Gizli anahtarlarınızı gizleyemezsiniz!

0
tongucyumruk
İngiliz ulusal güvenlik ajansı Home Office, 2000 yılında çıkan RIPA adlı yasanın üçüncü bölümündeki bugüne kadar kullanmaya başlamadğı hakkını kullanmak yönünde hazırlıklara başladı. Sözkonusu yasanın üçüncü bölümü İngiliz polisine ihtiyaç duyması halinde kişilerin açık anahtar tabanlı şifreleme uygulamalarında kullanılan gizli anahtarını isteme hakkını tanıyor. Gizli anahtarını teslim etmeyi reddedenler içinse hapis cezası öngörülüyor.
Uygulamanın dikkat çeken yanı ise dosyaların şifrelenmemiş halinin değil, doğrudan doğruya şifrelemede kullanılan anahtarın kendisinin isteniyor olması. Bu haliyle uygulama bugüne kadar İngiltere'de kişisel özgürlüklere karşı yapılmış en büyük saldırılardan biri olarak nitelendiriliyor.

Diğer bir önemli nokta ise uygulamanın yol açabileceği haksız suçlamalar. Şu örneği ele alalım: Bir açık/gizli anahtar çiftim var. Birgün gizli anahtarımı kaybediyor ve yeni bir anahtar çifti kullanmaya başlıyorum. Bu arada hiç tanımadığım fakat polis tarafından takip edilen biri benim eski ve artık kullanmadığım açık anahtarımı kullanarak bir dosyayı şifreleyip bana gönderiyor. Göndermesiyle birlikte de İngiliz polis teşkilatı kapımda belirip gizli anahtarımı istiyor. Bu durumda haksız yere hapis cezasına mahkum oluyorum...

Biri "Kuzey Ateşi" mi dedi? Yok canım, daha neler... Her neyse... England Prevails (Yaşasın İngiltere)

Not: Açık Anahtar Şifreleme nedir diye soranları buraya alalım: 1 2 3

Görüşler

0
acemi_
Bu arada hiç tanımadığım fakat polis tarafından takip edilen biri benim eski ve artık kullanmadığım açık anahtarımı kullanarak bir dosyayı şifreleyip bana gönderiyor. Göndermesiyle birlikte de İngiliz polis teşkilatı kapımda belirip gizli anahtarımı istiyor. Bu durumda haksız yere hapis cezasına mahkum oluyorum...

Artık elde olmadığı için verilemeyen gizli anahtardan dolayı, kimsenin hapis yatacağını sanmıyorum. Böyle bir ceza verilebilmesi için anahtarın hala kişide olduğunun ama kasıtlı olarak verilmediğinin bir şekilde ispatlanması gerekir.

Bu olaya, özgürlükler adına karşı çıkmak gerekiyor olabilir ama bunu, varsayımlara dayanan ve doğrudan yasayla alakalı olmayan kötü kullanım senaryolarıyla yapmamak lazım bence

0
tongucyumruk
İdeal bir hukuk sisteminde bu dediğinz tamamen doğru olurdu. Zira normalde hukuk sistemlerinde birşeyin yokluğunun değil varlığının ispatlanması esastır. Yalnız herşey gibi hukukta o kadar mükemmel işlemiyor. Bu nedenle bence yazılan senaryo o kadar da abartılı değil.
0
ttk
O zaman gizli anahtarımızı kaybetmemeye dikkat etmemiz lazım. 10-15 yere kopyasını koymakta fayda var. Yoksa anahtarı kaybettiğimize inandırıncaya kadar dayaktan eskiriz :)
Söze gelince komik ama fiiliyatta ne yazık ki durum böyle.
Gizli iş çevirip gizli anahtarını kaybettiğine dair yalan söyleyenle gerçekten kaybedenin ayırt edilmesinin çok zor olması, söz konusu olan toplum güvenliği olunca kişisel gizlilik, ve masumiyet, isbat isteği savunmlarının etkisiz kalması durumları da var.
"Ulan olm uğraştırma madem kabahatsizsin versene şu anahtarı" söylemi ve toplumun "şuna bak kişisel gizlilikmiş, kimbilir ne halt etti de, o kadar sorgudan sonra bile vermedi anahtarı" demesi üst üste konulunca, ne desen boş.
0
sundance
Buna benzer bir uygulama yıllardır gerçekleşmekte. Herhangi bir adli soruşturmada eğer şifreli bir dosyanız/kasanız varsa ve mahkeme sizden açmanızı isterse "açmıyorum" hatta "şifremi unuttum" deme hakkına sahip değilsiniz. Bu mahkeme ile işbirliği yapmamak anlamına gelir ve cezalandırılır.

Bildiğim kadarıyla başta Amerika ve AT olmak üzere dünyanın birçok ülkesindeki uygulama bu şekilde.

Bu sebeple, -keyfe keder olmamak şartıyla- mahkeme kararıyla gizli anahtar alınabilir bence. Bunun mahkeme kararı ile evinizin didik didik edilip aranmasından bir farkı yok. Orada da birilerinin orda olmayan bir eşyayı/belgeyi yerleştirdiğini iddia edebilirsiniz. Dahası hiçkimse sizi mahkemeye verdiğiniz gizli anahtar ile şifrelenmiş yeni bir belge için de suçlayamaz. O yüzden aslında daha bile güvendesiniz evinizin aranmasından.
0
bm
Bildiğim kadarıyla başta Amerika ve AT olmak üzere dünyanın birçok ülkesindeki uygulama bu şekilde.

