Dünya genelinde hızla yayılan ve en çok kullanılan sosyal medya platformlarından biri haline gelen TikTok ile ilgili ciddi bir iddia ortaya atıldı. 

BOLD – Çin’de geliştirilip Türkiye’nin yanı sıra birçok ülkede yaygın kullanılan ve sosyal medya uygulamaları arasında popüler hale gelen “TikTok”un kullanıcı verilerinin izinsiz depolandığı gündeme geldi.

Bir Reddit kullanıcısının iddiasına göre TikTok kullanıcılarının telefonlarına kaydettiği tüm bilgileri kopyalıyor. İddialar arasında telefondan silinmiş bilgilerin depolandığı, uygulama kapalıyken ses ve görüntü kaydı yapıldığı, kullanılan telefonun teknik özelliklerinin hakkındaki bilgilerin toplandığına dair ifadeler yer aldı. 

Redist kullanıcısının iddiaları şöyle;

Kullandığınız telefonun tüm donanım parçalarıyla ilgili bilgiyi topluyolar. (işlemcisi, hafızası ve hafızayı ne kadar kullandığınız, ekran boyutu vs. hepsi) 

İndirdiğiniz tüm uygulamalar -ki önceden yükleyip sonra sildikleriniz de buna dahil- da kayıt altında ve saklanıyor. 

Networkle alakalı tüm bilgiler (ip’niz, yerel ip’niz, bağlandığınız wifi vs) 

Yazılım kısıtlamasını kaldırmak için jailbreak yapıp yapmadığınız. 

Hemen hemen 30 saniyede bir gps ping’i yolluyormuş uygulama, yani konum bilginiz her 30 sn’de bir yedekleniyor. 

Yani eğer telefonunuzda tiktok yüklüyse siz o sırada kullanmasanız bile nerede olduğunuzdan hep haberdar. 

Bu bilgileri de sakladığına göre, tiktok yüklü olduğu süre boyunca nerelerdeydiniz hepsinin tiktok’ta olduğunu söyleyebiliriz. 

Uygulamayı kapalıyken bile kamera ve mikrofona erişimi var 

Galerinizde bulunan medya dahil hepsine erişim ve farklı cihazlarda görüntülenmesi için transcoding yapma izni. 

Uygulamayı kullanmazken bile tiktok’un kameraya ve mikrofona erişimi olması gibi bi sıkıntı var. kaydediyordur kaydetmiyodur orası meçhul tabi. 

Android versiyonunda uygulamanın zip dosyası indirme, onu çözümleme ve çalıştırma yetkisi de var. Yani tiktok istediği uygulamayı kullanan birinin telefonuna mesela çocuk pornosu indirebilir ve suçlayabilir veya herhangi bir algoritmayla cihazda virüs yayabilir. 

Aynı zamanda tiktok kopyaladığınız her şeyi uygulamaya yapıştırmış gibi kaydedebiliyor ve uygulama bunu saklıyor. kredi kartı numarası, iban, şifreleriniz falan. eğer kopyaladıysanız artık tiktok’ta kayıtlılar. 

Kamera mikrofon yetkisiyle ilgili olarak; 2019’da bir sürü kullanıcı tiktok arkaplanda bile açık değilken, -mesela 3 aydır tiktok’a girmezken- yine de mikrofonla söylenenleri kaydettiğini fark etmişti. 

Çektiğiniz tüm videoları istediği gibi kullanabilir 

Çektiğiniz tüm videoları (gizli olanlar da dahil) tiktok istediği gibi kullanabiliyor, tiktok reklamlarındaki videolar sıradan kullanıcıların izni olmadan kullanılıyor mesela. gizli olsa bile tiktok bunu açıktan yayınlama hakkına sahip. cody ko diye bi youtuber tiktokla dalga geçmek için tiktok üzerinden video çekmişti (videoları hesabında gizliydi) ve sonrasında videoları tiktok reklamlarında kullanılmaya başlandı. 

Proxy server’ı oluşturuyormuş bu arada cihazınızda. medya aktarımı için demiş ama deli saçması, gerekli değil. proxy s. okulda öğretmenlerin bilgisayar dersinde sizin her yaptığınızı görmesini ve yaptıklarınıza kısıtlama getirmesini sağlayan şey. suistimal etme ihtimalleri yüksek. 

Topladıkları veri sayısı çok fazla ve bunu gizlemek için her güncellemede topladıkları veri gözükmesin diye ekstradan şifreleme yapıyolarmış. 

