English version / İngilizce sürüm

Gizlilik ve güvenlik odaklı Android tabanlı işletim sistemi GrapheneOS, CyberNews'in sorularını yanıtladı. Projeye göre asıl tehlike Google'ın Android geliştirici doğrulaması değil, Play Integrity API: Banka ve kamu uygulamalarını alternatif işletim sistemlerine kapatan bu sistem, güvenliği değil Google sertifikasını denetliyor.

CyberNews, Keep Android Open dosyası kapsamında 31 Ekim'de GrapheneOS'a Google'ın zorunlu Android geliştirici doğrulamasını sordu. GrapheneOS ekibi ilk yanıtında, bu kuralın kendilerini doğrudan etkilemediğini ve odağın Play Integrity API'ye çevrilmesi gerektiğini söyledi. Play Integrity, uygulamaların bir cihazın ve işletim sisteminin Google tarafından "sertifikalı" olup olmadığını Google'a sorduğu bir arayüz. Bunun üzerine dört soru daha yönelttik; GrapheneOS adına Andrew Fenton yanıtladı. Röportaj e-postayla İngilizce yapıldı; yanıtlar kısaltılmadan Türkçeye çevrildi.

"Asıl mesele Play Integrity"

GrapheneOS ekibinin röportaj talebimize ilk yanıtı:

"Android geliştirici doğrulaması GrapheneOS için geçerli değil. Google Mobil Hizmetler (GMS) kullanan işletim sistemleri için geçerli. Android uygulaması geliştirmek için gerçek kimliğini Google'la paylaşmak istemeyen geliştiricileri etkiliyor. Bir anahtarla aşılabilen korkutucu bir uyarı biçiminde karşımıza çıkıyor; bu anahtarı ilk kez etkinleştirmek için 24 saat beklemek gerekiyor. İleri düzey kullanıcılar bu bekleme süresini geliştirici seçenekleri üzerinden, Android Debug Bridge (ADB) aracılığıyla atlayabiliyor.

Play Integrity API'ye odaklanmak çok daha mantıklı olur. Çok daha zararlı, rekabete aykırı olduğu çok daha açık ve işleyişi için öne sürdükleri gerekçe öylesine zayıf ki, açıkça öyle olmadığı hâlde bir güvenlik özelliğiymiş gibi davranıyorlar.

Google'ın Play Integrity API'si büyük ölçüde, Google Mobil Hizmetler işletim sistemlerine yönelik alternatifleri yasaklayan bir sistem. Android Açık Kaynak Projesi'ne (AOSP) dayanmasalar bile her alternatif işletim sistemini etkiliyor. GrapheneOS üzerinde son derece olumsuz bir etkisi var ve aşılamayan uygulama uyumluluğu sorunlarının neredeyse tek nedeni. Neredeyse her Android uygulaması GrapheneOS'ta kullanılabiliyor; ancak Play Integrity API'nin "device" (cihaz) ve "strong" (güçlü) bütünlük seviyeleriyle Google sertifikasını zorunlu tutan uygulamalar kullanılamıyor. Uygulamalar ve hizmetler, Play Integrity API'nin device ve strong bütünlük seviyelerini giderek daha fazla benimsiyor; bu da onları Google Mobil Hizmetler'li Android'in hiçbir alternatifinde kullanılamaz hâle getiriyor. Bu durum GrapheneOS'la uyumluluğa giderek zarar veriyor.

Play Integrity API'nin device bütünlük seviyesi, on yıldır hiç güvenlik güncellemesi almamış cihazlara izin veriyor. Strong bütünlük seviyesinin sınırı ise Android Güvenlik Bülteni yama seviyesinde 1 yıldan fazla geride olmamak; bu yama seviyesi de, yamaların cihaz üreticilerine (OEM) dağıtılmak üzere ilk kez sunulduğu tarihten 2-6 ay geride. Yani yaklaşık 1,5 yıla kadar geride kalmaya izin veriyor. Ayrıca Android 13'ten eski işletim sistemi sürümleri için, keyfî bir seviyede geride olmalarına izin veren toptan bir istisna da var. Android 8 veya sonrasıyla piyasaya çıkmış her cihaz, çıkışından bu yana sıfır güvenlik güncellemesi almış olsa bile, stok işletim sistemiyle strong bütünlük seviyesini geçebiliyor. Bu, iki seviyenin de gerçek bir güvenlik denetimi olarak tasarlanmadığını açıkça gösteriyor. Amaç, ikisinin de asıl denetlediği şey olan Google sertifikasını kontrol ederek her türlü alternatifi dışarıda bırakmak. Bu, Google'ın mobilde birçok alandaki tekellerine rakip çıkabilme olasılığını ortadan kaldırmasının başlıca yollarından biri."

"Kullanıcılarımız Google Play'e mecbur kalıyor"

Andrew Fenton, sorularımızı yanıtlamadan önce Play Integrity'nin nasıl çalıştığını özetledi:

"Play Integrity çok karmaşık bir konu, ama olabildiğince kısa ve öz tutmaya çalışacağım...

