Zoom yazılımının geçtiğimiz birkaç hafta içinde yoğun ilgi gördüğü, görülen ilgiyi firmanın yöneticilerinin de beklenmediği söyleniyor. Çevrimiçi görüşmelerimiz sıklaşmadan önce yanlışlıkla benzer adlı bir firmanın hisselerini alan kişilerin bu şirketi habersizce bir hafta içinde dört kat değerlendirdiğini duyuyoruz. Bir yandan yazılımın güvenliği, kötüye kullanımı ve mahremiyete etkileri haberlere konu oluyor. Buna koşut olarak, İstanbul Teknik Üniversitesinde bu yazılımın uzaktan eğitim için kullanılmaya başlanmasından hemen sonra İTÜ Bilgi İşlem Daire Başkanlığı (BİDB) bir anketle öğrencilerimizin ve öğretim elemanlarımızın görüşlerini topladı. Görüşlerde kaygılar göze batıyordu. Bu kaygılara neden olan sorunları ve sorunlara nasıl yaklaşmamız gerektiğini ele almanın yerinde olacağını düşündük.

Pek çok defa tekrarlamamak için bir kere baştan söylemek yerinde olabilir: Bir yazılımın yaptıkları yapması gerekenler olmayabilir. Bu, yazılım üretiminde tüm dünyada yaşanan nitelikli mühendislerin eksikliğinden kaynaklanan son derece yaygın bir sorun. Bu sorun mühendislik yaklaşımında temel bir ayrımı gerektiriyor. Örnek vermek gerekirse, bir uçak tasarlarsak düşmemesi için gerekenleri önceliklendiriyoruz. Buna karşılık, bir yazılımın yapmaması gerekenleri --küresel kaynak darlığından-- düşünmüyor, yazılım yapmak istediğimizi karşıladığında bunu yeterli sayıyoruz. Benzetmemize devam edersek, bugün kullandığımız pek çok yazılım, konforlu bir yolcu uçağı olmaktan çok ``havada yol alma'' işlevini yerine getiren mancınıklar olarak üretilmiş durumda. Ortaya konan her yeni teknolojide olduğu gibi, on yıllar içinde ve büyük olasılıkla ekonomik gerekler doğrultusunda, yazılım alanındaki yeterliğin ve ekollerin oluşmasını beklemeliyiz.

Çevrimiçi görüşme ya da toplantı yapmak birkaç hafta öncesine dek sıradışı durumlarda ofis dışında bulunan kişileri ofise ışınlamak için kullanılan, bilinen ancak görece nadir bir teknolojiydi. Nadir kullanılan teknoloji, bekleneceği üzere ekonomik değerden ve ilgiden yoksundu. Yaklaşık yirmi yıl önce bilgisayar ağları üzerinden anlık görüntü aktarımı düşüncesi filizlenmişti. Bunu gerçekleştirmek üzere ilk haberleşme protokollerinin ve uygulamaların ortaya çıkışı o yıllara denk geliyor. İnternetin insanlar arasında yaygınlaşması ve ağ kapasitesinin artmasıyla yaklaşık on yıl önce herkesin erişebileceği yetkinlikte görüntülü görüşme olanağı doğmuştu. Geçtiğimiz on yılda çok kullanıcılı görüşme olanaklarının, görüntü kalitesinin, kullanım kolaylığının adım adım artışını izleyerek birkaç hafta önceki bilinen ancak nadir kullanılan teknoloji konumuna ulaştık. Bundan sonraki gelişmelerse herkesin kafasını karıştıracak kadar hızlı oldu.

