Geçtiğimiz haziran ayında yerli ve yabancı basında görmüş olabileceğiniz üzere Google Chrome web tarayıcısının ortam dinlemesi yapıyor olabileceğine dair bazı iddialar gündeme geldi. Ülkemiz basınının bunun gibi teknik konulara yaklaşımındaki tutumu maalesef magazin haberi seviyesinin ötesine geçemiyor. Bu yazıda geleceğimizi de ilgilendiren bu konuyu incelemeye çalışacağız.
Açık kaynak kod ve özgür yazılım
Öncelikle konuya yabancı olanlar için bazı kavramlara kısaca değinmemizde fayda var. Her yazılım kaynak kodlardan oluşur. Yazılım kaynak kodları insanlar için anlamlıdır, bilgisayarınızın için de anlamlı olması için derleyici adını verdiğimiz araçlarla makine diline (obje koduna) dönüştürülmeleri gerekir. İnternet üzerinden indirdiğiniz ve bilgisayarınızda çalışmaya hazır haldeki yazılımlar, makine diline dönüştürülmüş halde bulunurlar. Dolayısıyla bu dosyaların içerisini açıp baktığımızda sadece makine dilindeki obje kodlarını görürüz ve bu noktadan hareketle yazılımın kaynak kodlarına ulaşmak mümkün değildir.
Açık kaynak kodlu yazılım geliştirme modelinde, yazılım kaynak kodları internet üzerinde herkese açık halde bulundurulur. Dileyen herkes kaynak kodları inceleyebilir, bilgisayarına indirebilir ve üzerinde çalışabilir hatta projeye katkıda bulunabilir. Örneğin açık kaynak kod modeli ile geliştirilen Openoffice uygulamasının tüm kaynak kodlarına erişebilirken bunun karşıtı olan kapalı kod yöntemiyle geliştirilen Microsoft Office uygulamasının kaynak kodlarına erişmeniz mümkün değildir.
Açık kaynak kodlu yazılımların çoğunluğu özgür yazılımlardır ancak her açık kaynak kodlu yazılım aynı zamanda özgür yazılım olmak zorunda değildir. Açık kaynak bir yazılım geliştirme yöntemi iken özgür yazılım sosyal bir harekettir. Açık kaynak kodlu geliştirme modeli öncelikli olarak yazılımın teknik açıdan daha iyi hale getirilmesiyle ilgilenirken özgür yazılım konuyu toplumun tüm kesimleri için yaşamsal öneme sahip temel hak ve özgürlükler kapsamında inceler.
Açık kaynak modeliyle geliştirilen yazılımların da mutlaka bir lisansı bulunur. Çoğu projede bu amaçlarla hazırlanmış belli başlı lisans modellerinden biri kullanılır [1]. Bu lisansların bazıları, özgür yazılım noktasından bakıldığında yeterince özgür olarak değerlendirilmez. Örnek olarak bunlardan biri olan BSD Lisans modeli, ticari firmaların açık kaynak kodlu projede geliştirilen kodları baz alarak üzerine bir miktar ek kod daha yazmalarına ve yapılan eklemelerin kapalı olarak kalmaya devam ettiği ürünler çıkarmalarına izin vermektedir.
Google Chrome ve Chromium projesi
Chromium, Google tarafından açık kaynak kod geliştirme modeli ile başlatılan ve özellikle başlangıç aşamasında çoğunluğu Google çalışanlarından oluşan yazılımcılar tarafından, BSD lisans modeli ile geliştirilen bir web tarayıcı platformu projesidir. Projenin temel amacı hızlı çalışan ve güvenilir bir web tarayıcısı geliştirmektir. Lisansı uygun olduğu için Google, proje kapsamında geliştirilen açık kaynaklı yazılımı baz alarak üzerine kendi geliştirdiği kapalı kodlu bileşenleri de eklemekte ve ortaya Google Chrome web tarayıcısı çıkmaktadır.
Chromium projesi sadece Google Chrome tarafından değil, Yandex Browser, Qt Web Engine vb. gibi çok sayıda farklı uygulama ve kütüphane içerisinde de kullanılmaktadır. Aynı zamanda Debian, Ubuntu gibi çeşitli Linux dağıtımları içerisinde Google Chrome'dan farklı olarak bu projeden üretilmiş, chromium adında bir web tarayıcı paketi de bulunmaktadır.
Google Chrome bir özgür yazılım değildir. Google Chrome yerine Linux dağıtımları ile birlikte gelen chromium uygulamasını kullandığınızda, Google tarafından eklenen kapalı kodlu bileşenlerden uzak durmuş olursunuz. Yazının devamında "Google Chrome" ile firma tarafından geliştirilen web tarayıcısını, "Chromium" ile projenin kendisini, "chromium" ile de Linux dağıtımları tarafından aynı projeden üretilen ancak kapalı kodlu bileşenler içermeyen web tarayıcı uygulamasını kastediyor olacağız.
Problemin farkedilişi
26 Mayıs 2015'te Yoshino Yoshihito #786909 kayıt numarasıyla Debian Hata Takip sistemi üzerinde yeni bir hata kaydı oluşturdu. Bu hata bildirisinde özetle chromium uygulamasını 43. versiyona güncelledikten sonra sistemin kendisinden onay istemeksizin "Chrome Hotword Shared Module" adı verilen bir eklentiyi indirdiğini ve tarayıcısının adres satırına chrome://voicesearch yazmak suretiyle ilgili eklenti hakkında ek bilgi aldığında, "Auido Capture Allowed" iznine sahip olduğunu, dolayısıyla mikrofona erişim imkanı bulunduğunu iletiyordu.
Bu hata raporunun yayınlanmasının ardından pek çok kişi aynı durumu teyit eden bilgiler paylaştı. Peki tüm bunlar ne anlama geliyor ve bizim için sorun nerede başlıyor?
Google Sesle Arama Teknolojisi
Muhtemelen pek çoğunuz Google'un sesle arama özelliğini bilgisayarınızda veya cep telefonunuzda denemişsinizdir. Bu özellik öncelikle sesle arama yapmak istediğinizi belirten bir butona tıklandıktan yada telefonda bu iş için yapılmış özel uygulamayı açtıktan sonra çalışmaya başlıyor. Mikrofondan kayıt edilen sesiniz analiz için Google sunucularına gönderiliyor ve burada daha önce kaydedilmiş desenlerle karşılaştırılıyor.
