ABD’li bilişim uzmanından ‘ByLock’ raporu: Herkese açık ve güvenliği zayıf bir program

Mayıs 11, 2017, 7:13 pm
15 Temmuz darbe girişiminin ardından çok sayıda hakim, savcı, polis asker, akademisyen, gazeteci tutuklandı. Tutuklamalara gerekçe olarak internet üzerinden haberleşme imkanı veren ByLock programı gösterildi. ByLock’un sadece Gülen Cemaati mensuplarınca kullanılan kriptolu bir program olduğu öne sürüldü. Amerikalı bilişim uzmanı Walter McDaniel, konuyla ilgili teknik değerlendirmelerin yer aldığı 44 sayfalık rapor hazırladı.

Bilirkişi raporuna göre; programla ilgili iddiaların tamamına yakınına net bir şekilde cevap verebilmek mümkünken ilgili kişi veya kurumların açıklama yapmaması, medya kuruluşlarına farklı bilgiler servis edilmesi nedeniyle kamuoyunda bilgi kirliliği oluştu.

Raporda, ByLock programı tüm yönleriyle değerlendirilerek, iddiaların hukuk ve teknik bilgiler çerçevesinde incelendiği anlatıldı.

Belli bir tarihe kadar GooglePlay ve AppleStore mağazalarında kaldı

Raporda öncelikle programın kurulum dosyasına nasıl ulaşıldığı ve kullanıcı cihazlarına nasıl yüklendiği konusu incelendi. İddia edildiği gibi sadece örgüt mensuplarının programın kurulum dosyasına ulaşabildiği kendi aralarında usb veya bluetooth vb. yollarla paylaştıkları bilgisinin doğru olmadığı ortaya konuldu. ByLock uygulamasının zaman içerisinde GooglePlay ve Apple mağazalarında bulunduğu, halen internette birçok web sayfasından indirilebilen; herkese açık bir uygulama olduğu” tespiti yapıldı.

Dijital endüstriye dair analizler paylaşan AppAnnie ve AppBrain firması verilerine göre ByLock uygulaması, Apple mağazada Nisan 2014 ile Eylül 2014 tarihleri arasında; GooglePlay mağazada ise 11 Nisan 2014 ile 3 Nisan 2016 tarihleri arasında yayında kaldı.

Yine AppAnnie verilerine göre, ByLock uygulamasının Apple mağazada kaldığı süre içinde Mayıs-Eylül 2014 tarihleri arasında Sosyal Ağ alanında 12 ülkede ilk 100, 47 ülkede ilk 500 uygulama arasına girdiği ortaya çıktı. Hangi ülkede ne kadar popüler olduğu rakamlarla anlatılan raporda, “ByLock uygulaması birçok ülkede belirtilen tarihlerde Apple mağazadan indirilebilen ve indirme sayılarına göre oldukça popüler olduğu anlaşılan bir uygulamadır.” Denildi.

Benzer şekilde AppAnnie verilerinde, ByLock uygulamasının GooglePlay mağazada ise toplam 5 ülkede ilk 100, 41 ülkede ilk 500 uygulama arasına girdiğine vurgu yapılarak, “GooglePlay mağazadan indirilebilen ve indirme sayılarına göre oldukça popüler olduğu anlaşılan bir uygulamadır.” İfadesi kullanıldı.

Hürriyet’in röportajında yer alan bilgiler doğru

Hürriyet Gazetesinden İsmail Saymaz’ın ByLock uygulamasının ilgili mağazalardaki yayımcısı olarak görünen David Keynes ile yaptığı röportaj da mercek altına alındı.

Röportajda Keynes, sahibi olduğu bu uygulamanın Mart 2014‟ten sonra Apple ve GooglePlay mağazalarında kullanıma açıldığını GooglePlay mağazadan yaklaşık 500 bin, Apple mağazadan 100 bin kişi tarafından indirildiği anlatılmaktaydı. Ancak programın güncelleme yapılmaması sebebiyle 2014 sonlarında mağazalardan kaldırıldığı, sonrasında farklı internet sitelerinden indirilmeye devam ettiği vurgulanmıştı. Keynes, Ekim 2015 itibariyle GoDaddy adlı sunucu firmasına ücret ödemeyi kestiğini ve bu nedenle ByLock  sunucusunun Ocak 2016 itibariyle kullanımdan çıktığını anlatmıştı. O tarihten beri ve darbe teşebbüsünde ByLock’un kullanılmadığı belirtilmişti.

Raporda AppBrain ve Google verileri ile farklı milletlerden kullanıcı yorumlarına dayanılarak David Keynes’in verdiği bilgiler doğrulandı.

