Güvenli Mesajlaşma Uygulaması Seçmek İçin 12 Soru

Bir mesajlaşma uygulaması kilit simgesi gösterebilir, kendini özel olarak tanıtabilir ve yine de önemli soruları yanıtsız bırakabilir.

Hangi görüşmeler şifreli? Ekler korunuyor mu? Anahtarlar nerede saklanıyor? Sunucu hangi bilgileri tutuyor? Cihazınızı kaybederseniz ne oluyor? Şifreleme anahtarları haber verilmeden değişebiliyor mu?

Bu ayrıntılar, hem yararlı korumaları hem de eksik kanıtları belirlemenize yardımcı olur. Hiçbir kontrol listesi tek başına bir ürünün güvenli olduğunu belgelemez.

Bu rehber, kişisel görüşmelerinizi, gizli dosyalarınızı veya hassas işlerinizi bir şifreli mesajlaşma uygulamasına emanet etmeden önce sorabileceğiniz 12 pratik soru sunar.

Güvenli mesajlaşma uygulaması nedir?

Güvenli mesajlaşma uygulaması; görüşmeleri yetkisiz erişime, dinlemeye, hesabın ele geçirilmesine ve istenmeyen veri açığa çıkmasına karşı korumak için tasarlanmış bir iletişim hizmetidir.

Ciddi bir özel mesajlaşma uygulaması en azından güvenli ağ taşıması, güçlü hesap kimlik doğrulaması, dikkatli erişim denetimleri ve açık veri işleme uygulamaları kullanmalıdır.

Yüksek gizlilik gerektiren görüşmeler için uçtan uca şifreleme de sağlamalıdır.

Uçtan uca şifreleme, yani E2EE, kapsadığı içeriği göndericinin cihazında şifreleyip yetkili alıcı cihazında çözerek korur. Hizmet, okunabilir mesaj gövdesine ihtiyaç duymadan şifreli veriyi iletebilir.

Ancak şifreleme, mesajlaşma güvenliğinin yalnızca bir parçasıdır.

Tam bir değerlendirmede şunlar da ele alınmalıdır:

• Hangi görüşmelerin şifrelendiği
• Fotoğraf ve dosyaların aynı korumayı alıp almadığı
• Özel anahtarların nerede saklandığı
• Kişilerin anahtarları nasıl doğrulayabildiği
• Hangi üstverilerin görünür kaldığı
• Hesap ve anahtar kurtarmanın nasıl çalıştığı
• Cihaz ele geçirildiğinde ne olduğu
• Hizmetin sınırlarını nasıl belgelediği

Daha ayrıntılı bir giriş için uçtan uca şifreleme rehberini okuyun.

“Şifreli” sözcüğü neden yeterli değildir?

Modern mesajlaşma hizmetlerinin neredeyse tamamı ağ trafiğini HTTPS, TLS veya başka bir korumalı taşıma yöntemiyle şifreler.

Bu koruma önemlidir, ancak görüşmenin mutlaka uçtan uca şifreli olduğu anlamına gelmez.

Taşıma şifrelemesinde veri, cihazınızla hizmet arasında ilerlerken korunur. Hizmet, içeriği başka bir korumalı bağlantıyla iletmeden önce okunabilir biçimde alabilir.

E2EE'de ise kapsanan mesaj içeriği, mesajlaşma hizmetine ulaşmadan önce katılımcılar için şifrelenir.

Bu fark, mesaj gövdesine teknik olarak kimin erişebileceğini etkiler. Genel bir “şifreli” etiketini kabul etmek yerine kesin sorular sormanızın nedeni de budur.

İddia	Sorulması gereken soru
“Sohbetleriniz şifreli”	Yalnızca iletim sırasında mı, yoksa uçtan uca mı?
“Verileriniz güvende”	Hangi veriler, hangi tehditlere karşı ve ne kadar süreyle?
“Mesajlarınızı okuyamıyoruz”	Bu ifade bire bir sohbetleri, grupları, medyayı, aramaları ve yedekleri kapsıyor mu?
“Tasarım gereği özel”	Hangi üstveriler ve işletim bilgileri erişilebilir kalıyor?
“Güvenli kurtarma”	Şifreleme anahtarlarını kim geri getirebilir ve hangi gizli bilgi gerekir?

