Veri Kaydı Tutmanın Durumu: Tehdit Düzeyleri ve Güvenlik Uygulamalarının Bir Değerlendirmesi
15.05.2018 - 9 dk okuma
Güncellendi: 26.09.2021
Psiphon Inc., sansür uygulayan rejimler altında yaşayanlar için interneti erişime açma mücadelesine yıllardır öncülük ediyor. Çevrim içi ortamda herhangi bir içerik kısıtlamasıyla karşılaşmamalarına rağmen, Batılı ülkelerdeki kullanıcılar kişisel gizliliklerini korumak için Psiphon gibi VPN'lere yöneliyor. Ancak Mart 2017'de Pew Araştırma Merkezi, Amerikalı internet kullanıcılarının yaklaşık %70'inin bir VPN'in ne amaca hizmet ettiğinden emin olmadığını ortaya koyan çarpıcı bir istatistik yayımladı.1
Giderek artan Psiphon hesabı sayısı dünya çapında büyüyen VPN kullanıcı sayısının bir göstergesiyse, ürünleri eleştirel bir şekilde değerlendirmek için hiçbir ölçüte sahip olmayan önemli bir bağımsız kullanıcı akını bu pazara giriyor demektir. Bu grup artık siber güvenliğin alışılmadık alanındaki riskleri anlama yükünü taşımaktadır. Dolayısıyla, yanlış bilgilendirmeye karşı son derece savunmasız durumdalar. Kullanıcıları yüksek alarma geçiren bu tür konulardan biri, VPN web sitelerinde ve forumlarında veri kaydı tutma teriminin yaygınlığı ve bireysel riskler ile kişinin kendini etkili bir şekilde koruma yöntemlerinin yanlış tanıtılmasıdır.
Techopedia'ya göre, “veri kaydı tutma; belirli eğilimleri analiz etmek veya bir sistemin, ağın ya da BT ortamının veriye dayalı olaylarını/eylemlerini kaydetmek amacıyla belirli bir zaman dilimi boyunca verilerin toplanması ve saklanması sürecidir. Verilerin, dosyaların veya uygulamaların bir depolama aygıtında veya uygulamada saklandığı, bunlara erişildiği veya bunların değiştirildiği tüm etkileşimlerin izlenmesini sağlar.”2 Birçok VPN, kayıt tutmama politikasını görünüşte benzersiz bir ürün özelliği olarak pazarlamakta, böylece sıradan vatandaşların internet trafiğinin aksi takdirde sürekli olarak kaydedilme ve muhtemelen ticari ve yasal amaçlarla kötüye kullanılma riski altında olduğunu ima etmektedir.
Bu durum, Amerikan İnternet Servis Sağlayıcılarının (ISPs) kullanıcı verilerini paylaşmadan önce izin almasını gerektirecek olan bazı FCC korumalarının Nisan 2017'de yürürlükten kaldırılmasının ardından (Aralık 2017'de planlandığı gibi yürürlüğe girmiş olsaydı) hararetli bir konu haline geldi. Hükümetlerinin, ISP'lerin kişisel internet geçmişlerimizin kayıtlarını tutmasını ve ardından bunları rıza olmaksızın satmasını veya ifşa etmesini savunması düşüncesi, çoğu internet kullanıcısı için endişe vericidir.
İnternet özgürlüğünün güçlü bir savunucusu olarak Psiphon, kullanıcılarımızın herhangi bir yaptırımla karşılaşmadan sansürsüz bir internete adil ve açık erişim elde etmelerini sağlamak için her gün çaba göstermektedir. Kullanıcı verilerinin ve tarama geçmişinin izinsiz kullanımının yasal zemin kazanması, kârın genellikle etiğin önüne geçtiğini gösteren endişe verici bir tablo yaratmaktadır. Ancak Psiphon, trafik ve veri kaydı tutma uygulamalarının genel durumunu anlamak için daha derinlemesine bir inceleme yaptı.
US, EU ve Kanada'daki Veri Kaydı Tutma Politikalarının Kısa Bir Karşılaştırmalı Analizi
Genel olarak Batılı ülkeler, koruma ve düzenlemeleri depolanan verilerin güvenliği çerçevesinde tanımlamıştır. Bu yasalar, şirketlerin kullanıcı verilerini toplarken ve depolarken tabi tutuldukları güvenlik standartlarına ilişkin hükümler belirler. Ayrıca bilgilerin ifşasına ilişkin yasallık konularını da ana hatlarıyla çizer. Bununla birlikte, bu makalede atıfta bulunulan tüm yasalar; veri türü, verilerin toplandığı durumlar ve bu verilerin saklanma süresine ilişkin kararları veriyi toplayan kuruluşun takdirine bırakmaktadır. Bu kuruluşlar birçok durumda politikalarının ardındaki mantığı merkezi bir yönetim organına açıklamak zorunda olsa da, bu tür mevzuatlar birçok durumda veri saklamayı zımnen desteklediği için iki ucu keskin bir kılıç yaratmaktadır.
