Wyden: 350 federal web adresi ziyaretçi bilgisini açıkta bırakıyor

ABD'li Senatör Ron Wyden, büyük web tarayıcılarının üç yıldır desteklediği bir gizlilik özelliğinin federal hükümet tarafından hâlâ devreye alınmadığını belirterek yetkilileri uyardı. Wyden'a göre yüzlerce kurum adresi, her ziyaretçinin hangi siteye girdiğini ağ üzerinde izleyen herkese açık biçimde duyurmaya devam ediyor.

Wyden, CISA Başkan Vekili Nick Andersen ile Federal Bilgi İşlem Başkan Yardımcısı Thomas Flagg'a gönderdiği mektupta, federal web sitelerinde Encrypted Client Hello (ECH) kullanımının zorunlu kılınmasını ve ECH desteğinin federal sözleşme isteyen bulut ile ağ sağlayıcıları için şart haline getirilmesini talep etti. Mektuba, içerik dağıtım ağları (CDN) kullanan ancak ECH'i kullanmayan 350 yürütme organı adresinin listesi eklendi. Wyden, gizli olmayan bir yanıt ve eylem planı için 20 Kasım 2026 tarihini verdi.

HTTPS'in açık bıraktığı tek ayrıntı

Federal sitelerin neredeyse tamamı artık okunan sayfaları ve gönderilen formları şifreliyor. Ancak standart HTTPS, sunucu adının kendisini gizlemiyor. Tarayıcı güvenli bağlantı kurarken hangi siteye ulaşmak istediğini, şifreleme başlamadan önce Server Name Indication adlı alanda düz metin olarak bildiriyor. İnternet servis sağlayıcısı, kötü niyetli bir Wi-Fi ağı ya da ele geçirilmiş bir telekom operatörü, ihbarın içeriğini okuyamasa bile bağlantının tips.fbi.gov adresine gittiğini kaydedebiliyor.

ECH, bağlantı kurulurken paylaşılan bu bilgiyi şifreliyor. En iyi sonucu, binlerce ilgisiz sitenin aynı giriş noktasını paylaştığı büyük CDN'lerin arkasında veriyor. Örneğin Cloudflare'in uygulamasında ECH korumalı tüm siteler ağa tek bir ortak ad altında görünüyor; gözlemci ziyaretçinin Cloudflare üzerindeki bir siteye gittiğini anlıyor ama hangisi olduğunu çıkaramıyor.

Listedeki adresler ve öne çıkan örnekler

Wyden'ın mektubu iki hizmeti özellikle anıyor. Gaziler İşleri Bakanlığı'nın (VA) çevrimiçi intihar önleme hizmeti veteranscrisisline.net, mektuba göre şu an ECH desteklemeyen Amazon Web Services üzerinde barınıyor. FBI'ın ihbar portalı tips.fbi.gov ise ECH destekleyen Cloudflare üzerinde çalışıyor, ancak kurum özelliği henüz açmamış. Wyden, Cloudflare gibi ECH destekleyen bir CDN kullanan federal alan adlarında korumanın yalnızca bir yapılandırma güncellemesi gerektirdiğini vurguladı.

Listedeki 350 adresin 191'i, yani yüzde 54,6'sı diplomatik: 174 büyükelçilik sitesi, üç konsolosluk ve çoğu NATO ve BM gibi uluslararası kuruluşlara gönderilen 14 heyet. 53 adres, Bureau of Indian Education'ın bie.edu alan adının alt alan adlarından oluşuyor ve bunlar tek tek okul siteleri gibi görünüyor. 12 adres test, eğitim veya hazırlık sunucusu. Kalan 94 adres arasında DHS genel müfettişliğinin şikâyet hattı, Adalet Bakanlığı'nın sivil haklar bildirim portalı, istihbarat topluluğunun iş başvuru sitesi, bir USCIS ihbar formu, Dışişleri Bakanlığı'nın Rewards for Justice sitesi, NIH'in alkol tedavisi yönlendirme sitesi, bir CDC doxy-PEP sitesi, birkaç federal HIV bilgi sitesi ve ICE'ın tutuklu arama aracı yer alıyor.

Cloudflare belgelerine göre ECH, Free planlarda varsayılan olarak açık; diğer planlardaki müşterilerin ise özelliği kendilerinin etkinleştirmesi gerekiyor. FBI için çözüm bir ayardan ibaret. VA için ise durum farklı: Amazon'un CDN'i ECH sunmuyorsa kurumun sağlayıcı değiştirmesi ya da beklemesi gerekecek.

Sözleşme şartı ve ECH'in sınırları

Wyden'ın ikinci talebi olan ECH desteğinin federal sözleşme koşulu yapılması da pürüzsüz değil. Bugün yazılacak bir tedarik kuralı, diğer sağlayıcılar yetişene kadar pratikte çok küçük bir sağlayıcı grubunu öne çıkarabilir. Bu, Amazon ve rakipleri üzerinde baskı kurma amacı taşıyor olabilir; ancak kısa vadede güvenlik düzeltmesinden çok bir piyasa kaldıracı işlevi görebilir.

ECH'in kendi sınırları da var. Protokolün belirtimi, varış noktasının şifrelenmemiş DNS sorguları ya da sunucunun IP adresi üzerinden yine sızabileceği uyarısında bulunuyor. Google da Ağustos ayında Android 17'ye sistem genelinde ECH desteği eklerken özelliğin, ziyaret edilen alan adlarını gizlemek için özel DNS ile birlikte çalıştığını belirtmişti. Kurumlar ECH'i kendi tarafında açabilir, ancak evdeki geniş bant bağlantısını kullanan bir gazinin şifreli DNS kullanmasını sağlayamaz; bu durumda ağı izleyen biri yine de ziyaret bilgisine ulaşabilir. ECH ayrıca sunucu ihlallerine karşı da koruma sağlamıyor.

Rusya engeli ve eski bir girişim

Uluslararası kapsam ayrı bir sorun yaratıyor. Listedeki adresler arasında ru.usembassy.gov, by.usembassy.gov, cn.usembassy.gov ve ir.usembassy.gov gibi, kullanıcıların görece düşmanca ağlardan bağlanabileceği büyükelçilik siteleri bulunuyor. Rusya, Kasım 2024'ten bu yana Cloudflare'in ECH'ini engelliyor; düzenleyici kurum Roskomnadzor o dönemde bu özelliğin kullanımının Rus yasalarına aykırı olduğunu açıklamıştı. Rus sağlayıcılar, hem ECH uzantısı hem de Cloudflare'in ortak dış adını taşıyan bağlantıları engelliyor; bu da Cloudflare müşterilerini ECH'i kapatmak ile yerel bir CDN'e geçmek arasında bırakmıştı. Bir büyükelçilik sayfası için ECH'i açmak, site adının en kritik olduğu ülkede sitenin erişilemez hale gelmesi anlamına gelebilir. Bu nedenle bu adreslerde şimdilik ECH'i atlamak tek gerçekçi seçenek gibi görünüyor.

Wyden için konu yeni değil. Ekim 2018'de DHS'den Chris Krebs'e yazdığı mektupta kurumları şifreli DNS ve ECH'in öncülü olan Encrypted SNI'yı benimsemeye çağırmış, DHS'den GSA ile birlikte ESNI'yı devlete satış yapan CDN sağlayıcıları için şart haline getirmesini istemişti. Bunu, DHS'in 2017 tarihli HTTPS yönergesi BOD 18-01'in ardından gelen "mantıklı bir sonraki adım" olarak tanımlamıştı.