Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, araştırmacı gazeteciliğin operasyonel omurgasını oluşturan “kaynak koruma” ilkesinin, dijital çağda teknik ve yasal boyutlarıyla kesişim noktasını ontolojik derinlikte inceler. Merkezi tez, uçtan uca şifreleme (E2EE) protokollerinin (Signal Protokolü, PGP/OpenPGP) sağladığı teknik gizlilik ile gazeteci ayrıcalığı (shield laws), kaynak gizliliği yasaları ve Anayasa Mahkemesi kararlarıyla müneccim birleşen yasal koruma arasındaki asimetrik ilişkiyi çözümlemektir. Metodolojik çerçeve, teknolojik determinizmden kaçınarak, kod tabanlı güvenlik (code-based security) ile hukuki güvence (law-based assurance) arasındaki “güven boşluğunu” (trust gap) haritalandırır. Temel parametreler; forward secrecy (ileri yönlü gizlilik), metadata minimizasyonu, yargı süreçlerinde kanıt kabullenilebilirliği (admissibility) ve devlet istihbarat yetkileri (MİT, Emniyet) ile gazetecilik özgürlüğü arasındaki çelişkili dengelemeler olarak tanımlanır. Bu yaklaşim, teknik bir araçtan ziyade bir “sistemik dayanıklılık” (systemic resilience) stratejisi olarak kaynak korumasını konumlandırır.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Sinyal Protokolü (Double Ratchet Algorithm), her mesaj için efemer (geçici) anahtar çiftleri üreterek Perfect Forward Secrecy (PFS) sağlar; böylece uzun vadeli özel anahtar (identity key) ele geçirilse bile geçmiş oturumlar çözülemez. PGP ise “Web of Trust” modeliyle asimetrik şifrelemede genel anahtar dağıtımını ve dijital imzayı yönetir; ancak PFS’e yerel olarak sahip değildir. Her iki sistemde de şifreleme istemci tarafında (client-side) gerçekleşir; sunucular (Signal sunucuları, keyserver’lar) sadece şifreli blob’ları (ciphertext) veya genel anahtarları taşır, düz metne (plaintext) erişemez. Kritik mekanik ayrım: Signal, Sealed Sender ve Private Contact Discovery ile meta veriyi (kim-kimle konuştu) da gizlerken; PGP e-posta başlıklarında (From, To, Subject, Date, Message-ID) yapısal olarak meta veriyi açık bırakır. Yasal mekanizmada ise “gazeteci ayrıcalığı” (reporter’s privilege), kaynağın kimliğinin veya iletişim içeriğinin mahkeme emrine tabi tutulamamasını öngörür; ancak bu ayrıcalık mutlak değildir ve “aşırı yarar” (overriding interest) testleriyle (örn. terörizm, ulusal güvenlik) yargıç takdiriyle kırılabilir.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Uluslararası standartlar çerçevesinde; Signal Protokolü, IETF MLS (Messaging Layer Security) RFC 9420 sürecine girdiği için standartlaşma yolundadır ve NIST SP 800-56A Rev. 3 (ECDH) ile uyumludur. PGP/OpenPGP ise RFC 4880 (ve güncellemesi RFC 9580) standartlaştırılmıştır. Türkiye hukukunda; Anayasa Madde 26/2 (Basın özgürlüğü), TCK Madde 278 (Mesleki sır gizliliği), CMK Madde 148 (Tanıktan yanaşma hakkı) ve 2014 Yargıtay 9. CD kararı (Gazeteci ayrıcalığı tanınması) temel normları oluşturur. Metodolojik olarak; Threat Modeling (Tehdit Modelleme – STRIDE/DREAD) ile aktörler (Devlet aktörü, Şirket casusu, Hırsız) ve yüzeyler (Endpoint, Network, Legal Compulsion) eşleştirilir. Operational Security (OpSec) denetim listeleri: Cihaz şifrelemesi (FDE), kilit ekranı, disappearing messages (kendini yok eden mesajlar), PGP anahtar yönetimi (yedek, iptal sertifikası, anahtar sona erme tarihi). Kanıt hukukunda “meşruiyet zinciri” (chain of custody) ve “hash doğrulama” (SHA-256) standartları, dijital delilin mahkemede kabulü için şarttır.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Ölçüt / Değer | Metrik | Stratejik Etki |
|---|---|---|---|
