Uçtan Uca Şifreleme Nedir? Görüntülü Görüşmede Güvenlik

Uçtan uca şifreleme, görüntülü görüşmede ses ve görüntünüzün kendi cihazınızda şifrelenmesi ve yalnızca karşı tarafın cihazında çözülmesi demektir. Aradaki sunucular okuyamadıkları veriyi taşır. Grup görüşmelerinin büyük bölümü ise aktarım şifrelemesi kullanır: bu modelde sunucu, ilettiği her kareyi çözer.

Bu ayrım, iki farklı platformun aynı kilit simgesini gösterip çok farklı gizlilik seviyeleri sunmasının tek sebebi. Biri görüşmenizi ağdan korur; diğeri hizmeti işleten şirket dahil herkesten korur. Hasta görüşmesi, hukuki danışmanlık, İK görüşmesi veya sınır ötesi bir müzakere için araç seçiyorsanız, elinizdekinin hangisi olduğunu bilmek teknik bir ayrıntı değil; gerçekten özel bir konuşma ile teorik olarak başkasının erişebileceği bir konuşma arasındaki farktır.

İçindekiler

• Uçtan Uca Şifreleme Nasıl Çalışır?
• Aktarım Şifrelemesi ile Uçtan Uca Şifreleme Farkı
• Grup Görüşmelerinde Neden Nadirdir?
• Standartlar: SFrame ve MLS
• Uçtan Uca Şifrelemenin Korumadığı Şeyler
• Şifreleme mi, Canlı Altyazı ve Çeviri mi?
• KVKK Açısından Şifreleme
• Şifreleme İddiasını Nasıl Doğrularsınız?
• Hangi Toplantı Hangi Korumayı Gerektirir?
• Sıkça Sorulan Sorular

Uçtan Uca Şifreleme Nasıl Çalışır?

Her görüntülü görüşme, kameranızdan ve mikrofonunuzdan gelen veriyi kodlanmış karelere dönüştürür. Şifreleme ise tek bir soruyu yanıtlar: bu kareleri açacak anahtarlar kimde?

Uçtan uca şifreli bir görüşmede anahtarları katılımcıların cihazları üretir ve saklar. Cihazınız her kareyi göndermeden önce şifreler; yalnızca diğer katılımcının cihazı bu kareyi çözecek malzemeye sahiptir. Arada kalan her şey — modeminiz, internet servis sağlayıcınız, medya sunucusu, o sunucunun bulunduğu veri merkezi — yalnızca şifreli veri taşır. Trafiği kopyalayan biri anlamsız bir gürültü elde eder.

İşin zor kısmı şifrelemenin kendisi değil, anahtar yönetimidir. Daha önce hiç anahtar değiş tokuşu yapmamış kişiler arasında ortak bir sır üretmeniz, üstelik her katılan ve ayrılan kişide bu sırrı yenilemeniz gerekir. Aksi hâlde toplantıya geç katılan biri, kaçırdığı ilk on dakikayı da çözebilir. Gerçek uçtan uca şifrelemenin grup görüşmelerine mesajlaşma uygulamalarından yıllar sonra gelmesinin sebebi tam olarak budur.

Aktarım Şifrelemesi ile Uçtan Uca Şifreleme Farkı

İkisi de gerçek şifrelemedir. Fark, kilidi kimin açabildiğindedir.

Aktarım şifrelemesi zayıf bir teselli ödülü değildir. Tarayıcı tabanlı görüşmeleri mümkün kılan WebRTC standardı bunu zorunlu tutar: medya SRTP üzerinden taşınır, anahtarları DTLS belirler ve standart şifresiz medya göndermeyi yasaklar. Katıldığınız her tarayıcı görüşmesi, sağlayıcı bunu pazarlasa da pazarlamasa da hat üzerinde şifrelidir.

Aktarım şifrelemesinin yapmadığı tek şey, sağlayıcıyı denklemin dışında bırakmaktır. Sunucu veriyi çözer, işler ve yeniden şifreler. Bu bir kusur değil, bilinçli bir tasarım tercihidir — yeter ki hangi tasarımı kullandığınızı bilin.

Grup Görüşmelerinde Neden Nadirdir?

İki kişilik bir görüşme, arada hiçbir sunucu olmadan doğrudan kurulabilir. Üçüncü kişi eklendiğinde bu model ölçeklenmez: herkesin kendi videosunun ayrı bir kopyasını diğer herkese yüklemesi gerekir.

