Mart ayında Whatsapp güvenlik ekibi meslektaşlarına dahili bir uyarı yayınladı: Yazılımın güçlü şifrelemesine rağmen, kullanıcılar tehlikeli bir tür devlet gözetimine karşı savunmasız kalmıştı...
The Intercept'in elde ettiği, daha önce bildirilmemiş tehdit değerlendirmesine göre, uygulamanın 2 milyar kullanıcısı arasındaki konuşmaların içerikleri güvende kalıyor.
Ancak mühendisler, devlet kurumlarının hangi kullanıcıların birbirleriyle iletişim kurduğunu, özel grupların üyeliklerini ve hatta belki de konumlarını belirlemek için "şifrelememizi atlattıklarını" yazdı.
Güvenlik açığı, onlarca yıllık bir ağ izleme tekniği olan "trafik analizine" dayanıyor ve internet trafiğinin büyük bir ulusal ölçekte araştırılmasına dayanıyor. Belge, WhatsApp'ın bu durumdan etkilenen tek mesajlaşma platformu olmadığını da açıkça ortaya koyuyor.
Ancak WhatsApp'ın sahibi Meta'nın, sohbet uygulamasının işlevselliğine mi yoksa kullanıcılarının küçük ama savunmasız bir bölümünün güvenliğine mi öncelik vereceğine hızlı bir şekilde karar vermesi gerekiyor.
Değerlendirmede, "WhatsApp, ulus devletlerin kimin kiminle konuştuğunu belirlemesini mümkün kılan trafik analizi açıklarının devam eden istismarını azaltmalıdır. Risk altındaki kullanıcılarımızın trafik analizine karşı sağlam ve uygulanabilir korumalara ihtiyacı var." denildi.
Gazze'de devam eden savaş ortamında, tehdit uyarısı bazı Meta çalışanları arasında rahatsız edici bir ihtimali gündeme getirdi. Dört çalışan The Intercept'e, WhatsApp personelinin, dijital gözetimin Gazze Şeridi'nde kimi öldüreceğine karar vermeye yardımcı olduğu bir dönemde, İsrail'in Filistinlileri izleme programının bir parçası olarak bu güvenlik açığından yararlanabileceğini öne sürdüğünü söyledi.
Meta sözcüsü Christina LoNigro, "WhatsApp'ın arka kapısı yok ve WhatsApp'ın nasıl çalıştığına dair hiçbir güvenlik açığına dair kanıtımız yok" ifadelerini kullandı.
Değerlendirmede güvenlik açıkları "devam eden" statüsünde tanımlansa ve özellikle WhatsApp'tan 17 kez bahsedilse de LoNigro, belgenin "WhatsApp'taki bir güvenlik açığının yansıması olmadığını", yalnızca "teorik" olduğunu ve WhatsApp'a özgü olmadığını söyledi.
. LoNigro, şirketin İsrail'in bu güvenlik açığından yararlanıp yararlanmadığını araştırıp incelemediği sorulduğunda ise yanıt vermedi.
WhatsApp iletişimlerinin içerikleri okunamasa bile değerlendirme, hükümetlerin, kapalı bir zarf taşıyan bir posta taşıyıcısını gözlemlemek gibi, şifreli iletişimlerin ne zaman ve nerede gerçekleştiğini izlemek için internet altyapısına erişimlerini nasıl kullanabileceğini gösteriyor.
Ulusal internet trafiğine yönelik bu bakış açısı, konuşma konuları bir sır olarak kalsa bile, hangi bireylerin birbirleriyle sohbet ettiğine dair güçlü çıkarımlar yapmak için yeterli.
Değerlendirmede, WhatsApp'ın şifrelemesinin kırılamaz olduğu varsayılsa bile devam eden "toplama ve ilişkilendirme saldırıları yine de amaçladığımız gizlilik modelimizi bozacaktır" deniyor.
WhatsApp tehdit değerlendirmesi, bu yöntemin devlet aktörleri tarafından kullanıldığını bildiği belirli durumları açıklamıyor.
Ancak New York Times ve Uluslararası Af Örgütü'nün dünya çapındaki ülkelerin aynı teknikleri kullanarak WhatsApp da dahil olmak üzere muhalif şifreli sohbet uygulamalarının kullanımını nasıl gözetlediğini gösteren kapsamlı raporlarına atıfta bulunuyor.