| İleri Gizlilik (PFS) | Signal: Evet (Double Ratchet) / PGP: Hayır (Statik Anahtar) | Oturum Anahtarı Yenileme Sıklığı | Signal: Geçmiş korunur; PGP: Anahtar ele geçirilirse arşiv açığa çıkar. |
| Meta Veri Koruması | Signal: Yüksek (Sealed Sender) / PGP: Düşük (SMTP Başlıkları) | Gözlemlenebilir Bağlantı Sayısı | Signal: Sosyal grafya gizli; PGP: Trafik analizi (Traffic Analysis) riski yüksek. |
| Yasal Dayatma Direnci | Signal: Yüksek (Veri yok) / PGP: Orta (Özel Anahtar Zorlanabilir) | Mahkeme Kararıyla Elde Edilebilir Veri | Signal: İçerik/Meta veri teknik olarak yok; PGP: Anahtar teslimi ile arşiv çözülebilir. |
| Endpoint Güvenliği | Her İkisi: Zayıf (Cihaz ele geçirilirse şifreleme anlamsız) | Malware/Rootkit Etki Alanı | Her ikisi için de cihaz güvenliği (Hardening) şart koşuludur. |
| Kullanılabilirlik (UX) | Signal: Çok Yüksek / PGP: Düşük (Anahtar Yönetimi Zor) | Kullanıcı Hata Oranı / Adopsiyon | PGP’de “Key Ceremony” hataları kaynak güvenliğini tehlikeye atar. |
| Yasal Ayrıcalık Kapsamı | Türkiye: Sınırlı (TCK 278, CMK 148, Anayasa 26) | Mahkeme “Aşırı Yarar” Testi Geçme Oranı | Teknik koruma yasal koruma başarısız olunca son kaledir. |
| Doğrulama (Authentication) | Signal: Safety Numbers / PGP: Web of Trust / WKD | MITM (Ortadaki Adam) Saldırı Başarısızlığı | Signal TOFU modeli pratik; PGP WoT operasyonel yük getirir. |
| Arşivlenebilirlik | Signal: Zor (Disappearing Messages) / PGP: Kolay (İmzalı/Şifreli Dosya) | Uzun Vadeli Kanıt Bütünlüğü | PGP yasal süreçler için belge oluşturur; Signal efemer iletişimdendir. |
| Merkeziyetçilik | Signal: Merkezi Sunucu (Amazon AWS) / PGP: Dağıtık (Keyservers/DANE) | Tek Nokta Hatası (SPOF) Riski | Signal: Yasal dayatma/sunucu kapatma riski; PGP: Dağıtık dayanıklılık. |
| Kod Denetlenebilirliği | Signal: Açık Kaynak (AGPLv3) / PGP: Açık Kaynak (GnuPG) | Bağlantı Kapısı (Backdoor) Denetim Süresi | Her ikisi de bağımsız denetime açıktır; güven temeli oluşturur. |
| Kuantum Dayanıklılığı | Her İkisi: Riskli (ECDH/RSA Kuantum Kırılabilir) | PQC (Post-Quantum) Geçiş Zaman Çizelgesi | MLS/PGP PQC eklentileri (Kyber, FrodoKEM) acil entegrasyon gerektirir. |
| Cezai Sorumluluk | Kaynak: TCK 278 (İhlal) / Gazeteci: CMK 148 (Tanık Olmama) | Yargılanma Risk Skoru | Teknik araç yasal sorumluluğu ortadan kaldırmaz, kanıtlanmayı zorlaştırır. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Senaryo 1: İstihbarat Sızıntısı (Whistleblowing). Bir kamu kurumu memuru, ihale rigging (ihale takla atma) belgelerini gazeteciye ulaştırmak istiyor. Uygulama: Gazeteci, Signal üzerinden “Disappearing Messages” (1 hafta) ayarıyla iletişim kurar. Kaynak, belgeleri metadata temizlenmiş (exiftool) halde Signal dosya transferi ile gönderir. Gazeteci dosyaları air-gapped (hava boşluğulu) bir makinede PGP ile şifreleyerek arşivler. Senaryo 2: Çapraz Sınırlı Araştırma. Yurtdışı kaynağı (örn. offshore şirket kayıtları), PGP anahtarını WKD (Web Key Directory) üzerinden doğrulayarak ilk teması kurar. Hassas finansal tablolar PGP/MIME ile şifrelenerek e-posta ile gönderilir; bu sayede yasal süreçte “dijital imza” ile belge bütünlüğü kanıtlanır. Senaryo 3: Operasyonel Güvenlik Bozucu Hata. Gazeteci Signal masaüstü istemcisini kullanırken ekran görüntüsü almaya çalışır; Signal “Screen Security” (Ekran Güvenliği) bunu engeller. Ancak gazeteci telefonunda yedek alma (backup) özelliğini açmışsa, şifrelenmemiş yedek dosyası iCloud/Google Drive’a yüklenir. Ders: Yedekler şifrelenmeli veya kapatılmalıdır. Senaryo 4: Mahkeme Dayatması. Savcı, gazetecinin telefonunu el koyma kararıyla alır. Signal uygulaması kilitliyse ve cihaz FDE (File-Based Encryption) ile şifreliyse, Signal verisi (SQLCipher veritabanı) çözülemez. PGP özel anahtarı YubiKey (Hardware Security Module) üzerindeyse, gazeteci PIN’i vermezse anahtar kullanılamaz.