End-to-End Encryption(E2EE) Nedir?

Her gün sevdiklerimize "günaydın" mesajları atıyor, iş arkadaşlarımızla şirket sırlarını paylaşıyor veya en özel anlarımızı fotoğraflayarak siber uzayın derinliklerine yolluyoruz. Parmaklarımızın ucundan çıkıp ekranı terk eden bu paketler, saniyeler içinde dünyanın öteki ucuna ulaşıyor. Peki bu görünmez yolculuk sırasında verilerimizi kimler "dinliyor"? İnternet servis sağlayıcıları mı, uygulamalarını kullandığımız teknoloji devleri mi, yoksa verilerimize aç hackerlar mı?

Fiziksel dünyada bir mektubu yazıp zarfı yalayıp mühürlediğinizde, o mektubun sadece alıcı tarafından açılacağını varsayarsınız. Postacının yolda mektubu açması etik dışı olmasının yanı sıra suçtur ve kolayca fark edilebilir. Dijital dünya için "zarf mühürleme" gerçekçi bir çözüm olmasa da bu güvenlik ihtiyacının kurtarıcısı olarak sahneye Uçtan Uca Şifreleme, yani E2EE (End-to-End Encryption) çıkıyor.

Çoğumuz E2EE kavramıyla WhatsApp, Instagram veya Telegram gibi mesajlaşma uygulamalarını açtığımızda çıkan "Mesajlarınız uçtan uca şifrelenmektedir." uyarısı ile tanıştık. Genelde çok umursanmayan bu küçük mesajın arkasında dev bir teknolojik devrim yatıyor. E2EE, verileriniz cihazınızdan çıktığı an karmaşık bir matematik ile kilitler ve o kilidi açabilecek anahtar sadece mesajı gönderdiğiniz kişinin cihazına bırakılır. Sunucular, hackerlar ve hatta kullandığınız uygulamayı yapan şirketin kendisi bile o mesajları okuyamaz. İletişimi dinlemeye kalkan birinin göreceği tek şey hiçbir şey anlayamayacakları şifrelenmiş verilerdir.

Şifreliyoruz ama neden "uçtan uca"?

E2EE, verilerin gönderici (ilk "uç") tarafından gizli bir mesaja dönüştürülmesi ve yalnızca son alıcı (son "uç") tarafından çözülmesini sağlar. Adı ve yönteminden anlaşılabileceği üzere, şifreleme işlemi veri yoldayken değil gönderici tarafından ayrılırken yapılır. Eğer uçtan uca değil de yolda şifreleme yapan bir uygulama kullanıyor olsaydık artık hangi uygulamayı veya siteyi kullanıyorsak bu sağlayıcı mesajlarımızı okuyabilirdi.

Uçtan uca şifreleme nasıl gerçekleşir

Uçtan uca şifreleme arkasında yatan karmaşık matematiksel algoritmalar ile gerçekleşiyor olsa da temel mantığını anlamak için bir kriptografi uzmanı olmaya gerek yok. Bu süreç temelde şu iki bileşen üzerinden ilerler: Açık Anahtar (Public Key) ve Gizli Anahtar (Private Key).

Public key'i bir kilit, private key'i ise bu kilidi açabilen tek anahtar olarak düşünelim.

Diyelim ki Ali, Mert'e şirket içinde kalması gereken bir bilgiyi mesaj olarak atıyor olsun. Ali'nin gönder tuşuna basmasıyla yola çıkan bu E2EE mesajın Mert'in ekranına düşmesi 4 aşamada gerçekleşir.

1- Kilitlerin dağıtılması

Mert, iletişim kurmak için cihazında kilitlenmemiş halde bulunan binlerce public key ve bütün bu public key'leri açabilecek olan tek bir private key üretir. Ürettiği public key'leri sunucuya gönderir ama private key'i asla hiçbir yerde paylaşmaz. Sunucuya giden bu public key'leri isteyen herkes alabilir.

