Mullvad baskını: Polis eli boş döndü!

Polis Mullvad için geldiğinde hiçbir şey alamadan çıktı

18 Nisan 2023, Salı sabahı; İsveç Ulusal Operasyon Dairesi'nden (NOA) en az altı görevli, ellerinde arama kararıyla Mullvad VPN'in Göteborg'daki ofisine geldi. İki gün sonra şirket, yaşananları doğrulayan kısa bir blog yazısı yayınladı. Yazının gömülü başlığında asıl vurgulanan, baskının gerçekleştiği değil; görevlilerin hiçbir ekipman, hiçbir log, hiçbir hesap kaydı ve aradıkları müşteriyi izleyebilecek hiçbir yol bulamadan çıktığıydı. "No-logs" ifadesiyle doyurulmuş pazarlama metinleriyle dolu bir sektörde, bu; AB'nin bu vaadi en yüksek sesle savunanlarından birinin, ilk kez yasal bir arama kararı karşısında iddiasını kanıtlamak zorunda kaldığı andı.

Retrospektif önemlidir, çünkü sonuç yalnızca retorik değildi; yapısal bir karakter taşıyordu.

18 ile 20 Nisan arasında gerçekte ne oldu

Kronoloji, Mullvad'ın kendi açıklamasından ve The Register ile Bleeping Computer'daki takip haberlerinden derlenmiştir; oldukça kısadır. NOA görevlileri, 18 Nisan sabahı Göteborg merkezine ulaştı. Mullvad'a göre arama kararı, belirli bir şüpheliyle bağlantılı "müşteri verileri içeren bilgisayarların" el konulmasını öngörüyordu. Olayın sonraki Vikipedi özeti, İsveç basınına dayanarak temel soruşturmayı bir kara posta vakasıyla ilişkilendiriyor; ancak Mullvad kendisi, kaynak yargı bölgesini veya iddia edilen suçun niteliğini doğrulamayı reddetti.

Mullvad'ın 20 Nisan'daki açıklamasına göre, bundan sonra yaşanan bir el koyma değil, müzakereydi. Şirket, görevlilere "aradıklarını bulmayı beklemeleri için hiçbir neden olmadığını ve dolayısıyla herhangi bir el koymanın İsveç yasasına göre yasa dışı olacağını" savunduklarını yazdı. Bu savunma, İsveç makamlarının; makul kanıt bulma beklentisinin çürütüldüğü durumlarda malları götürmesini yasaklayan, 1942 tarihli bir usul kuralına dayanıyordu. Hazır bulunan personel, ardından görevlilere hizmetin mimarisini anlattı. "Hizmetimizin gerçekten böyle çalıştığını gösterdikten ve savcıyla görüştükten sonra, hiçbir şey almadan ve hiçbir müşteri bilgisi olmadan ayrıldılar," diye sürdürdü gönderi. Blogda iki kez okunması gereken bir cümle daha vardı: "Bir şey alsalardı bile, bu onlara hiçbir müşteri bilgisine erişim sağlamayacaktı." Mullvad'ın söylemek istediği, el koyma sorusunun başlamadan önce bile anlamsız olduğuydu.

Gönderi, 20 Nisan'a kadar mullvad.net/en/blog/2023/4/20/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised adresinde yayınlandı ve kırk sekiz saat içinde Bleeping Computer, The Register, TorrentFreak ve gizlilik basınının büyük bölümü tarafından ele alındı.

Neden alınacak bir şey yoktu

Mullvad'ın mimari kararları; şirketin 2009'da Daniel Berntsson ve Fredrik Strömberg tarafından kurulmasından bu yana kademeli olarak alınmış, o gün kararın çökmesinin nedeniydi. Özellikle dört seçim, o gün işi gördü:

• Hesap oluşturma, yalnızca rastgele üretilmiş on altı haneli bir hesap numarası gerektirir. Kullanıcı adı, e-posta adresi, güvenlik sorusu, telefon numarası, kurtarma kanalı; hiçbiri yoktur. Numarasını kaybeden müşteri, hesabını kaybeder; bu, mahkeme celbi verilecek hiçbir şey olmamasının bedelidir.
• Ödeme; Monero, Bitcoin, düz bir zarf içinde postayla gönderilen nakit veya geleneksel kanallarla yapılabilir. Ancak bu ödeme araçlarının hiçbiri, işlem tamamlandıktan sonra sorgulanabilir şekilde hesap numarasına geri bağlanmaz. Bir kart ekstresini takip eden soruşturmacılar, dolayısıyla bir kişiye ulaşamaz.
• 2019'dan beri VPN uç noktaları yalnızca RAM'dedir. Sunucular, temiz bir imajdan önyüklenir; diskte kalıcı durum tutmaz ve güç döngüsünde her şeyi kaybeder. Bir veri merkezinden el konulmuş bir şasi, yerinde imajlansa bile tarihsel oturum verisi vermez.
• Şirket, müşterilerini ve arka ucunu bağımsız incelemeye tabi tutmuştur. Eylül 2018'deki Cure53 sızma testiyle başlayıp, 2020'de Assured AB'nin çalışması ve sonraki turlarla devam ederek; mimariyle ilgili iddiaların, ticari çıkarı olmayan taraflarca incelendiği kanıtlanmıştır.

Bunlar, bir gizlilik politikasına eklenmiş pazarlama sloganları değildir. Ürünü kısıtlayan kararlardır. Unutulmuş hesap numarası olan müşteri, kayıp bir müşteridir. Postayla gönderilen nakit ödeme, operasyonel olarak mutabakatı zordur. Yalnızca RAM filoları, disk destekli olanlardan daha pahalıya mal olur. Mimari pahalıdır ve bu masraf, no-logs iddiasını temenni edilecek bir şey değil, taşıyıcı hale getirir.

Aynı retrospektif çerçevede, baskından bir ay sonra Mullvad'ın port yönlendirmeyi tamamen kaldırdığını duyurduğunu, değişikliğin 1 Temmuz 2023'te yürürlüğe girdiğini not etmekte fayda var. Şirket kararı, özelliğin az sayıda kullanıcı tarafından kötüye kullanımına ve yukarı akış barındırma sağlayıcılarından gelen baskıya bağladı. Ancak zamanlama, Nisan olayıyla bağlantıyı görmezden gelinmesini imkânsız kıldı.

ProtonVPN ile karşılaştırma, 2021

Gizlilik savunucuları, Göteborg sonucunu hızla; İsviçre merkezli ProtonMail ve kardeş VPN hizmetiyle ilgili 2021 olayıyla karşılaştırdı. O vakada, Youth for Climate hareketine bağlı bir iklim aktivistini soruşturan Fransız makamlarının talebi üzerine verilen bir İsviçre mahkeme kararı, Proton'u hedeflenen hesabın kullandığı IP adresini kaydetmeye zorladı. Proton uydu; çünkü İsviçre yasası, tam olarak bu tür bir zorlamaya mahkeme kararı geldiğinde izin veriyordu ve çünkü mimari, şirketin emredildiğinde uymasına olanak tanıyacak boşluk bırakmıştı.

Öğretici fark, bir şirketin erdemli diğerinin değil olması değildir. Proton, çoğu ölçüde ciddi bir operatördür. Fark, Proton'un gizlilik duruşunun; vaadi geçersiz kılabilen bir yargı bölgesi altında yapılan yasal bir söze dayanmasıdır. Mullvad'ın duruşu ise, şirket gerçekten istese bile verileri üretemeyecek bir sisteme dayanır. Bir model, politika ile no-logs'tur. Diğeri, tasarım ile no-logs'tur. Nisan 2023 baskını, bu ayrımı ilk kez kamuoyuna sunan Avrupa stres testiydi.

"No-logs" kategorisi için bu neyi değiştirir

Yüzlerce VPN, sıfır kayıt tutmayı reklam eder. Çok azı bunu kanıtlamak zorunda kaldı. Private Internet Access, 2016'da; Preff Cummings sahtekarlık soruşturmasında bir FBI mahkeme celbi, kullanılabilir hiçbir şey döndürmediğinde listeye girdi. ExpressVPN, 2017'de; Ankara'daki Rus büyükelçisinin suikastını soruşturan Türk soruşturmacıları bir sunucu ele geçirdiğinde ve ilgili log bulamadığında katıldı. Mullvad'ın Nisan 2023 sonucu, onu bu çok kısa listeye sokuyor ve bunu kâğıtla hizmet edilenden ziyade şahsen uygulanan bir karar altında yapıyor.

