Bu yazının ilk bölümü Port Tarayıcıları Kullanımı Hukuka Aykırı Mıdır? – 1 başlığı altında okunabilir.
2.Tarayıcı Kullanımı Hukuka aykırı mıdır?
Hukukumuzda bilgisayar suçları Türk Ceza Kanunu’nun 11. Bab’ında “Bilişim Alanında Suçlar” başlığı altında düzenlenmiştir. Bu bap ve başlık 6/6/1991 tarih ve 3756 sayılı Kanunun 20 nci maddesiyle metne eklenmiştir. Bu başlık altında 525/a/f.1 maddesinde programların, verilerin veya diğer herhangi bir unsurun hukuka aykırı olarak ele geçirilmesi, 2.fıkrada elde edilen bu programların başkasına zarar vermek üzere kullanılması, nakledilmesi veya çoğaltılması; 525/b/f.1 maddesinde sistemin, verilerin veya diğer herhangi bir unsurun kısmen veya tamamen tahrip edilmesi, değiştirilmesi, silinmesi, sistemin işlemesine engel olunması veya yanlış biçimde işlemesinin sağlanması, 2. fıkrada sistemi kullanarak hukuka aykırı yarar sağlama; 525/c maddesinde belgelerde sahtecilik, 525/d maddesinde meslek veya kamu hizmetinden yasaklanma düzenlenmiştir.
“Port tarayıcısı” kullanımı yasadaki bu maddelerden herhangi birini ihlal etmekte midir?
Yukarıdaki teknik açıklamaların ışığında “port tarayıcıları” kullanımının ihlal edebileceğini düşündüğümüz TCK 525/a ve 525/b maddelerinde düzenlenen suç tiplerini inceleleyelim:
a)TCK 525/a
Maddeye göre;
“Bilgileri otomatik olarak işleme tabi tutmuş bir sistemden, programları, verileri veya diğer herhangi bir unsuru hukuka aykırı olarak ele geçiren kimseye bir yıldan üç yıla kadar hapis ve …….. liradan ……….. liraya kadar ağır para cezası verilir.
Bilgileri otomatik işleme tabi tutmuş bir sistemde yer alan bir programı, verileri veya diğer herhangi bir unsuru başkasına zarar vermek üzere kullanan, nakleden veya çoğaltan kimseye de yukarıdaki fıkrada yazılı ceza verilir.”
Buna göre bir eylemin bu madde kapsamına girmesi için şu unsurların bulunması gerekir;
1. fıkra için;
- Bilgileri otomatik işleme tabi tutmuş bir sistemin varlığı.
- Bu sistemden programların, verilerin veya diğer herhangi bir unsurun ele geçirilmesi.
- Bu ele geçirmenin hukuka aykırı olması
2. fıkra için;
- Bilgileri otomatik işleme tutmuş bir sistemin varlığı.
- Bu sistemde yer alan programların, verilerin veya diğer herhangi bir unsurun kullanılması, nakledilmesi veya çoğaltılması.
- Bu kullanma, nakletme veya çoğaltmanın başkasına zarar vermek üzere yapılması.
“Port tarayıcıları”nın ana işlevinin bir ağ veya sistem hakkında bilgi toplamak olduğunu belirtmiş ve yukarıda bu programların kullandığı “host” komutu ile elde edilebilecek bilgilere örnek vermiştik. Bu örnekte komut verildiği an ağda mevcut olan bilgisayarların PC mi yoksa Machintosh mu olduğu, bu bilgisayarların kullandığı işletim sistemlerinin ne olduğu ( Windows, DOS, UNIX vs…) gibi birçok önemli bilgi elde edilmiştir. Burada, yasanın aradığı “bilgileri otomatik işleme tabi tutmuş bir sistem”in varlığı tartışmasızdır. Açıkça yetki verilmediyse hukuka aykırılık şartı da gerçekleşmiş olacaktır. Peki bu bilgilerin elde edilmesi yasadaki programların, verilerin veya diğer herhangi bir unsurun ele geçirilmesi anlamına gelir mi? Burada “veriler veya diğer herhangi bir unsur” deyimi dikkatle ele alınmalıdır. Kanun koyucu burada hangi verileri kastetmiştir? Her somut olayın şartlarına göre kanun koyucunun niyeti ve dolayısıyla madde değişik olarak yorumlanabilir. Mesela sadece işletim sisteminin ne olduğunu belirleyen verilerin elde edilmesinin, genel ve korunması gerekmeyen bir bilgi elde edildiği ileri sürülerek madde kapsamına girmediği iddia edilebilir. Buna karşın sistemdeki paylaşıma açık dosyaların belirlenmesinin korunması gereken bir bilgi olduğu ve bu sebeple bu bilgiyi elde etmenin madde kapsamına girdiği söylenebilir. Kanaatimce pratik hukuk gerekleri ve hukuk güvenliği açısından yetkisiz olarak bir sisteme yapılan her erişimle elde edilen verilerin, niteliklerine bakılmaksızın madde kapsamında değerlendirilmesi gerekir. Bu sebeple “port tarayıcı” kullanılarak yetkisiz bir erişimle veri veya sistem veya ağ hakkında herhangi bir bilgi elde etmek madde kapsamında değerlendirilmelidir meğer ki bir hukuka uygunluk sebebi bulunsun.