Gelişmiş ses tanıma fonksiyonlarını cep telefonu veya kişisel bilgisayar üzerinde doğrudan çalışacak düzeye indirmek günümüzde halen yeterince uygulanabilir değil. Bu yüzden analiz için bulut tabanlı sunucu kümelerinin kullanılması kaçınılmaz. Google ses tanıma teknolojisinde kaydedilen ses desenini daha doğru algılayabilmek için, insan beyninin bilgi işleme yönteminden esinlenerek geliştirilen yapay sinir ağları modellerini kullanır.
Google bu noktada sık yapılan arama sorguları ve arama motorunun çalışması için önceden analiz etmiş olduğu web içeriğinin kendisi gibi sahip olduğu devasa verinin avantajını, N-gram modeliyle ses tanıma sürecini iyileştirmek için kullanıyor. N-gram modeli, N. kelimenin (N-1) yani bir önceki kelimenin ne olduğuna göre olasılığının bilindiği durumlar için geliştirilmiştir. Örneklemek gerekirse, eğer "hafta sonu" şeklindeki 2 kelimeden sonra bir 3. kelime daha gelecek ise, bu kelimenin "matematik" ya da "kahvaltı" olması arasında olasılık açısından bir fark vardır. Örneğimizdeki 3. kelimeyi tahmin etmedeki başarı oranını artırmak için elimizde 3-gram modelini besleyecek verilerin de bulunması gerekir.
Açıklanan rakamlara göre 2012 yılında Google ses tanıma için, 5-gram modelini (yani 5 ardışık kelimeye kadar) ve toplamda 12 milyar civarında N-gram kümesini kullanmaktaydı. Bugün bu sayıların hangi düzeye ulaştığını kesin olarak bilemesek de ciddi oranda artmış olduğunu varsayabiliriz. Ek olarak bunun statik bir model olmadığını ve öğrenmeye devam ettiğini de belirtmemiz gerekir.
Konudan biraz uzaklaştık gibi görünebilir ancak bu detay, kaydedilen sesin neden Google sunucularına gönderildiğini anlamak için gerekli. Yukarıda bahsedilen büyük veri kümeleri üzerinde çalışıp kendi kendine öğrenmeye devam eden algoritmaların kısa sürede yanıt üretebilmesi, ancak birden çok sunucu üzerinde çalışmasıyla mümkündür. Günün birinde kişisel bilgisayarlarımız bu işlem gücü için gereken kapasiteye ulaşsa dahi elimizde analiz için gereken diğer büyük veritabanı bulunmayacağından Google hep bir adım önde olacaktır.
Sesle arama yapabilmenin nesi kötü?
Sesle arama uzun zamandır Google ürünü olarak hayatımızda ancak Google Chrome versiyon 43 ve sonrasında bu süreç bir adım daha ileriye götürülerek, "OK Google" adıyla yeni bir modelle desteklenmiş.
Bu özellik tarayıcınızda Google ana sayfasına girdiğinizde veya bir adrese gitmek için yeni bir sekme açtığınızda önce "OK Google" ardından aramak istediğiniz kelimeleri söylemek suretiyle çalışıyor. Yani sesle arama yapmak için özel bir butona tıklamak yerine, "OK Google" kelimelerini telaffuz ederek ses tanıma sürecini harekete geçirmiş oluyorsunuz. Özellikle tablet vb. cihazlarla kullanım alışkanlıklarının değişmeye başladığını ve daha az klavye kullanır olduğumuzu düşünecek olursak, hayatımızı kolaylaştıracak bir özellik olduğunu söyleyebiliriz.
Bu özelliğin çalışabilmesi için sistemimizin sürekli olarak ortamdaki sesleri dinlemesi ve "OK Google" kelimelerini yakalaması gerekiyor. Buradaki analiz, kelime sayısı sadece 2 olduğundan ve belirli bir ses deseni içerdiğinden sizin bilgisayarınızda yapılmakta, Google sunucularına herhangi bir veri gönderilmemektedir. Devamındaki analiz ise yukarıda değindiğimiz şekilde sunucular üzerinden yapılacaktır.
Dolayısıyla daha hızlı arama yapabilmenizi sağlamanın yolu sizi sürekli dinlemekten geçiyor. Üstelik bu dinleme yapılırken mikrofonunuzun kullanımda olduğuna dair bir bildirim de almıyorsunuz.
Google ekibinden yapılan açıklamada [2], "OK Google" arama özelliğinin sadece bu özelliği aktifleştirmiş kullanıcılarda ve yeni sekme açıldığında veya Google ana sayfasına girildiğinde devreye girdiği belirtildi. Bu açıklamayı doğru kabul etsek de, şu soruları sormak zorundayız:
Özelliği devre dışı bıraktığımızda, herhangi bir anda kendiliğinden devreye girmeyeceğine yönelik Google tam bir garanti veriyor mu? Verse dahi buna ne kadar güvenebiliriz?
Daha kötüsü, Google bizim hakkımızda pek çok diğer veriye sahip olduğuna göre spesifik olarak belirli bir kişinin bilgisayarındaki dinleme özelliğini aktifleştirmediğinin garantisi var mıdır? Sadece kendi bilgisayarımızda uzun süre test yapsak dahi bundan emin olma şansımız bulunmuyor.
Sorunlar burada bitmiyor, daha kötüsü de var.
Bu özelliği Ayarlar menüsünden devre dışı bırakmış olsanız bile, adres çubuğuna chrome://memory-redirect yazdığınızda çıkan detaylı listenin sonlarına doğru bakacak olursanız, "Extension Hotword Triggering" kodunun çalışır durumda olduğunu ve belirli bir bellek tükettiğini göreceksiniz. Yani aksini belirtmiş olmanıza rağmen ilgili modül arka planda çalışıyor ancak yapmış olduğunuz seçim nedeniyle mikrofon üzerinden bir dinleme gerçekleştirmiyor. Peki buna neden güvenelim? Kullanmak istemediğim bu özellik neden pasif durumda arka planda çalışmaya devam ediyor?
Şimdi en önemli soruna geliyoruz. Tüm bu "Hotword Triggering" modülü obje koduyla yani makine dili ile bilgisayarınıza indiriliyor. Geliştirmesi ise Google tarafından kapalı kod modeliyle yapıldığından "Hotword Triggering" modülünün ne yaptığını, kaynak kodlarına bakarak inceleme şansımız bulunmuyor.
