Translator: Ahmet Alphan Sabancı

Bu blog postu dijital güvenliği geliştirmeye ve mahremiyeti temel bir insan hakkı olarak korumaya kendisini adamış olan Berlin merkezli teknoloji şirketi Least Authority ile birlikte kaleme alındı.

Bu hafta, Almanya'nın COVID filyasyon uygulaması yayınlandı. Dünyanın her yanındaki devletler COVID-19 pandemisi ile mücadele sürecinde filyasyon uygulamalarını kullanmaya başlamak için acele ederken, bu çabalara teknolojinin güvenliği, etkisi ve gerekliliği ile ilgili tartışmalar da eşlik etti. Almanya'nın filyasyon uygulamalarına yaklaşımı ise gecikmeler ve yön değişiklikleri ile dolu zorlu ve uzun bir yolculuktu.

Artık "Corona-Warn-App" herkesin indirmesine açık hâle geldiği için, bizler de veri güvenliği, mahremiyet ve uygulamayı yöneten kurallarla ilgili kilit soruların bazılarını cevaplıyoruz.

Uygulamayı indirmek zorunda mıyım?

Hayır. Uygulamayı indirmek ve kullanmak tamamen gönüllülük esasına dayanıyor. Ancak şu ana kadar uygulamaya dair herhangi bir yasal düzenleme yok ve eleştirmenler uygulamanın gönüllülük yönünün yasal olarak korunması gerektiğini savunuyor. Ek olarak, toplum baskısı ve işverenlerin uygulamayı indirmeye zorlaması bireylerin uygulamayı indirmek konusundaki kararlarını özgürce almalarını zorlaştırabilir.

Avrupa içerisinde her sınır geçtiğimde yeni bir filyasyon uygulaması indirmem gerekiyor mu?

Muhtemelen hayır. AB vatandaşlarının sınır kontrolüne gerek kalmadan ülke değiştirebildiği Schengen bölgesindeki çoğu ülke seyahat kısıtlamalarını gevşetti. "Dağıtık" uygulamaları kullanan AB hükümetleri filyasyon uygulamalarının sınırlar ötesinde uyumlu olmasını sağlama sözü verdi, fakat bu çözümün ne zaman uygulamaya gireceği belirsiz. Buna rağmen, Almanya'nın dağıtık uygulamasının daha "merkezi" bir yaklaşım benimseyen uygulamalarla, örneğin Fransa'nın uygulaması, uyumlu olması mümkün görünmüyor. Bu yüzden başka bir ülkeye gitmeden önce o ülkenin filyasyon uygulamaları ile ilgili düzenlemelerini kontrol etmekte fayda var —Re-open EU bu konuda faydalı bir kaynak.

Merkezi ve dağıtık uygulamalar arasındaki fark nedir ve Almanya'nın uygulaması hangi yaklaşımı tercih ediyor?

Dünyanın her yanındaki devletler filyasyon uygulamarıyla ilgilenmeye başladığında, araştırmacılar farklı çözümler önerdi. Filyasyon sistemlerinin tasarımındaki en önemli sorulardan bir tanesi bunların "merkezi" mi yoksa "dağıtık" mı olacağıydı. Filyasyon uygulamaları bağlamında, her iki model de veriyi işleyecek bir otoriteye ihtiyaç duyuyor. Aradaki fark ise bu otoritenin (örneğin bir kamu sağlığı otoritesi) ne bildiğidir. Merkezi modelde, otorite daha sonra testi pozitif çıkan birisinin yakınlarında bulunan kişiyle doğrudan iletişime geçebilecek kadar bilgiye sahip olur. Bu bilgiye kişiler arasındaki ilişkiler de dahil, ki bunlar oldukça hassas bilgiler olabilir. Dağıtık modelde otorite genellikle yalnızca COVID-19 teşhisi konmuş kişilerin kimliğini bilir. Dağıtık model altında, filyasyon uygulaması test sonucu pozitif çıkan kişilerin ID listesi ile o kişiler ile temasa geçmiş kişilerin ID listesini yerel olarak, kullanıcının telefonunda karşılaştırır.

Merkezi ve dağıtık modellerin ikisi de mahremiyet riskleri taşıyor olsa da, merkezi yaklaşımlar merkezi bir otoritenin büyük miktarda hassas veriyi güvende tutabileceğine ve bu veriyi kötüye kullanmayacağına güvenmek gibi tehlikeli bir yaklaşımı temel alır. Tekrar tekrar gördüğümüz üzere, bu güven çoğu zaman kötüye kullanılıyor. Dikkatli bir şekilde inşa edilen dağıtık modellerin sivil özgürlüklere zarar verme ihtimali çok daha düşük ve EFF filyasyon uygulamalarında merkezi sistemlerin kullanılmasına karşı açık bir şekilde karşı çıkıyor.

