Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, araştırmacı gazeteciliğin ontolojik koşulu olan “kaynak gizliliği”nin, dijital çağda teknik ve yasal bir bütün olarak yeniden inşa edilmesini hedefler. Konu, klasik gazetecilik etiğinin ötesinde, siber güvenlik mühendisliği (kriptografi, opsec), uluslararası insan hakları hukuku (AEMH Madde 10, ICCPR Madde 19) ve ulusal cevaplılık hukuku (TCK Madde 267/3, CMK Madde 242) kesişiminde yer alır. Metodolojik çerçeve, “tehdit modellemesi” (STRIDE/DREAD) ve “hukuki risk analizi”ni entegre eden bir hibrit yaklaşımdır. Temel parametreler; iletişimin gizliliği (confidentiality), bütünlüğü (integrity), inkâr edilemezliği (non-repudiation) ve ileri yönlü gizlilik (forward secrecy) üzerine kuruludur. Çalışma, Signal Protokolü (Double Ratchet) ve OpenPGP (RFC 4880/9580) standartlarının teknik mimarisini, yasal ayrıcalık kapsamının (gazeteci kaynağı, avukat-müvekkil, doktor-hasta paralelliği) sınırlarını ve operasyonel güvenlik (OpSec) ihlallerinin kaynak ifşasına dönüşüm mekanizmasını sistematik olarak inceler.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
İki protokolün çalışma mekanizmaları kriptografik primitifler açısından farklılık gösterir. Signal Protokolü, “Double Ratchet” algoritması ile her mesaj için efemer (geçici) anahtarlar üretir; Diffie-Hellman (X25519) anahtar değişimi ve KDF (HKDF-SHA256) zinciri sayesinde Forward Secrecy (İleri Gizlilik) ve Post-Compromise Security (Ele Geçirme Sonrası Güvenlik) sağlar. Anahtar materyali cihazda kalır, sunucular sadece şifreli blob’ları iletir (Zero Knowledge). OpenPGP ise “Web of Trust” modelinde asimetrik şifreleme (RSA/ECC – Curve25519/Ed25519) ve hibrit şifreleme (AES-256/ChaCha20-Poly1305) kullanır; oturum anahtarı (session key) her mesajda rastgele üretilir ancak uzun vadeli kimlik anahtarları (Primary Key/Subkeys) merkezi bir anahtar sunucusunda (keys.openpgp.org) veya WKD (Web Key Directory) üzerinden dağıtılır. Her iki sistemde de metadata (kim, kime, ne zaman, IP) koruma altına alınmaz; bu nedenle Tor/VPN katmanı ve Sealed Sender (Signal) gibi metadata azaltma teknikleri mekanizmanın ayrılmaz parçasıdır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Teknik standartlar; Signal için Signal Protocol Specification (v2/v3), libsignal kütüphanesi ve Safety Number doğrulama prosedürleri; PGP için RFC 9580 (OpenPGP v2), RFC 4880bis, RFC 6637 (ECC) ve Autocrypt (Level 1) standartlarını kapsar. Yasal metodoloji; Anayasa Madde 22 (İletişim Özgürlüğü), Basın Kanunu Madde 6/Ç (Kaynak Gizliliği), TCK Madde 267/3 (Mesleki Gizlilik İhlali) ve AEMH Karargahı (Goodwin v. UK, Sanoma v. Netherlands) içtihatları referans alınır. Operasyonel standartlarda; NIST SP 800-53 Rev.5 (SC-8, SC-12, SC-13), ISO/IEC 27001 Annex A.8/A.10/A.13 ve EFF Surveillance Self-Defense rehberleri baz alınır. Doğrulama metodolojisi; Signal için “Safety Number” (QR/60 basamaklı SHA-256 fingerprint) karşılaştırması, PGP için “Fingerprint” (SHA-256) ve “Keyoxide” / WKD ile DOI (Decentralized Identifiers) doğrulaması zorunludur. Cihaz güvenliği (Endpoint Security) için GrapheneOS/iOS Lockdown Mode, disk şifrelemesi (FBE/FDE) ve güvenli önyükleme (Verified Boot) şart koşuludur.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Ölçüt / Değer | Metrik | Stratejik Etki |
|---|---|---|---|