BM hakiminin ifadelerine de yer verildi

Raporda, ByLock kullanıcısı olduğu gerekçesiyle tutuklanan BM Uluslararası Ceza Mahkemeleri Hakimi Aydın Sefa Akay’ın verdiği ifadeye dikkat çekilmiş: “Akay ifadesinde; ‘Hür ve Kabul Edilmiş Masonlar Büyük Locası’ üyesi olduğunu, ByLock  uygulamasını GooglePlay mağazasından indirdiğini, ByLock uygulamasını eski Burkino Faso Dışişleri Bakanı Djibrill Bassole’nun tavsiyesiyle yüklediğini açıklamıştır.” denildi.

Mart 2016’dan önce sunucu kullanımdan kaldırıldı

ByLock uygulamasının halen birçok internet sitesinde yükleme dosyasının olmasına da değinilen araştırmada, bununla beraber Mart 2016 itibariyle kullanılabilmesinin mümkün olmadığı belirtiliyor. Bu durum şöyle açıklanıyor: “Bir uygulamanın kullanılabilmesi uygulamanın iletişimde olduğu sunucu ile ilgili bir durumdur. ByLock sunucusu 2016 Mart ayından önce kullanımdan kaldırılmıştır. Dolayısıyla ByLock uygulamasının 2016 Mart ayından sonra kullanılması hiçbir şekilde mümkün değildir. Halen internette bulunan yükleme dosyası indirilip, cep telefonlarına kurulsa bile, ortada hizmet veren bir sunucu kalmadığı için herhangi bir kullanıcı oluşturma veya mesajlaşma/arama vb. hiçbir fonksiyon kullanılamayacaktır.”

Benzer diğer programlar da incelendi

Raporda programın kriptolu yani şifreli haberleşme imkanı sağladığı iddiası da incelendi.

Günümüzde bireylerin iletişimlerinin gizliliği ve mahremiyeti nedeniyle kriptolu (şifreli) haberleşme programlarını tercih ettiği anlatılarak, “Kriptolu haberleşme gerek bilgisayarlarda gerek akıllı telefonlarda kullanılan haberleşme programlarının en önemli ortak özelliği olmuştur” denildi. Ardından tüm dünyada kullanılan Whatsapp, Viber, Tango, Twitter, Facebook, Instagram, Line, Wechat, Telegram, Snapchat, Coverme, Facetime, Signal, Textsecure, KakaoTalk, Kik, Nimbuzz, Wickr, Ebuddy, Tictoc gibi çok sayıda kriptolu haberleşme/iletişim programı sıralandı. Sadece Whatsapp kullanıcısının 1.2 milyar kişi olduğu belirtildi.

Bu programlar arasında, okunduğu anda mesaj içeriğini imha eden uygulamalar, kaydedilemeyen, kopyalanamayan, yönlendirilemeyen, screenshot (ekran alıntısı) dahi alınamayan haberleşme programlarına da örnekler verildi. ByLock ile birlikte onlarca haberleşme programının benzer özellikler taşıdığını dikkat çekildi.

Kullanıcı ID’si ile ekleniyor

Raporda, “ByLock uygulamasında arkadaş eklemek için kod kullanıldığı iddialarının uygulamaların hesap yönetim mekanizmaları hakkında bilgi sahibi olunmamasından kaynaklandığı görülmektedir. Detayları verildiği üzere, iddialarda yer alan “kod” tabirinin Kullanıcı-ID olduğu anlaşılmaktadır. Kullanıcı-ID uygulamasının da piyasadaki diğer örneklerinden farklı olmadığı örnekleriyle ortaya konulmuştur. Kullanıcıların Ad-Soyad vb. bilgiyle eklenmesi konusu ise teknik anlamda aslında hiçbir uygulama için mümkün değildir. ByLock uygulamasında ad-soyad ile arama yapılamadığı, kullanıcı eklenemediği konusundaki tartışmaların uygulamaların çalışma mantıkları hakkındaki bilgi eksikliğinden kaynaklandığı gözlemlenmektedir.” denildi.

Programın güvenliği zayıf

Teknik bilgilerin irdelendiği raporda ‘Asimetrik Şifreleme’ özelliğinin ByLock’a özel geliştirilmiş bir yöntem olmadığı 1970’lerden beri bilinen bir yöntem olduğu ve günümüzde çok yaygın bir uygulama alanı bulunduğu anlatıldı. “Whatsapp, Telegram, Signal, Facebook Messenger, Blackberry Messenger, Facetime, Cryptocat, Google Allo, iMessage, Line, Surespot, Threema, Viber, Wire vb. milyonlarca hatta milyarlarca kullanıcısı olan birçok mesajlaşma programında da E2EE şifreleme yani asimetrik şifreleme kullanılmaktadır.” Bilgisine yer verildi. Diğer tüm şifreleme özelliklerinin incelenmesinin ardından sonuç olarak, “Şifreleme başlığı altında verilen tüm bilgiler ışığında ByLock uygulamasının piyasadaki benzerlerinden çok üst düzey bir güvenlik sağlamadığı hatta mevcut durumda piyasadaki birçok haberleşme programından daha düşük seviyede güvenlik sağladığı rahatlıkla söylenebilir” denildi.

 

Raporun orijinali için