Bir mesajlaşma uygulamasını güvenli yapan nedir?
Bir mesajlaşma uygulamasını güvenli yapan şey tek bir özellik değil, beş ölçütün birlikte karşılanmasıdır. Bu sayfadaki her değerlendirme aynı beş ölçütü kullanır; her ölçüt bir soruyla test edilir:
- İçerik hangi katmanda şifreleniyor: yalnız aktarımda mı, sunucuda mı, uçtan uca mı? Bu koruma varsayılan mı, ayrı bir modda mı?
- Şifreleme tasarımı denetlenebilir mi; kaynak kodu ve protokol açık mı?
- Uygulama, içeriğin dışında hangi verileri topluyor?
- Veri hangi ülkede, kimin sunucusunda duruyor?
- Hesap kime bağlı: kişisel telefon numarasına mı, şirketin verdiği kimliğe mi?
İlk üç ölçüt kişisel mahremiyeti tartar. Son ikisi iş yazışmasında ağırlaşır; onlara sayfanın sonunda ayrıca döneceğiz.
Şifreli mesajlaşma uygulaması ne demek?
Şifreli mesajlaşma uygulaması, ileti içeriğini yalnız anahtarı olan tarafın açabileceği biçimde kodlayarak taşıyan uygulamadır. Şifreleme üç ayrı katmanda uygulanır ve üç katman aynı korumayı vermez:
- Aktarım şifrelemesi (TLS) içeriği yoldayken korur; sunucuya ulaşan içerik sunucu tarafında açılabilir.
- Sunucu şifrelemesi (at-rest) içeriği diskte şifreli tutar; anahtar, hizmeti işletenin elindedir.
- Uçtan uca şifrelemede anahtar yalnız uçtaki cihazlardadır; içeriği sunucuyu işleten şirket de açamaz.
“Şifreli” etiketi tek başına hangi katmandan söz edildiğini söylemez. Telegram tartışması tam bu ayrımdan doğar.
Signal, WhatsApp, Telegram ve BiP güvenlik açısından nerede duruyor?
Aşağıdaki dört değerlendirme aynı beş ölçütü sırayla uygular. Değerlendirme, ölçütleri en geniş karşılayandan başlar.
Signal neden ilk sırada?
Signal, bu listedeki dört uygulama içinde ilk üç ölçütü birden karşılayan tek uygulamadır. Bütün sohbetleri ve aramaları varsayılan olarak uçtan uca şifreler; protokolünün kaynak kodu açıktır ve aynı protokolü başka uygulamalar da kullanır. İçeriğin dışında tuttuğu veri asgaridir. Uygulamayı kâr amacı gütmeyen Signal Vakfı geliştirir.
Sınırı dördüncü ölçüt gösterir: sunucular Türkiye dışındadır. Beşinci ölçüt kişisel kullanımda zaten sorulmaz; hesabın telefon numarasına bağlı olması kişisel bir uygulama için olağandır.
WhatsApp hangi ölçütleri karşılıyor?
WhatsApp, kişisel sohbetleri ve aramaları varsayılan olarak uçtan uca şifreler; kullandığı protokol Signal protokolüdür. Birinci ölçütte iki uygulama aynı yerde durur.
Fark üçüncü ölçütte açılır. WhatsApp içerik dışındaki veriyi (kişi listesi, kullanım ve cihaz bilgisi) toplar ve Meta hesap ailesinin parçasıdır. Hesap yine kişisel numaraya bağlıdır; yazışma, uygulamayı kuran kişinin hesabında yaşar.
Telegram’ın şifrelemesi neden tartışmalı?
Telegram’da varsayılan sohbetler uçtan uca şifreli değildir. Bulut sohbetler sunucu-istemci şifrelemesiyle Telegram’ın bulutunda saklanır; uçtan uca şifreleme yalnız “gizli sohbet” modunda çalışır ve bu mod gruplarda yoktur.
Yani “Telegram şifreli mi” sorusunun cevabı evet, “varsayılan sohbetler uçtan uca şifreli mi” sorusunun cevabı hayırdır. Bulut sohbetlerin anahtarları sunucu tarafında durduğu için birinci ölçütün “varsayılan” şartı karşılanmaz.
BiP güvenli mi?
BiP, Turkcell’in geliştirdiği mesajlaşma uygulamasıdır. Güvenlik sayfasında mesaj ve aramaların uçtan uca şifreleme ve TLS ile iletildiği, yedeklenen verilerin Türkiye’deki veri merkezlerinde tutulduğu yazar.
BiP dördüncü ölçütte ayrışır: verinin Türkiye’de durmasına öncelik veren kullanıcı için bu somut bir tercih nedenidir. İkinci ölçütte ise tablo farklıdır; protokolün kaynak kodu açık değildir.
İş yazışması için en güvenli uygulama neden ayrı bir soru?
İş yazışmasında soru genişler, çünkü korunan şey yalnız içerik değildir: şirketin verisi, müşterinin kişisel verisi ve işverenin KVKK sorumluluğu aynı yazışmanın içindedir. Beş ölçütün son ikisi burada öne geçer.
Somut hali şudur: işten ayrılan çalışanın telefonunda hangi yazışmalar kalıyor?
Dört uygulamada da cevap aynıdır. Hesap çalışanın kişisel numarasına bağlıdır; gruplar, dosyalar ve müşteri yazışmaları çalışanın cihazında durur. Şirketin elinde ne kopya ne silme yetkisi vardır. Bu tabloda uygulamalar arasındaki şifreleme farkı ikincil kalır: hangisini seçerseniz seçin, yazışma şirketin alanında değildir.
