Bolum 1: Kapsam, Tanim ve Temel Yaklasim
Haber kaynaklarının korunması, demokratik denetimin ve toplumsal şeffaflığın işleyişi için ontolojik bir önkoşul oluşturur. Bu alan, teknik siber güvenlik (confidentiality, integrity, availability), hukuki ayrıcalık doktrinleri (gazeteci-kaynak ayrıcalığı, avukat-müvekkil benzeri korumalar) ve operasyonel güvenlik (OPSEC) disiplinlerinin kesişim kümesidir. Temel yaklaşım, “güven ama doğrula” paradigmasından “sıfır güven” (Zero Trust) mimarisine evrilmiştir; çünkü meta verilerin (metadata) içerik şifrelemesinden çok daha tehlikeli olduğunu kanıtlamıştır. Analiz, Signal Protokolü (Double Ratchet, X3DH) ve OpenPGP (RFC 4880/9580) standartlarının kriptografik dayanıklılığını, yargıçlık kararı gerektiren veri erişim isteklerine karşı hukuki dayatmazlığı ve uzun vadeli kuantum sonrası (post-quantum) tehdit vektörlerini kapsar. Metodoloji; tehdit modellemesi (STRIDE), hukuki risk haritalaması ve operasyonel hata tolerans analizi üçgeniyle yürütülür.
Bolum 2: Temel Ilkeler ve Calisma Mekanizmasi
Signal Protokolü, “Double Ratchet” (Çift Dişli) algoritması ile her mesaj için benzersiz, ileri/geliş güvencesi (Forward/Backward Secrecy) sağlayan efemer (geçici) anahtarları türetir. X3DH (Extended Triple Diffie-Hellman) el sıkışması, asenkron iletişimde kimlik doğrulamasız anahtar değişimini mümkün kılar. PGP ise “Web of Trust” (Güven Ağı) veya TOFU (Trust On First Use) modelleriyle anahtar dağıtımını yönetir; hibrit şifreleme (AES-256 oturum anahtarı + RSA/ECC genel anahtarı) kullanır. Mekanizmanın zayıf halkası her zaman insan faktörüdür: cihaz seviyesinde endpoint güvenliği (disk şifrelemesi, biyometrik kilit, güvenli önyükleme), meta veri sızıntısı (IP, zaman damgası, iletişim grafiği) ve yedekleme (backup) politikalarının şifrelenmemesidir. Yasal ayrıcalık ise, şifreli içeriğin çözülememesine rağmen, meta verilerin mahkeme kararıyla ele geçirilmesi durumunda “koruma kalkanı”nın çökmesine neden olan yasal boşluktur; çünkü çoğu yargı alanı meta veriyi “iş kaydı” (business record) sayarak ayrıcalık kapsamı dışı bırakır.
Bolum 3: Metodoloji, Standartlar ve Protokoller
Uluslararası standartlar çerçevesinde; Signal Protokolü IETF MLS (Messaging Layer Security) RFC 9420 sürecine girdiği için endüstri standardı haline gelmiştir. PGP için OpenPGP RFC 9580 (v6), AEAD (AES-GCM/OCB) şifreleme modlarını ve Ed25519/Curve25519 eliptik eğri kriptografisini zorunlu kılar. Operasyonel standartlarda; EFF Surveillance Self-Defense rehberleri, Freedom of the Press Foundation’un “SecureDrop” mimarisi ve OSINT Framework’ün tersine mühendislik yaklaşımları referans alınır. Hukuki metodolojide; AB Veri Koruma Yönetmeliği (GDPR) Madde 85 (ifade özgürlüğü istisnası), ECHR 10. Madde (Goodwin v. UK kararı) ve Türkiye’de 108 Sayılı Basın Kanunu Madde 22/Ç (kaynak gizliliği) ile TCK Madde 277 (gizlilik yükümlülüğü) temel oluşturur. Risk değerlendirmesi için NIST SP 800-57 (Anahtar Yönetimi) ve ISO/IEC 27005 (Bilgi Güvenliği Risk Yönetimi) çerçeveleri uygulanır; özellikle anahtar yaşam döngüsü (key rotation), iptal (revocation) ve kompromitasyon sonrası olay müdahalesi (IR) prosedürleri kodlanır.