Üstelik kodlarını denetleyemediğimiz bu bileşen otomatik olarak, herhangi bir talep olmaksızın tüm Chrome yüklü sistemlere yükleniyor. Google'a böyle bir işlemi neden onay almaksızın yaptığı sorulduğunda ise, sesle aramayı temel kullanıcı deneyiminin bir parçası olarak gördüklerini ve seçimlere bağlı olmaksızın tarayıcının ana fonksiyonları arasına dahil edilmesi gerektiğini düşündüklerini söylüyorlar [2].
Google açıklamasında "Hotword Triggering" özelliğinin doğrudan çalıştırılabilir bir modül olmadığını, NaCl (Native Client Plugin) yöntemiyle çalıştığını ve bir web sitesi gezinilirken ne kadar güvenli bir ortam sağlanıyorsa aynı kurallarla sınırlandırıldığını dolayısıyla bilgisayarınızdaki diğer verilere erişilebilmesi gibi bir sorun yaratamayacağını, tek farkın mikrofona doğrudan erişim imkanı olduğunu da eklemiş. Bunu şöyle de tercüme edebiliriz; bizim kontrolümüz dışında burada bir zaafiyet olsa bile sisteminize ciddi zararlar verilemez, ancak mikrofon üzerinden bulunduğunuz ortam dinlenebilir. Pek güzel!
Daha da sıkıntı yaratan durum şu ki, Google bunu sadece kendi Chrome tarayıcısında değil, Chromium projesi içerisinden üretilen ve Debian vb. Linux dağıtımlarında kullanılan, kapalı kodlu bileşen içermeyen chromium tarayıcısında da yapıyor. Bunun mümkün olabilmesi için gereken yazılım değişikliklerini, çok dikkat çekmeden açık kaynak kod modeliyle geliştirilen Chromium projesi içerisine dahil etmeyi başarmış.
Google ekibinden yapılan açıklamada [2] bu duruma kısaca şu şekilde değiniliyor:
Dağıtımların Chromium projesinden üretmiş olduğu tarayıcılardan biz sorumlu değiliz. Madem ki bu dağıtımlar özgür yazılım konusunda kendilerine özgü daha hassas politikalara sahipler, o zaman Chromium projesinden ürettikleri tarayıcıların hangi özellikler dahil edilerek oluşturulduğuna da dikkat etsinler! Tüm sorumluluk onlara aittir, bizim bu konuda yapabileceğimiz bir şey bulunmuyor.
Söyledikleri doğru fakat bu kadar büyük bir açık kaynak kodlu proje içerisine böyle bir özelliği otomatik indirecek şekilde kod ekliyor olmak, sonrasında da "madem öyle siz devre dışı bırakıp o şekilde bir tarayıcı üretseydiniz" demek en hafif tabirle biraz fazla kurnazca kalıyor.
Gelecek itirazların herkesin malumu olduğu böylesi bir fonksiyon geliştiriyor iseniz, üretilen yazılımda öntanımlı olarak devre dışı bırakılmasını, sadece özellikle seçildiğinde devreye alınmasını sağlıyor olmanız genel kabul görmüş bir pratiktir. Ancak burada bu süreç uygulanmamıştır. Daha sonra yaptıkları açıklamada ise Chromium versiyon 45 ve sonrasında bu özelliğin ön tanımlı olarak devre dışı bırakılacağını iletip geri adım atmak durumunda kaldılar.
Google'ın tümüyle iyi niyetli olduğuna inanamaz mıyız?
İnanabilirsiniz ve belki öyle de olabilir. Bir an için, Google'ın NSA (Ulusal Güvenlik Ajansı) ve ABD devlet kurumlarıyla ne kadar gönüllü işbirliği içerisinde olduğuna dair Snowden'in yazdıklarını tümüyle yok saydığımızı varsayalım [3].
"OK Google" seçeneği kapalıyken bile aslında arka planda çalışmaya devam eden bu modülde herhangi bir güvenlik zaafı varsa birileri bunu Google'ın da kontrolü dışında kullanamaz mı? Cevabımız evet, kullanabilir şeklinde olacaktır. Bir düşünün, şu an yüz milyonlarca Chrome web tarayıcısı çalıştıran bilgisayarın mikrofonuna erişmek ve ortam dinlemesi yapmak mümkün olabilir. Aksinden nasıl emin olacağız?
Tüm iyi niyetli yorumlarımızda dahi önemli bir güvenlik zaafiyeti olasılığı önümüzde duruyorken buna bir de Google'ın o kadar da iyi niyetli olmayabileceği senaryosunu eklemeyi deneyelim. Buradan hareketle ulaşacağımız nokta, ortam dinlemelerinin istenen zamanlarda belirli kişilere yönelik olarak aktifleştirilip geri kalan zamanlarda normal çalışmasına devam ettiği bir model olabilir.
Şüphe duymamak mümkün olmadığı gibi aksi yönde emarelerle daha sık karşılaşmaya başladığımızı söyleyebiliriz. Örneğin şu an Yahoo'nun CEO'su olan Marissa Mayer 2012 yılında Google'da üst düzey yönetici iken, The Telepgraph için verdiği bir röportajda [4], Google'ın büyük hedefinin sezgisel arama olduğunu söylüyor ve ekliyor:
Asıl amacımız, kullanıcı daha ne arayacağını bile düşünmemişken ona uygun sonuçları bulup göstermek ve şu an geldiğimiz noktada bunun çok da uzağında değiliz...
Yani leb demeden leblebiyi anlamak istediklerini söylüyorlar. Kulağa çok hoş geliyor!
Açık yazılımlar güvenli değil miydi?
Yazılım güvenliği çok katmanlı bir konudur ve bir yazılımın herhangi bir özelliği veya katmanı asla tek başına mutlak güvenliği sağlayamaz. Yazılımın açık kaynak kodlu geliştiriliyor olması, kaynak kodlarının herkes tarafından incelenebilmesi nedeniyle içerdiği zaafiyetlerin ticari bir firmaya bağımlı kalınmaksızın erken tespiti ve çözüm üretimi imkanını sağlar, daha fazlasını değil.
