Güvenilir Truva Atları: Sömürü 4.0

Tarihin en bilinen hilelerinden biridir truva atı. Düşmanın tahtadan, zararsız ama ihtişamlı atını güvenli kalenize alırsınız ve bu yüzden kaleniz düşer. Peki, bunu bile bile yapar mısınız?

Bir düşünelim: zulmüyle zalimini aratmayan pro-naziler, Filistin'de açıkça meydan okurken uluslararası hukuksuzluğa sırtını dayamış sırıtarak keyif çatmakta. Bizler ise bir yandan bu kâfirlere, kendimize dilemediğimiz rahmet kadar lanet sayıyor, diğer yandan bunun uyandırdığı şevkle çalışarak çağı yakalamayı umuyoruz.

Öyle bir çağ ki birçok kritik ürüne muhtacız ve güvenmek zorundayız. Bize siber saldırılardan korunmayı, işlerimizi tek tıkla halletmeyi, hayatımızı düzene sokmayı vaat eden ürünler. Biz de bu vaatlere kapılarımızı sonuna kadar açıyoruz.

İbtihal Ebussad'ı hatırlarsınız. 6-7 ay evvel kendi yöneticisi olan Microsoft AI CEO'sunu soykırıma verilen yapay zeka desteği sebebiyle dünyanın gözü önünde protesto eden mücahide bir hanımefendi. Geçen ay ise Microsoft, şaşırtıcı bir şekilde bulut servislerini kapattı pro-nazilerin. Tabi ki Amazon'a koştular, onlar olmasa Oracle var; alternatif bitmez ki...

Allah Teâlâ, yazımıza başladığımız Enfâl/30'da meâlen şöyle haber veriyor:

Hani o kâfirler seni tutup bağlamak veya öldürmek ya da seni yurdundan çıkarmak için sana tuzak kuruyorlardı. Onlar tuzak kurarken Allah da kuruyordu. Allah, tuzak kuranların en hayırlısıdır.

Her şey buralara nasıl geldi, bunu sonra soracağız beraber. Önce bugünü bir inceleyelim.

Kalemizdeki atın içinde ne var?

Yazılım ve veri sömürüsü

Dijital hayatımızın yapı taşlarından biridir işletim sistemleri. Tüm yazılımlarımızı cihazımızın donanımıyla buluşturur, bize dost arayüzler sunar. Haliyle en güven bekleyen yazılımlardır. Donanımınıza, şifrelerinize, oturumlarınıza ve verilerinize doğrudan erişimi vardır. Buna karşılık geçtiğimiz yıllarda PRISM iddiaları, mümkün olanı gözler önüne serdi: eğer ABD Ulusal Güvenlik Ajansı (NSA) isterse Microsoft, Apple, Meta ve Google bağlantılı cihazları gözetleyebiliyor ve verilere doğrudan erişim sağlayabiliyor.

Böyle bir şeyin olmadığına dair elimizdeki tek delil nedir, biliyor musunuz? İlgili şirketlerin "öyle bir şey yok", demesi. Belki doğru söylüyorlar ki inanmamak için çok sebebimiz var, yine de gayet olası.

Garip olansa ABD, diğer bir zalim olan Çin'e böyle yaptığı iddiasıyla ambargo uyguladı ama Çin'in bunu reddetmesi ABD'ye yeterli olmadı.

Ofis uygulamaları, internet tarayıcıları, anlık mesajlaşma uygulamaları, sosyal medya... Her birine bazen fazla güveniyoruz ama bunlar çok konuşuldu, yazının sıkıcı olmasını istemeyiz. Bilgisayar oyunları, veri tabanı sürücüleri, kurumsal yazılım çatıları ve bulut teknolojileri gibi konulara da ayrıca gireceğiz, inşaAllah.

Şimdilik ne yapabiliriz: Bizim en büyük dostumuz Pardus ve diğer açık kaynak işletim sistemleri. Şahsen günlük kullanımda Pardus ve Arch Linux'u kendi kategorilerinde çok beğeniyorum. Anlık mesajlaşma için ise Amel Tech'te kullandığımız gibi merkeziyetsiz, açık kaynak protokoller kullanabiliriz.

Donanım ve arka kapı

Yapı taşlarından bir diğeri; çipler. Normalde her biri fiziksel, kimi silikon kimi galyum nitrür kimi de başka bir yarı iletken malzemeden ibaret. Ta ki dijital kapılar açılana dek...