Örneğin, şu anda US'te veri kaydı tutulmasına ilişkin kapsamlı bir düzenleme bulunmamaktadır. Kullanıcıya hizmet şartlarında veya kullanıcı lisans sözleşmesinde bu tür uygulamalara tabi olduğu bildirildiği sürece, ISP'ler kullanıcı verilerini toplamakta ve depolamakta serbesttir. Ancak şirketler, elektronik iletişimler de dahil olmak üzere kullanıcı verilerinin “muhatap veya amaçlanan alıcı dışındaki herhangi bir kişiye” ifşa edilmesini yasaklayan Kaydedilmiş İletişim Yasası'na (Stored Communications Act) tabidir.3 Amerikan hükümeti tüm şirketlere kullanıcı verilerini koruma yükümlülüğü getirirken, kayıt tutma uygulamalarını veya makul veri depolama süresini açıkça sınırlandırmamaktadır.
ISP'lerin kayıt tutmasıyla ilgili daha büyük soru yeni olmadığı gibi tek başına bağımsız bir konu da değildir. Aslında veri kaydı tutma sorunu, US'te yakın zamanda yeniden alevlenen ağ tarafsızlığı tartışmasındaki aynı hukuki sorulardan kaynaklanmaktadır.
Avrupa Birliği, Nisan 2016'da 2012 tarihli orijinal Veri Koruma Direktifi'ni temel alan ve veri güvenliği yönergelerini, kullanıcı haklarını ve öznelerin yasal sınıflandırmalarını belirleyen Genel Veri Koruma Yönetmeliği (GDPR) başlıklı blok çapında bir mevzuatı kabul etti. Ancak üye devletler, verilerin saklanması için uygun süreyi belirlemekle yükümlüdür ve blok çapında zorunlu bir zaman dilimine tabi değildir.
Bağımsız şirketler toplanan veriler için uygun saklama süresini belirlemekten sorumludur; “kamu yararına arşivleme, bilimsel, istatistiksel veya tarihi kullanım” için ise ek saklama süreleri belirlenebilir.4 Bununla birlikte, GDPR hükümleri uyarınca, bir vatandaş “unutulma hakkına” sahiptir ve kişisel verilerinin bir sunucudan kaldırılmasını talep edebilir.
Son olarak, Kanada'nın federalist yapısı, veri kaydı tutma düzenlemelerine ilişkin çok kademeli bir yetki alanı örgütlenmesi yaratmıştır. Ticari faaliyetler için bilgi toplanmasına ilişkin ülke çapındaki direktifleri ve düzenlemeleri ana hatlarıyla belirleyen ve aşağıdakileri içeren kimliği tanımlayabilecek bilgiler için ulusal standart bir tanım ortaya koyan Kişisel Bilgilerin Korunması ve Elektronik Belgeler Yasası'nı (PIPEDA) yürürlüğe koymuştur:
• yaş, isim, kimlik numaraları, gelir, etnik köken ve kan grubu;
• görüşler, değerlendirmeler, yorumlar, sosyal statü veya disiplin cezaları vb.
• çalışan dosyaları, kredi kayıtları, borç kayıtları, tıbbi kayıtlar, bir tüketici ile bir satıcı arasındaki uyuşmazlığın varlığı, niyetler (örneğin, mal veya hizmet edinme ya da iş değiştirme).5
EU Direktifi'ne benzer şekilde, terörizmin finansmanı gibi suç eylemlerinden şüphelenilen kişilere ilişkin bilgilerin Kanada Mali İşlemler ve Raporlar Analiz Merkezi'ne (FINTRAC) ifşa edilmesine izin veren hükümler yer almaktadır. Ancak PIPEDA, bilgilerin güvenliğinin sağlanması ve yasal bilgi depolama süresinin sınırlandırılmasına yönelik süreçleri açıkça belirtmemektedir. 4.5.3 numaralı paragrafta “belirlenen amaçları yerine getirmek için artık gerekli olmayan bilgilerin imha edilmesi gerektiği” belirtilmekle birlikte, münferit şirketler kendi prosedürlerini uygulamakta serbesttir.