Birkaç hafta öncesine dek birkaç farklı konumda ofisi olan ya da çalışanları çoğunlukla ofiste bulunmayan firmalarda ihtiyaten bulundurulan bir teknoloji herkesin hayatına girdi. Adını saymayacağım, hemen herkesin bildiği pek çok yazılımın ve donanımın uzaktan görüntülü konuşma deneyimi sağladığını biliyorduk. Ancak, bunların birini diğerinden üstün kılan bir özellik göze çarpmıyordu. Çoğu zaman altyapıyı satın alan kullanıcının tercihleri, ürün fiyatı belirleyici oluyordu. Büyük küçük üreticilerin tüm bu ürünleri birkaç hafta içinde yaygın kullanımla test edilmeye başlandı. Ürünlerin bir bölümü herkesin ulaşabileceği biçimde tasarlanmamıştı, tek bir alanda kullanıcı yönetimi ve lisans gerektiriyordu. Bir bölümü, harici donanımla daha güzel çalışıyordu. Bir bölümü de son kullanıcının üretici firmaya kaydını gerektiriyordu. Görünüşe göre, tüm bunların arasından lisanslı ve lisanssız kullanımı bir arada sunabilen, kullanımı kolay, özel donanım gerektirmeyen (ve belki lisans ücretleri karşılanabilir olan) Zoom en uygun seçenek olarak çıktı. Bu yazılımın kısa sürede tüm dünyada yaygınlaşmasının görüntülü toplantı ekosisteminde bir doğal seçilim olduğu düşünülmelidir.

Zoom yazılımının güvenliğine odaklanacak olursak henüz ayrıntıya girmeden yukarıda sayılanlara dayanarak söyleyebileceklerimiz vardır. Öncelikle, uzun yıllar boyu ilgi görmemiş bir alanda son derece yetkin bir ürünle karşılaşmayacağımız neredeyse kesindir. Teknolojik birikim ortada da olsa bugün eline VHS kaset tutuşturduğunuz birinin o anda video izlemesini beklemezsiniz. Ancak, bir toparlanmanın ardından eskisinden daha kaliteli sonuçlar alacağınız kesin gibidir. Bundan başka, mancınık örneğinde anlattığımız gibi, yazılımın işlevini yerine getireceğini ancak bundan başka nelere yol açacağını bilemeyeceğimizi söyleyebiliriz. Aslına bakılırsa, birkaç istisna dışında, bugün önümüze konan her yazılımın yapabileceklerinin nereye varacağı meçhuldür. Bu, güvenliği önceliklendirdiğimizde yapılması gerekenin tersi yapıldığı için ortaya çıkmaktadır. İnsan kaynağı eksiğinden ötürü tüm dünyada yazılımın yapacakları sınırlandırılacağına yapabildiklerinin ne olduğuna odaklanılmıştır. Sadece bekleneni yapacağı kanıtlanabilen yazılımlar yerine, bekleneni yaptığını gösteren yazılımlar üretilir, satılır, kullanılır. Bu nedenle, hemen her gün bilgisayarınızdaki ya da cep telefonunuzdaki işletim sisteminiz ve yazılımlarınız güncellenir. Güncelleme, çoğu zaman yapmaması gerekeni yapan yazılımların sınırlandırılmasıdır.

Zoom konusunda üniversitemizin anketine yansıyan kaygıların ilki yazılımın ücreti. Bir yanı, yazılımın dışarıdan alınmasına ilişkin genel bir güven eksikliği. Bir bölümü, yaşanan güvenlik sorunlarının örnekleri. Bir başkası, yazılımın kullanımının getirebileceği mahremiyet kaygıları. Bundan başka, kötüye kullanımla ilgili kaygılar da olduğunu gördük. Genelleştirdiğimiz bu kümelere ilişkin, nesnel yanıtlarla konuyu herkesin öğrenmesini ve bundan sonrasını tartışmasını istiyoruz.

Yazılımın ücretine ilişkin kaygı Türkiye'de yazılımı farkında olmadan satın alan kişilerin sayısının çok olmasıyla ortaya çıktı. İTÜ ise firmayla yaptığı anlaşma uyarınca öğretim üyeleri için gereken tüm özellikleri barındıran hesaplar açarak mevcut İTÜ hesaplarıyla ilişkilendirdi. Öğrencilerin İTÜ e-posta adreslerini kullanarak açtıkları hesaplarla dersleri izlemesi mümkün. Hiçbir İTÜ kullanıcısının banka ya da kredi kartı bilgileri, kendileri ayrıca iletmedilerse, bir başka kuruma aktarılmış olamaz. Sonuçta, üniversite maaş hesapları dışında bu bilgilere sahip değildir. Bu konuyu bir an evvel kapatıp yazılımın güvenliğini etraflıca tartışmak yerinde olur.

