random üretiliyor olabilir, fakat bunu nasıl doğruluyorlar açık kaynak olmayan yazılımlarda. tabi random üretiliyorsa.

Whatsapp hariç diğerleri opensource zaten, açıp bakabiliyoruz.

Whatsapp'ın da her sürümünü reverse engineering yoluyla kontrol edenler vardır, zaten facebook bounty de veriyor, bir sorun olsa duyardık.

Böyle bir açık çok büyük bir prestij kaybı olurdu, şifreli diyorlar ama değilmiş, facebook halka açık şirket, kaç milyar dolar kaybederdi, dolayısıyla o riski göze alamıyorlardır muhtemelen.

Kaldı ki e2e encrpytion iyi bişey ama yeterli değil. Android kullanıyorsan zaten malware'lar cirit atıyordur telefonunda, iphone'un NSA ile falan paylaşılmış bir backdoor'u vardır. Backup'lar zaten şifrelenmiyor. Yani mesajlarına illa ulaşmak isteseler ulaşırlar, sadece mass surveillance açısından biraz güvenlik sağlıyor uçtan uca şifreleme.

Mesajı gönderen cihaz mesajı düz metin olarak göndermiyor, şifreli olarak gönderiyor. Bu şifrenin içinde ayrıca bir anahtar da var. Mesajı alan kişi bu anahtara sahipse, mesaj o kişiye iletiliyor. Eğer o kişide anahtar yoksa mesaj iletilmiyor.

Bu anahtarları oluşturmanın algoritmaları var, sha0, sha1, sha2, md5 gibi. Whatsapp hangisini kullanıyor bilmiyorum, belki bunlardan farklı kendi algoritmaları da olabilir. Bu algoritmaları bilgisayarların da kırması mümkün değil, sadece çok kullanılan "Evet" gibi bazı kelimeler çok bilindiği için kırılabiliyor ama "Evett" çok farklı bir şifre oluşturduğu için bunun bilinmesi mümkün olmuyor.

Bilgisayarların kırması mümkün değil derken, tamamen imkansız değil. Zaten öyle olsa farklı algoritmalara ihtiyaç olmaz, her biri farklı hash üreterek bu anahtarlamayı oluşturuyor.

Gönderilen mesaj alıcıya gitmeden önce sunucuya gidiyor. Sunucudan bu mesajın alınması mümkün ama şifreli olarak gittiği için insanlar tarafından okunması mümkün değil. Ancak bilgisayarla şifresi kırılabilir ama o da bahsettiğim gibi her yeni algoritmayla daha zor hale getiriliyor.

Örnek olarak Evet kelimesinin sha256 kodu şu :
00e9738b77c7e524111035d65b286911365a8e3a37eec7d893c8c57e4ffe7c08

Sonuna bir t daha ekleyelim ve Evett kelimesinin kodu da şu :

5981c4d94960ab46d1be27d7c75991aef1febf4e722ce798a7800573411310ee

Bu iki kodun arasında hiçbir benzerlik yok görüldüğü gibi. Bir de bunun sonuna bir anahtar ekleniyor yine böyle anlamsız bir kod, o anahtar hangi alıcıda varsa şifreyi o açabiliyor. O anahtara sahip olmayan kişiler mesajı görmek isterse yukarıdaki şekilde görüyor.

Cevaplar için teşekkür ederim.

Ama şunu hala anlayamadım.

Mesajların düz metin olarak gitmediğini biliyorum.

Süreç şu şekilde işlemiyor mu?

- Her iki client mesajlaşma için kullanacağı anahtarı üretiyor.

- Clientlar ürettiği bu anahtarı sunucuların ya da bağlantıyı izleyen kişilerin öğrenememesi için public key/private key mantığı ile anahtarları takas ediyor. (Mesela telegram diffie hellman kullanıyor)

- Simetrik anahtar takas edildikten sonra artık simetrik şifrelemeyle mesajlaşmaya başlıyoruz.


Peki;

Anahtar değişimi için üretilen gizli anahtar tersine çevrilemiyor ok.

