Gizlilik-sömürücü yazılım

İnternet gibi dijital bir ortamda, çok çeşitli gizlilik tehditleri vardır. Bunlar, kullanıcı faaliyetlerinin izlenmesinden (ziyaret edilen siteler, satın alınan ürünler vb.), kişisel bilgilerin alınmasına dayalı kitlesel pazarlamaya (spam teklifleri ve tele pazarlama aramaları her zamankinden daha yaygındır) ve örneğin terör eylemleri için kullanılan ölümcül teknolojiler hakkında bilgi dağıtımına kadar çeşitlilik göstermektedir.

Casus yazılımlar ve kimlik hırsızlığı birbiriyle ilişkili iki konudur; bireyler potansiyel bir kurbanın kimliğini değiştirmek ya da onu gözetlemek için casus yazılımlar kullanabilir. Casus yazılımlar saldırganın ve bilgisayar korsanının kurbanın kişisel bilgilerini ve davranışlarını elde etmesini sağlayarak kurbanın kimliğini çalmalarını kolaylaştırır.

Gizliliği ihlal eden yazılımlar, kullanıcılarının yalnız bırakılma hakkını hiçe sayan ve belirli bir amaçla dağıtılan, genellikle ticari nitelikte olan ve kullanıcılarını olumsuz etkileyen bir yazılım kategorisidir. Bu bağlamda, kullanıcılarının kendi haline bırakılma hakkının göz ardı edilmesi, yazılımın istenmediği anlamına gelir ve kullanıcıların, kişisel olarak tanımlanabilir verilerin yazılım tarafından ne zaman, nasıl ve ne ölçüde toplandığını, saklandığını veya işlendiğini belirlemelerine izin vermediği anlamına gelir. Dağıtık, kullanıcıların bilgisayar sistemlerine İnternet altyapısına yerleştirilmiş (genellikle bilinmeyen) sunuculardan girdiği anlamına gelir. Genellikle ticari nitelikte olması, yazılımın (türüne veya kalitesine bakılmaksızın) gelir elde etmek için bir tür ticari planda bir araç olarak kullanılması anlamına gelir.

ASC ve StopBadware.org'daki her iki tanım da casus yazılımı tanımlamanın zorluğunu gösteriyor. Bu nedenle casus yazılım terimini iki farklı soyutlama düzeyinde ele alıyoruz. Alt seviyede, Steve Gibson'ın orijinal tanımına göre tanımlanabilir. Bununla birlikte, daha geniş ve daha soyut anlamda casus yazılım terimini yukarıda belirtildiği gibi doğru bir şekilde tanımlamak zordur.

Hem yazılım satıcıları hem de kullanıcılar için kabul edilebilir ve kabul edilemez yazılım davranışları arasında net bir ayrım yapılmasının önemli olduğu ortak sonucuna varılmıştır. Bunun nedeni, birçok casus yazılım programının öznel doğasıdır; bu da farklı kullanıcıların inançları arasında tutarsızlıklara neden olmaktadır, çünkü bir kullanıcının meşru yazılım olarak gördüğü bir yazılım başkaları tarafından casus yazılım olarak kabul edilebilir. "Casus yazılım" terimi giderek daha fazla programı kapsar hale geldikçe, terimin içi boşalmış ve trackware, evilware ve badware gibi hepsi de olumsuz duygular uyandıran çeşitli eşanlamlılar ortaya çıkmıştır. Bu nedenle, bu tür tüm yazılımları kapsayacak şekilde mahremiyete müdahale eden yazılım terimini kullanmayı tercih ediyoruz. Bu terimin olumsuz bir çağrışım yapmadan diğer eşanlamlılardan daha açıklayıcı olduğuna inanıyoruz. Bu tür yazılımları tanımlamak için istilacı kelimesini kullansak bile, örneğin kullanıcıya özel hizmetler uygularken veya yazılıma kişiselleştirme özellikleri eklerken tamamen şeffaf olduğu sürece, gizlilik ihlalinin hem istenebileceğine hem de kullanıcı için faydalı olabileceğine inanıyoruz.