Bu yüzden grup platformları SFU (Selective Forwarding Unit) adı verilen bir medya sunucusu kullanır. SFU her katılımcıdan tek bir akış alır, doğru kopyaları diğerlerine dağıtır ve kaliteyi her bağlantıya göre uyarlar. On iki kişilik bir toplantının dizüstü bilgisayarınızı eritmemesinin sebebi budur.

Sorun yapısaldır. SFU her katılımcıyla kendi el sıkışmasını yapar, dolayısıyla aktarım anahtarları ondadır. Gelen her kareyi çözer, giderken yeniden şifreler. O anda medyanız sunucunun belleğinde açık hâlde bulunur. Almanya'nın federal siber güvenlik kurumu BSI, görüntülü konferans hizmetleri için asgari standardında (sürüm 1.0, 7 Ekim 2021) tam olarak bunu vurgular: bir konferans sunucusu veya MCU devredeyse şifreleme o noktada kırılır. Aynı belge, sağlayıcının kendi sunucuları üzerinden çalışan pek çok hizmetin "uçtan uca şifreli" diye tanımlandığını, bu iddiaların eleştirel biçimde sorgulanması gerektiğini, çünkü anahtarın yine sağlayıcıda olabileceğini yazar.

Bu uyarının karşılığı düzenleyici kararlarda da görülür. ABD Federal Ticaret Komisyonu, 2020 yılında büyük bir görüntülü görüşme sağlayıcısıyla, yıllarca "uçtan uca şifreleme" sunduğunu duyurmasına rağmen toplantı içeriğine erişim sağlayabilecek kriptografik anahtarları elinde tuttuğu iddiasıyla uzlaşmaya vardı; karar 19 Ocak 2021'de kesinleşti ve sağlayıcıya kapsamlı bir güvenlik programı kurma ile güvenlik konusunda yanıltıcı beyanda bulunmama yükümlülüğü getirdi. Alıcı tarafındaki ders kalıcıdır: fiyat sayfasındaki ifade, belgelenmiş bir anahtar modeline dayandırılana kadar yalnızca bir pazarlama iddiasıdır.

Standartlar: SFrame ve MLS

SFU üzerinde gerçek uçtan uca şifreleme, sektör iki ayrı problemi iki açık standartla çözdükten sonra uygulanabilir hâle geldi.

Birincisi, sunucunun işini yapmaya devam edebileceği şekilde medyayı şifrelemek. Ağustos 2024'te yayımlanan RFC 9605, Secure Frame (SFrame) standardını tanımlar: gerçek zamanlı medya için hafif bir kimlik doğrulamalı şifreleme yöntemi. SFrame sayesinde merkezi medya sunucusu, yönlendirme kararı için ihtiyaç duyduğu üstveriyi okurken medyanın kendisine hiç erişemez. Gönderen her kareyi şifreler, SFU şifreli veriyi dağıtır, alıcı çözer. Tarayıcılar bu yeteneği WebRTC Encoded Transform arayüzüyle sunar ve MDN, <code>RTCRtpScriptTransform</code> için Ekim 2025'ten bu yana "Baseline" etiketini kullanır. Yani tarayıcı altyapısı ancak çok yakın zamanda geniş ölçekte güvenilir hâle geldi.

İkincisi, sürekli değişen bir grupta anahtarları dağıtmak ve yenilemek. 2023'te yayımlanan RFC 9420, yani Messaging Layer Security (MLS) protokolü, iki kişiden binlerce kişiye kadar gruplarda ileri gizlilik ve ihlal sonrası güvenlik özellikleriyle asenkron grup anahtar değişimi sağlar. Sade bir ifadeyle: yirminci dakikada katılan kişi beşinci dakikayı çözemez, ayrılan kişi de ayrıldıktan sonra konuşulanları çözemez.

Bir sağlayıcı size uçtan uca şifreleme sunduğunu söylüyorsa duymak isteyeceğiniz isimler bunlardır. Anahtarları nasıl ürettiğini, nerede tuttuğunu ve ne zaman yenilediğini anlatamayan bir sağlayıcı, bir mimariyi değil bir temenniyi tarif ediyordur.

Uçtan Uca Şifrelemenin Korumadığı Şeyler

Uçtan uca şifreleme tasarım gereği dardır. Yalnızca uç noktalar arasındaki görüşme içeriğini korur; başka hiçbir şeyi değil.