Çip denince akla ilk gelenler CPU ve GPU olur ama elimize karmaşık bir devre kartı aldığımızda en azından 5-6 farklı çip gözlemlememiz olası. Yine de biz şimdilik CPU'lara odaklanalım. Çünkü en güvenli kriptoloji algoritmaları dahi bu birimlerde çalışıyor.

Intel bir CPU, kendi içinde bağımsız bir işletim sistemine (MINIX 3 tabanlı), ağ erişimine ve işlemciye sahip. Intel Management Engine... Cihazınız kapalı bile olsa çalışmaya devam ediyor, tüm donanımınıza doğrudan erişimi var, sizin işletim sisteminize bağımlı değil. Neden var? Sizin güvenliğiniz için. Ama 2017'de listelenen Silent Bob açığı ile saldırganların sisteme tam kontrol sağlayabildiğini düşününce...

Nasıl kapatılıyor? HAP moduyla. Ama bu mod size resmi olarak sunulmuyor; NSA'nın yüksek güvenlik programı için konmuş, belgelenmemiş bir ayar. Siz bunu korsan yollarla kapatmaya çalışırsanız bilgisayarınız açılmayabilir; muhtemelen garanti şartlarına da uymuyordur.

Alternatifi AMD mi? Değil, çünkü AMD'nin de Platform Security Processor (PSP) adında benzer bir motoru var.

ARM ve Apple Silicon'da ise Intel ME gibi ağ erişimli uzaktan yönetim motoru yok; kendileri öyle söylüyor. Yine de ARM TrustZone'daki bir açığın kernelde arka kapı açabildiği bir dönem olmuştu. Apple'ın Secure Enclave'i şifreleme anahtarlarınızı korumak için tasarlanmış olsa da, kapalı kaynak yapısı yine tam güven gerektiriyor.

Çin çiplerini mi kullanalım? Ne farkı var ki... Huawei'nin Çin istihbaratı için mobil ağ donanımlarında arka kapılar açık bıraktığı iddia ediliyor. Her ne kadar "bize iftira atıyorlar" deseler bile Uygur Türklerini izlemek için benzer yöntemleri kullandıkları malum.

NSA durur mu? Eski NSA çalışanı Edward Snowden'in ifşa ettiği belgeler gösteriyor ki Cisco kargolarını durdurup sunucu ve routerlara kendi firmware'ini yükleyerek kendilerine arka kapı açıyorlardı. Aselsan, HAVELSAN ve ULAK HABERLEŞME A.Ş. sayesinde kendi sunucu, radyo ve yönlendiricilerini üretene kadar Türkiye'nin askeri cihazları Dell, Cisco, ZTE, Huawei gibi tamamen dışa bağımlıydı; halen de tamamından kurtulabilmiş değil, en azından başarılı bir başlangıç yaptı.

Şimdilik ne yapabiliriz: Özgür açık kaynak çip mimarisi için RISC-V'a katkı sunmaya çalışabiliriz. Malzeme Bilimi, Elektronik ve Donanım Yazılımı üzerine merakımız varsa bunun üzerine gidebilir ve birbirimize destek olabiliriz. En önemlisi; insanları bilinçlendirmeli ve offline cihazlarda dahi mahrem verilerimizi barındırmamalıyız.

Siber güvenlik ve zero-trust yanılgısı

Komik bir durum var: güvenlik için güvenlik araçlarına tam yetki vermek... Bu yüzden ki CrowdStrike'ta güncelleme ile gelen ufak bir bug yüzünden Temmuz 2024'te dünya durdu; uçaklar, bankalar, hastaneler çalışmaz oldu.

Sadece bu da değil; neredeyse tüm kurumsal siber güvenlik araçları İsrail'in eski (!) istihbaratçılarının bulunduğu ekiplerce geliştiriliyor, her şey NSA ile entegre, bu istihbaratçıların çoğu Unit 8200'den. Palo Alto, CyberArk, Snyk, Palantir, Check Point, Microsoft, Google, Amazon, Meta... Hepsindeler, çoğunun sahipleri de bunlar.

Zero-trust iddiasıyla "ağa, kullanıcıya, sisteme güven olmaz, her şeyi sorgulamalıyız" diyoruz ama "NSA/8200-trust" sistemlere kernel düzeyinde tam yetki veriyoruz. Yanılgı sadece bu teori ile sınırlı değil, donanım güvenlik problemlerini tekrar hatırlatalım.

