Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Bu çalışma, araştırmacı gazeteciliğin ontolojik temeli olan “kaynak gizliliği” hakkinin, dijital çağda teknolojik ve yasal çerçeveler içinde nasıl sürdürülebileceğini inceler. Merkezi argüman, yasal ayrıcalık (legal privilege) tek başına yeterli olmadığı, modern gözetim yetenekleri (metadata analizi, uç nokta istismarı, quantum kırma riski) karşısında “tasarım gereği güvenlik” (Security by Design) prensipli şifreleme protokollerinin (Signal Protokolü/Double Ratchet, OpenPGP/RFC 4880) zorunlu bir ikincil savunma hattı oluşturduğudur. Metodolojik yaklaşım; yasal normların (Anayasa Madde 28, Basın Kanunu, ECHR 10. Madde) sağladığı “mahkeme kararı olmadan delil toplanamaz” garantisi ile kriptografik garantilerin (Forward Secrecy, Deniability, Metadata Minimization) sağladığı “teknik olarak toplanamaz/çözülemez” garantisinin sentekzidir. Çalışma, gazetecinin “tehdit modeli” (Threat Modeling) belirleyerek protokol seçiminde risk/kolaylık dengesini optimize etmesi gerektiğini savunur.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Signal Protokolü (Double Ratchet Algorithm), her mesaj için efemer (geçici) Diffie-Hellman anahtarları üreterek “İleri Sırlılık” (Forward Secrecy) ve “Geri Dönük Sırlılık” (Post-Compromise Security) sağlar; anahtar materyali sızdırılsa bile geçmiş/kontrolsüz gelecek oturumlar korunur. X3DH (Extended Triple Diffie-Hellman) ile asenkron anahtar anlaşması gerçekleşir. PGP (Pretty Good Privacy/OpenPGP) ise “Güven Ağı” (Web of Trust) modelinde, RSA/ECC asimetrik şifreleme ile oturum anahtarını (AES/ChaCha20) şifreler; imzalama (Non-repudiation) varsayılan olarak kimlik bağlamayı hedefler. Kritik mekanik fark: Signal “Reddedilebilirlik” (Deniability/MAC keys) sunarken, PGP dijital imza ile matematiksel kanıt (Non-repudiation) yaratır; bu da kaynak koruma açısından Signal’ı avantajlandırır. Her iki sistemde de uç nokta güvenliği (Endpoint Security – cihaz şifreleme, biyometrik kilit, Lockdown Mode) şifrelemenin en zayıf halkasıdır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Uluslararası standartlar çerçevesinde; Signal Protokolü IETF MLS (Message Layer Security – RFC 9420) standardizasyon sürecinin de facto referans uygulamasıdır; Double Ratchet (Signal Spec), X3DH, Sesame algoritmaları akademik peer-review (Eurocrypt, IEEE S&P) geçmiştir. OpenPGP, RFC 4880bis (v4/v5 anahtarlar), RFC 9580 (v6) standartlarında AEAD (AES-GCM/OCB, ChaCha20-Poly1305) modlarını zorunlu kılar. Yasal metodolojide; ECHR Goodwin v. UK (1996), Sanoma v. Netherlands (2021) kararları “kaynak gizliliği”ni basın özgürlüğünün “köşe taşı” (cornerstone) olarak tanımlar; Türkiye Anayasa Mahkemesi (AYM) kararı (2014/150, 2016/5683) “yargı kararı şartı” ve “oranlılık” ilkelerini koyar. Operasyonel metodoloji: Threat Modeling (STRIDE/DREAD), OpSec (Operational Security) döngüsü (Tails/Qubes OS, Tor/Onion Services, Metadata higyeni, Canary Tokens) ve yasal hazırlık (Avukat-müvekkil ayrıcalığı kapsamında gazeteci-kaynak ilişkinin genişletilmesi).