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Zorluk 1: Endpoint Tehlikesi (Endpoint Compromise). Pegasus/Predator gibi sıfır gün (zero-day) exploitler şifrelemeyi atlayarak bellekten düz metni çalar. Çözüm: GrapheneOS/Linux hardened kernel, Lockdown Mode, ayrı “güvenli cihaz” (burner phone) kullanımı, USB veri aktarımının yazılımsal donanımla engellenmesi. Zorluk 2: Meta Veri Sızıntısı (PGP/E-posta). SMTP protokolü zorunlu başlıklar (Received hop’ları) kaynağın IP’sini ve lokasyonunu sızdırır. Çözüm: Tor üzerinden e-posta (Onion service SMTP – örn. Riseup, ProtonMail Tor adresi), Metadata Minimization (Subject şifreleme – Memory Hole/PGPainless). Zorluk 3: Yasal Zorunluluk ve “Key Disclosure” Yasaları. İngiltere RIPA Bölüm 3, Avustralya TOLA, Türkiye’de MİT Kanunu Madde 8/ç çerçevesinde şifre çözme emri gelebilir. Çözüm: Plausible Deniability (İhtimel İnkâr) araçları (VeraCrypt hidden volume, Signal “Registration Lock” + PIN), yasal danışmanlık protokolü. Zorluk 4: Sosyal Mühendislik ve Kimlik Avı. Kaynak taklit edilerek gazeteci kandırılır (SIM Swap ile Signal kaydı çalınır). Çözüm: Signal Registration Lock (Kayıt Kilidi), PGP için Web of Trust / TOFU doğrulama (Safety Number/QR kod karşılaştırma), ikinci faktör (2FA) olarak sadece hardware key (FIDO2/YubiKey). Zorluk 5: Arşiv Paradoxu. Gazeteci yasal koruma için belge saklamak zorundadır (kanıt), ancak kaynak koruması için belge yok etmelidir. Çözüm: “Minimal Retention Policy” (Minimum Saklama Politikası): Yargı süreci bitene kadar air-gapped, PGP şifreli, çoklu yedekli (M-of-N Shamir Secret Sharing) arşiv; süre bitiminde kriptografik silme (crypto-shredding).
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Post-Kuantum Kriptografi (PQC) Geçişi: NIST PQC standartlaştırması (CRYSTALS-Kyber/ML-KEM, CRYSTALS-Dilithium/ML-DSA) sonrası, Signal (libsignal) ve MLS protokolleri hibrit ECDH+Kyber anahtar değişimine (X25519Kyber768Draft00) geçti. PGP (RFC 9580) v6 anahtar formatı PQC algoritmalarını (ML-KEM, ML-DSA, SLH-DSA) yerel olarak desteklemeye başladı. Mesajlaşma Katmanı Güvenliği (MLS): IETF MLS (RFC 9420), Signal’ın çift ratchet’ını grup mesajlaşması için ölçeklenebilir hale getiriyor; gelecekte Signal da MLS backend’e geçebilir. Gizli Hesaplama (TEE/MPC) ve Özel Bilgi Alma (PIR): Signal “Private Contact Discovery” artık Intel SGX/AMD SEV enclave’lerde PIR protokolleriyle çalışıyor; sunucu kullanıcının rehberini göremiyor. Yasal Manzara: AB Medya Özgürlüğü Yasası (EMFA) ve Yönettiği, gazeteci ayrıcalığını ve şifreleme hakkını temel hak olarak kodlaştırıyor; Türkiye’de Anayasa Mahkemesi “Dijital Gazetecilik” kararlarıyla koruma standartlarını yükseltiyor. 5-10 Yıllık Projeksiyon: Kuantum bilgisayarlar (CRQC – Cryptographically Relevant Quantum Computer) 2030-2035 arası RSA/ECC’yi kırarak “Store Now, Decrypt Later” (Şimdi Sakla, Sonra Çöz) saldırılarını gerçekleştirecek. Bu nedenle bugün gönderilen PGP e-postaları ve Signal mesajları (eğer PFS anahtarları loglanmadıysa) gelecekte güvende kalmak için şimdiden PQC’ye geçilmelidir. Yapay zeka destekli trafik analizi (AI Traffic Analysis) meta verilerden kaynak kimliğini çıkarsayacak; bu da “Metadata Zero” protokollerini (Nym, Loopix, Signal Sealed Sender v2) zorunlu kılacak.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Signal kullanmak yasal mı? Mahkeme benim mesajlarımı isteyebilir mi?