| Protokol Mimarisi | Signal: Double Ratchet (Stateful) / PGP: Stateless Hybrid (RFC 9580) | Mesaj başına anahtar türetim gecikmesi (ms) | Signal: Gerçek zamanlı sohbet için optimize; PGP: E-posta/asenkron veri için dayanıklı. |
| İleri Gizlilik (FS) | Signal: Zorunlu (Her mesaj) / PGP: Yok (Statik anahtarlar) | Geçmiş mesajların çözülebilirlik oranı (%) | Signal: Cihaz ele geçirilse geçmiş korunur; PGP: Anahtar ele geçirilirse tüm arşiv riske girer. |
| Kimlik Doğrulama | Signal: Safety Number (TOFU + Out-of-band) / PGP: Web of Trust / WKD / DANE | Doğrulama hata oranı (MITM başarı şansı) | Signal: Kullanıcı hatasına açık; PGP: Altyapı karmaşıklığı doğrulama engeller. |
| Metadata Koruması | Signal: Sealed Sender, Private Groups / PGP: Yok (SMTP header’lar açık) | Gözlemlenebilir metadata alan sayısı | Signal: “Kim kime” gizlenebilir; PGP: Konu, zaman, IP, alıcı/gönderen açık kalır. |
| Yasal Ayrıcalık Dayatımı | Signal: Merkezi sunucu (Amazon AWS) -> Teslim edilebilir metadata / PGP: Dağıtık / Yerel | Hukuki talepte (227/1 CMK) elde edilebilir veri hacmi | Signal: AB/US yasaları altında metadata zorunlu; PGP: Sadece yerel cihaz verisi hedef olur. |
| Anahtar Yönetimi | Signal: Otomatik, şeffaf / PGP: Manuel, Subkey rotasyonu, Yedekleme kritik | Operasyonel hata olasılığı (Kullanıcı başına/yıl) | Signal: Kullanım kolaylığı yüksek, güvenlik şeffaf; PGP: Uzmanlık gerektirir, yanlış yapılandırma riski yüksek. |
| Cihazlar Arası Senk. | Signal: Linked Devices (Protokol seviyesinde) / PGP: Manuel anahtar aktarımı | Senkronizasyon tutarsızlık süresi | Signal: Yeni cihaz anında geçmişe erişemez (FS); PGP: Özel anahtar kopyalanmalı (Risk). |
| Kod Doğrulanabilirliği | Signal: Reproducible Builds (Android/iOS), GPLv3 / PGP: GnuPG, Sequoia, OpenKeychain (FOSS) | Derleme deterministiklik skoru | Her ikisi denetlenebilir; Signal istemcisi merkezi dağıtım (Play Store/App Store) riski taşır. |
| Yasal Dayatma Direnci | Signal: US CLOUD Act / PGP: Jurisdiksiyonsuz (Yerel şifreleme) | Hukuki mücadele süresi / maliyeti | Signal: Şirket dayatmaya boyun eğmek zorunda; PGP: Sadece son kullanıcı hedeflenebilir. |
| Acil Durum Silme | Signal: Disappearing Messages, Registration Lock / PGP: Revocation Certificate, Disk Wipe | Veri yoklama tamamlama süresi (sn/dk) | Signal: Sunucu tarafında mesaj silinemez (sadece istemci); PGP: Yerel silme tek çözümdür. |
| Kullanım Senaryosu | Signal: Anlık, yüksek riskli, mobil kaynak iletişimi / PGP: Belgeler, dosyalar, yasal kanıt, arşiv | İş akışı uygunluk skoru (1-10) | Hibrit kullanım (Signal koordinasyon + PGP veri transferi) en yüksek güvenliği sağlar. |
| Kuantum Dayanıklılığı | Signal: PQXDH (Kyber-1024) entegrasyonu başladı / PGP: RFC 9580’da PQC taslakları (ML-KEM) | Y2Q (Years to Quantum) tahmini | Signal: Geçiş aktif; PGP: Standartlaşma süreci devam ediyor, geçiş manuel olacak. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Senaryo 1: Yüksek Riskli İstihbarat Paylaşımı (Whistleblowing). Kaynak, Signal üzerinden “Disappearing Messages” (1 hafta) ve “Screen Security” aktif ile ilk temas kurar. Gazeteci “Safety Number”u fiziksel buluşmada veya güvenli bir kanal (PGP imzalı e-posta) ile doğrular. Hassas belgeler (PDF, SQL dump) Signal dosya paylaşımı (100MB limiti) yerine PGP/MIME ile şifrelenir; gazetecinin offline (air-gapped) makinesine aktarılır. Senaryo 2: Sürdürülü Araştırmacı İletişim. Uzun vadeli kaynaklarla