Dünyayı Kurtaran S Harfi #Podbee Dinlesen Bilirsin

1:32O zaman bit mit yok tabii. Yani sıfır veya bir yok. Harf harf gönderiyorlar ama kıyas için çevirebiliriz. Şu an en dandik cihazınız saniyede milyonlarca bit şifreleyip deşifreleyebiliyor.

1:42Hele bu iş için özel üretilmiş mikroçipler milyarlara çıkıyorlar. Milyar katlık bir hız farkı var. Yani şifrenin kırılıp kırılmaması ayrı bir şey de onu hızla işlemek de önemli. Ancak bu sayede günlük hayatta kullanılabilir hale geliyor.

1:56İlla askeri istihbarat veya diplomatlar kullanacak diye bir şey yok. Şu an beni dinlerken bile şifreleme kullanıyor sisteminiz. Kısacası bu iş halka indi ve bu da bizi devrimin ikinci ayağına getiriyor zaten. Sadece kullanım halka inmedi, şifreleme tasarımı da halka indi.

2:11Eskiden sadece çok gizli projelerde yapılan şeyler artık açık açık üniversitelerde, şirketlerde yapılmaya başlandı. İronik olarak süreç ne kadar şeffaflaşırsa güvenlik de o kadar artacaktı. 1976 yılına geldiğimizde sonunda IBM'in bir projesi istihbarat kurumlarının da yardımıyla bir standart olarak benimseniyor. İsmi DES.

2:42Zaten DES'in açılımı dijital şifreleme standardı. Hani herkes kafasına göre bir yöntem kullanmasın, zayıf halka bırakmayalım, mantık bu. Ve hakikaten de bir standart oluyor. Yani bütün devlet kurumlarını Hem haberleşmede hem de veri depolamada bu yöntemi kullanmaya zorluyorlar.

2:58Ondan sonra dediler ki bütün finansal işlemler de bundan şifrelensin. Amerikan Merkez Bankası, Fed mesela hep bunu kullansın. Oradan başka ülkelere yayıldı. ABD'nin etkisiyle onlar da bunu standart olarak benimsediler.

3:09Ve DES, yeni dijital dünyanın temelindeki bir standart oldu. Şimdi isminde dijital kelimesi geçtiğine göre demek ki artık harfleri gizlemekle değil de sıfırları birileri gizlemekle ilgileniyoruz. Belli büyüklükte bir grup veriyi alıyorsun, onu kesiyorsun, biçiyorsun, anahtarınla kombine ediyorsun artık ne yapıyorsan, sonra aynı boyutta ama farklı bir blok çıkarıyorsun. Deneme yanılma dışında bir saldırı metodu yok.

3:3372 katrilyon ihtimal var toplamda. O zamanlar 72 katrilyon büyük sayı. Hayatta kırılmaz diyorlardı. Ama DES bir standart haline geldikten sadece 20 sene sonra bir yarışma düzenleniyor ve 4 aylık bir saldırı sonucu kırılıyor.

3:48Sonraki sene aynı iş sadece 56 saat sürüyor. Bir sonraki sene 22 saat. Bu böyle böyle giderse yakında dakikalara inecek belli ki. Burada bir yama çözümü yaptılar.

3:58Triple destenen bir şey çıkardılar daha güvenli ama o da yavaş. O yüzden 90'ların sonunda yeni bir şifreleme standartı için yeni bir yarışma yapıldı. Herkes bir yöntemi aday gösterebiliyor ve deneme süresi boyunca istediğini kırmaya çalışabiliyor. Tabii kırılmazlık tek kıstas değil.

4:14Dediğim gibi hız önemli, hafıza kullanımı önemli, hem yazılımda çalışması hem bir donanıma dönüştürülebilmesi önemli. Senin benim cihazım için önemli değil de bu. Saniyede milyarlarca işlem yapması gereken cihazlar var. Bu yarışmayı dev bir şirket veya bir istihbarat birimi kazanmadı.

4:30İki tane akademisyen kazandı. Bu yeni sisteme de yaratıcı bir şekilde AES dendi. İleri Şifreleme Standardı. Aradan 20 seneden fazla geçmesine rağmen ve akla gelebilecek her yerde kullanılmasına rağmen AES kırılmadı.

4:45Kırılmaya bile yaklaşılmadı. Toplam ihtimal sayısını söylemeyeyim de onun yerine gereken süreyi söyleyeyim. Trilyonlarca sene sürecek hesap gerekiyor. Kuantum bilgisayarları da dayanıklı gözüküyor.

