İclod Backup hizmetlerini açacaktır.
ICloud yedekleri uçtan uca şifrelemiyor sadece cihaz yedeklerinizi Apple’ın anahtarları ile şifreleniyor. ICloud yedeklerinin açık olduğu her cihaz (ki standart olarak açık) tüm iMessage geçmişini cihazın özel anahtarı ile birlikte her gece şarja takılı olduğunda Apple’a yedeklemekte. Apple bu bilgileri cihaza hiç dokunmadan deşifre edip okuyabilir. iCloud ve/veya icloud yedekleri kapalı dahi olsa: yüksek olasılıkla mesajlaştığınız kişininki kapalı değildir ve konuşmanız herhalde Apple’a gönderilmekte. (ve PRISM aracılığı ile ABD askeri istihbaratına, FBI’a hiç bir mahkeme kararı veya makul şüphe olmadan paylaşılmakta)
Signal Kullanın.
Güncelleme, 2020-11-14 05:10 UTC: Artık bir SSS var.
S: Bu macOS analitiğin bir parçası mı? Eğer kapatırsam bu sorun devam eder mi?
C: Bunun analitikle hiçbir ilgisi yok. Yaşanan Apple’ın kötücül yazılım korumasının (belki korsan yazılım da) bir parçası olabilir ve etkilenen işletim sistemi sürümünü çalıştıran tüm mac’lerde analitik ayarlarında bağımsız olarak yaşanmakta. İşletim sisteminde kullanıcıya dönük hiç bir ayarla bu durum değiştirilemiyor.
S: Bu ne zaman başladı?
C: Bu durum macOS’in en güncel sürümü olan Catalina (10.15.x sürümü, Ekim 2019) itibari ile sürmekte. Sorun geçen açıklanan Big Sur ile başlamadığı üzere bir yıldır sessizce sürmekte.
Her yeni çıkan macOS sürümü ile temiz bir kurulup yapıp tüm analitik ayarlarını kapatır hiç bir hesabıma giriş yapmam (iCloud, App Store, Facetime, iMessage) ve harici bir cihaz aracılığı ile tüm ağ trafiğini takip ederim. Son birkaç macOS sürümü bir Apple hizmeti kullanmasanız dahi çok gürültülüydü. Mojave (10.14.x) ile ilgili kimi mahremiyet/gözetim endişeleri olmakla birlikte bu OCSP meselesinin o zamanlardan var olup olmadığını hatırlamıyorum. Daha Big Sur’u test etmedim (gelişmeler için takipte kalın) ve Little Snitch gibi kullanıcı firewalları ve Apple yazılımlarının kullanıcı firewall ve VPN’lerini geçebilmesine yönelik endişeleri bunları bildiren kişilerin raporlarına dayanmakta. Bu hafta test makineme Big Sur’u kurduğumda geçen hafta yayınlanmış olması üzere muhtemelen bolca mesele ile dolu bir listem olacak fakat kısıtlı zamanımı yayınlanmış yazılımlara ayırıyorum ve kullanımda olan beta testleri ile harcamıyorum.
S: Mahremiyetimi nasıl korurum?
C: Değişir. Cihazından Apple’a tonlarca iletişim gerçekleşmekte ve mahremiyetin ile ilgili endişelerin var ise düğmesi olan şeyleri kapatmanı öneririm; iCloud’dan çık ve kapat, iMessage’dan çık ve kapat, FaceTime’da çıkış yap ve kapat. Bunlar hali hazırda rıza gösterdiğin en büyük sızıntıların kaynağı.
OCSP meselesi için ise aşağıdaki sanırım (test edilmedi) şimdilik işe yarayacaktır
echo 127.0.0.1 ocsp.apple.com | sudo tee -a /etc/hosts
Ben Little Snitch ile ilgili trafiği engelliyorum ki 10.15.x (Catalina) ve öncesi ile bu hala işe yaramakta.(Little Snitch’in tüm “macOS hizmetleri” ve “iCloud hizmetleri’ne” macOS Apple ile iletişime geçtiğinde uyarı vermesi için verilen standart izni kaldırman gerekli.)