1. Hangi görüşmeler uçtan uca şifreli?

Tek bir şifreleme açıklamasının uygulamanın her bölümü için geçerli olduğunu varsaymayın.

Bir mesajlaşma hizmeti şu alanlarda farklı korumalar sağlayabilir:

• Bire bir görüşmeler
• Özel gruplar
• Herkese açık gruplar
• Yayın kanalları
• Sesli ve görüntülü aramalar
• Hikâyeler veya geçici gönderiler
• Botlar ve otomatik hesaplar
• Eşitlenen görüşme geçmişi

Sağlayıcıdan koruma sınırını açıkça belirtmesini isteyin.

Güçlü bir yanıt şöyle olabilir:

Doğrudan mesaj gövdeleri ve medya, katılımcı cihazlarda şifrelenir. Uyumlu özel gruplar LGS1 ile uçtan uca şifrelidir; üyelik değiştiğinde gönderici anahtarları otomatik olarak yenilenir. Kanallar, sunucunun okuyabildiği ayrı bir mimari kullanır ve E2EE olarak tanımlanmaz.

Zayıf bir yanıt ise şöyle olabilir:

İletişiminiz askerî düzeyde şifrelemeyle korunur.

İlk yanıt, değerlendirebileceğiniz bilgi verir. İkincisi, korunan içeriği veya tehdit modelini tanımlamadan etkileyici sözcükler kullanır.

2. Fotoğraflar, videolar ve ekler de şifreleniyor mu?

Bir uygulama metni şifrelerken yüklenen medyayı farklı bir sistem üzerinden işleyebilir.

Bu önemli bir soruyu doğurur: Fotoğraf, yüklenmeden önce istemcide şifreleniyor mu, yoksa yalnızca sunucu izinleri ve taşıma şifrelemesiyle mi korunuyor?

Şunları sorun:

• Fotoğraflar ve videolar
• Belgeler
• Sesli mesajlar
• Bağlantı önizlemeleri
• Küçük resimler
• Geçici yükleme dosyaları
• Önbelleğe alınan medya
• İndirme yetkilendirmesi

Medya koruması, “mesajlar” hakkındaki geniş bir ifadenin içine saklanmak yerine ayrı açıklanmalıdır.

Şifreli baytlara erişim ile şifre çözme anahtarına erişimi ayrı ayrı sorun. Bazı tasarımlar, şifreli ekleri daha az kısıtlı depolama üzerinden dağıtır; bu otomatik olarak açık metin sızıntısı değildir. Kritik soru, yetkisiz bir tarafın okunabilir medyayı veya anahtarını elde edip edemediği ve depolama yolunun hangi üstverileri açığa çıkardığıdır.

3. Şifreleme anahtarları nerede oluşturuluyor ve saklanıyor?

Şifreleme, anahtarların yönetimi kadar güvenilirdir.

İstemci tarafı E2EE'de özel anahtar malzemesi katılımcı cihazların kontrolünde kalmalıdır. Kişilerin şifreli iletişim kurabilmesi için açık anahtarlar paylaşılabilir; özel anahtarların ise daha güçlü korunması gerekir.

Şu sorulara açık yanıtlar arayın:

• Özel anahtar cihazda mı oluşturuluyor?
• Hiç şifrelenmeden yükleniyor mu?
• Sağlayıcı onu türetebilir veya değiştirebilir mi?
• Giriş yapmış başka bir cihaz onu otomatik olarak alabilir mi?
• Yerel anahtar depolaması korunuyor mu?
• Anahtar sıfırlamasından sonra ne oluyor?
• Uygulamayı yeniden kurmak yeni bir kimlik anahtarı oluşturuyor mu?

Belgelerin her uygulama ayrıntısını açıklaması gerekmez. Ancak özel anahtarların kimin kontrolünde olduğunu ve yaşam döngüsünü anlatmalıdır.

4. Kişiler birbirlerinin anahtarlarını doğrulayabiliyor mu?

Uçtan uca şifreleme, amaçlanan kişiler arasındaki görüşmeyi ancak anahtarlar o kişilere ait olduğunda korur.

Birçok güvenli mesajlaşma sistemi, açık anahtarı parmak izi, güvenlik numarası, QR kodu veya başka bir doğrulama değeriyle temsil eder.