Bununla birlikte Chromium gibi büyük bir yazılım projesinde bazı zararlı olabilecek bileşenlerin farkedilmesi her zaman mümkün olmayabilir. Chromium örneğinde de bu değişiklikler gözden kaçmış ancak kısa süre içerisinde farkedilmiş ve Linux dağıtımları tarafından gerekli önlemler alınarak, chromium uygulamasının "Hotword Triggering" modülünü indirmesine olanak vermeyen bir versiyonu üretilmiştir.
Eğer kapalı kodlu bir yazılım kullanıyor olsa idik muhtemelen bu sorunun ya hiç farkında olmayacak yada üzerinden uzun zaman geçtikten sonra tespit edebilecektik.
Özetle, açık kaynak kodlu geliştirme modeli, yazılımın daha güvenli olabilmesine giden yolun önünü açıyorken, kapalı kodlu ticari modeller zaten tanımı gereği mevcut ortamın güvenliğini artırmaya yönelik herhangi bir katkıda bulunmuyor.
Peki ne yapabiliriz?
Bugün kullandığımız bilgisayarlardaki işletim sistemi ve temel uygulamaların kaynak kodlarının toplamı ortalama olarak 80-100 milyon satır arasında bir büyüklüğe ulaşmış durumda. Bu kadar devasa bir kod yığını içerisinde potansiyel olarak pek çok güvenlik zaafiyeti olduğunu varsayabiliriz. Eğer bilgisayarımızda kullandığımız ve milyonlarca satır kaynak kodundan oluşan yazılımların tümü açık kaynak kod modeliyle geliştiriliyor olsaydı, teorik olarak büyük bir ekosistem sayesinde olası tüm güvenlik zaafiyetlerinin bulunması mümkün olabilirdi.
Burada bahsedilen nedenlerden ötürü tümüyle açık kaynak kod ve özgür lisans modelleriyle geliştirilen yazılımlardan oluşan bir işletim sistemi kullanmaya karar verirseniz, Debian GNU/Linux dağıtımını bilgisayarınıza kurabilirsiniz [5]. Ancak kendim de bir Debian geliştiricisi olmama rağmen, herkesin bir anda Debian kullanmaya başlamasını önermem mümkün değil. Bilgisayarla yaptığınız işlemlerde kullandığınız uygulamaların tümüne yönelik açık kaynak kod ve özgür yazılım dünyasında her zaman bir alternatif veya yeterince iyi bir alternatif bulmak mümkün değil. Bununla birlikte her geçen yıl bu oran özgür yazılımlar lehine artıyor hatta bazı kullanım biçimleri için tamamen özgür yazılımlardan oluşan bir sistemi kullanmayı olanaklı kılıyor.
Günümüzde biraz da işin doğası gereği Google, Apple, Facebook, Oracle gibi bazı teknolojik firmalarla bir kartelleşme oluşmuş durumda. Bu durumun kısa veya orta vadede değişmesi de oldukça zor görünüyor.
Google artık 1996 yılındaki idealist araştırma projesi değil; kâr etmesini bekleyen patronları, ortakları ve halka açık hisseleri var. Dolayısıyla kollektif bir bilinçle farkındalık yaratıp, ticari firma veya kurumların insan haklarıyla ilgili temel konulara müdahale olasılığı içeren geliştirmeleri söz konusu olduğunda gerekli kamuoyunun oluşturulmasına katkıda bulunmalıyız.
Haklarımızı bilmek ve bunları şirketler üzerinde baskı yaratmak suretiyle talep ediyor olmak elbette çok önemli ancak konuya daha geniş bir perspektiften baktığımızda, bu gibi çalışmaların sınırlarının hukukla çizilmiş olması ve o hukukun da ticari çıkarlar, devlet güvenliği vb. gerekçelerle kurumlara boyun eğmemesi veya işbirliğinin önünü açmaması gerekiyor. Herhangi bir firma yada kurumun başta özel hayata saygı olmak üzere insan haklarının bir bölümünü ihlal ettiğinde, ciddi yaptırımlarla karşılaşması sağlanmalıdır. Devletler, firmalar ve diğer kurumların sundukları yazılım ürünlerinin de insan hakları standartlarına uygun olmasını garanti altına almalı, özgür yazılım ekiplerinin kullanıcıya erişimine yönelik destekler sunmalı ve tıpkı diğer ticari alanlarda olduğu gibi bilişim alanındaki kartelleşme sürecinde de en azından izleyici rolüyle yer almalıdır.
Bu kadar büyümüş ve yoluna çıkan diğer küçük firmaları yutan yapılara karşı yapabileceğimiz bir diğer eylem de özgür yazılım alternatiflerine yönelerek kullanım oranlarını düşürmek olabilir. Kullanım oranlarının azalması kârın da azalmasını sağlayacaktır. Bu da beraberinde hoşnut olmayan hissedarları ve politika değişimlerini getirebilir.
Bunlar kulağınıza biraz romantik yaklaşımlar olarak geliyorsa bir daha düşünmenizi öneririm. Bir çoğumuz evden çıkarken cüzdanını unuttuğunda çok da önemsemeyip günlük rutinine devam edebiliyorken unutulan şey akıllı telefon ise, geri dönüp almak zorunda hissediyor! Böylesine bir dönüşüm için 10 yıl geçmesi bile gerekmemişken sürecin gelecekte nereye doğru evrileceğine kafa yormakta ve onu daha iyi bir şeye dönüştürmeye çalışmakta fayda var.
Somut bir öneride bulunmak gerekirse, bilgisayarınızdan Google Chrome'u kaldırın (Linux kullanıyorsanız güncellenmiş chromium paketlerini kullanmaya devam edebilirsiniz) ve Firefox gibi bir web tarayıcı kullanın.
Bu olaydan başka bir yönden de ders çıkarılması gerekiyor. Bilgisayarımızdaki dahili mikrofon ve kamera aygıtlarının sadece yazılımla açılıp kapanabilmesinin yanında, elektriksel olarak da tamamen kapatılabilmesine imkan sağlayan fiziksel bir anahtar bulunması gerekiyor. Tıpkı bazı dizüstü bilgisayarlarda yer alan ve kablosuz ağ kartınızı kapatıp açmaya yarayan anahtar gibi, mikrofon ve kamerayı da kapatabilme imkanı sunan ve bu şekilde kapatıldığında yazılımsal olarak aygıta erişimi imkansız kılan bilgisayarların üretilmesi önemli bir ihtiyaç olarak görünüyor.