Ancak uygulama bu anahtarı belirlerken belli bir koda göre üretiyor ve ardından şifreliyor olmalı.

Yani uygulama diyelimki kendine evet kelimesini seçti ve bunu sha256'dan geçirerek şifreledi, tamam bunu geriye dönük kıramıyoruz.

Ama uygulamanın evet kelimesini seçmesini en azından uygulamayı yazan kişi olarak bilmiyor muyuz?

İşte bu evet kelimesinin random mu üretildiği yoksa spesifik bir kaç detaya göre üretilip üretilmediğine nasıl emin olabiliyoruz.

Reverse engineering yaparak bunu tespit etmek mümkün olabilir mi?

@lifeordeath, süreç bahsettiğin gibi değil tam olarak. Bir sürü implementasyon vardır ama klasik RSA mantığı şu:

Herkesin 2 tane anahtarı var. Birisi public (sunucuda duruyor), birisi de private (senin cihazında duruyor ve senin cihazından hiçbir zaman dışarı çıkmıyor).

Birisi sana mesaj göndereceği zaman sunucudan public anahtarını alıp mesajını şifreliyor, sonra o mesajı sana gönderiyor. O mesaj yalnızca private key ile çözülebiliyor. Public anahtar ile şifrelenmesine rağmen public anahtarla çözemiyorsun, yalnızca private olan ile çözebiliyorsun. Dolayısıyla burada şifreleme simetrik değil, asimetrik. Eğer şifrelediğim key'le çözebiliyor olsaydım o zaman simetrik olurdu.

Şöyle düşünebilirsin. Diyelim ortak bir alanda senin asma kilitli bir dolabın var. Dolap başta açık ve boş, dolabına sana vermek istediğim bir şeyi koyuyorum, asma kilidi kapatıp gidiyorum. Dolabı yalnızca sen kendi anahtarınla açabiliyorsun. Asma kilidi (public key) herkes biliyor ama önemli değil, çünkü anahtar (private key) yalnızca sende var.

Ayrıca encryption ve hashing farklı şeyler. sha256'dan (ya da herhangi bir hash fonksiyonundan) geçirdiğin bir şeyi geri döndüremezsin. Şifreleme (encryption) başka hashing başka. Şifrelemeyi geri döndürebiliyorsun.

Anahatarı nasıl üretiyorsun? Bilgisayardan random bir sayı istiyorsun, bu sayıyı hash fonksiyonundan geçiriyorsun. Çıkan metin senin anahtarın oluyor. Dolayısıyla anahtarı üreten programı bilsen de farketmez, random sayı kullandıkları için sonuçta üretilen anahtar da rastgele oluyor, o yüzden yeniden üretilmesi, tahmin edilmesi falan imkansız.

E peki bilgisayarın random numara oluşturduğunu nasıl biliyoruz? Burası çok komik, çünkü CPU'nun random bir sayı üretmesi imkansız. Onun yerine şu yapılıyor, mesela kullanıcının klavyeden bir tuşa basması isteniyor, bastığın tam zaman (nanosaniye cinsinden mesela) senin random sayın oluyor. Bilgisayarlar random değil ama insanlar öyle. Bazısı işlemci fanının ürettiği ses frekansını kullanıyor, öbürü elinde tuttuğun telefonu hangi açıyla tuttuğuna bakıyor falan filan. Yani bilgisayarın dışına çıkıp fiziksel dünyadan veri almaya çalışıyorlar.

"""Anahatarı nasıl üretiyorsun? Bilgisayardan random bir sayı istiyorsun, bu sayıyı hash fonksiyonundan geçiriyorsun. Çıkan metin senin anahtarın oluyor. Dolayısıyla anahtarı üreten programı bilsen de farketmez, random sayı kullandıkları için sonuçta üretilen anahtar da rastgele oluyor, o yüzden yeniden üretilmesi, tahmin edilmesi falan imkansız."""

Tam olarak sorduğum şey bu.