Uzaktan görüşme yazılımının neden üniversite içinde üretilmediğiyle başlayalım. Birkaç basit yanıt ardı ardına sıralanabilir. Üniversitenin bu konuya ayırdığı bir kaynak ne finansal ne de insan gücü olarak yoktur, zaten üniversite üretimden değil eğitimden sorumludur. Yeterince kaynak ayrılmış olsa bile hafta mertebesindeki sürelerde muteber bir yazılımın ortaya konması olanak dışıdır. Olsa olsa legodan mancınıklar yapılabilir.

Ankete verilen yorumlardan anlaşıldığı kadarıyla kaygının kaynağı yukarıda saydığımız rasyonel nedenler hakkında değildir, yazılıma güvenmeyenler vardır. Yazılımın ne yaptığının bilinmemesi, dışarıdan bakıldığında bir kara kutu oluşundan kaynaklanıyor olmalı. Kaygı yerinde olsa da bugün kullandığımız hemen her gelişkin teknolojinin bir kullanıcının denetleyebildiği bir düzeneğin arkasında kara kutulardan oluştuğunu belirtmek gerekir. Bu, sadece yazılımsal ya da elektronik ürünlerde değil otomobillerde, kahve makinalarında ya da ambalajlı gıdalarda da böyle. Çoğu zaman kullandığımız teknolojinin ayrıntılarına uzağız. Bunun daha genel bir kaygı yaratmayacağını ve bilgisayarlara ya da yazılımlara yönelik kaygıyı azaltacağını umarak konuyu kapatalım.

Konuya ilgililer her gün Zoom yazılımının ondan fazla güvenlik zayıflığını duyuyor. Bunların bazıları kolayca saldırılabilecek türden çok riskli zayıflıklar. Çoğunluğuysa yapılmaması yeğlenen türden, belki bir gün saldırıya neden olabilecek, ancak riski düşük zayıflıklar. Mevcut durumu anlatmak için ilgili sayıları derleyelim. Yazılımın kaynak kodu elimizde olmasa da kısa süre önce dağıtımda bulunan bir örneğini alıp tersine mühendislikle incelediğimizde 6769 noktada kullanılması sakınca doğurabilecek yazılım parçaları kullanıldığını görüyoruz. Bunca zayıflığın bugün yol açtığı açık sayısıysa 0 (sıfır). Bu, konuya yakın olmayan kişilere şaşırtıcı gelebilir. Bu kadar çok sayıda zayıflığın bir açık oluşturabileceğini düşünebilirler. Ancak, saldırganların çoğu zaman fırsatçı olduğu unutulmamalı. Pek çok saldırgan nadir kullanılan bu uygulamanın zayıflıklarına yönelik açıklar oluşturmaktansa uzak bir ülkedeki emekli prensin mirası konusunda e-postalar göndermeyi daha kârlı buldular. Elbette, ilk bakışta gördüğümüz bu zayıflıkların bir an evvel düzeltilmesi şu an oluşan fırsatların boşa çıkmasına neden olacaktır. Kısacası, saldırganlar ile Zoom mühendisleri arasında bir yarış söz konusudur ve bu yarışı firmanın kazanacağı söylenebilir. Bunu böylesi bir kesinlikle yazmak için Zoom ile geçirdiğimiz birkaç gündeki tepkilerini izlemek yeterli oldu. Firma, pek çok başka firmanın yapacağının aksine hatalarını açıklıkla kabullenip düzeltmek üzere uzmanlardan yardım istedi. Bağımsız uzmanların yazılımı incelemesi için çağrıda bulundu. Ayrıca, açıkların bildirilmesi için güvenlik uzmanı kuruluşlarla ilişkiye geçerek hata yakalama etkinlikleri düzenlemeye başladı. Pek çok saygı duyulan firmanın, hatta adı büyük finans kuruluşlarının, açıklarını hiç duymadığımız günlerde bu yaklaşım oldukça önemli.

