Kriptolu telefonlar nasıl dinlendi?

TÜBİTAK üretimi MİLCEP K2 telefonlar.

Bugünkü Hürriyet'te çıkan yazımı burada da paylaşıyorum.

*

Telekomünikasyon İletişim Başkanlığı'ndaki kapsamlı müfettiş ve bilirkişi incelemesinde bazı önemli aşamaların geride bırakıldığı anlaşılıyor.

Ortaya çıkan ilk bilirkişi raporu üzerine Ankara Gölbaşı Cumhuriyet Başsavcılığı geçen hafta içinde harekete geçti ve çok sayıda insan gözaltına alındı, bunlardan bir bölümü de tutuklandı.

Birkaç gündür gazetelere yansıyan haberlerden, Türkiye'deki bütün telefon dinlemelerin yapıldığı yasal üs ve bütün internet trafiğinin denetlendiği yer olan TİB'deki ana inceleme konusunun daha önce başbakanlığı döneminde Cumhurbaşkanı Recep Tayyip Erdoğan tarafından duyurulan kriptolu telefonların dinlenmesi olduğu anlaşılıyor.

Bilirkişinin hazırladığı 53 sayfalık rapora göre, TÜBİTAK tarafından üretilen ve devlette çeşitli kademelerdeki kişilere dağıtılan 1095 telefondan 31'i hedef olarak izlenmiş ve dinlenmiş. Toplamda 363 ses kaydı var bu kriptolu telefonlara ait.

Yapılan döküme göre Cumhurbaşkanı Recep Tayyip Erdoğan'ın 87, Başbakan Ahmet Davutoğlu'nun 26, hükümet sözcüsü Bülent Arınç'ın 1, İçişleri Bakanı Efkan Ala'nın 3, ekonomiden sorumlu Başbakan Yardımcısı Ali Babacan'ın 32, Milli Eğitim Bakanı Nabi Avcı'nın 1, MİT Müsteşarı Hakan Fidan'ın 28, Genelkurmay Başkanlığı'nın 4 ve Genelkurmay'a bağlı MOBİLDESKOM'un 1 ses kaydı ortaya çıkarılmış.

Burada önemli olan bilirkişi bulgusu, bu telefonların başka telefonlarla yapılan konuşmalar nedeniyle tesadüfen değil, doğrudan hedef olarak dinlenmesi.

Normal şartlarda mahkemelerden (veya istihbari amaçlı ve acil ise polis/jandarma ve MİT'ten ama sonunda yine de mahkemeden) gelen dinleme izinleri TİB'e ulaştığında, kurum mahkemenin verdiği iznin uygunluğunu denetlemek ve dinlenecek telefon için bu mahkeme izninin numarasını da içeren bir log kaydı açmak zorunda.

Şu anda bilmediğimiz (ama herhalde savcılığın bildiği) nokta, hedef olarak dinlendiği saptanan 31 kriptolu telefonun IMEI'leri için mahkeme kararı olup olmadığı. Normal şartlarda böyle bir mahkeme kararı olamaz zaten ama polislerin ve savcılıkların mahkemeleri sahte isimlerle ve sahte suçlamalarla kandırıp bu izinleri aldığı biliniyor. (Bence yine de hakimin sorumluluğu azalmaz böyle durumlarda.)

Eğer ortada devletin gizli görüşmeleri için dağıtılmış kriptolu telefonların dinlenmesine izin veren mahkeme kararları varsa bu zaten yeterince vahim bir durum. Ama ortada mahkeme kararı bile olmadan TİB'de bu telefonlar dinlendiyse, durum çok ama çok daha vahim demektir. (Gözaltılar ve tutuklamalar dinlemelerin bir mahkeme kararı olmaksızın, TİB'de çalışanlarca yapıldığı izlenimi veriyor.)