Eğer Intel işlemcili bir mac sahibi isen (ki neredeyse herkes bu durumda) işletim sistemi değişimi ile ilgili çok endişelenme. Eğer ellerini kirletmeye ve kimi ayarları değiştirmeye hazırsan yüksek ihtimalle her zaman Apple’ın gönderdiği işletim sistemini değiştirme imkanın olacak. (Bu özellikle kısmen eski intel işlemcili T2 güvenlik çiği içermeyen mac’lar için geçerli ve T2 çipi içeren Intel macler de her zaman boot güvenliğini işletim sistemini değiştirmeye imkan verecek şekilde kapatmaya izin verecek.)
Bu hafta açıklanan yeni ARM64 (“Apple silikonu”) mac’ler asıl endişemin kaynağı: keza kullanıcıların bu herhangi bir şekilde sistemlerdeki işletim sistemini değiştirip değiştiremeyeceği hala incelenmesi gereken bir konu. Apple’ın diğer Arm sistemlerinde (iPad, iPhone, Apple TV, Watch) kriptografik olarak işletim sistemine müdahaleyi engelliyor. Standart yapılandırmasında bu ARM mac’lerde de pek mümkün görünmese de kullanıcıların kimi güvenlik tedbirlerini kapatarak sisteme müdahale etmeleri mümkün olacaktır. Umuyorum ki yeni mac’lerde bputil aracı sistem bölüm bütünlük korumalarını kaldırabilecektir ve bu sayede çeşitli sistem servislerini tüm sistem güvenliği özelliklerini elden çıkarmadan boot aşamasında kaldırabileceğiz. Yeni M1 donanımım bu ay içinde elime geçtikten sonra daha fazla bilgi ve gerçek ortaya çıkacaktır.
S: Eğer Apple’ı sevmiyor ve işletim sistemlerine güvenmiyorsan neden kullanıyorsun? Neden yeni ARM mac’lerden alıyorsun?
C: Bunun en basit cevabı donanıma ve yazılıma sahip olmadan kesin olarak ne yapıp ne yapmadığını söyleyemeyeceğim gibi mahremiyet sorunlarının üstesinden nasıl gelineceğini bilemem. Uzun cevap ise 20’yi aşkın, 6 farklı işlemci mimarisinde ve duyup duymadığınız çeşitli işletim sistemleri çalıştıran bilgisayarım var. Örneğin, laboratuvarımda 68k mac’lerim, Intel 32 bit mac’lerim, Intel 64 bit mac’lerim (T2 çipli ve çipsiz) var ve eğer yeni ARM64 mac’lerden birini hacklemezsem tam tembellik etmiş olurum.
S: Apple neden bizi gözetliyor?
C: İnanıyorum ki bu bir telemetri olarak tasarlanmadı lakin bu amaç için ideal olduğu kesin. Basit (fesat yoksa) açıklama bunun Apple’ın kötücül yazılımlara karşı macOS platformunun güvenliği için geliştirdiği. Ek olarak çoğu mac’in ürettiği OCSP trafik şifreli değil ki bu durum askeri gözetim operasyonları (pasif olarak ana ISS ve ağ omurgalarını izleyen) için durumu ideal kılmakta, Apple buna niyet etmiş olsa veya olmasa da.
Lakin, Apple yakın zamanda iMessage’ın şifrelemesine bir iOS güncellemesi ile iCloud yedekleri üstünden arkakapı yerleştirdi ve bunu düzeltmedi ki FBI cihazınızdaki tüm verileri okumaya devam edebilrsin.
Goldfinger’in meşhur sözü gibi: “ilk sefer talihsizliktir. İkinci sefer tesadüf. Üçüncü sefer ise düşman eylemidir.” Apple’ın (pek çok sarsılmaz kriptografi uzmanı çalıştırmakta) yazılımları veri veya şifreleme anahtarlarını cihazdan ağa veya Apple’a sızdırıp “hay aksi bir hata yapmışız” diyebileceği ve saygınlığını koruyabileceği sınırlı miktarda an olabilir.
