Gönüllü anlaşma neden başarısız oldu?
Haziran 2024'te İngiltere hükümeti, Apple ve Google'a üç aylık bir süre tanıdı: 18 yaş altındaki kullanıcıların cihazlarında çıplak görüntü alma, görme ve paylaşma işlevlerini engelleyin. Bu üç aylık süre geçen hafta sona erdi, ancak Kültür Bakanı Lisa Nandy, iki teknoloji devinin "bu krizin ölçeğini karşılamayan" öneriler sunduğunu söyledi. Şimdi hükümet, gönüllülük mekanizmasını terk edip yasal zorunluluk getirmeye hazırlanıyor.
Nandy, Apple ve Google'ın "önemli taahhütlerde bulunduğunu" kabul etti. Apple 2021'den beri Communication Safety adlı bir sistem sunuyor; bu sistem iOS ve macOS'ta çocukların çıplak görüntülerle karşılaşmasını engellemek için görüntü tanıma kullanıyor. Google ise "rızasız mahrem görüntülere karşı mücadelede ve çocuk güvenliğini geliştirmede endüstri lideri" olduğunu iddia ediyor. Hükümet, sunulan çözümlerin yeterince hızlı, zorunlu ve kapsamlı olmadığını değerlendirdi.
Apple ve Google'ın çözümleri gönüllü, opt-in veya aile hesaplarıyla sınırlı görünüyor. Hükümet ise tüm 18 yaş altı kullanıcılar için varsayılan olarak açık, zorunlu bir sistem istiyor. Bu fark, müzakerelerin başarısızlığının temel nedini oluşturuyor.
Önerilen yasa ne yapmak istiyor?
Hükümetin parlamentoya sunmayı planladığı yasa tasarısı iki katmanlı bir koruma zorunluluğu getiriyor: cihaz düzeyinde (işletim sistemi seviyesinde) ve uygulama düzeyinde (üçüncü taraf uygulamalarda). Bu koruma varsayılan olarak açık olacak ve 18 yaş altındaki tüm kullanıcılara otomatik olarak uygulanacak.
Yetişkinler ise kendi cihazlarında çıplak görüntü almak, görmek veya paylaşmak istiyorlarsa yaşlarını doğrulamak zorunda kalacak. Bu doğrulama mekanizmasının nasıl işleyeceği, hangi kimliklerin kullanılacağı, verilerin nerede saklanacağı gibi detaylar henüz açıklanmadı.
Teknik olarak bu sistem, client-side scanning adı verilen bir yaklaşıma dayanıyor: içerik şifrelenmeden önce cihazın kendisinde taranıyor. Gizlilik savunucuları, bu altyapının bir kere kurulduktan sonra genişletilebileceğini ve mesaj içeriğini taramak için kullanılabileceğini öne sürüyor. Hükümet bu iddiayı reddediyor ve önlemin "gözetim" anlamına gelmediğini söylüyor.
Dijital kimlik kontrol noktası riski
Open Rights Group gibi dijital haklar savunucuları, yaşlarını doğrulama gereksinin "her yetişkinin bir dijital kimlik kontrol noktasından geçmesini" ve özel fotoğrafların taranmasını zorunlu kılabileceği konusunda uyarıda bulundu. Bu tür altyapı, kimin ne zaman ne paylaştığını izleme potansiyeli taşıyabilir.
Çocuk güvenliğinin ölçüsü ne?
Internet Watch Foundation, geçen yıl 12 aylık bir dönemde 140.000'den fazla kendinden oluşturulan çocuk cinsel istismar materyali (CSAM) parçası kaydetti. Bu rakam, vakfın takip ettiği toplam CSAM'ın dörtte birini oluşturuyor.
İngiltere polisi, sextortion (cinsel şantaj) suçlarının büyük kısmında çocukların kendi cihazlarında çektikleri görüntülerin başlangıç noktası olduğunu belirtiyor. NSPCC (Ulusal Çocuklara Karşı Zulümü Önleme Derneği), çocukların cihazlarında çekilen içeriklerin grooming (tuzak kurma) ve cinsel şantaj için kullanıldığına dikkat çekiyor. Molly Rose Foundation gibi kurbanların aileleri tarafından kurulan vakıflar da yasal zorunluluk getirilmesini destekliyor.
Ancak sayıların tamamının bu yasa ile engellenebileceğini iddia etmek gerçekçi değil: sextortion suçları sadece çocukların kendi cihazlarında ürettikleri görüntülerle sınırlı değil. Kimi durumlarda kandırmayla elde edilen görüntüler, dış baskı veya tehdit gibi mekanizmalar da devreye giriyor.