Bir ülkenin başbakanını, dışişleri bakanını, içişleri bakanını, MİT müsteşarını, Genelkurmay'ını ancak yabancı bazı ülkeler dinlemek isteyebilir ama bu sefer bu dinlemenin içeriden yapıldığı anlaşılıyor.

Durumun fenalığını daha iyi anlamanız için kriptolu telefonların teknik olarak nasıl dinlenebildiğini de anlatmalıyım.

Kriptonun arka kapısı mı vardı?

Telekomünikasyon İletişim Başkanlığı TİB'de 'hedef' olarak dinlenen 31 kriptolu telefon TÜBİTAK tarafından üretildi.

Telefon cihazının kendisi çok fazla özellikli değil belki ama içindeki uluslararası standartta ve güvenirliği defalarca test edilip onaylanmış olan AES-256 şifreleme algoritması özel.

Daha doğrusu bu algoritmanın kendisi değil de, her telefona yerleştirilmiş olan ve 'açık anahtar şifreleme'yi sağlayan 'rastgele sayı yaratma algoritması' yerli üretim.

AES-256'nın bir küçük versiyonu olan AES-128'i dünyada çözebilen çıkmadı. Rastgele yaratılmış çok uzun bir asal sayıyı bulmak için gereken zamanın 13 milyar yıl olduğu hesaplanıyor. AES-256 ise bundan kat be kat daha güçlü. Amerikan hükümeti de kendi haberleşmesini AES-256 ile şifreliyor.

TÜBİTAK'ın bu dünya standardındaki sistemi basitçe şöyle çalışıyor:

Siz elinizdeki telefonda konuşuyorsunuz, sizin sesiniz telefonun içinde şifrelenip bir data paketi haline getiriliyor ve şebeye öyle veriliyor. Bu data paketi karşı telefona ulaştığında orada çözülüyor, arada bir yerde değil. Buna 'peer-to-peer' adı veriliyor.

Bu yöntemle şifrelenen bir konuşmayı şebekedeyken yakalayıp çözmek ve dinlemek için yegane yol, birbiriyle konuşan iki telefonun birbirleri için ürettikleri şifre çözme anahtarına o an sahip olmak. Bunun da, ancak TÜBİTAK'ın içinden birilerinin bu rastgele sayı yaratma algoritmasına bilenlerin ulaşmasını sağlayacak bir arka kapı koymasıyla mümkün olacağı anlaşılıyor.

Yani mesele TİB'le bitmiyor, TÜBİTAK'ın katkısı olmadan bu casusluğu yapmaya imkan yok.

Devletin bütün şifreleri baştan sona elden geçmeli

Türkiye, 90'lı yıllara kadar başta Amerika olmak üzere çeşitli, yabancı ülkelerden aldığı şifreli haberleşme cihazlarını kullanırdı. Genelkurmay da, MİT de, Dışişleri Bakanlığı da... Yani o ülkeler isterlerse Türkiye'nin gizli haberleşmesini izleyebilir, okuyabilirdi.

90'larda Prof. Dr. Tosun Terzioğlu'nun TÜBİTAK Başkanlığına gelmesiyle birlikte kurum içinde bir 'Ulusal Kriptoloji Araştırmaları Enstitüsü' (UKAE) kuruldu ve ulusal güvenlik için şifreler üretilmeye başlandı. Bunun son aşaması, işte bu MİLCEP adı verilen şifreli cep telefonları.

Yalnız, bu telefonların TÜBİTAK içinde birilerinin katkısıyla dinlenebilir hale gelmiş olması, UKAE'nin bütün çabasına gölge düşürücü nitelikte. Öyle ya, şifre algoritmalarına arka kapı koyanlar bunu neden sadece telefonlar için yapsın ki, belki başka haberleşme araçlarına da aynı arka kapılar kondu.

Böylesi bir şüphenin belirmiş olması bile yeterli aslında. Bugünden tezi yok Türkiye devlet haberleşmesinde kullandığı bütün şifreli cihazlardaki algoritmaları tek tek kontrol etmek zorunda.