Merkezî veritabanı yok: verilerin neden tek yerde toplanmaz?

Tamga Wallet'ta insanların belgelerini toplayan merkezî bir veritabanı yoktur. Belgelerin telefonunda şifreli durur. Belgeyi veren kurum kendi kaydını, eskiden olduğu gibi kendi sisteminde tutar. Tamga Network ise yalnız hangi kurumlara güvenildiğini gösteren imzalı bir liste tutar; listede kişisel veri yoktur. Uygulamanı tanıyan cüzdan sağlayıcı da belgelerini değil, kurulumun teknik kaydını tutar.

Belgelerim gerçekte nerede duruyor?

Telefonunda. Bir kurum sana belge verdiğinde belge cihazındaki cüzdana yazılır ve orada şifrelenir (AES-256-GCM; anahtarı yalnız o telefonda bulunur). Her belge, telefonun anahtar deposunda (iPhone'da Secure Enclave, Android'de Keystore) üretilen bir anahtara bağlıdır ve bu anahtar cihazdan çıkmaz. Ne Tamga Wallet ne Tamga Network belgenin kopyasını tutar.

Geçmişin için de aynısı geçerli. Neyi, kime, hangi alanlarla gösterdiğin yalnız telefonunda kayıtlıdır. Ağın cüzdan kuralları bu kaydın hiçbir zaman sunucuya ya da sunucu yedeğine gitmeyeceğini söyler; telefondan yalnız sen parolalı bir dosya olarak dışa aktarırsan çıkar.

Peki kim neyi tutuyor?

Merkezî deposu olmayan bir sistemde de kayıtlar vardır. Yalnız dağınıktır ve her taraf yalnız kendi işinin gerektirdiğini tutar.

Belgeyi veren kurum

Üniversiten öğrenci kaydını, cüzdanlardan önce de olduğu gibi tutar. Ağın tasarımı bu kaydı yerinde bırakır: kurum yetkili kaynak olarak kalır, belge yenilenirken bilgiyi yeniden kendi sisteminden okur. İptal edilebilen belgelerde hangi durum listesi yerinin hangi belgeye ait olduğunu da kurum bilir; kurallara göre bu eşleme kurumdan hiç çıkmaz.

Tamga Network

Ağ bir güven listesi tutar: hangi kurumun hangi belge türünü verebileceğini, hangi doğrulayıcıların kayıtlı olduğunu ve hangi cüzdan sağlayıcıların tanındığını gösteren imzalı, sürümlü bir liste. Ağın güven listesi kurallarına göre hiçbir liste, çapa günlüğü ya da değişiklik günlüğü kişisel veri, belge ya da belge özeti içermez. Listede kurum adları, sertifika parmak izleri, durumlar, tarihler ve adresler bulunur.

Kimlik servisini de Tamga Network işletir; kimlik belgesi almak için kimliğini uzaktan doğruladığında bu servisi kullanırsın. Sonrasında neyin kalacağı konusunda kuralları katıdır: belge verildikten sonra yalnız anlamsız bir referans, belge numarasının özeti, geçerlilik süresi ve durum listesi yerleri kalır. Kimliğinin ve yüzünün görüntüleri Tamga'da hiç saklanmaz. Bu görüntüleri işleyen doğrulama sağlayıcısı sözleşmeye göre onları en çok 30 gün tutabilir. Silme istersen kayıt silinir, belgeler iptal edilir, görüntüler sağlayıcıda da silinir.

Cüzdan sağlayıcı

Cüzdan sağlayıcı, uygulamanın güvenli anahtar deposu olan bir telefonda çalışan gerçek bir Tamga Wallet olduğunu kurumlara doğrulayan ve telefonunu kaybedersen cüzdanını kapatmanı sağlayan hizmettir. Tamga Wallet'ın gizlilik politikasına göre şunları tutar: cüzdan anahtarının parmak izi, uygulama sürümü, kayıt zamanı, iptal durumu, cihaz denetiminin sonucu (yalnız seviye: güvenli çip ya da yazılım) ve kurduysan kapatma kodunun tek yönlü parmak izi. Ad, belge ya da cihaz kimliği tutmaz; sunucular IP adresini günlüğe yazmaz.

Belge gösterdiğin yerler

Belge alan bir site ya da masa, aldığını kendi kurallarına göre tutar. Tamga bunu onun yerine silemez. Cüzdanın yapabileceği, oraya baştan ne gideceğini sınırlamak ve sonradan silme istemene yardım etmektir: Geçmiş'te paylaşımı aç, Verilerimi silmesini iste'ye dokun: Kurumdan verilerini silmesini iste ya da bildir.

Her şeyi tek, güvenli bir yerde tutmak neden olmasın?

