Deepseek uygulamasında uygulama aktarım güvenliğini (ATS) devre dışı bırakmak, özellikle veri gizliliği ve güvenlik konusunda kullanımıyla ilişkili riskleri önemli ölçüde artırır. İşte bu risklerin ayrıntılı bir açıklaması:
1. Şifrelenmemiş veri iletimi: ATS'yi devre dışı bırakarak, Deepseek hassas kullanıcı ve cihaz verilerinin şifrelenmemiş kanallara iletilmesine izin verir. Bu, kayıt bilgileri ve cihaz detayları gibi verilerin herhangi bir şifreleme olmadan gönderildiği ve siber suçlular tarafından kolayca kesilebilir hale getirildiği anlamına gelir. Bu güvenlik açığı, kullanıcıları hem pasif hem de aktif saldırılara maruz bırakır, burada saldırganlar sadece kesişmekle kalmaz, aynı zamanda iletilen verileri de manipüle eder [3] [6] [9].
2. Ortadaki insan (MITM) saldırıları: ATS devre dışı bırakma nedeniyle şifreleme eksikliği, ortadaki insan saldırıları için kolay bir giriş noktası oluşturur. Bu tür saldırılarda, bir saldırgan uygulama ve sunucuları arasındaki iletişimi kesebilir ve değiştirebilir, bu da potansiyel olarak veri hırsızlığına veya kötü niyetli içeriğin enjeksiyonuna yol açabilir [3].
3. Siber saldırı riski artan: Deepseek zaten önemli siber saldırılarla karşı karşıya kaldı ve ATS'yi devre dışı bırakma bu kırılganlığı şiddetlendiriyor. Şifrelenmemiş HTTP trafiğine izin vererek, uygulama gelecekteki saldırılara daha duyarlı hale gelir, çünkü saldırganlar kullanıcı verilerine yetkisiz erişim elde etmek için güvenlik önlemlerinin eksikliğinden yararlanabilir [2] [3].
4. Veri Gizliliği Endişeleri: Deepseek, daha sonra bir Çinli şirket olan bayta tarafından yönetilen sunuculara iletilen kapsamlı kullanıcı ve cihaz verilerini toplar. ATS'nin olmaması, bu verilerin şifreleme olmadan gönderildiği ve devlet destekli kuruluşlar da dahil olmak üzere üçüncü taraflarca veri gizliliği ve potansiyel kötüye kullanım konusunda ciddi endişeler yarattığı anlamına gelir [2] [5] [9].
5. Zayıf şifreleme uygulamaları: ATS sorununun ötesinde, Deepseek'in şifreleme yöntemleri de kusurludur. Uygulama, sabit kodlu anahtarlarla ve yeniden kullanılmış başlatma vektörleri ile güvensiz bir simetrik şifreleme algoritması (3DES) kullanır ve kullanıcı verilerinin korunmasını daha da zayıflatır. Bu zayıf şifreleme uygulaması, ATS eksikliği ile birleştiğinde, saldırganların hassas bilgileri çözmesini ve kullanmasını kolaylaştırmaktadır [6] [9].
Özetle, Deepseek'teki ATS'yi devre dışı bırakmak, veri müdahalesi, manipülasyon ve siber suçluların sömürülmesi riskini arttırır. Ayrıca, özellikle uygulamanın kapsamlı veri toplama uygulamaları ve verilerin Çin kuruluşlarına bağlı sunuculara iletilmesi göz önüne alındığında, veri gizliliği ve güvenlik ile ilgili daha geniş endişeleri de vurgulamaktadır.
Alıntılar:
[1] https://cocoacasts.com/the-definitive-guide-to-app-cransport-Security
[2] https://sbscyber.com/blog/deepseek-ai-dangers
[3] https://approov.io/blog/deepseek-apps-security-failures-how-peproov-davave-prevented-the-dama
[4] https://www.infosecinstitute.com/resources/application-security/ios-application-security-part-46-app-pransport-security/
[5] https://securityscorecard.com/blog/a-depe-peek-at-deepseek/
[6] https://www.connectyourplatform.com/blogs/deepseek-ios
[7] https://sdks.support.brightcove.com/ios/framework/working-app-cransport-security-ats.html
[8] https://www.csis.org/analysis/delving-dangers-deepseek
[9] https://thehackernews.com/2025/02/deepseek-app-cransmitss-sensitive-user.html