Öncelikle herkese merhaba, ben Avukat Çağatay Üsküdar. Artık her hafta bilişim hukuku ile alakalı makalelerimle sizlerle buluşacağım. İlk yazımızda ise son günlerde WhatsApp içeriklerinin devlet tarafından denetleneceği iddialarını ele alacağım. WhatsApp gruplarında hızlıca yayılan ses kayıtlarında yer alan iddialara göre, halen taslağı netleşmemiş olan torba yasa tasarısında WhatsApp içeriklerine devlet tarafından erişim sağlanabileceği söyleniyordu.
Ayrıca İçişleri Bakanı Süleyman Soylu’nun bir süre önce pandemi döneminde yayılan sahte haberler nedeniyle, WhatsApp gruplarında dolaşan söz konusu ses kayıtlarına ilişkin ses analizleri yapılmaya başlandığını açıklaması, WhatsApp gruplarının denetlendiği iddiaları yayılarak her yerde karşımıza çıkmaya başladı. Bu sebeple makalemde önce WhatsApp’ın nasıl çalıştığından bahsedip, burada yer alan sohbetlerin devlet tarafından denetlenebilir olup olmadığı gibi hususları hukuksal açıdan ele alacağım.
Konuyu anlamak için temelden başlayalım: WhatsApp nasıl çalışır?
WhatsApp yazılım geliştiricilerinden Rick Reed’in Youtube üzerinde anlattığı bir teknik bir videoda uygulamanın nasıl çalıştığı anlatılıyor. Ana hatlarıyla konuya yakından bakalım. Temel olarak WhatsApp; kişiden kişiye, kişiden birden çok kişiye veya grup sohbet şeklinde yazılı, sesli ve görüntülü bir şekilde şifrelenmiş bağlantılarla iletişim kurabileceğiniz bir sohbet yazılımıdır.
WhatsApp cihaza ilk kurulduğunda kişinin telefon numarası ile WhatsApp hesabını eşleştirmekte böylelikle her bir numara bir kullanıcı olarak kaydolmaktadır. Sistemde telefon numaraları tekil oldukları için ek olarak bir şifre koruması gerektirmemektedir. Hesap doğrulama işlemi ise o telefona gönderilecek bir SMS ile gerçekleştirilmektedir. Cihazınız ilk kez WhatsApp sunucuları ile iletişim kurduğunda size gelen SMS doğrulama koduyla telefon numaranız ve cihazınıza özgü bir token (güvenlik belirteci) oluşturulur.
Program altyapısında özelleştirilmiş bir XMPP protokolünü kullanmaktadır. Bu protokolü geçmişte ICQ, AIM, Yahoo Chat, Google Talk gibi programlar da kullanmaktaydı. WhatsApp, kullanıcının WhatsApp kişi listesine otomatik olarak kişi eklemek için cihazın adres defterinden tüm telefon numaralarını otomatik olarak alır ve merkezi WhatsApp kullanıcısı veritabanıyla karşılaştırır. Böylelikle telefon numaraları kayıtlı WhatsApp kişileriyle iletişim kurulabilmektedir.
Başkaları sizin WhatsApp mesajlarınıza ulaşabilir mi?
WhatsApp üzerinde gerçekleştirdiğiniz yazışmalar uçtan uca şifreli olarak korunmakta olduğundan üçüncü kişiler tarafından uzaktan erişilememektedir. Şifrelemeyi bir örnek ile açıklarsak siz “Merhaba” yazdığınızda bu mesaj telefonda şifrelenir ve daha sonra WhatsApp sunucularına gönderilir. Ardından, sunucu mesajınıza gelen yanıtları şifreler ve telefonunuza geri gönderir. Telefonunuz mesajın şifresini çözer ve ekranda görüntüler. İşte mesajlaşma esnasında gerçekleşen şifreleme ve çözme işlemlerini telefonunuz ilk kez WhatsApp sunucularına bağlandığında telefon numaranıza özgü oluşturmuş olduğu token ile gerçekleştirmektedir.
