CyberNews Haftanın FOSS Aracı serisinin altıncı konuğu OnionShare. Bu özgür yazılım, dosyalarınızı herhangi bir bulut hizmetine yüklemeden, doğrudan kendi bilgisayarınızdan ve Tor ağı üzerinden paylaşmanızı sağlıyor. Aynı uygulamayla anonim bir belge kutusu, küçük bir web sitesi ya da kayıt tutmayan bir sohbet odası da kurulabiliyor. Proje 16 Ekim'de 2.7 sürümünü, 30 Ekim'de de hata düzeltmeleri içeren 2.7.1 sürümünü yayımladı. Bu hafta aracın ne yaptığını, kimin işine yaradığını ve sınırlarını resmî belgelerine dayanarak anlatıyoruz.

FOSS aracının 30 saniyelik özeti:

OnionShare nedir?

OnionShare, güvenlik araştırmacısı Micah Lee'nin başlattığı ve bugün Lockdown Systems kolektifinin yürüttüğü açık kaynak bir masaüstü uygulaması. Kaynak kodu GitHub'daki onionshare/onionshare deposunda herkese açık; depodaki lisans dosyasına göre yazılım GNU GPL sürüm 3 ile dağıtılıyor. Windows, macOS ve Linux sürümleri var; Linux için Flatpak ve Snap paketleri öneriliyor. Resmî siteye göre Android ve iOS uygulamaları Guardian Project ve The Calyx Institute ile birlikte geliştiriliyor. Uygulama ayrıca Tails, Qubes OS, Whonix ve Parrot OS gibi gizlilik odaklı sistemlerde hazır kurulu geliyor.

Arayüz Türkçe kullanılabiliyor; resmî belgelerin de Türkçe çevirisi bulunuyor. Uygulamayı açtığınızda karşınıza dört seçenek çıkıyor: dosya paylaşmak, dosya almak, web sitesi barındırmak ve anonim sohbet.

Nasıl çalışıyor?

OnionShare'in mantığı basit ama alışılmış modelden farklı. Uygulama, bilgisayarınızda geçici bir web sunucusu açıyor ve bunu bir Tor onion hizmeti olarak erişilebilir kılıyor. Karşı taraf size verilen .onion adresini Tor Browser'a yapıştırıyor ve dosyayı doğrudan sizin bilgisayarınızdan indiriyor. Arada bir şirket sunucusu olmadığı için belgelere göre ne üçüncü taraflar ne de OnionShare geliştiricileri paylaşılan içeriğe erişebiliyor.

Varsayılan olarak her adres bir özel anahtarla korunuyor; Tor bunu "istemci kimlik doğrulaması" olarak adlandırıyor. Adresi bilen biri, anahtarı da yoksa hizmete giremiyor. Tor Browser ile onion hizmeti arasındaki bağlantı uçtan uca şifreli; ağı dinleyen biri yalnızca şifreli Tor trafiğini görebiliyor. Varsayılan ayarda biri dosyaları indirdiği anda paylaşım kendiliğinden kapanıyor ve adres internetten kalkıyor.

Bir şartı da var: Bilgisayarınız açık ve internete bağlı kalmalı. Belgelerin deyişiyle OnionShare en iyi, iki taraf aynı anda çevrim içiyken çalışıyor; dizüstü bilgisayarı uyku moduna aldığınızda paylaşım da duruyor.

Dört kullanım

  • Dosya paylaşma: Dosya ve klasörleri sürükleyip "Paylaşımı başlat" diyorsunuz. Adres ve özel anahtarı karşı tarafa iletiyorsunuz.
  • Dosya alma (anonim belge kutusu): Başkalarının bilgisayarınıza dosya ya da mesaj bırakmasını sağlıyor. Belgeler bu modu özellikle anonim kaynaklardan belge alması gereken gazeteciler için öneriyor ve onu, ihbarcı sistemi SecureDrop'un daha hafif, daha basit ama onun kadar güvenli olmayan bir benzeri olarak tanımlıyor.
  • Web sitesi barındırma: Statik HTML sayfaları onion adresinde yayımlıyor. Veritabanı kullanan sistemler, örneğin WordPress, desteklenmiyor.
  • Anonim sohbet: Kayıt tutmayan, geçici bir sohbet odası açıyor. Katılımcılar Tor Browser üzerinden bağlanıyor.

2.7 ve 2.7.1'de neler değişti?

16 Ekim tarihli 2.7 sürümünün en dikkat çeken yeniliği İndirme modu. Artık başka bir OnionShare paylaşımını Tor Browser açmadan doğrudan OnionShare içinden indirebiliyorsunuz; uygulama paylaşımı tek bir ZIP dosyası olarak alıyor. Belirli aralıklarla aynı adresi yeniden indirme seçeneği de eklendi.

Sansürlü ağlar için önemli bir ekleme de WebTunnel köprüleri. Tor bağlantısının engellendiği ağlarda OnionShare zaten köprü kullanabiliyordu; belgelere göre bağlantı kurulamazsa ülkenize uygun köprü ayarlarını Tor Project'in sansürü aşma hizmetinden otomatik olarak isteyebiliyor. Dosya alma modunda yükleme başına ya da toplam boyut sınırı koymak da mümkün hâle geldi. Paketle gelen Tor 0.4.9.14'e güncellendi.

