Gizlilik Odaklı Proton Mail Neden Telefon Numarası İstiyor?

Kategori: Güvenlik ve Gizlilik

Şifrelemenin üstüne kurulmuş bir e-posta servisinin kayıt formunda telefon alanı görmek insanı durdurur. Proton Mail'in bütün anlatısı "yazdıklarınızı biz bile okuyamayız" üzerineyken, hesabı açabilmek için elinizdeki en kişisel tanımlayıcıyı, yani GSM numaranızı istemesi çelişki gibi durur. Çelişki gerçek, ama sanıldığı yerde değil. Aşağıda doğrulama ekranının ne zaman çıktığını, telefon yerine hangi kapıların açık olduğunu ve numara vermek istemeyen birinin elinde teknik olarak ne kaldığını konuşuyoruz.

İçeriği okuyamayan bir servis neden numara soruyor

Proton'un uçtan uca şifrelemesi mesajın içeriğiyle ilgilidir; hesabın var olmasıyla değil. Posta kutusunun içine kimse bakamıyor olsa bile, o posta kutusundan dışarıya spam, oltalama ve sahte kayıt çıkabilir. Bir servis ne kadar gizlilik odaklıysa kötü niyetli kullanım için o kadar çekici hale gelir: kimliğe bağlanmayan, ücretsiz ve şifreli bir adres, toplu hesap üreten biri için ideal hammaddedir.

Bu yüzden Proton kayıt anına bir insan doğrulaması katmanı koyar. Amacı sizin kim olduğunuzu öğrenmek değil, aynı elin dakikada yüz hesap açmadığını görmek. Aradaki fark önemli: kimlik doğrulaması değil, ölçek doğrulaması yapılıyor.

Bir ayrımı da baştan yapalım. Kayıt sırasında istenen doğrulama ile hesabı açtıktan sonra ayarlarda karşınıza çıkan kurtarma telefonu / kurtarma e-postası aynı şey değildir. İkincisi tamamen isteğe bağlıdır ve parolanızı unuttuğunuzda kullanılır; ilki kayıt kapısındaki filtredir.

Doğrulama ekranı herkese çıkmıyor

Proton Mail açan iki kişiden biri hiçbir doğrulama görmeden posta kutusuna düşerken diğerinden telefon istenebilir. Ekranı tetikleyen şey hesap değil, bağlantının profili:

• VPN ya da Tor çıkış düğümünden bağlanmak
• Veri merkezi IP aralığından gelen trafik
• Aynı ağdan kısa sürede arka arkaya kayıt denemesi
• Geçmişi olmayan, çerezi temizlenmiş bir tarayıcı profili
• Sık kullanılmayan tarayıcı ya da işletim sistemi parmak izi

Listenin ironisi ortada: gizlilik önlemi aldıkça sizden doğrulama istenme olasılığı artıyor. "Bende hiç sormamıştı" diyen bir arkadaşınıza bakarak plan yapmayın; aynı formun size farklı davranması normal.

"Numaranız hesabınıza bağlanmıyor" cümlesinin teknik karşılığı

Proton'un yayımladığı açıklamaya göre doğrulama için verilen telefon veya e-posta, hesabın kendisiyle birlikte tutulmuyor; kötüye kullanım önleme tarafında ayrı saklanıyor ve tekrar kullanımı engellemek için özetleniyor. Bunun pratikte iki sonucu var.

Birincisi somut: bir numara Proton doğrulamasında bir kez kullanıldıysa, ikinci kez aynı numarayla doğrulama genellikle geri çevriliyor. Elden ele dolaşmış, daha önce başkasının Proton kaydında kullanılmış numaraların neden takıldığını açıklayan şey de bu.

İkincisi daha rahatsız edici: bu bir politika beyanıdır, dışarıdan denetleyebileceğiniz bir kanıt değil. Kendi numaranızı verip vermemeye karar verirken elinizdeki tek dayanak "bu servise ne kadar güveniyorum" sorusunun cevabı oluyor. Gizlilik tercihini ciddiye alan biri için, güvenmek zorunda kalmamak genelde güvenmekten iyidir.

Telefon istemeyen yollar ve nerede tıkandıkları

Proton bağlantı profiline göre birkaç alternatif sunar, ama hepsinin bir bedeli var:

• Alternatif e-posta ile doğrulama. En sık çıkan ikinci seçenek. Ancak vereceğiniz adres çoğunlukla Gmail ya da Outlook hesabınız olur; "gizlilik için Proton'a geçiyorum" diyen biri için tuhaf bir geri dönüş. Geçici e-posta servislerinin büyük kısmı zaten engelli listede.
• CAPTCHA. En az iz bırakan yol, ama her zaman sunulmuyor; riskli görülen bağlantılarda doğrudan atlanıyor.
• Küçük tutarlı ödeme veya bağış. Kart bilgisi sizi en az telefon numarası kadar tanımlar, çoğu durumda daha da fazla.
• Ücretli plana geçiş. Ödeme adımı doğrulamanın yerine geçiyor, ama ücretsiz hesap arayan biri için soruyu çözmüyor.

