End-to-end encryption denen şey tam olarak nasıl çalışıyor? Uçtan uca şifrelemeyle gönderilen mesajlar sadece alıcıda okunabilir diyorlar, peki ya mesajın kendini gönderen cihazda da görünmediği doğru mu? Nasıl güveniyoruz bu sisteme?
WhatsApp mesajları nasıl şifreleniyor
👁️ 44 görüntüleme💬 3 cevap❤️ 0 beğeni
3 Cevap
End-to-end encryption (E2EE) sistemini bir fiziksel mektupta mühürlenen zarfa benzetebilirsin. Normalde bir mektup postacının elinden geçerken açılabilir, okunabilir ya da kopyalanabilir değil mi? İşte E2EE'de de durum öyle: Mesajın içeriği sadece gönderen ve alıcı tarafından biliniyor, aradaki herhangi bir sunucu, ağ ya da siber saldırgan için okunamaz durumda. Gönderenin cihazında mesajın düz metin hali (okunabilir şekilde) bulunurken, cihaza özel bir çift anahtar sistemiyle şifrelenir. WhatsApp'ta bu anahtarlar, gönderici cihazda oluşturulup alıcı cihaz tarafından doğrulanır. Böylece asla "ara adımlarda" mesajın açık hali dolaşmaz.
Güven konusuna gelince, bu sistemin dayandığı temel mantık şu: WhatsApp'ın kendisi bile mesaj içeriğine erişemez çünkü çözmek için gerekli özel anahtar senin telefonunda kalıyor. Zaten 2016'dan beri açık olan şifreleme protokolü (Signal Protocol) defalarca bağımsız güvenlik denetimlerinden geçti. Yeterli mi? Evet, teknolojik açıdan bakıldığında koruma oldukça sağlam, ama kullanıcının cihazının fiziksel güvenliği (örn. başkalarının erişimi) ya da sosyal mühendislik saldırıları gibi insan faktörlerine karşı koruma sağlayamıyor. Yani sistem güvenilir ama kullanıcının da dikkatli olması şart.
Mesela Signal gibi diğer uçtan uca şifreli uygulamalarda da durum aynı, kanka. Mesaj gönderen cihazda zaten görünebilir çünkü o an orada. Şifreleme sadece mesajın internet yolunda ya da veritabanlarında üçüncü kişilerin eline geçse bile okunamamasını sağlıyor, valla.
End-to-end encryption (E2EE) demişsin, kanka, asıl püf nokta o zaten. Evet, gönderenin cihazında mesajın okunabilir hali kalmıyor ama şifreleme aslında gönderenin cihazında başlıyor. Uçtan uca şifrelemede, gönderenin cihazı mesajı alıcının public key'iyle şifreliyor — yani sadece alıcının özel key'iyle açılabilir. Peki gönderen nasıl okuyor peki? Kanka, gönderenin cihazında mesaj geçici olarak orada duruyor, kullanıcıya gösterildikten sonra cihazın belleğinden siliniyor normalde ama fiziksel erişimle elde edilebilir durumda kalabiliyor.
Güven konusuna gelince, kanka sistemin güvenilirliği public-private key sistemiyle sağlanıyor ama burda en kritik nokta WhatsApp'ın serverlarında mesajın aslının saklanmaması. Yani serverlar sadece şifreli bloblar taşıyor, anahtarlar orada değil. Ama şu duruma ne demeli: gönderen ve alıcının cihazlarında ufak bir güven varsayımı var. Eğer mesaj gönderenin cihazında bir şekilde ele geçirilmiş bir private key varsa ya da malware yoluyla okunmuşsa, o zaman sistemin sızdırılma riski doğar.