Mahremiyet kaygıları belki en sık duyulanlar. Bu kaygıların başta geleni birkaç gün öncesine dek bir ağ sayfasının yönlendirmesiyle kameranız ve mikrofonunuz açık olarak kendinizi bir toplantının ortasında bulabilmenizdi. Bu açık 6 Nisan'dan önce kapatılmıştı ve her durumda kullanıcı iznini soran bir ekranla karşılaşıyordunuz. Kişilerin ses ve görüntülerinin paylaşılması ve saklanması ise çok tartışılan bir konu. Zoom yazılımının gizliliğini daha sonra biraz daha ayrıntılı yazacağız, ancak bu yazılımda uçtan uca şifreleme ve grup içinde gizlilik, yazılımın tasarımı gereği, beklenmemeli. Teknik olarak, bu yazılım aracılığıyla yapılan bir toplantıdaki tüm içeriğin toplantı sırasında da, toplantı sonrasında da kamusal alanda bulunduğunu düşünmek en doğrusudur. Bu, kimileri için önemli bir sorun olabilir. Ancak, olağan yaşamda kamusal alanda bulunan derslerin sızması caddeleri ve binaları kameralarla dolu bir dünyada kabul edilmeyecek bir risk olmamalı. İnsanların bir arada bulunduğu bir sınıfta yapılan bir dersin kaydedilmesi ve saklanması aynı derecede olası. Bir adım öteye gidersek, denetimi daha kolay bir ortamda, çoğu zaman katılımcıların mikrofonlarının ve kameralarının kapalı olduğu, geçici süreyle saklanan kayıtlar daha az riskli bile olabilir.

Son olarak yazılımın kötüye kullanımından söz edilebilir. Geçtiğimiz günlerde sık kullanılan ve 6 Nisan'dan hemen önce bir yamayla düzeltilen senaryolardan biri, sohbet ekranına yazılan bazı linklerin katılımcıların bilgisayarlarındaki dosyalarla ilişkilendirilmesiydi. Bu açık Zoom tarafından sohbet ekranına gönderilen tüm içerik asallaştırılarak (canonicalization) kolaylıkla engellenebilirdi. Bir yandan firmanın güvenlik konusundaki acemiliğini gösteren bu örnek kısa zamanda düzeltilerek firmanın uzman yorumlarına değer verdiğini de gösterdi. Bunun ötesinde, pek çok görsel/işitsel ögenin ya da dosyanın paylaşılabildiği bir yazılımda kötüye kullanımın tam anlamıyla engellenmesinin olanaklı olmadığını söylemeliyiz. Zoom ile yapılan toplantılar sırasında da, katılımcılar, uzak bir akrabadan gelen miras bildirimi e-postalarını önemsemedikleri gibi, gereğince dikkatli olmalıdır.

