Europol görevlisinin itirafından hareketle Monero’nun gizlilik özellikleri

Not: Bu yazı Arka Kapı Dergi 6. Sayısında yayımlanan “Gerçek Gizlilik İsteyenler için Kripto Para Monero (XMR)” yazısının güncel bir haberin yorumuyla genişletilmiş versiyonudur.

Kripto paraları kullanmaktaki temel motivasyonunuz nedir?

Finansal özgürlük mü? Gizlilik mi? (İkisi de pekâla olabilir.)

Fakat ikinci seçenek, kripto para kullanımındaki esas saikiniz ise tekrar düşünmekte seçtiğimiz kripto parayı gözden geçirmekte fayda var.

Europol Siber Suçlarla Mücadele Birimi’nden Jerej Jakubcek katıldığı bir webinarda, Monero (XMR) transactionlarını izleyemediklerini belirtti.

Blockchain Alliance’ın davetlisi olarak katıldığı bir webinarda Jakubcek TOR ve Monero birlikte kullanıldığında soruşturmanın bir noktadan sonra tıkandığını, suçluları izleyemediklerini belirtti.

Bardağın dolu tarafından mı bakmak istersiniz, yoksa boş tarafından mı?

Önce bardağın boş tarafından bakıp, şeytanın avukatlığını yapalım:

“Kripto para kullanımının ardındaki finansal gizlilik motivasyonu çoğunlukla bir illüzyon.”

Şimdi de dolu tarafından bakalım:

“Monero (XMR) finansal işlemlerde gerçek bir gizlilik vadediyor.”

Sahip oldukları gizlilik seçenekleri sebebiyle Monero ve Zcash kripto para borsaları listelerinden kaldırılıyor. Bu adaletsiz çünkü insanlar mahremiyetlerini koruma haklarına sahip. Gizliliği gerçek kişiler için bir “tedbir” değil de suçluları koruyan bir perde olarak görüyorsanız, fena halde yanılıyorsunuz! Suçlular kullanıyor diye bir teknolojiyi yasaklamak akıl tutulması. Suçluar cep telefonlarını da, otoyolları da, kapı kilitlerini de kullanıyor. Fakat suçlular kullandığı için bunların hiçbirini yasaklamaktan söz etmiyoruz. Ama konu kripto para olunca Pandora’nın kutusu açılıyor ve kötülükler etrafa saçılıyor.

Japonya ve Güney Kore otoriteleri kripto para borsalarına baskı yaparak finansal işlemlerin izlenmesine karşı gizlilik seçenekleri bulunan Zcash ve Monero’nun borsalardan kaldırılmasını istedi.

Coinbase, İngiltere’de Zcash satışını durdurdu.

Kötü günler geri kaldı, sırada daha kötü günler var!

Gizlilik hepimiz için bir ihtiyaç!

Vaad ettikleri gizlilik özellikleri olmaksızın kripto paralar, bireyler geleneksel paralardan daha fazla güvenlik riski arz ediyor olacak.

Bu yazıda kripto paraların bilinmeyen birkaç noktasını gün ışığına çıkarak ve Monero’nun (XMR) vadettiği gizlilik özelliklerinden bahsedeceğim.

İşte size bir IBAN numarası: TR63 0001 2009 1410 0009 2165 66

Bir kişinin IBAN numarasını bildiğinizde edineceğiniz bilgiler nelerdir?

Bankanın adı, adresi ve hesap numarası. Bundan fazlası değil.

Peki ya birinin Bitcoin (BTC) adresini öğrendinizde, bu kişiye dair başka hangi bilgileri elde edebilirsiniz?

Kişinin BTC adresinden hareketle toplam gönderdiği ve aldığı BTC miktarını, hesap bakiyesini, bugüne dek kaç adet işlem yaptığını, bu işlemlere dair tutar, tarih ve saat bilgilerini, gönderici ve alıcı adreslerini elde edebilmek mümkün.

Şöyle bir senaryo düşünelim, bir seyahat esnasında BTC ile işlem yaptığınızda işlem yaptığınız kişi yani hesap numaranızı bilen kişiler sizin bakiyenizi öğrenecekler. Bu sizin için ciddi bir güvenlik riski anlamına gelebilir.

Bu senaryoyu ciddiye almadı iseniz, 2017 yılında Antalya’da işlenen Bitcoin cinayeti haberini okumanızı tavsiye ederiz.

Hesap hareketlerinin şeffaf olması, sivil toplumlar, aday kampanyaları için ideal olabilir. Fakat kripto paraları finansal gizlilik ve güvenlik için tercih edenler için bir felaket olacağı açık.