Avrupa Birliği'nde, Almanya da dahil olmak üzere birçok devlet merkezi bir yaklaşım ile başlayıp dijital hak STK'larının ve araştırmacıların eleştirilerinin ardından dağıtık sistemlere geçiş yaptı. Almanya'nın Corona-Warn-App uygulaması Apple ve Google'ın geliştirdiği dağıtık çerçeveyi temel alıyor. Mükemmel olmasa da, daha mahremiyet dostu bir seçenek.

Uygulama nasıl çalışıyor?

Corona-Warn-App uygulamasının amacı, test sonucu pozitif çıkan diğer kullanıcılar ile temasa geçmiş kişileri bilgilendirmek. Uygulama, çoğu insanın akıllı telefon sahibi olduğu ve yine çoğunun telefonlarını sürekli yanlarında taşıdığı ön kabulünü temel alıyor. Akıllı telefonların büyük çoğunluğu, kısa mesafede veri paylaşımına imkan veren Bluetooth teknolojisine sahip. Filyasyon uygulaması için bu teknoloji kullanılıyor.

Uygulama, akıllı telefonların düzenli olarak değişen kimlik numaraları taşıyan kısa Bluetooth sinyalleri takası yapmasına imkan veren Apple ve Google'ın maruz kalma bildirim arayüzü üzerine kurulu. Her telefon kendi kimliğini yaklaşık olarak her beş dakikada bir paylaşıyor ve sürekli olarak aynısını yapan cihazlar için dinlemede kalıyor. Telefonlar günlük şifreleme anahtarları ile her birkaç dakikada yeni bir kimlik numarası üretiyor ve bunları yerel olarak (örneğin kullanıcının telefonunda) 14 gün boyunca saklıyor.

Uygulamaları indiren kişiler belirli bir süre boyunca birbirlerine yakın bir mesafede bulunurlarsa, telefonları ID'lerini takas ediyor ve her biri diğer telefonun ID numarasını kaydediyor. ID'nin yanı sıra telefonlar ayrıca tarih, saat, temas süresi ve sonrasında kişinin enfekte olma riskinin belirlenmesi için önemli olduğundan sinyalin gücünü de kaydediyor.

Uygulama benim enfekte olup olmadığımı nasıl biliyor?

Bir kişi COVID-19 test sonucu pozitif çıkarsa, bu sonucu —isteğe bağlı olarak— Corona-Warn-App uygulamasına bildirebiliyor. Böyle bir durumda, kullanıcının veri paylaşma izni vermesi ile birlikte, uygulama önceki 14 gün boyunca kullandığı tüm günlük anahtarları bir sunucuya gönderiyor. Bu anahtarlar erişimi olan herkesin ilişkili kullanıcının dönüşümlü cihaz ID'sini üretmesine imkân veriyor.

Uygulamanın kurulu olduğu her telefon düzenli olarak test sonucu pozitif çıkan kullanıcıların ID listesini indirir. Uygulama ardından bu listeyi geçen iki hafta boyunca temasta bulunduğu ID'lerin listesi ile karşılaştırır. Bu karşılaştırma merkezi bir sunucuda değil, dağıtık bir şekilde kullanıcıların telefonlarında yapılır. Kullanıcılar ayrıca enfekte olmuş kişinin bilgisine erişemezler, yalnızca COVID-19 testi pozitif çıkan kimliği belirsiz bir kişi ile temasta bulunduklarını bilirler. Hastanın kimliğini korumak adına, kullanıcılara yalnızca gün bilgisi verilir ama saat bildirilmez.

Uygulama enfekte olmuş birisi ile temasa geçtiğini tespit ettiğinde, kullanıcısının enfekte olma riskini hesaplar. Telefonun ID ile birlikte topladığı tarih, temas süresi ve sinyal gücü gibi veriler bu noktada devreye girer. Sağlık otoriterleri tarafından belirlenen kullanıcının taşıyıcılık risk faktörü ile birlikte, uygulama kullanıcısını ortalama enfekte olma riski hakkında bilgilendirir.