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger (Signal) | Olcut / Deger (PGP/GPG) | Metrik | Stratejik Etki |
|---|---|---|---|---|
| Anahtar Yönetim Mimarisi | Merkezi Kayıt Sunucusu (Signal Service) + Yerel Güven Deposu | Dağıtık Güven Ağı (Web of Trust) / Anahtar Sunucuları (keys.openpgp.org) | Merkezi/Dağıtık Skoru (1-10) | Signal: Kullanım kolaylığı ↑, Tek hata noktası riski ↑. PGP: Dayanıklılık ↑, Kullanım zorluğu ↑. |
| İleri Sırlılık (Forward Secrecy) | Evet (Her mesaj/Double Ratchet) | Hayır (Statik Anahtar Çifti / RSA/ECDSA) | Geçmiş Mesaj Koruma Oranı (%) | Signal: Cihaz ele geçirilse geçmiş korundu. PGP: Anahtar sızdırılırsa TÜM arşiv açığa çıkar. |
| Reddedilebilirlik (Deniability) | Evet (MAC Anahtarları Paylaşılır) | Hayır (Dijital İmza / Non-repudiation) | Yasal Kanıt Geçerliliği (Boolean) | Signal: Mahkemede “ben yazmadım” savunması mümkün. PGP: İmza matematiksel kanıt oluşturur (Risk). |
| Meta Veri Koruması (Sealed Sender) | Evet (Gönderen gizlenir, IP Tor ile gizlenebilir) | Hayır (Paket başlıklarında Gönderen/Alıcı Açık) | Meta Veri Sızıntı Yüzey Alanı (Bayt) | Signal: Ağ seviyesinde ilişki haritalama zor. PGP: E-posta başlıkları (Received headers) tam ilişki grafiği verir. |
| Uç Nokta Doğrulama (Safety Number) | QR Kod / Sayısal Güvenlik Numarası (60 basamak) | Parmak İzi (Fingerprint) Karşılaştırma (SHA-256) | MITM Saldırı Tespit Kolaylığı (1-10) | Her ikisi de Out-of-Band doğrulama gerektirir; Signal UI/UX üstündür. |
| Yasal Ayrıcalık Uyumu | İçerik şifreli; Meta veri (kim, ne zaman) sunucuda loglanabilir (minimal) | İçerik şifreli; Meta veri (SMTP logları) sağlayıcıda/taraflarda kalıcı | Yasal Talep (Subpoena) Dayanıklılığı | Signal: ABD Cloud Act riski (Amazon AWS). PGP: Sağlayıcı (Proton/Gmail) logları yasal talep edilebilir. |
| Arşivleme ve Arama | Zor (Yerel DB şifreli, tam metin arama sınırlı) | Kolay (Yerel dosya/IMAP senkron, notmuch/mu4e) | Operasyonel Verimlilik (1-10) | PGP: Uzun vadeli araştırma arşivleri için üstün. Signal: Geçici iletişim için optimize. |
| Post-Quantum Dayanıklılık | PQXDH (Kyber-1024 + X25519) Hibrit (v2023+) | Açık (RFC 9580 henüz PQC yok; liboqs/GPG eklentileri deneysel) | NIST PQC Standardı Uyumu (Boolean) | Signal: “Store Now, Decrypt Later” saldırısına karşı önlem almış. PGP: Acil geçiş planı gerekir. |
| Cihazlar Arası Senkronizasyon | Linked Devices (Anahtar paylaşımı/Proxy) | Manuel Anahtar Yedekleme / İçe Aktarma (Paperkey) | Çoklu Cihaz Bütünlüğü (1-10) | Signal: Kullanıcı şeffaf. PGP: Kullanıcı hatası riski yüksek (anahtar kaybı). |
| Kod Denetimi ve Lisans | Açık Kaynak (GPLv3 / AGPLv3 Server) | Açık Kaynak (GnuPG GPLv3, OpenPGP.js) | Şeffaflık ve Bağımsız Denetim | Her ikisi de bağımsız denetime açıktır; Signal Sunucu kodu AGPL’dir ancak merkezi dağıtım trust-on-first-use riski taşır. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Senaryo 1: Yüksek Riskli İstihbarat Kaynağı (Whistleblower). Kaynak, kurumsal ağdan izole “Air-gapped” cihazda (Tails OS) PGP anahtarı üretir, gazeteciyle Out-of-Band (yüz yüze/guvenli kanalda) parmak izi doğrulaması yapar. Dosyalar PGP ile şifrelenir, Signal (Sealed Sender + Tor) ile sadece “dosya hazır” sinyali verilir; dosya transferi OnionShare (Tor Hidden Service) ile gerçekleşir. Senaryo 2: Rutin Muhabirlik ve Hızlı Geri Dönüş. Gazeteci sahadan Signal (Disappearing Messages: 1 hafta, Screen Security: Açık) ile kaynakla iletişim kurar; meta veri minimizasyonu için her iki taraf da Tor/VPN kullanır. Senaryo 3: Yasal Süreç ve Mahkeme Talepnamesi. Savcılık gazetecinin telefonunu el koyar. Signal verisi (SQLCipher şifreli DB) cihaz şifresi (BFU/AFU durumu) olmadan erişilemez; PGP özel anahtarı YubiKey (Hardware Security Module) içinde saklandığı için cihaz ele geçirilse bile şifre çözme yetkisi kalmaz. Kritik Vaka: Pegasus/NSO Group sıfır tıklama (zero-click) exploitleri, her iki protokolü de aşabilir; bu nedenle “Lockdown Mode” (iOS) / “Hardened_Malloc” (GrapheneOS) donanım/seviye koruma şarttır.