Üstveri görünür kalır. Kimin katıldığı, hangi hesap ve IP adresinden bağlandığı, toplantının ne zaman başladığı, ne kadar sürdüğü, ne kadar veri aktığı. Hizmetin görüşmeyi yönlendirebilmesi için bu bilgilere ihtiyacı vardır. Üstveri tek başına çok şey anlatır: bir hukuk bürosu ile bir şirket arasında gece iki'de tekrarlanan görüşme kaydı, tek bir kelime çözülmeden bir hikâye anlatır.

Uç cihazlar açık hedeftir. Bir katılımcının bilgisayarında zararlı yazılım varsa ya da ekranı açık ofiste herkese dönükse, aradaki şifrelemenin bir anlamı kalmaz. Görüşmedeki en zayıf cihaz gerçek güvenlik seviyesini belirler.

Katılımcılar yine de kayıt alabilir. Toplantıdaki herkes ekran kaydı yazılımı çalıştırabilir veya telefonunu ekrana tutabilir. BSI'nin asgari standardı, kurumların kullanıcılarını bu konuda açıkça bilgilendirmesini şart koşar: diğer katılımcılar, yerleşik kayıt işlevi kapalıyken bile fark edilmeden ekran görüntüsü ve kayıt alabilir.

Kayıtlar şifreli oturumun dışında yaşar. Bir görüşme kaydedilip saklandığı anda koruması artık durağan veri şifrelemesine, erişim kontrollerine ve saklama politikasına bağlıdır; bu tamamen başka bir problemdir. KVKK Kişisel Veri Güvenliği Rehberi (Ocak 2018) de şifrelemeyi tek başına yeterli görmez; hangi yöntem seçilirse seçilsin kişisel verinin gerçekten korunduğundan emin olunmasını, uluslararası kabul görmüş şifreleme programlarının tercih edilmesini ve asimetrik şifreleme kullanılıyorsa anahtar yönetimi süreçlerine özel önem verilmesini ister.

Bu boşluk teorik değildir. IBM'in 602 kuruluşun Mart 2025 – Şubat 2026 arasındaki ihlallerine dayanan 2026 Veri İhlali Maliyeti Raporu, küresel ortalama ihlal maliyetini 4,99 milyon dolar olarak veriyor. Aynı rapora göre ihlale uğrayan kuruluşların yalnızca %37'si hassas verilerini hem saklarken hem de aktarırken şifreliyor, yalnızca %34'ü kriptografik varlıklarını görebiliyor. Yapay zeka destekli saldırı içeren ihlallerin maliyeti ise ortalama 6 milyon dolara çıkıyor.

Şifreleme mi, Canlı Altyazı ve Çeviri mi?

Çoğu açıklamanın atladığı kısım burası. Sunucu medyanızı gerçekten okuyamıyorsa, onunla faydalı hiçbir şey de yapamaz.

Gerçek uçtan uca şifrelemeyi açtığınızda genellikle bulut kaydı, sunucu tarafı canlı altyazı, transkripsiyon, toplantı özeti ve gerçek zamanlı çeviri özelliklerini kaybedersiniz. Sağlayıcılar bu özellikleri sizden esirgediği için değil; hepsi bir yerlerde çözülmüş sesi dinleyen bir sürece ihtiyaç duyduğu için. E2EE'yi bir mod olarak sunan platformlar, bu mod açıkken söz konusu yetenekleri devre dışı bırakır ve bunu arayüzde belirtir.

Bu ödünleşme en çok çok dilli toplantılarda önem kazanır. Canlı yapay zeka çevirisi; sesi alıp metne çevirerek, çevirip, bir iki saniye içinde altyazı veya sentezlenmiş ses olarak geri vererek çalışır. Bu hattın çeviri noktasında sesi açık hâlde işlemesi gerekir. Aynı oturumda hem katı uçtan uca şifreleme hem de sunucu tarafı canlı çeviri sunduğunu söyleyen bir platform, kendi içinde tutarsız bir şey anlatıyordur.