Kullanıcılar bu bilgilendirmeyi aldıktan sonra bir şey yapmak zorunda değildir ve yerel sağlık kurumuna bu risk faktörünü de bildirme zorunlulukları yoktur. Kullanıcılar risk puanlarına göre davranışlarını değiştirebilir (örneğin test talep etmek ya da gönüllü karantinaya girmek) ya da bu puanı görmezden gelebilir.

Uygulama adımı biliyor mu?

Hayır. Avrupa'nın veri koruma yasası GDPR'a uygun bir şekilde, uygulama kullanıcılarının paylaşmak zorunda olduğu kişisel verileri minimumda tutmaktadır. Kullanıcıların yalnızca aşağıdaki özelliklerle ilgili veri sağlaması istenir:

• Apple ve Google tarafından geliştirilen ve uygulamanın iPhone'lar ve Google'ın Android işletim sistemini kullanan telefonlar arasında iletişim kurmasını sağlayan API'ın, Maruz Kalma Bildirim arayüzünü kullanma rızası
• Kullanıcıların test sonuçlarını doğruladıkları işlem doğrulama numarası (Transaction authentication numbers - TAN)
• Cihaz ID'lerinin üretilmesi için günlük anahtarların yüklenmesine izin verilmesi (bu kişi pozitif test sonucunu uygulamaya girdikten sonra istenir)

Eğer test yaptıramıyorsam enfekte olmuş birisiyle temasta bulunduğumu bilmemin bana nasıl bir yardımı olacak?

Pandeminin ilk aylarında COVID-19 testi yaptırmak zordu fakat Almanya'da durum şu an çok daha iyi. Test yaptırmak isteyen kişiler yerel bir hastane, hekimleri ya da test merkezleri ile iletişime geçmelidir. Almanya ayrıca asemptomatik kişiler için test imkanlarını geliştirme sözü verdi. Uygulama kişileri enfeksiyon riski konusunda bilgilendirirken, aynı zamanda yerel otoritelerin iletişim bilgilerini ve kullanıcının atabileceği bir sonraki adımlara dair bilgileri de sağlıyor.

Peki ya insanlar uygulamayı yanlış bilgiyle doldurursa?

Kullanıcıların sahte test sonucu girmelerini önlemek için uygulama hastaların test sonuçlarının doğruluğunu onaylamasını zorunlu kılar. Bu TAN numarası veya QR kod ile gerçekleştirilir. Uygulama önceki 14 gün içerisinde temasta bulunduğu ID'lerin listesini yalnızca test sonucunun doğruluğu onaylandığında yükler.

Bir diğer potansiyel yanlış bilgi kaynağı ise uygulamanın temel aldığı Bluetooth teknolojisidir. Bluetooth teknolojisi filyasyon çabalarını desteklemek için tasarlanmadığından dolayı hatalı pozitif, hatalı negatif ve yetersiz sonuçlar elde edilmesi mümkündür.

Veriler gerçekten anonimleştiriliyor mu?

Evet. Veriler anonimleştiriliyor —yani sizin kişisel bilgileriniz sizin telefonunuz ile temasa geçen diğer telefonlar ile paylaşılmıyor— ama bu herkesin kimliğinin herkes için ve her koşulda korunabileceğinin garanti edildiği anlamına gelmiyor.

Örneğin, eğer 14 gün boyunca evinizden çıkmazsanız ve bu süre boyunca sizi yalnızca bir kişi ziyaret eder ve ardından test sonucu pozitif çıkan birisi ile temasta bulunduğunuz bildirimini alırsanız, o kişinin sizi ziyaret eden kişi olduğu sonucuna ulaşabilirsiniz.

Veriler nasıl korunuyor?

Uygulama tarafından toplanan veriler sizin cihazınızda saklanmaktadır. Uygulamanın içerisinde saklanan veriler en iyi endüstri standartlarında şifreleniyor. Bu saklanan veriler aynı zamanda yayınlanan kimlikleri üretmek için kullanılan her gün için bir anahtarı da ("günlük anahtar") içeriyor.

Pozitif test sonucu onaylandığında, kişinin cihazında saklanan önceki 14 günün kullanıcı anahtarları gönüllü olarak sunucu ile paylaşılır. Ardından bu anahtarlar uygulamayı kullanan her cihaza gönderilir. Bu cihazlar anahtarları kullanarak enfekte olan kullanıcının dönüşümlü cihaz ID'lerini üretip kendi yerel temas listesi ile karşılaştırır. Eşleşme bulan cihazlar COVID-19 test sonucu pozitif çıkan birisine yakın mesafede bulundukları çıkarımını yapar.

