ABD Senatosu'nda Oregon Demokratı Ron Wyden, federal kurumların yıllardır desteklenen bir gizlilik özelliğini hâlâ devreye almadığını gündeme taşıdı. Wyden, CISA geçici direktörü Nick Andersen ve federal baş bilgi görevlisi yardımcısı Thomas Flagg'a gönderdiği mektupta, yüzlerce kamu sitesinin ziyaretçilerin hangi adrese bağlandığını ağ üzerinden izleyen herkese açıkça gösterdiğini belirtti. Mektuba eklenen listede 350 yönetici erkî web adresi yer alıyor; bu adresler içerik dağıtım ağları (CDN) üzerinden yayın yapmasına rağmen Encrypted Client Hello (ECH) desteğini kullanmıyor.

HTTPS neden yeterli değil?

Federal sitelerin neredeyse tamamı bugün sayfaları ve formları şifreliyor. Ancak standart HTTPS, bağlantının hedefini gizlemiyor. Tarayıcı güvenli bir bağlantı açtığında, ulaşmak istediği siteyi Server Name Indication (SNI) adı verilen bir alanda, şifreleme başlamadan önce düz metin olarak duyuruyor. Bu nedenle bir internet servis sağlayıcısı, güvenilmeyen bir Wi-Fi ağı ya da ele geçirilmiş bir telekom operatörü, ihbarın tek kelimesini okumadan yalnızca bağlantının tips. fbi. gov adresine gittiğini görebiliyor.

ECH tam da bu noktayı şifreliyor. Özellikle binlerce ilgisiz sitenin aynı ön kapıyı paylaştığı büyük CDN'lerin arkasında etkili çalışıyor. Cloudflare'in uygulamasında ECH korumalı tüm siteler ağa tek bir ortak ad altında görünüyor; böylece gözlemci ziyaretçinin Cloudflare üzerinden bir siteye ulaştığını anlayabiliyor ama hangi site olduğunu çözemiyor.

Hangi kritik servisler risk altında?

Wyden'in mektubu iki hizmeti özellikle öne çıkarıyor. Gaziler Bakanlığı'nın intihar önleme hizmeti veteranscrisisline. net, Amazon Web Services üzerinde barınıyor ve mektuba göre AWS şu anda ECH desteği sunmuyor. FBI'ın tips. fbi. gov ihbar portalı ise ECH destekleyen Cloudflare üzerinde çalışmasına rağmen büro özelliği henüz açmamış durumda. Listedeki diğer adresler arasında muhbir bildirim hatları ve sivil hak ihlali şikayet kanalları da bulunuyor.

ECH'nin sınırları nerede başlıyor?

Uzmanlar, ECH'nin tek başına sihirli bir çözüm olmadığı konusunda uyarıyor. Özellikle şifreli DNS ile birlikte kullanılmadığında etkisi büyük ölçüde azalıyor; çünkü DNS sorguları açık kaldığında hedef adres başka bir kanaldan yine görülebiliyor. Ayrıca ECH, sunucu taraflı ihlallere ya da sitenin kendi güvenlik açıklarına karşı hiçbir koruma sağlamıyor. Öte yandan özellik Rusya'da hâlâ engelli; listedeki bazı büyükelçilik sayfalarının da bu ülkeye yönelik olması dikkat çekiyor.

Türkiye açısından ne anlama geliyor?

Türkiye'de kamu kurumlarının web altyapısında ECH kullanımına dair resmî bir zorunluluk bulunmuyor ve bu konuda açıklanmış bir politika takvimi yok. Haberdeki gelişmeler ABD federal yönetimine özgü olsa da, benzer bir açık Türkiye'deki kurum siteleri ve CDN kullanan özel sektör platformları için de teorik olarak geçerli. Ziyaretçi mahremiyetinin kritik olduğu ihbar, sağlık ve şikayet hatlarında ECH'nin devreye alınması, ağ seviyesinde izleme riskini azaltabilir.

Şimdi ne olacak?

Wyden, iki kurumdan 20 Kasım 2026'ya kadar sınıflandırılmamış bir yanıt ve eylem planı talep ediyor. Mektupta ayrıca ECH desteğinin federal bulut ve ağ sağlayıcılarıyla yapılan sözleşmelerde ön koşul haline getirilmesi isteniyor. Bu adım hayata geçerse, kamu ihalelerine giren teknoloji devlerinin altyapılarını ECH uyumlu hale getirmesi gerekecek. Şimdilik top CISA ve OMB'de; federal sitelerin ne zaman ortak bir gizlilik standardına geçeceği ise belirsizliğini koruyor.