WhatsApp'ın 5 Nisan 2016 tarihinden sonraki sürümleri kullanıldığı takdirde, iletişimin sadece kendi sunucularına değil, iletinin gönderildiği kişiye de şifreli olarak gönderildiğini diğer bir deyişle uçtan uca şifrelendiğini, böylece iletinin sadece gönderen ve alıcı tarafından okunabileceğini garanti etmektedir. Aradaki kimsenin, hatta WhatsApp’ın kendisinin dahi bu mesajları okuyamayacağını açıklamaktadır. (2) Çünkü WhatsApp sunucularına ulaşılmış olsa bile içerikler şifreli olduğundan ötürü içerik detaylarına erişilemeyecektir.
WhatsApp’ın çalışma mantığında üçüncü bir kişi tarafından içeriklere uzaktan erişim mümkün görünmemektedir. Ancak teknolojide imkansız olduğuna inanmayan biri olarak taraflardan birinin telefonunda gerçekleşecek güvenlik açığı ile bu durum bertaraf edilebilecektir. Buna örnek ise İsrail merkezli NSO Grup tarafından gerçekleştirilen bir malware (kötü amaçlı yazılım) ile WhatsApp üzerinden çeşitli casus saldırılar gerçekleştirilmesidir. Ancak güvenlik güncellemeleri ile bu açıklar giderildiği WhatsApp tarafından duyurulmuştur.
Makalenin başında bahsetmiş olduğum ortalıkta dolanan devlet tarafından WhatsApp gruplarının denetleneceğini burada yer alan ses kayıtlarının ses analizine gideceğine ilişkin duruma da değinmem gerekir. Anlatıldığı üzere WhatsApp içeriklerine üçüncü bir kişi tarafından erişim mümkün olmadığından dolayı devlet tarafından internet trafiğini izleme gibi yöntemlerle WhatsApp içeriklerine erişilemeyecektir. Nitekim bu durumun hukuki bir dayanağı da güncel mevzuatımızda yer almamaktadır. İletişimin denetlenmesine ilişkin alınacak kararlar da WhatsApp yazılımına hem teoride hem de pratikte uygulanamayacaktır.
Güncel durumda bilgi kirliliği sonucunda maalesef araştırılmaksızın paylaşımlar gerçekleştirilmektedir. WhatsApp içerisinde dolanan ses kayıtları, ancak kayıt kendisine gelen kişi tarafından dışarı aktarılabilecektir. Aktarıldıktan sonra ilgili ses kaydı her ne kadar incelenebilir olsa da ses kaydının kaynağını bulmak için pratikte tüm Türkiye’deki vatandaşların ses kayıtlarının olduğu bir veri tabanı üzerinden sesin analizinin yapılması gerekecektir yani pratikte yapmak mümkün görünmemektedir.
WhatsApp mesajlarınıza erişilmesini sağlayan istisnai durumlar:
Temelde WhatsApp yazışmalarına üçüncü kişilerin müdahale ile ulaşamayacağını açıkladık, fakat bazı durumlarda içeriklere erişim mümkün olabilmektedir. Ancak bu durumlar WhatsApp yazılımının güvenlik açığı vs. gibi durumlardan ötürü değil, mesaj gönderilen kişi veya kişilerin telefonunun veya QR kodunun ele geçirilmesi ile gerçekleşebilecek muhtemel durumlardır.
