Yazının devamı geliyor. Bu sefer biraz yasal ve ideolojik kısmından bahsetmekte fayda var.
Sanal Kimliğin devlet tarafından verilmemesi fikri fişlenme korkularına karşı alınmış bir önlemdi. Ben bu işi yapacam özgür bir topluluk kurulması taraftarıyım. Devlet elbette bu topluluğun bağımsızlığını ya da daha doğrusu özgürlüğünü yasalarla güvence altına almadıkça böyle bir girişimde bulunulamaz. Burada güvence dediğim mahkemeden izinsiz takip yapılmayacağı garantisidir. Mutlaka istihbarat servisleri bu konuda çalışmalar yapacaktır. Ama resmi olarak topluluktan mahkeme kararı dışında id bilgileri alınamamalı. Kullanıcı veya id bir suçla ilişkilendirilmediği sürece ikincil bilgilerine ulaşılamamalıdır.

Şimdi şunu sorabilirsiniz peki güzel ama kimliği veren topluluk bu bilgilere ulaşıyor ya onlar bu bilgileri yayınlarlarsa? Ben bu tehlikeden nasıl korunabileceği konusunda hala düşünüyorum. Tekrardan bir şifrelenme tekniği uygulanabilir ya da insan faktörü sunuculardan tamamen uzaklaştırılabilir. Her şey otomatik olursa ve sunuculara erişim kapatılırsa böyle bir sorunla karşılaşmayabiliriz. Mesela yetkili bir iki kişi olur onlar dışında kimliklere kimse erişemez. Bu kişilerde özenle seçilir güvenlikleri sağlanır. Böylece sunucuya ulaşılması zorlaştırılabilir. Devlet kimlik numaralarını korurken nasıl çalışıyor ona da bakmak gerekir. Sonuçta biz de herkesin kimlik bilgisine şuan ulaşamıyoruz. Dünyada bu tarz güvenlik işlemleri nasıl yapılıyor araştırılmalıdır. Zaten benim burada getirdiğim öneri hadi hemen bunu yapalım değil. Önce gerekli fikri alt yapı sağlansın. Yasal düzenleme gerekiyorsa bu yasal düzenlemelerin sağlanması için siyasilere istekte bulunulsun. Bu işin takipçisi olacak bir topluluk kurulsun. Sadece ülkemizde değil tüm dünyada kullanılabilecek standart bir güvenlik protokolü geliştirilsin. Bir sürü ayağı var bu işin.

Önce tartışmamız gerekir. Zaten bu yüzden yazıyorum bu yazıları. Bir fikrim var ve tartışalım, geliştirelim istiyorum. Topluluk hangi şartlarda çalışacak, finansmanı nasıl sağlanacak, güvenlik ne olacak… Böyle bir sürü soru gelebilir aklımıza. Hepsini bir günde çözmeye gerek yok. Ama tartışmaktan korkmayalım. Burada bir fikri tartışıyoruz ve fikrin olgunlaşması için önerilere açığız. Sakıncıları ne olabilir bu sakıncaları giderecek çözümler ne olabilir tartışalım.

Bir de bu fikir tüm sitelerde uygulansın demedim. İsteyen bu protokolü kullanabilir. Gerekli şartları ve kaliteyi sağlıyorsa bir sertifika verilir ya da bir belge artık bunun ismi ne olur hukukçular düşünsün. İsteyen oraya üye olabilsin, isteyen olmasın. Şimdi şu var mesela. Birisi mail adresinizi hackledi bir daha geri almanız çok zor. Ya da sizin adınızla farklı sitelerde saçmalıyor bunun önüne geçemezsiniz. Çünkü kimliğinizi doğrulamanın imkanı yok. Sadece mail ile kayıt oluyor. Bunun güvenli bir işlem olduğunu düşünmüyorum. Benim dediğim yöntemde kimliğiniz korunacak. Numaranız nerde kullanılıyor haberdar olacaksınız. Ve sizden izinsiz birisi kullanırsa onu engelleyebileceksiniz.

İlk yazı için buraya tıklayabilirsiniz.

Bir önceki yazıya açıklık getirmek için devamını yazıyorum. Fikrin ortaya çıkışının temel sebebi kimlikleri sadece e-mail aracılığıyla kontrol edebilmemizdi. E-mail olmazsa telefon numarası ya da başka bir şey. Oysa belli standartları yakalamak için herkese benzersiz birer numara verilmeli.

