Kilitli Kapı Aslında Açıktır

Mart 2020, Tennessee'nin Lebanon kentindeki bir yaşlı bakım evinde sahne açılıyor. Demans hastalarının dışarı çıkmasını engellemek için tuş takımı koruması konmuş. Personel kodu biliyor. Hastalar öğrenmeleri gereken şey yok. Sistem tasarlandığı gibi çalışması gerekiyor.

Ama çalışmadı.

Her ikisi de bilişsel bozulma yaşayan bir çift, o "güvenli" kapıdan kaçmayı başardı. Sadece otuz dakika kayıp oldular. İki blok ötede birisi onları buldu ve geri getirdi. Neyse ki hiçbir sorun yaşanmadı. Ama işin ilginç tarafı başlıyor: insanlar nasıl çıktı?

Beklenmediği Bir Açık

Personel eşe bunu nasıl yaptığını sorduğunda, cevap bir casusluk filminden çıkma gibi geldi. Askerlik zamanından Morse alfabesi eğitimi almış. Ve kapı kodunu basit bir şekilde dinleyerek öğrenmiş.

Bunu bir saniye düşünün. Personel kodu girdiğinde tuş takımı ses çıkartıyor—bip, tık gibi sesler. Eş, eğitimi ve kulağının hassasiyeti sayesinde bu seslerdeki örüntüleri yakalamış. Yetmişmiş. Bilgisayar hackleme yok. Yazılı notlar yok. Sadece kulaklar ve beyin matematik yapıyor.

Ben güvenlik uzmanı değilim ama bu, kötü adamın heroya karşı olasılık dışı bir yöntemi kullanan filmler gibi geliyor. Tek fark, bu gerçek oldu ve bahis demans hastaları gibi kırılgan insanlar.

Tuşunuz Aslında Bir Casus Gibi Davranıyor

Beni sarsacak olan şey, bunun yalnızca Tennessee'de teorik bir sorun değil olması. Güvenlik araştırmacıları bunu defalarca belgelemişler.

Bilim insanları buna "yan kanal saldırısı" diyor. Basitçe, gizli tutmaya çalıştığınız şifre veya PIN geçerken, sistem başka bilgiler sızdırıyor. Sesler. Zamanlamalar. Titreşimler. Örüntüler. Bunların hepsi gizlediğiniz şeyi ortaya çıkarabiliyor.

Gerçek laboratuvar testlerinde, bilim insanları bankamatik tuş takımından bir metre uzağa mikrofon koydular. Tuşların seslerini analiz ederek dört haneli PIN'in yüzde 96'sını üç denemede kırabildi. Tahmin değil. Kaba kuvvet değil. Dinleme.

Ve bu sadece bankamatiğe has değil. Dizüstü bilgisayar tuşunuz? Araştırmacılar, yakında duran bir telefon mikrofonundan ses analiz ederek hangi tuşlara bastığınızı yüzde 95 doğrulukla tespit edebileceklerini gösterdiler. Çok rahatsız edici.

Mesele şu: Önemli bir şeye her bastığınızda, farkında olmadığınız bilgiyi yayın yapıyor olabilirsiniz.

Hırsızlık Hikayesinin Ötesindeki Tehlike

Bu hikayeyi sadece akıllı bir kaçış girişimi olmaktan ibaret kılmayan şey, yaşlı bakım evlerinin gerçeğini ortaya koyması. Bu yerler insanları korumak için var—sayıklayabilecek, kafa karıştırabilen, trafiğe yürüyebilecek, kayıp kalıp dönüş yolunu bulamayabilecek insanları.

Alzheimer Derneği'ne göre demansla yaşayan on kişiden altısı en az bir kez dışarı çıkmaya kalkışıyor. Bazıları bunu defalarca yapar. Eve gitmek isteyebilir, birini arayabilir veya sadece endişe ve şaşkınlığa tepki olarak dışarı çıkabilir. Kapı dışında riskler birden artıyor: araçlar, hava, düşmeler, dehidrasyon.

Bu vakada eş daha önce çıkmaya kalkışmış. Personel tedbirli olarak kontrol sıklığını artırmışlar. Ama o tek akustik açık—tuş takımının sesle sırrını vermesi—bütün güvenlik önlemlerini çöpe attı.

Değişen ve Değişmeyen

Olaydan sonra tesis bütün çıkış kodlarını değiştirdi ve personeli tekrar eğitti. Devlet iki bin dolar ceza kesti. Tennessee ayrıca yaşlı bakım evlerinin denetlenmesi şeklini değiştirdi, lisans ve uyum kontrolü için bir komisyon oluşturdu.

Ama işin kötü tarafı: altı yıl sonra, tam olarak nasıl yaptığını hâlâ bilmiyoruz. Kamuya açık belgeler tuş takımı modelini vermemiş. Her tuşun farklı ses çıkartıp çıkartmadığını açıklamıyor. Farklı tonları mı duydu, tuş basışlarını mı saydı, başka bir yöntemi mi kullandı, belli değil.

Dürüst cevap: tam yöntemi önemli değil. Alttaki sorun hâlâ var: sese dayanan fiziki bir güvenlik sistemi, dikkati yoğunlaştıran birine karşı savunmasız.

Daha Geniş Bakış

Bu hikaye beni rahatsız ediyor çünkü modern dünyada hepimizin mücadele ettiği bir şeyi temsil ediyor: gösterişli güvenlik mi, yoksa gerçek güvenlik mi? Tuş takımı kur, sorunu çözdüğünü düşün. Ama çözümün sömürülebilir bir açığı varsa—mesela farklı sesler çıkartıyorsa—sadece güvenlik illüzyonu yarattın, gerçek güvenlik değil.

Ve korumaya çalıştığın insanlar bilişsel bozulması olan yaşlı ise, bu sadece bir rahatsızlık değil. Bu gerçek bir tehlike.

Tesis olayı ciddiye aldı. Ama asıl soru, bütün tesislerin bu tür akustik açıkları düşünüp düşünmedikleri. Seslerin bilgi sızdırdığını hesaba katıyor muyuz? Tuş takımlarını gerçekten test ediyoruz mu?

İlginç Olan Taraf

Kabul etmeliyim: bu durum ciddi riskli olmasına ve çok daha kötü sonuçlanabilecek olmasına rağmen, adamın becerikliliğinde hayranlık verici bir şey var. Eğitimli kulak, askeri disiplin, keskin örüntü tanıma—bu insani yaratıcılığın nasıl çalıştığı. Sadece tesise zarar vermek yerine bir açığı ortaya koymak için yönelenmiş.

Asıl ders, bu adamın zeki olması değil (ki açıkça öyle). Güvenli olduğunu düşündüğümüz sistemlerin sık sık kör noktaları var. Bilginin yan yollarla—sesler, zamanlamalar, fiziki titreşimler ve fark bile etmediğimiz sayısız kanal aracılığıyla—nasıl sızdığını düşünmeyi unutuyoruz.

Çift şanslıydı. Çabucak bulundular. Trajedi yok. Ama sistem, tuş takımı bip seslerini sırdaş yapmaya başladığı anda zaten başarısız olmuştu.

Bu tür açıklar düşünmeye değer—sadece bakım evlerinde değil, gerçek güvenlik önemi olan her yerde.