4:55O yüzden epey bir süre daha bizimle. Fakat Sezar'ın generallerini de, Napolyon'un komutanlarını da, Hitler'in U-Boat kaptanlarını da hepsini düşündüren sorun halen devam ediyor. Sistemin güvenliğinin dayandığı o gizli anahtarları nasıl dağıtacağız? Hani bir kurum için de bunu başarabiliriz.

5:13Sorumlu kişi her yere kurulumunu yapıyor zaten. Ama ya internet? Herkese özel bir anahtar lazım. Ben gidip Google'ın CEO'suyla mı buluşacağım anahtarı almak için?

5:21Hadi o gelir, beni sever sayar, bayramlarda hep arar da konuşacağım her yer için bir anahtar değiş tokuşu yapmam lazım. Bir an için çok da farklı olmayan bir senaryo düşünelim. Köprü altında buluşmak yerine bir çanta göndereceğim postayla. Çantayı asma kilitle kapatıyorum.

5:36Bu kilidi sadece ben açabilirim. Kilitli halde Google'a yolladım. Google açmaya uğraşmıyor. Bunun üstüne bir de kendi asma kilidini koyuyor.

5:43Bana geri yolluyor. Şimdi iki tane kilit var. Ben kendi kilidimi açıyorum. Çantada sadece Google'ın asma kilidi kaldı.

5:50Onlara geri yolluyorum. Onlar da kendi kilitlerini açarak çantanın içine erişiyorlar. Bu sayede birbirimize anahtar göndermeye çalışmadan, biraz gitti geldi yaparak gizli bir bilgi paylaşmış olduk. Çantanın içinde ne var?

6:02Ne isterseniz. Gizli bir doküman da olabilir, Pulp Fiction'daki gibi açınca içinden esrarengiz bir ışık da çıkabilir veya bir başka anahtar da olabilir. Yani aramızda haberleşmeye devam edeceksek, her seferinde bunu tekrarlamak yerine, gitti geldi yapmak yerine çantanın içine sağlam bir asma kilit koyarım. Anahtarı üstünde, bir kopyası da bende zaten ve başka kimsede o anahtardan yok.

6:24Artık Google ile aramızdaki mesajlarda sadece bu kilidi kullanırız. Kısacası güvenli olmayan bir kanal üstünden güvenli bir şekilde bir anahtar paylaştım ve o sayede artık kendi güvenli kanalımızı oluşturduk. Çok güzel. Ama aynısını elektronik ortamda yapabilir miyiz?

6:41Esas mesele o. Bir deneyin bakalım. Paylaşacağım veriyi kendimce şifreleyip Google'a yolluyorum. Onlar da kendilerince şifreleyip bana geri yolluyorlar.

6:49E ne yapacağım şimdi? Deminki örnekte kendi asma kilidimi açabiliyordum. Ama burada kendi şifremi çözemem. Çünkü o Google'ın şifreli mesajı içine gömülü.

6:57Önce onların açması lazım. E onlar açsalar sonra benim mesajı açamayacaklar. Yani veriye asla ulaşamayacaklar. İstediğiniz kadar değiş tokuş yapalım.

7:05İnanmayan podcasti durdurup çözmeye çalışsın. Burada şimdi tosladığımız engel, bildiğimiz tüm kilitlerin simetrik oluşu. Yani çok kuvvetli olabilir, AES gibi ama sonuçta o kilide aynı anahtar açıp kapıyor veya kopyaları. Bütün mesele de zaten o kopyaları karşı tarafa ulaştırmanın zorluğu.

7:22Peki ya oyunun kuralını değiştirirsek? Sihirli bir kilidimiz olursa, bir anahtar kilitleyecek ama aynı anahtar açamayacak. Ancak onun eşi olan başka bir anahtar açabilecek. Eğer Google böyle bir anahtar çifti yaratabilirse sorunumuz anında çözülür.

7:38Zira anahtarlardan birini halka açık biçimde paylaşırlar, kopyasını herkese dağıtırlar, buna public key diyelim. Ben Google'a gizli bir şey göndereceksem o anahtarla kitler gönderirim, onu açabilecek tek anahtar da Google'da bulunuyor. Onu kimseyle paylaşmamışlar, saklı tutmuşlar. Private key.

7:55Onlar da bana geri bir şey yollamak isterlerse benim halka açık anahtarımı kullanarak şifrelerler, sadece bendeki eşi açabilir. Gayet şık bir çözüm. Deminki çanta örneğinden bile daha hızlı oldu. Yalnız buradaki kilit nokta, anahtarlardan birine bakarak diğerini tahmin etmenin imkansız oluşu.