Bolum 4: Kapsamli Parametre ve Degerlendirme Tablosu
| Parametre | Olcut / Deger | Metrik | Stratejik Etki |
|---|---|---|---|
| İleri Güvence (Forward Secrecy) | Signal: Evet (Her mesaj) / PGP: Hayır (Statik anahtar) | Kompromitasyon sonrası geçmiş mesajların korunması | Signal uzun vadeli riski minimize eder; PGP anahtar çalınırsa tüm arşiv açığa çıkar. |
| Geliş Güvencesi (Backward Secrecy) | Signal: Evet (Ratchet) / PGP: Hayır | Gelecek mesajların korunması | Signal cihaz ele geçirilse bile yeni oturumlar güvenli kalır. |
| Meta Veri Koruması | Signal: Kısmi (Sealed Sender) / PGP: Yok (SMTP başlıkları) | İletişim grafiğinin gizliliği | Her ikisi de ağ seviyesinde (IP/Tor) koruma gerektirir; PGP çok risklidir. |
| Anahtar Doğrulama Modeli | Signal: Safety Number (TOFU) / PGP: Web of Trust / WKD | Kimlik taklitine (MITM) karşı dayanıklılık | Signal kullanıcı dostudur; PGP operasyonel yükü yüksektir, hata payı büyüktür. |
| Yasal Dayatmazlık (Subpoena) | Signal: Minimal veri (Kayıt tarihi/son giriş) / PGP: Sağlayıcıdan bağımsız | Hukuki süreçte ele geçirilebilir veri hacmi | Signal merkezi mimarisi yasal baskıya açıktır; PGP federasyonel yapı avantaj sağlar. |
| Kuantum Dayanıklılığı (PQC) | Signal: PQXDH (Kyber-1024) entegrasyonu başladı / PGP: RFC 9580 henüz PQC yok | 10-15 yıllık arşiv gizliliği (Harvest Now, Decrypt Later) | Signal proaktif geçiş yapıyor; PGP arşivleri retrospektif risk altındadır. |
| Endpoint Güvenliği Bağımlılığı | Her İkisi: Kritik (Cihaz = Anahtar Deposu) | Malware/Şifreleyici fidye yazılımı riski | Cihaz ele geçirilirse şifreleme anlamsızlaşır; donanımsal güvenlik modülü (HSM/TEE) şart. |
| Yedekleme (Backup) Sızıntısı | Signal: Yerel şifreli yedek (İsteğe bağlı) / PGP: Kullanıcı hatasına açık | Bulut yedeklerinde (iCloud/Drive) düz metin sızıntısı | Kullanıcı “Mesajları Yedekle” açarsa şifreleme bypass edilir; OPSEC ihlali. |
| Grup İletişimi Güvenliği | Signal: MLS tabanlı grup protokolü / PGP: Manuel anahtar dağıtımı | Ölçeklenebilirlik ve üye değişimi yönetimi | Signal büyük ekipler için otomatiktir; PGP operasyonel kabus yaratır. |
| Kod Denetlenebilirliği | Signal: Açık Kaynak (AGPLv3) / PGP: Çoklu uygulama (GnuPG, Sequoia) | Arka kapı (backdoor) riski | Şeffaflık her ikisi için de güçlü; ancak Signal sunucu kodu kısmen kapalıdır. |
| Hukuki Ayrıcalık Kapsamı | İçerik: Korunur / Meta Veri: Çoğu yargı alanında korunmaz | Mahkeme kararıyla veri elde edilebilirliği | İçerik şifrelemesi yeterli değil; meta veri anonimizasyonu (Tor/VPN) zorunludur. |
| Operasyonel Hata Toleransı | Signal: Düşük (Kullanıcı hatası az) / PGP: Çok Yüksek (Anahtar yönetimi) | İnsan kaynaklı güvenlik ihlali olasılığı | PGP uzman olmayan gazeteciler için “tehlikeli bir silah”tır; Signal tercih edilmeli. |