Zincirin daha alt basamaklarında, veri korumasını sağlamak için kendi yasalarını oluşturabilen eyaletler PIPEDA hükümlerinin önüne geçebilir.
Peki, panik yaratan VPN'ler haklı mı?
VPN'ler, mevcut kayıt tutma rejimlerindeki üç temel kusur nedeniyle potansiyel müşterileri başarılı bir şekilde endişelendirmektedir:
1. Kimliğinizi tanımlayabilecek verileriniz yeterince güvende olmayabilir
2. ISP'ler ve çevrim içi şirketler kişisel verilerinizi ticari kazanç için kullanabilir
3. ISP'ler ve çevrim içi şirketler tarafından tutulan kişisel bilgi veri tabanları kolluk kuvvetlerinin ve devlet kurumlarının kullanımına açıktır
Değerlendirilen her üç devlet de kimliği tanımlayabilecek kullanıcı verilerinin yasal olarak toplanmasına ve saklanmasına izin vermiştir. ISP'ler ve çevrim içi şirketler bu tür bilgilerin güvenliğini sağlamakla yasal olarak yükümlü olsa da, özünde bu durum neredeyse tüm yargı bölgelerinde net bir denetimden yoksun, güvene dayalı zayıf bir sistem yaratmıştır. İnterneti tehlikeli veya yasa dışı faaliyetler için kullanmayanların endişelenmesine gerek olmadığını söylemek kolaydır; ancak Psiphon olarak biz, çevrim içi davranışları ne olursa olsun tüm internet kullanıcılarının makul bir gizlilik beklentisine sahip olduğuna inanıyoruz.
Bu doğrultuda, ISP'lerin kullanıcı verilerini kaydetme hakkına sahip olduğu varsayılabilir. Bu durum, tıbbi kayıtlar veya bankacılık bilgileri gibi özel bilgilerin izinsiz kullanılmasından ya da bu tür veri tabanlarına kötü niyetli sızmalardan korkan bireysel internet kullanıcıları için rahatsız edici olabilir. Ayrıca, bir ISP kullanıcı kayıtlarını talep eden bir Ulusal Güvenlik Mektubu (National Security Letter) veya mahkeme emri alırsa, bu tür bilgileri kolluk kuvvetlerine yasalar gereği sağlamak zorunda kalacaktır.
Yürürlükteki mevcut yasalarla birlikte, çevrim içi şirketler kimliği tanımlayabilecek verileri ticari amaçlarla satma veya bu tür bilgileri ifşa etme serbestisine sahip değildir. Bununla birlikte, bu verileri müşteri istatistikleri gibi çeşitli dahili süreçler için saklama ve kullanma hakkına fazlasıyla sahiptirler. Amerika Birleşik Devletleri'nde ağ tarafsızlığının potansiyel olarak yakın zamanda aşınmasıyla birlikte, kimliği tanımlayabilecek verilerin tutulduğu depolar rıza olmaksızın kötüye kullanılabilir veya paylaşılabilir. Yine de VPN kullanıcıları arasındaki başlıca endişe kaynağı, hizmet sağlayıcının tüm iyi niyetine rağmen bu tür verilerin kötü niyetli olarak sızdırılması riskidir.
İnternet kullanıcıları, etkileşimde bulundukları şirketlerin uygulamaları konusunda kendilerini eğitme yükünü her zaman taşıyacaktır. Başlıca endişelerden biri, bazı son kullanıcıların kullanım koşullarının anlamını veya sonuçlarını anlayamaması ve kullanımlarını VPN'in güvenilir olup olmadığına dair belirsiz ve genellikle yanıltıcı sosyal ve teknik standartlara dayandırabilmesidir. Özellikle de VPN hizmeti kimliği tanımlayabilecek bilgiler etrafında oluşturulan kullanıcı hesaplarının açılmasını gerektiriyorsa, VPN'lerin potansiyel kullanıcılara sundukları gizlilik politikalarına gerçekten uyup uymadıklarından emin olmak için yapılması gereken pazar araştırmasından bahsetmiyoruz bile.
Dahası, bilinçli bir karara varıldığında, belirli coğrafi konumlardaki ve belirli sitelerdeki kullanıcılar şifrelenmemiş veya standart bir https bağlantısı kullanırken kendilerini rahat hissedebilirler. Ancak kafa karışıklığının veya endişenin devam ettiği durumlarda, kimliği tanımlayabilecek verilerin çevrim içi ortamda toplanmasını önlemek için Psiphon gibi kayıt tutmayan bir VPN kullanılabilir.