8:12Yoksa herkes eninde sonunda bütün private keyleri tahmin eder ve herkesin mesajını açabilir. Bir yandan da bu anahtarlar birbirleriyle tamamen alakasız olamazlar. Aralarında matematiksel bir ilişki olmalı ki birinin açtığını diğeri kapasın. Ve son olarak bu garip ilişkiye sahip anahtarları kolayca üretebilmem lazım.

8:30Öyle süper bilgisayarlara sahip olmam gerekmesin, kendi cihazımda bunları üretebileyim. İşte devrimin son ayağı asimetrik şifreleme denen bu fikrin ve bu özelliklere sahip anahtarların icadıydı. Klasik bir örneğini vereyim bunun. İki tane upuzun asal sayı buluyorum.

8:45Bunları çarpıp iyice büyük bir sayı buluyorum. Yüzlerce haneli. Buna biz devasa diyelim. Bu kadar.

8:51Bitti işim. Asal sayıları bulmam ve devasayı hesap etmem çok kolay. Ama bir başkasının onu asal çarpanlarına ayırması çok zor bir iş. Verimli bir metodu yok.

9:00O yüzden de o devasa benim halka açık anahtarım oluyor. İlk bulduğum asal sayılarda kimsenin tahmin edemeyeceği özel anahtarlarım. İşler gerçekte biraz daha karışık tabii de, RSA denen algoritmanın genel mantığı bu. Onun bir açılımı yok bu arada, icat eden akademisyenlerin isimlerinin baş harfi.

9:17RSA, neredeyse 50 yaşında olmasına rağmen dünyadaki en yaygın asimetrik şifreleme tekniği. Yalnız biraz yavaş. Yeterli güvenliği sağlayacak asal sayılar çok uzun olmalılar çünkü. Simetrik kilitlerse aynı seviyedeki güvenliği çok daha kısa anahtarlarla sağlayabiliyorlar.

9:34Daha hızlılar. Öyleyse ikisini birleştirelim. Önce asimetrik şifreleme ile merabalaşıyoruz. Bir simetrik anahtar üstünde anlaşıyoruz.

9:41Hatta onu da göndermeyelim birbirimize. Sadece onu hesaplamamızı sağlayacak bazı parametreler üstünde anlaşalım. Sonra rahatız. Muhabbetimiz boyunca tüm mesajları bu hızlı anahtarla kilitleyip açarız.

9:52Muhtemelen şu anda beni dinlerken kullandığınız sistem bu. Velhasıl artık iyi bir temelimiz var. 2000 senelik bu süreç sonunda mesajın gizliliğini sağladık. Ama iyi bir şifrelemeden beklediğimiz tek şeyin bu olmadığını biliyoruz.

10:06Mesajın yol üstünde değiştirilmemiş olması da önemli. Yani başkaları içeriğini anlamasalar bile onu tahrif edebilirler. Ve kimlik doğrulamı önemli. Biriyle konuşuyorum, şifreli de konuşuyorum ama kimle konuşuyorum?

10:17Acaba doğru kişiyle mi? Mesajın değiştirilmesini önlemek için şifreleme ile sık sık karıştırılan bir teknikten bahsedeceğim. Hashlemek. Haşlamak gibi ama biraz daha ağzımızı yayacağız.

10:28Hash diyeceğiz. Sadık dinleyiciler bunu hatırlayacaklardır. İki sene önce yaptığım blockchain serisinde bahsetmiştim. Okumayı seviyorsanız internet güvenliği diye bir yazı dizim vardı.

10:39Türk bankalarının bu akıl almaz şifre değiştirme politikalarında gıcık olduğum için öyle bir seriye başlamıştım. 5 sene olmuş hala aynı aptallıkta ısrar ediyorlar. Dünyada başka kimse kullanmıyor. Bir bunlar akıllı yani bak hala gıcım.

10:52Neyse derin bir nefes. Şifrelemenin amacı günün birinde çözülmesidir. Bir şeyi alır, garip bir hale sokarsın, sonra bir anahtar yardımıyla orijinal haline dönüştürürsün. Hash de bir şeyi alıyor, garip bir hale sokuyor ama o kadar.

11:06Anahtar manahtar yok. Tek yönlü operasyon. İnsanlar bunu sadist olduklarından yapmıyorlar tabii. Mühürlü imza niyetine kullanıyorlar.

