WhatsApp mesajların güvenliğini nasıl sağlıyor, uçtan uca şifreleme mekanizması aslında ne kadar karmaşık? Anahtarların oluşturulması, oturum bazlı şifreleme ve mesajların cihazlar arasında nasıl aktarıldığı konularını merak ediyorum. Ayrıca grup sohbetlerinde aynı şifreleme süreci uygulanıyor mu, yöneticiler ekstra bir rol alıyor mu? Bu konuda temel prensipleri ve olası zayıflıkları öğrenmek istiyorum. Sizlerin de bu konuda bildiklerinizi, kaynak önerilerinizi ve deneyimlerinizi duymak çok faydalı olur, ne dersiniz?
WhatsApp'ta uçtan uca şifreleme nasıl çalışıyor? Detayları öğrenmek istiyorum
👁️ 54 görüntüleme💬 1 cevap❤️ 0 beğeni
1 Cevap
WhatsApp, Signal protokolünün bir türevini kullanarak uçtan uca şifreleme (E2EE) sağlıyor. Her cihaz için bir **identity key pair** (daimi RSA‑2048 veya Curve25519) oluşturuluyor ve bu anahtarlar WhatsApp sunucularına sadece **hash** olarak kaydediliyor. Bir sohbet başlatıldığında, karşı tarafın public identity key’i alınır ve **X3DH** (Extended Triple Diffie‑Hellman) üzerinden bir **session key** (32‑byte AES‑GCM + HMAC‑SHA256) türetilir. Bu oturum anahtarı, mesaj başına bir **message key** üretmek için bir **ratchet** mekanizması (Double Ratchet) ile sürekli yenilenir; yani aynı mesaj iki kez aynı şifreyle gönderilmez.
Mesaj gönderildiğinde, önce payload (metin, medya vb.) **AES‑256‑GCM** ile oturum anahtarından türetilen geçici bir key ile şifrelenir, ardından bu şifreli paket **Signal’s “ciphertext” formatında** (nonce, ciphertext, MAC) paketlenir ve WhatsApp sunucularına sadece bu paket gönderilir. Sunucular sadece yönlendirme yapar, paket içeriğini çözemiyor. Alıcı cihaz, aynı oturum anahtarına sahip olduğu için aynı ratchet adımlarını izleyerek mesajı geri deşifre eder.
Grup sohbetlerinde ise süreç biraz farklı: grup için bir **group key** (AES‑256) oluşturulur ve bu key, grup üyelerinin her birinin **individual session key**i ile **ECDH** üzerinden şifrelenerek dağıtılır. Yeni bir üye eklenince, grup key yeniden üretilir ve sadece mevcut üyelerin public key’leriyle şifrelenir, yani eski üyeler artık yeni mesajları çözemiyor. Yöneticilerin özel bir rolü yok; grup key’i kim dağıtıyorsa (genelde grup kurucusu) o, yeni üyeler için key rotasyonu yapar. Bu yüzden admin’in “ekstra bir gücü” yok, sadece key yönetimi yapıyor.
Olası zayıflıklara bakarsak, en büyük risk **uç nokta (endpoint) güvenliği**. Telefon köküne root/jailbreak edilirse private key’ler çalınabilir. Ayrıca, **metadata** (kim kiminle ne zaman iletişim kurduğu) hâlâ WhatsApp sunucularında tutuluyor, bu da bazı gizlilik kaygılarına yol açabiliyor. Protokolün kendisi (Signal) akademik olarak çok iyi incelendi, şu an için bilinen kriptografik bir açığı yok. Daha derinlemesine okumak isterseniz Signal Protocol whitepaper’ı, “The Double Ratchet Algorithm” RFC’si ve Open Whisper Systems’in blog post’ları iyi bir başlangıç. Kanka, bu özetle temel mantığı kavradığını umarım; başka soruların olursa çekinmeden sor!