Bu ihtiyacın karşılığı ayrı bir kategoridir: davetle açılan, şirkete ait kapalı alanda çalışan şirket içi mesajlaşma programı.
Interna bu kategoride bir üründür. Her şirket kendi çalışma alanında, birbirinden tam izole çalışır; kullanıcı kendini kaydedemez, çalışanı yalnızca yöneticiniz davet eder. Yönetim, içeriği teknik olarak okuyamaz: panelin veritabanı rolünde mesaj tablolarına okuma yetkisi yoktur ve içerik her şirket için ayrı anahtarla şifreli saklanır. Mekanizmanın tamamını Interna güvenlik modeli sayfasında adım adım anlatıyoruz.
Çalışan ayrıldığında yöneticiniz hesabı devre dışı bırakır ve uzaktan silmeyi başlatır; cihazdaki veri şirket verisidir. Interna erken erişim aşamasındadır; iOS, macOS ve Windows’ta çalışır ve değerlendirmeyi demo üzerinden yapıyoruz.
| Kriter | Interna | Kişisel uygulamalar |
|---|---|---|
| Uçtan uca şifreleme (varsayılan) [1, 2, 3] | Yok; içerik sunucuda şifreli saklanır, yönetim düzlemleri içeriğe erişemez | Signal ve WhatsApp’ta var; Telegram’da yalnız gizli sohbette |
| Yazışmanın sahibi | Şirket; alan şirket adına açılır | Çalışanın kişisel hesabı |
| Katılım | Yalnız yöneticinin davet ettiği çalışanlar | Numarası bilinen herkese ulaşılabilir |
| Yönetimin içeriğe erişimi | Teknik olarak kapalı; üç bağımsız kilit | Kurumsal yönetim düzlemi yok |
| Çalışan ayrıldığında | Hesap devre dışı kalır, uzaktan silme başlatılır | Yazışma kişisel cihazda kalır |
| Veri yerleşimi [4] | Bulut veya kendi sunucunuz (On-prem) | Sağlayıcının sunucuları; BiP verileri Türkiye’de tutar |
| Durum | Erken erişim | Yayında |
Tablo iki kategoriyi aynı teraziye koymaz. İlk satırın dürüst işareti kişisel uygulamalardadır; sahiplik satırları kapalı alanın gerekçesidir. Signal kişisel mahremiyet sorusunun, Interna iş yazışması sorusunun cevabıdır.
Hüküm: kim için hangisi?
Interna kimin için
İş yazışmasını şirketin sahip olduğu kapalı bir alana taşımak istiyorsanız Interna bu ihtiyaç için tasarlandı: alan davetle açılır, yönetim içeriği teknik olarak okuyamaz, çalışan ayrıldığında cihazdaki şirket verisi uzaktan silinir. Ürün erken erişim aşamasındadır; iOS, macOS ve Windows istemcileriyle demo üzerinden değerlendirebilirsiniz.
Kişisel uygulamalar kimin için
Kişisel yazışmanız için uygulama seçiyorsanız Signal beş ölçütün en genişini karşılar: varsayılan uçtan uca şifreleme, açık kaynak protokol ve asgari veri toplama. Verinizin Türkiye’de tutulmasına öncelik veriyorsanız BiP bu ölçütte ayrışır. İkisi de kişisel hesapla çalışır; iş yazışmasını şirketin denetimine almaz.
Sık sorulan sorular
Hangisi daha güvenli: WhatsApp mı Telegram mı?
İçerik mahremiyeti ölçütünde WhatsApp öndedir: kişisel sohbetleri varsayılan olarak uçtan uca şifrelidir. Telegram’da bu koruma yalnız gizli sohbet modundadır; varsayılan bulut sohbetlerin anahtarları sunucu tarafındadır. Veri toplama ölçütünde ikisi de içerik dışı veri tutar.
Şifreli uygulama ile uçtan uca şifreli uygulama aynı şey mi?
Değildir. Şifreleme aktarımda, sunucuda ve uçtan uca olmak üzere üç katmanda uygulanır. İlk iki katmanda anahtar hizmeti işletenin elindedir; uçtan uca şifrelemede anahtar yalnız cihazlardadır ve içeriği işletmeci de açamaz. “Şifreli” diyen her uygulama üçüncü katmanı vermez.
Açık kaynak olmak bir uygulamayı güvenli yapar mı?
Tek başına yapmaz; doğrulanabilir yapar. Açık kaynak protokol, şifreleme iddiasının bağımsız gözle denetlenebilmesi demektir. Kapalı kaynak bir uygulama da güvenli olabilir; fark, iddiaya güvenmek zorunda kalmanızdır.
İş yazışması WhatsApp’ta güvenli mi?
İçerik uçtan uca şifrelidir; sorun şifreleme değil sahipliktir. Hesap çalışanın kişisel numarasına bağlıdır, yazışma çalışanın cihazında durur ve şirketin denetimi yoktur. KVKK sorumluluğu ise şirkette kalır. İş yazışması için ölçüt, içeriğin şirkete ait kapalı bir alanda durmasıdır.
Interna bu listede neden ayrı değerlendiriliyor?
Kategori farklı olduğu için. Listedeki dört uygulama kişisel hesapla çalışır; Interna, şirketin açtığı ve yönetici davetiyle girilen kapalı çalışma alanıdır. Ürün erken erişim aşamasındadır; iOS, macOS ve Windows istemcileri vardır, Android istemcisi yoktur. Değerlendirmek için demo talep edebilirsiniz.