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Operasyonel Darboğaz 1: Kullanıcı Hatası (Human Factor). Güvenlik numarasını doğrulamamak, yedek alma (Signal PIN/Google Drive yedek şifresiz), PGP özel anahtarını yedeksiz saklamak. Çözüm: Zorunlu OpSec eğitimi, “Security Number Changed” uyarılarında iletişim dondurma protokolü. Risk 2: Meta Veri Sızıntısı (Traffic Analysis). Signal sunucusu (AWS) IP logları (Sealed Sender olsa bile bağlantı zamanları) korelasyon analizi için yeterlidir. Çözüm: Signal Proxy (TLS/WS) veya Tor (Orbot/Onionize) üzerinden zorunlu yönlendirme. Risk 3: Yasal Zorlama (Rubber-hose Cryptanalysis / Cloud Act). ABD yargı otoritesi Signal Amazon sunucularından meta veri isteyebilir. Çözüm: Session (Oxen/Lokinet) veya SimpleX Chat (P2P, kullanıcı kimliği yok) gibi merkezi olmayan alternatiflerin yedek protokol olarak entegre edilmesi. Risk 4: Quantum “Store Now, Decrypt Later”. PGP (RSA/ECC) arşivleri gelecekte kırılabilir. Çözüm: Hassas arşivler için PQC hibrit (Kyber/Dilithium) geçiş planı veya Signal PQXDH’ye geçiş. Hata Modu: Uç Nokta Tehlikesi. Pegasus/Predator gibi casus yazılımlar şifrelemeyi atlar. Çözüm: GrapheneOS/Qubes OS, donanım tabanlı izolasyon, sıfır tıklama yüzey alanını minimize etme.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Post-Kuantum Kriptografi (PQC) Geçişi: Signal, Eylül 2023’te PQXDH protokolünü (CRYSTALS-Kyber + X25519 hibrit) canlıya alarak “Harvest Now, Decrypt Later” tehdidine karşı öncülük etti. IETF MLS (RFC 9420) standartlaşması, protokoller arası operasyonellik (Interoperability – DMA/EU Digital Markets Act zorunluluğu) getirecek; Signal, WhatsApp, Google Messages, Apple iMessage (PQ3) MLS tabanlı olacak. Merkeziyetsiz Kimlik ve Ağ: SimpleX Chat (P2P, kullanıcı ID yok, Double Ratchet) ve Session (Oxen Service Nodes, Onion Routing) merkezi sunucu riskini (Cloud Act, tek hata noktası) ortadan kaldırıyor. Donanım Güvenliği: Apple Lockdown Mode, GrapheneOS Hardened_Malloc, Pixel Tensor G2+ MTE (Memory Tagging Extension) sıfır tıklama exploit maliyetini artırıyor. Yasal Muhit: EU Media Freedom Act (EMFA) gazeteci casus yazılımı korumasını getiriyor; Türkiye’de “Gizli Soruşturma” kapsamında meta veri erişimi genişletiliyor. 5-10 Yıllık Projeksiyon: MLS standartlaşmasıyla protokol seçimi “özellik” olmaktan çıkıp “altyapı” olacak; odak “Uç Nokta Bütünlüğü” (Remote Attestation, TPM/SEV-SNP) ve “Meta Veri Önemsizliği” (Mixnets/Cover Traffic – Nym, HOPR) kayacak.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Signal merkezi bir sunucu kullandığı için PGP’den (dağıtık) daha mı güvensizdir?
Cevap: Hayır, aksine tehdit modeline göre daha güvenlidir. Signal merkezi sunucu içeriği göremez (E2EE) ve meta veriyi minimize eder (Sealed Sender). PGP’de e-posta meta verileri (SMTP Received headers) her hop’ta (sağlayıcı, ISP) açıkça loglanır. Merkezi sunucu riski (Cloud Act, hacklenme) Signal’de “minimal meta veri + şeffaf şifreleme” ile azaltılırken, PGP’de dağıtık mimari meta veri sızıntısını engellemez. Güvenlik “merkezi/dağıtık” ikileminde değil, “sızan veri ne kadar?” sorusundadır.