Diyelim ki siz B kişisine bir mesaj gönderdiniz ve göndermiş olduğunuz B kişisinin telefonu başkalarının eline geçti. Böyle bir durumda telefonu elinde bulunduran kişi 7 gün önceye kadar silinmiş içeriklere büyük oranda ulaşılabilecektir. WhatsApp, otomatik olarak her gece saat 02:00’da yedekleme işlemi yapmaktadır ve 7 günlük yerel yedekleme gerçekleştirir. WhatsApp uygulamasından 7 gün önceye kadar olan silinmiş mesajlar ve medyalar bu yedeklerden geriye yüklenebilmektedir.(3)
Yukarıdaki senaryonun gerçekleşebilmesi için telefonun kilidinin bulunmaması veya kilidin açılmış olması gerekmektedir. Diğer bir ihtimalde ise WhatsApp Web için kullanılan QR Koda erişilmesi ihtimalidir. Bu şekilde de kişinin WhatsApp hesabına erişilerek hesap içeriklerine ulaşılabilecektir. Son olarak kişiye ait kullanıcı adı ve şifrelere ulaşılarak WhatsApp yedeklerinin tutulduğu Google Drive veya iCloud hesaplarına ulaşılarak yedeklere erişilmesi durumunda yedeklerin uygun telefonlara yüklenmesi ile WhatsApp verilerine erişmek mümkün olabilecektir.
Görüleceği üzere WhatsApp içeriklerine devlet tarafından erişim sağlanmasına ilişkin hususun gerçekleşmesi güncel durumda telefon ele geçirilmeksizin mümkün değildir. İstisnai olarak bir ceza yargılaması esnasında soruşturma kapsamında uygulanan arama el koyma kararı sonucu elde edilmiş şüpheli kişiye ait bir mobil cihaz üzerindeki WhatsApp yazışmalarına erişmek mümkün olabilmektedir. Ancak bu durumun da gerçekleşmesi için telefon model, işletim sistemi, şifre durumu gibi çeşitli değişkenlerin sağlanması gerekmektedir.
Torba yasa taslağında geçtiği söylenen "devletin WhatsApp aktivelerimizi izleyeceği" iddiası doğru mu?
Öncelikle şunu belirtmeliyim ki gündemde yer alan 62 maddelik torba yasa taslağı TBMM sitesinde yer almamakta ancak çoğu haber sitesinde değişikliğe ilişkin tam metinler yayınlanmaktadır. (4) Bu sebeple yorumladığım ilgili tasarı komisyonda ve mecliste değişiklik gösterebilecektir. Torba Yasa Taslağındaki yer alan 5651 sayılı kanun kapsamındaki düzenlemeler ışığında da yine WhatsApp içeriklerine erişimin mümkün olmayacağı düşüncesindeyim.
Bahsi geçen taslak metinde yer alan düzenlemede iddialarla ilgili olarak Türkiye’de yer alan kullanıcıların verilerinin Türkiye’de bulunması zorunluluğu getirilmektedir. Bu durum ile WhatsApp vasıtasıyla bir suça konu eylem gerçekleştirildiği noktasında sohbet içerikleri talep edilse bile sadece “Metadata” adı verilen IP adresi, Cihaz Bilgisi, Lokasyon Bilgisi, Hesaba Ait Telefon Bilgisi gibi bilgiler paylaşılabilir hale gelecektir. Çünkü yukarıda da belirttiğimiz üzere WhatsApp sunucularına ulaşılmış olsa bile içerikler token ile şifrelendikleri için elinde token olmayan üçüncü kişiler tarafından bu sohbetlerin şifreleri çözülemeyecek ve içeriğe erişilemeyecektir.
WhatsApp bile sunucularındaki yazışmalara erişemediğini açıklamaktadır. Açıklanan sebeplerle kamuoyunda yer alan devlet tarafından WhatsApp içeriklerinin denetleneceğine ilişkin iddialar maalesef uygulamada gerçeği yansıtmamaktadır. Örneğin katı yasalarla yönetilen Çin, WhatsApp uygulamasındaki sohbetlerin şifreli olması sebebiyle Çin Devleti tarafından ulaşılamaması ve WhatsApp tarafından sohbet içeriklerinin paylaşılmaması gibi nedenlerle ülkelerinde uygulamanın kullanılmasını yasaklamıştır. Nitekim Çin Devleti, vatandaşlarını kişisel bilgilerini alabildiği ve iletişimini kontrol edebildiği platformları tercih etmeleri konusunda yönlendirmiş ve ülke içinde oldukça yaygın olan WeChat uygulaması kullanılmaya başlamıştır.
Av. Çağatay ÜSKÜDAR