| Cihazlar Arası Senkronizasyon | Signal: Bağlı cihazlar (Linked Devices) / PGP: Manuel anahtar aktarımı | Çoklu cihaz kullanımında tutarlılık | Signal kullanım kolaylığı sağlar; PGP anahtar çakışması riski yaratır. |
Bolum 5: Uygulama Alanlari ve Pratik Senaryolar
Saha uygulamasında; “SecureDrop” veya “OnionShare” üzerinden ilk temas sağlandıktan sonra, günlük iletişimde Signal (yazışma/ses) ve PGP (büyük dosya/eposta eki şifrelemesi) hibrit kullanımı altın standarttır. Örnek senaryo: Bir istihbaratçı, kamu ihalesi ihlali belgelerini PGP ile şifreleyip (gazetecinin genel anahtarıyla) OnionShare üzerinden Tor ağıyla teslim eder. Gazeteci dosyaları air-gapped (hava boşluğunda) bir makinede özel anahtarıyla çözer. Ardışık iletişimde Signal “Yan yana güvenlik numarası doğrulama” yapılır. Kritik vaka: 2013 Snowden sızıntısında PGP kullanımı (Laura Poitras/Glenn Greenwald) operasyonel güvenlik hataları (zayıf parolalar, anahtar yönetimi) nedeniyle gecikmeler yaşanmış; 2021 Pegasus sızıntılarında ise Signal’ın sıfır tıklamalı (zero-click) exploitlere karşı dayanıklılığı test edilmiş, ancak endpoint güvenliğinin (iOS/Android kernel) tek hata noktası olduğu kanıtlanmıştır. Türkiye örneğinde; 2016-2017 süreçlerinde kaynakların meta verileri (BTS/GSM verileri) mahkeme kararıyla ele geçirilerek gazetecilerin kaynakları ifşa edilmiş, bu da “içerik şifrelemesi yetmez, meta veri anonimizasyonu şart” kuralını somutlamıştır.
Bolum 6: Karsilasilan Zorluklar, Riskler ve Cozum Yollari
Operasyonel darboğazlar şunlardır: 1) Anahtar Yönetimi Yorgunluğu: PGP’de anahtar iptali (revocation), süresi dolma ve yeni anahtar dağıtımı gazetecilerin iş akışını kesintiye uğratır. Çözüm: Signal’ın otomatik ratchet mekanizması veya PGP için WKD (Web Key Directory) / DANE otomatikleşmesi. 2) Meta Veri Sızıntısı: Şifreli mesajlaşma bile “kim, kime, ne zaman” bilgisini sunucuya/İSG’ye verir. Çözüm: Signal için “Sealed Sender” + Tor/VPN zorunluluğu; PGP için Mixmaster/Remailer ağları (pratikte zor). 3) Yasal Zorlama (Rubber-hose Cryptanalysis): Gazeteciye cihaz şifresini/parolayı verdirme baskısı (TCK 277/ÇMUK 134). Çözüm: Dayanıklı parolalar (Diceware), biyometrik kilidin yasal koruma sağlamadığını bilme, “Dayanıksız Şifre” (Duress Password) özelliği (Signal’da yok, özel ROMlarda var). 4) Arşiv Riski (Harvest Now, Decrypt Later): Bugün şifrelenmiş PGP mesajları 10 yıl sonra kuantum bilgisayarla çözülebilir. Çözüm: Signal PQXDH geçişi; PGP için hibrido PQC (Kyber/Dilithium) deneyleri (RFC 9580 güncellemesi bekleniyor). 5) Güven Zinciri Kırılması: Signal güvenlik numarası değişirse (cihaz değişimi) MITM riski doğar. Çözüm: Fiziksel/ikincil kanalda (görüşme/Signal sesli arama) yeniden doğrulama protokolü.