En son 2005 yılında Apple’ın dahil olduğu bir açık metin sızıntısını bildirdiğimde bunu hızlıca düzeltmişlerdi ki bu sadece sözlük aramalarını konu almaktaydı. Bundan kısa süre sonra yazılım aktarım güvenliğini geliştirip üçüncü parti yazılım geliştiricilerinin kendi kripto ağlarının içine etmelerini engellemiş ve App Store’da şifresiz veri ileten yazılımlar geliştirmelerini zorlaştırmışlardı. Sektörde standart olmasına rağmen OCSP taleplerinin şifresiz olması bana fazlasıyla garip gelmekte.
Eğer Apple gerçekten kullanıcı mahremiyetini umursuyor ise her mac cihazdan çıkan pakete özenle bakmalı ve buna göre yeni bir işletim sistemi yayınlamalıdır. Bunu yapmadıkları her gün kullanıcıların mahremiyetine verdikleri öneme ilişkin iddiaları daha da değer kaybedecektir.
S: Neden yola taş koyuyorsun? OCSP’nin telemetri değil, sadece kötücül yazılımları engellemek ve işletim sistemini güvenli kılmak için olduğunu bilmiyor musun?
A: Bir yan etki olarak sistem telemetri görevi görmekte düşünülen niyet ne olursa olsun. Ek olarak OCSP imzalanmış olsa bile taleplerin şifresiz gitmesi ve ağ üzerindeki herkesin (ABD askeri istihbaratı dahil) gözetimine açık olması tam bir ihmaldir.
Pek çok şey telemetri olarak işlev görür her ne kadar asıl amaç bu yönde olmasa bile. İstihbarat servisleri bunu kötüye kullanarak herkesi gözetleyebilir tasarımcı buna niyet etmemiş olsa bile.
Bir toplumdaki herkesi gözetim altına almanın terörizmi engellemek için kabul edilir bir tarafı olmaması gibi bir platformdaki herkesi kötücül yazılımları önlemek adına gözetime tabi tutmak da kabul edilemez. Bu güvenli bir platform kurmaya çalışırken kuru ile yaşı birlikte yakmak ve hali ile mahremiyet eksikliğinden güvensiz bir ortam oluşturmak demektir.
S: iMessage’ın uçtan uca şifrelemesine arkakapı mı koydular?! Vay şarap çanağına!!
C: Evet. Daha teknik detaylar HN yorumlarında ve burada bulunabilir.
TL;DR: Kendi web sayfalarında bile bunu söylüyorlar: https://support.apple.com/en-us/HT202303:
iCloud dahilindeki mesajlar uçtan uca şifrelidir. Eğer iCloud yedeklemelerini açtıysanız, yedekleriniz mesajlarınızı koruyan anahtarın da bir kopyasını içerir. Bu iCloud anahtarlığınıza erişiminizi kaybetmeniz durumunda mesajlarınızı güvenilir cihazlarınızdan kurtarmanıza imkan sağlar. iCloud yedeklerini kapatmanız durumunda yeni bir anahtar üretilir ve Apple tarafından saklanmaz.
(vurgular bana ait)
iCloud yedeklerinin uçtan uca şifreli olmadığına ve iMessage anahtarlarının aktarımı ile arkakapı sonucuna ulaşıldığına dikkat edin. Aynı sayfadaki bir bölümde nelerin uçtan uca şifreli olduğu belirtilmiş durumda ve iCloud bunların arasında yok.
Fotoğraflarınız da yok. Apple sistem yöneticileri (ve ABD ordusu) tam anlamı ile iCloud ve iMessage üstündeki çıplak fotoğraflarınızı görebilir.
Jeffrey Paul is a hacker and security researcher living in Berlin and the founder of EEQJ, a consulting and research organization.