Cevap: Signal kullanmak Türkiye’de ve çoğu demokratik ülkede tamamen yasal bir hak ve gizlilik aracıdır. Ancak mahkeme, CMK Madde 116/134 çerçevesinde cihazınızın (telefon/bilgisayar) el koyulmasını ve incelemesini kararı verebilir. Signal sunucularından mesaj içeriği veya meta veri (kim-kimle) alınamaz çünkü sunucuda şifreli blob dışında veri yoktur (Sealed Sender). Risk, cihazınızın fisik olarak ele geçirilmesi ve kilidi açılması durumunda endpoint‘teki (SQLCipher veritabanı) düz metin verisine erişimdir. Yasal ayrıcalık (Gazeteci Ayrıcalığı) bu verinin mahkemede kanıt olarak kullanımını engelleyebilir ama cihazın el konulmasını engellemez.
Soru 2: PGP mi Signal mi daha güvenlidir? Hangisini kullanmalıyım?
Cevap: “Daha güvenli” kavramı tehdit modelinize (Threat Model) göre değişir. Signal: Günlük, hızlı, efemer (geçici) iletişim, meta veri koruması ve kullanım kolaylığı için üstündür. PFS sayesinde geçmiş güvencedir. PGP: Uzun vadeli arşivleme, yasal süreçlerde belge bütünlüğü (dijital imza), e-posta entegrasyonu ve dağıtık altyapı gerektiren senaryolarda zorunludur. En iyi pratik: İlk temas ve hızlı akış için Signal (Disappearing Messages açık); hassas belgelerin transferi, imzalanması ve yasal arşivlenmesi için PGP (Air-gapped makinede, YubiKey ile). İkisi birbirinin yerine geçmez, tamamlar.
Soru 3: “Gazeteci Ayrıcalığı” (Reporter’s Privilege) Türkiye’de mutlak bir koruma sağlar mı?
Cevap: Hayır, mutlak (absolute) değildir, nispit (qualified) bir korumadır. Anayasa Madde 26, TCK Madde 278 ve CMK Madde 148 dayanağıyla gazeteci kaynağını açıklamak zorunda değildir. Ancak Yargıtay ve Anayasa Mahkemesi “aşırı yarar” (overriding public interest) testini uygular; örneğin terör örgütü faaliyetleri, ulusal güvenlik veya ağır suçlar (çocuk istismarı vb.) ile ilgili dosyalarda mahkeme ayrıcalığı kaldırarak kaynağı açıklamayı veya belgeyi teslim ettirmeyi emredebilir. Bu nedenle yasal koruma tek başına yetersizdir; teknik koruma (şifreleme) son kaledir.
Soru 4: Signal “Registration Lock” (Kayıt Kilidi) ne işe yarar ve açmalı mıyım?
Cevap: Evet, mutlaka açılmalıdır. Registration Lock, telefon numaranızın (Signal kimliğinizin) başkası tarafından (SIM Swap saldırısıyla) yeni bir cihaza kaydolmasını engeller. Bu özellik açıkken, numaranızı çalan saldırgan Signal sunucusuna “kayıt ol” isteği gönderse bile, sunucu 7 gün önce ayarladığınız PIN’i (veya şifreyi) sorar. PIN olmadan kayıt tamamlanmaz. Bu, kaynak kimliğinizin (numaranızın) çalınıp taklit edilmesini (impersonation) önleyen en kritik güvenlik katmanıdır.
Soru 5: PGP özel anahtarımı (Private Key) bilgisayarımda (diskte) saklamak güvenli midir?
Cevap: Hayır, yüksek risklidir. Malware, rootkit veya fiziksel erişim (evil maid attack) durumunda ~/.gnupg/private-keys-v1.d/ altındaki anahtar dosyaları (şifreli olsalar bile keylogger/brute-force ile) ele geçirilebilir. Standart Çözüm: Özel anahtarın hiçbir zaman diskte düz metin olarak bulunmaması için Hardware Security Module (HSM) veya Smart Card (YubiKey, Nitrokey, OpenPGP Card) kullanılır. Anahtar kartta üretilir (veya kartta import edilir ve orijinal silinir), imzalama/şifre çözme işlemleri kartın içindeki güvenli elementte gerçekleşir, PIN girilmezse anahtar kullanılamaz.