Bolum 7: Guncel Gelismeler ve Gelecek Perspektifi
Son 12 ayda kritik gelişmeler: Signal, PQXDH (Post-Quantum Extended Diffie-Hellman) protokolünü (Kyber-1024 + X25519 hibrit) üretime alarak “Harvest Now, Decrypt Later” tehdidine karşı ileri güvenceyi kuantum sonrası döneme taşıdı. MLS (Messaging Layer Security) IETF standardı (RFC 9420), Signal, WhatsApp, Google, Apple, Cisco gibi devleri ortak bir grup şifreleme standardında birleştiriyor; bu, çapraz platform güvenli iletişimi (interoperability) DMA (Digital Markets Act) zorunluluğu ile 2025-2026’ya kadar gerçekçi hale getiriyor. PGP ekosisteminde RFC 9580 (OpenPGP v6) AEAD şifrelemeyi ve modern ECC’yi zorunlu kıldı; Sequoia-PGP (Rust tabanlı, memory-safe) GnuPG’nin yerini almaya başlıyor. Yasal alanda; AB “Media Freedom Act” teklifi gazeteci-kaynak ayrıcalığını meta verilerle kapsayacak şekilde genişletmeyi hedeflerken, Türkiye’de “Dijital Ortamda Güvenlik” paketleri şifreleme araçlarının kullanımını “terörle mücadele” gerekçesiyle kısıtlama riski taşıyor. 5-10 yılık projeksiyon: Kuantum bilgisayarlar (CRQC – Cryptographically Relevant Quantum Computer) 2030-2035 arası RSA/ECC’yi kırar; bu nedenle bugün gönderilen her PGP mesajı risk altındadır. Gelecek, “Default PQC” (varsayılan kuantum dayanıklı), “Metadata-Private” (Tor/MPC tabanlı anonim ağlar) ve “Hardware-Bound Keys” (TEE/SE içinde asla çıkmayan anahtarlar) üçgenindedir.
Bolum 8: Sikca Sorulan Sorular (SSS)
Soru 1: Sadece Signal kullanmak kaynaklarımı korumak için yeterli mi?
Cevap: Hayır. Signal sadece içerik ve iletişim kanalı güvenliğini sağlar. Meta veriler (IP adresi, iletişim zamanı, cihaz modeli) Signal sunucularında (veya ISP’nizde) kalır. Mahkeme kararıyla bu meta veriler el konulabilir. Koruma için: Signal + Tor/VPN (meta veri anonimizasyonu) + Güçlü cihaz şifrelemesi + Kilit ekranı bildirim gizleme + Güvenlik numarası fiziksel doğrulama zinciri tamamlayıcısıdır.
Soru 2: PGP anahtarımı kaybettim/çaldırıldı, ne yapmalıyım?
Cevap: Anında İptal Sertifikası (Revocation Certificate) yayınlayın (önceden oluşturulup güvenli yerde saklanmalıdır). Yeni bir anahtar çifti (Ed25519/CV25519 önerilir) üretün. Yeni genel anahtarınızı WKD, keys.openpgp.org ve Signal profili/kişisel web siteniz gibi birden fazla bağımsız kanalda (TOFU riskini azaltmak için) yayınlayın. Eski anahtarınızla şifrelenmiş geçmiş mesajlarınızın güvenliği tehlikede değildir (ileri güvence yok), ancak gelecek mesajlar ve imzalar güvenli değildir. Tüm iletişim ortaklarınızı yeni anahtara geçirene kadar hibrit risk yönetimi yapın.