İki kişi bu değeri şu tür güvenilir yollarla karşılaştırabilir:

• Yüz yüze görüşme
• Doğrulanmış sesli arama
• Önceden kimliği doğrulanmış hesap
• Güvenilir şirket rehberi

Anahtar doğrulaması, beklenen anahtarların kullanıldığına dair ek güven sağlar; tek başına kişinin kimliğinin kanıtı değildir. Bazı ürünler, Signal'ın otomatik doğrulaması gibi anahtar şeffaflığı kontrolleri de sunar. Her üründe yalnızca elle doğrulama istemek yerine desteklenen hesap ve sürüm koşullarını kontrol edin.

Parmak izi değiştiğinde ne olduğunu da sorun.

Anahtar değişikliğinin sıfırlama, cihaz değiştirme veya kurtarma işlemi gibi masum bir açıklaması olabilir. Ancak değişiklik görünür olmalıdır. Sessiz değiştirme, beklenmedik kimlik anahtarı değişikliklerini fark etmeyi zorlaştırır.

5. Hizmet hangi üstverileri saklıyor?

Mesaj içeriği ve mesaj üstverileri ayrı kategorilerdir.

Hizmet bir E2EE mesajının gövdesini okuyamasa da görüşmeyi yönlendirmek, eşitlemek ve görüntülemek için gerekli bilgileri işlemeye devam edebilir.

Sisteme bağlı olarak bunlar şunları içerebilir:

• Gönderici ve alıcı hesap tanımlayıcıları
• Görüşme üyeliği
• Mesaj zaman damgaları
• Teslim ve okundu bilgileri
• Mesaj boyutu
• Tepki ve düzenleme olayları
• Cihaz oturumları
• Eşitleme imleçleri
• Açık anahtar malzemesi
• Anlık bildirim belirteçleri
• Kötüye kullanımı önleme ve güvenlik kayıtları

İşletim üstverilerinin bulunması, hizmeti otomatik olarak güvensiz yapmaz.

Önemli sorular şunlardır:

• Ne toplanıyor?
• Neden gerekli?
• Ne kadar süre saklanıyor?
• Kim erişebiliyor?
• Kullanıcı dışa aktarabiliyor veya silebiliyor mu?
• Reklam veya ilgisiz profil oluşturma amacıyla kullanılıyor mu?

Sağlayıcı, neyi üstveri saydığını tanımlamadan “hiç üstveri saklamadığını” söylüyorsa temkinli olun.

6. Hesabınızın kimliği nasıl doğrulanıyor?

Güçlü mesaj şifrelemesi, zayıf hesap güvenliğini telafi etmez.

Hesabı ele geçiren saldırgan, kullanıcıyı taklit edebilir, yeni anahtar kaydedebilir, sunucunun okuyabildiği içeriğe erişebilir veya kurtarma sürecine müdahale edebilir.

Hizmetin şu korumaları sunup sunmadığını değerlendirin:

• Güvenli parola işleme
• İstek hızı sınırlandırması
• Oturum erişimini iptal etme
• Açık cihaz veya oturum yönetimi
• Kimlik bilgilerinin yeniden oynatılmasına karşı koruma
• Güvenli parola sıfırlama prosedürleri
• Uygun durumlarda çok faktörlü kimlik doğrulama
• Önemli hesap değişiklikleri için bildirimler

Hesap kimlik doğrulamasını mesaj şifrelemesinden de ayırın.

Giriş yapmak, birinin hesabın giriş bilgisine sahip olduğunu gösterir. Cihazın asıl özel şifreleme anahtarına sahip olduğunu mutlaka göstermez.

7. Şifreli kurtarma nasıl çalışıyor?

Kurtarma, özel mesajlaşmadaki en zor dengelerden birini oluşturur.

Kullanıcıların cihaz değiştirdikten sonra görüşme geçmişlerine erişmek istemesi doğaldır. Ancak sağlayıcı tüm özel anahtarları sessizce geri getirebiliyorsa kullanıcıların beklediğinden daha fazla şifre çözme yeteneğine sahip olabilir.

Korumalı bir kurtarma tasarımı, yedeği istemcide şifreleyip kurtarma sırrı, geçiş anahtarı veya güvenilir cihaz onayı isteyebilir. Önce yedeğin içeriğini belirleyin: hesap kimliği, kişiler ve mesaj geçmişi farklı şeylerdir.