11:13Gönderdiğim mesajın hash'ini alıp, onu mesaj altına imza gibi ekliyorum. Karşı taraf bunu alır almaz, kendisi de mesajın hash'ini hesaplıyor, benimkisiyle karşılaştırıyor, aynıysa tarifat yapılmamış demek. Mesajda çok ufak bir değişiklik yapılsa, mesela bir harf eklesen bile sonuna, onun hash'i tamamen farklı olacak. Bu yüzden yol üstünde araya giren birinin benim mesajımda en ufak bir değişiklik yapması için eski hash'i komple çöpe atması, tahrifat yaptığı mesajın hash'ini hesaplaması lazım.

11:43Ama bunu doğru biçimde yapamaz. Çünkü nasıl ki dünya kadar şifreleme metodu var, dünya kadar da hash fonksiyonu var. Bizim hangilerini kullandığımızı nereden bilecek? O yüzden imzalar tutmayacak.

11:53Her zamanki gibi gerçek hayatta ayrıntılar farklı ama işin genel mantığı bu. Tamam, mesajların okunmasını önlemiştik. Artık tahrif edilmesini de önledik. Gelelim iyi bir şifreleme yönteminden beklediğimiz son şeye, kimlik doğrulamaya.

12:07Analog örneklerde işin bu kısmı alternatif yöntemlerle sağlanıyordu. İkinci Dünya Savaşı'nda her U-Boat kaptanına gizli bir kişisel kod tahsis edersin önceden. Gönderilen mesajda o kod varsa kimden geldiğini bilirler. Dijital ortamdaysa kim kime dumduma.

12:21Herkes kendisinin herhangi başka biri olduğunu iddia edebilir. Şöyle fantastik bir saldırı yapabilirsiniz mesela imkanınız varsa, bir DNA sunucusu hacklersiniz, oradaki Google adreslerini kendi sunucuna yönlendirirsin. Ben Google'ım, bu benim umumi anahtarım, konuşalım. Böyle diyerek şifreli iletişim de kurarsın millette.

12:39Öyleyse senin gerçek Google olmadığını anlamanın bir yolu olmalı. İşte sertifikalar bunu sağlıyor. Sertifika dediğin alt tarafı o kişinin umumi anahtarı artı bir takım kimlik bilgilerini taşıyan bir dijital dosya. Bu tek başına bir şey ifade etmez.

12:54Hepimiz bir anahtar çifti yaratabiliriz. Hepimiz o kimlik bilgilerini de değiştirebiliriz. Ancak bazı otoriteler var. Gelip müfettiş gibi kontrol ediyorlar.

13:02Acaba şu şirket gerçekten de o alan adının sahibi mi? Göster bakalım yaptığın ödemeleri. böyle soruşturuyorlar. Onlar tatmin olursa sertifikanı dijital olarak imzalıyorlar.

13:13Bizim cihazlarımızda da güvenilir otoriteler listesi var. Oradaki herhangi bir otoritenin dijital imzası bulunan herhangi bir sertifika bizim için geçerli kimlik oluyor. Tamam diyorum. Sertifikadaki umumi anahtarı alıyorum, bir takım verileri bununla şifreleyip gönderiyorum.

13:28Bilgilerimi okuyup bana tekrarlıyor. O zaman anlıyorum ki, bu bilgileri okuyabilmesinin tek yolu o sertifikadaki anahtarın eşine sahip olmasıdır. Kimliğine de güvendik. Hadi başlayalım bakalım simetrik şifreleme ile esas muhabbetimize başlıyoruz.

13:42Böylece ne yaptım? Hem kimlik doğrulaması yaptım, hem ortadaki adam saldırısını önledim, hem de yol üstünde kim varsa, servis sağlayıcıları, istihbarat, varsa VPN sağlayıcısı, hiç kimsenin bu mesajların içeriğini okuyamamasını garantiledim. Bir taşla üç kuş. İşte internette gezinirken gördüğünüz o kilit sembolünün, bağlantınız güvenlidir ibaresinin ardında olup biten bunlar.

14:06Sadece web sayfaları değil, e-mail'leriniz, mesajlarınız, sesli konuşmalarınız, hatta DNS sorgularınız da böyle korunabiliyor. Başka yöntemler de var tabii ama en yaygını bu. İşin güzel tarafı, güvenli bir uygulama yaratmak için tekerleği yeniden icat etmenize gerek yok. Yani asal sayılardan, hash'lerden falan anlamak zorunda değilsiniz, kimse o kadar anlamıyor zaten.

14:58Tüm bu teknikler ve kurallar ayrı bir protokolün parçası. Transport Layer Security denen. Ulaşım katmanı güvenliği. İsminden belli zaten uygulamanın parçası olmadığı.

15:08Taşeron bu. Uygulamalar isterlerse güvenlik işini buna ihale ediyorlar. Bir başka deyişle HTTPS'deki S harfi ayrı bir protokol manasına gelmiyor. Bu ulaşım katmanı güvenliğinin sağladığı güvenlik hizmetini almış web uygulaması demek.