Tüm bu olan bitene rağmen Google Chrome kullanmaya devam ediyorsanız, günün birinde özel bir konuşmanızla ilgili hakkınızda soruşturma açıldığında yada konuştuğunuz konuyla ilgili gün boyu reklam yağmuruna ve çeşitli yönlendirmelere maruz bırakıldığınızda şaşırmayın. Bu konuyu gözardı etmeniz, bu savaşı kaybetmemiz demek.
Google Chrome ortam dinlemesi mi yapıyor?
Geçtiğimiz haziran ayında yerli ve yabancı basında görmüş olabileceğiniz üzere Google Chrome web tarayıcısının ortam dinlemesi yapıyor olabileceğine dair bazı iddialar gündeme geldi. Ülkemiz basınının bunun gibi teknik konulara yaklaşımındaki tutumu maalesef magazin haberi seviyesinin ötesine geçemiyor. Bu yazıda geleceğimizi de ilgilendiren bu konuyu incelemeye çalışacağız.
Açık kaynak kod ve özgür yazılım
Öncelikle konuya yabancı olanlar için bazı kavramlara kısaca değinmemizde fayda var. Her yazılım kaynak kodlardan oluşur. Yazılım kaynak kodları insanlar için anlamlıdır, bilgisayarınızın için de anlamlı olması için derleyici adını verdiğimiz araçlarla makine diline (obje koduna) dönüştürülmeleri gerekir. İnternet üzerinden indirdiğiniz ve bilgisayarınızda çalışmaya hazır haldeki yazılımlar, makine diline dönüştürülmüş halde bulunurlar. Dolayısıyla bu dosyaların içerisini açıp baktığımızda sadece makine dilindeki obje kodlarını görürüz ve bu noktadan hareketle yazılımın kaynak kodlarına ulaşmak mümkün değildir.
Açık kaynak kodlu yazılım geliştirme modelinde, yazılım kaynak kodları internet üzerinde herkese açık halde bulundurulur. Dileyen herkes kaynak kodları inceleyebilir, bilgisayarına indirebilir ve üzerinde çalışabilir hatta projeye katkıda bulunabilir. Örneğin açık kaynak kod modeli ile geliştirilen Openoffice uygulamasının tüm kaynak kodlarına erişebilirken bunun karşıtı olan kapalı kod yöntemiyle geliştirilen Microsoft Office uygulamasının kaynak kodlarına erişmeniz mümkün değildir.
Açık kaynak kodlu yazılımların çoğunluğu özgür yazılımlardır ancak her açık kaynak kodlu yazılım aynı zamanda özgür yazılım olmak zorunda değildir. Açık kaynak bir yazılım geliştirme yöntemi iken özgür yazılım sosyal bir harekettir. Açık kaynak kodlu geliştirme modeli öncelikli olarak yazılımın teknik açıdan daha iyi hale getirilmesiyle ilgilenirken özgür yazılım konuyu toplumun tüm kesimleri için yaşamsal öneme sahip temel hak ve özgürlükler kapsamında inceler.
Açık kaynak modeliyle geliştirilen yazılımların da mutlaka bir lisansı bulunur. Çoğu projede bu amaçlarla hazırlanmış belli başlı lisans modellerinden biri kullanılır [1]. Bu lisansların bazıları, özgür yazılım noktasından bakıldığında yeterince özgür olarak değerlendirilmez. Örnek olarak bunlardan biri olan BSD Lisans modeli, ticari firmaların açık kaynak kodlu projede geliştirilen kodları baz alarak üzerine bir miktar ek kod daha yazmalarına ve yapılan eklemelerin kapalı olarak kalmaya devam ettiği ürünler çıkarmalarına izin vermektedir.
Google Chrome ve Chromium projesi
Chromium, Google tarafından açık kaynak kod geliştirme modeli ile başlatılan ve özellikle başlangıç aşamasında çoğunluğu Google çalışanlarından oluşan yazılımcılar tarafından, BSD lisans modeli ile geliştirilen bir web tarayıcı platformu projesidir. Projenin temel amacı hızlı çalışan ve güvenilir bir web tarayıcısı geliştirmektir. Lisansı uygun olduğu için Google, proje kapsamında geliştirilen açık kaynaklı yazılımı baz alarak üzerine kendi geliştirdiği kapalı kodlu bileşenleri de eklemekte ve ortaya Google Chrome web tarayıcısı çıkmaktadır.
Chromium projesi sadece Google Chrome tarafından değil, Yandex Browser, Qt Web Engine vb. gibi çok sayıda farklı uygulama ve kütüphane içerisinde de kullanılmaktadır. Aynı zamanda Debian, Ubuntu gibi çeşitli Linux dağıtımları içerisinde Google Chrome'dan farklı olarak bu projeden üretilmiş, chromium adında bir web tarayıcı paketi de bulunmaktadır.
Google Chrome bir özgür yazılım değildir. Google Chrome yerine Linux dağıtımları ile birlikte gelen chromium uygulamasını kullandığınızda, Google tarafından eklenen kapalı kodlu bileşenlerden uzak durmuş olursunuz. Yazının devamında "Google Chrome" ile firma tarafından geliştirilen web tarayıcısını, "Chromium" ile projenin kendisini, "chromium" ile de Linux dağıtımları tarafından aynı projeden üretilen ancak kapalı kodlu bileşenler içermeyen web tarayıcı uygulamasını kastediyor olacağız.
Problemin farkedilişi
26 Mayıs 2015'te Yoshino Yoshihito #786909 kayıt numarasıyla Debian Hata Takip sistemi üzerinde yeni bir hata kaydı oluşturdu. Bu hata bildirisinde özetle chromium uygulamasını 43. versiyona güncelledikten sonra sistemin kendisinden onay istemeksizin "Chrome Hotword Shared Module" adı verilen bir eklentiyi indirdiğini ve tarayıcısının adres satırına chrome://voicesearch yazmak suretiyle ilgili eklenti hakkında ek bilgi aldığında, "Auido Capture Allowed" iznine sahip olduğunu, dolayısıyla mikrofona erişim imkanı bulunduğunu iletiyordu.
Bu hata raporunun yayınlanmasının ardından pek çok kişi aynı durumu teyit eden bilgiler paylaştı. Peki tüm bunlar ne anlama geliyor ve bizim için sorun nerede başlıyor?