Gizlilik riskleri
Cihaz düzeyinde tarama, siber güvenlik ve gizlilik topluluğunda uzun süredir tartışma konusu. Apple, 2021'de Communication Safety özelliğini tanıttığında, benzer bir client-side scanning yaklaşımını CSAM tespiti için kullanmayı planlamıştı. Ancak şifreleme araştırmacıları, insan hakları grupları ve hatta Apple'ın kendi mühendislerinden bazıları bu altyapının "kapı ardı" (backdoor) olarak kullanılabileceği konusunda uyarıda bulundu. Apple, planlanan CSAM tarama sistemini 2022'de askıya aldı.
Gizlilik savunucularının endişeleri üç ana başlıkta toplanıyor:
- Şifrelemenin etkisizleştirilmesi riski: İçerik cihazda taranıyorsa, uçtan uca şifreleme teknik olarak sağlam kalsa bile, şifrelenmeden önce içeriğe müdahale ediliyor demektir. Bu, şifrelemenin amacını kısmen ortadan kaldırıyor.
- Altyapının kötüye kullanılması: Bir kere cihazda görüntü tarama altyapısı kurulunca, bu sistem gelecekte başka türde içerikleri (politik muhalefet, din, cinsellik, vb.) taramak için genişletilebilir.
- Makine öğrenmesi hataları: Sanat eserleri, tıbbi fotoğraflar veya masum aile fotoğrafları yanlışlıkla işaretlenebilir.
Apple ve Google'ın mevcut çözümleri
Apple'ın Communication Safety özelliği 2021'den bu yana aile hesaplarında aktif. Sistem, cihazda görüntü tanıma kullanarak çıplak veya cinsel içerikli görüntüleri tespit ediyor. Çocuk bu tür bir görüntü almaya çalıştığında veya göndermeye teşebbüs ettiğinde, sistem uyarı veriyor ve içeriği bulanıklaştırıyor. Sistem yalnızca cihazda çalışıyor; görüntüler Apple sunucularına gönderilmiyor.
Google'ın çözümleri hakkında kaynaklar spesifik detay vermiyor, ancak şirket "endüstri lideri" olduğunu iddia ediyor. Hangi cihaz düzeyinde korumaların varsayılan olarak devrede olduğu, yaş doğrulama mekanizmalarının nasıl çalıştığı, ya da içerik tarama yaklaşımlarının kapsamı hakkında net bilgi yok.
Client-side scanning nedir?
Client-side scanning (cihaz tarafında tarama), içeriğin kullanıcının cihazında, şifrelenmeden veya başka bir yere gönderilmeden önce analiz edilmesi anlamına geliyor. Geleneksel içerik tarama yöntemleri sunucu tarafında çalışır: bir mesaj veya fotoğraf buluta yüklendiğinde, sunucu onu tarar. Ancak uçtan uca şifrelemeli sistemlerde bu mümkün değil, çünkü sunucu içeriği okuyamaz.
Client-side scanning, bu sorunu aşmak için tasarlanmıştır. Cihaz, içeriği göndermeden önce yerel olarak tarar. Eğer şüpheli içerik tespit edilirse, mesaj engellenir, bulanıklaştırılır veya bir uyarı gösterilir. Bu yaklaşım, şifrelemeyi teknik olarak kırmaz, ancak şifrelemenin sağladığı gizliliği zayıflatır.
İngiltere'nin tasarısı neyi getirir ve kim etkilenir
Eğer İngiltere yasa çıkarırsa, Apple ve Google'a İngiltere pazarı için cihaz düzeyinde tarama altyapısı kurmak zorunda kalacak. Bir kere bu altyapı kurulduktan sonra, başka ülkeler benzer yasalar çıkarırsa, teknoloji şirketleri için uyum baskısı artar.
AB, zaten benzer tartışmaları yürütüyor. Chat Control adıyla bilinen öneriler, özel mesajlarda CSAM taranmasını zorunlu kılmayı hedefliyor. ABD'de bazı eyaletler, çocuk koruma yasaları kapsamında cihaz düzeyinde filtre ve yaş doğrulama sistemleri öneriyor. İngiltere, bu politikaların ilk yasal uygulamasını getirebilir.
Eğer Apple ve Google cihaz düzeyinde tarama ve yaş doğrulama altyapısı kurarsa, bu sistem diğer pazarlara da taşınabilir. Ayrıca İngiltere gibi bir demokratik ülkede cihaz düzeyinde tarama kabul görürse, bu tür uygulamaların "normal" olarak algılanması riski artar ve başka ülkelerde daha geniş gözetim yasalarına zemin hazırlayabilir.
