Telefonu Kapatsan da
Wi-Fi Seni Tanıyor

Şu an izlemekte olduğunuz bu çöp adam bir oyun karakteri değil. Bir animasyondan da alınmadı bu görüntüler. Bir odanın içinde tam da şu anda gerçekten yürüyen bir insanı izliyorsunuz. Ama o odada hiçbir kamera yok. Evet gördüğünüz gibi duvarın arkasına geçiyor. Dolayısıyla onu artık hiçbir göz takip edemiyor. Hiçbir kamerada olmamasına rağmen yine de onun hareketlerini görmeye devam ediyoruz. Üstelik sadece bir kişinin de değil, birden fazla kişinin hareketlerini de takip edebiliyoruz. Çünkü bu görüntüyü oluşturan şey ışık değil. Ortam tamamen karanlık olsa bile fark etmezdi. Bu çöp adam figürünü ortaya çıkaran şey o odanın içinde zaten var olan, görmediğiniz, duymadığınız, hatta hiç aklınıza bile gelmeyecek bir şey. Wi-Fi sinyalleri. Hani internete bağlanmak için kullandığımız cihazlar var ya. Bilgisayarımızı, cep telefonumuzu kablosuz olarak internete bağlayan cihazla. İşte insan vücudu herhangi bir ortamın içerisinde bu cihazların yaydığı Wi-Fi sinyallerini yansıtabiliyor. Ve birileri de o yansımayı okuyup işte insanların böyle çöp adam şeklinde figürlerini çizip hareketlerini takip edebiliyor. O kişi bir duvarın arkasında olsa da, karanlıkta yürüse de.

Ve size daha da ürkütücü bir şey söyleyeyim. Size yeni bir şeymiş gibi gösterdiğim bu görüntüler hiç de yeni değil. MIT laboratuvarlarının 2018'de yaptığı bir çalışma¹. Yani biz bugün izlediğimizde yok canım artık bu kadarı da olamaz dediğimiz bir şey neredeyse 10 yıl önce bir laboratuvarda çoktan yapılmaya başlandı. Yapay zeka çağ öncesindeki bir dönemde. Peki o günden bugüne nereye geldik? Artık ortada öyle bir çöp adam filan dolaşmıyor². Yapay zekanın da yardımıyla insan vücudu tüm yüzeyi, hacmi, duruşu gibi ayrıntılarıyla uzaktan görüntülenebiliyor. Üstelik sadece 3 tane sıradan Wi-Fi anteniyle.

MIT laboratuvarlarının 2018 çalışması. Üstte koridor kamerası, altta solda Wi-Fi sinyal yansımasından çıkarılan ısı haritası, sağda iskelet tahmini.

Ama bu araştırma da çok yeni sayılmaz. 2022 yılındandı. Ben size daha geçen yılın 2025'in sonunda yayınlanan bir araştırmayı anlatacağım ama önce bir düşünce deneyi yapalım sizlerle. Diyelim ki bir kafeye gittiniz. Kahvenizi söylediniz. Böyle cam kenarından sokağa izliyorsunuz. Telefonunuzu da yanınıza almamışsınız böyle biraz daha huzurlu olmak için. Belki dünyadan bir süreliğine kopmak istediğiniz için oraya gittiniz. O yüzden internete bağlı falan değilsiniz. Herhangi bir ekrana bakmıyorsunuz. Dijital ayak izinizi o an için durdurdunuz sanıyorsunuz. Oh ne rahat diye düşünüyorsunuz. Evet modern dünya birçok yerde bizim hakkımızda bilgi kırıntılarını topluyor. Ama siz bunların farkında biri olarak telefonunuzu yanınıza almadınız, kredi kartı kullanmadınız. Dolayısıyla böyle yüz tanıma kameralarına falan bakmadınız. Sadece bir kafeye gittiniz.