Uygulamalar Play Integrity'yi kullandığında genellikle "basic" (temel) ya da "strong" (güçlü) bütünlük kararlarından birini kontrol ediyor. GrapheneOS "basic" bütünlük kararını geçebiliyor, ama yalnızca kullanıcı Google Play'de oturum açmışsa ve uygulama Google Play üzerinden yüklenmişse. Bu yüzden kullanıcılarımızın çoğu, tercih etmeseler bile bazı uygulamaları yüklemek için Google Play'de oturum açmak ve Google Play'i kullanmak zorunda kalıyor.

GrapheneOS'taki uygulamalar "strong" bütünlük kararını alamıyor. "Strong" bütünlük kararının şartlarından biri "device" (cihaz) bütünlük kararı ve bu karar şunu gerektiriyor: 'Android 13 ve üzerinde, cihazın önyükleyicisinin (bootloader) kilitli olduğuna ve yüklü Android işletim sisteminin sertifikalı bir cihaz üreticisi imajı olduğuna dair donanım destekli kanıt bulunması.'

Kararlar şurada belgelenmiş: https://developer.android.com/google/play/integrity/verdicts"

"Belirleyici olan güvenlik değil, sertifika"

Basitçe anlatırsanız, Play Integrity API, GrapheneOS gibi alternatif işletim sistemlerini nasıl engelliyor?

Google, GrapheneOS gibi işletim sistemlerinin "strong" ya da "device" bütünlük kararlarını almasını, sırf Google tarafından "sertifikalı" olmadıkları için kriptografi kullanarak imkânsız hâle getiriyor. Belirleyici etken güvenlik değil, sertifikasyon/lisanslama. Google geliştiricileri Play Integrity'yi kullanmaya ikna ediyor; geliştiriciler de farkında olmadan GrapheneOS kullanıcılarının uygulamalarını ya da uygulamalarının bazı işlevlerini kullanmasını yasaklamış oluyor. Oysa GrapheneOS, "strong" bütünlük kararı alabilen diğer işletim sistemlerinden nesnel olarak daha güvenli.

Banka ve kamu uygulamaları kapıyı kapatıyor

Hangi tür uygulamalar (örneğin bankacılık ya da kamu uygulamaları) GrapheneOS kullanıcılarına en çok sorun çıkarıyor?

Play Integrity'yi GrapheneOS'u yasaklamak için kullanan hem bankacılık hem de kamu uygulamalarından haberdarız. Google geliştiricilere bunu giderek daha fazla tavsiye ettikçe Play Integrity kullanan uygulamaların sayısı artıyor.

Geliştiricilere öneri: Donanım tasdiki

Gerçek güvenlik denetimleri isteyen uygulama geliştiricileri bunun yerine ne kullanmalı?

Uygulama geliştiricileri "gerçek güvenlik denetimleri" istiyorsa, strong bütünlük kararlarında güvenlik konusunda bu kadar gevşek davranıldığı için Play Integrity'ye hiç güvenmemeli.

Uygulama geliştiricileri, kendi gereksinimlerini karşılayan işletim sistemlerine izin vermek için standart donanım tasdiki (hardware attestation) API'sini kullanabilir. API'yi GrapheneOS'u eklemek için nasıl kullanacaklarına dair talimatlar şurada: https://grapheneos.org/articles/attestation-compatibility-guide.

"Özelliğin kendisi rekabete aykırı"

Sizce düzenleyiciler, örneğin AB Dijital Piyasalar Yasası (DMA) kapsamında, bu konuda harekete geçmeli mi?

Kesinlikle. Örneğin DMA'nın kuralları var, ama güvenlik söz konusu olduğunda geçit bekçilerine (gatekeeper) belli bir hareket alanı tanıyor. Geliştiriciler Play Integrity'yi kullanmaya zorlanmıyor olsa da Google, geliştiricilere "güvenlik" gerekçesiyle bunu kullanmalarını giderek daha fazla tavsiye ediyor. Play Integrity şu güvenlik kontrol listesinde bile yer alıyor: https://developer.android.com/privacy-and-security/security-tips#app_integrity. Google sertifikası olmayan işletim sistemlerini kullananlara sürtünme yaratmaları için geliştiricileri Play Integrity'yi kullanmaya yönlendirerek yanıltmak açıkça rekabete aykırı. Özelliğin kendisi rekabete aykırı.

Röportaj 31 Ekim – 4 Kasım 2026 arasında e-postayla İngilizce yapıldı. İlk açıklama GrapheneOS ekibine, takip sorularının yanıtları GrapheneOS adına Andrew Fenton'a aittir; GrapheneOS alıntı izni vermiştir. İngilizce orijinal metin: GrapheneOS: Play Integrity is not a security check.

Keep Android Open dosyasındaki diğer yazılar: https://cybernewsturkey.com/etiket/keep-android-open