Dürüst yaklaşım, hangi modeli çalıştırdığınızı ve sesin başına ne geldiğini açıkça söylemektir. Meeyra tarayıcı tabanlıdır ve WebRTC üzerine kuruludur; toplantı medyası her planda aktarım sırasında şifrelenir, uygulama kurulumu ya da eklenti gerekmez. Canlı çeviri açıldığında ses, çeviriyi üretmek için gerçek zamanlı işlenir ve sonrasında saklanmaz — yani ödünleşme kilit simgesinin arkasına gizlenmez, açıkça kurulur. Sunucu tarafı işlemenin kabul edilemez olduğu görüşmelerde doğru cevap, altyazı ve kayıt kapalıyken çalışan özel bir E2EE modudur.

KVKK Açısından Şifreleme

Türkiye'de 6698 sayılı Kanun, veri sorumlusunu kişisel verilere hukuka aykırı erişimi önlemek için uygun teknik ve idari tedbirleri almakla yükümlü tutar. Kanun belirli bir şifreleme yöntemini emretmez; ölçüt, riskle orantılı ve uygun güvenlik düzeyidir.

Pratikte bu, sağlık verisi konuşulan bir tele-tıp görüşmesiyle haftalık ekip toplantısının aynı kefeye konmayacağı anlamına gelir. Özel nitelikli kişisel veri işlenen görüşmelerde aktarımda şifreleme asgari eşiktir; asıl sorular kaydın alınıp alınmadığı, alınıyorsa nerede saklandığı, ne kadar süre tutulduğu ve kimin eriştiğidir.

İhracat yapan bir Denizli tekstil firmasını düşünün: Almanya'daki alıcısıyla haftada üç kez görüşüyor, görüşmelerde fiyat listeleri ve müşteri bilgileri konuşuluyor. Bu firma için gerçek risk, hattın şifrelenmemiş olması değil — tarayıcı görüşmesi zaten şifreli. Risk, görüşme kayıtlarının hangi ülkedeki sunucuda, ne kadar süreyle durduğunun bilinmemesi. Sağlayıcınızdan veri konumunu ve saklama süresini yazılı olarak isteyin; güvenli online toplantı uygulamaları rehberimiz bu listeyi ayrıntılandırıyor.

Şifreleme İddiasını Nasıl Doğrularsınız?

Pazarlama sayfasını bir iddia olarak görün ve sınayın:

1. Anahtarlar kimde, sorun. Uçtan uca şifreleme sayılabilecek tek cevap şudur: "Katılımcıların cihazlarında; sunucularımızda asla." Bundan daha yumuşak her ifade aktarım şifrelemesini anlatır.
2. Standart adlarını arayın. SFrame (RFC 9605), MLS (RFC 9420), DTLS-SRTP. Gerçek E2EE yapan sağlayıcı bunları adıyla anar; aktarım şifrelemesi yapan da bunu açıkça söylemelidir.
3. E2EE açıkken ne bozuluyor, bakın. Sözde uçtan uca şifreli bir oturumda kayıt, altyazı ve transkripsiyon çalışmaya devam ediyorsa sunucu medyanızı okuyor demektir.
4. Niteleyiciyi okuyun. "İletim sırasında uçtan uca şifreli" gibi ifadeler aktarım şifrelemesini tarif eder. Bunda sorun yok; önemli olan etiketin doğruluğudur.
5. Medya sunucuları nerede, sorun. KVKK ve GDPR açısından veri konumu ile veri işleyen sözleşmesi çoğu zaman şifre paketinden daha belirleyicidir.
6. Kilit simgesine güvenmeyin. BSI'nin belirttiği gibi pek çok sistem, arkasındaki şifrelemenin kalitesi hakkında hiçbir şey söylemeyen bir kilit simgesi gösterir.
7. Saklama politikasını sorun. Kayıtların, transkriptlerin ve günlüklerin ne kadar süre tutulduğunu ve kimin eriştiğini öğrenin.

Hangi Toplantı Hangi Korumayı Gerektirir?

Çoğu kurumun her görüşmede azami şifrelemeye ihtiyacı yoktur. İhtiyaç duyulan şey, senaryo başına doğru seviyeyi belirlemek ve bunu belgelemektir.

Görüşmeleriniz sınır ve dil aşıyorsa öncelik genellikle en güçlü şifre paketi değil, belgelenebilir bir veri yoludur. Sağlayıcıların veri konumu ve sertifikalar açısından nasıl ayrıştığını en güvenli görüntülü konuşma uygulaması karşılaştırmamızda bulabilirsiniz; bugün uygulamaya geçmek isterseniz şifreli görüntülü arama nasıl yapılır rehberi adım adım ilerliyor.