İşte yine de o kafeye herhangi birinin değil, sizin gittiğiniz artık anlaşılabiliyor. Bütün gün etrafımızı saran o görünmez dalgalar sağolsun, biz onlara hiç dokunmadan bizim ne yaptığımızı nasıl hareket ettiğimizi gösterebiliyor. Az önce sözünü ettiğim o son araştırma, Karlsruhe Teknoloji Enstitüsünde yayımlanan bir araştırma³, bunun mümkün olduğunu, hatta endişe verici derecede kolaylaştığını gösterdi. 197 farklı kişi üzerinde yapılan testlerde, neredeyse %100 isabet oranıyla kimlik tespiti başarıldı. Üstelik bunu yapmak için ortamda birkaç saniye bulunmak yetti. İnsanların kameraya bakması gerekmedi, farklı bir açıyla yürümeleri sonucu değiştirmedi. Sadece belirli bir ortamda bulundular. KASTEL direktörü Thorsten Strufe⁴ bu durumu özetlerken çok basit ama ağır bir gerçeğin altını çizdi: Kablosuz ağlar çok kapsamlı bir gözetim altyapısı haline gelebilir ve tek bir endişe verici özellikleri var, görünmüyorlar ve şüphe çekmiyorlar.

BFI · 802.11 Beamforming Feedback. Kişi imzası, cinsiyet, durum, davranış. Hepsi şifresiz bir sinyalden çıkarılıyor.

Düşünce deneyi olarak kafede yaşadığımız olay internetle ilgili değil. Dijital dünyada dolaşıp dolaşmamanız bu gözetim şeklini etkilemiyor çünkü fiziksel bir olay bu. Havadaki radyo dalgaları ile ilgili. Hemen akla gelebilecek, haklı olarak akla gelebilecek birkaç soruyu cevaplayayım. Telefonumda ekstra güvenlik önlemleri alırsam bu dinlemeyi engelleyebilir miyim? Hayır. Çünkü sorun telefonun yazılımında değil. Peki ya telefonumu tamamen kapatırsam takip edilemez miyim? Bu da imkansız çünkü senin oradaki fiziksel varlığın yeterli.

O zaman bugün evlerimizde internete bağlanmak için kullandığımız o router'ı kapatmak mı gerek? Oradan birileri bizi mi izliyor? Hayır. Henüz bunu yapacak yazılıma sahip değil çünkü. O zaman ortada henüz günlük hayatımıza tam olarak inmemiş bir durum varsa bunları neden anlatıyorum size? Neden durup dururken havada uçuşan dalgaları dert etmemiz gerekiyor? Çünkü bu gözlemler hakkında farkındalık kazanmamız lazım. Şu anda dünyada yeni bir standartlaşma evresine geçiliyor bu teknolojide. Ve bu yapılırken hiç kimse farkına bile varmadan yazılımsal bir güncelleme ile bir anda halka açık yerlerde, mesela havalimanlarında, büyük alışveriş merkezlerinde ya da kafelerdeki erişim noktalarında bu yeni standartla güncelleme yapıldığında bahsettiğimiz bu görünmez kimlik tarama özelliği aktif hale getirilebilir.

Bu teknolojinin merkezinde 3 harfli bir kısaltma var: BFI. Açılımı Beamforming Feedback Information. Wi-Fi teknolojisinin tarihine bakarsak, bu kavram 2013 yılında, Wi-Fi 5 standardıyla⁵ hayatımıza girdi. O dönem mühendisler çok pratik bir problemi çözmek istiyordu. Evlerdeki dijital cihazlar hızla artıyordu, dolayısıyla istenen bant genişliği de büyüyordu. Router antenleri, sinyali tıpkı bir ampul gibi her yöne eşit dağıtmak yerine, doğrudan bağlanan cihaza odaklamak zorundaydı. Tıpkı karanlık bir odada birini bulmak için el feneri kullanmak gibi. Ama router senin evin içinde nerede oturduğunu nasıl bilecek? İşte BFI burada devreye girdi. Ağa bağlı olan telefonlar, televizyonlar veya akıllı saatler, saniyede onlarca kez router ile konuşup ortamdaki radyo kanalının karakteristiğini geri bildirim olarak göndermeye başladı. Sinyal zayıfladı, sinyal güçlendi, araya fiziksel bir engel girdi gibi sürekli akan bir durum raporu bu. Üstelik bu raporlama sistemi, ağda gecikme yaratmaması için tamamen şifresiz tasarlandı. Bu bir hata veya gözden kaçan bir detay değildi. Hız ve performansı yüksek tutmak için verilmiş çok bilinçli bir tasarım kararıydı.