Yukarıda örneklediğimiz hayati risk yanında, tüm finansal varlığınızı tehdit edecek başka senaryolar da mevcut. Bunun için öncelikle iki kavrama göz atmalıyız. Fungibility ve Tainting kavramları.

Fungibility ve Tainting

Finansal bir terim olan fungiblity yani takas edilebilirlik, aynı finansal değere sahip iki maddi değerin birbirlerinin yerine kullanılabilmesine verilen isimdir. Örneğin sizin cebinizdeki 1 TL ile benim cebimdeki 1 TL’nin piyasadaki alım gücü aynıdır. Üzerinde ne sizin, ne de benim adım yazar. Dolayısıyla gayrı meşru yollardan edinilmiş 1 TL ile meşru yollardan kazanılmış 1 TL’yi piyasa şartlarından ayıracak bir ölçüt yoktur.

BTC’nin sunduğu şeffaflık, en çok da BTC’nin takas edilebilirliğini etkilemektedir. Bu vakaya Tainting denilmektedir. Hatta bunu bir meslek haline getirmiş kuruluşlar dahi mevcut.

Yasa dışı yollarla elde edilmiş bir BTC, transaction loglarından derhal tespit edilebilmektedir. Peki bu ayrıntı bizim gibi abdestinden şüphesi olmayan kullanıcıları neden ilgilendirmektedir?

Bir alnımızın teriyle yaptığımız işe bir ödeme opsiyonu olarak BTC’yi de ekledik diyelim. Fakat elindeki BTC’leri gayrı meşru yollardan, örneğin fidye yazılımlarının yayarak elde etmiş biri, günün birinde bizden alışveriş yaptı ise?

Finansal loglarımızda bu kişi ile yaptığımız alışveriş açık olacağından, ileriki bir tarihte bizim hesabımızın da kara listeye alınması, hesabımıza “tainting” damgası vurulması işten bile değildir. Bakiyeniz ne olursa olsun bu durumda elinizdeki BTC’leri harcayamayacaksınız. Dolayısıyla gerçek bir değişim aracı olma iddiasındaki BTC, diğer değişim araçlarının en önemli özelliği olan fungiblity yani takas edilebilirlik özelliğini yitirmiş olacak.

Hevesleri kursaklarında kalanlar için, işte huzurlarınızda Monero (XMR)

Monero, ortak iletişim dili olarak tasarlanan Esperanto dilinde para anlamına gelen Mono ve bir cismin en küçük halini ifade eden -ero takısı ile türetilen bir kelimedir. Monero kendine sembol olarak XMR harflerini seçmiştir. Kripto para borsalarından Monero hareketlerini bu kısaltma ile takip edebilirsiniz.

Monero’yu tarihsel olarak ByteCoin ile ilişkilendirebilmek mümkün. CryptoNote omurgası üzerine 2012’de geliştirilen bir kripto para ByteCoin, özellikle de göndereni gizli tutmak konusunda başarılı bir teknik olan Ring-Signature’ı kullanan yani işlemi imzalamak için pek çok alıcının public anahtarını kullanan bir altyapıya sahipti. Nitekim bugün dahi gizlilik vadeden kripto paralar bu protokolü kullanmaktadır.

ByteCoin ile ilgili her şey iyi hoştu, fakat coin’lerin yüzde 80’inin mine edilmesi yeni bir çatallanmaya sebep oldu ve ortaya Monero çıktı. Önceleri BitMonero olarak anılsa da sonra da kısaca Monero olarak anılmaya devam edildi.

“ABD İç Güvenlik Bakanlığı’nın Monero ve Zcash gibi gizlilik odaklı kripto paralarla yapılan işlemleri izleyebilmenin yollarını araştırdığı ortaya çıktı. Kaynak: @uzmancoin“

Monero’nun avantajları nelerdir?

Monero hem göndericiyi, hem alıcıyı blokzincir içerisinde gizli tutan, gerçek bir gizlilik vaad eden kripto paradır. Burada teknik ayrıntılara çok değinilmeyecek, fakat gizliliği nasıl temin ettiğine dair açıklamalara kısaca yer verilecektir. Yazı sonunda verilen referans kaynak ayrıntıları merak eden okurları tatmin edecek kifayettedir.

Monero bunu nasıl başarıyor?