Soru 2: Gazeteci PGP anahtarını YubiKey’e koydu; bu yeterli mi?
Cevap: Yeterli değil, şart. YubiKey (HSM) özel anahtarın çıkarılmasını engeller (Non-extractable), bu kritik bir kazanımdır. Ancak; 1) Cihaz kullanımdayken (AFU) malware bellekten şifreli metni/oturum anahtarını okuyabilir. 2) Yedek anahtar (Paperkey/QR) yoksa cihaz kaybı/bozulması arşivin ölümsüz kaybına yol açar. 3) Meta veri (kimle konuştuğunuz) YubiKey korumaz. Donanım anahtarı “Anahtar Çalma” riskini giderir, “Uç Nokta İstismarı” ve “Meta Veri” risklerini gidermez.
Soru 3: “Disappearing Messages” (Yok Olan Mesajlar) yasal kanıt ortadan kaldırır mı?
Cevap: Teknik olarak yerel veritabanından (SQLCipher) silinir, ancak: 1) Alıcı ekran görüntüsü alabilir/fotoğraf çekebilir (Signal “Screen Security” bayrağı bunu engellemeye çalışır ama köklü cihazlarda bypass edilebilir). 2) Yasal tutuklama emriyle cihaz el konulduğunda, silinmemiş mesajlar (veya yedeklerdeki) ele geçirilebilir. 3) Yargı “kanıt yok etme” (spoliation) suçlaması getirebilir. Strateji: Hassas iletişim için ephemeral (geçici) mod kullanın, ancak “kanıt yok etme” riskini yönetmek için yasal danışmanlık alın.
Soru 4: Türkiye’de Signal/PGP kullanımı yasal mı? Şifreleme yasaklanır mı?
Cevap: Kullanım yasal, Anayasa Madde 20/22 (Gizlilik/İletişim Özgürlüğü) kapsamındadır. Ancak TCB Kanunu Madde 5/6 ve Mükelleflik Yükümlülükleri (Sağlayıcılar) çerçevesinde “şifre çözme” emri verilebilir. Pratikte E2EE (Signal/PGP) sağlayıcı (Signal Foundation/Proton) çözemediği için emri gazeteciye/cihaza yöneltir. “Şifreleme yasaklama” teknik olarak imkansızdır (TLS/HTTPS de şifrelemedir), ancak “anonim şifreleme” veya “yabancı sunucu” kısıtlamaları (VPN yasakları gibi) erişimi engelleyebilir. Proxy/Tor kullanımı operasyonel zorunluluktur.
Soru 5: PGP “Web of Trust” modeli günümüzde pratik mi?
Cevap: Klasik “Key Signing Party” modeli pratik değildir (ölçeklenmez, kullanıcı hatası yüksek). Modern yaklaşıkm TOFU (Trust On First Use) + WKD (Web Key Directory – RFC 9580) + DANE/TLSA + Key Transparency loglarıdır. Gazeteci kurumsal alan adı (haberimpress.com) üzerinden WKD yayınlar (...@haberimpress.com anahtarı HTTPS ile indirilir, TLS güvenilirliği kullanılır), bu da “Güven Ağı”nı kurumsal PKI güvenine indirger. Bu model hem kullanılabilir hem denetlenebilirdir.
Soru 6: Quantum bilgisayarlar PGP/Signal’ı ne zaman kırar?
Cevap: RSA-2048/ECC-256 için “Cryptographically Relevant Quantum Computer” (CRQC) ihtiyacı ~20 million fiziksel kubit (hata düzeltmeli mantıksal kubit ~4000) civarındadır; NIST/NSA tahminleri 2030-2035 arası “risk penceresi”ni işaret eder. Kritik: “Store Now, Decrypt Later” (Şimdi Sakla, Sonra Çöz) saldırısı bugün başlar. Düşman bugün şifreli trafiği (PGP e-postaları, Signal handshake’leri) kaydeder, 10 yıl sonra CRQC ile çözer. Bu nedenle Signal’in PQXDH (Kyber) geçişi ve PGP için hibrit PQC (Composite Keys – RFC 9580 taslakları) bugün hayati önem taşır.
Bolum 9: Temel Terimler Sozlugu
Double Ratchet Algorithm (Çift Çark Algoritması): Signal Protokolünün çekirdeği; her mesajda Diffie-Hellman (DH) ratchet (asenkron, ileri sırlılık) ve Symmetric-Key ratchet (senkron, mesaj sırası/tekrar koruması) birleşerek sürekli anahtar evrimi sağlar. Geçmiş anahtarların silinmesiyle Forward Secrecy, yeni DH paylaşımlarıyla Post-Compromise Security kazanılır.