Sıkça Sorulan Sorular

Her görüntülü görüşme uçtan uca şifreli midir?

Hayır. Tarayıcı tabanlı görüşmelerin neredeyse tamamı, WebRTC'de zorunlu olan DTLS-SRTP ile aktarım sırasında şifrelenir; ancak bu uçtan uca şifreleme demek değildir. Sağlayıcının medyanızı çözemediği gerçek E2EE, çoğu platformda isteğe bağlı bir moddur ve genellikle küçük toplantılarla sınırlıdır.

Uçtan uca şifreleme ile aktarımda şifreleme arasındaki fark nedir?

Aktarımda şifreleme, veriyi cihazınız ile sunucu arasında korur ve sunucu bu veriyi çözebilir. Uçtan uca şifrelemede anahtarlar katılımcı cihazlarında kalır, sunucu okuyamadığı veriyi iletir. Aradaki fark, sağlayıcının erişimidir.

Uçtan uca şifreli bir görüşme kaydedilebilir mi?

Evet. Katılımcılardan herhangi biri ekran kaydı yazılımıyla kendi cihazında kayıt alabilir veya ekranı telefonla çekebilir. E2EE sunucunun akışı okumasını engeller; toplantıdaki bir kişinin kopya saklamasını engellemez.

Uçtan uca şifreleme kiminle görüştüğümü gizler mi?

Hayır. Katılımcı kimlikleri, IP adresleri, toplantının başlangıç saati ve süresi gibi üstveriler hizmete görünür kalır, çünkü görüşmenin yönlendirilmesi için gereklidir. E2EE içeriği korur, konuşmanın gerçekleştiği bilgisini değil.

Altyazı ve canlı çeviri E2EE ile neden çalışmaz?

Çünkü her iki özellik de çözülmüş sesi okuyan bir sürece ihtiyaç duyar. Sunucu yalnızca şifreli veri gördüğünde konuşma tanıma ve çeviri motorunun işleyeceği bir girdi kalmaz; bu nedenle platformlar E2EE açıkken sunucu tarafı altyazı, transkripsiyon ve çeviriyi kapatır.

KVKK uçtan uca şifrelemeyi zorunlu kılıyor mu?

Hayır. 6698 sayılı Kanun belirli bir teknik yöntemi emretmez; veri sorumlusundan riskle orantılı, uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almasını ister. Sağlık verisi gibi özel nitelikli veriler söz konusu olduğunda beklenen koruma seviyesi belirgin şekilde yükselir.

Sağlayıcımın şifreleme iddiasının gerçek olduğunu nasıl anlarım?

Anahtarların kimde olduğunu, hangi standartları uyguladığını (SFrame, MLS) ve E2EE açıkken hangi özelliklerin kapandığını sorun. Kayıt ve transkripsiyon çalışmaya devam ediyorsa sunucu medyanızı okuyabiliyordur. Kilit simgesi tek başına hiçbir şey kanıtlamaz.

Tarayıcıdan görüşmek uygulamadan görüşmekten daha mı güvensiz?

Hayır. Tarayıcı görüşmeleri WebRTC üzerinde çalışır; bu standartta şifreli medya zorunludur, tarayıcı HTTPS'i ve açık kamera-mikrofon iznini şart koşar. Kurulum gerektirmemesi bir risk sınıfını da ortadan kaldırır, çünkü her cihazda güncel tutulması gereken ek bir yazılım kalmaz.

Şifreleme, arkasındaki iddia ne kadar kesinse o kadar değerlidir. Medyanızın tam olarak nerede çözüldüğünü, neyin ne kadar süre saklandığını ve daha katı bir şifrelemede hangi özelliklerin çalışmayacağını size söyleyen bir sağlayıcı, gerçekten değerlendirebileceğiniz bir şey sunuyordur. Yalnızca bir kilit simgesi ve "uçtan uca" ifadesiyle yetinen sağlayıcı ise belgelemediği bir güveni talep ediyordur.

Aktarımda şifrelenen, tarayıcıda kurulum olmadan açılan ve 42+ dil arasında gerçek zamanlı çeviri yapabilen — üstelik çeviri veri yolunu uyum ekibinize anlatabileceğiniz — görüşmeler istiyorsanız, ücretsiz bir Meeyra odası oluşturun ve bu yazıdaki şifreleme sorularını önce onun üzerinde deneyin; ardından aynı soruları listenizdeki her araca sorun.