Öncelikle göndericiyi gizli tutmak için Ring-Signature olarak adlandırdığı bir sistem kullanmaktadır. Monero bir işlemi sistemdeki kullanıcıların public anahtarları ile imzalayarak göndericinin spesifik bir adrese işaret etmesini engellemektedir.

Fakat blokzincir loglarında tehlikeli olan bir başka ayrıntı daha mevcut. O da yapılan işlemlerin tutarı. 212.52 XMR olarak bir işlem yaptığınızı düşünelim. Bir T zamanında böylesi bir miktarda işlem yapan çok fazla sayıda kişi olmasa gerek. Dolayısıyla sizin kimliğiniz bu tutar üzerinden dahi tespit edilebilir. Monero bu noktada da gönderilen miktarı gizlemek için Ring-CT adını verdiği başka bir yöntem kullanmaktadır. Örneğin 20 XMR’lik bir transfer yapmak istediğinizde bu transfer alıcıya 8 XMR, 10 XMR ve 2 XMR şeklinde gönderilecek, gerçek işlem miktarı böylece gizli tutulmuş olacaktır.

Üç Anahtar (Public Key, Private View Key, Private Spend Key)

Doksanların siyasetinde seçmenlere üç anahtar vadetmek moda idi. Araba, ev ve işyeri. Monero da size üç adet anahtar vadediyor. Fakat düzen siyasetçilerinin başvurdukları bir illüzyon ile sizi yanıltmak için değil, sizin finansal bilgilerinizin peşine düşen kötü niyetli kişileri yanıltmak için.

Bu anahtarlar Public Key, Private View Key, Private Spend Key

Bir Monero cüzdanı oluştururken, bu anahtarların oluşturulacağı bir seed kullanılmaktadır. Örneğin bu yazı için oluşturacağımız cüzdanda aşağıdaki seed kullanılmıştır:

“cuddled moat lagoon lamb rest leech upcoming dozen sword keyboard smuggled liar rover efficient tribal dyslexic token injury domestic snout problems cool tiger upwards problems”

Bir tohumdan (seed) üç dal filizleniyor gibi düşünebilirsiniz. Seed’inizi ele geçiren biri Monero göndermek ve almak için ihtiyaç duyacağı diğer tüm anahtarlara sahip olacaktır. Dolayısıyla bu seed’i gizli tutmanızı şiddetle tavsiye ederiz.

Peki seed’den hareketle oluşturulan bu üç anahtar nedir?

Public Key: Size Monero göndermek isteyen alıcılara vereceğiniz adresinizdir. Bu adresi paylaşmanızda bir mahsur yoktur. BTC adresi gibi bu adresin bilinmesinden ötürü finansal gizliliğinize dair herhangi bir bilgiye ulaşılamayacaktır. Ayrıntıları aşağıda işleyeceğimiz Stealth Address başlığına bırakıyoruz. 2018’de Monero’da yapılan bir güncelleme ile public address altında sınırsız sayıda sub address açabilmenize imkân verilen bir geliştirme yapıldı. Ransomware dünyasına kısa da olsa göz atmış kullanıcılar hatırlayacaktır. Virüsün bulaştırıldığı her bir client için ayrı bir BTC cüzdanı oluşturan virüs simsarları, böylelikle transaction’ın gelip gelmediğini rahatlıkla kontrol edebilmektedirler. 2018’de yapılan güncellemeden önce Monero kullanıcıları bir göndericiyi, diğer başka bir göndericiden ayırmak için çeşitli yöntemler kullanıyorlardı. Bunlardan biri de Transaction ID idi. Monero’nun en büyük vaadi gizlilik olduğu için göndericilerin kimliğinin gizli olmasını yadırgamamalısınız. Güvenlik ve konfor ikileminde, güvenlik verip biraz konfordan olan Monero kullanıcıları Transaction ID gibi yöntemlerle bu soruna çözüm bulmuşlardı. Ama 2018 güncellemesindeki sınırsız subaddress bu dolambaçlı yollara karşı gerçek bir çözüm sundu. Artık transaction’ı, subaddress’i kullanarak diğer transactionlardan ayırabilmek mümkün olacak.

Stealth Address: Monero’da blokzincirinde işlemler oluşturulurken alıcının adresini gizlemek için Stealth Address adı verilen ve kullanıcının public address’i ile ilişkilendirilemeyecek bir değer kullanır. Dolayısıyla BTC örneğinde karşımıza çıkan, adresinizi bilen birinin tüm finansal gizliliğinize erişebilme tehlikesi bertaraf edilmiş olur.