Kapalı kaynak kodlu bir yazılımda private key'in random olarak üretildiğini nereden biliyoruz.

Örneğin whatsapp (kapalı kaynak olduğu için örnek veriyorum sürekli)

Kişinin telefon numarasını 3'le çarp md5'ini çıkart, onun da sha2 sonucunu al, bu artık senin private key'in diyemez mi?

Bunun uygulama tarafında tamamen rastlantısal olarak üretildiğini teyit edebileceğimiz bir yöntem var mı. Yoksa sadece uygulamaya mı güvenmemiz gerekiyor.

Kavramlar biraz karıştı ama private key dahil tamamı hangi sırayla üretiliyor bunu uygulama üreticisi biliyorsa aynı anahtarları süreci en başından işleterek yeniden üretemez mi?

Tabi kesinlikle random üretiliyorsa bu söylediklerim boşa çıkıyor.

Anladım, sorunun cevabı reverse engineering. Yani ios client'ında zor ama android'de Java var, web'de de JS var. İkisinin de kodlarına çok rahat erişip nasıl yaptıklarına bakabilirsin. Hatta ben şu an bakıp private key'imi görebildim browser üzerinden:

ibb.co

Şu ekran görüntüsüne bakıp, hmm bunlar private keyleri random bir algoritmayla oluşturuyor diyebiliyorsak evet aradığım cevap bu:)))

Aramanız gereken kelime shotgun tipi mikrofon.

hypercardioid shotgun mikrofonlar evet orient bey çok haklı.

en ucuz 500 liraya boya pvm-1000 var laptop'ın mikrofon girişine de bağlarsın onu içine pil takıp.

şöyle bir şey buldum ama çok pahalı açıkcası. birde kayıt cihazı gerekecek buna.

www.amazon.com

shotgun mikrofonlar genel olarak dar açı ile kayıt etmezler mi? etraftan gelen sesleri almazlar diye biliyorum.

el feneri gibi düşün. el feneri sağını solunu aydınlatmıyor ama tuttuğun yerde hayvan gibi geniş alanı aydınlatıyor. o mantık. shotgun dediğin lazer gibi değil el feneri gibi.

çok teşekkür ederim.

bir şeyin inceliği değil kalınlığı ölçülebilir olduğu için kalınlık diyorum.

Tabudeviren +1

Özellikle inceliği vurgulanmak isteniyorsa "kağıt kadar ince" denebilir.

Peki aşağıdaki Atilla İlhan'a ait söz yanlış kullanım mı?

Fotoğrafhanenin yapay ev dekoru içinde, dal inceliğinde bir genç kadın, iki parmağını şakağına dayamış düşünüyordu.

Ama orada kadinin inceligine vurgu yapiliyor.

Bir benzeri de burada.

t24.com.tr

kullanıma göre vurguyu nereye yapacağına göre değişir ^^

öncelikle, bunların hepsinin dalga olarak yayıldığını belirtmem lazım. dalgaların
invisiblenetworks.co birbirine göre karşılaştırmaları şu şekilde. dikkat edersen birisi sık ve kısa, diğeri ise geniş ve uzun dalgalar şeklinde yayılıyor. sık dalgalar veri kaybını azaltıp hızın artmasını sağlarken, uzun dalgalar daha uzağa gitmeyi ve duvarlardan geçmeyi sağlıyor.

1- 2.4 uzun dalgalardan oluştuğu için daha uzağa gidiyor. tabi bu ideal ortamda. zira normalde başka bir çok cihaz da 2.4 bandında çalıştığı için "girişim" denilen şey oluyor ve dalgalar bozuluyor. bu nedenle uygunsuz ortamlarda (kablosuz telefon, bebek telefonu, araba alarmı, mikrodalga fırın, bazı amatör fm ve tv yayın cihazları, neredeyse wifi modemlerin hepsi, kablosuz mikrofonlar vs ) veya hiç duvar olmayan bir ortamda 5 ghz daha uzağa gidebilir.

