Gizlilik açığı tartışma yarattı, Microsoft şifreyi FBI’a verdi

ABD’de geçen yılın başlarında FBI, Microsoft’a bir arama buyruğu sunarak üç dizüstü bilgisayarda depolanan şifreli dataların kilidini açmak için kurtarma anahtarlarını talep etti. Guam’daki müfettişler, bu aygıtların adanın Covid işsizlik yardım programını yürüten bireylerin fonları çalmaya yönelik bir planın modülü olduklarını kanıtlamaya yardımcı olacak kanıtlar içerdiğine inanıyordu. Datalar, birçok çağdaş Windows bilgisayarda, sabit diskteki tüm dataları korumak için otomatik olarak aktifleştirilen BitLocker yazılımıyla korunuyordu. BitLocker, bilgileri sırf bir anahtara sahip olanların çözebileceği halde koruyor.

Kullanıcıların bu anahtarları sahip oldukları bir aygıtta saklamaları mümkün fakat Microsoft kolaylık sağlaması için BitLocker kullanıcılarına anahtarlarını kendi sunucularında saklamalarını da öneriyor. Bu, kullanıcı parolasını unuttuğunda ya da tekrar tekrar başarısız giriş denemeleri aygıtı kilitlediğinde bilgilere erişimi mümkün kılsa da tıpkı vakitte onları kolluk kuvvetlerinin celp ve arama buyruklarına karşı savunmasız hale getirir.

YASAL KARAR ÇIKTIĞINDA ANAHTARLAR VERİLİYOR

Guam davasında Microsoft, şifreleme anahtarlarını soruşturmacılara teslim etti. Microsoft, Forbes’a BitLocker kurtarma anahtarlarını geçerli bir yasal buyruk aldığında sağladığını doğruladı. Microsoft sözcüsü Charles Chamberlayne, “Anahtar kurtarma kolaylık sağlar, lakin istenmeyen erişim riski de taşır; bu nedenle Microsoft, müşterilerin anahtarlarını nasıl yöneteceklerine karar verme konusunda en uygun pozisyonda olduklarına inanıyor” dedi.

Chamberlayne, şirketin yılda yaklaşık 20 BitLocker anahtarı talebi aldığını ve birçok durumda kullanıcının anahtarını bulutta saklamadığını, bu yüzden Microsoft’un yardımcı olmasının imkansız olduğunu söyledi. Guam davası, Washington eyaletinin Redmond kentinde bulunan şirketin kolluk kuvvetlerine rastgele bir şifreleme anahtarı sağladığı bilinen birinci hadise. 2013’te bir Microsoft mühendisi, hükümet yetkilileri tarafından BitLocker’a art kapı yerleştirmesi için kendisine ulaşıldığını lakin bu talepleri reddettiğini sav etmişti.

ABD’DE TARTIŞMA YARATTI

ABD Senatörü Ron Wyden, Forbes’a yaptığı açıklamada, “Teknoloji şirketlerinin, kullanıcıların şifreleme anahtarlarını gizlice teslim etmelerine imkan tanıyacak biçimde eserler göndermesi açıkça sorumsuzluktur. ICE ya da öbür Trump yandaşlarının bir kullanıcının şifreleme anahtarlarını gizlice elde etmesine müsaade vermek, onlara o kişinin tüm dijital hayatına erişim sağlamak manasına gelir ve kullanıcıların ve ailelerinin ferdî güvenliğini ve emniyetini riske atar” dedi.

Bu yalnızca ABD’deki bir sorun değil. ACLU’da nezaret ve siber güvenlik danışmanı olan Jennifer Granick, insan hakları sicili tartışmalı yabancı hükümetlerin de Microsoft üzere teknoloji devlerinden bilgi talep ettiğine dikkat çekti. “Şifre çözme anahtarlarının uzaktan depolanması hayli tehlikeli olabilir” dedi.

