İngiltere'deki Apple kullanıcıları ADP'nin geri çekilmesinin ardından iki farklı iCloud şifreleme katmanına ayrıldı

İki iPhone, iki farklı koruma seviyesi

Macanorak'ta yayımlanan ve Hacker News'in ana sayfasında öne çıkan bir yazı, durumu iki kurgusal kullanıcı olan Alice ve Bill üzerinden anlatıyor. İkisi de İngiltere'de yaşıyor, birbirinin aynı iPhone'lara sahip ve aynı iCloud hizmetleri için ödeme yapıyor. Alice'in verileri — yedekler, fotoğraflar, notlar ve daha fazlası — Apple'ın isteğe bağlı uçtan uca şifreleme katmanı olan Advanced Data Protection (ADP) kapsamında. Bill'in verileri ise değil ve özelliği açma imkanı yok. Aralarındaki tek fark zamanlama: Alice, özelliği Apple'ın Şubat 2025'te yeni İngiltere kullanıcılarına sunmayı bırakmasından önce etkinleştirmiş. Bill bu fırsatı kaçırmış.

İngiltere bu noktaya nasıl geldi

Macanorak'ın aktardığı ve The Washington Post'un 7 Şubat 2025 tarihli haberine göre, İngiltere güvenlik yetkilileri bir ay önce Apple'a gizlice bir Technical Capability Notice (TCN) düzenlemişti. Bildirim, Investigatory Powers Act 2016 kapsamında tebliğ edilmiş ve dikkat çekici biçimde, Apple'dan yalnızca İngiltere hesapları için değil, dünya genelindeki kullanıcılar için şifreli iCloud verilerine erişim araçları geliştirmesini istemişti.

Bir TCN tek başına kimseye veri okuma yetkisi vermez; bir hizmet sağlayıcıyı, gelecekte bir warrant'ın icra edilebilmesi için bir kabiliyeti sürdürmeye veya geliştirmeye zorlar. TCN düzenlenmesi bir Judicial Commissioner'ın onayını gerektirir ve bildirimi alanların bildirimin varlığını açıklamaları genellikle yasaktır — Home Office genellikle böyle bir bildirimin yapılıp yapılmadığını doğrulamayı veya yalanlamayı reddeder.

Macanorak'ın aktardığına göre Apple'ın pozisyonu, ADP'yi tek bir amaç için zayıflatmanın herkes için zayıflatmak anlamına geleceğiydi. Şirket 21 Şubat 2025'te ADP'nin artık yeni İngiltere kullanıcılarına sunulmayacağını duyurdu; kendisinin "asla bir arka kapı veya ana anahtar üretmediğini" ve üretmeyeceğini belirtti ve durumdan "ağır biçimde hayal kırıklığına uğradığını" ifade etti. Yazının kritik noktası şuydu: Apple yalnızca yeni etkinleştirmeleri engelledi — ADP'yi zaten etkinleştirmiş kişiler özelliği korudu ve Alice ve Bill ayrımını tam olarak yaratan da buydu.

ADP gerçekte neyi değiştiriyor

Tüm iCloud verileri şifrelenir, ancak hepsi uçtan uca şifrelenmez. Parolalar, sağlık verileri ve Messages in iCloud gibi kategoriler varsayılan olarak uçtan uca şifrelidir. Geri kalanlar için — standart koruma altındaki cihaz yedekleri, fotoğraflar ve notlar dahil — anahtarlar Apple'ın elindedir ve şirket yasal talepler doğrultusunda içeriğin şifresini çözüp teslim edebilir. ADP, uçtan uca şifrelemeyi bu ek kategorilere genişletir; yani Apple'ın bu verilere erişmesi mümkün değildir. Bill'in verileri, anahtarların Apple'da kaldığı Standard Data Protection'a geri düşer; Alice'in verileri ise özelliği açık kaldığı sürece uçtan uca şifreli kalır.

Eski bir mücadelenin tekrarı

Macanorak bu çıkmazı neredeyse on yıl öncesine kadar izliyor. Aralık 2015'teki San Bernardino terör saldırısının ardından FBI, Apple'ın saldırganın iPhone 5C'sinde parola deneme sınırını aşacak değiştirilmiş bir iOS sürümü geliştirmesini zorunlu kılan bir mahkeme kararı aldı. Apple reddetti; Tim Cook istenen yazılımı "kanser eşdeğeri" olarak niteledi ve bunun yüz milyonlarca cihaz için bir ana anahtar gibi işlev göreceği uyarısında bulundu. Cook röportajlarında, herhangi bir arka kapının "iyilere de kötülere de" açık olacağını savundu. FBI sonunda telefona — yaygın olarak bildirildiğine göre Cellebrite aracılığıyla — üçüncü bir taraf üzerinden erişti ve hukuki girişiminden vazgeçti.

Yazıya göre İngiltere'nin talebi, aynı tartmanın başka bir yere taşınmış haliydi: Apple verilerin şifresini çözemediğini söylediği için, devletin fiili yanıtı şirketi bunu yapabileceği şekilde sistemi değiştirmek oldu.

Neden önemli

İki katmanlı sonuç, aynı donanımı satın alan ve aynı abonelikleri ödeyen İngiltere müşterilerinin, tamamen bir düğmeyi ne zaman çevirdiklerine bağlı olarak maddi ölçüde farklı güvenlik alması anlamına geliyor. Bu durum ayrıca gizli hukuki baskının pratik sonucunu gösteriyor: Habere konu olan TCN Apple'dan ADP'yi geri çekmesini değil, yalnızca erişim güvencesi vermesini istedi — Apple da hackerların veya düşman devletlerin istismar edebileceği bir kabiliyet inşa etmek yerine özelliği tamamen kaldırmayı seçti. Privacy International ve diğer gruplar, devletin şirketleri kamusal denetim olmadan şifrelemeyi zayıflatmaya gizlice zorlayamaması gerektiği gerekçesiyle konuyu Investigatory Powers Tribunal'a taşıdı. Bu emsal, Apple'ın çok ötesine uzanıyor: WhatsApp, Signal, parola yöneticileri, bulut depolama ve gerçek uçtan uca şifrelemeye bağlı her hizmeti — ve bu sürecin nasıl sonuçlandığını izleyen tüm diğer hükümetleri kapsıyor.