Çünkü herkesin belgesini tutan tek bir yer, tek bir hedeftir. Ne kadar iyi korunursa korunsun, başarılı tek bir saldırı, içeriden tek bir kişi ya da yanlış ayarlanmış tek bir yedek herkesi birden açığa çıkarır. Belgeler insanların telefonlarına dağıldığında milyon belge isteyen bir saldırganın milyon telefona ihtiyacı olur; her biri sahibinin PIN'i ve telefon kilidiyle kapalıdır.

Daha sessiz bir tehlike de var. Her denetimin içinden geçtiği merkezî bir hizmet, her denetimi de görebilir: hangi belge, nerede, ne zaman gösterildi. Zamanla bu, kimsenin bilerek kurmadığı bir hayat kaydına dönüşür. AB'nin dijital kimlik tüzüğü bu konuya doğrudan değinir: 2024/1183 sayılı Tüzük'ün 5a(16) maddesi, belge verildikten sonra belgeyi verenin ya da başka bir tarafın kullanıcının işlemlerini ya da davranışını izlemesine, ilişkilendirmesine imkân veren veri elde etmesine cüzdan altyapısının izin vermemesini ister.

Tamga'nın tasarımı sorunu kaynağında önler. Doğrulayıcı belgeyi güven listesine ve kurumun durum listesine göre denetler; bu listeleri belirli aralıklarla toplu indirir (durum denetimi nasıl gizli kalır). Denetim anında kimseye sorulmaz. Bu yüzden nerede neyi gösterdiğine dair merkezî bir kayıt oluşmaz.

Merkezî veritabanı yoksa tehlike de yok mu?

Var. Tehlikelerin yeri değişir, bir kısmı da sana düşer.

• Telefonun daha önemli hâle gelir. Kaybedersen belgelerin de onunla gider. Şifreli ve kilitli kalırlar; kurulumda bir kez gösterilen kapatma koduyla cüzdanını herhangi bir tarayıcıdan kapatabilirsin: Telefonumu kaybettim. Ama geri yüklenecek bir bulut kopyası yoktur; belgelerini kurumlardan yeniden alırsın (telefonun kaybolursa ne olur).
• Kurumların veritabanları yine vardır. Cüzdan üniversitenin kayıtlarını ortadan kaldırmaz. Yaptığı, bütün kurumlardan gelen her şeyin toplandığı yeni ve fazladan bir yer kurmamaktır.
• Paylaştığın artık senin elinde değildir. Bir doğrulayıcı bir alanı aldıktan sonra o alan onun sistemindedir. Cüzdanın her paylaşımdan önce sorması, bir site kayıtlı amacından fazlasını istediğinde uyarması ve belgenin yalnız bir kısmını paylaşmana izin vermesi bundandır (seçici paylaşım).
• Hizmetlerin de kaydı var. Ağın kimlik servisi ve cüzdan sağlayıcı yukarıda anlatılan küçük kayıtları tutar. Kuralları, saklama süreleri ve silme yolları denetleyebilmen için yazılıdır; cüzdanın gizlilik politikası da hukukçu onayı beklediğini açıkça söyler.

Bunun nüfus kayıt sisteminden farkı ne?

Devletin nüfus kaydı kendi amaçları için vardır ve var olmaya devam edecek; cüzdan onun yerini almaz. Fark, belgenin nasıl gösterildiğindedir. Kayda dayalı bir denetimde denetleyen çoğu zaman kayda sorgu atar ve kayıt bu sorguyu görebilir. Cüzdanda belge verenin imzasını taşır; herkese açık listelere göre bağlantısız da denetlenebilir ve belgeyi veren denetimden haberdar olmaz. Belge yetkili kaynaktan bir kez gelmiştir; göstermek o kaynağa geri dönmeyi gerektirmez.

Sık sorulan sorular

Tamga belgelerimin yedeğini tutuyor mu?

Hayır. Ne Tamga Wallet ne Tamga Network kopya tutar. Yeni telefona geçerken parolalı taşıma dosyası belge listeni ve geçmişini taşır; belgelerin kendisini kurumlardan yeniden alırsın.

Tamga hangi sitelere belge gösterdiğimi görebilir mi?

Hayır. Gösterimler telefonundan doğrulayıcıya şifreli gider. Doğrulayıcılar iptal durumuna önceden indirdikleri listelerden bakar; geçmişin de telefonunda kalır.

Güven listesinde ne var?

Kurumlar, doğrulayıcılar ve cüzdan sağlayıcılar: adları, sertifika parmak izleri, izin verilen belge türleri, durumları ve adresleri. Kişisel veri ya da belge yoktur.

Cüzdanı sıfırlarsam ne silinir?

Telefondaki her şey: belgeler, anahtarlar, takma adlar, geçmiş ve PIN. Kimlik servisindeki kayıtların ve cüzdan sağlayıcıdaki cüzdan kaydın da silinir. Kurumların kendi sistemlerinde tuttuğu bilgiler onlarda kalır; silmelerini Geçmiş'ten isteyebilirsin.