Savaş giderek daha fazla bilgisayarlaştırılırken, meta verileri (konuşmaların kim, ne zaman ve nerede olduğu hakkındaki bilgiler) dünya çapındaki istihbarat, ordu ve polis teşkilatları için büyük değer taşımaya başladı.
Ancak Johns Hopkins Üniversitesi'nde kriptografi profesörü Matthew Green'e göre meta verilerin temelsiz analizleri bile ölümcül olabilir:
""Bu meta veri korelasyonları tam olarak budur: korelasyonlar. Doğrulukları çok iyi, iyi olabilir hatta orta halli bile olabilirler. Bu sistemlerin doğası gereği masum insanları öldürecekler ve kimse bunun nedenini bile bilmeyecek."
WhatsApp tehdit değerlendirmesinin Meta içinde bir gerilim noktası haline gelmesi ancak İsrail'in savaşa yönelik veri merkezli yaklaşımı hakkında bir açıklamanın Nisan ayında yayınlanmasıyla gerçekleşti.
+972 Dergisi ve Local Call'un geçen ay yayınladığı ortak raporu, İsrail ordusunun Gazze'deki Filistinlilere suikast için otomatik olarak yeşil ışık yakmak üzere Lavender adlı bir yazılım sistemi kullandığını ortaya çıkardı.
Raporda, altı İsrail istihbaratına atıfta bulunularak, Gazze'nin 2,3 milyon sakini hakkında devasa bir veri havuzundan yararlanan Lavender'in algoritmik olarak "Gazze'deki hemen hemen her kişiye 1'den 100'e kadar bir puan verdiği ve bu kişilerin militan olma ihtimalinin ne kadar yüksek olduğunu ifade ettiği" belirtiliyor.
Raporda şu ifadeler yer alıyor:
"Birkaç farklı suçlayıcı özelliğe sahip olduğu tespit edilen bir kişi yüksek bir derecelendirmeye ulaşacak ve dolayısıyla otomatik olarak suikast için potansiyel bir hedef haline gelecektir."
Intercept'teki habere göre WhatsApp kullanımı, İsrail ordusunun Filistinlileri ölüme işaretlemek için kullandığı çok sayıda kişisel özellik ve dijital davranış arasında yer alıyor..
+972'deki açıklamada şu ifadeler yer alıyor:
"Kitap, Lavender'ın tanımına benzer, yapay zeka ve makine öğrenimi algoritmalarına dayalı bir 'hedef makine' oluşturmaya yönelik kısa bir kılavuz sunuyor. Bu kılavuzda, bilinen bir militanla Whatsapp grubunda olmak gibi, bireyin puanını artırabilecek 'yüzlerce ve binlerce' özelliğin birkaç örneği yer alıyor."
İsrail ordusu yorum talebine yanıt vermedi ancak geçen ay The Guardian'a "teröristleri belirleyen veya bir kişinin terörist olup olmadığını tahmin etmeye çalışan bir yapay zeka sistemi kullanmadığını" söyledi. Ordu, Lavender'ın "terör örgütlerinin askeri görevlileri hakkında güncel bilgi katmanları üretmek amacıyla istihbarat kaynaklarına çapraz referans verme amacını taşıyan basit bir veri tabanı olduğunu" belirtti.
Kaynaklar, bu zayıflık ve İsrail'in herhangi bir potansiyel kullanımı hakkında bildiklerini ifşa etmesi için Meta'ya içeriden baskı yapma çabalarının, Filistinlilere yönelik sempati veya dayanışma ifadelerine karşı daha geniş bir iç sansür modeli olarak tanımladıkları şeyle uyumlu olarak sonuçsuz kaldığını söyledi.
Savaşla ilgili diğer endişelerin yanı sıra, ürünlerinin masum insanları İsrail ordusunun hedefi haline getirme olasılığından endişe duyan Meta çalışanları, "Ateşkes için Metamates" adını verdikleri bir kampanya kapsamında örgütlendiler. Grup, 80'den fazla çalışanın imzaladığı açık bir mektup yayınladı. Taleplerinden biri de "sansürün sona ermesi"
Meta sözcüsü Andy Stone, Intercept'e, savaşla ilgili herhangi bir işyeri tartışmasının şirketin genel işyeri davranış kurallarına tabi olduğunu söyledi ve bu tür konuşmaların öne çıkarıldığını reddetti. "Politikamız bunu göz önünde bulundurarak yazılmıştır ve işyeri için uygun olan tartışma türlerinin ana hatlarını çizmektedir. Çalışanlar endişelerini dile getirmek isterse bunu yapmak için kanallar var."
