Android 16 işletim sisteminde, “Her Vakit Açık VPN” müdafaasını büsbütün fonksiyonsuz kılan kritik bir güvenlik açığı keşfedildi. Kullanıcıların gerçek IP adresini açığa çıkaran zafiyete karşı Google’ın yamama yapmayacağını açıklaması teknoloji dünyasında şok tesiri yarattı.
Android dünyası, milyarlarca kullanıcının kapalılığını direkt tehdit eden önemli bir güvenlik skandalıyla çalkalanıyor. Yeni jenerasyon Android 16 işletim sisteminde tespit edilen teknik bir yanılgı, aygıtlarda faal olan VPN tünellerinin büsbütün baypas edilmesine yol açıyor. Güvenlik uzmanları, berbat niyetli uygulamaların bu açığı kullanarak kullanıcıların gerçek ağ kimliklerini basitçe deşifre edebileceğini belirtiyor.
“Bağlantıyı Engelle” Seçeneği Bile Çaresiz Kalıyor
Normal kaidelerde VPN yazılımları, internet trafiğini şifreli bir tünelden geçirerek gerçek IP adresini gizliyor. Android sisteminde yer alan “Her Vakit Açık VPN” ve “VPN Olmadan Kontakları Engelle” modları ise bu tünel koptuğunda interneti büsbütün keserek sızıntıları önlemek için tasarlandı.
Ancak keşfedilen yeni zafiyet, tüm bu müdafaa duvarlarını aşmayı başarıyor. Android 16 üzerinde çalışan rastgele bir uygulama, işletim sistemindeki yanılgıyı suistimal ederek muhakkak data paketlerini VPN tünelinin dışından, yani şifresiz olarak gönderebiliyor. Bu durum, kullanıcının gerçek IP adresinin ve pozisyonunun anında sızmasına neden oluyor.
Mullvad ve GrapheneOS Harekete Geçti
Gizlilik odaklı tanınan VPN sağlayıcısı Mullvad, yanlışın tek bir uygulamaya özel olmadığını, Android 16 mimarisindeki bir sorun nedeniyle tüm VPN tahlillerini etkilediğini doğrulayarak kullanıcılarına acil ikaz yayınladı.
Öte yandan, zımnilik merkezli bağımsız Android dağıtımı GrapheneOS takımı, sorunun ciddiyetini görerek kendi kod tabanında açığı çok kısa müddette yamamayı başardı. GrapheneOS’un bu atılımı, zafiyetin teknik olarak kolay kolay kapatılabileceğini kanıtladı.
Google Açığı Kapatmayı Reddetti, Kayıtları Gizledi
Olayın en çok reaksiyon çeken kısmı ise Google‘ın takındığı hal oldu. Güvenlik araştırmacıları durumu resmi olarak Android Security Team (Android Güvenlik Ekibi) ünitesine raporladı. Lakin Google takımı, açığa müdahale edilmeyeceğini ve rastgele bir düzeltme (yama) yayınlanmayacağını bildirdi.
Uzmanların ısrarı üzerine husus Android yanılgı takip sisteminde tekrar tartışmaya açılsa da Google, ilgili kusur kayıtlarını büsbütün erişime kapatarak gizleme yoluna gitti. Teknoloji devinin, teknik olarak tahlili mümkün olan ve kullanıcıları devlet nezareti ile siber hücumlara açık hale getiren bu sızıntıyı neden kasıtlı olarak düzeltmediği ise şimdi bilinmiyor.