2- Mesajın şifrelenmesi

Ali, Mert'e mesaj göndermek istediğinde, kullandıkları uygulama (Whatsapp, Signal vb.) sunucudan Mert'in public key'lerinden birini ister. Ali, mesajını gelen bu public key'in içine koyar ve kilidini kapatır. Kilitleme yapıldıktan sonra Ali veya sunucu dahil olmak üzere hiç kimse o kilidi bir daha açamaz.

3- Encrypted verinin yolculuğu

Public key ile kilitlenmiş veri Ali'nin telefonundan çıkarak yolculuğuna başlar. Bu yolda Wi-Fi ağını dinleyen bir saldırgan -veya sadece meraklı komşular-, internet servis sağlayıcıları veya mesajlaşma uygulamasının sunucuları bu kilitli veriyi görebilir ancak Public key ile şifrelenmiş veriyi açabilecek o Mert'te bulunan private key'e sahip olmadıkları için açamazlar. Görebilecekleri tek şey anlamsız karakterler yığınıdır.

4- Verinin decrypt edilmesi

Kilitli veri Mert'e ulaşır. Mert uygulamasını açtığı anda cihazı arkaplanda o sakladığı private key'i kullanarak public key'in kilidini açar. Anlamsız veri tekrar Ali'nin yazdığı o anlamlı haline geri döner ve ekranda belirir.

İşte, uçtan uca şifrelemenin tanımı da buradan gelir. Şifreleme işlemi gönderici tarafında (bir uçta) başlar ve şifre çözme işlemi yalnızca alıcıda (diğer uçta) gerçekleşir. Bu iki uç dışında hiç kimse veriyi plain text olarak göremez.

Mesajlaşma uygulamaları ve E2EE

Piyasadaki bütün mesajlaşma uygulamaları "gizlilik" sattığını iddia ediyor ama biraz detaylara inip protokoller ve mimarilere baktığımızda işin rengi değişiyor. Pazarın en büyük üç devinin (WhatsApp, Signal, Telegram) E2EE tarafında ne yaptığına (veya yapmadığına) teknik olarak bakmak bu balonları söndürmeye yetiyor.

WhatsApp

WhatsApp arka planda endüstri standardı olan Signal protokolünü kullanıyor. Burada sorun yok. Cihazınızdan çıkan veriler hedef cihaza şifreli gidiyor. Olay verilerin yolda çalınma ihtimalinde değil, yedeklemede başlıyor. Sohbetlerinizi Google Drive veya iCloud gibi yerlere yedekliyorsanız ve ayarlardan manuel olarak "Uçtan uca şifreli yedekleme" seçeneğini açmadıysanız, mesajları gönderirken yapılan şifrelemenin çok da anlamı kalmıyor. Mesajlarınız bulutta plain-text olarak saklanıyor ve böylece binbir emekle şifreleyip gizli tuttuğunuz mesajlarınızı kendi elinizle sunucuya veriyorsunuz.

WhatsApp'ın sahibinin Meta olması da cabası. Mesajlarınızın içeriğini okuyamıyor olsalar da kiminle, ne zaman, ne sıklıkla konuştuğunuzu ve hangi gruplara üye olduğunuzu çok iyi biliyorlar. Bu metadata bilgileri, reklam hedefleme açısından zaman zaman şifreli verilerden çok daha değerli olabiliyor. 2021'de güncellenen gizlilik politikasıyla WhatsApp bu verilerin Meta ekosistemiyle paylaşılacağını duyurduğunda milyonlarca kullanıcı Signal'e göç etti. Mesajlarınızın içeriği şifreli, tamam. Ama dijital davranış profiliniz arka planda incelenmeye devam ediyor.