Şimdilik ne yapabiliriz: Temel düzeyde siber güvenlik bilgisine sahip olmalıyız. Neredeyse tüm kurum ve kuruluşlarımızda maalesef sızma testinden ibaret görülüyor. Haliyle siber güvenlik anlayışımızı revize etmemiz en önemlisi.

İnternet ve kapı bekçileri

Cloudflare üzerine pek konuşulmuyor, hiç düşündünüz mü bilmiyorum. DDoS'tan koruyor, SSL veriyor, tunnel var, WARP var, reverse proxy var, CDN var; ne lazımsa hazır. İnternetin %20'sine yakını Cloudflare üzerinden geçiyor.

Dilediği zaman sizi internetten dışlayabilir, siber casusluk için ardına kadar açık bir kapı olabilir. SSL ile sertifikaladığınız bütün verileri açık metin olarak görüp yedekleyebilir. Çünkü kapı da kilit de anahtar da onda.

Neden güvenmeyelim, diye sorabiliriz. Buna, neo-nazi içeriklerindeki nefret suçuna dayanamayıp kapattığı Daily Stormer sitesi hakkında yazdığı yazıda Cloudflare CEO'su Matthew Prince şöyle cevap vermiş 2017'de:

It will be a little bit harder for us to argue against a government somewhere pressuring us into taking down a site they don't like.

Bu itiraf, samimi olsa da olmasa da fark etmez, hakikatin itirafıdır. Benzer şeyler, Fastly ve Akamai gibi alternatifler için de geçerli. Bunların hepsi ABD merkezli şirketler olduğu gibi Akamai'nin İsrail ile ilişkileri, soykırım desteği şüphesini oldukça artırıyor.

Şimdilik ne yapabiliriz: Durumun ciddiyetinin farkında olmak ve gerçekçi bir çözüm arayışına girmek doğru olacaktır. Reverse proxy, tunnel gibi çözümler için açık kaynak ürünleri kendimiz barındırabiliriz.

Açık kaynak ve kapital baskı

Açık kaynak projeler, kaynak detaylarına herkesin erişebilmesini ve genellikle herkesin doğrudan ya da dolaylı olarak katkı sunmasını sağlıyor. Bu sebeple arka kapı açma, gizli kayıt tutma gibi problemlerde daha güvenilir olduğu gibi yönetiminde de lisans koşulları dahilinde tam kontrol sahibiyiz.

Ancak reel dünya, bizi bazı yeni problemlere sürükledi. Çoğunlukla Microsoft'un sahip olduğu GitHub'da tutuyoruz kodlarımızı, tartışmalarımızı da oradan yapıyoruz. Haliyle yapay zeka eğitmek için paha biçilemez kalitede bir veri seti daha elde ediyor Microsoft. Kabul edilebilir bir şey çünkü karşılıklı fayda sağlıyor.

Bir diğer tür karşılıklı fayda da Android, Chromium, Next.js, Ubuntu gibi sahipli açık kaynak ürünlerle sağlanıyor. Siz dilerseniz sahibine güvenip ekosisteminin muhteşem özelliklerini kalenize alıyorsunuz, dilerseniz de bunları kopyalayıp kendi kalenizde inşa ediyorsunuz. Hatta, ilgili ürün için gönüllü iş gücü olarak çalışıp kalitesine kalite katabiliyorsunuz.

Ancak tüm bunların ilgili şirketlerin gücüne güç kattığı açık. Özellikle telemetri ve anonim veriler sayesinde.

Peki ya sahipsiz açık kaynak ürünler? Örneğin Firefox, gizlilik odaklı bağımsız bir vakıf olan Mozilla'nın liderliğinde ayrı bir tarayıcı motoruna sahip. Ancak gelirinin %85'i Google'dan. Haliyle Google'ın kapital baskısı üzerinde, bu da varsayılan arama motorunun hiç de gizlilik odaklı olmayan Google olmasını sağlıyor.

Linux-NVIDIA savaşları, Proton'un ve Tor'un gri alanları... Konuşulacak daha birçok konu var.

Şimdilik ne yapabiliriz: Kullandığımız ürünler ücretsiz ve açık kaynak olsa dahi doğrudan veya dolaylı olarak belirli güçlere güç kattığı için asıl kurtuluş yollarımız değildir. Haliyle kapital güç elde etmenin, açık veya kapalı kaynak fark etmeksizin güçlü ürünler üretmenin büyük bir cihad olduğunu görmeliyiz.