Warkentins ve arkadaşlarının çalışması ((Boldt 2007a) Bölüm 7.3.1'de açıklanmıştır) mahremiyete müdahale eden yazılımların sınıflandırmasını geliştirirken bir başlangıç noktası olarak kullanılabilir; burada mahremiyete müdahale eden yazılımları kullanıcı rızası ve doğrudan olumsuz sonuçların bir kombinasyonu olarak sınıflandırıyoruz. Kullanıcı rızası düşük, orta ya da yüksek olarak belirlenirken, doğrudan olumsuz sonuçların derecesi tolere edilebilir, orta ve şiddetli arasında değişmektedir. Bu sınıflandırma ilk olarak yasal yazılımlar ile casus yazılımlar arasında, ikinci olarak da casus yazılımlar ile kötü niyetli yazılımlar arasında bir ayrım yapmamızı sağlamaktadır. Düşük kullanıcı rızasına sahip olan ya da ciddi doğrudan olumsuz sonuçlar doğuran tüm yazılımlar kötü amaçlı yazılım olarak kabul edilmelidir. Öte yandan, yüksek kullanıcı rızasına sahip olan ve tolere edilebilir doğrudan olumsuz sonuçlara yol açan herhangi bir yazılım meşru yazılım olarak kabul edilmelidir. Buna göre casus yazılımlar geri kalan yazılım grubunu, yani orta düzeyde kullanıcı rızasına sahip olan veya orta düzeyde doğrudan olumsuz sonuçlar doğuran yazılımları oluşturmaktadır. Bu sınıflandırma (Boldt 2007a)'da Bölüm 7'de daha ayrıntılı olarak açıklanmaktadır.

Doğrudan olumsuz sonuçlara ek olarak, dolaylı olumsuz sonuçları da tanıtıyoruz. Bu şekilde sınıflandırmamız, bir programın gerçekleştirmek üzere tasarlandığı herhangi bir olumsuz davranış (doğrudan olumsuz sonuçlar) ile sadece bu yazılımın sistem üzerinde çalıştırılmasıyla ortaya çıkan güvenlik tehditleri (dolaylı olumsuz sonuçlar) arasında ayrım yapmaktadır. Dolaylı olumsuz sonuçlara bir örnek, kullanıcıların sistemlerinde onların bilgisi dışında çalışan programlardaki yazılım açıklarının istismar edilme riskidir.

Mahremiyeti ihlal eden yazılım terimi, reklam yazılımı ve casus yazılım gibi yazılım türlerinin esasen dağıtım mekanizmalarından ziyade eylemleriyle tanımlanmasından kaynaklanmaktadır (çoğu kötü amaçlı yazılım tanımında olduğu gibi, bunlar nadiren örneğin iş ve ticari amaçlara karşılık gelmektedir). Dolayısıyla, mahremiyete müdahale eden yazılım kavramının genel amacı, istenmeyen yazılım bulaşmasının ticari yönünü ifade etmektir. Dolayısıyla, mahremiyete müdahale eden yazılım tehditleri totaliterlik, kötü niyet ya da siyasi fikirlerden değil, serbest piyasa, ileri teknoloji ve elektronik bilginin dizginlenemez alışverişinden kaynaklanmaktadır. Mahremiyete müdahale eden yazılım terimi, tanımına niyeti de dahil ederek, mahremiyet ve güvenlik araştırma topluluğuna bir katkı sağlamaktadır.