Bir VPN beni veri kaydı tutulmasından koruyabilir mi?
Birçok internet kullanıcısı, çevrim içi ortamda anonim kalmak ve ticari çevrim içi hizmetlerin veri kaydı tutma uygulamalarından kaçınmak için VPN'lere yönelmektedir. Ancak hiçbir VPN'in çevrim içi ortamda tam bir anonimlik sunamayacağı belirtilmelidir. Yine de Psiphon gibi serbestçe erişilebilir bir internete kendini adamış olanlar, hizmetlerine kullanıcılarının gizliliğini koruyan güçlü güvenlik önlemleri dahil eder. Bir VPN proxy'si kullanılarak internet trafiği belirli kullanıcılara atfedilemez, ancak kullanıcılar internet hizmetlerine bağlı kalmaya ve bunları kullanmaya devam eder.
Kullanıcı güvenini kazanmak ve bireysel gizliliği artırmak amacıyla, piyasada bulunan ticari VPN'ler genellikle kayıt tutmama politikalarını öne çıkarır. Tüm kullanım kayıtlarını sildiklerini, dolayısıyla bunu imkansız kıldıklarını iddia ederler. Ancak birçok VPN hizmet sözleşmesi bu tür politikaların ayrıntılı açıklamalarını sunmaz. Bir hesap oluşturmak veya şifrelenmiş bir oturum açmak için VPN bazı ayrıntılı kullanıcı bilgilerini talep edebilir. Bir kez daha, hizmet şartlarını dikkatlice okuma ve VPN'e güvenip güvenmeme konusunda bir karar verme yükü bireysel kullanıcıya düşmektedir.
İnternetin yapısı, çevrim içi iletişimin gerçekleşebilmesi için belirli bilgilerin paylaşılmasını gerektirir. VPN kullanıcısının geçerli IP adresi de dahil olmak üzere, çalışan bir IP adresi olmadan hiçbir veri gönderilemez veya alınamaz. Bununla birlikte, bu makalede değerlendirilen mevzuatların hiçbiri VPN'lerin kullanıcı verilerini belirli bir süre saklamasını zorunlu kılmadığından, Psiphon ve diğer VPN hizmetlerinin temel değerleri, şifrelenmiş bir oturum sonlandırıldığında bu tür bilgileri ağlarından silmelerini sağlayabilir.
Psiphon'u geleneksel VPN hizmetlerinden farklı kılan nedir? Çok basit: Biz internet özgürlüğünden doğduk ve ağırlıklı olarak internet özgürlüğü için varız. Tasarımı gereği Psiphon platformu, son kullanıcıların tarama oturumuna ilişkin kimliği tanımlayabilecek hiçbir bilgiyi saklamaz. Psiphon'u kullanmak bir hesap gerektirmediğinden, yazılım herhangi bir bireysel kullanıcıya ait bilgi oluşturma veya depolama yeteneğine fiilen sahip değildir. Dolayısıyla hiçbir kullanım kaydı bulunmaz; bu da gözetimden kaçınan veya kimliği tanımlayabilecek bilgilerin yetkisiz taraflara ifşa edilmesinden korkan kişilere, Psiphon ağını kullanmanın benzersiz bir kullanıcıya veya coğrafi konuma atfedilemeyeceği konusunda güvence verir.
Ağımızın verimli kalmasını ve değişen talep düzeyine göre ölçeklenmesini sağlamak için, trafik hacmi ve ülke düzeyinde toplulaştırılmış kullanıcı konumu bilgilerini içeren dahili veri değerlendirmeleri gerçekleştiriyoruz.6 Bu, hizmet tarafından tutulan en ayrıntılı bilgidir. Ancak örneğin, kötü niyetli bir harici aktör bu istatistiksel bilgileri ele geçirse bile, kimliği tanımlayabilecek hiçbir bilgi risk altında olmayacaktır.
--
Yazan: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraf 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Ancak şehir düzeyindeki veriler, yalnızca bir ülke içindeki kullanım, şehirdeki etkin bağlantı sayısının değerlendirilmesi yoluyla bireysel kullanıcıların tespit edilmesinin istatistiksel olarak imkansız olacağı bir eşiği aştıktan sonra otomatik olarak toplulaştırılacaktır.