2 Nisan 2012

RedHack Olayı

RedHack’in Ankara Emniyeti’nin sistemlerine sızması ve elde ettiği bilgileri yayınlaması, Emniyet’in de “bunlar zaten iyi korunan önemli sistemler değildi” açıklamaları, üzerine bazı şifrelerin “123456” gibi numaralardan oluşması, RedHack’in yaptığı saldırının pek de önemli olmadığı, boşuna övündükleri yolunda bir kanının oluşmasına neden oldu. Hacker’lık ve övünmek iç içe geçmiştir. Her ne kadar politik hacking eylemlerinde daha az bir düzeyde de olsa, övünmek, başarı duygusu hacker kültürünün ruhunda var. O yüzden bunu doğal karşılıyorum.

Teknik olarak baktığımda ise, RedHack’in yayınladığı bilgilerin (bunlar arasında Emniyet mensuplarının sicil numaraları, e-posta hesapları ve bunların pek de zayıf olmayan şifreleri de var), sadece “123456” tarzında basit bir şifreyle korunan bir sistemden elde edildiğini sanmıyorum. Muhtemelen Emniyet’in sistemlerinde de bu tür şifre olmayan şifreler vardır, ama onlar herhalde önemli bir şeyi korumuyordur (diye umuyorum). Yayınlanan bilgilerin tek bir sistemden gelmediği de belli. İhbar bildirileri ve bunlar hakkında yapılan işlemler başka, Emniyet mensuplarının verileri başka. Neresinden bakarsanız bakın bu önemli bir sızıntı ve internet güvenliğinden biraz olsun anlayan biri bu eylemi küçümseyemez, küçümsememeli.

Ortalığa saçılan veriler de hassas konularda ve bunun ciddi sonuçları olabilir. Genelde bu tip yayınlarda bir editörlük çalışması yapılarak isimler vb. sansürlenir. RedHack bunu yapmamayı seçmiş. Nedenini bilmiyorum. Ama dediğim gibi, bunun ciddi sonuçları olabilir ve bu sonuçlarda sorumluluk aynı zamanda bu verileri koruyamayan otoriteye de aittir. Yapılan eylemin Türk Ceza Kanunu’nda yeri vardır; sisteme izinsiz girme ve veri elde etme kanunda tanımlanmış suçlardır. Ama bunun suç olması, veriyi korumakla yükümlü kurumun sorumluluğunu azaltmaz.

Öte yandan RedHack sitesinin mahkeme kararıyla ve 5651 sayılı kanun gerekçe gösterilerek engellenmesini de anlayamıyorum. Çünkü 5651 sayılı internet sansürü kanunundaki katalog suçların hiçbiri bu duruma uygulanamaz. Bu konuda kanunda bir boşluk var ve birisi bu karara itiraz etse, hüküm düşer. Nitekim uzman hukukçular Yaman Akdeniz ve Kerem Altıparmak, mahkeme kararının hukuksuz olduğuna dair görüş bildirdiler (http://www.bianet.org/bianet/ifade-ozgurlugu/136596-kizilhackin-kapatilmasi-hukuksuz). Bu da tek başına ilginç bir durum.

Son olarak da RedHack soruşturmasına bakan Ankara Cumhuriyet Başsavcılığı Bilişim Suçları Soruşturma Bürosu görevsizlik kararı verip soruşturmayı “Özel yetkili Savcı”ya devretti, ki bu da çok tuhaf bir durum (http://www.cnnturk.com/2012/bilim.teknoloji/teknoloji/03/15/redhacke.de.ozel.yetkili.savci/653216.0/index.html). Çünkü bu tip eylemlere dair suçlar Türk Ceza Kanunu’nunda tanımlanmış “sisteme izinsiz girmek”, “sisteme zarar vermek” ve “sistemdeki verileri ele geçirmek” gibi suçlarla ilgilidir ve bu tip suçlara normal mahkemeler bakar.

“Özel yetkili savcı” atamakla ilgili elimizde kabarık bir sicil olduğu için de bu durumu tuhaf karşıladım. Anlaşılan o ki konuyu “devlet güvenliğini tehdit etmek” ve “terör” gibi suçlarla ilişkilendiriyorlar. Burada, biraz Amerikanvari bir “korku yönetimi” tutumu seziyorum. Tıpkı ibret olsun diye Megaupload’ın kapatılıp sahibinin tutuklanması veya Lulzsec üyelerinin tutuklanması gibi bir operasyona girişiyorlar izlenimi edindim. Hacking ve terör ilişkilendirmesi burası için yeni bir durum. Nitekim ilk tutuklamaların geldiğini de gördük (http://evrensel.net/news.php?id=25260#). Ama RedHack hemen tutuklananların kendileriyle ilgili olmadığı ve eylemlerini sürdüreceklerini açıkladı. Geçen yıl burada Anonymous üyeleri diye tutuklananların da olayla ilgisi düşük seviyede bir takım gençler olduğu ortaya çıktığına göre, burada da benzeri bir durum olabilir. Bakalım, göreceğiz.