Google Sesle Arama Teknolojisi
Muhtemelen pek çoğunuz Google'un sesle arama özelliğini bilgisayarınızda veya cep telefonunuzda denemişsinizdir. Bu özellik öncelikle sesle arama yapmak istediğinizi belirten bir butona tıklandıktan yada telefonda bu iş için yapılmış özel uygulamayı açtıktan sonra çalışmaya başlıyor. Mikrofondan kayıt edilen sesiniz analiz için Google sunucularına gönderiliyor ve burada daha önce kaydedilmiş desenlerle karşılaştırılıyor.
Gelişmiş ses tanıma fonksiyonlarını cep telefonu veya kişisel bilgisayar üzerinde doğrudan çalışacak düzeye indirmek günümüzde halen yeterince uygulanabilir değil. Bu yüzden analiz için bulut tabanlı sunucu kümelerinin kullanılması kaçınılmaz. Google ses tanıma teknolojisinde kaydedilen ses desenini daha doğru algılayabilmek için, insan beyninin bilgi işleme yönteminden esinlenerek geliştirilen yapay sinir ağları modellerini kullanır.
Google bu noktada sık yapılan arama sorguları ve arama motorunun çalışması için önceden analiz etmiş olduğu web içeriğinin kendisi gibi sahip olduğu devasa verinin avantajını, N-gram modeliyle ses tanıma sürecini iyileştirmek için kullanıyor. N-gram modeli, N. kelimenin (N-1) yani bir önceki kelimenin ne olduğuna göre olasılığının bilindiği durumlar için geliştirilmiştir. Örneklemek gerekirse, eğer "hafta sonu" şeklindeki 2 kelimeden sonra bir 3. kelime daha gelecek ise, bu kelimenin "matematik" ya da "kahvaltı" olması arasında olasılık açısından bir fark vardır. Örneğimizdeki 3. kelimeyi tahmin etmedeki başarı oranını artırmak için elimizde 3-gram modelini besleyecek verilerin de bulunması gerekir.
Açıklanan rakamlara göre 2012 yılında Google ses tanıma için, 5-gram modelini (yani 5 ardışık kelimeye kadar) ve toplamda 12 milyar civarında N-gram kümesini kullanmaktaydı. Bugün bu sayıların hangi düzeye ulaştığını kesin olarak bilemesek de ciddi oranda artmış olduğunu varsayabiliriz. Ek olarak bunun statik bir model olmadığını ve öğrenmeye devam ettiğini de belirtmemiz gerekir.
Konudan biraz uzaklaştık gibi görünebilir ancak bu detay, kaydedilen sesin neden Google sunucularına gönderildiğini anlamak için gerekli. Yukarıda bahsedilen büyük veri kümeleri üzerinde çalışıp kendi kendine öğrenmeye devam eden algoritmaların kısa sürede yanıt üretebilmesi, ancak birden çok sunucu üzerinde çalışmasıyla mümkündür. Günün birinde kişisel bilgisayarlarımız bu işlem gücü için gereken kapasiteye ulaşsa dahi elimizde analiz için gereken diğer büyük veritabanı bulunmayacağından Google hep bir adım önde olacaktır.
Sesle arama yapabilmenin nesi kötü?
Sesle arama uzun zamandır Google ürünü olarak hayatımızda ancak Google Chrome versiyon 43 ve sonrasında bu süreç bir adım daha ileriye götürülerek, "OK Google" adıyla yeni bir modelle desteklenmiş.
Bu özellik tarayıcınızda Google ana sayfasına girdiğinizde veya bir adrese gitmek için yeni bir sekme açtığınızda önce "OK Google" ardından aramak istediğiniz kelimeleri söylemek suretiyle çalışıyor. Yani sesle arama yapmak için özel bir butona tıklamak yerine, "OK Google" kelimelerini telaffuz ederek ses tanıma sürecini harekete geçirmiş oluyorsunuz. Özellikle tablet vb. cihazlarla kullanım alışkanlıklarının değişmeye başladığını ve daha az klavye kullanır olduğumuzu düşünecek olursak, hayatımızı kolaylaştıracak bir özellik olduğunu söyleyebiliriz.
Bu özelliğin çalışabilmesi için sistemimizin sürekli olarak ortamdaki sesleri dinlemesi ve "OK Google" kelimelerini yakalaması gerekiyor. Buradaki analiz, kelime sayısı sadece 2 olduğundan ve belirli bir ses deseni içerdiğinden sizin bilgisayarınızda yapılmakta, Google sunucularına herhangi bir veri gönderilmemektedir. Devamındaki analiz ise yukarıda değindiğimiz şekilde sunucular üzerinden yapılacaktır.
Dolayısıyla daha hızlı arama yapabilmenizi sağlamanın yolu sizi sürekli dinlemekten geçiyor. Üstelik bu dinleme yapılırken mikrofonunuzun kullanımda olduğuna dair bir bildirim de almıyorsunuz.
Google ekibinden yapılan açıklamada [2], "OK Google" arama özelliğinin sadece bu özelliği aktifleştirmiş kullanıcılarda ve yeni sekme açıldığında veya Google ana sayfasına girildiğinde devreye girdiği belirtildi. Bu açıklamayı doğru kabul etsek de, şu soruları sormak zorundayız:
Sorunlar burada bitmiyor, daha kötüsü de var.
Bu özelliği Ayarlar menüsünden devre dışı bırakmış olsanız bile, adres çubuğuna chrome://memory-redirect yazdığınızda çıkan detaylı listenin sonlarına doğru bakacak olursanız, "Extension Hotword Triggering" kodunun çalışır durumda olduğunu ve belirli bir bellek tükettiğini göreceksiniz. Yani aksini belirtmiş olmanıza rağmen ilgili modül arka planda çalışıyor ancak yapmış olduğunuz seçim nedeniyle mikrofon üzerinden bir dinleme gerçekleştirmiyor. Peki buna neden güvenelim? Kullanmak istemediğim bu özellik neden pasif durumda arka planda çalışmaya devam ediyor?
Şimdi en önemli soruna geliyoruz. Tüm bu "Hotword Triggering" modülü obje koduyla yani makine dili ile bilgisayarınıza indiriliyor. Geliştirmesi ise Google tarafından kapalı kod modeliyle yapıldığından "Hotword Triggering" modülünün ne yaptığını, kaynak kodlarına bakarak inceleme şansımız bulunmuyor.
