Aptal Cihazların ‘Akıllı’ İstilası: Evdeki Casus IoT

Sabahın köründe, gözlerimi zar zor açmış mutfağa sürükleniyorum. Tek isteğim, damarlarıma o hayati siyah sıvıyı, yani kahveyi enjekte etmek. Ama o da ne? Benim 4.000 liralık, Wi-Fi özellikli, mobilden kumanda edilen “akıllı” kahve makinem bana kırmızı bir LED ile göz kırpıyor. Telefona bakıyorum, bildirim şu: “Firmware güncellemesi yapılıyor (%12). Lütfen fişi çekmeyiniz.”

Yahu arkadaş, alt tarafı sıcak suyu öğütülmüş çekirdeğin üzerinden geçireceksin! Seni Mars’a göndermiyoruz, Pentagon’un şifrelerini çözmüyorsun. Sadece kahve yapacaksın. Ama yok, o küçücük silikon beyniyle buluta bağlanıp, kim bilir hangi sunucudan 50 megabaytlık bir yamayı indirmek zorunda. İşte o an, mutfak tezgahına yaslanıp kendi kendime sordum: Biz bu noktaya ne ara geldik?

Zeka Pırıltısı Değil, Kod Çöplüğü

Piyasada “Nesnelerin İnterneti” (IoT) diye allayıp pulladıkları, teknoloji marketlerinde “Evinizi geleceğe taşıyın” sloganlarıyla size kakalanan bu cihazlar silsilesi, aslında birer saatli bomba. Bir yazılımcı olarak size şunu net söyleyebilirim: Bu cihazların içindeki kodlar, genellikle stajyerlere yazdırılmış, güvenlik testlerinden “eh işte” diyerek geçmiş, yamalı bohça gibi duran yazılım parçacıklarıdır.

Üreticinin derdi sizin güvenliğiniz değil, o cihazı bir an önce rafa koyup satmak. Bir ampul düşünün. Rengini telefondan değiştirebiliyorsunuz, harika değil mi? Peki o ampulün, evinizin Wi-Fi şifresini düz metin (plain text) olarak sakladığını ve ağınıza sızmak isteyen orta seviye bir hacker için “hoş geldin paspası” görevi gördüğünü biliyor musunuz? Konfor sandığınız şey, aslında dijital kapılarınızı sonuna kadar açıp anahtarı da paspasın altına koymaktan farksız.

Evinizin Haritası Hangi Sunucuda?

Gelelim şu yerlerde gezen, kedi köpek videolarının başrol oyuncusu robot süpürgelere. Geçen gün bir arkadaşım, “Evimin krokisini çıkardı, artık hiç çarpmıyor” diye övünüyor. Güzel kardeşim, o cihazın üzerindeki LIDAR sensörleri ve kameralar sadece koltuğun yerini öğrenmiyor. Evinin metrekaresini, eşyalarının düzenini, hangi odada ne kadar vakit geçirdiğini, hatta yerde unuttuğun çorabın markasını bile veri olarak işliyor.

Daha vahimi, bu veriler genellikle cihazın içinde kalmıyor. Çoğu ucuz (ve hatta pahalı) model, bu haritaları üreticinin bulut sunucularına yüklüyor. Bu sunucuların nerede olduğu, hangi ülkenin yasalarına tabi olduğu tam bir muamma. Yarın öbür gün, evinizin detaylı planının “anonim veri” adı altında sigorta şirketlerine veya reklam ajanslarına satılmayacağının garantisini kim verebilir? Hiç kimse.

Buzdolabınız Siber Savaşa Katılabilir

İşin bir de “zombi” boyutu var ki, bilim kurgu filmlerini aratmaz. Mirai botnet saldırısını hatırlayanınız var mı? Bilmiyorsanız özet geçeyim: Dünyanın en büyük siber saldırılarından biriydi ve bu saldırıyı yapanlar süper bilgisayarlar değildi. Saldırıyı yapanlar; şifresi değiştirilmemiş güvenlik kameraları, internete bağlı tost makineleri ve akıllı bebek telsizleriydi.

Siz mışıl mışıl uyurken, mutfaktaki akıllı buzdolabınız, bir hacker grubu tarafından ele geçirilip, dünyanın öbür ucundaki bir bankanın sunucularına DDoS saldırısı düzenleyen bir askere dönüşebilir. Düşünsenize, elalemin siber savaşında sizin beyaz eşyalar ön saflarda çarpışıyor! Ve işin komiği, üreticiler bu cihazlara güvenlik güncellemesi vermeyi, cihazı sattıktan 6 ay sonra bırakıyorlar. Evinizde, internete açık, korumasız ve güncelleme almayan kaç tane “zımbırtı” var hiç saydınız mı?

Dinleniyorsunuz, Hem de Stereo

Sesli asistanlardan bahsetmeden geçersem hatırım kalır. “Hey bilmemne, ışıkları aç.” Ne büyük lüks ama! Oysa o mikrofonun sizi duyması için sürekli açık olması gerektiğini, “tetikleyici kelimeyi” beklerken aradaki konuşmaları da işlemden geçirdiğini artık sağır sultan duydu. Şirketler “Biz sadece tetikleyici kelimeyi dinliyoruz, gerisini kaydetmiyoruz” diyor. Yerseniz.

Geçenlerde eşimle “yeni bir kamp çadırı alsak mı” diye konuştuk. Telefonlar masada değildi, bilgisayar kapalıydı. Sadece salondaki o akıllı hoparlör fişe takılıydı. İki saat sonra Instagram’da karşıma çıkan ilk reklam neydi dersiniz? Evet, bildiniz: Kamp çadırı. Bu bir tesadüf mü? Yoksa evimizdeki bu “casuslar”, pazarlama algoritmalarını beslemek için en mahrem sohbetlerimize kulak mı kabartıyor?

Aptallık Hakkımızı Geri İstiyoruz

Teknoloji düşmanı bir ludist değilim; tam tersine, kod yazarak hayatımı kazanıyorum. Ama gördüğüm manzara şu: Biz, bir parça tembellik ve “modern görünme” hevesi uğruna, mahremiyetimizi gümüş tepside sunduk. Manuel olarak perdeyi açmak zor geldiği için, perdenin ne zaman açılıp kapandığının verisini Çin’deki veya Silikon Vadisi’ndeki bir sunucuya hediye ettik.

Çözüm ne peki? Mağaraya mı dönelim? Hayır. Ama “aptal” olmanın erdemini hatırlayalım. İnternete bağlanmayan bir kahve makinesi, inanın bana daha lezzetli kahve yapıyor çünkü sabahın köründe “güncelleme hatası” vermiyor. Bluetooth özellikli diş fırçasına ihtiyacınız yok, dişlerinizi fırçalarken ne kadar baskı uyguladığınızı bir uygulamada görmeseniz de olur.

Evinize soktuğunuz her “akıllı” cihaz, aslında ailenize katılmış yeni bir birey değil, potansiyel bir casustur. Eğer o cihazı ağınıza dahil edecekseniz, ona misafir muamelesi yapın (Misafir Ağı / Guest Network kullanın) ve işi bitince fişini çekin. Unutmayın, fişi çekilen hiçbir cihaz sizi dinleyemez, izleyemez veya hacklenemez. Bazen en iyi güvenlik duvarı, o eski usul, fiziksel “kapatma” düğmesidir.

Şimdi izninizle, gidip cezvede kendime bir Türk kahvesi yapacağım. Wi-Fi şifresi istemiyor, güncelleme beklemiyor. Sadece kahve ve ben. İşte gerçek akıl bu.