Çoğu telefonda duress PIN yok, biz de Morse Messenger'a acil silme ekledik

Duress PIN, yani baskı altında girilen PIN, ikinci bir kilit açma kodudur. Onu normal kodunuzun yanına ayrıca belirlersiniz. Biri sizi telefonunuzun kilidini açmaya zorlarsa, normal kod yerine duress PIN'i girersiniz ve telefon açılmak yerine kendini siler.

Arkasındaki fikir basit. Uçtan uca şifreleme mesajlarınızı yoldayken korur, kilitli bir telefon da onları telefonda dururken. Biri sizi kilidi açmaya zorladığında ikisi de işe yaramaz. O anda geriye kalan tek koruma silmektir.

Üstelik mesele yalnızca siz değilsiniz. Sohbetlerinizde başkalarının sözleri de var: size bir sır veren arkadaşınız, aileniz, birlikte çalıştığınız insanlar. Silmek onları da korur.

Bunun önemli olduğu birkaç an:

• Biri telefonunuzu kilidi açıkken kapıyor ya da sizi açmaya zorluyor.
• Telefonunuzu kontrol eden bir partner. Kontrolcü bir ilişkideki biri için, bir arkadaşıyla ya da yardım aldığı biriyle yaptığı bir sohbetin telefonunda durması tehlikeli olabilir.
• Gazeteciler, aktivistler ve insanların hassas bir şey emanet ettiği herkes. Kaynaklarla çalışıyorsanız, gazeteciler için mesajlaşma rehberimiz gerisini anlatıyor.

Neredeyse kesinlikle yok. Pixel telefonlar için alternatif bir Android sistemi olan GrapheneOS, 2024'te bir tane ekledi. Telefonun PIN istediği herhangi bir yere girildiğinde, GrapheneOS'un kendi sözleriyle, “cihazı geri döndürülemez şekilde siler”.

iPhone'larda, Samsung telefonlarda ve Google'ın kendi yazılımını kullanan Pixel'lerde buna benzer bir şey yok. iPhone'daki en yakın şey, 10 başarısız parola denemesinden sonra telefonu silen bir ayar. Ama biri sizi doğru parolayı girmeye zorladığında bu işe yaramaz. Üstelik bütün bir telefonu silmek her şeyi de götürür: fotoğraflarınızı, diğer uygulamalarınızı, hepsini.

Mesajlaşma uygulamaları da bu boşluğu pek doldurmuyor. Çoğu yalnızca uygulamanın içinden hesabınızı silmenize ya da sohbetlerinizi temizlemenize izin veriyor, konuştuğunuz kişilerde de genellikle kendi kopyaları kalıyor.

Biz de bunu Morse'a ekledik. Acil silme varsayılan olarak kapalıdır, çünkü her şeyi silen bir düğme, yanlışlıkla basabileceğiniz bir düğme olmamalı. Açmak için:

1. 1Sen sekmesini, ardından Gizlilik & Güvenlik'i açın.
2. 2Panik düğmesine dokunun. Bir sonraki güncellememizde yeni adını alıyor: Acil silme.
3. 3Panik düğmesini göster seçeneğini açın. İsterseniz Kaydedilen fotoğraf ve videoları da sil seçeneğini de açın.

Bundan sonra uygulamada ve Morse'un kilit ekranında bir silme düğmesi görünür. İki dokunuş her şeyi siler: önce düğme, sonra Her Şeyi Sil. Önce Morse'un kilidini açmanız gerekmez.

Morse iPhone için kullanılabilir. Acil silme, yakında çıkacak Android uygulamasında da var.

Birkaç saniye içinde:

1. 1Morse, telefonunuzun bağlantısı hâlâ varken sunucumuzdan hesabınızı silmesini ister.
2. 2Morse'un veritabanını açan anahtarı yok eder. İçindeki her mesaj ve her kişi bir anda okunamaz hâle gelir.
3. 3Veritabanı dosyalarını ve anahtarın kapsamadığı her şeyi siler: açtığınız fotoğraf ve videolar, ses ve kamera kayıtları, geçici dosyalar, ekranınızdaki bildirimler, uygulama simgesindeki sayı ve hâlâ Morse'ta kopyaladığınız bir şeyi tutuyorsa panonuz.
4. 4Geride hiçbir şey kalmadığını kontrol eder, kalan bir şey olursa onun üzerinden bir kez daha geçer.
5. 5Kişilerinizin telefonları sizinle yaptıkları bire bir sohbeti siler ve sizi kişilerinden çıkarır.