Dahili değerlendirmeye göre riskler yüksek: "Ağ trafiğinin incelenmesi ve analizi bizim için tamamen görünmez, ancak kullanıcılarımız arasındaki bağlantıları ortaya çıkarıyor: Kimin bir grupta olduğu, kimin kime mesaj gönderdiği ve (gizlenmesi en zor olan) )kim kimi arıyor ortaya çıkıyor”
Analiz, bir hükümetin, bir kişinin WhatsApp'ı ne zaman kullandığını kolaylıkla anlayabildiğini, bunun kısmen de olsa verilerin Meta'nın kolayca tanımlanabilir kurumsal sunucularından geçmesi gerektiği anlamına geldiğini belirtiyor. Bir devlet kurumu daha sonra belirli WhatsApp kullanıcılarının maskesini, bağlı her cihaza atanan benzersiz bir numara olan IP adreslerini internet veya hücresel servis sağlayıcı hesaplarına kadar takip ederek ortaya çıkarabilir.
Bu değerlendirmeye göre, WhatsApp'ın dahili güvenlik ekibi, şifrelenmiş verilerin akıllıca gözlemlenmesinin, korelasyon saldırısı olarak bilinen bir teknik olan uygulamanın gizlilik korumalarını nasıl engelleyebileceğine dair birkaç örnek belirledi.
Bunlardan birinde, bir WhatsApp kullanıcısı bir gruba bir mesaj gönderiyor ve bu, gruptaki herkesin cihazına tam olarak aynı boyutta bir veri patlamasıyla sonuçlanıyor. Başka bir korelasyon saldırısı, WhatsApp mesajlarının iki taraf arasında gönderilip alınması arasındaki zaman gecikmesinin ölçülmesini içeriyor; şirket, "her alıcıya olan mesafeyi ve muhtemelen konumunu anlamak için yeterli verinin" olduğuna inanıyor.
Dahili uyarı, bu saldırıların bir WhatsApp grubunun tüm üyelerinin veya bir konuşmanın her iki tarafının da aynı ağda ve aynı ülkede veya "anlaşma yargı yetkisi dahilinde" olmasını gerektirdiğini belirtiyor. Avustralya, Kanada, İngiltere ve Yeni Zelanda. Gazze Şeridi'nin Filistinliler tarafından işletilen kendi telekomünikasyon tesisleri olmasına rağmen, internet erişimi sonuçta İsrail devletinin gözetimine tabi olan İsrail fiber optik kabloları üzerinden sağlanıyor.
Her ne kadar not, "iyi işleyen demokrasilerde, yasal süreçlere ve güçlü gizlilik yasalarına sahip" kullanıcıların daha az savunmasız olabileceğini öne sürse de, aynı zamanda NSA'nın bu telekomünikasyon dinleme tekniklerini ABD topraklarında kullandığını da vurguluyor.
Kriptografi profesörü Green, The Intercept'e şunları söylüyor: "Günümüzün mesajlaşma hizmetleri ve bu meta verileri bağlantının her yönünü görebilen bir düşmandan gizlemek için tasarlanmamıştı İçeriği korumak savaşın yalnızca yarısıdır. Kiminle, ne zaman iletişim kuruyorsunuz ve ne zaman yanıt geliyor?"
Değerlendirme, WhatsApp'ın geçen yıldan bu yana bu tehdidin farkında olduğunu ortaya koyuyor ve aynı gözetim tekniklerinin diğer rakip uygulamalara karşı da çalıştığını belirtiyor. Uluslararası Af Örgütü Güvenlik Laboratuvarı başkanı Donncha Ó Cearbhaill, The Intercept'e şunları söylüyor:
"Neredeyse tüm büyük mesajlaşma uygulamaları ve iletişim araçları, tehdit modellerinde trafik analizi saldırılarını içermiyor. Araştırmacılar bu saldırıların teknik olarak mümkün olduğunu bilse de, bu tür saldırıların geniş bir ölçekte, örneğin tüm ülke için pratik veya güvenilir olup olmayacağı açık bir soruydu."