Soru 3: Polis/Mahkeme benim telefonumu istedi, şifrelemeyi bozabilirler mi?
Cevap: Modern cihazlarda (iOS Secure Enclave, Android StrongBox/TEE) brute-force koruması (deneme yanılma gecikmesi, silme) vardır. Ancak yasal zorlama (TCK 277, CMUK 134) ile sizden şifre/parola istenebilir; itiraz cezai yaptırım doğturur. Strateji: “Dayanıksız Mod” (Duress Mode) destekleyen özel ROM’lar (GrapheneOS) veya uygulamalar (Signal’de henüz yok, ama “Kilit Ekranı” parolasını cihaz şifrelemesinden ayıran yapılar) kullanın. En güçlü koruma: Cihazda hiçbir veri olmaması (Disappearing Messages / Kaybolan Mesajlar: 1 hafta/1 gün), yedeksiz (iCloud/Google Drive yedeği kapalı) kullanım.
Soru 4: Signal “Güvenlik Numarası Değişti” uyarısı verdi, MITM mi oluyoruz?
Cevap: Genellikle karşı taraf telefonunu değiştirdi, uygulamayı yeniden kurdu veya bağlı cihaz ekledi/çıkardı. Asla varsaymayın. İletişimi durdurun. Güvenli bir ikinci kanalda (yüz yüze, güvenli sesli arama, önceden doğrulanmış PGP imzalı eposta) yeni güvenlik numarasını karakter karakter doğrulayın. Doğrulama yapılmadan hassas bilgi paylaşmayın. Bu, Signal’ın TOFU modelinin tek zayıf noktasını kapatır.
Soru 5: E-posta için PGP yerine Signal (veya Session/SimpleX) kullanamaz mıyım?
Cevap: Büyük dosyalar, resmi yazışma, dijital imza (non-repudiation) ve arşivleme gerektiren süreçlerde e-posta/PGP zorunludur. Signal mesajları efemerdir (geçici), e-posta kalıcı bir kayıttır. PGP, “Web of Trust” ile kimlik bağlamayı (identity binding) mesajlaşma uygulamalarından daha güçlü ve standartlaştırılmış bir yapıda sunar. İdeal: İlk kontakt/anahtar değişimi PGP/Signal QR koduyla, dosya transferi PGP/OnionShare, günlük sohbet Signal/SimpleX (metadata-minimal) ile.
Soru 6: “Kaybolan Mesajlar” (Disappearing Messages) yasal kanıt olarak kabul edilir mi?
Cevap: Teknik olarak mesajlar cihazlardan ve sunuculardan (Signal’de teslim sonrası sunucuda kalmaz) silinir. Ancak alıcı ekran görüntüsü alabilir, ikinci bir cihazla fotoğraf çekebilir veya yasal tutuklama sürecinde “kanıt yok etme” (TCK 278) suçlaması riski doğar. Stratejik kullanım: Hassas kaynak iletişiminde varsayılan 1 hafta/4 hafta ayarı; kritik belge/kanıt paylaşımında kalıcı (PGP/şifreli dosya) + air-gapped arşivleme. Yasal riski yönetmek için avukatınızla “kanıt koruma protokolü” oluşturun.
Bolum 9: Temel Terimler Sozlugu
İleri Güvence (Forward Secrecy / Perfect Forward Secrecy – PFS): Uzun vadeli özel anahtarların (identity key) ele geçirilmesi durumunda, geçmişte gerçekleştirilen oturumların oturum anahtarlarının (session keys) matematiksel olarak çözülemeyeceği, dolayısıyla geçmiş iletişimin gizliliğinin korunması özelliği. Signal Double Ratchet ile her mesajda sağlar; klasik PGP (RSA/ECC statik anahtar) sağlayamaz.