Private-View Key: Monero blokzincirinde size gönderilen değerlerin Stealth Address ile gizlendiğini belirtmiş idik. Peki sizin cüzdanınız buradaki hangi değerlerin size gönderildiğini nasıl algılayacak? Private-View Key ile! Bu anahtar sayesinde blokzincirinden sizin cüzdanınıza ait transactionlar okunabilir duruma gelecektir. Bu bir nevi read-only bir anahtardır. Finansal gizliliğiniz için bu anahtarı paylaşmamanızı öneririz.

Private-Spend Key: Bu Monero blockzincirinde sizin cüzdanınız ile işlem yapılmasına olanak veren anahtarınızdır. Asla ve kat’a kimse ile paylaşılmamalıdır.

Monero hakkında bu kadar teorik bilgiden sonra, şimdi Monero client’ı kuralım ve cüzdanımızı oluşturalım.

Hem GUI hem de CLI özellikleri bulunan Monero Client’ını https://www.getmonero.org/downloads/ adresinden indirebilirsiniz. Yazı yazıldığı esnada güncel versiyon monero-gui-v0.13.0.4 idi.

İndirilen arşiv dosyası extract edildiğinde klasörde kullanımıza hazır uygulamalar ile karşılaşacaksınız:

Windows arayüzü için monero-wallet-cli cüzdan yönetimini komut istemcisi ile yapabilmeniz için monero-wallet-rpc cüzdana erişim için bir RPC servisi başlatmanız için klasörde bulunan çalıştırılabilir dosyalardandır.

Biz Windows arayüzü ile devam edeceğiz: monero-wallet-gui.exe

Uygulama çalıştırıldığında hangi dil tercihi ile devam edeceğimizi soran bir ekran ile bizi karşılayacak:

İkinci ekranda ise var olan bir cüzdanı mı kullanacağımız, yoksa yeni bir cüzdan mı oluşturacağımız sorularının yanıtlarının beklendiği ekrandır. Bu ekranda ayrıca bir cüzdan dosyasını import edebilir ya da donanımsal bir cüzdanı kullanabilirsiniz:

Restore wallet from keys or mnemonic seed ise, yukarıda özetlediğimiz Private Key ya da seed ile hali hazırda var olan bir cüzdanınıza erişmek için kullanılabilir.

Biz Create New Wallet seçeneği ile yeni bir cüzdan oluşturacağımızı belirtiyoruz.

Create a New Wallet dedikten sonra, cüzdanımız için oluşturulan seed’i görmekteyiz:

Bu ekranda aynı zamanda oluşturacağımız cüzdana bir isim verebilir ve cüzdanın kayıt edileceği dosya yolunu belirtebiliriz.

Sıradaki ekranda ise cüzdana erişim için bir parola belirlememiz ve ikinci kutuda da bu parolayı doğrulamamız beklenmekte.

Bu parola cüzdanı sadece PC’ye erişim elde eden kullanıcılardan koruyacaktır. Parolayı unutursanız size hatırlatılmasının imkânı yoktur. Tekrar seed ya da private key’inizi kullanıp cüzdanınıza erişebilirsiniz. Önemli bir nokta olarak hatırlatmakta fayda var, bu parola sadece cüzdanı kurduğunuz PC için geçerlidir. Private Key ya da seed’inizi elde eden bir saldırgan bu parolaya ihtiyacı olmaksızın cüzdanınızı kullanabilir.

Parolayı set ettikten sonra bizi karşılayacak bir diğer ekran, önemli bir ayarı içermektedir. PC’mize kurduğumuz client işlem yapabilmek için öncelikle Monero blokzincirine erişmeli, buradan hareketle cüdanımızın bakiyesini almalı ve işlem yapabilmeli. Peki bunu nasıl yapacak? Bunun için karşımızda iki seçenek var. Bunlardan ilki tüm bir Monero blokzincirinin bir kopyasını bilgisayarımıza indirip local bir node şeklinde kullanmak, diğeri ise her defasında remote bir node’a bağlanıp bu node üzerinden işlem yapmak. Güvenli olan yöntem local bir node başlatıp her defasında remote node’a bağlanmamayı tercih etmek.

Eğer remote bir node’a bağlanmayı tercih ederseniz bu tipteki bir cüzdan Monero terminolojisinde Light Wallet olarak adlandırılıyor. Aynı şekilde web cüzdan’ları da mevcut ama bunları kullanmanızı tavsiye etmiyoruz.

