İsviçre merkezli gizlilik odaklı e-posta sağlayıcısı Proton, siber suçluların hizmetlerini kötüye kullanmasıyla mücadele ederken bir yandan da uçtan uca şifreleme ve gizlilik taahhütlerini korumak zorunda. Şirket, Infosecurity Europe 2026'da ilk kez sahne alırken, COO Raphael Auphan, bu hassas dengeyi mühendislik, operasyonel kontroller ve sıkı yasal süreçlerle nasıl sağladıklarını anlattı.
Proton'un teknik mimarisi, şirketin ne yapabileceğine net sınırlar koyuyor. Auphan, 'Mesaj içeriklerine erişemeyiz çünkü anahtarlar bizde değil; kullanıcılarımızı coğrafi olarak konumlandıramayız, çünkü uçtan uca şifreleme gizlilik modelimizin bir parçası' dedi. Bu kriptografik kısıtlama, kullanıcı güveninin temelini oluşturuyor, ancak içerik düzeyinde gözetim veya zorla şifre çözme mümkün değil.
Bu sınırlamayla karşı karşıya kalan Proton, hesap düzeyinde ve davranışsal savunmalara büyük yatırım yapıyor. Auphan, şüpheli hesap oluşturma modellerini ve diğer kötüye kullanım sinyallerini tespit etmek için makine öğrenimi modelleri geliştiren özel bir anti-abuse ekibine sahip olduklarını belirtti. Bu sistemler, bot kaynaklı kümeleri, otomatik toplu kayıtları ve diğer erken göstergeleri tespit ederek kötü niyetli aktörlerin Proton hesaplarına dayalı operasyonlar gerçekleştirmeden önce durdurulmasını sağlıyor.
Yasadışı faaliyet meydana geldiğinde, Proton'un yanıtı İsviçre yasaları ve sıkı doğrulama adımlarıyla şekilleniyor. Şirket, şifrelenmiş mesaj içeriklerini teslim edemese de hesapları kapatabilir, mevcut meta verileri sağlayabilir ve bu bilgileri yasal süreçleri takip eden ve meşru nedenlere dayanan kolluk kuvvetlerine iletebilir. Auphan, dünyanın dört bir yanından 'önemli miktarda' bu tür talep aldıklarını söyledi.
Proton'un harekete geçmesi için taleplerin Interpol veya İsviçre federal polisi aracılığıyla doğrulanması gerekiyor. Auphan, 'Meşru talepler geldiğinde, harekete geçmeden önce İsviçre federal makamları aracılığıyla yönlendirilmeli ve yasal olarak doğrulanmalıdır' dedi. Ayrıca, kolluk kuvvetleri doğru süreçleri izlese bile Proton yalnızca talebi meşru bulursa harekete geçiyor. 'Gerçek bir kötü niyetli veya suç faaliyeti şüphesinden gelmelidir. Siyasi bir rakibin hesabını kapatmayız' diye ekledi.
Auphan, davranışsal sinyallere dayanan anti-abuse sistemlerinin gizlilik ve yanlış pozitif endişeleri doğurabileceğini ve suçla mücadele için içeriğe erişimi reddetmenin araştırmacıları hayal kırıklığına uğratabileceğini kabul etti. Yine de Proton'un yaklaşımının doğru dengeyi kurmayı amaçladığını savundu: 'Kötü niyetli aktörlerin platformumuzu kullanmasına izin vermekle hiçbir ilgimiz yok.'
Kaynak: infosecurity-magazine.com