Takip eden yıllarda, kişisel bilgisayarlar ve internete geniş bant bağlantılar daha yaygın hale geldi. Ayrıca, İnternet kullanımının artması, e-ticaret işlemlerinin önemli miktarda para içermesiyle sonuçlandı. Müşteriler üzerindeki rekabet yoğunlaştıkça, bazı e-ticaret şirketleri müşterileri kendileriyle işlem yapmaya ikna etmek için şüpheli yöntemlere başvurdu Bu durum, gayrimeşru aktörlere, kişisel bilgi toplama ve ticari reklamları yayma yöntemlerinde kullanılan sınırları esneterek gelir elde etme yollarını açtı. Bu tür hizmetlerin satın alınması, bazı e-ticaret şirketlerinin, örneğin istenmeyen ticari mesajlara (spam olarak da bilinir) dayalı reklamlar kullanarak rakiplerine karşı avantaj elde etmelerini sağlamıştır (Jacobsson 2004).

Spam gibi şüpheli tekniklerin kullanımı, bilgisayar virüsleri veya truva atları gibi daha geleneksel kötü amaçlı teknikler kadar yıkıcı değildi. Bu tür kötü amaçlı tekniklerle karşılaştırıldığında, yenileri iki temel şekilde farklılık gösteriyordu. Birincisi, mutlaka yasa dışı değillerdi ve ikincisi, asıl amaçları, dijital tahribat yaratarak içerik oluşturucunun tanıtımını yapmak yerine para kazanmaktı. Bu nedenle, bu teknikler İnternet'in zaten var olan “karanlık” tarafının yanında “gri” bir alan olarak gruplandırılmıştır.

Bu gelişmenin arkasında internetin bir “tüccar ütopyası” olduğunu anlayan reklamcılar, nispeten düşük bir maliyetle küresel reklamcılık kapsamında büyük bir potansiyel sunuyor. İnterneti küresel bir duyuru panosu olarak kullanan e-ticaret şirketleri, ürünlerini kitlelere çevrimiçi reklamlar sunan reklam ajansları aracılığıyla pazarlayabilir. 2004'te, çevrimiçi reklam yıllık 500 milyon ila 2 milyar dolarlık pazarları temsil ediyordu ve bu, 2005'te yılda 6 milyar doların oldukça üzerine çıktı. Daha büyük çevrimiçi reklamcılık şirketlerinin her biri 50 milyon doları aşan yıllık gelir bildiriyor. Bu gelişmenin başlangıcında, bu tür şirketler reklamlarını yayın benzeri bir şekilde dağıtıyorlardı, yani bireysel kullanıcıların ilgi alanlarına göre düzene sokulmamışlardı. Bu reklamlardan bazıları doğrudan Web sitelerinde banner reklamlar olarak sunuldu, ancak kısa süre sonra adware adı verilen özel programlar ortaya çıktı. Reklam yazılımları, herhangi bir İnternet erişimine veya Web sayfasına bağlı olmaksızın açılır pencereler aracılığıyla reklamları görüntülemek için kullanıldı.

Daha etkili reklam stratejileri arayışında olan bu şirketler, kısa süre içinde kullanıcı ilgi alanlarına yönelik reklamlardaki potansiyeli keşfetti. Hedefli çevrimiçi reklamlar ortaya çıkmaya başladıktan sonra, gelişme talihsiz bir hal aldı. Artık bazı reklamcılar, casus yazılım olarak bilinen ve kullanıcıların kişisel ilgi alanlarını, örneğin tarama alışkanlıklarını toplayan yazılımlar geliştirdi. İlerleyen yıllarda casus yazılımlar internete bağlı bilgisayarlar için önemli bir yeni tehdit haline gelecek ve beraberinde düşük sistem performansı ve güvenliği getirecekti. Casus yazılımlar tarafından toplanan bilgiler, kullanıcıların neleri satın almaya ikna edilebileceğini detaylandıran kişisel ilgi alanları da dahil olmak üzere kullanıcı profilleri oluşturmak için kullanıldı. Çevrimiçi reklamların devreye girmesi, yazılımın kullanıcılarına reklam göstermesini sağlayarak yazılım geliştirmeyi finanse etmek için yeni bir yol açtı. Bu sayede yazılım geliştiricisi, reklam ajansı tarafından ödeme yapıldığı için yazılımını "ücretsiz" olarak sunabiliyordu. Ne yazık ki pek çok kullanıcı "ücretsiz" ile "ücretsiz hediye" arasındaki farkı anlamadı. Aradaki fark, ücretsiz bir hediyenin gelecekte herhangi bir karşılık beklenmeden verilmesi, ücretsiz olarak sunulan bir şeyin ise karşılığında bir şey beklemesidir. Bir diş hekimliği okulunda ücretsiz olarak sağlanan bir diş muayenesi ücretsiz bir hediye değildir. Okul, eğitim değeri kazanmayı bekler ve sonuç olarak müşteri artan risklere maruz kalır. Reklam yazılımları casus yazılımlarla birleştikçe, bu durum bilgisayar kullanıcıları için bir sorun haline gelmiştir. Kullanıcılar "ücretsiz" olarak tanımlanan yazılımları indirirken, bu yazılımların örneğin internet kullanımlarını rapor edeceğinden ve böylece sunulan reklamların ilgi alanlarına yönelik olabileceğinden şüphelenmek için hiçbir sebepleri yoktu.