Askeriye ve dijital silahlar

9 Eylül 2025, Doha, Katar. Pro-nazi savaş uçakları Kızıldeniz'den 10 balistik füze ateşledi. Amacına ulaşamayan bu operasyondan Katar silahlı kuvvetlerinin haberi bile olmadı, ta ki füzeler hedef binayı vurana kadar. Katar'ın hava savunma sistemleri yok mu? Elbette 12 milyar $ harcadıkları bu Amerikan sistemler sessizdi çünkü radarların arkası dönüktü. Buna rağmen, CSIS'in dediği gibi: "Körfez askeri güçleri eğitim, istihbarat, muharebe yönetimi, destek ve ikmal için ABD gibi dış güçlere ağır şekilde bağımlı kalmaya devam ediyor." Allah, o zenginliğinizin hesabını soracak!

Bir diğer örnek de F35. Lockheed Martin'e ait yazılımı, ODIN bulut sisteminde Mission Data Files (MDF) isimli verileri paylaşıp işliyor. Bu işlemlerin tamamı ABD'deki tesislerde oluyor. MDF olmadan sıradan bir uçak; sensör ve radarlar neredeyse tamamen işlevsiz. ABD'nin dost gördüğü hiçbir cisme kilitlenmek mümkün değil.

Bu bağımlılığın tek istisnası ise pro-naziler, kendilerine özel F35I sayesinde ODIN sistemine bağımlı olmamak için anlaştılar ve kendi yazılımlarını yükleyebiliyorlar. Yine Google, Microsoft, Amazon gibi herkesin kullandığı markalar başta olmak üzere çeşitli şirketlerle yaptıkları anlaşmalar, hedefi kendi seçen ve ölüm kararını kendi veren yapay zekalarla soykırımın en ölümcül silahlarına kaynak oldu.

Bize izin vermelerine ne gerek var diyebiliriz ancak belki hatırlarsınız; "F16 yazılımını kıran mühendisler intihar süsüyle öldürüldü" başlıklı haberler dolanıyordu 2006-2007 yıllarında. Şüphelerin halen güçlü olduğu bu iddialar, Aselsan, HAVELSAN ve TEI - TUSAŞ Motor Sanayii A.Ş. mühendislerinin peş peşe ve intihar kayıtlı ölümleri ile gündeme gelmişti. Çünkü ailelerin söylediğine göre bu mühendisler, F16 yazılım ve kriptoloji algoritmalarının yerlileştirilmesi ve yerli "dost/düşman tanıma sistemi" geliştirilmesi üzerine çalışıyordu.

Şimdilik ne yapabiliriz: Çok daha kapsamlı bir revizyon gerekiyor burada. Ancak şimdilik, bir şeyler yapmak için çabalayan insanları gereksiz hakaretlerle meşgul etmektense yapıcı adımlar atsak yeter. Bu çalışmaları iç-dış siyaset malzemesi görmekten vazgeçmeli, gerekli desteği ya doğrudan ya da dolaylı yollardan vermeliyiz.

Şu gerçeği unutmayalım; sivil teknoloji ile askeri teknoloji, hakikatte birbirinden ayrı değil. Her toplumun doğal olarak kendilerini koruma ve silahlarını güçlendirme hakkı vardır ve üstte aktardığımız Hadis-i Şerîf'te bildirildiği gibi "savaş, hiledir."

Dijital Hicret serimizin bu yazısında da çeşitli hilelerle ABD ve İsrail'in onlarca ülkeyi kendilerine muhtaç ettiğini göstermek istedik. Böylece uluslararası hukukun aslında bir güç hukuku olduğunu ve İslâm devletlerinin hâlâ neden soykırımın en büyük destekçisi ve yüzyılın en büyük zalimi olan ABD ile dostluk naraları attıklarını dillendirmek istedik.

Değerli Müslümanlar!

Bugün bize direnmek yoktur; direnenler direnmekte, bize amel etmek düşmektedir. Bu yalnızca ilmimizin zekatı değil, kutlu bir cihaddır.

Bizler Allah'ın rızasını talep ediyoruz. Hep birlikte şimdi Allah ve Resulüne hicret için niyet edelim. Rızkımız için zaten atmakta olduğumuz her adımı da bu niyetle atalım.

İnşaAllah, gelecek yayınımızda, insanları bu sömürü düzenine teslim olmaya çağıran "umutsuzluk lobisini" ele alacağız.

Serimizin önceki yazısını buradan okuyabilirsiniz.

Allah'a emanet olunuz.