Ardından Morse, yeni yüklenmiş gibi karşılama ekranına döner. Geri getirilecek bir şey de kalmaz: Morse'un verilerini açan anahtarlar yalnızca sizin telefonunuz için saklanır, bu yüzden telefonun bir yedeği bile başka bir cihazda okunamaz.

Neden dosyaları silmek yerine bir anahtarı yok ediyoruz? Bir telefonun flash belleğinde bir dosyayı silmek onu güvenilir şekilde ortadan kaldırmaz. Çip, eşit aşınmak için yazdıklarını farklı yerlere dağıtır, bu yüzden eski veriler bir uygulamanın ulaşamayacağı yerlerde kalabilir. O yüzden Morse silmeye güvenmez. Veritabanı, telefonun korumalı anahtar deposunda tutulan bir anahtarla telefonunuzda şifrelenir. O anahtarı yok edin, çipte kalan her şey anlamsız bir gürültüye dönüşür. Buna kriptografik silme (crypto-erase) denir ve on bin mesajda da on mesajdaki kadar kısa sürer.

Peki o anahtar da aynı çipteki bir veri daha değil mi? Haklı bir soru ve yanıtı PIN kilidi. Morse'un PIN kilidi etkinken veritabanı anahtarının kendisi de iki kez kilitlenir: PIN'inizle ve iPhone'da Secure Enclave'in, Android'de Android Keystore'un tuttuğu, telefondan asla dışarı kopyalanamayan bir anahtarla. Silme işlemi o donanım anahtarını da siler. Yani veritabanı anahtarının kilitli bir kopyası çipte bir yerde kalsa bile, onu açabilecek hiçbir şey artık yoktur.

Neden kilit ekranında çalışabiliyor? Çünkü onu yok etmek için bir anahtara ihtiyaç yok. Silme işlemi veritabanını hiç açmaz, bu yüzden Morse bunu PIN'iniz olmadan yapabilir. Morse kilitliyken silme işleminin ihtiyaç duyduğu tek şey, hesabınızı sunucumuzda silme izni. Morse bunun için, kilitliyken de okunabilen bir silme belirteci (token) saklar. Bu belirteç yalnızca hesabı silmeye yarar: hiçbir şeyi okuyamaz ya da gönderemez.

Sunucu neden önce geliyor: kişilerinizin telefonları gittiğinizi yalnızca sunucumuzdan öğrenir. Bu yüzden Morse, telefonunuz hâlâ bağlıyken önce sunucuya sorar ve yalnızca kısa bir süre bekler. Yavaş bir ağ, telefonunuzdaki silme işlemini asla geciktirmez: yanıt gelmezse telefonunuz yine de silinir.

Bunlardan önce Morse arka planda çalıştırdığı her şeyi durdurur, böylece silme işleminin ortasında hiçbir şey yeni veri yazmaz. Sonra sırasıyla hesap, anahtar, dosyalar ve en son kontrol gelir.

İşin zor kısmı kaydedilen fotoğraflardı. Bir iPhone “bu uygulamanın kaydettiği fotoğrafları” listeleyemez, bu yüzden Morse her birini kaydederken kendi listesini tutar ve onları silmek için bu listeyi kullanır. iOS fotoğrafları silmeden önce sizden onay ister, bu Apple'ın kuralı. Bu yüzden Morse önce sohbetlerinizi siler, böylece o soru hiçbir şeyi geciktiremez. Android 10 ve sonrasında Morse, kendi klasörlerine kaydettiği fotoğraf ve videoları siler.

Morse'un verilerinizi nasıl sakladığını ve koruduğunu tüm ayrıntısıyla görmek isterseniz, hepsi güvenlik teknik raporumuzda (İngilizce).