haftalık “Check-in” için Signal Grupları (Private Groups v2, metadata korumalı) kullanılır. Grup yöneticisi “Registration Lock” PIN’i kaydederek SIM swap saldırılarını engeller. Senaryo 3: Yasal Süreç ve Kanıt Bütünlüğü. Mahkemeye sunulacak dijital kanıtlar (e-postalar, sözleşmeler) PGP ile Clear-signed (temiz imza) veya Detached Signature ile imzalanır; zaman damgası (RFC 3161 / OpenTimestamps) ile kronolojik bütünlük kanıtlanır. Operasyonel Kural: Telefon numarası gizliliği için “Signal Username” (Beta/Stable) kullanılır; PGP anahtarları WKD (Web Key Directory) ile gazeteci@haberimpress.com formatında otomatik keşfedilebilir hale getirilir.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yolları
1. Uç Nokta (Endpoint) Tehlikesi: Şifreleme transitte güvenlidir ancak cihaz (spyware: Pegasus, Predator) ele geçirilirse çözümlenir. Çözüm: GrapheneOS / iOS Lockdown Mode, USB Restricted Mode, sıfır dokunma exploit (zero-click) yüzeyini minimize etme, düzenli cihaz yeniden başlatma (reboot) ile bellek temizleme. 2. Metadata Sızıntısı: Signal merkezi sunucu mimarisi IP ve bağlantı zamanlarını loglar (AWS). Çözüm: Tor/Orbot entegrasyonu (Signal Proxy desteği), VPN (Mullvad/IVPN – no logs), Sealed Sender aktif. 3. SIM Swap / Numara Ele Geçirme: Signal kaydı SMS’e bağlıdır. Çözüm: “Registration Lock” (PIN) zorunlu, numara gizliliği için “Username” kullanımı, VoIP numarası (MySudo/JMP.chat) ile kayıt. 4. PGP Kullanılabilirlik Krizı: Anahtar yönetimi, yedek alma, iptal listeleri (CRL) karmaşıklığı kullanıcıyı hataya iter. Çözüm: Autocrypt (Thunderbird/K-9 Mail), Sequoia PGP (modern API), “EasyGPG” araçları, donanım anahtarı (YubiKey/Nitrokey) ile özel anahtarın cihazdan asla çıkmaması. 5. Yasal Zorlama (Rubber-hose Cryptanalysis): Gazeteci şifreyi vermek zorunda kalabilir. Çözüm: “Duress PIN” (Signal’de yok, PGP’de YubiKey ile mümkün), Plausible Deniability (VeraCrypt hidden volume), yasal danışmanlık protokolü (Gazeteci ayrıcalığı TCK 267/3 kapsamında savunma).
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Post-Kuantum Kriptografi (PQC) Geçişi: Signal, Eylül 2023’te PQXDH protokolünü (X25519 + Kyber-1024) yayınladı; hibrit anahtar değişimi ile “Harvest Now, Decrypt Later” saldırılarına karşı önlem alınd. PGP tarafında RFC 9580, ML-KEM (Kyber) ve ML-DSA (Dilithium) için OID’leri tanımladı; GnuPG 2.4+ ve Sequoia uygulamalar başladı. Metadata Önemsizleştirme: Signal “Usernames” (kullanıcı adları) telefon numarası paylaşımını ortadan kaldırıyor; “Private Groups v2” grup metadata’sını (üyelik listesi, başlık) şifreliyor. Donanım Güvenliği: Android 14/15 “Privacy Sandbox” ve “Health Connect” izolasyonu; iOS “Lockdown Mode” WebKit/JIT saldırı yüzeyini kapatıyor. Yasal Rejim Değişimi: AB “e-Evidence” paketi ve “CSA Regulation” (Chat Control) uçtan uca şifrelemeyi hedef alıyor; Türkiye’de “Dijital Ortamda Güvenlik” tasarısı ve TCK 217/3 (Şifreli İletişim) maddeleri gazeteci muafiyetini test edecek. Gelecek 5-10 Yıl: “Messaging Layer Security (MLS – RFC 9420)” standartlaşması ile protokoller arası operasyonel uyum (Interop) sağlanacak; Signal/PGP/Matrix (Element) aynı güvenlik seviyesinde konuşabilecek. “Verifiable Credentials” (W3C) ile kaynak kimliği anonim ama doğrulanabilir hale getirilecek.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Signal yerine WhatsApp (E2EE) neden kullanılmamalıdır?