BFI 2013'te Wi-Fi 5 standardıyla geldi. Router antenleri, bağlanan cihaza odaklanabilmek için saniyede onlarca kez ortamın haritasını şifresiz yayımlıyor.

Fakat hesaba katılmayan, daha doğrusu o günkü teknolojiyle okunması beklenmeyen bir yan etkisi vardı bunun. İnsan vücudunun büyük bir kısmı sudan oluşur ve su, radyo dalgalarını kırar, yansıtır, emer. Evin içinde yürüdüğümüzde, koltukta oturduğumuzda veya sadece kımıldadığımızda bile etrafımızdaki Wi-Fi sinyallerinin haritasını fiziksel olarak değiştiriyoruz.

Boynunuzu şöyle bir kırtlattınız diyelim, hemen değiştiriyor sinyalleri. Ya da vücudunuzdaki kemik yoğunluğu, su miktarı. Ayağa kalktınız, su içmek için yürümeye başladınız, o sıradaki yürüyüş ritminiz, evinizin içindeki o görünmez sinyal okyanusunda size özel bir dalgalanma yaratıyor.

Havada uçuşan o BFI paketlerinin amacı tam da bu dalgalanmaları tespit etmek. Çünkü internet bağlantınızın kalitesini ayarlayabilmek için cihazların konumunu anlamak zorunda. Cihazlarla beraber sizin de konumunuzu anlıyor.

Peki bu kötüye kullanılabilir mi? Aslına bakarsanız şu anda bile sorunun cevabı evet. Üstelik herhangi bir hackerın ya da saldırganın sizin ağınıza şifre kırıp girmesine hiç gerek yok. Herhangi biri, sokaktan geçerken veya yan masada otururken bir SDR kartı, yani Software Defined Radio ile, ki HackRF gibi modeller⁶ bugün yaklaşık bir telefon fiyatına satılıyor, havadaki bu şifresiz durumu rahatlıkla izleyebilir. Klasik siber güvenlik araçları bu saldırıya karşı kördür, çünkü ortada ağa sızan zararlı bir yazılım yoktur. Saldırgan ağa bağlanmaz. Sadece ortamda zaten var olanı dinleyen pasif bir kulak kullanır. KASTEL araştırmasının⁷ gösterdiği en çarpıcı nokta, makine öğreniminin bu yansıma verilerini okuyarak bir kimlik etiketine dönüştürebilmesi. Yani uzunca bir süredir bilinen bu problemin günümüzde farklılaşmasının sebebi yapay zeka.

Ortamdaki cihazların iletişiminden sızan radyo yansımalarını yapay zekayla analiz edince, 197 kişi arasında net bir ayrım yapabildiği kanıtlandı. Burada önemli bir detay var. Sistem sizi aslında sıfırdan tanımıyor, sadece önceden gördüğü ve veritabanına kaydettiği bir imza ile eşleştiriyor. Yani bu kimliğinizi bilmek değil, önceden kaydedilmiş bir kalıbı havada tekrar bulup eşleştirmek. Üstelik farklı açılardan, farklı hızlarda yürüseler bile makine öğrenimi bu dalgalanmadaki özgün imzayı saniyeler içinde yakalıyor. Bu düşünceyi bir kenara park edelim. Çünkü bende farklı çağrışımlar da yaratıyor. Önce teknolojinin tarihçesine bakmak için biraz geriye gidelim.