Meta Veri (Metadata): İletişimin içeriği (mesaj metni, dosya) hariç, iletişimin yapısını tanımlayan veriler: Kim (IP/Numara), Kime, Ne Zaman, Ne Kadar Süre, Ne Sıklıkta, Cihaz Bilgisi, Konum. İçerik şifrelemesi (E2EE) meta veriyi gizlemez; meta veri trafik analizi (Social Network Analysis) kaynak kimliğini açığa çıkarır.
Double Ratchet (Çift Dişli Algoritması): Signal Protokolünün çekirdeği. Bir “Kök Ratchet” (Diffie-Hellman anahtar değişimi ile ileri güvence) ve bir “Mesaj Ratchet” (Simetrik anahtar zinciri ile mesaj başına benzersiz anahtar) birleşimidir. Her mesajda anahtar değişir; bir anahtar kırılırsa sadece o mesaj etkilenir.
Web of Trust (Güven Ağı) / WKD (Web Key Directory): PGP’de genel anahtarların sahiplik doğrulamasının merkezi bir otorite (CA) olmadan, kullanıcıların birbirlerinin anahtarlarını imzalayarak (WoT) veya alan adı tabanlı otomatik sorgulama ile (WKD – https://domain/.well-known/openpgpkey/) yapılmasını sağlayan dağıtık kimlik doğrulama modelleri.
Harvest Now, Decrypt Later (Şimdi Topla, Sonra Çöz): Düşmanların (devletler, APT grupları), bugün kırılamayan (RSA-2048, ECC) şifreli trafiği depolayıp, ilerde kuantum bilgisayarlar (Shor Algoritması) veya matematiksel kırılmalar ile çözme stratejisi. Arşiv riskini (data at rest) tanımlar; Post-Kuantum Kriptografi (PQC) geçişinin aciliyetini belirler.
TOFU (Trust On First Use – İlk Kullanımdaki Güven): Kullanıcı ilk iletişimde karşı tarafın genel anahtarını/parmağını (Safety Number) kabul eder ve bu “güven kökü” olur. Sonraki değişiklikler uyarı verir. PKI (Sertifika Otoriteleri) alternatifi olarak basitlik sağlar ancak ilk temasın güvenli olduğu varsayımı risklidir (MITM).
Bolum 10: Sonuc ve Stratejik Degerlendirme
Analiz, haber kaynaklarının korunmasının tek bir araçla (sadece Signal veya sadece PGP) sağlanamayacağını, “Derin Savunma” (Defense in Depth) mimarisi gerektirdiğini kanıtlamıştır. Stratejik çıkarımlar şunlardır: 1) Varsayılan Protokol: Günlük iletişimde Signal (PQXDH etkin, Kaybolan Mesajlar 1 hafta, Sealed Sender, Tor/VPN zorunlu). 2) Yüksek Değerli Veri/Arşiv: PGP v6 (OpenPGP/RFC 9580, Sequoia-PGP, Ed25519, WKD) ile dosya/eposta şifrelemesi; anahtarlar donanımsal güvenlik modülünde (YubiKey/Nitrokey/HSM) saklanmalı. 3) Meta Veri Anonimizasyonu: Şifreleme yeterli değildir; ağ seviyesinde Tor (Onion Services) veya dVPN/MPC ağları (Nym, HOPR) entegre edilmeli. 4) Yasal Risk Yönetimi: Cihaz şifrelemesi (File-Based Encryption + StrongBox), yedeksizlik (Cloud backup kapalı), dayanıksız parola planlaması ve yasal danışmanlık protokolü (gazeteci-kaynak ayrıcalığı kapsamını meta veriye genişletme çabaları) operasyonel SOP (Standart Operasyonel Prosedür) haline getirilmeli. 5) Kuantum Hazırlığı: Bugün gönderilen PGP mesajları 2030’da çözülebilir; Signal PQXDH bu riski azaltır ancak PGP arşivleri için “yeniden şifreleme” (re-encryption) veya PQC hib