Bu ayrım önemlidir. ABD merkezli bir kurumsal avukata teslim edilen bir celp, bir tür testtir. Ulusal polis gücünden altı görevlinin, donanımla çıkmak için yasal yetkiyle Göteborg ofisine gelmesi ise başka bir şeydir. Mimarinin, gerçek zamanlı olarak telefonla aranabilecek bir savcı önünde ikinci vakaya dayandığı gerçeği; iddianın tiyatro olmadığının mevcut en güçlü kanıtıdır.

Dizin için bu neyi değiştirir

Bu masadan gelen karar açıktır. Şimdiye kadar, yakın zamandaki bağımsız bir denetimi; bir VPN'in no-logs iddiası için en yüksek standart olarak değerlendirdik. Gothenburg'dan sonra, bunun üzerine bir katman ekliyoruz: işleyen mahkemeleri olan bir yargı bölgesinde, gerçek bir kolluk kuvveti el koyma girişiminden belgelenmiş kurtuluş; sonucun hem operatörün kendi açıklaması hem de çağdaş basın kapsamasıyla doğrulanabilir olması. Mullvad şimdi o katmanda oturuyor. Pazarın geri kalanının çoğu değil.

Dizinin barındırma tarafı için çıkarım paraleldir. Mimarileri, toplanan verilerin paylaşılmayacağına dair bir vaade değil; toplanan verilerin olmamasına dayanan operatörler, sıralamalarımızda daha fazla ağırlık hak eder. Reykjavik'teki mevcut [1984 Hosting](/service/1984-hosting) listemiz, genel olarak aynı prensipte çalışır; bu ışıkta daha ilginç hale gelir, daha az değil. Kullanıcılarına, yazılı olarak ihanet etmeyeceğine söz vermiş olandan; ihanet edemeyecek bir hizmeti daha çok tavsiye etmeyi tercih ederiz.

Kaynaklar

• Mullvad VPN, Mullvad VPN was subject to a search warrant (20 Nisan 2023)
• Bleeping Computer, Swedish police raided Mullvad's offices but left empty-handed
• The Register, Mullvad VPN says Swedish cops tried, failed to seize servers
• TorrentFreak, Mullvad VPN Raided By Police But No Customer Data Taken
• Wikipedia, Mullvad

Düzenleme günlüğü

• 2023-04-22 : Mullvad blog gönderisini iki kez okuduktan ve karar tarihini The Register'ın haberine karşı çapraz kontrol ettikten sonra ilk taslak hazırlandı. Bleeping Computer yazısı gelene kadar, cuma akşamı geldi, yayınlamaktan vazgeçildi.
• 2023-04-26 : Stokholm'de küçük bir barındırma operasyonu yürüten ve bana yalnızca RAM filosunun disk destekli olana göre gerçekte ne kadara mal olduğunu anlatan bir arkadaşla uzun bir telefon görüşmesinden sonra mimari liste eklendi. İsveç basını yargı bölgesini doğrulamadığı için temel kara posta vakasıyla ilgili iki spekülasyon paragrafı çıkarıldı.
• 2023-05-02 : Bir okur neden bahsetmediğimi soran e-posta attıktan sonra ProtonVPN 2021 karşılaştırması eklendi. Eylül 2021 Proton şeffaflık raporunu ve Reuters haberini iklim aktivist detayını doğru aldığımdan emin olmak için yeniden okundu. Proton'un suçluluğunu abartan önceki bir satır kaldırıldı.
• 2023-05-09 : Mullvad'ın 29 Mayıs'taki port yönlendirme çekilme duyurusu, bu yazı ilk taslaklandığında henüz yapılmamıştı, bu yüzden zamanlamayı not eden ileriye dönük bir cümle eklendi. 1 Temmuz geçişi yürürlüğe girdikten sonra yeniden ziyaret edilecek.
• 2023-05-15 : Karar bölümünde son geçiş. Yeni "belgelenmiş karar kurtuluşu" katmanını ima edilen yerine açık hale getirmek için kapanış paragrafları yeniden yazıldı ve Dizin editörüyle listeyi hâlâ canlı olduğunu doğruladıktan sonra 1984 Hosting listesine çapraz bağlantı eklendi.