350 ABD Resmi Sitesinde İhbarcı ve Ziyaretçi Kimliği Sızıyor

HTTPS'in gözden kaçan açığı: Nereye girdiğiniz hala görünüyor

Tarayıcıdaki kilit simgesi içerikleri korusa da hangi sunucuyla iletişim kurduğunuzu ağdan gizlemiyor.

Adres çubuğundaki kilit simgesi parolaların, girilen formların veya okunan metinlerin üçüncü şahıslarca görülmesini engelliyor. Ancak tarayıcının bağlandığı hedef alan adı hiçbir zaman tam anlamıyla gizlenmedi. Bağlantı kurulurken gerçekleşen TLS el sıkışması sırasında tarayıcı, Server Name Indication (SNI) isimli alanda gitmek istediği adresi şifresiz bir metin olarak karşı tarafa iletiyor. Ortak bir Wi-Fi ağına bağlı biri ya da doğrudan internet servis sağlayıcısı, hangi adrese bağlandığınızı saniyeler içinde kaydedebiliyor.

ABD Senatörü Ron Wyden, federal siber güvenlik birimlerine gönderdiği uyarı mektubunda bu boşluğun vatandaşları doğrudan hedef haline getirdiğini belirtti. CISA ve federal bilgi işlem dairesine iletilen listede, Encrypted Client Hello (ECH) protokolünü devreye almayan 350'den fazla yürütme organı sitesi yer aldı.

Listede FBI ihbar portalı (tips.fbi.gov), Gaziler Kriz Hattı (veteranscrisisline.net) ve Adalet Bakanlığı'nın ihbar formları gibi son derece hassas sayfalar bulunuyor. Bir suç ihbarında bulunan ya da intihar desteği arayan bir kişi, sayfaya tek bir bayt veri göndermeden önce hangi portala girdiğini ağ sağlayıcısına afişe etmiş oluyor.

Cloudflare ve AWS cephesinde yapılandırma ihmali

Bazı kurumlar için sorun paneldeki tek bir butondan ibaretken, bazıları için sunucu sağlayıcısını değiştirmeyi gerektiriyor.

ECH standardı, trafiği binlerce sitenin aynı IP havuzunu ve giriş noktasını paylaştığı bir içerik dağıtım ağı (CDN) üzerinden geçirerek çalışıyor. Böylece dışarıdan bakan bir göz, ziyaretçinin sağlayıcının kapısını çaldığını görüyor fakat içerideki yüzlerce siteden hangisine gittiğini ayırt edemiyor.

FBI gibi altyapısını Cloudflare üzerinde tutan kurumlar için bu açığı kapatmak dakikalar alacak bir işlem. Cloudflare ücretsiz paketlerinde ECH desteğini varsayılan olarak açık tutarken, kurumsal ve kamu hesaplarında yöneticinin bu özelliği panelden kendisinin açması gerekiyor. Büro ise aylardır bu ayarı açmaya yanaşmadı. Proton'un gözetim haritalarını taşıma hamlesinde görüldüğü gibi, dijital ayak izlerinin takibi tartışılırken en temel ağ hijyeninin göz ardı edilmesi tepki topluyor.

Gaziler Kriz Hattı cephesinde durum daha karmaşık, zira bu servis Amazon Web Services (AWS) altyapısında barınıyor ve AWS'nin CDN mimarisi henüz yerel ECH desteği vermiyor. Senatör Wyden, CISA'dan ECH'yi tüm federal sistemler için zorunlu kılmasını talep ediyor. Bu talep resmiyet kazanırsa, AWS kamu ihalelerinden dışlanmamak için elini çabuk tutmak zorunda kalacak.

Sansür rejimleri ve dış temsilcilikler denklemi bozuyor

Listede yer alan sitelerin yarıdan fazlası internet sansürünün katı olduğu ülkelerdeki elçiliklere ait.

Açık veren adreslerin 190'dan fazlası aralarında Rusya, Belarus ve Çin'in de bulunduğu ülkelerdeki diplomatik misyonlara ait. ECH'yi tüm federal sistemlerde tek kalemde zorunlu kılmak, diplomatik bir krizi beraberinde getirebilir.

Rusya iletişim denetleme kurumu Roskomnadzor, Cloudflare ECH protokolünü kullanan trafiği şimdiden kitlesel olarak engelliyor. ABD Dışişleri Bakanlığı Moskova elçiliğinin sitesinde ECH'yi devreye aldığı an, Rusya sınırları içindeki vatandaşlar elçilik portalına erişemez hale gelecek. Bilgi işlem ekipleri, kullanıcı gizliliğini sağlamakla konsolosluk sayfalarının erişilebilir kalması arasında sıkışmış durumda.

Üstelik ECH tek başına yeterli değil; korumanın eksiksiz çalışması için istemci tarafında şifreli DNS (DoH veya DoT) kullanılması şart. Aksi halde servis sağlayıcılar, el sıkışmayı göremese bile yapılan DNS sorgusu üzerinden hedefi anında tespit edebiliyor.

Türkiye'deki kullanıcıları nasıl etkiliyor?

Türkiye'deki internet servis sağlayıcıları engellenen sitelerin denetiminde ve trafik analizinde SNI kayıtlarını aktif olarak kullanıyor. Türkiye'den ABD federal sitelerindeki ihbar veya vize destek kanallarına bağlanan kullanıcılar, şifreli DNS ve ECH ikilisini kullanmadıkları takdirde yerel sağlayıcılarına hangi adrese girdiklerini açıkça iletiyor.

CISA ve OMB'nin konuya ilişkin yol haritasını sunması için 20 Kasım 2026'ya kadar süresi var. Kurumlar ECH yapılandırmasını tamamlayana dek, hassas resmi sayfalara bağlanırken güvenilir bir VPN kullanmak ağ dinleyicilerine karşı en pratik çözüm olmaya devam ediyor.

Web trafiğinde tam şifreleme hedefi, el sıkışma aşamasındaki metaveriler açıkta kaldığı sürece eksik kalacak. Bu açığı kapatmak kurumların panellerindeki ayarları güncellemesine, bulut devlerinin modern standartlara yetişmesine ve sansür rejimlerine karşı akılcı esneklikler geliştirilmesine bağlı.