Meta'nın dijital mahremiyete vurduğu son darbe ise Instagram oldu. 2023'ten bu yana isteğe bağlı olarak sunulan E2EE, 8 Mayıs 2026 itibarıyla tamamen kaldırıldı. Meta'nın resmi gerekçesi "çok az kişi kullanıyordu." Ama özelliği hiçbir zaman varsayılan olarak açmadılar. Her sohbet özelinde açılması gerekiyordu ve kullanıcıların ezici çoğunluğunun bundan haberi bile yoktu. Ardından "kimse kullanmıyor" dediler. Şimdi E2EE isteyen Instagram kullanıcılarını WhatsApp'a yönlendiriyorlar; yani verilerinizi yine kendi ekosistemlerinde tutuyorlar. Yazının başında "Bu görünmez yolculuk sırasında verilerimizi kimler dinliyor?" diye sormuştuk. Meta'nın bu konuda cevabı giderek netleşiyor.

Telegram

En büyük bilgi kirliliği muhtemelen Telegram hakkında dönüyor. İnsanlar Telegram'ın internette dönen haberlerinden dolayı ismini duyduğu an güvenlik açısından en iyisinin Telegram olduğunu düşünüyor. Ama ihanet yalnızca güvendiklerinizden gelir: Telegram'da bir sohbet başlattığınızda aslında E2EE kullanmıyorsunuz. Şirketin kendi protokolü olan MTProto protokolüyle mesajlar cihazınızdan sunucuya kadar şifreli olarak gidiyor, sunucuların erişebileceği biçimde işleniyor ve bulutta depolanıyor. Gerçekten uçtan uca şifreleme istiyorsanız, menüden "Gizli Sohbet" başlatmanız gerek. Bunu bilmeyen milyonlarca insan, normal sohbetlerinin sadece iki taraf arasında kaldığını düşünüyor.

Signal

Sektörde konu gizlilik olduğunda herkesin Signal'i göstermesi boşuna değil. Arkasındaki Double Ratchet algoritması ile gönderdiğiniz her mesaj şifreleme anahtarı baştan yenileniyor. Bu teknik olarak çok başarılı. Ama Signal'in asıl olayı şifreleme gücü değil, sunucularında neyi "kaydetmediği".

Mesele tamamen metadata. Signal'in mimarisi hiçbir log tutmamak üzerine kurulu. Bunun belki de en iyi kanıtını Amerikan hükümeti mahkeme kararıyla Signal'den kullanıcı verisi talep ettiğinde görüyoruz. Şirketin devlete verebileceği sadece 2 satır bilgi var. Hesabın açıldığı tarih ve sunucuya son bağlanma zamanı. Hangi ip'den bağlandığınız, kiminle konuştuğunuz, hangi gruplara üye olduğunuz vs. bunların hiçbiri Signal'in elinde yok. Bu yüzden yarın bir gün Signal'in sunucuları fiziksel olarak hacklense bile içeride çalınabilecek değerli bir veri zaten hiç üretilmemiş oluyor.

Peki E2EE Ne Kadar Güvenli?

Siber güvenlikte %100 güvenli diye bir kavram yoktur. Uçtan uca şifreleme kulağa kusursuz gibi gelse de, gerçekte sadece verilerin yolda olduğu kısmın güvenliğini sağlar. Zero Trust felsefesi bunu tek cümleyle özetler: şifreli olması güvenli olduğu anlamına gelmez. Çünkü zincirin en zayıf halkası çoğunlukla şifreleme algoritmaları değil, mesajın eninde sonunda okunmak zorunda olduğu uç noktalar ve geride bıraktığımız dijital izlerdir.

1- Önce cihaz güvenliğine (endpoint risk) bakalım. E2EE veriyi yolda korur ama mesaj karşı tarafın cihazına ulaştığında artık deşifre edilmek zorundadır. Yani veri belleğe (RAM), kısa süre için de olsa açık haliye yazılır. İşte şifrelemenin yetki alanının bittiği yer burasıdır. Hedef cihaza sızmış bir RAT (Uzaktan Erişim Truva Atı) ya da keylogger sizin şifrelemenizle hiç ilgilenmez. Doğrudan işletim sistemini API'lerine kendini bağlar, ekran görüntüleri alır veya klavye tuşlamalarını kaydeder. Titanyumdan bir boruyla veri transfer ediyor olabilirsiniz ama borunun boşaldığı depo zehirliyse, borunun ne kadar güvenilir olduğu bir önem taşımaz.