Bu arada siz tüm gizlilik özelliklerini ayarlayabilseniz bile ‘gizlilik poliçesi’ (kimsenin okumadan onayladığı uzun şey) sayesinde sizi takip eden veya sizin takip ettiğiniz herhangi biri aracılığıyla bu bilgileri toplamalarına izin vermiş oluyorsunuz. 

Sizden toplayıp reklam şirketlerine sattığımız bilgiler artık bizim sorumluluğumuz değil, ne isterlerse yaparlar beni meshul tutamazsınız da diyor. 

Mehmet Cengiz’in madenindeki işçilerin yüzde 40’ı Kovid-19’a yakalandı

Türkiye’de 5 milyon kişi Hayat Eve Sığar uygulamasını telefonuna indirdi. Kişisel veri güvenliği suistimale açık biçimde tek merkezde toplanıyor.

BOLD – Çin’in başlattığı koranaya karşı cep telefonu aplikasyonu diğer ülkelere de yayılıyor. Türkiye dahil birçok ülke, koronavirüsle mücadele için akıllı cep telefonlarına yüklenmek üzere temas takip uygulamaları geliştirdi.

Çin, Singapur, Güney Kore, Tayvan’ın öncülük ettiği Asya ülkelerinde başlayan uygulama artık Avrupa ülkelerinin de gündeminde. Ama burada kişi güvenliğini sağlayan ve tüm verileri devlete veren olmak üzere iki farklı yöntem var.

Siber Bülten’in yayınladığı analize göre;  Covid-19 cep telefonu uygulamaları, bireylerin özel verilerine erişim sağladığı için mahremiyet, kişisel veri güvenliği ve insan hakları açısından ihlallere yol açabilecek nitelikte.

Üstelik verilerin nerede toplanacağı, ne kadar süreyle tutulacağı ve amacından saptırılmadan kullanılması için alınacak güvenlik önlemlerine ilişkin küresel bir uzlaşı olmadığı için suiistimale de açık olabileceği ifade ediliyor.

MERKEZİ VE MERKEZİ OLMAYAN TAKİP UYGULAMALARI

Ülkelere göre bazı değişiklikler gösterse de genel olarak ortak özellikleri cep telefonundaki Bluetooth teknolojisini kullanıyor olmaları.

İki cihaz arasındaki veri aktarımıyla bireylerin verileri toplanıp eşleştiriliyor ve hastalık riski haritası ortaya çıkıyor. Risk tespit edilmesi durumunda da alınması gereken önlemler konusunda bireyler uyarılıyor.

Bu kaygılar da özellikle iki tip uygulamalar çerçevesinde tartışılıyor: Merkezi ve merkezi olmayan temas takip uygulamaları.

Mahremiyet ve kişisel veri güvenliği hakkı savunucuları merkezi olmayan sistemlerin kullanılması tavsiyesinde bulunuyor.

Merkezi sistemde veriler hükümet kurumlarının erişimine açılıyor ve risk ölçümü için bireylerden alınan veriler bu merkezde eşleştiriliyor. Merkezi olmayan sistemde ise hükümetlerin veriye erişimleri kısıtlı oluyor ve eşleştirmeler bireyin kendi cihazı içinde yapılıyor. Dolayısıyla bireyin verileri üzerinde kontrol hakkı daha fazla oluyor.

Merkezi olmayan bu yöntemi destekleyenler arasında ortak model geliştiren Google ve Apple ile DP3T adlı uluslararası konsorsiyum var.

TÜRKİYE’DEKİ UYGULAMA MERKEZİ

Türkiye’deki ‘Hayat Eve Sığar’ uygulaması verilerin hükümet kurumlarının doğrudan erişimine ve kontrolüne açan merkezi bir sistem kullanıyor. İngiltere’nin Wight Adası’nda test aşamasında olan uygulaması da merkezi. Ama İngiltere’nin veri mahremiyeti kaygıları nedeniyle, paralel olarak merkezi olmayan Google ve Apple ile uyumlu bir uygulama da geliştirdiği bildiriliyor. Norveç ve Fransa da şimdilik kendi üretimleri olan uygulamayı kullanıma açmaya hazırlanıyor.

Merkezi olmayan yöntemi benimseyeler arasında da Almanya, İtalya, İrlanda, Avusturya ve İsviçre var. İspanya ise şimdilik kararsız.

Mahremiyet hakkından dolayı merkezi olmayan yöntemleri savunan ve geliştiren DP3T grubu üyelerinden, Hollanda Delft Teknik Üniversitesi öğretim görevlisi Doç. Dr. Seda Gürses kişisel verilerin teknik olarak korunması konusunda uzman.