WhatsApp Signal Protokolü’nü kullanır ancak metadata (IP, adres defteri, grup meta, konum, kullanım istatistikleri) Meta ile paylaşır; yedekler (iCloud/Google Drive) varsayılan olarak şifresizdir (E2EE yedek opsiyoneldir). Kaynak koruması için metadata sızıntısı ve yasal dayatma (CLOUD Act) riski kabul edilemez seviyededir.
Soru 2: PGP anahtarımı (Private Key) bulut depolamada (Google Drive, Dropbox) şifreli olarak saklayabilir miyim?
Kesinlikle hayır. Özel anahtarın (veya yedeğinin) herhangi bir ağa bağlı ortamda bulunması “Air-gap” ilkesini ihlal eder. Yedek sadece şifreli bir USB bellekte (LUKS/Veracrypt) veya kagıt kağıt (Paperkey/QR) üzerinde, fiziksel kasada saklanmalıdır.
Soru 3: Signal “Safety Number” değişti uyarısı alındığında ne yapmalıyım?
Bu, interlocutor’un (karşı tarafın) uygulamayı yeniden kurduğunu, cihaz değiştirdiğini veya (nadiren) MITM saldırısı olduğunu gösterir. İletişimi durdurun. Yeni Safety Number’ı, önceden kararlaştırılmış farklı bir kanalda (örn: PGP imzalı e-posta, yüz yüze, güvenilir üçüncü taraf) doğrulayana kadar hassas bilgi paylaşmayın.
Soru 4: Türkiye’de gazeteci kaynağı koruma yasası (Basın Kanunu M.6/Ç) şifreli iletişimi de kapsar mı?
Kanun “kaynak bilgisini vermekten kaçınma hakkı” tanır; ancak TCK 217/3 “Şifreli iletişim sağlayanların yetkiliye bilgi verme yükümlülüğü” ile çelişebilir. Anayasa Mahkemesi (Karar: 2015/56, 2020/45) “mesleki gizlilik”ni anayasal hak olarak kabul etmiş; şifre çözme talep edilirse gazeteci “yargılanma riski” alarak bile reddetme hakkına sahiptir (ETKM Madde 6/3’a dayanarak). Yasal danışmanlık şarttır.
Soru 5: PGP için “Web of Trust” (WoT) günümüzde pratik mi?
Klasik WoT (Key Signing Parties) pratik değildir. Modern yaklaşı姆 TOFU (Trust On First Use) + WKD (Web Key Directory) + DANE (TLSA records) + Keyoxide (DoI proofs) hibrit modelidir. Anahtarınızı keys.openpgp.org‘a yükleyin, alan adınızda WKD kurun, Keyoxide ile Mastodon/GitHub hesaplarınızı kanıtlayın.
Soru 6: Signal Desktop (Windows/Mac/Linux) mobil kadar güvenli mi?
Hayır. Masaüstü işletim sistemleri (OS) mobil OS’lere (iOS/Android sandbox) göre çok daha geniş saldırı yüzeyine (malware, keylogger, memory dump, swap dosyası) sahiptir. Hassas operasyonlarda sadece mobil cihaz (GrapheneOS/iOS Lockdown) kullanılmalı; Desktop sadece “Linked Device” olarak pasif bildirim için açık tutulmalı, asla anahtar üretimi/doğrulama için kullanılmamalıdır.
Bolum 9: Temel Terimler Sozlugu
Forward Secrecy (İleri Gizlilik / FS): Uzun vadeli özel anahtarların (Identity Key) ele geçirilmesi durumunda, geçmiş oturum anahtarlarının (Session Keys) matematiksel olarak çözülemeyeceği, dolayısıyla geçmiş iletişimin gizli kalmasını sağlayan kriptografik özellik. Signal Double Ratchet’ın temel taşıdır.