Üstelik kodlarını denetleyemediğimiz bu bileşen otomatik olarak, herhangi bir talep olmaksızın tüm Chrome yüklü sistemlere yükleniyor. Google'a böyle bir işlemi neden onay almaksızın yaptığı sorulduğunda ise, sesle aramayı temel kullanıcı deneyiminin bir parçası olarak gördüklerini ve seçimlere bağlı olmaksızın tarayıcının ana fonksiyonları arasına dahil edilmesi gerektiğini düşündüklerini söylüyorlar [2].
Google açıklamasında "Hotword Triggering" özelliğinin doğrudan çalıştırılabilir bir modül olmadığını, NaCl (Native Client Plugin) yöntemiyle çalıştığını ve bir web sitesi gezinilirken ne kadar güvenli bir ortam sağlanıyorsa aynı kurallarla sınırlandırıldığını dolayısıyla bilgisayarınızdaki diğer verilere erişilebilmesi gibi bir sorun yaratamayacağını, tek farkın mikrofona doğrudan erişim imkanı olduğunu da eklemiş. Bunu şöyle de tercüme edebiliriz; bizim kontrolümüz dışında burada bir zaafiyet olsa bile sisteminize ciddi zararlar verilemez, ancak mikrofon üzerinden bulunduğunuz ortam dinlenebilir. Pek güzel!
Daha da sıkıntı yaratan durum şu ki, Google bunu sadece kendi Chrome tarayıcısında değil, Chromium projesi içerisinden üretilen ve Debian vb. Linux dağıtımlarında kullanılan, kapalı kodlu bileşen içermeyen chromium tarayıcısında da yapıyor. Bunun mümkün olabilmesi için gereken yazılım değişikliklerini, çok dikkat çekmeden açık kaynak kod modeliyle geliştirilen Chromium projesi içerisine dahil etmeyi başarmış.
Google ekibinden yapılan açıklamada [2] bu duruma kısaca şu şekilde değiniliyor:
Söyledikleri doğru fakat bu kadar büyük bir açık kaynak kodlu proje içerisine böyle bir özelliği otomatik indirecek şekilde kod ekliyor olmak, sonrasında da "madem öyle siz devre dışı bırakıp o şekilde bir tarayıcı üretseydiniz" demek en hafif tabirle biraz fazla kurnazca kalıyor.
Gelecek itirazların herkesin malumu olduğu böylesi bir fonksiyon geliştiriyor iseniz, üretilen yazılımda öntanımlı olarak devre dışı bırakılmasını, sadece özellikle seçildiğinde devreye alınmasını sağlıyor olmanız genel kabul görmüş bir pratiktir. Ancak burada bu süreç uygulanmamıştır. Daha sonra yaptıkları açıklamada ise Chromium versiyon 45 ve sonrasında bu özelliğin ön tanımlı olarak devre dışı bırakılacağını iletip geri adım atmak durumunda kaldılar.
Google'ın tümüyle iyi niyetli olduğuna inanamaz mıyız?
İnanabilirsiniz ve belki öyle de olabilir. Bir an için, Google'ın NSA (Ulusal Güvenlik Ajansı) ve ABD devlet kurumlarıyla ne kadar gönüllü işbirliği içerisinde olduğuna dair Snowden'in yazdıklarını tümüyle yok saydığımızı varsayalım [3].
"OK Google" seçeneği kapalıyken bile aslında arka planda çalışmaya devam eden bu modülde herhangi bir güvenlik zaafı varsa birileri bunu Google'ın da kontrolü dışında kullanamaz mı? Cevabımız evet, kullanabilir şeklinde olacaktır. Bir düşünün, şu an yüz milyonlarca Chrome web tarayıcısı çalıştıran bilgisayarın mikrofonuna erişmek ve ortam dinlemesi yapmak mümkün olabilir. Aksinden nasıl emin olacağız?
Tüm iyi niyetli yorumlarımızda dahi önemli bir güvenlik zaafiyeti olasılığı önümüzde duruyorken buna bir de Google'ın o kadar da iyi niyetli olmayabileceği senaryosunu eklemeyi deneyelim. Buradan hareketle ulaşacağımız nokta, ortam dinlemelerinin istenen zamanlarda belirli kişilere yönelik olarak aktifleştirilip geri kalan zamanlarda normal çalışmasına devam ettiği bir model olabilir.
Şüphe duymamak mümkün olmadığı gibi aksi yönde emarelerle daha sık karşılaşmaya başladığımızı söyleyebiliriz. Örneğin şu an Yahoo'nun CEO'su olan Marissa Mayer 2012 yılında Google'da üst düzey yönetici iken, The Telepgraph için verdiği bir röportajda [4], Google'ın büyük hedefinin sezgisel arama olduğunu söylüyor ve ekliyor:
Yani leb demeden leblebiyi anlamak istediklerini söylüyorlar. Kulağa çok hoş geliyor!
Açık yazılımlar güvenli değil miydi?
Yazılım güvenliği çok katmanlı bir konudur ve bir yazılımın herhangi bir özelliği veya katmanı asla tek başına mutlak güvenliği sağlayamaz. Yazılımın açık kaynak kodlu geliştiriliyor olması, kaynak kodlarının herkes tarafından incelenebilmesi nedeniyle içerdiği zaafiyetlerin ticari bir firmaya bağımlı kalınmaksızın erken tespiti ve çözüm üretimi imkanını sağlar, daha fazlasını değil.
Bununla birlikte Chromium gibi büyük bir yazılım projesinde bazı zararlı olabilecek bileşenlerin farkedilmesi her zaman mümkün olmayabilir. Chromium örneğinde de bu değişiklikler gözden kaçmış ancak kısa süre içerisinde farkedilmiş ve Linux dağıtımları tarafından gerekli önlemler alınarak, chromium uygulamasının "Hotword Triggering" modülünü indirmesine olanak vermeyen bir versiyonu üretilmiştir.
Eğer kapalı kodlu bir yazılım kullanıyor olsa idik muhtemelen bu sorunun ya hiç farkında olmayacak yada üzerinden uzun zaman geçtikten sonra tespit edebilecektik.
Özetle, açık kaynak kodlu geliştirme modeli, yazılımın daha güvenli olabilmesine giden yolun önünü açıyorken, kapalı kodlu ticari modeller zaten tanımı gereği mevcut ortamın güvenliğini artırmaya yönelik herhangi bir katkıda bulunmuyor.