15:23Oradan gelen seküretinin S'si o. Şimdi bütün bunlara bir de büyük birader açısından bakalım derim ben. Elf gözleriyle ne görüyorlar? Geçen bölümden biliyoruz ki iletişim genelde bir DNA sorgusuyla başlıyor.

15:36Yakın zamanlara kadar bu sorgular hep açıktan gidiyorlardı. Çünkü bugün anlattığımız güvenlik işlemlerinin bir performans maliyeti var. Bizim cihazlar için sorun değil de DNA sunucuları çok yoğun trafik alıyorlar. Çılgın bir tane istatistik paylaşım.

15:50Google'ın halka açık DNS hizmeti var biliyorsunuz. Toplam kaç suncuları var bilemem ama sistem geneline her Allah'ın günü 1 trilyondan fazla sorgu geliyordu. Yani saniyede 15 milyon sorgu. Ki bu da birkaç sene öncesinin verisi.

16:04Buradaki her bir sorgu için önce asimetrik şifrelemeyi halledeceksin, sonra simetrik anahtar hesap edeceksin. Bununla mesajı şifrele, aç, şifrele, aç. Bütün bunlar eski sistemleri yoruyordu. O yüzden diğer her türlü trafik giderek daha güvenli hale gelirken DNS açıktan gitmeye devam etti.

16:20Duyduk duymadık demeyin, immanüel bir porno sitesine gidecek birazdan diye internete bağırmaya, duyurmaya devam etti. Neyse ki artık o eşeği açtık. Web tarayıcıları mutlaka bir yokluyorlar önce, kullandığınız DNS suncusu şifre destekliyor mu diye. Google gibi, Cloudflare gibi, OpenDNS gibi halka açık hizmetler de tam destekliyorlar zaten.

16:40Ben Cloudflare'ın basit bir uygulamasını kullanıyorum, bedava bir uygulama. Tüm adres sorgularımı şifreleyip kendi suncularına yönlendiriyor. Üstelik normal web trafiğiyle aynı portu kullandığı için kamufle de oluyor. Dolayısıyla Büyük Birader sorgumun içini okuyamadığı gibi herhangi bir sorgu yaptığımdan bile haberi olmuyor.

16:57Bu arada Allah cezanı vermesin Cloudflare. 18 milyar dolarlık şirket. İnsan bir sponsor olur ya. 3-5 atar.

17:03Kaç bölümdür bütün interneti bedavaya anlattık. Tamam biz şimdi DNS tarafını sağlama aldık. Sonraki adım neydi? Edindiğim IP adresine gidecektim.

17:11Diyelim ki banka hesaplarıma bakacağım. Bu şartlarda Büyük Birader'in göreceği tek şey o adrese gittiğim ve belli bir porta bağlandığım. 443 numaralı. Bu port genelde HTTPS portudur.

17:22Yani bir web trafiği olduğunu oradan anlayacaklar. IP adresinden de belki bankamı anlayabilirler. O da belki. Ama başka da bir şey anlayamazlar.

17:30Bütün uygulama mesajları şifreli. Yalnız erken kutlama yapmayalım. Büyük biraderi kör eden şey, farkında olmadan bizi de kör ediyor. Verdiğim örnekte o adreste sadece banka vardı.

17:41Ama geçen bölümlerden bildiğimiz üzere aynı sunucuda birden fazla web sitesi olabilir veya koca bir içerik dağıtım ağının kapısında olabilirim, arka tarafta bir dünya site var. Hangisine geldiğimizi nasıl bilecekler? Güvenli haberleşimin ilk adımı neydi? Daha herhangi bir uygulama verisi göndermeden önce sitenin sertifikasını incelemem lazım.

18:00Oradaki imzadan tatmin olunca şifreleme protokolüne başlıyorum ve birkaç gitti geldi sonrası nihayet ilk uygulama verisini yolluyorum. E iyi de ben o bilgileri daha yeni yolluyorsam ta ilk adımdaki doğru sertifikaya nasıl erişmiş olabilirim ki? Geldiğim adreste bir sürü site var. Bana hangisini gösterecekler ilk geldiğimde?

18:17Yani bir yumurta tavuk durumuyla karşı karşıyayız. Kime geldiğimi söylemeden önce güvenli bağlantı kurmak istiyorum ama bunu yapabilmem için önce kime geldiğimi söylemem lazım. İşte bu açmazı çözmek için daha en baştaki merhaba mesajında ben şuraya gelmiştim diye açıktan belirtiyorsun. Böylece sana doğru sertifikayı sunuyorlar.