T.C. Kimlik numarası bu işi görüyor ama güvelik sebeplerinden her sitede bu numaranın kullanılıp, saklanması pek sağlıklı olmaz. İşte bu noktada Sanal Kimlik projesi devreye giriyor. Bir topluluk(Vakıf/Dernek) devletin kimlik veritabanına erişme hakkı alır. Kullanıcı önce normal üye olur gibi buraya üye olur. Karşılığında kendisine şifrelenmiş bir id numarası verilir. Burada kullanıcının bu numarayı çok iyi saklaması gerektiğinin bilincinde olması gerekiyor. Kullanıcı sanal kimliğini aldıktan sonra normal şekilde sitelere yine üye olabilir. Ama sertifikalanmış sitelere yani sanal kimlik ile üyelik alan sitelere üye olmak için bu numaraya ihtiyacı olacaktır. Burada numara kullanıcının hesabıyla ilişkilendirilir. Diğer ayrıntılar istenmez, mail sorulmaz kullanıcıya. Numarası alınır ve doğrulu Sanal Kimlik sunucusu üzerinde kontrol edilir. Bakın tekrar ediyorum sunucudan kişi bilgileri alınmıyor. Sadece numara kontrol ediliyor. Güvenlik açısından numarayı kullanmaya başlayan site sunucuya bir kayıt girer. Bu çok basit bir 1 veya 0 verisidir. 1 se kullanıyorum der. Sertifikalı tüm siteler bu şekilde listelenir kullanıcı herhangi birini kullanmaya başlamadan önce değer 0’dır.

Site kimliği onayladıktan sonra normal şekilde kullanıcı üye olur işlemlerine devam eder. Hesabıyla ilişkili bir numarası vardır. Devlet başka bir kullanıcının ya da site yönetiminin isteği olmadıkça hangi kullanıcı hangi sitede ne yazıyor öğrenemez. Sanal Kimlik kuruluşu tamamen bağımsız olmalıdır. Burada devlette kendi işlemlerinde numara doğrulaması yapabilir tıpkı diğer siteler gibi bu kimliği kullanabilir ama zaten esas kimlik bilgilerine sahip olduğu için böyle bir şey yapmasına gerek yoktur. Kullanıcı yanlış bir işlem yaptığında site yönetimi kullanıcı adıyla birlikte id numarasını engeller. Böylelikle bu kullanıcı bir daha kendi kimliğiyle bu siteye üye olamaz. Herhangi bir suç işlendiğinde resmi makamlar id bilgilerini topluluktan isteyebilir. Toplulukta bu bilgileri verir ama sadece resmi istek olduğunda.

Burada bu kimlik sunucusunun güvenliği önemli. Bunu mutlaka profesyonel yazılımcılar yapmalı ve şifrecilerin desteği sağlanmalı. Tam güvenlik sağlandıktan sonra iş ulusal sitelerden çıkıp uluslar arası sitelerde bu kimliği kullanmaya gelir. Devam edelim;

Dünya çapındaki sitelere üye olurken yine kullanıcı normal şekilde üye olur ama bu sefer id numarasının yanında ulusal kodda kullanılır. Bu işlemleri yürütmesi ve diğer ülkelerde sanal kimliğin yaygınlaşması için ayrı bir topluluk kurulur. Bu topluluk diğer ülkelerin sanal kimlik uygulamasına geçmek için gerekli alt yapıya(hukuki ve teknik) sahip olup olmadığını kontrol eder. Eğer sahipse ulusal bir kod ilan eder ve o ülke vatandaşlarıda bu sitelere üye olabilir. Elbette kendi ülkelerinde de sanal kimlik numarası veren bir topluluğa ve bu topluluğun bağımsız olarak çalışmasına olanak veren yasalara ihtiyaçları vardır.

Son olarak tekrardan belirtmek istiyorum. Sanal Kimlik bir fişleme aracı değil tamamen kimlik doğrulamada kullanılan bir güvenlik protokolüdür. Ne siteler kullanıcının kimlik bilgilerine ulaşabilir ne de devlet kullanıcıların takma isimlerine ulaşabilir. Bu yazıyı görselle desteklemek isterim ama elimde gerekli araç yok. Yardımcı olabilecek olanlarla bir ara iletişime geçerim.

Bir sonraki yazı için tıklayınız.

Siteme Openid ekleme konusunu düşünürken uzun süredir düşündüğüm bir mesele tekrardan canlandı. İnternet o kadar hızla büyüyor ki içindeki verileri kontrol etmek gün geçtikçe zorlaşıyor. Sosyal ağlar, topluluklar, bloglar, her kesin açabildiği wikiler. Bu kadar yoğun bir bilgi bombardımanın ardında ihtiyacımız olan doğru veriyi alıp bilgiye ulaşmak imkansız hale gelebiliyor.
Bu sorun sadece sanal ortamda değil televizyonlarda, gazetelerde ve diğer medya unsurlarında da baş gösteriyor. Özellikle Amerikan televizyonlarında ki ekonomi ve politika programlarını seyrettikten sonra dünyanın ne büyük bir tehdit altında olduğunu bir kez daha kavrıyorum.