Peki ne yapabiliriz?
Bugün kullandığımız bilgisayarlardaki işletim sistemi ve temel uygulamaların kaynak kodlarının toplamı ortalama olarak 80-100 milyon satır arasında bir büyüklüğe ulaşmış durumda. Bu kadar devasa bir kod yığını içerisinde potansiyel olarak pek çok güvenlik zaafiyeti olduğunu varsayabiliriz. Eğer bilgisayarımızda kullandığımız ve milyonlarca satır kaynak kodundan oluşan yazılımların tümü açık kaynak kod modeliyle geliştiriliyor olsaydı, teorik olarak büyük bir ekosistem sayesinde olası tüm güvenlik zaafiyetlerinin bulunması mümkün olabilirdi.
Burada bahsedilen nedenlerden ötürü tümüyle açık kaynak kod ve özgür lisans modelleriyle geliştirilen yazılımlardan oluşan bir işletim sistemi kullanmaya karar verirseniz, Debian GNU/Linux dağıtımını bilgisayarınıza kurabilirsiniz [5]. Ancak kendim de bir Debian geliştiricisi olmama rağmen, herkesin bir anda Debian kullanmaya başlamasını önermem mümkün değil. Bilgisayarla yaptığınız işlemlerde kullandığınız uygulamaların tümüne yönelik açık kaynak kod ve özgür yazılım dünyasında her zaman bir alternatif veya yeterince iyi bir alternatif bulmak mümkün değil. Bununla birlikte her geçen yıl bu oran özgür yazılımlar lehine artıyor hatta bazı kullanım biçimleri için tamamen özgür yazılımlardan oluşan bir sistemi kullanmayı olanaklı kılıyor.
Günümüzde biraz da işin doğası gereği Google, Apple, Facebook, Oracle gibi bazı teknolojik firmalarla bir kartelleşme oluşmuş durumda. Bu durumun kısa veya orta vadede değişmesi de oldukça zor görünüyor.
Google artık 1996 yılındaki idealist araştırma projesi değil; kâr etmesini bekleyen patronları, ortakları ve halka açık hisseleri var. Dolayısıyla kollektif bir bilinçle farkındalık yaratıp, ticari firma veya kurumların insan haklarıyla ilgili temel konulara müdahale olasılığı içeren geliştirmeleri söz konusu olduğunda gerekli kamuoyunun oluşturulmasına katkıda bulunmalıyız.
Haklarımızı bilmek ve bunları şirketler üzerinde baskı yaratmak suretiyle talep ediyor olmak elbette çok önemli ancak konuya daha geniş bir perspektiften baktığımızda, bu gibi çalışmaların sınırlarının hukukla çizilmiş olması ve o hukukun da ticari çıkarlar, devlet güvenliği vb. gerekçelerle kurumlara boyun eğmemesi veya işbirliğinin önünü açmaması gerekiyor. Herhangi bir firma yada kurumun başta özel hayata saygı olmak üzere insan haklarının bir bölümünü ihlal ettiğinde, ciddi yaptırımlarla karşılaşması sağlanmalıdır. Devletler, firmalar ve diğer kurumların sundukları yazılım ürünlerinin de insan hakları standartlarına uygun olmasını garanti altına almalı, özgür yazılım ekiplerinin kullanıcıya erişimine yönelik destekler sunmalı ve tıpkı diğer ticari alanlarda olduğu gibi bilişim alanındaki kartelleşme sürecinde de en azından izleyici rolüyle yer almalıdır.
Bu kadar büyümüş ve yoluna çıkan diğer küçük firmaları yutan yapılara karşı yapabileceğimiz bir diğer eylem de özgür yazılım alternatiflerine yönelerek kullanım oranlarını düşürmek olabilir. Kullanım oranlarının azalması kârın da azalmasını sağlayacaktır. Bu da beraberinde hoşnut olmayan hissedarları ve politika değişimlerini getirebilir.
Bunlar kulağınıza biraz romantik yaklaşımlar olarak geliyorsa bir daha düşünmenizi öneririm. Bir çoğumuz evden çıkarken cüzdanını unuttuğunda çok da önemsemeyip günlük rutinine devam edebiliyorken unutulan şey akıllı telefon ise, geri dönüp almak zorunda hissediyor! Böylesine bir dönüşüm için 10 yıl geçmesi bile gerekmemişken sürecin gelecekte nereye doğru evrileceğine kafa yormakta ve onu daha iyi bir şeye dönüştürmeye çalışmakta fayda var.
Somut bir öneride bulunmak gerekirse, bilgisayarınızdan Google Chrome'u kaldırın (Linux kullanıyorsanız güncellenmiş chromium paketlerini kullanmaya devam edebilirsiniz) ve Firefox gibi bir web tarayıcı kullanın.
Bu olaydan başka bir yönden de ders çıkarılması gerekiyor. Bilgisayarımızdaki dahili mikrofon ve kamera aygıtlarının sadece yazılımla açılıp kapanabilmesinin yanında, elektriksel olarak da tamamen kapatılabilmesine imkan sağlayan fiziksel bir anahtar bulunması gerekiyor. Tıpkı bazı dizüstü bilgisayarlarda yer alan ve kablosuz ağ kartınızı kapatıp açmaya yarayan anahtar gibi, mikrofon ve kamerayı da kapatabilme imkanı sunan ve bu şekilde kapatıldığında yazılımsal olarak aygıta erişimi imkansız kılan bilgisayarların üretilmesi önemli bir ihtiyaç olarak görünüyor.
Tüm bu olan bitene rağmen Google Chrome kullanmaya devam ediyorsanız, günün birinde özel bir konuşmanızla ilgili hakkınızda soruşturma açıldığında yada konuştuğunuz konuyla ilgili gün boyu reklam yağmuruna ve çeşitli yönlendirmelere maruz bırakıldığınızda şaşırmayın. Bu konuyu gözardı etmeniz, bu savaşı kaybetmemiz demek.
Kaynaklar
[1] http://opensource.org/licenses
[2] https://code.google.com/p/chromium/issues/detail?id=500922#c6
[3] https://firstlook.org/theintercept/2015/05/05/nsa-speech-recognition-snowden-searchable-text
[4] http://www.telegraph.co.uk/technology/google/6810021/Marissa-Mayer-An-omnivorous-Google-is-coming.html
[5] https://www.debian.org