Silme kulağa basit gelir: her şeyi sil. İşin büyük kısmı, “her şeyin” saklandığı yerlere ve araya girebilecek şeylere gitti:

• Silme işleminin ortasında bir mesaj gelebilir. iPhone'da bildirimleri, her an uyanabilen küçük ve ayrı bir süreç işler. Veritabanı yok edilirken bu sürecin kaydettiği bir mesaj geride kalabilirdi. Bu yüzden silme işlemi, herhangi bir şey silinmeden önce o sürece yazmayı bırakmasını söyler.
• Temizliğin bir kısmı telefonun kendi hizmetleri üzerinden yapılır: uygulama simgesindeki sayıyı, ekranınızdaki bildirimleri, telefonunuzun sohbetlerinizden öğrendiği önerileri temizlemek. Bu hizmetler geç yanıt verebilir. Hiçbiri silme işlemini geciktiremez: her birine kısa bir süre tanınır, sonra silme işlemi yoluna devam eder.
• Bir dosya, hâlâ ona işaret eden bir şey varken gitmiş sayılmaz. Uygulama videoları oynatmak için şifresi çözülmüş dosyalara ek bağlantılar oluşturur, bu yüzden yalnızca medya klasörünü silmek o videoları telefonda bırakırdı. Silme işlemi bunun yerine, içinde ne olursa olsun geçici klasörün tamamını boşaltır.
• Morse'un kaydettiği fotoğrafları silmek, iPhone'da fotoğraf arşivinize tam erişim gerektirir. Morse bu erişimi başka hiçbir durumda istemez. Bu yüzden ayrı bir seçenek: o erişimi yalnızca o fotoğrafların da silinmesini istiyorsanız verirsiniz.

Bir silme işlemi ancak listesi kadar iyidir. Bir mesajlaşma uygulaması bir şeyleri sandığınızdan çok daha fazla yerde tutar: veritabanı, telefonun anahtar deposu, ayarlar, önbellekler, geçici dosyalar, uygulamanın arka planda çalışan kısımları. Bunların her biri, hem iPhone'da hem Android'de, testleriyle birlikte tek bir listede.

Bu liste yalnızca uygulama büyüdüğünde geride kalabilir, bu yüzden unutmayı zorlaştırdık: kod tabanımızdaki bir kurala göre, veri saklanan yeni hiçbir yer, aynı değişiklikte bir testle birlikte silme işlemine eklenmeden yayınlanamaz.

Ve silme işlemi asla işe yaradığını varsaymaz. Bittiğinde listedeki her öğeyi kontrol eder ve hâlâ duran her şeyin üzerinden bir kez daha geçer.

Bizim tarafımızda silme işlemi hesabınızı ve ona bağlı her şeyi siler: anahtarlarınızı, size teslim edilmeyi hâlâ bekleyen mesajları, anlık bildirim kaydınızı, şifreli profilinizi ve fotoğrafınızı, bekleyen kişi isteklerinizi ve gruplardaki profillerinizi. Ardından sunucu, kişilerinizin telefonlarına gittiğinizi bildirir.

App Store abonelik kaydınız kalır, ama kullanılmış olarak işaretlenir ve artık Morse ID'nize bağlı olmaz, böylece yeni bir hesaba taşınamaz. Mesajlarınız baştan beri sunucumuzda hiç okunabilir olmadı: sunucu yalnızca şifreli mesajları iletir.

Sınırları en kötü anda öğrenmektense şimdi bilmek daha iyi:

Geri alma yok. Hesap gider ve yeni bir hesaba ihtiyacınız olur.

Acil silme o andan öncesi için. Duress PIN ise o anın kendisi için: Morse'un kilit ekranı için ikinci bir PIN. Biri sizi uygulamayı açmaya zorladığında onu girersiniz ve uygulama açılmak yerine her şeyi siler. Gelecek bir güncellemede geliyor.

O zamana kadar iki şey riski küçük tutar. Önemli sohbetlerde kaybolan mesajları açın, böylece telefonunuzda baştan daha az şey olur. Ayrıca Morse'ta bağlı cihaz yok, yani kimse telefonunuz elindeyken sessizce bir cihaz ekleyip mesajlarınızı başka bir telefondan okuyamaz.