Elde edilen bu verilerin başkasına zarar vermek üzere kullanılması, nakledilmesi veya çoğlatılması halinde ise maddenin 2. fıkrası uygulanacaktır. Yalnız elde edilen bu veriler eser niteliğinde ise FSEK’in ilgili maddelerinin uygulanması gerekeceği kanaatindeyiz.
b)TCK 525/b
Maddeye göre;
“Başkasına zarar vermek veya kendisine veya başkasına yarar sağlamak maksadıyla,bilgileri otomatik işleme tabi tutmuş bir sistemi veya verileri veya diğer herhangi bir unsuru kısmen veya tamamen tahrip eden veya değiştiren veya silen veya sistemin işlemesine engel olan veya yanlış biçimde işlemesini sağlayan kimseye iki yıldan altı yıla kadar hapis ve …….. liradan ………. liraya kadar ağır para cezası verilir.
Bilgileri otomatik işleme tabi tutmuş bir sistemi kullanarak kendisi veya başkası lehine hukuka aykırı yarar sağlayan kimseye bir yıldan beş yıla kadar hapis ve ……… liradan ……….. liraya kadar ağır para cezası verilir.”
Buna göre bir eylemin bu madde kapsamına girmesi için şu unsurların bulunması gerekir;
1. fıkra için;
- Bilgileri otomatik işleme tabi tutmuş bir sistemin varlığı.
- Bu sistemi veya verileri veya diğer herhangi bir unsuru kısmen veya tamamen tahrip etme, değiştirme, silme, sistemin işlemesine engel olma, yanlış biçimde işlemesini sağlama.
- Bu eylemlerin başkasına zarar vermek veya kendisine veya başkasına yarar sağlamak amacıyla yapılması.
2. fıkra için;
- Bilgileri otomatik işleme tabi tutmuş bir sistemin varlığı.
- Bu sistemi kullanarak kendisi veya başkası lehine yarar sağlama.
- Bu yarar sağlamanın hukuka aykırı olması.
Tek işlevi bilgi toplamak olan ve bunu yaparken sisteme herhangi bir zarar vermeyen, herhangi bir dosyayı, silmeyen, değiştirmeyen “Port tarayıcıları” bu madde kapsamında değerlendirilmeyecektir. Fakat konunun başında da belirttiğimiz gibi bazı “port tarayıcı”lar bilgi toplama dışında dosyaları değiştirme, silme, sistemin kendi amaçlarına göre çalışmasını sağlama gibi fonksiyonlara sahiptirler. Örneğin “Nessus” isimli program normal tarayıcı işlevlerinin yanında bir cracker gibi davranış göstererek sistemde bulduğu açıklardan girebilir. Eğer bu tür bir “port tarayıcı” program ile yasanın aradığı eylemlerin yapıldığı ve bu eylemlerin bir zarar vermek amacıyla yapıldığı tespit edilirse bu eylemler, bu maddenin birinci fıkrası kapsamında değerlendirilebilecektir. Kanımca buradaki “başkasına zarar vermek” deyiminden anlaşılması gereken bu yönde bir kastın varlığıdır yoksa bu eylem sonucu bir zararın doğmuş olmasını yasa aramamaktadır.
Eğer bir “port tarayıcı”dan elde edilen bilgilerle veya “port tarayıcı”nın kendi davranışı sonucu, sistem kullanılarak bir menfaat sağlanırsa maddenin ikinci fıkrası uygulama alanı bulacaktır. Bu fıkrada asıl hedef sistemi kullanarak menfaat sağlamadır. Bu sebeple bu fıkrada “port tarayıcı”dan elde edilen bilgiler veya onun kendi davranışı, suçun kendisi olarak değil, izlenen yöntem ve kullanılan araç olarak değerlendirilmelidir.
c)ABD’den bir örnek
ABD’de “port tarayıcı” kullanımı “Bilgisayar Dolandırıclığı ve Suiistimali Kanunu” kapsamında genel olarak “yetkisiz erişim” kapsamında değerlendirilmektedir. Federal Ceza Yasası’nın 18 USC Sec. 1030 (a) (5) (B) maddesi bir davada “port tarayıcı” kullanımına uygulanmıştır. Bu maddeye göre soruşturma yapılabilmesi için temel olarak 6 unsurun kanıtlanması gerekmektedir. Bunlar;
- Sanık, korumalı bir bilgisayara kasten erişmiş olmalıdır.
