Güven Merkezi
Güvenlik iddialarını rozetlerle değil, doğrulanabilir kaynaklarla destekliyoruz. Bu sayfa; politikalarımızı, canlı sistem durumunu, teknik mimariyi ve birlikte çalıştığımız hizmet sağlayıcılarını tek yerde toplar — neyin henüz elimizde olmadığını da açıkça söyler.
Doğrulama kaynakları
Bir iddiayı kontrol etmek için pazarlama metnine değil, aşağıdaki kaynaklara bakın.
Güvenlik Açığı Bildirimi
Kapsam, güvenli liman ilkeleri ve özel bildirim süreci.
Canlı Sistem Durumu
Hizmetlerin anlık durumu ve son 90 günün çalışma süresi geçmişi.
Teknik Mimari
Çevrimdışı Bluetooth yolu ile internet katmanının şifreleme detayları, tehdit modeli ve bilinen sınırlar.
Gizlilik Politikası
Hangi veri nerede tutulur, ne zaman paylaşılır, nasıl silinir.
security.txt
RFC 9116 uyumlu, makine tarafından okunabilir güvenlik iletişim kaydı.
Açık Kaynak Kod
Mobil istemci AGPL-3.0 lisansıyla GitHub'da; iddialar kodun kendisinden denetlenebilir.
Güvenlik Ekibiyle İletişim
Güvenlik bulguları için doğrudan kanal: security@crisisconnect.network
Güvenlik uygulamalarımız
- Mesajlaşma, desteklenen her iki yolda da uçtan uca şifrelidir: internet üzerindeki mesajlar sunucuda okunamayan şifreli zarflar hâlinde iletilir, Bluetooth mesajları doğrudan cihazdan cihaza gider.
- Normal sivil yakın mesajlaşmada mesaj geçmişi merkezi bir sunucuya aynalanmaz; veriler esas olarak cihazınızda kalır.
- Mobil istemcinin kaynak kodu AGPL-3.0 lisansıyla herkese açıktır; şifreleme iddiaları bağımsız olarak incelenebilir.
- RFC 9116 uyumlu security.txt kaydı ve yayımlanmış bir güvenlik açığı bildirim politikasıyla araştırmacılara tanımlı bir bildirim yolu sunarız.
- Sistem durumu, herkese açık uç noktalardan beslenen canlı bir durum sayfasında yayımlanır.
- Reklam, izleme tabanlı gelir modeli veya veri satışı yoktur.
Şifreleme ve protokoller
Etiket değil, kullanılan protokoller. Tam tehdit modeli, bilinen sınırlar ve tasarım kararları teknik mimari sayfasında belgelidir.
İnternet mesajlaşması (mesaj, sesli not, ek)
Signal protokolü (libsignal): Double Ratchet ve kuantum sonrası PQXDH anahtar anlaşması ile ileri gizlilik. Eski istemcilerle uyumluluk için kimlik doğrulamalı ECIES zarfı (ECDH P-256 + HKDF-SHA-256 + AES-256-GCM) kullanılır; bu yol ileri gizlilik sağlamaz ve Signal oturumu kurulduktan sonra bu formata düşürme girişimleri reddedilir.
Sesli ve görüntülü aramalar (birebir)
WebRTC DTLS-SRTP. Birebir aramalarda sinyalleşme sunucudan düz metin geçmez; uçtan uca şifreli mesaj zarflarında taşınır ve TURN aktarıcı medya içeriğini çözemez. Yetkili kurum kanallarındaki aramalar ayrı bir yol kullanır; bu sinyalleşme, erişimi üyelikle sınırlanan panel altyapısından geçer.
Yakın (Bluetooth) mesajlaşma
QR ile eşleştirilen kişilerde AES-256-GCM (96-bit IV, 128-bit doğrulama etiketi). Yetkili ekip akışlarında geçici ECDH P-256 + HKDF-SHA-256 oturum anahtarları ve çevrimdışı doğrulanan ECDSA P-256 rol sertifikaları.
Kimlik ve doğrulama
Eski tip P-256 kimlik anahtarı, desteklenen cihazlarda donanım destekli AndroidKeyStore'da tutulur. Signal kimlik anahtarı ise ratchet işlemleri için yazılımda çalışır ve bekleme hâlinde Keystore anahtarıyla şifrelenerek saklanır — ileri gizlilik için bilinçli bir tasarım kararı. Kişiler, 60 haneli güvenlik numarası karşılaştırmasıyla doğrulanabilir.
Uçtan uca şifreli olmayanlar
Yetkili müdahale panellerine giden SOS bildirimi — ekiplerin okuyabilmesi için bilinçli olarak şifresiz — ile teslim ve sinyalleşme meta verisi (tanımlayıcılar, zaman damgaları, IP). Bunu saklamıyoruz; ayrıntısı teknik mimaride ve gizlilik politikasında.
Hizmet sağlayıcıları ve barındırma
Hizmeti sunmak için aşağıdaki üçüncü taraf hizmet sağlayıcılarıyla çalışıyoruz. Uçtan uca şifreli içerikler bu sağlayıcılar tarafından okunamaz; liste değiştiğinde bu sayfa güncellenir.
| Sağlayıcı | Amaç | Konum |
|---|---|---|
| Google Firebase (Google LLC) | Kimlik doğrulama, veritabanı, depolama, bulut fonksiyonları, bildirimler, web sitesi barındırma, analitik ve çökme raporları | ABD (us-central1) |
| Cloudflare, Inc. | İnternet aramaları için TURN medya aktarımı | Küresel anycast ağ (ABD merkezli) |
| MapTiler AG | Harita karoları teslimi | İsviçre (küresel CDN) |
| CARTO | Web panelindeki haritalar için temel harita karoları | Küresel CDN |
| Google Play · Apple App Store | Uygulama dağıtımı ve güncellemeler | Küresel |
Henüz elimizde olmayanlar
Olmayanı varmış gibi göstermiyoruz. Bugün itibarıyla:
- Yayımlanmış bağımsız bir güvenlik denetimi veya sızma testi raporumuz henüz yok; bu, yol haritamızdaki en öncelikli güven yatırımıdır.
- ISO 27001 veya SOC 2 sertifikamız yok.
- Ücretli bir hata ödül (bug bounty) programı yürütmüyoruz; sorumlu bildirim süreci güvenlik sayfasında tanımlıdır.
Bu sayfa yeni bir iddia içermez; yalnızca mevcut, doğrulanabilir kaynakları bir araya getirir.