BBC Türkçe’nin sorularını yanıtlayan Dr. Gürses merkezi ve merkezi olmayan sistemler arasındaki farkı şöyle anlatıyor:

“Merkezi sistemde, Covid-19 testi pozitif çıkan bir kişinin verilerini telefon topluyor ve merkeze iletiyor. Bu merkez bireyin kiminle temasta olduğuna merkezi bir altyapıda bakabiliyor.

“Dolayısıyla veriler merkezi bir otoriteye görünür oluyor. Bunun getirdiği zararları karşılaştırınca, yapılmaması gerektiğini düşünüyoruz.

“O yüzden merkezi olmayan bu tasarımı oluşturduk. Ama birey, bu sistemle kiminle iletişimde olduğuna kendi cihazından bakabiliyor. Merkeze telefon rehberi gitmiyor.”

Merkezi olmayan yöntemleri destekleyen Google ve Apple da ortak teknoloji geliştirdi. Apple, iOS işletim sisteminin geliştiricisi, Google da Android. Bu iki şirket, API olarak bilinen uygulama programı ara yüzünü Mayıs sonundan önce ilan etmeyi planlıyor.

HAYAT EVE SIĞAR UYGULAMASI HANGİ VERİLERE ERİŞİYOR?

Benzer bir durum yine merkezi temas takip uygulaması benimseyen Türkiye’deki Hayat Eve Sığar uygulaması için de geçerli.

Her ne kadar bazı verilerin gizli tutulacağı söylense de, toplanan verinin miktarı çok olursa, bireylerin anonimleşmesinin de o kadar olacağı düşünülüyor.

Uluslararası insan hakları örgütleri ve dijital veri güvenliği savunucuları merkezi otoritelerin bireylerden toplayacağı verilerin kısıtlı ve yalnızca spesifik olarak amacına uygun toplanması tavsiyesinde bulunuyor.

Covid-19 takibi için de insanlar arası mesafe önemli olduğu için yalnızca Bluetooth özelliği yeterli görülüyor. Ama Türkiye’deki uygulama Küresel Konumlama Sistemi’den (GPS) kameraya kadar birçok veriye erişim sağlıyor.

Hayat Eve Sığar uygulamasını indirirken kullanıcıdan alınan izinler ve erişimler şöyle: GPS ve ağ tabanlı konum bilgilerine erişim, telefon rehberi, kamerada resim çekme ve görüntü kaydetme, kablosuz bağlantılar, tam ağ erişimi, Google hizmet yapılandırmasını okuma, Bluetooth ayarları, internetten veri alma.

Bunlara ek olarak hali hazırda kayıtlı olan e-devlet kimlik bilgileri, e-nabız sistemi ve Mernis (nüfus ve vatandaşlık işleri) verilerine de erişim sağlanıyor. Hayat Eve Sığar uygulaması Türkiye’de faaliyet gösteren üç GSM operatörüyle çalıştığı için cep telefonunun kayıtlı olduğu operatörle paylaşılan tüm veriler yine bu uygulama aracılığıyla devlet sistemlerine doğrudan erişim veriyor.

TÜRKİYE’DE BEŞ MİLYON KİŞİ İNDİRDİ

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Başkanı Ali Taha Koç, 6 Mayıs’ta ‘Dijital Gündem’ adlı internet sitesinin düzenlediği video konferansında Türkiye’de geliştirilen Hayat Eve Sığar uygulamasını 6 Mayıs itibariyle yaklaşık 5 milyon kişinin indirdiğini söylemiş, veri toplanmasının ‘halkın faydasına olacağını’ şu sözlerle dile getirmişti:

“Kamu olarak ne kadar fazla veri toplanırsa risk analizini daha doğru yapabileceğimizi söyleyebilirim (…) Her gün yeni özellikler ekliyoruz. Yakında bir barkod uygulaması getireceğiz. Bu sayede Covid-198 pozitif tanısı olduğunda bu özellik sayesinde girilen yerler ve zamanları takip edilecek. Salgının yayılmasını önleme açısından kişi bazlı takip çok önemli.”

Ama yalnızca bireylerin mesafeleri ve fiziksel temasları üzerinden ölçüm yapılan risk hesaplamalarında bölgesel haritaların çıkarılmasının ne kadar faydalı olacağına dair de soru işaretleri var. Dolayısıyla fazla veri toplanmasının da bireysel hakları ihlal edebileceği eleştirisi yapılıyor.

Alternatif Bilişim Derneği Yönetim Kurulu Başkanı Avukat Faruk Çayır’a göre “merkezi sistemde toplanan verilerin güvenliğinin sağlanması zor” dolayısıyla “Ne kadar çok veri kaydederseniz, o kadar çok risk almış olursunuz” diyor.