2-ortalama bir wifi modemden daha iyi bir anten ile mümkün oluyor. lakin, ortalama bir modemde bulunan bir anten de, duvarlar olmadan, açık havada 1 km'yi rahatçı bulur. Tek yönlü çalışan antenlerle (alıcı ve verici tam olarak birbirine doğru dönük) 15 km wifi yayını yapmışlığım var. eğer dji kumandası ile drone arasına ağaçlar falan girerse bu bahsettiğin mesafeler mümkün olmuyor.

3- wifidan daha geniş dalgalara sahip. bu da duvarları geçip mahallenizdeki baz istasyonuna varmasına yetiyor. gerisi baz istasyonlarının işi. ayrıca belirteyim, 4.5g hız değil, teknolojinin adı :)

4- bu bant içerisinde duvarsız, binasız açık bir alanda 40 km'ye kadar bir alanı kapsayabilir bir baz istasyonu. bal peteği gibi kurulan baz istasyonlarının birbiri ile kesişmesi sonucu, eğer ki telefon sinyalini kesecek asansör gibi yapılar yoksa, heryerde telefon çalışır.

5- şöyle düşün: daha az tekrarlanan bir dalga var ve bu nedenle arada veri kaybı oluyor. alıcı kendisine gönderilen imzaya bakıp gelen verinin eksik olduğunu anlayınca tekrar talep ediyor. bu nedenle de veri iletimi yavaşlamış oluyor. bu nedenle operatörler örneğin 800mhz ile sana 1mbit hız sunuyorsa, 1800 mhz ile 5mbit sunabilir ama daha fazla baz istasyonu kullanması gerekir.

döküman bakmaya üşendim. :)

cevap için çok teşekkür ederim.

bazı şeyler kafamda netleşti. ama bazı şeyler :))

3. wifidan daha geniş dalgalara sahip demişsiniz. 2600mhz bant genişliğinin dalga boyu 2.4ghz'e göre daha küçük olması gerekmezmi paylaştığınız grafiğe göre. sonuçta evde 2 oda sonra wifi çekmiyor. ama grafikteki hesaplamaya göre neredeyse aynı dalga boyuna sahip baz istasyonu delip geçiyor her tarafı:) (2.6 ghz ve 2.4 ghz'i kıyaslıyorum.)

4.sorumu tam anlatamadım sanırım. kablosuz iletişim için, bir alıcı ve bir verici olması gerekiyor. baz istasyonunun verici kısmı oldukça güçlü duvarları falan her birşeyi geçiyor. ama telefonun verici kısmı o kadar güçlü değil. (ya da ben öyle sanıyorum) buradaki sinyal nasıl baz istasyonundaki alıcıya kadar rahatlıkla ulaşabiliyor. sonuçta yeni teknolojide 50mbit upload'ı falan çoğu zaman görebiliyoruz.

3- tabi ben 800 mhzlerden bahsetmiştim. 2600'e kadar gidiyor doğru :) bu nedenle de bazen camın kenarına yaslanmak zorunda kalıyoruz. gsm networku uzmanlık alanım değil lakin, temel kablosuz iletişim bilgim ile söylemem gerekirse: cihazların dalgaboyu vesaire dışında en önemli olaylardan biri çıkış gücü. modemlerimizde bu düşük iken dediğim gibi baz istasyonunun yapabildiği birşey. bunu biz binalar arası wifi network kurarken de yapıyoruz, oradan biliyorum. güçlü antenlerin aynı ghz ile yaptıklarına inanamazsın :)

4- iyi bir mikrofon ile uzaktaki bir sesi kaydedebiliyoruz ya? işte mikrofon da alıcı. verici alıcı ilişkisinde verici alıcıya kadar ulaşmak zorunda değil. bazen alıcı vericinin sınırlarına kadar "dinler".

işte duymak istediğim cevap sanırım buydu. velhasıl bu baz istasyonu hem verirken hem de alırken güçlü olmasından faydalanarak sinyali evin içinden dahi gönderebiliyoruz demek.

çok teşekkürler.