18:36Bu bir yandan iyi oldu. Zira güvenli webin yayılmasına katkıda bulundu. İçerik dağıtım ağlarının potansiyeli büyük. Ama bir yandan da büyük biraderin gözlerini açtı.

18:45Çünkü o ilk mesajı okuyabiliyorlar. Geçen bölüm ekşi sözlüğün bu şekilde engellendiğini söylemiştim. Bu demek değil ki gittiğiniz URL'ler, yani web adresleri tek tek görünüyor. Hayır, daha sonra iletilen bir bilgi o.

18:58O hep şifrelenmiş bir şekilde iletiliyor. O sayfanın içeriği de bana şifreli geliyor. Ama en başta ben ekşisözlük.com'a gelmiştim.

19:05Sen de gerçekten oysan bunu kanıtla bakalım. Muhabbetimizi görüyorlar. Bu sayede beni profillemeye ve istedikleri siteyi de sansürlemeye devam ediyorlar. Bu örnekte ilginç bir sorun var aslında.

19:16Ekşisözlük gibi yurt içinde bulunan sitelere VPN ile nasıl ulaşabiliyorsunuz? Dışarıya şifreli bir tünel açıyoruz da o tünelden çıktıktan sonra mesajlar geri Türkiye'ye gelecek. Öyleyse ne fark eder? Büyük birader bunları filtreleyebilirdi.

19:30Bunu yapmıyorlar nedense. Hatta VPN'i aradan çıkaralım. Ben zaten yurt dışındayım ve buradan rahatça bağlanabiliyorum. Yani engellenen şey site değil aslında.

19:39Engellenen şey yurt içindeki kullanıcı. Saçma sapan tutarsız politikalar bunlar. Ben gerçekten anlam veremiyorum. Velhasıl sonuçta ne oldu şimdi?

19:47Tüm o ultra süper mega şifreleme yöntemlerimize rağmen büyük biradere yenildik mi? Valla şu ana kadar öğrendiğimiz bir şey olduysa kedi fare oyununun hiç bitmediğidir. Bu anlattığım şeye karşı da önlemler var. Kurnazca bulduğum bir taktik paylaşayım.

20:01Biraz detay olsa da bana zevkli geliyor. Yorulan varsa bir iki dakika ileri sarsın. Yasaklı bir siteye gideceğiz ya, o adrese merhaba dedikten sonra alakasız bir alan adı isteği yolluyoruz. Wikipedia.org gibi.

20:12Bu uyduruk istek büyük biraderi kandırmakta kullanılacak. Ha Wikipedia ise sorun yok diyecekler ve şanslıysak o bağlantıya ait sonraki paketlerin içini incelemeyecekler performans tasarrufu yapmak için. Bizim bu noktadaki amacımız paketi uzaktan imha etmek. İnternetteki her paketin ayarlanabilir bir ömrü var.

20:31Hedefini şaşırmış paketler sonsuza kadar oradan oraya dolanmasınlar, internet böyle zombilerle dolmasın diye icat edilmiş bir özellik. Sertifika isteğimizin ömrünü öyle bir ayarlayacağız ki büyük biraderin cihazlarına varacak ama sunucuya ulaşmayacak. Çünkü ulaşırsa ben de böyle sertifika yok yanlış gelmişim diyerek bağlantıyı koparırlar. Amacımız bağlantı hala aktifken ikinci bir sertifika isteği yollamak.

20:55Bu doğru ismi içeriyor ve ömrü daha uzun. Kontrole takılmadan adrese ulaşacak. Böylece büyük birader bizi Wikipedia ile konuşuyor sanarken onun burnunun dibinde yasaklı bir site ile şifreli bir bağlantı kurmuş olduk. Bence gayet yaratıcı ama insanların %99'u bunlarla uğraşmaz.

21:11Yani bunu otomatik yapan programlar var da onlarla da uğraşmazlar. Zaten büyük birader de buna karşı adapte olabilir. Bize herkesin kullanabileceği ve daha standart bir çözüm lazım. Yumurta tavuk sorunumuzu hatırlayalım.

21:24Derdimiz sertifikaya ve oradaki umumi anahtara ulaşmaktı. Peki ya bu bilgileri sunucunun kendisinden değil de başka bir yerden bulabilirsem? Nereden olabilir? DNS kayıtlarından.

21:34Nasıl olsa oraya sorgu yaparken alan adını kullanıyorum. E bana IP adresiyle beraber bunları da verebilirler. Böylece ben gitmek istediğim yere açıktan hiçbir şey göndermeden doğrudan muhabbete şifreyle başlıyorum. Böylece büyük biradere bir şey kalmadı.

