Avrupa Birliği yakında kendi DNS (Alan Adı Sistemi) çözümleyicisine sahip olabilir. “DNS4EU” girişimi, “çevrimiçi kaynaklara erişmek için gizlilik dostu ve güvenli DNS çözümüne ihtiyaç duyan AB merkezli İnternet kullanıcılarına hizmet veren bir Avrupa DNS çözümleme hizmetleri altyapısı” oluşturmayı amaçlamaktadır.
Bu gelecekteki hizmet için bir operatör seçmek için Avrupa Komisyonu, son tarihi 20 Nisan’a uzatılan Ocak ayında bir teklif çağrısı yayınladı. Seçilen sağlayıcı 2022’nin ikinci yarısında açıklanacak. DNS4EU girişimi, Avrupa siber güvenlik stratejisinin duyurulmasıyla birlikte AB tarafından ilk kez 2020’de dile getirildi. Projenin hızlanması, Avrupa’nın dijital egemenliğini artırmak ve yabancı oyunculara bağımlılığını azaltmak için adımlar attığı bir zamanda geliyor. Fransa, Avrupa başkanlığı çerçevesinde bu hedefi bir kez daha vurgulayarak, egemenliği ve dijital düzenlemeyi ana öncelikleri arasına yerleştirdi.
Avrupa Komisyonu neden sadece politikasını veya kurallarını değiştirmek yerine kendi çözümleyicisini kurmak istiyor? Politikada böyle bir değişiklik, İnternet’in sınırları olmadığı için muhtemelen çok karmaşık olacaktır. AK, kuralları Avrupa’ya uygulamayı hedeflese bile, dünyadaki tüm DNS servislerini hedef alacaktı. Ayrıca, kuralları Avrupa Birliği merkezli her şirkete uygulamaya çalışsaydı, bunlar Google ve Cloudflare gibi dünyanın en büyük ticari oyuncuları ve hatta İsviçre merkezli Quad9 için geçerli olmayacaktı.
AB, bir güvenlik ve gizlilik özellikleri listesi talep ederek, gelecekteki çözümleyicinin kullanıcılarını korumayı amaçlamaktadır. Bu açıdan DNS4EU, ticari taraflardan ve İnternet Servis Sağlayıcılarından ayrılmaktadır. Örneğin, kullanıcıları korumak için çok az şey yaptığını ve tarafsız bir kanal olduğunu iddia eden Google’ın genel DNS hizmetini ele alalım. Bu, genellikle büyük işletmelere yönelik ticari DNS çözümleyicilerinden farklıdır.
Kullanıcıları kötü amaçlı yazılımlardan ve kimlik avı sitelerinden korumak için çok şey yaparlar. Kamu çözümleyicileri genellikle bundan uzak durur. İnternet servis sağlayıcıları, kendi kullandıkları veya yönettikleri DNS çözümleyicileri söz konusu olduğunda aynı tavrı sergilemektedir. Ticari şirketler olmalarına rağmen, kendilerini bilginin tarafsız bir şekilde iletilmesini garanti eden bir tür fayda işlevi sağladıklarını düşünmekten hoşlanırlar. Kendinizi yasal işlemlere karşı korumanın bir yolu.
Ayrıca, insanlar Google’ın DNS çözümleyicisini kullanmayı tercih edebilirken, Google yine de onunla istediğini yapma yeteneğine sahiptir. Google, kalbinin iyiliğinden dolayı ücretsiz olarak sunmaz; bu hizmeti veri elde etmek için sunmaktadır. İnternet servis sağlayıcıları bu nedenle güvenebilecekleri yeni bir genel DNS servisinden yararlanabilirler.
Önümüzdeki haftalarda, hangi şirketlerin çözümleyiciyi oluşturmaya uygun olduğu bilinmelidir. Büyük emelleri olan küçük bir girişim olması pek olası değildir. Aynı zamanda, Avrupa’nın proje için ayırmaya istekli olduğu miktar oldukça küçüktür. Teklif çağrısına göre, projeyi inşa etmek için yalnızca 14 milyon avroluk bir miktar mevcut.
Fransız teknolojik ortamında iyi bilinen bir konu olan dijital egemenlik, AB planına entegre edilmiştir. Tüm DNS çözümleme verileri ve meta verileri AB’de işlenmelidir. Ancak, teklif çağrısı potansiyel tedarikçinin uyruğundan bahsetmez, bu da bu verilerin işlenmesinde yer alan veri merkezlerinin Avrupa’da olması gerekirken, seçilen şirketin genel merkezinin dünyanın herhangi bir yerinde olabileceği anlamına gelir.
Elbette, DNS4EU çözümleyicisi GDPR ile uyumlu olmalıdır. Uygulanabilir olduğunda, çeşitli ülkelerin ulusal veri koruma ve gizlilik kurallarına da uymalıdır. Fransa’da bunlara Veri Koruma Yasası dahildir.