Şunları sorun:

• Yedek yüklenmeden önce şifreleniyor mu?
• Hesap parolası geri yüklemek için yeterli mi?
• Sağlayıcı kurtarma sırrını biliyor mu?
• Destek personeli bu sırrı sıfırlayabiliyor mu?
• Sır kaybolursa ne oluyor?
• Geri yükleme aynı açık anahtar parmak izini koruyor mu?
• Kurtarma devre dışı bırakılabiliyor mu?

Güvenilir bir yanıt rahatsız edici bir sınır içerebilir: Hem özel anahtarın hem kurtarma sırrının kaybı, eski şifreli içeriği kurtarılamaz hâle getirebilir.

Bu sonuç, ürün kusuru yerine gerçek bir güvenlik sınırının göstergesi olabilir.

8. Bağlantınız kesildiğinde ne oluyor?

Güvenlik ve güvenilir çalışma birlikte sağlanmalıdır.

Mobil bağlantılar kesilir. Tarayıcılar uykuya geçer. Cihazlar ağ değiştirir. İyi tasarlanmış bir mesajlaşma uygulaması, geçici bağlantı kesilmelerini mesajları çoğaltmadan, sıralamayı bozmadan veya şifrelemeyi zayıflatmadan yönetmelidir.

Şunları yapabilen bir çevrimdışı çalışma ve eşitleme modeli arayın:

1. Giden işlemi yerel olarak hazırlamak.
2. Ona sabit bir tanımlayıcı atamak.
3. Bağlantı geldiğinde güvenli biçimde yeniden denemek.
4. Yinelenen gönderimleri önlemek.
5. Sunucunun alındı onayını yerel durumla uzlaştırmak.
6. Çevrimdışıyken kaçırılan değişiklikleri almak.

Mesaj beklerken ağda taşınacak verinin ve yerel giden kutusunun nasıl korunduğunu ayrı ayrı sorun. E2EE, yerel kuyruğun depolanırken şifreli olduğunu otomatik olarak kanıtlamaz.

Ağ üzerinden yeniden deneme, normalde uçtan uca şifreli olan mesajın açık metin kopyasını iletim hizmetine vermeyi gerektirmemelidir.

9. Yüklemeler ve saklanan nesneler için erişim nasıl yetkilendiriliyor?

Medya güvenliği şifrelemeden fazlasını içerir.

Hizmet; profil resimlerini, mesaj eklerini, duvar kâğıtlarını, hikâyeleri, geçici yüklemeleri ve oluşturulan küçük resimleri işleyebilir. Her nesne bir erişim politikasına ihtiyaç duyar.

Uygulamanın şunları yapıp yapmadığını kontrol edin:

• Özel medyayı almak için kimlik doğrulaması istemek
• İstekte bulunan hesabın ilgili görüşmeye ait olduğunu doğrulamak
• Herkese açık varlıklarla özel mesaj nesnelerini ayırmak
• Bir mesaja bağlanmamış yüklemeleri temizlemek
• Süresi dolmuş geçici nesneleri kaldırmak
• Hesaplar arası önbellek sızıntısını önlemek
• Tahmin edilemez tanımlayıcılar kullanırken bunu tek başına yetkilendirme saymamak

Özel bir açık metin dosyası, yalnızca biri URL'sini tahmin ettiği için okunabilir hâle gelmemelidir. Şifreli nesnelerde anahtarların ve erişim yetkisi veren araçların nasıl dağıtılıp geri alındığını inceleyin. OWASP'ın yetkilendirme rehberi, statik kaynaklar dâhil erişim kararlarının tutarlı uygulanmasını önerir. Tahmin edilemez bir tanımlayıcı tek başına eksiksiz yetkilendirme politikası değildir.

10. Grup sohbetleri farklı mı korunuyor?

Grup şifrelemesi ve üyelik denetimleri, bire bir sohbet şifrelemesinden farklı sorular doğurur.

Üyelik değişiklikleri, birden fazla cihaz, mesaj geçmişi, yönetici rolleri, davetler, çıkarmalar ve anahtar yenileme ek tasarım gereksinimleri oluşturur.

Bazı hizmetler hem doğrudan sohbetlerde hem gruplarda E2EE sağlar. Bazıları ise E2EE'yi yalnızca doğrudan görüşmelerde kullanır; grupları TLS, kimliği doğrulanmış depolama ve sunucu tarafı erişim denetimleriyle korur.

İkinci model de anlamlı güvenlik sağlayabilir, ancak güven sınırı farklıdır.