21:48Zaten bu nedenle 2020 yılında Çin bu yöntemi kullanabilen ve başka açıkları da kapatan yeni TLS versiyonunu topyekun engellemişti. En azından bu yönde haberler çıkmıştı. Yalnız tahminimce biraz gevşemiştir. Yani internetin kalanının her geçen gün daha çok benimsediği protokolleri böyle komple yasaklamak sürdürülebilir bir davranış değil.

22:08Herkes aynı dili konuşurken senin cihazların eski bir dili konuşabiliyor ancak. İnternete fiziken bağlısın ama mantıken kopmuş oluyorsun. Bu anlattığımdan daha basit bir alternatif de var bu arada. Sunucuya gönderdiğim ilk mesajları ikimizin de bildiği ama gizli olmayan bir anahtarla kitlemek.

22:24Burada maksat ne? Büyük birader için performans maliyetini arttırmak. Anahtar gizli olmadığı için onlar da buna edinebilirler, bağlantımızı açarlar, gitmek istediğim alan adını öğrenirler. Bu ekstra iş, derin paket analizi normalde bir paketi sınıflandırmak için birkaç mikrosaniye harcar, bir buçuk iki.

22:42Burada 10-15 mikrosaniye kadar çıkıyormuş. Bir darboğaz yaratacak. Geçen bölüm bahsettiğim mühendis arkadaş bu detaylar üstüne konuşurken uzun vadede derin paket analizinin öleceğini söylemişti. Ben de bakıyorum şimdi bu son birkaç bölümde konuştuklarımıza da ne gördük bakın.

22:57Eskisi gibi IP bazlı analizler manasız çünkü her şey her yerde. Dns bir bilgi madeniydi, onu kaybediyorlar. Uygulamalar tamamen şifrelendi. Bağlantıların başlangıcından bilgi toplayabiliyorlardı, o devirde bitiyor.

23:12Tüm bunlar yetmiyormuş gibi VPN kullanımı da yaygın. Geçen seneki bir raporda küresel kullanıcıların 3'te 1'inin düzenli olarak VPN kullandığı yazıyordu. Rekor Endonezyalılarda %60 ile. Bunu da ekleyince tabloya gerçekten de büyük birader karanlıkta kalıyor.

23:28Fakat öz hakiki diktatörlükle yönetilen rejimlerin son bir kozu var. Resmi bir ortadaki adam saldırısıyla şifrele şifresiz tüm trafiğinizi izleyebilmek. Dadadadan nasıl oluyor bu? TLS protokolünün zayıf noktasını düşününce çok esrarengiz gelmeyecektir.

23:45Zayıf nokta sertifikaya güven. Daha doğrusu sertifika otoritelerine güven. Kendi cihazınızın ayarlarını da aratın. Trusted Root Certificates diye mesela bir sürü şey vardır orada.

23:54Doldurmuşlar şuna güven buna güven. Herkes de bu arada kendi sertifika otoritesini kurabilir. Mesele sizin cihazınızdaki o listenin içine girebilmekte. Peki devletin kendisi bir sertifika otoritesi olamaz mı?

24:06Mesela ülkede satılan tüm cihazların rende binasını bir otorite olarak tanımalarını sağlayamaz mı? Bunu hallettin mi geçmiş olsun. Sen Google'a gitmek istiyorsun mesela. Servis sağlayıcın bir şekilde gideceğin yeri anlarsa sana der ki, kardeşim Google benim, al sertifikam.

24:21Kim tarafından imzalı? Rende binası tarafından. Elin mahkum, güveniyorsun ona. Servis sağlayıcı bir yandan da arka tarafta gerçekten Google ile konuşuyor.

24:30Senin mesajlarını oraya yönlendiriyor. Dolayısıyla sen mailine bakmak istiyorsan gerçekten mail kutun geliyor Google'dan. Ama arada önce servis sağlayıcısına gidiyor. Onlar kilidi açmışlar, içine bakmışlar.

24:41Sonra aramızdaki bağlantıya özel anahtarla yeniden kitleyip hiçbir şey olmamış gibi bize devretmişler. Bunu VPN bile kurtarmayabilir. Geçen bölümde söylemedim ama her VPN'in bir yoğurt yiyişi var, bir tünel şifreli işi var. Hepsi aynı değil.

24:55Özellikle kolay kurulanlar, tarayıcı eklentileri gibi genelde sadece web trafiği için tünel açarlar. Nasıl açarlar? Deminden beri anlattığımız TLS ile. Dolayısıyla büyük birader o VPN sağlayıcının sertifikasını da taklit edebilir, sen ona tünel açmış olursun.