Bazı kullanıcılar, ilgi alanlarıyla ilgili "teklifler" gibi olumlu geri bildirimler nedeniyle muhtemelen tarama alışkanlıklarını iletmeyi kabul edeceklerdi. Ancak temel sorun, kullanıcıların bu tür bir izlemenin ne oluşumu ne de kapsamı hakkında doğru bir şekilde bilgilendirilmemesi ve dolayısıyla katılıp katılmama konusunda karar verme şanslarının olmamasıydı. Reklamlar hedefe yönelik hale geldikçe, reklam yazılımları ile casus yazılımlar arasındaki sınırlar erimeye başladı ve bu iki program hem kullanıcıları izleyen hem de hedefe yönelik reklamlar sunan tek bir programda birleşti. Şiddetli rekabet kısa sürede reklamverenleri reklamlarını sunmak için kullandıkları yöntemleri daha da "geliştirmeye" itti, örneğin kullanıcı tarafından talep edilen içeriği kullanıcılara göstermeden önce sponsorlu mesajlarla değiştirmek gibi.

Daha hızlı mali kazanç arayışı yoğunlaştıkça, birkaç rakip reklamcı, rakiplerinin önünde kalabilmek için daha da meşru olmayan yöntemler kullanmaya yöneldi. Bu hedefli reklamcılık tüm durumu hızlandırdı ve bir internet sitesine abone olmak gibi insanların görmeyi tercih ettiği geleneksel eklentiler ile "pop-up eklentiler" yoluyla kullanıcılara gönderilen eklentiler veya bir programın kendisinde görüntülenen indirilen eklentiler arasında bir "gri" yarattı. Bu uygulama, İnternet reklamcılığını Spam'in ve diğer istilacı, mahremiyeti tehlikeye atan reklamcılığın "karanlık" tarafına yaklaştırdı. Bu geliştirme sırasında kullanıcılar, bilgisayarlarını kazara çökerten, uygulama ayarlarını değiştiren, kişisel bilgileri toplayan ve bilgisayar deneyimlerini bozan istenmeyen yazılımlardan kaynaklanan enfeksiyonlarla karşılaştı. Zamanla bu sorunlar, casus yazılım önleme araçları şeklinde karşı önlemlerin alınmasına yol açtı.