DİĞER ŞİRKETLER KARŞI ÇIKTI

Kolluk kuvvetleri, teknoloji devlerinden tertipli olarak şifreleme anahtarları sağlamalarını, art kapı erişimi uygulamalarını ya da güvenliği öbür yollarla zayıflatmalarını istiyor. Fakat öbür şirketler bunu reddetti. Bilhassa Apple, bulutunda ya da aygıtlarında bulunan şifreli bilgilere erişim için tekraren talep aldı. 2016’da hükümetle yaşanan ve büyük yankı uyandıran bir müsabakada Apple, Kaliforniya’nın San Bernardino kentinde 14 kişiyi öldüren teröristlere ilişkin telefonların açılmasına yardımcı olmasını isteyen FBI buyruğuna karşı çıktı. Sonunda FBI, iPhone’lara sızmak için bir yüklenici buldu.

Gizlilik ve şifreleme uzmanları Forbes’a, tüketicilerin ferdî aygıtları ve bilgileri için daha güçlü müdafaa sağlamanın sorumluluğunun Microsoft’ta olması gerektiğini söyledi. Apple, misal FileVault ve Parolalar sistemleriyle, Meta’nın WhatsApp iletileşme uygulaması da kullanıcıların bilgilerini yedekleyip anahtarı bulutta saklamasına müsaade veriyor. Lakin her ikisi de kullanıcının anahtarı bulutta şifreli bir belge içinde saklamasına imkan tanıyor; bu da kolluk kuvvetlerinin bu anahtarı talep etmesini anlamsız hale getiriyor. Geçmişte hiçbirinin rastgele bir şifreleme anahtarı teslim ettiği bildirilmedi.

“BUNU YAPMAYAN TEK ŞİRKET MİCROSOFT”

Johns Hopkins Üniversitesi Bilgi Güvenliği Enstitüsü’nde kriptografi uzmanı ve doçent olan Matt Green, “Bu özel bir bilgisayardaki özel bilgidir ve bu bilgilere erişimi ellerinde tutmayı mimari bir tercih olarak yaptılar. Bunu muhakkak kullanıcıya ilişkin bir şey üzere ele almalılar. Apple yapabiliyorsa, Google yapabiliyorsa, Microsoft da yapabilir. Bunu yapmayan tek şirket Microsoft” diye konuştu.
Granick, FBI casuslarının BitLocker ile korunan bilgilere erişmesi durumunda elde edebileceği bilginin kapsamına ait tasalarını lisana getirdi:

“Anahtarlar, hükümete birçok kabahatin vakit aralığının çok ötesindeki bilgilere, sabit diskteki her şeye erişim sağlar. Sonra casusların sadece yetkilendirilmiş soruşturmayla ilgili bilgilere baktıklarına ve bu fırsatı kurcalamak için kullanmadıklarına güvenmek zorunda kalıyoruz.”

Guam davasında, mahkeme kayıtları arama buyruğunun muvaffakiyetle uygulandığını gösteriyor. Hatasız olduğunu beyan eden sanık Charissa Tenorio’nun avukatı, davanın savcıları tarafından kendisine sağlanan bilgilerin müvekkilinin bilgisayarından alınan bilgileri içerdiğini ve bunların ortasında Microsoft’un FBI’a verdiği BitLocker anahtarlarına atıflar bulunduğunu söyledi. Dava devam ediyor.
Hem Green hem de Granick, Microsoft’un kullanıcıların bir USB bellek üzere bir donanım modülüne anahtar yüklemesine müsaade verebileceğini, bunun bir yedek ya da kurtarma anahtarı misyonu göreceğini söyledi. Microsoft bu seçeneğe müsaade veriyor lakin bu ayar Windows bilgisayarlarda BitLocker için varsayılan olarak gelmiyor.

Microsoft’tan alınan şifreleme anahtarları olmadan FBI, bilgisayarlardan işe fayda rastgele bir data elde etmekte zorlanacaktı. Forbes’un geçmiş davalara ait incelemesine nazaran, BitLocker’ın şifreleme algoritmaları evvelki kolluk kuvveti teşebbüslerine karşı aşılamaz olduğunu kanıtladı. 2025’in başlarında ICE’in İç Güvenlik Soruşturmaları ünitesinde vazifeli bir isimli bilişim uzmanı, mahkeme evrakında kurumunun “Microsoft BitLocker ile ya da öbür rastgele bir cins şifreleme ile şifrelenmiş aygıtlara girmek için isimli araçlara sahip olmadığını” yazdı. Evvelki bir davada ise müfettişler, bir şüphelinin anahtarları şifrelenmemiş şoförlerde sakladığını keşfederek anahtarlara ulaşmıştı.

patronlardunyasi.com