AB'yi bilmiyorum ama ABD'de boyle olmasi sart olmayabilir. Kendi kendini suclayici ifade vermek zorunda kalmamak anayasal hak orada. (Bakin bu ucuncu sahislari etkilemiyor, yani beni suclayacak bir evrak sifreli sekilde sizdeyse sizi soylediginiz metodla zorlayabilirler -- avukatim veya esim filan degilseniz.) Burada ilginc ictihat ve/veya argumanlar olabilir, bilmiyorum ama iligililer icin diger arama ve referanslara baslangic noktasi olabilecek bir dokuman buldum Google'da "fifth amendment private key" diye arayarak. No Computer Exception to the Constitution: The Fifth Amendment Protects Against Compelled Production of an Encrypted Document or Private Key diye [pdf]. Ben avukat degilim, link verdigim seyi okumadim, bana guvemeyin vs. vs.

0
sefalet
Bildiğim kadarı ile eğer ortada bir dava var ise, davanın konusu ile ilgili bir delili bilinçli olarak saklamak yasadışı.Bunun sayısal ortamda saklanan bir belge olması ile gidip toprağa gömülen bir delil olması arasında fark yok.Aksi takdirde delil saklamaktan dolayı davanın konusu dışında bir suç işlenir.Aynı durum müvekkili aleyhinde bir delili yok etmeye çalışan veya bildiği halde mahkemeye vermeyen avukat için de geçerli.

Haberde bahsi edilen uygulamanın detaylarını bilmiyorum ama nasıl arama izni alırken belli bazı delil ve destekli şüphelerin olması gerekiyor ise, bu tür bir sayısal ortamda şifrelenmiş bir belge vs. nin de şifresinin verilmesi için savcının ya da polisin elinde diğer başka delil ve tanıkların olması gerekir.Bunlar olduktan sonra soruşturmanın neticelenmesi adına istenen şifrenin alınması için hak doğar kanımca.
0
rafet
Bu yorumlardan cikardigim en iyi yolun gizli anahtar sahibi olmamak oldugu. En azindan basiniz bu yuzden belaya girmez. Gizli isleriniz varsa interneti kullanmayin, baska yollar deneyin.
Görüş belirtmek için giriş yapın...

İlgili Yazılar

Hacker´lar California´nın Elektrik Şebekesindeler

PCc0d3r

Hacker'lar bu sefer ABD'nin California eyaletinin elektrik şebekesine dadandı. 25 Nisan'da şebekenin ana bilgisayarına giren sanal korsanlar 11 Mayıs'a kadar fark edilmemişler. Neyse ki sisteme önemli bir hasar verilmemiş (ki bunu yapabilecekleri noktalara dahi erişmiş hacker'lar).

FBI'ın yaptığı araştırmalara göre saldırının Çin'in Guangdong bölgesinden yapıldığı tahmin edilmekte. Ayrıca Santa Clara ve Tulsa'dan da olabileceğini söyledi yetkililer...

Distributed Denial of Service´a (dDoS) karşı nasıl bakakalınır?

conan

Steve Gibson, Gibson Araştırma merkezinin güvenlikten sorumlu elemanı(Soyadından çıkardığım kadarıyla da kurucusu olabilir), sayfasında 4 Mayıs 2001 günü grc.com sitelerine yaşadıkları dDoS saldırısını en ince ayrıntılarına kadar anlatmış. Bir sistem yöneticisi ve saldırıyı an an yaşayan `güvenlik görevlisi`nin bakış açısından saldırıyı bu linkten okuyabilirsiniz. Bence alınacak ilginç dersler var. Aynı yazıyı pdf formatında da indirebilirsiniz.

Ayrıca Steve'in hackerlara karşı yazdığı açık mektubu da okumanızı tavsiye ederim :)

CAPTCHA'ların sonu!

tongucyumruk

Sanıyorum hepimiz CAPTCHA denen şeyi ve ne kadar sinir bozucu olduğunu biliriz. OCR sistemlerinin tanıyamaması için iyice bozulan bu yazılar aynı zamanda bizim gözlerimizi de olağan dışı şekillere sokarlar. Ne varki bir yandan da spam-bot olarak anılan ve başta forumlar olmak üzere birçok yerde otomatize edilmiş halde reklam yayınlayan yazılımlardan korunmak için de en başarılı yol CAPTCHA kullanmak. Yani, en azından şu ana kadar öyleydi...

Darik´s Boot and Nuke İle Makinanızı Uçurun!

FZ

Şirketinizde 50 tane eski makina var ve bunları satışa çıkardınız. Gayet güzel. Peki ya personelinizin kullanmış olduğu bu makinalardaki eski bilgiler? Formatlamış olmanız yeterli mi? Internet'te küçük bir araştırma size birkaç kez formatlanmış ve farklı işletim sistemleri yüklenmiş makinalardan bile pek çok verinin sökülüp alınabileceğini gösterecektir. Daha birkaç ay önce bir açık artırmada elden çıkarılan pek çok bilgisayardaki eski bilgiler, parolalar, kişisel ve özel bilgilerin kolayca elde edilebileceği görülmüştü. GNU/Linux camiası bunun için pratik ve hızlı bir çözüm geliştirmiş: DBAN

SHA-1 kırıldı!

abakana

Bruce Schneier blogunda Şandung Üniversitesinden bir grup aratırmacının SHA- 1 algoritmasını kırdığını belirtti.

SHA-0 ve SHA-1'e yönelik daha önceki kırma girişimlerinden üretilen yeni metod büyük bir kripto-analitik sonuç olarak belirtilmiş.