Uçtan uca şifreleme nedir?

Ortaokulda birbirimizin sırasının altına not bırakırdık…

O zamanlar sadece görmesi gereken kişinin sırasının altına kağıdı koyardık. Biz aslında o zamanlar uçtan uca şifreleme metodunu bulmuşuz. Tabi o zaman çift tık ve tek tık görülme yoktu.

Sıranın altına konulan şifresiz mesajlar

Bir de üçüncü kişilerin mesajı görme olasılığı çok yüksekti. O zamanlar keşke kriptoloji bilseydik, belki mesajımızı şifreleyip yazardık.

Şimdi ise, kriptoloji her an yanımızda ve onu kullanım halindeyiz. Uçtan uca şifreleme-kilitleme kullanan mesajlaşma uygulamaları da bu matematiğin yoğun kullanıldığı bir alan. Peki o halde;

Uçtan Uca Şifreleme (E2EE) Nedir?

Gönderici ve alıcı arasındaki mesajlaşma trafiğinin kimsenin göremeyecek şekilde iletilmesine, uçtan uça şifreleme diyebiliriz. Uçtan uca şifreleme algoritmaları ise bildiğimiz üzere mesajlaşma uygulamalarında yoğun olarak kullanılıyor.

uçtan uça şifreleme nedir

Uçtan Uca Şifreleme Neden Önemlidir?

Attığımız mesajların içeriği ne olursa olsun, eğer farklı kişiler/sistemler tarafından okunmamasını istiyorsak, bu şifreleme yöntemini kullanmamız gerekiyor. Bu şekilde bir algoritma ile bir çok fayda sağlıyoruz. Verilerimizin gizliliği, mesajlarımızın mahremiyeti ve verilerimizin bütünlüğünün sağlandığı bir sistem üzerinden muhatabımız ile konuşmuş oluyoruz.

Uçtan Uca Şifreleme (E2EE) Nasıl Çalışır?

Elimizdeki mobil uygulama veya bilgisayar başındayken bir çok farklı mecrada mesajlar yazıyoruz. Bu uygulamalar karşı tarafa mesajlarımızı iletmeden bir sayısal formata çeviriyor. Belirli kriptolojik algoritmalar, matematiksel anahtarlar ile mesajlarımızı şifreleyip karşı uça gönderiyor.

Dolayısıyla, bu mesajın şifreli halini açıp okuyan kimse, bu mesajın ne içerdiğini normal şartlarda anlayamıyor.

uçtan uca şifreleme nasıl çalışır

Firmaların mesajlaşma sunucuları da, çoğunlukla ( bkz: Whatsapp ve Signal e2ee sistemleri) karşı taraftaki alıcı ile şifreli haberleşmemizi sağlayan bazı matematiksel parametreleri tutuyor ( pre-key bundle vb)

Uçtan Uca Şifreleme ile Neler Korunabilir?

Teknik olarak, mesajlaşma uygulamaları özel bir kısıt koymadığı sürece tüm mesaj tiplerimiz şifreli bir şekilde aktarılabilir. Dolayısıyla yazılı, sesli veya görüntülü arama ve mesajlarımız ilgili uygulamalar sayesinde kilitlenerek/şifrelenerek aktarılıyor. Böylece kişisel verilerimizin mahremiyeti anlamında iyileşme sağlanıyor.

uçtan uca şifreleme ile neler korunabilir

Uçtan Uca Şifreleme Yapmanın Avantajları Nelerdir?

Uçtan uça şifreleme yapma basit anlamda veri gizliliği ve bütünlüğü için önemlidir.

Eğer uçtan uca değil de, aradaki herhangi bir sisteme kadar bu şifreleme sağlanıyorsa, o halde aradaki bir sisteme de mesajlarımızı okuma hakkı veya teknik olarak yetisini vermiş oluyoruz.

uçtan sunucuya şifreleme durumunda

Uçtan Uca Şifrelemeye (E2EE) Örnek Uygulamalar

Çoğumuzun günlük durumda kullandığı mesajlaşma veya iş uygulamalarında bu özellik sağlanıyor. Özellikle çok kullanılan mesajlaşma uygulamalarında, kişisel verilerin gizliliği ve mahremiyeti konusu öne çıkıyor. (örnek uygulamalar: ‎Best Social Networking Apps for iPhone)

Bu şifreleme yöntemini kullanan uygulamalar, gizliliği arttıran yönde iyi bir sistem tasarımı yapıyorlar. Ancak burada uygulamalar geliştirilirken iki bakış açısını da göz önünde bulundururlar:

Birincisi fonksiyonalite, ikincisi siber güvenlik.

