ABD Askerlerine Pazarlanan Uygulamalarda Çin ve Rus Kodları Çıktı
Kendi türünün ilk örneği olan bir analiz, ABD askeri personeli için geliştirilen her sekiz uygulamadan birinden fazlasının yabancı kod barındırdığını ve bunların bazılarının Pentagon’un düşman olarak tanımladığı ülkelerdeki firmalara ait olduğunu ortaya koydu.
ABD askeri personeline pazarlanan yüzlerce mobil uygulamanın yakın zamanda incelenmesi, sekiz uygulamadan birinden fazlasının Çin, Rusya veya diğer yabancı ülkelerdeki şirketler tarafından oluşturulan yazılımlar içerdiğini ortaya çıkardı. Bu durum, düşman hükümetlerin askerlerin nerede yaşadığını, çalıştığını ve konuşlandırıldığını ortaya çıkaran verileri toplayabileceğine dair yeni güvenlik endişelerine yol açıyor.
Purdue Üniversitesi, West Point’teki ABD Askeri Akademisi ve Florida Uluslararası Üniversitesi’ndeki araştırmacılara göre, askerlerin kendi üslerindeki yaşam koşullarını değerlendirmek için kullandıkları popüler bir uygulama, ABD’li düzenleyici kurumların 2020’de ulusal güvenlik tehdidi olarak işaretlediği Çinli telekom devi Huawei‘den kodlar içeriyor. Diğer iki uygulama ise Rus şirketleri tarafından geliştirilmiş ve Rus reklam servisi Yandex‘i bünyesinde barındırıyor.
Amerikalıları çevrimiçi ortamda takip eden ve büyük ölçüde denetimsiz olan reklam endüstrisi, sivil ve askeri personeli ayırt etmekte bir kâr olmadığı sürece çoğunlukla aynı kefeye koyuyor. Oysa bu tür bir veri ifşasının; birlik konuşlandırmalarını, birim hareketlerini ve nükleer silahların depolandığına inanılan güçlendirilmiş sığınaklar ile istihbarat tesislerindeki personelin rutinlerini ortaya çıkarabileceğine dair somut kanıtlar bulunuyor.
WIRED’ın daha önce yürüttüğü araştırmalar, sıradan uygulamalardan elde edilen konum verilerinin ABD askerlerini evlerine, çocuklarının okullarına ve askerlerin görülmesinin yasak olduğu üs dışı tesislere kadar takip edebildiğini göstermişti. Uzmanlar, aynı verilerin yabancı casuslara hassas tesislere erişimi olan personeli tespit etmede, bir tesisin en az korunduğu zamanların haritasını çıkarmada veya diğer taviz verici ayrıntıları ortaya çıkarmada yardımcı olabileceği konusunda uyardı.
Veri Simsarlarıyla Gelen Tehdit
Buradaki riskler artık varsayımsal değil. Nisan ayında ABD Merkez Kuvvetler Komutanlığı (CENTCOM), Senatör Ron Wyden’a gönderdiği bir mektupta, düşmanların Ortadoğu’daki Amerikan personelini hedef almak veya gözetlemek için ticari konum verilerini kullandığına dair çok sayıda tehdit raporu aldığını kabul etti. Bilindiği üzere Ortadoğu’da ABD güçleri, Hürmüz Boğazı üzerinde İran ordusuyla askeri bir çıkmazın içinde bulunuyor. Yasa yapıcılar bu mektubu, aktif bir savaş bölgesindeki askerlerin “veri simsarı” ekonomisi aracılığıyla avlandığına dair ilk resmi onay olarak nitelendirdi; ki bu durum, Pentagon’un kendi yüklenicilerinin ve araştırmacılarının neredeyse on yıldır uyardığı bir tehditti.
Yeni çalışma, bu veri ifşasının sadece bir yüzüne ilk bakışı atıyor: Özellikle ordu için geliştirilen ve pazarlanan uygulamaların içinde gerçekte ne var?
ABD Purdue Üniversitesi doktora araştırmacısı ve çalışmanın baş yazarı Joshua Shinkle, “Bu sorunlara daha fazla dikkat çekme fırsatı bulduğumuz için minnettarız,” diyor. “Araştırmanın askeri personel, geliştiriciler ve platformların daha bilinçli gizlilik kararları almasına yardımcı olmasını ve bu boşlukların nasıl giderileceği konusunda geliştiriciler, platformlar ve politika yapıcılarla devam eden tartışmaları teşvik etmesini umuyoruz.”