Devletin veriye erişimi var mı?

Hayır. Corona-Warn-App'in tasarımına göre, devletin cihazınızda saklanan temas kayıtlarına erişimi mümkün olmamalıdır. Mobil cihazlar günlük anahtarlarını ("Geçici Temas Anahtarları") yükler ve diğer mobil cihazlar bunları indirir, 10 dakikalık anahtarları üretir ("Dönüşümlü Mesafe Kimlikleri") ve bunları kendi kayıtlı temasları ile karşılaştırır. Bunun anlamı sunucu ve sunucu her kim yönetiyorsa (örneğin devlet) sizin ya da diğerlerinin temas haritalarınızı (kimlerle temas ettiğiniz ve bunların nasıl birbiri ile ilişki olduğuna dair bilgileri) göremez. Uygulama yalnızca pozitif kullanıcıların anahtarlarını yükler ve onların temas kayıtlarını yüklemez.

Tüm bunlar mobil cihazların Google ve Apple'ın dokümantasyonunda anlatıldığı şekilde çalıştığını kabul etmektedir. Corona-Warn-App yalnızca hangi protokol versiyonunun kullanıldığı ve sinyal gücü verisini eklediğini söylüyor ama cihazınızdaki uygulamanın başka verileri de eklemesi imkansız değil.

Uygulama ile takip edilebilir miyim ve edilecek miyim?

Corona-Warn-App enfeksiyon zincirlerinin takibini desteklemeyi amaçlıyor, kullanıcının konum bilgilerine erişmeyi ve takip etmeyi değil. Ayrıca, uygulama geliştiricileri olabildiğince az kişisel veri topladıklarından emin olmak için analiz ve telemetri araçları kullanmaktan da kaçınıyorlar. Her ne kadar üçüncü bir şahsın uygulamanın yayınladığı veriden biraz bilgi edinmesi mümkün olsa da özellikle de cihazlarımızın bıraktığı diğer dijital izler ile kıyaslayınca uygulamanın güvenilir bir konum takip mekanizması olarak kullanılması mümkün görünmüyor. Buna rağmen, bazı riskler mevcut.

Uygulama açık kaynak kodlu mu?

Evet. Uygulamanın kodları, yazılım geliştirme platformu Github'da herkesin erişimine açık olarak mevcut. Her ne kadar uygulamanın dağıtıcısının daha fazla kişisel veri toplaması için değiştirilmiş bir versiyonunu yayınlaması mümkün olsa da, uygulamanın Almanya'da sıkı bir denetim altında olmasından dolayı bunun fark edilmemesi çok düşük bir ihtimal.

Kaç tane filyasyon uygulaması var?

Corona-Warn-App'in yanı sıra, Almanya'nın hastalık kontrol ve önlem için çalışan federal örgütü Robert-Koch-Institute tarafından yayınlanan bir "veri bağışı" uygulaması var. Uygulama kullanıcıların —gönüllü olarak— Fitbit gibi giyilebilir teknolojiler tarafından toplanan biyometrik verilerini paylaşmasına imkan veriyor. Uygulama belirsiz veri güvenliği ve mahremiyet önlemleri sebebiyle eleştirildi. EFF ayrıca giyilebilir teknolojilerin COVID-19 ile mücadelede kullanımından doğabilecek negatif sonuçlar konusunda da uyarıda bulundu.

Kriz "sona erdiğinde" uygulama iptal edilecek mi?

Alman hükümeti uygulamanın sona erdirilmesiyle ilgili kriterlerini ya da takvimini henüz açıklamadı. Eleştiriler uygulama için kesin bir sonlandırma tarihi belirlenmesi talep ediyor. Apple ve Google kamuya açık bir şekilde maruz kalma bildirim sistemini gerek kalmadığı anda bölgesel olarak devre dışı bırakma sözü verdi. Kullanıcılar temas kayıt özelliğini, telefonların diğer kullanıcıların geçici ID'lerini alma yolunu, diledikleri zaman kapatmakta özgürler. Kullanıcılar ayrıca artık ihtiyaçlarının kalmadığını düşündükleri zaman uygulamayı kaldırabilirler. Tarihin bize öğrettiği bir şey varsa, o da devletlerin kriz zamanlarında elde ettikleri güce tutunmayı isteyecekleridir. Bu yüzden hükümetin bu teknolojiyle ilgili zaman çizelgesini netleştirmesi fazlasıyla önemli.