Geniş coğrafi kapsam, yüksek güvenilirlik ve düşük gecikme süresi gereksinimlerini karşılamak için sağlayıcının, performans ve kapasite açısından Google veya Cloudflare gibi bir hizmetle rekabet edebilmek için önemli sayıda sunucuya ihtiyacı olacaktır. Elbette sunucular sadece Avrupa’yı kapsamalıdır. Yine de proje Fransa için, Benelüks için, İskandinavya için, İspanya için sunucular gerektirecek… Bu, esas olarak gecikmeden kaynaklanmaktadır; Norveç’te İspanya’da bir sunucu kullanan bir kullanıcı, hızlı bir şekilde yavaş bir bağlantıdan muzdarip olacaktır. İstikrar ve yedeklilik de önemlidir. Bunları güvence altına alarak, hizmet kesintisine neden olmadan sunucuları bakım için çevrimdışına almak mümkün olacaktır. Dolayısıyla, ancak halihazırda geniş bir DNS altyapısına sahip olan bir şirket bu ihtiyacı karşılayabilir.
Bir DNS çözümleyicisi, çok fazla bakım gerektiren birkaç başka tekniğe ihtiyaç duyar. Örneğin, kullanıcıların her zaman aynı IP adresini kullanabilmeleri için sağlayıcının iyi bir Anycast altyapısına sahip olması gerekir. Yatay olarak ölçekleme yeteneği de önemlidir.
EC, seçilen altyapının en son güvenlik ve gizlilik standartlarını karşılaması gerektiğini vurguladı. Örneğin, HTTPS, DNSSEC gibi en son güvenlik standartlarına ve TLS üzerinden DNS (DoT) ve HTTPS üzerinden DNS (DoH) gibi DNS şifreleme protokollerine uygun olmalıdır. Proje ayrıca iletişim protokolünün en son versiyonu olan IPv6 ile tam uyumlu olmalıdır.
Proje ayrıca kötü amaçlı yazılımlara, kimlik avına ve diğer tehditlere karşı sektör lideri koruma sağlamalıdır. Bunu yapmak için satıcının kendi tehdit istihbaratını ve bilgisayar acil durum müdahale ekipleri (CERT’ler) gibi güvenilir ortaklardan gelen bilgileri analiz etmesi gerekecektir. Bu uzman grupları tehditleri analiz eder, halkı yeni tehditlere karşı uyarır ve siber saldırılara verilen yanıtları koordine eder.
Örneğin, Fransız hükümetinin CERT, CERT-FR, güvenlik açıkları, tehditler, güvenlik olayları, uzlaşma göstergeleri ve koruma önerileri hakkında düzenli olarak uyarılar yayınlar. Gelecekteki DNS4EU operatörü, kendisine kötü amaçlı yazılım komuta ve kontrol sunucularının DNS kayıtlarını gönderecek olan hükümet ve özel CERT’lerle işbirliği yapacak. Bu, sağlayıcının, kullanıcılar için yararlı bir önlem olan DNS düzeyinde kötü amaçlı yazılımları engellemesine olanak tanır.
AB teklif çağrısının kriterlerinden biri, yasa dışı içeriğe bağlantı veren URL’leri filtreleme ihtiyacıdır. Ancak hangi içeriğin “yasal” veya “yasadışı” olarak kabul edildiği konusunda büyük bir gri alan var. Elbette, komuta ve kontrol sunucuları söz konusu olduğunda, bazı güvenlik araştırmacıları dışında, bu sitelerin engellenmesinde herkesin payı olduğu açıktır. Ancak bunun ötesinde, özne hızla bu belirsiz bölgeye girer.
Ya birisi çevrimiçi olarak nasıl bomba yapılacağına dair bir kılavuz yayınlarsa? Peki ya kışkırtıcı metinler? Pornografi mi? Kumar içeriği? Bu nedenle, şu anda planda öngörüldüğü gibi, herhangi bir çözücünün kullanımının gönüllü olması önemlidir. Ayrıca, politikanın önceden net olması için böyle bir filtrenin ne anlama geldiğine dair güçlü tanımlara ihtiyaç vardır.
Gerçekten de, çözümleyicinin isteğe bağlı karakteri, girişimin anahtarıdır. Ancak geleceğin Avrupa çözümleyicisinin ne kadar yaygın olarak kullanılacağı henüz belli değil. Afnic’te bilgisayar bilimcisi olan Stéphane Bortzmeyer, Alman medyası Heise ile yaptığı bir röportajda, geleceğin DNS4EU çözümleyicisinin kullanıcılar tarafından benimsenmesini merak ediyor. Birçok kullanıcının hala kendi DNS çözümleyicisini veya ISP’lerinin çözümleyicisini kullandığına dikkat çekiyor ve daha merkezi olmayan ve yerel çözümleyicilerin göreli güvenliğini vurguluyor. Avrupa kurumları içindeki dijital konulara ilişkin uzun süredir devam eden yansımalar, inisiyatiflere dönüşme sürecindedir.
Dijital pazarlara (DMA) ilişkin mevzuat hızla gelişirken, Avrupa Birliği, bileşenleri için, o zamana kadar geçerli olandan farklı bir dijital ekonomi ve veri gizliliği (GDPR) vizyonu ortaya koymaya çalışıyor gibi görünüyor. DNS4EU girişimi, AB’ye dijital egemenliğini ve siber güvenliğini güçlendirmek için bir araç sağlarken, onu isteyenlere bu vizyona karşılık gelen temel bir hizmet sağlama arzusunun bir parçasıdır.