Windows kullanıyorsanız, dizüstü bilgisayarınızın sizi gözetlediğinin(yeni pencere) muhtemelen(yeni pencere) en azından(yeni pencere) hafifçe farkındasınızdır(yeni pencere). Bu hafta, Microsoft’un her yerde bulunan işletim sisteminin gizlilik(yeni pencere) konusunda gerçekte ne kadar müdahaleci(yeni pencere) olduğuna dair somut bir hatırlatma aldık.
Kötü şöhretli siber korsanlık grubu Scattered Spider(yeni pencere)‘ın bir üyesi olduğundan şüphelenilen 19 yaşındaki Peter Stokes, Finlandiya’dan Amerika Birleşik Devletleri’ne iade edildi ve lüks bir mücevher perakendecisi olan “Company F”yi hacklemekle suçlandı.
Ancak davayı ilginç kılan şey, nasıl yakalandığıdır.
Casus yazılım olarak Windows
FBI’ın ceza davası şikayetine(yeni pencere) göre Stokes, çevrim içi etkinliğini gizlemek için bir VPN kullandı. Bir VPN, ziyaret ettiğiniz sitelerden gerçek IP adresinizi, İSS’nizden ise çevrim içi etkinliğinizi gizlediği için bu durum genel olarak mantıklı bir seçenek olarak kabul edilir. Ancak kendisi ölümcül bir acemi hatası yaptı: Windows kullandı.
Yetkililer Stokes’u, bilgisayarını “Company F ağ savunmalarını atlatmak ve Company F veri merkezine sürekli yetkisiz erişim açmak” için kullanılan bir web geliştirme tünelleme aracı olan ngrok’un şüpheli kullanımıyla ilişkilendiren Microsoft kayıtları sayesinde tespit etti.
Microsoft, bir aygıttaki Windows işletim sistemi kurulumunu benzersiz şekilde tanımlamak üzere tasarlanmış “aygıt düzeyinde bir tanımlayıcı” olan Global Device Identifier (GDID) sayesinde Stokes’un bilgisayarını tespit edebildi.
Başka bir deyişle, her Windows kurulumu, Microsoft’un bir aygıtı tanımlamak için kullanabileceği bir GDID’ye sahiptir (sanal aygıtlar dâhil) ve bu tanımlayıcı telemetri toplamak(yeni pencere) için de kullanılır. Windows’un yeniden yüklenmesi o aygıt için yeni bir GDID oluşturur ancak eski bilgiyi Microsoft’un sistemlerinden silmez; böylece aygıtı tanımlamak için hâlâ kullanılabilir.
Microsoft daha sonra bu bilgileri üçüncü taraflara iletti.
FBI’ın Microsoft tarafından sağlanan bilgileri nasıl kullandığı
Bu kanıt tek başına suçla Stokes arasında bağlantı kurmak için yeterli değildi, ancak GDID’yi bilmek FBI’a aygıtının zaman içinde eriştiği IP adreslerinin geçmişini sağladı. Bu IP’lerin özellikle Peter Stokes’a ait olduğunu kanıtlamak için müfettişler, bu IP geçmişini Apple, Snapchat, Facebook ve Growtopia oyun oturumu dâhil olmak üzere kendisine ait olduğu bilinen hesaplardaki oturum açma işlemleriyle karşılaştırdı.
Şikayet dilekçesine göre, GDID ile Stokes’a ait olduğu bilinen hesaplar arasında bağlantı kurmak, kuyumcuyu hacklemek için kullanılan GDID’nin Stokes’un sahip olduğu bir aygıta ait olduğunu kanıtlamaya yardımcı oldu.
Bu şekilde tespit edilen IP adreslerinden birinin, müfettişlerin Stokes’un yüzünü bir deste 100 dolarlık banknotla kapattığını görüntüleyen bir Snapchat özçekiminde görünen iç mekânla eşleştiğini belirttiği bir New York oteline ait olması, davasına pek yardımcı olacak gibi görünmüyor.
Bu durum geri kalanımız için ne anlama geliyor?
Vurgulanması gereken ilk nokta, bu vakada sistemin amaçlandığı gibi çalıştığıdır.
Stokes, 2022’den bu yana 100’den fazla kurumsal sızmada elde edilen 100 milyon doların üzerindeki fidye ödemeleriyle bağlantılı olarak komplo, siber sızma ve dolandırıcılık dâhil olmak üzere çeşitli suçlamalarla karşı karşıya bulunuyor. FBI’ın Microsoft verilerini kullanması, mahkeme kararları ve mahkeme celpleri gerektiren yasal çerçeveler kapsamındadır.
Ancak GDID, kullanıcı onayı ve ücretini ödediğiniz donanımın gerçekte kime ait olduğu konusunda önemli soruları gündeme getiriyor. Aygıtınızda GDID’yi kabul etmeniz hiçbir zaman istenmez ve bunu kaldırmanın kolay bir yolu yoktur. Windows’u tamamen yeniden yüklemek bile yalnızca kısmi bir çözümdür.
Microsoft’un kapsamlı çevrim içi belgelerinin tamamında, GlobalDeviceId terimi, kimsenin okumasının pek mümkün olmadığı son derece belirsiz teknik bir belgenin derinliklerine gömülmüş(yeni pencere) olarak yalnızca bir kez anılmaktadır.
Ancak macOS, Android ve iOS gibi diğer tüm büyük ticari işletim sistemlerinin de aygıtları üreticilerine neredeyse kesinlikle benzersiz şekilde tanımlayabildiği doğrudur. Üzücü olan durum ise çoğumuzun bu durumu sadece kabul etmesidir.
Bunu kabul etmeyenler için bundan kaçınmanın tek pratik yolu, Linux gibi açık kaynaklı işletim sistemlerini kullanmaktır.