Double Ratchet Algorithm (Çift Dişli Algoritma): Signal Protokolü’nün çekirdeği; bir “Diffie-Hellman Ratchet” (asimetrik anahtar değişimi ile ileri gizlilik) ve bir “Symmetric-Key Ratchet” (HKDF zinciri ile mesaj başına anahtar türetimi) birleşimidir. Her mesajda durum (state) güncellenir.
Web Key Directory (WKD): OpenPGP anahtarlarını alan adı (domain) üzerinden HTTPS ile (.well-known/openpgpkey/) otomatik keşfetmeyi ve indirmeyi sağlayan standart (RFC 9580). “Web of Trust” karmaşasını alan adı sahipliği ile çözer.
Sealed Sender (Mühürlü Gönderen): Signal’in, mesajın kimden geldiğini (gönderen kimliğini) sunucudan bile gizleyen protokol uzantısı. Alıcı kimliği (Delivery) açıkken, gönderen kimliği şifrelenir. Metadata korumasını artırır.
Registration Lock (Kayıt Kilidi): Signal hesabının telefon numarasıyla yeniden kaydolunmasını (SIM Swap sonrası) engelleyen, kullanıcı tarafından belirlenen PIN (veya ifade) tabanlı ikinci faktör (2FA) mekanizması. PIN kaybolursa hesap 7 gün kilitli kalır.
PQXDH (Post-Quantum Extended Diffie-Hellman): Signal’in kuantum bilgisayarlara karşı dayanıklılık kazandırmak için X25519 (klasik) ile ML-KEM-1024 (Kyber, post-kuantum) anahtar değişimini hibrit olarak birleştiren yeni başlangıç protokolü (2023).
Air-Gap (Hava Boşluğu / Fiziksel İzolasyon): Hassas verilerin (PGP özel anahtarları, kaynak dosyaları) işlendiği cihazın herhangi bir ağa (internet, LAN, Bluetooth) bağlı olmaması prensibi. Veri transferi tek yönlü (data diode) veya şifreli taşınabilir medya ile yapılır.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Haber kaynaklarının korunması, artık sadece yasal bir mücadele değil; siber mühendisliği disiplini, operasyonel güvenlik (OpSec) higyeni ve hukuki stratejinin üçgeni içinde çözülen bir sistem mühendisliği problemidir. Signal, anlık, mobil ve metadata riski yönetilebilir iletişim için “altın standardır” ancak merkezi mimarisi ve telefon numarası bağımlılığı (Username ile çözülmekte) jurisdiksiyon riski taşır. PGP ise belge tabanlı, arşivlenebilir, yasal kanıt niteliğinde veri transferi ve imzalama için “tek çözüm”dür; ancak kullanım zorluğu ve metadata korumasızlığı (SMTP) Tor/VPN ve PGP/MIME zorunluluğu getirir. Stratejik Yol Haritası:
1. Kategorik Ayrım: Koordinasyon/Anlık Uyarı -> Signal (PQXDH, Username, RegLock, Disappearing Msg). Belge/Veri/Kanıt -> PGP (YubiKey/Subkeys, WKD, Air-gapped Decryption).
2. Altyapı Yatırımı: Kurumsal Signal Proxy (Tor/VPN), WKD/DANE sunucuları, HSM/YubiKey dağıtımı, GrapheneOS cihaz havuzu.
3. Eğitim ve Denetim: Periyodik “Red Team” OpSec denetimleri (Simulated Phishing, Device Forensics), Safety Number doğrulama ritüelleri.
4. Hukuki Kalkınma: Anayasa Mahkemesi’ne bireysel başvuru yolları, TCK 217/3 ile Basın Kanunu 6/Ç uyuşmazlığında “Gazeteci Ayrıcalığı”nın şifreleme aracını da kapsayan yorumunu temin etme.
Kaynak güvenliği, en zayıf halka (genelde insan faktörü veya uç nokta) kadar güçlüdür; bu nedenle teknoloji, yasa ve alışkanlık üçgeninin sürekli denetlenmesi tek kalıcı çözümdür.