Sunucunun grup içeriğini işleyip işleyemediğini ve şu durumlarda korumanın değişip değişmediğini sorun:

• Bir üye katıldığında
• Bir üye ayrıldığında
• Yönetici birini çıkardığında
• Mesaj düzenlendiğinde
• Geçmiş yeni bir cihaza eşitlendiğinde
• Gruba bot veya entegrasyon girdiğinde

Bir görüşme türündeki kilit simgesinin diğer tüm türlere otomatik olarak geçerli olduğunu varsaymayın.

11. Kullanıcı hangi gizlilik kontrollerine sahip?

Gizlilik, bilgi hizmete ulaştıktan sonraki kontrolle de ilgilidir.

Şu pratik hesap ve görüşme kontrollerini arayın:

• Hesap verilerini dışa aktarma
• Hesabı silme
• Oturum erişimini iptal etme
• Yerel veya eşitlenen geçmişi temizleme
• İzin verilen durumlarda gönderilmiş mesajları silme
• Okundu bilgilerini yönetme
• Profil görünürlüğünü kontrol etme
• İstenmeyen kişileri engelleme
• Bildirim önizlemelerini yönetme
• Anahtar yedeklerini kapatma veya silme

Sağlayıcı, silmenin yalnızca sizin kopyanızı mı, tüm katılımcıların kopyalarını mı, yoksa sunucu kaydını mı kaldırdığını açıklamalıdır.

Alıcı mesajı önceden indirmiş, kopyalamış, iletmiş veya fotoğraflamış olabilir. Hiçbir silme özelliği tüm uç cihazlardan silinmeyi garanti edemez.

12. Güvenlik iddiaları somut ve doğrulanabilir mi?

En güçlü güvenlik belgeleri sınırları tanımlar.

Şunlar hakkında somut açıklamalar arayın:

• Algoritmalar ve anahtar boyutları
• İstemci tarafı ile sunucu tarafı işlemler
• E2EE'nin kapsadığı görüşme türleri
• Medya şifrelemesi
• Saklanan bilgiler
• Kimlik doğrulama
• Kurtarma
• Anahtar değişiklikleri
• Erişim denetimleri
• Bilinen sınırlamalar
• Belgelerin en son güncellendiği tarih

Şu belirsiz ifadeleri temkinli değerlendirin:

• Kırılamaz şifreleme
• Mutlak gizlilik
• Askerî düzeyde güvenlik
• Tamamen anonim
• Sıfır üstveri
• Hacklenmesi imkânsız
• Gelecekteki tüm tehditlere dayanıklı şifreleme

Karmaşık bir iletişim sistemi yalnızca sloganlarla değerlendirilmemelidir.

Bağımsız denetimler, kamuya açık teknik belgeler, yeniden üretilebilir istemciler, uzman incelemeleri ve kapsamı net güvenlik raporları ek güvence sağlayabilir. Bunların sunduğu kanıt düzeyi aynı değildir; ancak dayanaksız üstünlük iddialarından daha yararlıdırlar.

Güvenli mesajlaşmada güçlü işaretler ve uyarı işaretleri

Güçlü işaret	Uyarı işareti
Sağlayıcı hangi görüşmelerin E2EE olduğunu belirtir	Her özellik yalnızca “şifreli” diye tanımlanır
Özel anahtarların kontrolü açıklanır	Anahtar yönetimi hiç ele alınmaz
Anahtar değişiklikleri görünürdür	Anahtarlar sessizce değişebilir
Kurtarma sınırları belgelenir	Destek, nasıl olduğunu açıklamadan her şeyi geri getirebilir
Üstveri kategorileri listelenir	Sağlayıcı tanım vermeden “sıfır üstveri” iddiasında bulunur
Medya koruması ayrı açıklanır	Yalnızca yazılı mesajlardan söz edilir
Grupların güven sınırı tanımlıdır	Doğrudan sohbet iddialarının grupları da kapsadığı ima edilir
Güvenlik sayfaları güncel uygulama ayrıntılarını içerir	Pazarlama dili teknik belgelerle çelişir
Sınırlamalar açıkça belirtilir	Hizmet mutlak veya kırılamaz koruma iddia eder

Kontrol listesini Livara'nın kamuya açık iddialarına uygulamak

Livara güvenlik sayfası, bağımsız sertifika değil ürün belgesidir. Güncel sınırları şu ayrımları yapar:

• Doğrudan mesajlar: LVR1, hibrit P-256 ve ML-KEM-768 anahtar anlaşması ile kapsanan içerik için kimlik doğrulamalı şifreleme kullanır.
• Uyumlu özel gruplar: LGS1 gönderici anahtarı koruması uygulanır. Üyelik ve roller, sunucunun yetkili olduğu ayrı bir sınırdır. Eski ve uyumsuz gruplara E2EE etiketi verilmemelidir.
• Herkese açık kanallar: İçerik sunucu tarafından okunabilir; E2EE değildir.
• Kurtarma: Kimlik malzemesi yüklenmeden önce mühürlenir. Onu geri getirmek, sohbet geçmişini geri getirmek değildir.
• Üstveriler ve cihazlar: Yönlendirme kayıtları ve ele geçirilmiş uç cihazlar, içerik şifrelemesinin vaadi dışında kalır.

Bunları, kurulu sürümünüz ve tehdit modeliyle karşılaştırılacak iddialar olarak kullanın. Protokol belirtimi, yerel test vektörü, belirli bir sürümün denetimi ve çalışan hizmetin gözlemlenmesi farklı kanıt türleridir. Eksik kanıtın yerine ne kusursuz güvenlik ne de kanıtlanmış açık varsayımı koyun.

60 saniyelik güvenli mesajlaşma kontrol listesi

Hesap açmadan önce her soruya yanıt verip veremediğinizi kontrol edin:

• Hangi görüşme türleri uçtan uca şifreli?
• Görseller, videolar, belgeler ve sesli mesajlar kapsanıyor mu?
• Özel anahtarlar katılımcı cihazlarda oluşturulup saklanıyor mu?
• Kişiler anahtar parmak izlerini veya güvenlik numaralarını karşılaştırabiliyor mu?
• Anahtar değişiklikleri görünür mü?
• Gizlilik politikası saklanan üstverileri tanımlıyor mu?
• Hesap kimlik doğrulaması açıklanmış mı?
• Anahtar kurtarma süreci sıradan girişten ayrı mı?
• Özel medya isteklerinde kimlik doğrulaması ve yetkilendirme yapılıyor mu?
• Çevrimdışı kuyrukta beklerken şifreleme etkin kalıyor mu?
• Grup ve kanalların güvenlik sınırları kesin olarak belirtilmiş mi?
• Sınırlamalar abartılı vaatler olmadan belgelenmiş mi?

Yanıtsız maddeleri otomatik olarak “güvenli” veya “güvensiz” değil, “bilinmiyor” diye işaretleyin. Sağlayıcının her rakiple aynı mimariyi kullanması gerekmez.

Ancak kullanıcıların neye güvendiklerini anlayabilmesi için yeterince kesin yanıtlar sunması gerekir.

En güvenli seçim tehdit modelinize bağlıdır

Her kişi ve durum için otomatik olarak en iyi olan evrensel bir mesajlaşma uygulaması yoktur.

Aile grubu, işyeri, gazeteci ile kaynağı, sağlık ekibi ve halka açık topluluk şu gereksinimlerin farklı birleşimlerine ihtiyaç duyabilir:

• Gizlilik
• Kimlik doğrulama
• Anonimlik
• Grup yönetimi
• Mesaj saklama
• Mevzuata uyum
• Kurtarma
• Birden fazla cihaz desteği
• Açık kaynak kod
• Bağımsız denetim
• Kullanım kolaylığı

Neyi, kimden koruduğunuzu sorarak başlayın.

Sıradan kişisel iletişimde başlıca riskler hesabın çalınması, güvensiz ağ, kayıp cihaz veya aşırı veri toplama olabilir.

Daha yüksek riskli iletişimde ayrıca doğrulanmış kimliklere, kaybolan mesaj politikalarına, güvenliği güçlendirilmiş cihazlara, sıkı çalışma prosedürlerine ve bağımsız güvenlik incelemesine ihtiyaç duyabilirsiniz.

Şifreleme, ele geçirilmiş uç cihazı onaramaz veya güvendiğiniz alıcının mesajı paylaşmasını engelleyemez.

Gizlilik, doğru beklentilerle başlar

Güvenilir bir mesajlaşma hizmeti, kullanıcılardan tüm risklerin yok olduğuna inanmalarını istemez.