Değerlendirme, WhatsApp mühendislerinin sorunun ciddiyetini kavradıklarını ancak aynı zamanda şirketlerini sorunu düzeltmeye ikna etmenin ne kadar zor olabileceğini de anladıklarını açıkça ortaya koyuyor. Green, bu anonimleştirme tekniklerinin akademik literatürde bu kadar kapsamlı bir şekilde belgelenmiş ve tartışılmış olmasının, Meta gibi bir şirket için bunları etkisiz hale getirmenin ne kadar zor olduğunun bir sonucu olduğunu açıklıyor:
"Bu, bir yanda performans ve yanıt verme hızı, diğer yanda gizlilik arasında doğrudan bir değiş-tokuş"
Meta'nın sözcüsü, şirketin uygulamayı trafik analizine karşı desteklemek için hangi adımları attığı sorusuna yanıt olarak şunları söylüyor:
"Belirlediğimiz sorunları ele alan kanıtlanmış bir geçmiş performansımız var ve kötü aktörleri sorumlu tutmak için çabaladık. Sistemlerimizi gelecekteki tehditlere karşı proaktif olarak daha da güçlendirmeyi amaçlayan dünyanın en iyi mühendislerine sahibiz ve bunu yapmaya devam edeceğiz."
WhatsApp tehdit değerlendirmesi, kitlesel ilgiyle övünen bir uygulama için güvenliği artırmanın bir bedeli olduğunu belirtiyor. Belgede, uygulamayı başka şekillerde kötüleştirmeden kullanıcıları korelasyon saldırılarına karşı daha iyi korumanın zor olacağı belirtiliyor. Meta gibi halka açık bir dev için risk altındaki kullanıcıları korumak, şirketin kâr odaklı, yazılımını mümkün olduğunca erişilebilir ve yaygın olarak kullanılabilir hale getirme hedefiyle çatışacak.
Bir Meta kaynağı The Intercept'e verdiği demeçte, Facebook'un Myanmar'daki Rohingya soykırımı sırasında şiddeti kışkırtmak için kullanıldığı sırada şirketin eylemsizliğine atıfta bulunarak, "Meta'nın, olaylar çok büyük sorunlara dönüşene kadar yanıt vermemek gibi kötü bir alışkanlığı var. Gerginlik her zaman pazar payı, pazar hakimiyeti, çok büyük zarar görebilecek az sayıda insan yerine en büyük nüfusa odaklanmak olacak." ifadelerini kullanıyor.
Rapor, örneğin veriyi gönderen ve alan kişinin coğrafi konumunu tespit etme girişimlerini engellemek için mesajlara yapay bir gecikme eklemenin, uygulamanın 2 milyar kullanıcıya daha yavaş hissettireceği konusunda uyarıyor. Değerlendirmede öne çıkan bir diğer fikir, uygulamanın gerçek konuşmaları kamufle etmek için düzenli bir sahte veri akışı iletmesini sağlamak, böylelikle hükümetlerin gözetlemesi engellenebilir. Ancak bunun aynı zamanda pil ömrüne zarar vermesi ve yüksek maliyetli mobil veri faturaları gibi olumsuz etkileri de olabilir.
Değerlendirmede "WhatsApp Güvenliği trafik analizini tek başına çözemez" ifadesi yer alıyor ve şöyle devam ediyor:
“Öncelikle bu mücadeleyi üstlenmeyi ve bu risk altındaki, hedeflenen kullanıcılar için koruma oluşturmak amacıyla tek bir ekip olarak hareket etmeyi kabul etmeliyiz. WhatsApp'ın gizlilik konusundaki genel ürün ilkesi ile bireysel ekip önceliklerini dengelerken tekerleğin yola değdiği yer burası..."
Notta, WhatsApp'ın risk altındaki kullanıcılar için Apple'ın iOS modeli "Kilitleme Modu"na benzer güçlendirilmiş bir güvenlik modu benimseyebileceği öne sürülüyor. Ancak Green'e göre bu ekstra ayar bile Gazze'deki veya başka yerlerdeki kullanıcıları yanlışlıkla tehlikeye atabilir:
"Bu özelliği etkinleştiren insanlar aynı zamanda çürük diş gibi öne çıkabilirler. Bu da bir hedef olmaya yol açabilir. Hele hele bunu yapan kişi bir çocuksa gerçekten çok yazık.”