Dolayısıyla tasarımcı firmaların kullanım kolaylığını siber güvenliğe tercih edebilecegi durumlar olabilir. Signal mesajlaşma uygulaması gibi bazı uygulamalar ise açıkça “siber güvenliği” önceliklendirdiğini belirtiyor (a privacy-focused messaging app). Burada uygulamaların siber güvenlik güncellemelerini veya uygulama güncelleme haberlerini de takip etmemiz gerekiyor. Böylece uygulamalara ait kritik zaafiyetlerden uğrayacagımız zararı en aza indirmiş oluyoruz.

Uçtan Uca Şifreleme her zaman güvenli midir?

Organize siber suç örgütleri veya güvenlik araştırmacıları tarafından ilgili sistemlerin açıkları bulunabilmektedir. Bu minvalde de firmalar ilgili sistemlerin en üst düzeyde güvenliğini sağlamak için, bir çok matematiksel yöntem ile uçtan uca şifreleme güvenliğini arttırırlar. Bu yöntemlere örnekler olarak:

• Mesajlarımızı kilitlemek veya şifrelemek için kullanılan matematiksel parametrelerin ve anahtarların yenilenmesi
• Kullanılan anahtarların hesaplanmasında kullanılan algoritmaların matematiksel çözümlerinin zorluğu (teknik örnek olarak basit bir anahtar değişim algoritması yerine ECDHE benzeri bir algoritma veya Signal mesajlaşma uygulamasindaki kullanıma benzeri karışım-ratchet algoritmaların kullanılması)

Ek olarak ilgili mesajlaşma uygulamasının sahipleri olan şirketler bu önlemleri de süreklilik arz edecek şekilde almalıdır ki kullanıcıların güvenliği artsın:

• İlgili mesajlaşma uygulama altyapısındaki açıklıkların giderilmesi
• İlgili mesajlaşma uygulamasının, veri analitiği anlamında kullandığı kullanıcı verilerinin şeffaf bir şekilde paylaşılması
• Veri yedekleme altyapısının da güvenliği

Veri yedekleme durumunda, verilerinizin kendi mobil veya bilgisayarınızda değil firmanın kullandığı bir veri merkezinde depolandığının farkında olun. Ek olarak yedeklediğiniz yerdeki verileri açacak anahtarların, sahiplik durumunu da sorgulamayı unutmayın.

Mesajlaşma uygulamalarının veri merkezlerinde tuttuğu verilerin durumu

Firmaların bu konudaki ilkelerini bu linklerden görebilirsiniz:

• iMessage veri merkezi yedekleme var ancak anahtar* bazı ülkelerde Apple şirketine ait. https://support.apple.com/en-us/102651
• **Signal’de veri merkezine chat yedeklemesi yok ancak kontak/engellenen kişilerin bilgisi var. Technology Preview: Secure Value Recovery
• ***Bip veri merkezi yedekleme Güvenlik — BiP
• ***Whatsapp https://faq.whatsapp.com/490592613091019/
• Telegram gizli chat veya uçtan uca yedeklenen mesajların veri merkezi/cloud yedeklemesi bulunmuyor. Telegram SSS — Secret Chats

Dolayısıyla veri merkezinde tutulan veriler 3. Kişilerin erişimine açık değil. Ancak uygulama sahibi şirketlerin veri erişimi açısından politikaları vardır. Kendi belirledikleri politikalara göre veriye erişim sağlanabilir. Bazı şirketler de veri merkezindeki yedekleme opsiyonunu uçtan uca yedekli şekilde sunmayabilir.

Son olarak, biz 3. kişilerin veya firmanın kişisel mesajlarımızı okumaması gerektiğini düşünüyoruz. Bu yüzden uçtan uça şifreleme yöntemini kullanan uygulamaları daha çok tercih ediyoruz.

Ancak kullandığımız uç nokta (mobil telefon veya bilgisayar veya tablet vb) üstünde de aynı şekilde siber güvenlik önlemleri almalıyız. En kötü senaryoyu düşündüğümüzde, telefona yüklediğimiz zararlı bir uygulama bizim sistemimizi ele geçirebilir. Bu durumda mesajlaşma uygulamalarının uçtan uca şifreleme yapması pek de faydalı olmayacaktır 🙂

Nice siber güvenli gezinmelere…

( Google yapay zekanın çok detaylı teknik raporuna bu linkten ulaşılabilir: https://docs.google.com/document/d/16P3OuopA8fnMH0peSuLx0oROW0JARa7R3YzVwpSKDNk/edit?usp=sharing)