Tabloyu yan yana koyunca şu çıkıyor: her seçenek sizden bir tanımlayıcı istiyor; fark, o tanımlayıcının arkasında ne kadar geniş bir geçmişin durduğu. Tek kullanımlık bir numara bu seçenekler arasında dar bir yüzey bırakır, çünkü arkasında sizin adınıza kayıtlı bir hat, bir kart ya da yıllardır kullandığınız bir posta kutusu yoktur; doğrulama bittiğinde de sizinle bağı kalmaz.

VoIP ve halka açık numaralar neden reddediliyor

Proton, çoğu büyük platform gibi numaranın hangi taşıyıcıya kayıtlı olduğuna bakar. İnternet üzerinden dağıtılan ücretsiz VoIP hatları, sanal santral numaraları ve gelen SMS'leri herkese açık bir sayfada yayınlayan siteler pratikte kapalıdır. Sonuncu gruptaki sorun ayrıca ciddidir: kodu siz görürken o sayfaya bakan herkes de görür, yani hesap daha doğmadan başkasının eline geçebilir. Gerçek operatör altyapısında çalışan ve o an yalnızca size tahsis edilen bir numara ile gelen kodu herkese gösteren bir numara arasındaki farkı sanal numaraların güvenilirliğini ölçtüğümüz yazıda ayrıntılı konuşmuştuk.

Numara seçerken elinizdeki tablo

Proton Mail için hangi ülkelerin listelendiği ve fiyatlar gün içinde dalgalanır; o anki tabloyu satın almadan önce güncel fiyat listesinden görebilirsiniz.

Türkiye tarafında net konuşalım: Proton Mail servisinde +90 stoğu bulunmuyor. Listede çıkmasını bekleyerek vakit kaybetmek yerine o an açık olan ülkelerden biriyle ilerlemek daha hızlı sonuç verir. Seçtiğiniz ülkenin hesabın kullanımına etkisi yok; Proton arayüzünün dili, saat dilimi ve adres uzantısı numaraya değil hesap ayarlarınıza bağlı.

Akış kısa: SMS onay sayfasından Proton Mail servisini ve ülkeyi seçiyorsunuz, numara ekranınıza düşüyor, Proton'un doğrulama alanına yazıyorsunuz. Kod ortalama 12 saniyede geliyor; gelmezse 2 dakika içinde iptal edip otomatik iade alıyorsunuz, o numara da oturumunuzdan düşüyor.

Doğrulamayı geçtikten sonra hesabı ayakta tutmak

Kayıt ekranını geçmek işin yarısı. Proton tarafında hesabın ömrünü belirleyen birkaç kural var.

Ücretsiz hesap sayısı. Proton kişi başına bir ücretsiz hesaba izin verir; ek hesapların ücretli bir plana bağlanması beklenir. Aynı kişiye ait görünen hesap yığını doğrulamayı geçse bile sonradan askıya alınabilir. Burada belirleyici olan numaranın türü değil, davranış örüntüsü. Bu ayrımı ban riskini konuştuğumuz yazıda platform platform açmıştık.

Kurtarma ayarı ilk gün yapılmalı. Posta kutusu şifreli olduğu için parolanızı unuttuğunuzda kurtarma cümlesi ya da kurtarma adresi olmadan içerik geri gelmez. Doğrulamada kullandığınız numara sizde kalmayacağı için kurtarmayı numaraya bağlamayın; kurtarma cümlesini çevrimdışı bir yere yazın.

İki adımlı doğrulamayı uygulamaya bağlayın. SMS yerine TOTP üreten bir uygulama kullanın; böylece hesap geçici bir numaranın varlığına bağımlı kalmaz. Kodların nasıl üretildiğini merak ediyorsanız OTP mantığını anlatan yazı işinizi görür.

Gizlilik satın alınmıyor, yüzeyi daraltılıyor

Son bir gerçekçilik notu. Sanal numara sizi anonim yapmaz. Yaptığı şey, kayıt anında ortaya koyduğunuz tanımlayıcı yüzeyini daraltmaktır. IP adresiniz, tarayıcı parmak iziniz, ödeme yönteminiz ve yazışma alışkanlıklarınız hâlâ yerli yerinde durur. Kendi GSM numaranızı onlarca servise dağıtmamak anlamlı ve ölçülebilir bir kazanç; ama tek başına bir gizlilik stratejisi değil, o stratejinin yalnızca bir parçası.

Proton'un telefon sorması, gizlilik iddiasını çürüten bir çelişki değil; ücretsiz ve kimliksiz bir hizmeti ayakta tutmanın maliyeti. Sizin yapmanız gereken, o maliyeti hangi para birimiyle ödeyeceğinize karar vermek: kişisel numaranızla mı, kartınızla mı, yoksa yalnızca o kayıt için var olan geçici bir hatla mı.