Bu pasif dinleme fikrinin kökleri sıfırdan var olmadı. 2012 yılında, Londra'da Karl Woodbridge ve Kevin Chetty⁸ isimli iki araştırmacı, ellerinde dönemin şartlarına göre oldukça büyük bir donanımla bir deney yapıyorlardı. Ortada sadece etraftaki sıradan Wi-Fi ağlarını dinleyen bir cihaz vardı ve bu cihaz, kalın bir duvarın arkasındaki insanların hareketlerini tespit edebiliyordu. O günkü teknoloji sadece bir radar gibi çalışıyordu. Duvarın arkasında bir kütlenin hareket ettiğini, hızını ve ne yöne gittiğini görebiliyorlardı ama o kütlenin kim olduğunu, iskelet yapısını veya kimliğini okuyamıyorlardı. 2018 yılına gelindiğinde MIT laboratuvarları bu dalgaları okuyup çöp adam⁹ şeklinde iskelet hareketlerini tahmin edebilen yeni bir aşamaya geçti. Aradan geçen zaman diliminde fizik kuralları değişmedi elbette. Radyo dalgaları aynı kurallarla kırılıyor, duvarlar aynı yoğunlukta duruyor. Evimizdeki şifresiz BFI paketleri aynı şekilde havada uçuşmaya devam ediyor. Aynı şüphe çekmeyen, her eve ve kafeye girmiş altyapı yerli yerinde duruyor. Ama işte en son yayınlanan araştırma raporuna baktığımızda, artık hareket eden belirsiz bir kütle yerine net bir kimlik görebiliyoruz. Bu dönüşümü sağlayan şey az önce de belirttiğim gibi makine öğrenimi ve yapay zeka konusundaki gelişmeler. Eskiden insanların bakıp sadece gürültü olarak tanımladığı, anlamsız veri yığınlarının içinde çok ince örüntüler bulabilmeye başlamamız.

Biliyorum oldukça korkutucu, ürkütücü bir tablo bu. Ve böyle düşünmekte haklıyız. O yüzden ben endüstrideki farklı sesleri de araştırdım. Onların görüşlerini anlamaya çalıştım. Bazılarına göre ortada büyütülecek bir tehdit filan yok. Wi-Fi NOW Global gibi sektör yayınları veya ağ donanımı üreticileri, mahremiyet endişelerinin pratik dünyada karşılığı olmadığını savunuyor. Diyorlar ki: zaten her yerimiz en gelişmiş sensörlerle çevrili durumda. Cebimizdeki kameralar yüzümüzü yüksek çözünürlükte kaydediyor, mikrofonları sesimizi duyuyor, akıllı saatler kalp atışındaki ritm bozukluklarını bile takip ediyor, harita uygulamaları konumumuzu sürekli logluyor. Hal böyleyken, kapalı bir laboratuvardaki Wi-Fi dalgalarının vücudumuzdan yansımasını dert etmeye gerek yok diyorlar. Yani ben bir donanım üreticisi olsaydım herhalde benzer şeyler söylerdim. Sektörün bu konuya en güçlü itirazı ölçeklenme problemi hakkında. Sadece 197 kişilik kapalı bir veri kümesinde çalışan bir sistemin, on binlerce insanın olduğu, sokaktan geçen arabaların yansıma yaptığı, yüzlerce cihazın sinyal kirliliği yarattığı açık bir dünyada aynı başarıyı gösteremeyeceğini söylüyorlar.

Kişisel olarak bu argümana aslında bir yere kadar katılabilirim. Gerçek dünyadaki fiziksel gürültü, laboratuvarın steril ortamına benzemez. Gerçekten de algoritmalar ilk aşamada sokaktaki kaotik sinyal denizinde zorlanabilir. Okyanusta bir dalga tek başına görünmez olabilir, ama bir balık o dalganın nereden geldiğini çok iyi bilir. Nitekim sektörün yaptığı bu savunmanın zayıf kaldığı, hatta tamamen çöktüğü iki çok temel alan olduğunu düşünüyorum.