Şunları açıklar:

• Neyin korunduğu
• Anahtarların hangi cihazlarda bulunduğu
• Sunucunun ne işlediği
• Hangi üstverilerin kaldığı
• Kurtarmanın nasıl çalıştığı
• E2EE'nin nerede başlayıp nerede bittiği
• Hangi korumaların henüz uygulanmadığı

Bu açıklık, kullanıcıların bilinçli kararlar vermesini sağlar.

Açık belgeler değerlendirme için gereklidir, ancak en güvenli uygulamayı belirlemeye yetmez. Uygulama kalitesi, zamanında güncellemeler, bağımsız bulgular ve sizin gerçek kullanım riskleriniz de önemlidir. EFF'nin araç seçme rehberi de tehditlerden başlamayı ve açıklığı bir garanti değil, inceleme fırsatı olarak görmeyi önerir.

Sonraki adım olarak zararsız bir deneme yapın: Bir kişiyi doğrulayın, örnek ek gönderin, bağlı cihazları gözden geçirin, yedek kapsamını inceleyin ve iki katılımcının da ayarları güvenilir biçimde kullanabildiğini kontrol edin. Korumaya çalıştığınız gizli materyalle test yapmayın.

Sık sorulan sorular

Bir mesajlaşma uygulamasını güvenli yapan nedir?

Güvenli mesajlaşma uygulaması; korumalı ağ taşımasını, güçlü kimlik doğrulamasını, dikkatli erişim denetimlerini, güvenli anahtar yönetimini, sorumlu veri işlemeyi ve açık gizlilik sınırlarını birleştirir. Özel mesaj içeriği için uçtan uca şifreleme önemli bir ek katmandır.

Şifreli mesajlaşma uygulaması otomatik olarak özel midir?

Hayır. Uygulama mesaj içeriğini şifrelerken hesap bilgilerini, zaman damgalarını, üyelikleri, alındı bilgilerini, cihaz bilgilerini veya başka üstverileri işlemeye devam edebilir. Gizlilik hem şifrelemeye hem hizmetin daha geniş veri uygulamalarına bağlıdır.

Uçtan uca şifreleme kime mesaj attığımı gizler mi?

Şart değildir. E2EE öncelikle kapsanan mesaj içeriğini korur. Görüşmeleri iletmek ve eşitlemek için hizmet yine gönderici, alıcı, üyelik, zamanlama ve yönlendirme bilgilerine ihtiyaç duyabilir.

Mesajlaşma sağlayıcısı E2EE mesajlarını kurtarabilir mi?

Bu, anahtar ve yedek tasarımına bağlıdır. Sağlayıcı şifreli mesaj geçmişini saklayabilir, ancak onu açmak için gereken özel anahtara sahip olmayabilir. Kurtarma sistemi, anahtarı yalnızca kullanıcı ayrı bir kurtarma sırrı sağladığında geri getirebilir.

Tarayıcı tabanlı güvenli mesajlaşma güvenli midir?

Tarayıcı güçlü istemci tarafı kriptografi yapabilir. Ancak güvenlik yine uygulamanın gerçekleştirimine, tarayıcının bütünlüğüne, cihaz güvenliğine, anahtar depolamasına, uygulama kodunun sunucudan iletilmesine ve kullanıcının uzantıları ile işletim sistemine bağlıdır.

Grup sohbetleri her zaman uçtan uca şifreli midir?

Hayır. Bazı hizmetler gruplara E2EE sağlarken bazıları bunu yalnızca doğrudan görüşmelere uygular. Kesin sınır için sağlayıcının belgelerini kontrol edin.

Şifreleme anahtarım değişirse ne olur?

Anahtar değişikliği yeni cihaz, yeniden kurulum, anahtar sıfırlaması veya kurtarma sürecinden kaynaklanabilir. Güvenli bir mesajlaşma uygulaması değişikliği görünür kılmalı ve kişilerin yeni parmak izini doğrulamasına izin vermelidir.

Çok hassas iletişim için E2EE yeterli midir?

E2EE, içeriği desteklenen uçlar arasında korur. Ancak zararlı yazılım bulaşmış veya kilidi açık cihazı korumaz, alıcının davranışlarını garanti etmez ve üstverileri otomatik olarak gizlemez. Daha yüksek risk altındaki kullanıcılar güçlü cihaz ve çalışma güvenliğine de ihtiyaç duyar.