Sürüm bir güvenlik düzeltmesi de içeriyor. GitHub'daki GHSA-2pj7-hh2q-hjrh bildirimine göre, tek bir dosya paylaşıldığında o dosya başka bir dosyaya işaret eden bir sembolik bağlantıysa, paylaşım dışındaki bir dosyanın içeriği adresi bilenlere açılabiliyordu. Bildirim açığı "orta" önemde sınıflandırıyor; sürüm notu da bunun kullanıcının yanlışlıkla bir işlem yapmasını ya da bilgisayarın zaten ele geçirilmiş olmasını gerektirdiğini belirtiyor. 30 Ekim'de gelen 2.7.1 ise özellikle Windows'taki donmaları, Flatpak'teki bir çökmeyi ve tek dosya indirmelerinin yarıda kaldığı yerden sürdürülememesini düzeltti.

Türkiye'de kimin işine yarar?

Türkiye'de gazetecilerin ve hak savunucularının çevrim içi ifade alanı daralmaya devam ediyor. Son örneği geçen hafta yazdık: İFÖD'ün kaydına göre aralarında gazetecilerin de bulunduğu 31 X hesabına tek günde erişim engeli getirildi. Böyle bir ortamda bir kaynaktan belge almak ya da hassas bir dosyayı bir meslektaşa iletmek için ticari bulut hizmetleri ve e-posta her zaman iyi bir seçenek değil; dosyalar o şirketlerin sunucularında kalıyor.

OnionShare bu noktada aracı bir sunucuya güvenme gereğini ortadan kaldırıyor. Bir avukatın müvekkil belgelerini, bir sivil toplum kuruluşunun saha raporlarını ya da bir araştırmacının ham verisini, dosya hiçbir bulutta kalmadan karşı tarafa ulaştırmak mümkün. Tor'a erişimin engellendiği durumlarda köprü desteği de bağlantıyı kurmaya yardımcı oluyor. Tor ağının nasıl çalıştığını Tor Browser rehberimizde anlatmıştık; OnionShare'in karşı tarafı da çoğu zaman bu tarayıcı.

Nerede yetmiyor?

  • Adresi güvenle iletmek sizin işiniz: Belgeler açık: Adres ve özel anahtarı izlenen bir e-postayla gönderirseniz, dinleyen biri OnionShare kullandığınızı anlayabilir ve paylaşım açıkken ona erişebilir. Şifreli ve tercihen kaybolan mesajlar açık bir mesajlaşma uygulaması ya da yüz yüze iletim öneriliyor.
  • Ele geçirilmiş bilgisayarı korumaz: Saldırgan zaten bilgisayarınızın dosya sistemine ya da süreçlerine erişebiliyorsa OnionShare sizi korumuyor.
  • Gelen dosyalar tehlikeli olabilir: Anonim kutuya zararlı bir dosya bırakılabilir; OnionShare buna karşı ek bir koruma sağlamıyor. Belgeler, Office ve PDF dosyalarını güvenli PDF'e çeviren Dangerzone'u ya da Tails ve Qubes'te tek kullanımlık ortamları öneriyor. Metin mesajlarını açmak ise güvenli.
  • Bilgisayar açık kalmalı: Uzun süreli bir belge kutusu ya da site için belgeler, günlük kullandığınız bilgisayar yerine sürekli açık, ayrı bir bilgisayar öneriyor.
  • Hata payı: Proje sitesi de her yazılım gibi OnionShare'in hata ya da açık içerebileceğini hatırlatıyor. Bu yüzden güncellemeleri ertelememek gerekiyor.

Nasıl başlanır?

  1. OnionShare'i yalnız resmî siteden ya da GitHub sürüm sayfasından indirin. Windows ve macOS kurulum dosyaları için PGP imzaları yayımlanıyor; doğrulama adımları kurulum belgesinde anlatılıyor. Linux'ta Flathub ya da Snapcraft önerilen yol.
  2. İlk açılışta "Tor'a bağlan" deyin. Bağlantı kurulamazsa ağ ayarlarından köprü seçeneklerini deneyin.
  3. "Dosya paylaşın" sekmesine dosyaları sürükleyin, "Paylaşımı başlat" deyin; adres ve özel anahtarı şifreli bir kanaldan iletin.
  4. Karşı taraf adresi Tor Browser'a ya da kendi OnionShare'indeki İndirme sekmesine yapıştırıp anahtarı giriyor.

Paylaşacağınız dosyaları bilgisayarınızda da korumak istiyorsanız geçen haftanın konuğu VeraCrypt ile şifreli bir kapta tutabilirsiniz. Bu yazıdaki bilgiler OnionShare'in resmî belgelerine, sürüm notlarına ve lisans dosyasına dayanıyor; özellikleri kendi laboratuvar ortamımızda test etmedik.

Sonuç

OnionShare her derde deva değil: Bilgisayarınızın açık kalmasını istiyor ve adresi güvenle iletmeyi size bırakıyor. Ama karşılığında dosyalarınızı hiçbir şirketin sunucusuna emanet etmeden, Tor'un anonimlik korumasıyla paylaşmanın ücretsiz ve özgür bir yolunu sunuyor. Kaynaklarıyla güvenli iletişim kurmak isteyen gazeteciler ve hassas belgelerle çalışan herkes için denemeye değer bir araç.