Şifreleme arka kapısı nedir ve neden tehlikelidir?

Şifreleme arka kapısı, şifrelemeyi atlamak için kasıtlı olarak yerleştirilmiş bir yoldur. Onaylanmış tarafların şifrelenmiş verilere erişmesi için özel imkan sağlayan bir sistemi tanımlar. Esasen, kolluk kuvvetlerine şifrelenmiş iletiler için bir ana anahtar verir. Hükûmetler bunu genellikle "yasal erişim" olarak çerçevelendirir, çünkü bu, yetkililerin gerektiğinde verilerin şifresini çözmesini sağlamak üzere tasarlanmıştır.

Genellikle, çevrim içi veriler, aktarım halindeki verilerin şifrelemesini gerçekleştiren TLS kullanılarak şifrelenir. Veriler servis sağlayıcıya — Google, Dropbox veya Facebook gibi — ulaştığında, şifresi çözülür ve ardından kontrol ettikleri şifreleme anahtarları kullanılarak sunucularında yeniden şifrelenir. Bu, verilerinize erişebileceği anlamına gelir; bu nedenle bir şifreleme arka kapısı gerekli değildir, çünkü hükûmetler sağlayıcıyı verileri teslim etmeye zorlayabilir.

Uçtan uca şifrelemede, veriler göndericinin aygıtında şifrelenir ve alıcının aygıtına ulaşana kadar şifresi çözülmez. Servis sağlayıcı — Proton veya Signal gibi — şifreleme anahtarlarına asla erişime sahip değildir, bu nedenle yasal emir altında bile hiçbir şeyin şifresini çözemez. İşte tam bu noktada kolluk kuvvetleri ve politika yapıcılar şifreleme arka kapıları için baskı yapmaktadır.

Şifreleme arka kapılarını arka kapı saldırılarından ayırt etmek önemlidir. Şifreleme arka kapısı, belirli koşullar altında erişim için sisteme kasıtlı olarak yerleştirilmiş bir özelliktir — örneğin kolluk kuvvetleri tarafından istendiğinde — ve tüm kullanıcılar için geçerlidir. Öte yandan, bir arka kapı saldırısı — Salt Typhoon tarafından düzenlenen gibi — bilgisayar korsanları tarafından, tespit edilmeden erişim sağlamak için kullanılan gizli bir güvenlik açığıdır.

Saldırganlar bir şifreleme arka kapısı keşfederlerse, bunu sonradan yerleştirilen bir arka kapıyı kullandıkları gibi istismar edebilirler. Aradaki fark, şifreleme arka kapısının tasarım gereği zaten orada olmasıdır.

Şifreleme, otel odanızdaki bir kilit gibi çalışır: TLS gibi standart şifrelemede anahtarı siz tutarsınız ancak otel müdürü (servis sağlayıcı) bir yedek tutar ve polis isterse kapıyı açabilir.

Öte yandan uçtan uca şifreleme ile anahtar sadece sizde bulunur, bu yüzden başka kimse içeri giremez. Şifreleme arka kapısı, yasal bir kurumun (kolluk kuvvetleri gibi) müdürden her kapıyı açan bir ana anahtar oluşturmasını istemesidir. Böyle bir anahtar var olduğunda, yabancı hükûmetler ve bilgisayar korsanları da dahil olmak üzere herkes onu çalmaya çalışabilir.

Tasarıma bağlı olarak, bu şifreleme arka kapısı farklı biçimler alabilir.

Anahtar emanet sisteminde, şifreleme anahtarları bir hükûmet gibi üçüncü bir tarafça depolanır. Eğer kolluk kuvvetleri bir arama emri alırsa, anahtarı geri alabilirler.

İstemci tarafı taramada, kendi aygıtınız dosyalarınızı ve iletilerinizi şifrelenmeden önce arar ve işaretlenen içeriği rapor eder. Bu, kapı kilitli kalsa bile otel müdürünün odanıza getirdiğiniz her şeyi incelemesi ve not alması gibidir.

1990'larda ABD hükûmeti, sabit hat iletişimlerini güvenli hale getirmek için bir yonga seti olan Clipper Chip(yeni pencere)'i tanıttı. Her yonga seti kendi şifreleme anahtarıyla geliyordu, ancak bu anahtarın bir kopyası anahtar emaneti kullanılarak bir hükûmet veritabanına yerleştirilmişti. Fikir şuydu: Bir hükûmet kurumu, Clipper Chip yüklü bir aygıttan gelen belirli iletişimleri engellemek için yasal yetki alırsa, anahtarı talep edebilir ve yazışmanın şifresini çözmek için kullanabilirdi.

Güvenlik uzmanları, anahtarların emanette saklanmasının tek bir merkezi başarısızlık noktası oluşturduğu konusunda uyardı ve gizlilik savunucuları, güvenli yazışmalara evrensel hükûmet erişimi fikrine itiraz etti. Yanıt olarak geliştiriciler, PGP, PGPfone(yeni pencere) ve Nautilus(yeni pencere) gibi güçlü halka açık şifreleme araçlarını yayınladılar. Sadece üç yıl içinde Clipper Chip terk edildi.

Hükûmetler, kolluk kuvvetleri ve istihbarat teşkilatları, dijital iletişimlere erişimi genişletmenin bir yolu olarak şifreleme arka kapılarının en güçlü savunucularıdır. Kurumlar, bir "kararma" sorunuyla karşı karşıya olduklarını savunuyorlar — mahkeme emri veya arama izni olsa bile, güçlü şifreleme, istihbarat toplamak ve suçları soruşturmak için kullanabilecekleri kritik kanıtlara erişimi engelleyebilir.

Bu baskı genellikle mevzuata dönüşür — yetkililere şirketlerden uçtan uca şifrelemeyi kırmanın yeni yollarını oluşturmalarını ve güvenli verilere "yasal erişim" sağlamalarını talep etme yetkisi veren Birleşik Krallık Soruşturma Yetkileri Yasası ve Avustralya Yardım ve Erişim Yasası gibi.