Güvende kalmak için neler yapılması gerektiği birlikte düşünülerek bulunabilir. Yazıda sözü geçen yedi bine yakın zayıflığın giderilmesi henüz tamamlanmadıysa birkaç gün içinde tamamlanacak. Çünkü, bu zayıflıkların giderilmesi yazılımın daha uygun araçlarla hazırlanmasıyla (güncel bir derleyici kullanılmasıyla) büyük oranda çözülecektir. Bu durumda, fırsat gözeten saldırganlardan hızlı davranmak yani firmanın sunduğu güncellenmiş yazılımı yüklemek önemlidir. Bunun dışında, anlatılan hata yakalama ve düzeltme etkinliklerinin pek çoğu yazılımın süregiden güncelleştirmeleri ile çözülecektir. Zoom yazılımının kapsamının dışında da güncelleştirmelere dikkat etmek çoğu zaman bir kullanıcının edinebileceği en iyi alışkanlıklardandır. Öğrencilerimiz ve öğretim elemanlarımız için çoğunlukla geçerli olmasa da; yaklaşık bir ay süresince ağ yöneticisi bilgisayara bağlanamayan, taşımayıp zoraki evde tuttuğumuz taşınabilir bilgisayarlar işletim sistemi lisanslarının artık geçerli olmadığını düşünerek güncellemeleri yüklemeyebilirler. Bilinen açıkların bu sırada kullanılması olasılığı düşünülerek kullanıcıların önlem alması yerinde olur. Her zaman ilk sıralarda söylenen ve yinelemekte zarar olmayan bir başka önlem (yazılım olan) virüslerden korunmaktır. Bu, sık kullanılan bilindik saldırılardan sakınmanın en kolay yollarından biridir. Kullanıcıların uzaktan iletişimi kullandığı hemen her ortamda dikkatli olması ve hızlı kararlardan kaçınması bunu kullanan fırsatçı dolandırıcılara karşı uygun bir önlemdir. Ekonomik ve pratik zorluklar bir yana bırakılacak olursa kişisel kullanım ve profesyonel kullanım için birden fazla cihaz kullanmak kişisel verilerin çalınmasına karşı en etkin önlemdir. Alışkanlık kazanılması gereken bir başka konu, önemli görülen verilerin --mümkünse birden çok kere-- üçüncü kişilerin erişemeyeceği alanlarda yedeklenmesidir.

İlgilisi için; bir süre daha kullanmayı sürdüreceğimiz Zoom yazılımının gizlilik sağlamak için kullandığı sistem mimarisini incelemek esin verici olabilir. Yazılımın üniversite gereksinimleri düşünülerek hazırlanmadığı ancak mevcut koşullar altında üniversite gereksinimlerine en uygun yazılım olarak görüldüğü ortadadır. Yazılımın tasarım ilkelerinden bazıları güvenlik ve mahremiyet açısından tartışmaya yer bırakmayacak biçimde, aşağıda sayacağımız sorunları yaratmaktadır. Bu sorunlar üniversite tarafından ödünleştirilerek kullanışlılık açısından yazılımın üniversite gereksinimini karşılayacağı değerlendirilmiş olsa gerektir.

Zoom yazılımı hakkında biraz spekülasyon yapılarak tasarımcıların amacının ne olduğu daha rahat kavranabilir. Olasılıkla, kullanışlılığın artması için özel bir donanıma, kullanıcı kaydına ya da yazılıma bağlı kalınmadan uzaktan toplantı yapmaya olanak sunulması düşünülmüştür. Bunlar, birkaç hafta öncesine kadar bir standardı oluşmamış çevrimiçi toplantı ekosisteminde gereken özelliklerdir.

Bugünkü üniversite kullanıcılarının kaygısı ise bu kapsamın oldukça dışındadır. Kullanıcıların bir araya geldiği bir alanda mahremiyetten söz etmek öncelikle toplantıya katılan herkesin güvenilir kişiler olmasıyla sağlanacaktır. Üniversitedeki her kullanıcının bunu sağladığı varsayımıyla bir sonraki adımda toplantılara derse katılan eğitmenler ve öğrenciler dışında kimsenin katılmadığından emin olmak gerekir. Bu, birkaç nedenle olanaklı değildir. Birincisi, toplantıları tanımlayan oturum numaralarını bir saldırgan pek çok kaynaktan elde edebilir ya da deneyerek bulabilir. İTÜ BİDB, oturum numaralarının dağıtımını daha güvenli bir alan olan Ninova üzerinden yaparak bunun engellenmesine çalışmaktadır. Buna karşın, sızmış bir numaranın kullanımını engellemek için oturuma katılanlardan Zoom tarafından da bilinen bir şifre istenebilir. Zoom sunucusu şifrenin doğruluğunu denetledikten sonra kullanıcının toplantıya katılmasına izin verir. Bu yaklaşım hem kötü niyetli birinin toplantıya defalarca kez katılarak sistemi zorlamasını engeller hem de katılımcıların doğru kişiler olduğu konusunda bir dayanak daha sunar. Tüm bunlara karşın, mahremiyetin sağlanamamasındaki teknik olanaksızlığın kaynağı, oturum numarasının ve katılım şifresinin denetimi işlerini Zoom sunucusunun yapmasıdır. Tanım gereği, Zoom sunucusu toplantı katılımcısı değildir ancak elindeki bilgileri kullanarak toplantıya katılması olanaklıdır. Toplantı kayıtlarının Zoom sunucusunda saklandığı düşünüldüğünde bu durum tanımda hatalı olsa da uygulamada büyük bir sorun olmamalıdır.