2- İkinci ve daha tehlikeli olanı ise metadatadır. E2EE sadece paketin içindeki veriyi şifreler. Bağlantı sırasındaki ağ trafiğini Wireshark gibi bir araçla izleyecek olursak anlamsız karakterler yığını görürüz. Ancak başlık(header) bilgileri yani IP adresleri, portlar, paket boyutları ve bağlantı zamanı şifrelenmez. Bu bilgiler verinin internette yolunu bulabilmesi için açık olmalıdır. Verinin içeriğinin görünmüyor olması tamamen güvende olduğumuz anlamına gelmez. Eski CIA direktörü Michael Hayden'ın "Biz insanları metadata'ya dayanarak öldürüyoruz." sözü durumu sert bir şekilde açıklıyor.

3- Son olarak, şifrelemenin nasıl uygulandığı meselesi var. Bir algoritma kağıt üzerinde kusursuz olabilir ama onu hayata geçiren kod hatalı, ihmalkar hatta zaman zaman kasıtlı olarak zayıflatılmış olabilir. 2013'te Edward Snowden'ın sızdırdığı belgeler, NSA'in bazı şifreleme standartlarına bilerek açıklar yerleştirdiğini gözler önüne serdi. Yani bir uygulamanın "E2EE kullanıyoruz" demesi, o şifrelemenin doğru ve dürüstçe implemente edildiğini garanti etmiyor. Bu yüzden Signal gibi açık kaynak kodlu (open source) çözümler, kapalı ve tescilli sistemlere kıyasla çok daha güvenilir bir tercih olarak öne çıkıyor. Kod herkese açık olduğunda binlerce göz onu inceliyor; hatalar ve arka kapılar çok daha zor gizleniyor.

Özetle

İşin detaylarına baktığımızda internet doğası gereği verilerin açıkça aktığı güvensiz bir otoyol. Bu yüzden E2EE önemsiz bir detay değil, mahremiyetimizi savunan bir mimaridir.

Somut konuşmak gerekirse, önceliğiniz gizlilikse Signal'i tercih edin. WhatsApp'ta bulut yedeklemelerinizi şifreli hale getirin ya da tamamen kapatın. Telegram'da "Gizli Sohbet" başlatmadığınız sürece o sohbetin yalnızca size ait olmadığını unutmayın. Ve cihaz güvenliğini hafife almayın çünkü en güçlü şifreleme yöntemi bile kilitsiz bırakılmış bir cihaz karşısında çaresizdir.

Hiçbir algoritma, protokol veya mimari kullanıcının kişisel farkındalığından daha güçlü bir güvenlik duvarı yaratamaz. Dijital dünyada mahremiyetiniz açısından kendinize yapabileceğiniz en büyük iyilik kullanıcı sözleşmelerini "okudum onaylıyorum" diyerek geçmeyip günümüz dünyasında belki de hayatınızı taşıyan bu verilerin nasıl korunduğunu bilmenizdir.

Kaynaklar:

https://ssd.eff.org/module/deep-dive-end-end-encryption-how-do-public-key-encryption-systems-work

https://www.cloudflare.com/learning/privacy/what-is-end-to-end-encryption/

https://signal.org/bigbrother/

https://core.telegram.org/api/end-to-end

https://faq.whatsapp.com/490592613091019/

https://www.macrumors.com/2026/05/08/instagram-end-to-end-encryption/

https://www.nybooks.com/online/2014/05/10/we-kill-people-based-metadata/

https://www.scientificamerican.com/article/nsa-nist-encryption-scandal/