Verilerin anonimliği konusunda da endişeleri dile getiriyor:

“Diğer veriler bir yana, konum verilerinin tamamen anonim hale dönüştürülmesi bile çok zor. Konum verileriyle birlikte 3 ya da 4 veriyi birleştirdiğinizde rahatlıkla kişileri tanımlanabilir hale getirebilirsiniz. Tek bir konum verisinin bile kaydedilmesi tehlikeliyken, ‘Biz ne kadar çok veri toplarsak o kadar iyidir’ anlayışı yanlıştır ve güvenliğinin ne kadar sağlanabileceğini de tartışmalı hale getirir.”

Konum verilerini kullanan özel uygulamalar da son yıllarda güvenlik açısından tartışma yaratmıştı. Her ne kadar bazı uygulamalarda bireyin kendi onayıyla bu özellik erişime açılsa da, gizlilik sözleşmesine rağmen kimlerin eline geçebileceği belirsiz.

Strava adlı cep telefonunda kullanılan spor uygulamasının, 2018’de Suriye’deki ABD askerlerinin konumlarının ‘ısı haritasında’ gösterdiği ortaya çıkmıştı. Askerlerin üslerinin açığa çıkmasıyla Beyaz Saray ve Pentagon akıllı cep telefonu ile akıllı saatlerin kullanımını yasakladı.

Sosyal paylaşım sitesi Twitter da, yeni tip koronavirüs salgını nedeniyle evden çalışma izni verdiği personeline, gerekli gördükleri takdirde bunu süresiz devam ettirebileceklerini bildirdi.

BOLD – Salgın patlak verdiğinde evden çalışma kararı alan ilk şirketlerden biri olan Twitter’ın CEO’su Jack Dorsey, çalışanlara attığı bir e-postada ‘sonsuza dek’ evden çalışabileceklerini belirtti.

Bu karar, şirketin sözcüsü tarafından da doğrulandı.

Şirketten yapılan açıklamada, “Son birkaç ay, bu işi yürütebileceğimizi kanıtladı. Eğer çalışanlarımız, evden çalışmalarına olanak tanıyan bir rol ve durumdaysa ve sonsuza dek bunu yapmaya devam etmek istiyorlarsa, bunu gerçekleştireceğiz” ifadeleri kullanıldı.

İŞE GELİP GELMEMEK ÇALIŞANLARIN KARARI

Bir noktada ofislerin açılacağını belirten şirket, bu durumda bile kararın çalışanlara ait olacağını vurguladı. Açıklamada, “Ofisleri açmaya karar verdiğimizde, bu yine de eskisi gibi olmayacak. Dikkatli, kademeli bir süreç olacak. Ofisleri açmak bizim kararımız olacak, gelip gelmemek ya da ne zaman gelecekleri ise çalışanlarımızın kararı” denildi.

Merkezi ABD’nin San Francisco kentinde bulunan Twitter’da mart ayı başında evden çalışma kararı alındı. Bu süreçte evden çalışmayı desteklemek adına çalışanlara ek ödenek de verildi. Şirket, ayrıca tüm iş gezilerini ve toplu etkinliklerini iptal etti.

Twitter’ın yanı sıra Google ve Facebook gibi teknoloji devleri de salgın sonrası evden çalışma politikalarını gözden geçiriyor.

EVDEN ÇALIŞMA SİSTEMİNE GEÇEN İLK ŞİRKETLERDENDİ

Twitter, Covid-19 salgının yayılmasının ardından 12 Mart’ta dünya genelindeki personeline gönderdiği açıklamada, yeni bir uyarıya kadar evden çalışma usulüne geçileceğini bildirmişti.

Açıklamada, çalışanların evlerinde ofis düzeni kurmak için yaptıkları masrafların şirket tarafından karşılanacağı, evden çalışamayacak durumdaki sözleşmeli, yarı zamanlı ve taşeron işçilere ise olağan saat başına çalışma ücretlerinin ödeneceği kaydedilmişti.

Apple, Amazon, Microsoft ve Google gibi internet ve teknoloji şirketleri, Covid-19 salgını nedeniyle dünya genelindeki ofislerinde personele evden çalışmaları tavsiyesinde bulunmuştu.

Twitter, “Silikon Vadisi’nde tüm çalışanlarına evden çalışma zorunluluğu getiren ilk şirket” olmuştu.

Merkezi ABD’nin California eyaletinin San Francisco şehrinde bulunan şirketin dünya genelinde 4 bin 900 çalışanı bulunuyor.