Forward Secrecy (İleri Sırlılık / Perfect Forward Secrecy – PFS): Uzun vadeli özel anahtarların (Identity Key) ele geçirilmesi durumunda, geçmiş oturum anahtarlarının ve dolayısıyla geçmiş mesajların şifresinin çözülememesi özelliği. Efemer (geçici) DH anahtarlarının kullanımı ve silinmesiyle sağlanır. PGP’de (statik anahtar) yoktur, Signal’da (Double Ratchet) varsayılandır.
Sealed Sender (Mühürlü Gönderen): Signal protokolü uzantısı; mesaj paketinin dış katmanında “Kimden:” alanı şifrelenir (veya rastgele doldurulur), sunucu sadece “Kime:” (alıcı) bilgisini görür. Ağ seviyesinde (ISP/Sunucu) “Kim kimle konuşuyor?” meta verisi (Social Graph) gizlenir. Tor/Proxy ile IP de gizlenirse güçlü anonimlik sağlar.
Web of Trust (Güven Ağı): PGP/OpenPGP’de merkezi sertifika otoritesi (CA) olmadan, kullanıcıların birbirlerinin anahtarlarını fiziksel/karşı karşıya doğrulayarak (parmak izi karşılaştırma) imzalayarak (certify) güven zinciri oluşturması modelidir. Ölçeklenme zorluğu ve “Key Signing Party” gereksinimi nedeniyle modern TOFU/WKD modelleriyle değiştirilmektedir.
PQXDH (Post-Quantum Extended Diffie-Hellman): Signal’in 2023’te dağıttığı hibrit anahtar anlaşma protokolü. Klasik X25519 (ECDH) ile Post-Kuantum KEM (Kyber-1024) çıktılarını birleştirir (KDF). Birinin kırılması (Kuantum veya Klasik) diğerini korur. “Harvest Now, Decrypt Later” saldırısına karşı önlemdir.
Metadata (Meta Veri): İletişimin içeriği (mesaj metni, dosya) hariç her şey: Kim, kime, ne zaman, ne sıklıkta, IP adresi, cihaz modeli, konum. Şifreleme (E2EE) içeriği korur; meta veri koruması için ağ anonimliği (Tor), Sealed Sender, Mixnets (Nym) veya P2P (SimpleX) gerekir. Meta veri genellikle “içerikten daha değerlidir” (NSA Genel Müdürü Hayden: “We kill people based on metadata”).
Bolum 10: Sonuc ve Stratejik Degerlendirme
Analiz, kaynak korumasının tek bir araçla (yalnızca yasal ayrıcalık veya yalnızca Signal) sağlanamayacağını, “Derin Savunma” (Defense in Depth) mimarisi gerektirdiğini kanıtlamıştır. Stratejik Yol Haritası:
1. Protokol Seçimi (Threat Model Bazlı): Yüksek riskli kaynak/ belge transferi → PGP (YubiKey/HSM + WKD/TOFU + OnionShare/Tor). Rutin, hızlı, meta veri hassas iletişim → Signal (PQXDH + Sealed Sender + Tor Proxy + Disappearing Messages + Safety Number Doğrulama). Yedek/Çekirdek → SimpleX/Session (Merkeziyetsiz).
2. Uç Nokta Bütünlüğü (Endpoint Integrity): Cihaz şifrelemesi (FBE/FDE), Güvenli Önyükleme (Verified Boot), Kök erişimsizlik (Unlocked Bootloader yok), Yüksek güvenlik modu (Lockdown/GrapheneOS), Donanım anahtarı (YubiKey/Nitrokey) zorunludur.
3. Operasyonel Güvenlik (OpSec) Kültürü: Güvenlik numarası doğrulama ritüeli, yedek stratejisi (Paperkey/Encrypted Backup), cihaz ayrıştırma (İş/Kişi ayırma), metadata higyeni (Tor/VPN zorunlu), Canary Token/Dead Man’s Switch.
4. Yasal ve Kurumsal Hazırlık: Avukat-müvekkil ayrıcalığı genişletme çabaları, AYM/ECHR içtihat takibi, “Gizli Soruşturma” karşıtı yasal mücadele, veri saklama politikalarının (Retention) minimizasyonu.
5. Quantum Hazırlığı (Crypto Agility): PQXDH (Signal) geçişi tamamlandı; PGP arşivleri için hibrit PQC (Kyber/Dilithium) geçiş planı (RFC 9580 güncellem