Bu araçlar, bilgisayarları casus yazılımlardan, reklam yazılımlardan ve aynı "gri" alanda bulunan diğer her türlü gölgeli yazılımdan temizlediğini iddia ediyordu. Bazı meşru yazılım türleri bazı kullanıcılar tarafından "Casus Yazılım" (örn. Spybot: Search & Destroy, ScanSpyware programını bir Spybot olarak tanımlar.) Bu araçlar, virüsten koruma yazılımı gibi kötü amaçlı yazılımdan koruma araçlarına benzer şekilde tasarlanmıştır. Casus yazılımdan koruma araçları, imzaları (anlambilim, program kodu veya diğer tanımlayıcı nitelikler) kullanarak programları tanımlar. İşlem yalnızca bilinen programlarda çalışır, bu da daha önce bahsedilen yanlış pozitiflere yol açabilir ve önceden bilinmeyen casus yazılımları tespit edilmeden bırakabilir. Durumu daha da kötüleştirmek için, özellikle gayri meşru birkaç şirket, çevrimiçi reklam pazarından daha büyük bir pay alma arayışlarında sahte casus yazılım önleme araçları dağıttı. Bu sahte araçlar, casus yazılımları kaldırdıklarını iddia ettiler, ancak bunun yerine, farkında olmayan kullanıcıların bilgisayarlarına kendi paylarına düşen reklam yazılımlarını ve casus yazılımları yüklediler. Bazen, rakip satıcılardan reklam yazılımlarını ve casus yazılımları kaldırma işlevi de eşlik eder. Casus Yazılımdan Koruma, şiddetli rekabetin olduğu yeni bir çevrimiçi satış alanı haline geldi.

Artış son yıllarda bir miktar dengelenmiş olsa da, hiç bitmeyen bir akış gibi görünen yeni casus yazılım programları ortama ekleniyor. Bununla birlikte, casus yazılım önleme araçlarının doğruluğunu olumsuz yönde etkileyen ortak bir casus yazılım tanımı veya sınıflandırması üzerinde hala bir fikir birliği yoktur. Yukarıda bahsedildiği gibi, bazı casus yazılım programları kullanıcıların bilgisayarlarında tespit edilememektedir. Casus yazılım önleme programlarının geliştiricileri, casus yazılımlara karşı mücadelenin virüslere, truva atlarına ve solucanlara karşı mücadeleden daha karmaşık olduğunu resmen belirtiyor.

Bilgisayarları ve yazılımı insanların günlük yaşamlarına entegre eden çeşitli eğilimler vardır. Bir örnek, medya merkezleri adı verilen tek bir cihaza entegre edilen geleneksel medya odaklı ürünlerdir. Bu medya merkezleri, geleneksel televizyon, DVD oynatıcılar ve stereo ekipmanlarla aynı işlevleri içerir, ancak İnternet'e bağlı bir bilgisayarla birleştirilir. Öngörülebilir bir gelecekte bu medya merkezlerinin geniş bir tüketici etkisine ulaşması bekleniyor. Bu ayarda casus yazılım, örneğin hangi televizyon kanallarının izlendiğini, kullanıcıların ne zaman/neden kanal değiştirdiğini veya kullanıcıların hangi DVD filmlerini satın alıp izlediğini izleyebilir ve gözetleyebilir. Bu, herhangi bir reklam veya medya odaklı şirketin elde etmesi için oldukça çekici olan bilgilerdir. Bu bize, casus yazılımların bu yeni platformlara göre uyarlandığı olası bir senaryo sunar; ihtiyaç duyulan teknoloji, büyük ölçüde bugün casus yazılımlarda kullanılanla aynıdır.

Casus yazılım satıcıları için bir başka ilgi çekici alan da sevk edilen mobil cihazların artan miktarıdır. Reklam dağıtıcıları şimdiden gözlerini bu cihazlara çevirdi. Şimdiye kadar bu geliştirme, bu cihazlarda depolanan coğrafi konum verilerini kullanmadı. Ancak, bu yazının yazıldığı sırada şirketler, cep telefonları ve elde tutulan cihazlara yönelik GPS kılavuzlu reklamlar ve kuponlar üzerinde çalışıyorlar. Başka bir deyişle, reklam şirketlerinin müşterilerine coğrafi olarak bağımlı reklamlar ve kuponlar sunabilmeleri için kişisel coğrafi verilere erişmelerine olanak tanıyan konuma dayalı pazarlamanın geliştirilmesi. Bu tür coğrafi veriler toplandıktan ve zaten birikmiş olan kişisel bilgilerle ilişkilendirildikten sonra, başka bir mahremiyet engeli aşılmış olur.