- Sanığın erişimi yetkisiz olmalıdır.
- Erişimin bir sonucu olarak verilerin, bir sistemin veya bir programın bütünlüğüne veya kullanılabilirliğine zarar verilmiş olmalıdır.
- Bu zarar en az 5000$’lık ekonomik kayıba sebep olmalıdır veya kamu sağlığını veya güvenliğini tehdit etmelidir.
Kasım 2001’de bir ABD federal mahkemesi “port tarayıcı” kullanımı ile ilgili bir davayı, Federal Ceza Yasası’nın 18 USC Sec. 1030 (a) (5) (B) maddesi kapsamında ele almıştır. Bu davaya göre;
Scott Moulton isimli bir ağ güvenlik danışmanı, 911 acil çağrı merkezinin bilgisayar ağının bakımını yapmak ve performansını iyileştirmek için 911 ile bir sözleşme yapmıştır. Scott Moulton 911 merkezinin bilgisayar ağında “port tarayıcı” kullandıktan sonra “Bilgisayar Dolandırıcılığı ve Suiistimali Kanunu”nu ihlal ettiği gerekçesiyle tutuklanmıştır. Sanık ifadesinde 911 merkezinin bilgisayar ağının bakımı için 911 tarafından yetkilendirildiğini belirtmiştir. Sanık 911 merkezi ile şerifin ofisi arasında kurulu olan LAN ağındaki zayıflıkları tespit etmek ve portların performansını test etmek için tarayıcı kullanmıştı. Bu sistemin ağ yöneticisi bir ağ analiz yazılımı ve güvenlik duvarı yazılımı kullanıyordu. Bu yazılımların uyarısı ile sistemde bir “port tarayıcısı”nın bulunduğunu farketti. Sonra sanığa port taraması yapmasının sebeplerini bir elektronik posta ile sordu. Bunun üzerine sanık şüpheli bir davranışa girdi ve derhal port taramasını durdurdu. Ardından bir elektronik posta göndererek 911 ile arasında bir sözleşme olduğunu ve bu sözleşme gereğince ağ güvenliğini kontrol etmeye yetkili olduğunu belirtti.
Bunun üzerine ağ yöneticisi daha sonra sanığı bilgisayar suçundan tutuklayacak olan şerife haber verdi.
Sanık yukarıda bahsettiğimiz maddeyi ihlal etmekle suçlandı. 911 merkezi sanığa port taraması için herhangi bir yetki vermediklerini ve sanığın kasten ve yasaya aykırı hareket ettiğini iddia etti. Buna ek olarak sisteme herhangi bir yetkisiz giriş olup olmadığını tespit edebilmek için zaman ve para harcandığını ileri sürdü. Buna karşılık sanığın eylemi ile herhangi bir yapısal zarara uğramadıklarını da belirtti. Bu davada merkezin tezi “port tarayıcı” kullanımının bizzat kendisinin bir suç teşkil ettiğiydi. Fakat mahkeme bu tezi kabul etmedi.
Mahkeme yasanın açıkça, ağın bütünlüğüne veya kullanabilirliğine bir zarar verilmesi gerektiğini belirtti. Mahkemeye göre sanığın eylemi ile ağın kullanılabilirliği hiçbir zaman ortadan kaldırılmamıştı. Eğer port taraması ile ağ gereğinden fazla yüklenerek işlevleri kesintiye uğratılmadıysa bir zararın da söz konusu olmayacağını belirtti. Kısacası mahkemenin bu davada verdiği karar, zarar olmadan bir suçun da söz konusu olmayacağıydı.
3.Sonuç
Hacker – crackerlar’ın ve aynı zamanda sistem güvenlik uzmanlarının en büyük yardımcıları olan “port tarayıcıları” bilişim ile ilgili diğer bazı hukuki konular gibi tartışmalara yol açmaktadır. Örneğin sadece virüs kodlarının yazılmış olmasının başlı başına suç teşkil edip etmediğinin tartışılması gibi “port tarayıcı” kullanımının suç teşkil edip etmediği de tartışılmaktadır. Bunların tartışılmasının en büyük sebebi bu programların doğasında bir tehlike unsuru taşımalarıdır. Tehlike suçlarına ilişkin kanun koyucular kimi düzenlemelere gitmişler ve aslında ortada henüz bir fiil yokken bu fiilin gerçekleştirilmesini kuvvetle muhtemel gösteren sebeplerin varlığının ortaya çıkmasını suç olarak düzenleyip cezalandırmışlardır. Kanaatimce hangi suçların tehlike suçu sayılacağı ve cezalandırılacağı kanun koyucunun görüşlerine, toplum yapısına ve olayların akışına göre değişecektir. Bu sebeple hangi hallerde tehlike suçunun oluşacağına ilişkin kıstaslar vermek zordur.