İlk olarak teknik boyuta bakalım. Makine öğreniminin son iki yılda sinyal gürültüsü filtreleme konusunda ne kadar ilerlediğini hepimiz gördük. Kalabalık bir stadyumda belirli bir yüzü saniyeler içinde tanıyan veya gürültülü bir caddede tek bir sesi ayrıştırabilen sistemler var artık. Üstelik kötü niyetli bir saldırgan bir kimliği tespit etmek için bir ortamda dakikalarca oturup o sinyali toplayabilir. İkinci ve daha tehlikeli boyut ise hukuki ve sosyolojik. Kamera, mikrofon veya dokunmatik ekranlar fiziksel, somut ve görünür araçlardır. Bir mekanda kamera varsa bunu fiziksel olarak görebilirsin, kaydedildiğini bilirsin. Yasal çerçeveler varlığı ispat edilebilen nesneler üzerine inşa edilir. Örneğin Türkiye'de yetkili kurumlar KVKK kişisel veri tanımını¹⁰ yaparken biyometriği net bir şekilde kapsar, ama BFI doğrudan bir biyometrik ölçüm değil, o ölçümün görünmez bir yan ürünü. Hukukun bu soyut ve onaysız alana ne kadar yetişeceği şu an için belirsiz.

IEEE komitesi tam bu dönemde 802.11bf adında yeni bir standardı¹¹ geçen yıl tamamladı; Wi-Fi ağlarını önümüzdeki yıllarda resmi olarak bir radar ve sensör platformuna dönüştürecek olan teknik doküman artık kağıt üzerinde hazır. Niyet kağıt üzerinde faydalı: odaya biri girdiğinde ışık yakan akıllı evler, kameralar olmadan düşmeyi algılayan yaşlı bakım sistemleri. Ama aynı standart, ev içindeki router'ı evin en yetenekli sessiz radarı haline de getiriyor. Standardın içine güçlü bir mahremiyet katmanı şifrelenmezse, on yıl sonra bu izi router'da değil, havalimanında, alışveriş merkezinde, sokak köşesinde de tarayabilecekler. Mahremiyet bir kez yitirildiğinde yazılım yamasıyla geri gelmez.

Mahremiyet bir kez yitirildiğinde yazılım yamasıyla geri gelmez.

IEEE 802.11bf, Wi-Fi ağlarını sensör platformuna dönüştürecek standart. Niyet faydalı, ama aynı router evin en yetenekli sessiz radarı haline geliyor.

Şimdi geri çekilip bütün bu teknolojik gelişimdeki en güçlü sorumluya bir daha bakalım. Yapay zekanın bütün başarısı tek bir şeye dayanıyor aslında: bizim için gürültü olan, kullanılmaz sayılan, sürecin doğal yan ürünü olarak gözden çıkardığımız verilerin içinde bize özgü bir imza bulabilmesi. Her teknolojide olduğu gibi bu bir bıçak. Doğru kullanırsan o bıçak bir insanı ameliyat edebilir, kötü niyetli kullanırsan başka bir insanı öldürebilir. Nitekim yapay zeka tıbbi görüntülemede gözle seçilemeyen bir dokuyu yakalayabiliyor artık. Tedavi ediyor yani. Ama işte şimdi havaya saçtığımız radyo dalgalarındaki en sıradan yansımayı da ayırt edebiliyor. Ne olacak canım, parmak izimiz de öyle değil mi? Parmak izi tene yapışıktır, mahremdir, bir cama dokunmazsan kimse onu alamaz. Ama bu iz tenden ayrılıyor, havaya saçılıyor, etrafımızda yüzüyor. Bedenden çıkıp da bedeni terk etmeyen bir tür gölgemiz gibi. Bir tür aura saçıyoruz etrafa ve yapay zeka bunu görebiliyor.

Şu an, beni okurken etrafınızdaki duvarlardan seken sinyaller havada gezinmeye, fiziksel varlığınızı bir veri paketine dönüştürüp etrafa saçmaya devam ediyor. Evinizdeki router yirmi dört saat boyunca çalışıyor, cihazlar birbirleriyle konuşuyor, ve sizin auranız okyanustaki bir dalga gibi sürekli yeniden oluşuyor. Sadece henüz dinleyen yok.