Gazeteci ve aktivistler için güvenli mesajlaşma: Signal'i doğru kullanmanın yolu
Uçtan uca şifreleme tek başına yeterli değil; önemli olan onu doğru kurmak. Risk altındaki kullanıcılar için Signal'in neden önerildiği, hangi ayarların gerçekten fark yarattığı ve neyi koruyup neyi koruyamayacağı.
Güncellendi:
Hassas bir konu üzerinde çalışan bir gazeteci, bir kaynakla konuşan bir avukat ya da örgütlenen bir aktivist için "hangi mesajlaşma uygulamasını kullanmalıyım" sorusu, aslında "iletişimimi kimden koruyorum" sorusunun bir parçasıdır. Yani cevap, tehdit modelinize bağlıdır. Ama güvenlik araştırmacıları arasında, risk altındaki kişiler için neredeyse fikir birliğiyle önerilen tek bir araç varsa, o da Signal'dir.
Neden? Ve daha önemlisi: sadece indirmek yetmez — onu doğru kullanmak gerekir. İkisini de anlatalım.
Signal neden öneriliyor?
Signal'i diğerlerinden ayıran birkaç temel özellik var:
- Varsayılan olarak uçtan uca şifreleme: Mesajlarınız ve aramalarınız yalnızca siz ve karşınızdaki tarafça okunabilir; Signal'in kendisi bile içeriği göremez. Bunu ayrıca açmanız gerekmez, baştan açıktır.
- Açık kaynak: Kodu herkese açık; bağımsız uzmanlar denetleyebiliyor. "Güvenli" iddiası bir söz değil, incelenebilir bir gerçek.
- Kâr amacı gütmeyen yapı: Signal, reklam ya da veri satışıyla değil, bağışlarla yaşayan bir vakıf tarafından işletiliyor. İş modeli verinizi toplamak üzerine kurulu değil.
- Asgari veri (metadata): Signal, kiminle ne zaman konuştuğunuza dair neredeyse hiçbir kayıt tutmaz. Mahkeme celbi cevaplarında bile paylaşabildiği tek şey, hesabın oluşturulma tarihi ve son bağlanma tarihi oldu. Elinde tutmadığı veriyi kimseye veremez.
Aynı şifreleme teknolojisini (Signal Protokolü) WhatsApp da kullanır; ama WhatsApp'ın sahibi Meta, kiminle ne zaman konuştuğunuz gibi metadatayı toplar. İçerik korunsa da "kiminle, ne sıklıkta konuştuğun" başlı başına hassas bir bilgidir — Signal tam da burada öne çıkar.
Sadece kurmak yetmez: gerçekten fark yaratan ayarlar
Signal'i indirmek ilk adım. Asıl koruma, aşağıdaki ayarları yapmakla gelir.
- Telefon numaranızı gizleyin (kullanıcı adı). Signal artık kullanıcı adı (username) destekliyor. Böylece birine telefon numaranızı vermeden mesajlaşabilirsiniz. Bir gazeteci için kaynağına numara vermeden ulaşılabilir olmak; bir aktivist için numarasını ifşa etmemek kritik olabilir. Ayarlardan bir kullanıcı adı belirleyin ve "numaramı bul" seçeneklerini kısın.
- Kaybolan mesajları açın. Bir sohbetteki mesajların belirli bir süre sonra otomatik silinmesini sağlar. Cihazınıza el konsa ya da telefonunuz kaybolsa bile, geçmiş konuşmalar orada durmaz. Hassas görüşmeler için bunu varsayılan yapın; Signal, tüm yeni sohbetler için genel bir süre de tanımlamanıza izin verir.
- Güvenlik numarasını doğrulayın. Bu, en çok atlanan ama en önemli adımlardan biri. Her sohbetin bir "güvenlik numarası" vardır. Karşınızdakinin gerçekten o kişi olduğunu — araya birinin girmediğini (ortadaki adam saldırısı) — doğrulamak için, bu numarayı yüz yüze ya da başka güvenli bir kanaldan karşılaştırın. Özellikle bir kaynak ya da yüksek riskli bir kişiyle konuşuyorsanız, bu doğrulama sahtecilik ihtimalini ortadan kaldırır.
- Kayıt PIN'i ve Kayıt Kilidi'ni açın. Bu ikisi, numaranızın başkası tarafından ele geçirilip (örneğin SIM-swap ile) Signal hesabınızın başka bir cihaza taşınmasını engeller. Ayarlardan bir PIN belirleyin ve "Kayıt Kilidi"ni (Registration Lock) etkinleştirin — böylece numaranız yeni bir cihazda kaydedilmek istendiğinde bu PIN de gerekir.
- Uygulama kilidi ve ekran gizliliği. Telefonunuz bir an başkasının eline geçse bile Signal'in açılmaması için uygulama kilidini (parmak izi/yüz/PIN) açın. Ayrıca "ekran gizliliği" ile uygulama geçiş ekranında mesaj önizlemelerinin görünmesini engelleyebilirsiniz.
Dürüst olalım: Signal neyi korumaz?
Hiçbir araç sihirli değildir ve Signal'i doğru kullanmak, sınırlarını bilmekle başlar.
- Cihazınız ele geçmişse, şifreleme sizi kurtarmaz. Uçtan uca şifreleme, mesajı yolda korur. Ama telefonunuza casus yazılım bulaşmışsa, saldırgan mesajı siz ekranda okurken görür — şifreleme devreye bile girmez. Bu yüzden Signal, güçlü cihaz güvenliğiyle birlikte anlamlıdır, onun yerine geçmez.
- Karşı taraf da güvenli olmalı. Sizin tarafınız kusursuz olsa bile, mesajlaştığınız kişinin telefonu güvensizse ya da konuşmanın ekran görüntüsünü alıyorsa, o içerik artık sizin kontrolünüzde değildir.
- Yedekler bir risktir. Signal yedeği (özellikle Android'de yerel yedek) alıyorsanız, o yedek de korunmalı; aksi halde şifreli konuşmalarınızın bir kopyası zayıf bir yerde durur.
- Metadata azalır ama sıfırlanmaz. Signal metadatayı en aza indirir, ama "Signal kullandığınız" gerçeği ağ seviyesinde tamamen görünmez değildir. Çoğu tehdit modeli için bu önemsizdir; ama sizinki uç bir senaryoysa, bunu da hesaba katın.
Risk altındaki bir kullanıcı için Signal, bugün en sağlam ve en çok denetlenmiş mesajlaşma seçeneği. Ama onu bir kalkana dönüştüren şey, indirmeniz değil; kullanıcı adıyla numaranızı gizlemeniz, kaybolan mesajları açmanız, güvenlik numarasını doğrulamanız ve kayıt kilidini kurmanız. Ve her şeyin üstünde: Signal ancak üzerinde çalıştığı cihaz güvendeyse güvenlidir. Şifreli bir mesaj, ele geçmiş bir telefonda sır değildir.