25:11Tüm bunlar gereksiz bir paranoya olarak görülebilir tabii. Anlattığım senaryo epey distopik sonuçta. Servis sağlayıcılarının da böyle bir şey yapmaları kanunen yasak zaten. İstihbarat servisleri belki çok seçici bir şekilde yapıyorlardır.

25:24Bilemem böyle bir şey varsa çok da kafayı takmıyorum. Yalnız istihbarat sizinle ilgilenmese bile deminki distopik senaryoyu günlük hayatınızda biraz daha ufak bir çapta sürekli tecrübe ettiğinize eminim. Zira yıllardır birçok şirkette, kurumda, kampüste uygulanıyor. Oraların diktatörleri olan o gözlüklü, topsakallı ağ yöneticileri kendi sertifika sistemlerini kurmuşlar.

25:46Kurumdaki bütün cihazları ona güvenmek üzere programlamışlar. Zaten sistem yapısı gereği tüm trafiği bir darboğazdan geçiriyor. İşte tam oraya ortadaki adam olarak kuruluveriyorlar. Bütün güvenli sandığınız bağlantılar açılıp incelenebilir.

26:01Tabii buna saldırı demek yanıltıcı. Ben şu ana kadar her şeyi kullanıcı ile otorite arasında bir mücadele olarak çerçeveledim. Kedi fare oyunu dedim. Ama internetin çok ciddi bir kısmı özel ağlardan oluşuyor.

26:12Bir üniversitenin, bir şirketin kendi ağlarındaki trafiği de en azından bir dereceye kadar kontrol edebilmeleri makul bir istek. Zira artık zararlı yazılımların yayılma şekli neredeyse tamamen HTTPS. Senin internetteki biriyle yaptığın bağlantı güvenli diye o bağlantın içinden benim şebekeme gelecek şeyler güvenli olmak zorunda değiller ve bir kere buraya geldiler mi şebekenin tamamını felç edebilirler. Daha buraya girmeden bunu kontrol edebilmem lazım.

26:38İşte internet standartları ve teknolojileri belirlenirken ağ yöneticilerinin istekleri de göz önüne alınıyor. O yüzden esas amaç gizliliği maksimize etmek değil. Kontrol ile mahremiyet arasında, gizlilik arasında bir denge tutturuluyor. Her ülkedeki insanların da önceliği farklı tabii.

26:55Yani hiçbir devlete tam güven olmaz da derece meselesi bu. Türkiye gibi yerlerde de devlet aşırı baskın olduğu için, hukuk bireyi devlete karşı koruyamadığı için mahremiyet ve güvenlik daha öncelikli. Ama böyle yerlerinde teknolojiler üstündeki söz hakkı az. Evet flarsızlar, yolun sonuna geldik artık.

27:13Bu final bölümünde sizi eski ahitten aldım, 2. Dünya Savaşı'ndan sağ salim çıkardım, büyük biraderiyle aramızdaki kavga birkaç round daha devam etti ve sonunda 3. bir tarafın katılmasıyla bir Meksika açmasına dönüştü. Seri boyunca kat ettiğimiz mesafe iyice baş döndürücü.

27:29Türkiye'nin haberleşme eksikliklerinden başladık, internetin parçalanması, dünyadaki sansür politikaları, ağ tarafsızlığı diye devam ettim. Web üstüne ayrı bir bölüm yaptım, neden doğdu, nasıl yayıldı. Sonra içimdeki mühendis gaza geldi ve madem başladık dedim, bütün internetin yapısını anlatayım. Hem de eski telgraf sistemleri üstünden.

27:48Umarım uzun süreler boyunca sizin de merakınızı canlandıran bir içerik olarak kalacak. Bundan sonraki planımız ne? Kızgın kumlardan serin sulara atlayacağız ya da tam tersi. Çünkü ucundan da olsa Türkiye'de seçim gündemine gireceğiz.

28:02Önümüzde birkaç hafta var, değinmek istediğim de birkaç konu. Seçimlerden sonra da ne olacağını bilmiyoruz. Olan bitene bağlı olarak post apokaliptik temalara yönelebilirim. Ama ne olursa olsun dinleyen herkese ve patronlarıma müteşekkirim.

28:15Sabah Deniz Gülensoy, Emin Keleş, Murat Altan, Gökhan Samur, Buse Bakal, İhsan, Zeynep Kurt, Meryem Bayraktar, Göksu İlbaş, Ödağlı ekibi ve Ali Emre Öztürk.