Ama şimdilik konumuz bunlar değil. Sadece internete yoğunlaşalım… internetin gücü diğerlerini ortadan kaldırmaya yeter. Şimdi bir kaç örnek vereyim mesela bugün başıma geldi bir kaç örnek kod aynı yerden alınmış ama eksik geçirilmişti. Ya da bazen yanlış olur sonuç olarak işime yaramayan bir bilgiyi bulmak için site site dolandım. Kaynak siteler öyle kötü ortamlarda değildi. Alanında uzman kişilerin yazdığını düşündüğümüz çeşitli metinler kullanıcıların hizmetine sunulmuştu ama sonuç olarak bana lazım olan kodun işime yaramayacağını uzun süren araştırmanın sonunda fark ettim. Bahsettiğim o uzun süre 10dakika da olsa eğer benim gibi 100 kişi varsa iş gücü kaybını hesaplayın da görelim. Başka bir kaynak direkt yalan haber yazıyor, kimisi iftira atıyor. Sadece kodlarla sınırlı değil habercilik ve eğitim kisfesi altında yanlış bilgi veren dolu kaynak var.

Aslında bilgi veren dememek gerek. Yanlış veri ileten araçlar olarak onları sıfatlandırmak gerek. Zira veri anlamlı değilse bilgi değildir. Belki şuan bende saçmalıyorum ama burası bir kaynak sitesi değil kişisel günlük 🙂 Neyse…

Openid desteğini araştırırken aklıma Kore de uygulanan sistem geldi. Yanılmıyorsam sanal vatandaşlık kimliğiniz sanal işlemlerde kullanılabiliyordu. Bu şekilde herhangi bir yasa dışı faaliyette bulunduğunuzda hemen tespit ediliyor ve cezalandırılabiliyordunuz. Bunun yanında mesela fake hesap dediğimiz sahte hesaplar aracılığıyla insanları rahatsız etme olanağınızda ortadan kalkıyordu. Mesela bir oyun beta testine başlıyor. Her vatandaşa 1 hesap alma hakkı veriyor ve böylece ikinci üçüncü hesaplar alıp oyunu şişirmesi engellenebiliyor. Üstelik oyuncu oyunda hile yaparsa oyundan uzaklaştırılıyor ve bir daha giremiyor.

Benim istediğim işte T.C. Kimlik Numarasının sanal alemde bu şekilde kullanılabilmesi. Devlet bize bu bilgileri kontrol etme ve saklama hakkı tanısın. Tıpkı OpenId gibi Türk sitelerinde kullanabileceğimiz bir vatandaşlık numarası olsun ve bunu kontrol edebilelim. Belli bir sertifikasyon sistemi getirilsin. Bu kimlik numarası kaydını alan ve güvenli bir şekilde saklayan sitelere bu sertifikalar dağıtılsın ve siteler bu sertifikaya sahip olup / olmayan şeklinde sınıflandırılsın. Bir sonra ki aşamada bu siteleri düzenli olarak kontrol edecek bir topluluk oluşturulsun ve sertifika verilen sitelerde ki içeriği denetlesin. Uydurma / Çalıntı içerik tespit edildiği takdirde kullanıcılar bu siteleri topluluğa şikayet edebilsin ve sertifikaları elinden alınsın. Bu şekilde çekirdek olarak oluşan bir ağ zamanla gelişip güvenli içerik veren kaliteli sitelerin oluşmasına olanak verebilir. Kullanıcıların güvenini ve sertifikayı elde edebilmek için siteler kendilerine çeki düzen verir ve bizlerde işimizi çabucak hallederiz. Bu çatı elbette Linux altında kurulabilir. Elimizde e-devlet projesi ve Pardus’ta var hani… Yeterli araçlara sahibiz.

Bunu fişlemeye olanak sağlayan bir uygulama olarak görenler olabilir. Ben normal bir internet kullanıcısı olarak herhangi bir yasadışı işe karışmadıktan sonra yaptığım işlerin kayıt altına alınmasına karşı değilim. Birisi bir forumda bana hakaret ederse çabucak cezalandırılsın, cezalandırılmıyorsa da o forumdan uzaklaştırılsın ve bir daha karşıma çıkmasın isterim. Başka birisi benim sitemden yazıları çalıyorsa onu ifşa edebileyim, hakkımı koruyabileyim isterim. Bilmem siz ne düşünüyorsunuz? Önerileri alalım şöyle 🙂

Yazının devamı için tıklayın.