Bilgisayar suçlarının ceza hukuku literatürüne ve yasalara girmesinin üzerinden pek fazla zaman geçmemiştir. Adam öldürme, hırsızlık gibi suçlarda binlerce yıllık hukuki birikim mevcutken bilgisayar suçlarına ilişkin hukuki birikim henüz 20-30 yıllık bile değildir. Üstelik her geçen gün gelişen teknoloji yasaları daha fazla zorlamaktadır. Tüm bunlar ortaya çıkan yeni suç tiplerinin yasalara koyulamamasına veya mevcut yasaların bu suçlara uygulanamamasına ve mahkemelerin sağlıklı kararlara varamamasına veya bu suçların kovuşturulamamasına yol açmaktadır. Bu sebeple teknolojiye göre ağır işleyen yasama, kovuşturma ve yargılama sürecinin yarattığı hukuki boşluk bu tip suçları işlemek isteyenleri cesaretlendirmektedir. Burada izlenebilecek iyi bir yöntem mevcut eylemlerin doğru bir teknik analizini yapmak ve bu analizi yasa maddeleri ile bağdaştırmak olabilir.
Sahte elektronik postalar, wormlar, virüsler, DDos atakları, dialer programları gibi yasanın metninde açıkça yer almayan ve yasada belirtilen eylemlere nazaran özel nitelikte bulunan birçok eylem TCK’nun “Bilişim Suçları Babı”nda düzenlenen suç kategorilerine sokulabilir. Bunlara daha önceki yazılarımızda değinmiştik. Bunlar gibi yine özellik arzeden “port tarayıcıları” da TCK kapsamında özellikle de 525/a/f.1 maddesi kapsamında değerlendirilebilecektir. Bu tür bir yoruma itiraz edilebilir. “Port tarayıcı” kullanımının ancak tehlike suçu olarak kabul edilebileceği ama böyle kabul edilse bile bu tehlike suçunun cezalandırılmasına ilişkin herhangi bir maddenin yasada bulunmadığı, eğer yasa koyucu bu konuyu açıkça düzenlemek isteseydi yasanın bazı yerlerinde açıkça düzenlediği gibi bunu da açıkça düzenleyeceği ileri sürülebilir.
Kanımca bu itiraz yerinde değildir. Çünkü bir “port tarayıcı”nın ana amacı kontrol edilmek üzere gönderildiği sistem hakkında maksimum bilgiyi toplamaktır. Bu durum kapınızın veya pencerinizin önünde gece gündüz birilerinin dolaşmasına ve büyük bir dikkatle evinizin her ayrıntısını, sizin her hareketinizi takip etmesine benzetilebilir. Bu durum rahatsız verici olmaktan çok konut dokunulmazlığının ve özel hayatın gizliliğinin ihlalidir. “Port tarayıcıları”nın da bundan bir farkı yoktur. Eğer bir sistemin portları yetki verilmediği halde bir “port tarayıcı” tarafından inceleniyorsa bunun amacının bir suça zemin hazırlamak olduğu aşikardır. Ve bu programlar sadece portlarınıza bakıp gitmezler, sizin sisteminize ait birtakım verileri gerçekten alırlar ve sahiplerine iletirler. Örneğin basit bir tarayıcı telnet portuna bağlanarak sistemden bir cevap bekler ve bu cevabı alınca bunu kaydeder veya Xscan gibi bir tarayıcı bir sistemde zayıflık bulduğu zaman terminalden girilen tüm tuşları kayıt ederek bir dosyada saklar. Böylece önemli şifreler veya kullanıcı adları ele geçirilebilir. Sonuçta bir “port tarayıcı” taradığı sistemden gerçek anlamda birtakım veriler elde eder. Yasanın “veriler veya diğer herhangi bir unsur” ifadesi bu eylemin suç sayılmasına imkan vermektedir.
Bu tür durumlarda sanıkların bu bilgilerin genel ve herkesin ulaşabileceği bilgiler olduğunu iddia etmelerinin önüne geçmek için yasaya bazı eklemeler yapılabilir. Örneğin ağa bağlı bilgisayarların yapısı, konfigürasyonu, işletim sistemi gibi bilgilerin başkaları tarafından elde edilmesinin gizlilik hakları çerçevesinde yasak olduğunu belirtmek üzere “korunmuş veya korunan bir bilgisayar veya sistem” gibi bir ibare konulabilir ve bu deyimlerin anlamı yasa metninde açıklanabilir veya madde gerekçesine eklenebilir. Konuyu bitirmeden önce “kişisel verilerin korunması hakkında” dünyadaki gelişmelere ve ülkemizin ihtiyaçlarına uygun bir yasanın çıkarılması temmenisini de belirtmek istiyorum.
Kaynak : 