Üçüncü Taraf Kodlar ve Huawei Tespiti
Araştırmacılar, Google Play Store ve askeri Reddit alt gruplarından (subreddit) alınan, üniforma kılavuzları ve terfi sınavı hazırlığından bankacılık ve flört uygulamalarına kadar 220’den fazla bu tür uygulamayı inceledi. Neredeyse üçte ikisi (yüzde 64), SDK (yazılım geliştirme kiti) olarak bilinen üçüncü taraf kodlar içeriyordu. Genellikle analiz ve reklamcılık için kullanılan önceden oluşturulmuş bu yazılım bileşenleri, konumları da dahil olmak üzere kullanıcı davranışlarını izleyebiliyor ve bu bilgileri dış şirketlerle paylaşabiliyor.
Araştırmacılar, uygulamaların yüzde 40’ının Google veya Apple mağaza listelerinde açıkladıklarından çok daha fazla veri topladığını veya paylaştığını tespit etti.
En yaygın SDK’lar, ABD dijital reklamcılığına hakim olan iki şirket olan Google ve Facebook’tan geliyordu. Ancak aralarında Çin, Rusya, İsrail, Hindistan, Almanya ve diğer ülkelere kadar uzanan kodların da bulunduğu toplam 76 farklı SDK ortaya çıktı. Uygulamaların yaklaşık yüzde 7’si, ABD Pentagon tarafından düşman olarak kabul edilen bir ülkeye ait üçüncü taraf kodu taşıyordu.
Uygulamalardan on ikisi, kullanıcı konumlarını haritalama, reklam sunma ve resim ile video depolama yeteneğiyle öne çıkan bir Huawei yazılım kiti olan HMS Core‘u içeriyordu. Bunlardan birkaçı doğrudan eyalet Ulusal Muhafız örgütleri için yapılmıştı.
Araştırmacılar, gerçekte Huawei sunucularına giden herhangi bir veri akışı gözlemlemedi. Ancak bir SDK her an uzaktan güncellenebilir. Bugün uykuda olan kod, yarın tehlikeli bir casus yazılım haline gelebilir. Çalışmada belirtilen en az bir vakada, Huawei kodu uygulamanın geliştiricisinin haberi bile olmadan, ticari bir bildirim aracına “bağımlılık” (dependency) olarak gizlice sızdırılmıştı.
Kullanıcıların Haberi Yok, Rehberlik Yetersiz
Araştırmacılar ayrıca orduyla bağlantılı 103 Amerikalıya (muvazzaf askerler, yedekler, gaziler, Savunma Bakanlığı sivil çalışanları ve aileleri) kendi telefonlarında karşılaştıkları veri uygulamaları hakkında anket yaptı. Katılımcıların yüzde 83’ünden fazlası, kendilerini rahatsız ettiğini söyledikleri veri izleme faaliyetlerinde bulunan en az bir uygulamayı kullanıyordu. Ortalama olarak, bu katılımcılar bu türden üçten fazla uygulama kullanıyordu.
Katılımcıların yüzde 76 ila 83’ü; Pentagon’un siber düşman olarak belirlediği dört ülke olan Çin, Rusya, İran veya Kuzey Kore’den kod içeren uygulamalardan son derece rahatsız olduklarını söyledi. Ancak hiçbir kullanıcının hangi uygulamaların bu tür kodlar taşıdığını bilmesinin kolay bir yolu yok. Ne Google’ın Play Store Veri Güvenliği bölümü ne de Apple’ın App Store Gizlilik Etiketleri, bir uygulamanın içinde çalışan yazılımın menşe ülkesini açıklamıyor.
Katılımcılar ayrıca, bir uygulamanın askeri kullanım markasına sahip olması (orduya özel pazarlanması) durumunda veri toplama konusunda daha rahat olduklarını ve daha çabuk güvendiklerini bildirdi.
Öte yandan, katılımcıların yaklaşık üçte ikisi kişisel uygulama kullanımı konusunda çok az kurumsal rehberlik aldıklarını veya hiç almadıklarını ifade etti. Biraz rehberlik aldıklarını belirtenlerin ise neredeyse dörtte üçü bu bilgilendirmeyi yetersiz buldu. Pentagon konu hakkında yorum yapmaktan kaçındı.
Olası hafifletici önlemleri değerlendirmeleri istendiğinde katılımcılar, telefon içi uyarıları (yüklü bir uygulamada yabancı veya bilinmeyen üçüncü taraf kod bulunduğunda verilen uyarılar) hem en etkili hem de destekleme olasılıkları en yüksek yöntem olarak ilk sıraya koydu.
Veri simsaralarının askeri personelle ilgili veri satın almasını veya satmasını kısıtlayan federal bir yasa çıkarılması, uygulama gizlilik ifşalarının bağımsız olarak denetlenmesi ve askeri amaçlı pazarlanan uygulamalarda yabancı kodlara yönelik daha katı yasaklar getirilmesi de katılımcılar arasında neredeyse aynı oranda destek gördü.