Güvenlik açısından ilgi çekici bir başka sorun, toplantıların gizliliği üzerinedir. Tüm kullanıcıların güvenilir olduğu, dolayısıyla mahremiyetin sağlandığı bir toplantı sürerken, bilgisayar ağını dinleyen birinin toplantı içeriğini duyması gizliliğe aykırıdır. Var olan tasarımda tüm toplantı içeriği Zoom sunucusu tarafından belirlenen bir oturum anahtarıyla (ve oldukça kötü bir yordamla) şifrelenmektedir. Şifreleme yordamının önümüzdeki günlerde hızlıca değiştirilmesi beklenmelidir. Ancak, şifreleme için kullanılacak anahtarın Zoom tarafından oluşturulması ve dağıtılması, mevcut tasarım ve kullanım senaryoları korunacaksa, süregidecek gibi görünmektedir. Şifreleme anahtarının o sırada toplantıda bulunan katılımcılar tarafından etkin olarak oluşturulacağı, kullanıcılar toplantıdan ayrıldıkça yenileneceği bir anahtar dağıtım yöntemi uygulamak hem --toplantıya katılan kişi sayısı göz önüne alınırsa-- ölçeklenebilir hem de bilinen tekniklerle kolayca yapılabilir değildir. Bunu sağlayabilen bazı çevrimiçi toplantı altyapıları bir donanım kullanarak kamera ve mikrofonla donatılmış toplantı odaları arasında görüşmeye olanak verir. Herhangi özel bir donanımın kullanılmadığı, yüzlerce kişinin katıldığı, bağımsız kullanıcılar arasında etkin anahtar yönetimi yapan bir yöntem, bugünkü bilgimiz dahilinde yoktur. Buna en çok yaklaşan altyapı, Signal protokolünün sağladığı grup sohbetleridir ve gruplardaki kullanıcı sayısı birkaç kişiyi geçtiğinde sohbetin sürebilmesi için güvenlik ayarları basitleştirilmektedir.

Bir önceki paragrafta sözünü ettiğimiz ortak anahtar oluşturma yöntemi akılalmaz bir büyüyle bir anda ortaya konsa bile çözülmesi zor olan bir sorun daha vardır. Toplantıya katılan kullanıcıların her birinin sandığımız kullanıcı olduğunu kanıtlamak gerekecektir. Bu kanıtın yapılması işine asıllama (authentication) adı verilir. Asıllama, basitçe, tarafların daha önceden bildikleri gizli bir değeri birbirlerine yeniden göstermesiyle sağlanır. En sık kullanılan durumda, bu gizli değer kullanıcının şifresidir. Asıllama sadece bu değerin yeniden gösterilebildiğini kanıtladığı için kimliğin doğrulanması (identification) adımıyla arasında her zaman bir boşluk olmak zorundadır. Kimlik doğrulaması ancak bir bireyin (nüfusun envanterini tutan) bir otoriteye başvurarak yapabileceği çevrimdışı bir adım olmak zorundadır. Sıradan bir Zoom kullanıcısının kimlik doğrulama adımını geçmiş olması beklenmez. Herhangi kişiler herhangi başka kişiler olduklarını belirterek kullanıcı kaydı oluşturabilirler. Bu konuda Zoom yazılımına İTÜ BİDB'nin yaptığı yerli yerinde bir ekleme işleri kolaylaştırır. Halihazırda kimlik doğrulaması yapıldıktan sonra oluşturulmuş İTÜ hesaplarıyla Zoom sunucularına asıllama yapılması sağlanmıştır. Böylece, olası çevrimiçi kılık değiştirmelerin önüne geçilmektedir.