Biz node ayarı olarak local’i seçtik. Yani bilgisayarımızda arka planda çalışacak bir process Monero blokzincirinin bir kopyasını bilgisayarımıza indirecek. Bu process aynı zamanda bir port üzerinden de hizmet verecek.

“Use Monero” yazan butona bastığınızda artık cüzdanınızı görüntüleyebilirsiniz. Tabii daemon adı verilen process blokzincirinin bir kopyasını indirdikten sonra.

Biz bu yazı için Remote’e bir node’a bağlanmayı tercih ettik.

Her şey tamam olduğunda sizi aşağıdaki gibi bir ekran karşılayacak:

Yukarıda bir başka hesaba Monero gönderebileceğiniz Send menüsünü görmektesiniz. Address alanına tabii ki alıcının adres bilgileri (public key’i) yazılacak, Amount göndereceğiz miktar. Tercihe bağlı Payment ID alanı ise alıcının sizi diğer gönderilerden ayırabileceği değeri içerecektir. Description ise sizin kendi cüzdanınıza kaydedilecek bir hatırlatma notu olarak düşünülebilir.

Receive menüsü ise bir ödeme almak için ihtiyaç duyduğunuz tüm fonksiyonları içeren başka bir menü. Burada Primary Address’de birincil public adresinizi görüyorsunuz. Yazı başında da ifade ettiğimiz gibi bu adrese bağlı N adet subaddress oluşturabilmek mümkün. Bu adreslere isim de verebilirsiniz.

Adres ve talep edilen miktar ile ilgili QR kod da oluşturulabilmekte.

Monero gizliliğe ihtiyaç duyanların en çok tercih ettiği kripto para türü. ZCash gibi gizliliğe ehemmiyet veren kripto paralar olsa da Monero’yu bu kripto paralardan ayıran en önemli özellik gizliliği bir tercih olarak değil, varsayılan davranış biçimi olarak sunuyor olması. Yani Monero kullanıcıları için gizlilik bir tercih değil, sistemin işleyişi açısından bir zaruret.

Monero networküne bağlanan bir kullanıcı olarak deşifre edilmenizin önüne geçmek isteyen geliştiriciler Kovri adında P2P bir protokol geliştirildi. Monero gönüllüleri her gün sistemi iyileştirmek için çalışmalarına devam etmektedir. Siz de bir geliştirici olarak, bir çevirmen olarak ya da Monero’nun imkânlarını çevrenize anlatıp daha fazla kullanılmasına yardımcı olarak destek olabilirsiniz.

Monero hakkında daha ayrıntılı teknik bilgiye ulaşmak isterseniz SerHack isimli rumuzu kullanan İtalyan güvenlik araştırmacısının kaleme aldığı Mastering Monero isimli kitabı okumanızı şiddetle tavsiye ediyoruz. Kitap en meşakkatli kriptoloji konularını dahi yaratıcı örneklerle anlatarak, sistemin işleyişindeki harikulade ayrıntıları açıklığa kavuşturmak maksadını güdüyor. Özellikle de Monero blokzinciri için yazarın başvurduğu taksi durağı örneği takdire şayan.

Kitabı edinmek için www.masteringmonero.com adresini ziyaret edebilirsiniz.

Monero sadece bir kripto para değil, gerçek anlamda gizlilik ve özgürlüğe önem veren bir hareket. Bunun en çarpıcı örneği kitapta okuyacağınız mining konusunda yapılan güncelleme.

Kripto para tasarlanırken son kullanıcının kendi imkânları ile mine edebileceği varsayımı ile geliştirildi. Bir web tarayıcısı, hatta bir mobil telefon işlemcisi ile bile mine edebilmek mümkün. Nitekim CryptoJacking denilince yani browserlarda kripto para mine edilmesi denilince akla tek gelen paranın Monero olması boşa değil.

ASIC miner’ların Monero madenciliğinde avantajlı duruma geçmeleri, ve bu işlemcilerin sıradan kullanıcıların alım gücünün üzerinde olması Monero topluluğunu bu haksız rekabate tepki vermeye itti. Nitekim mining işlemlerinde ASIC’lerin mukayeseli üstünlüğünü, bir dezavantaja çevirecek güncellemeyi olabildiğince çabuk hayata geçirdiler. Aynı şekilde her 6 ayda bir yaptıkları güncellemeler ile mining algortimasında küçük değişiklikler ile Monero mining için ASIC üretiminine bir nevi caydırıcı etkide bulunuyorlar.

İşte hacker kültürünün ihtiyaç duyduğu gerçek özgürlük ruhu! Aynı fikirdeyiz değil mi?