Soru 6: “Disappearing Messages” (Kendini Yok Eden Mesajlar) gerçekten silinir mi? Yedeklerde kalır mı?
Cevap: Signal protokolü seviyesinde mesajın yaşam süresi dolduğunda alıcı ve gönderen veritabanından (SQLCipher) silinir. Ancak: Kullanıcı “Chat Backup” (Sohbet Yedeği) özelliğini açmışsa, mesajlar yedek dosyasında (şifreli olarak) saklanabilir. Android’de yerel yedek, iOS’ta iCloud yedeği bu riski taşır. Kritik Kural: Hassas kaynak iletişiminde Chat Backup mutlaka kapatılmalı veya yedek parolası (30+ karakter entropy) ile şifrelenmeli ve bulut (Google Drive/iCloud) yerine yerel/şifreli disk üzerine alınmalıdır. “Screen Security” (Ekran Güvenliği) de screenshot’ı engeller ama diğer kamerayla çekimi engellemez.
Bolum 9: Temel Terimler Sozlugu
Perfect Forward Secrecy (PFS / İleri Yönlü Gizlilik): Uzun vadeli özel anahtarların (Identity Keys) ele geçirilmesi durumunda, geçmiş oturum anahtarlarının (Session Keys) ve dolayısıyla geçmiş mesajların çözülemeyeceğini garanti eden kriptografik özellik. Signal Double Ratchet algoritmasının çekirdek özelliğidir.
Sealed Sender (Mühürlü Gönderen): Signal protokolündeki bir özelliktir; mesajın “kimden” (gönderen) bilgisini sunucudan gizler. Sunucu sadece “kime” (alıcı) gittiğini bilir, gönderencin kimliğini şifreli paket içinde saklar. Trafik analizi (metadata surveillance) karşıtı temel korumadır.
Web of Trust (WoT / Güven Ağı): PGP/OpenPGP’de merkezi bir sertifika otoritesi (CA) olmadan, kullanıcıların birbirlerinin genel anahtarlarını (public keys) fiziksel veya güvenilir kanallarla doğrulayarak (imzalayarak) güven zincirleri oluşturduğu dağıtık kimlik doğrulama modelidir.
Registration Lock (Kayıt Kilidi): Signal hesabının (telefon numarası) sahibinin izni olmadan (PIN/şifre olmadan) yeni bir cihaza transfer edilmesini (re-register edilmesini) engelleyen güvenlik özelliğidir. SIM Swap saldırılarına karşı birincil korumadır.
Crypto-Shredding (Kriptografik Parçalama/İmha): Verinin kendisini silmek (overwrite) yerine, veriyi şifreleyen anahtarın (Key Encryption Key – KEK) güvenli bir şekilde yok edilmesi yoluyla verinin geri getirilemez hale getirilmesidir. Arşiv imha politikalarının teknik uygulamasıdır.
Air-Gapped (Hava Boşluğulu / Ağdan Ayrık): Herhangi bir ağa (internet, LAN, Bluetooth, WiFi) bağlı olmayan, fiziksel olarak izole edilmiş bilgisayar sistemidir. Hassas verilerin işlenmesi, PGP anahtar yönetimi ve kötü amaçlı yazılımdan koruma için kullanılır.
Threat Modeling (Tehdit Modellemesi): Bir sistemin veya operasyonun karşılaştığı riskleri sistematik olarak belirleme, sıralama ve azaltma sürecidir (STRIDE, PASTA, DREAD metodolojileri). “Kimden, neyi, nasıl koruyoruz?” sorularının cevabıdır.
Bolum 10: Sonuc ve Stratejik Degerlendirme
Bu analiz, kaynak korumasının tek bir araçla (sadece Signal veya sadece PGP) veya tek bir disiplinle (sadece hukuk veya sadece teknik) sağlanamayacağını, bir “Derin Savunma” (Defense in Depth) mimarisi gerektirdiğini kanıtlamıştır. Stratejik çıkarımlar şöyledir: 1. Hibrit Protokol Zorunluluğu: Efemer iletişim ve meta veri koruması için Signal (PFS, Sealed Sender, Registration Lock); yasal delil oluşturma, arşivleme ve e-posta entegrasyonu için PGP (HSM/YubiKey, Air-gapped, WKD) eşzamanlı kullanılmalıdır. 2. Endpoint Egemenliği: Şifreleme protokolü ne kadar güçlü olursa olsun, cihaz (endpoint) ele geçirilirse sistem çöker. Cihaz şifrelemesi (FDE), hardened OS (GrapheneOS/Linux), fiziksel güvenlik ve y
