MOBİL İŞLETİM SİSTEMLERİ
"iOS her zaman güvenlidir, Android her zaman açıktır" — pek çok kullanıcı ve hatta geliştirici bu varsayımla hareket eder. Oysa iki sistemin de kendine özgü saldırı yüzeyi, sandbox modeli ve güncelleme dağıtım dinamiği vardır. Apple'ın kapalı ekosistemi otomatik güvenlik anlamına gelmez; Android'in açık kaynaklı yapısı da onu savunmasız kılmaz. Asıl mesele, tehdit modelini doğru kurmak ve hangi katmanın hangi riski karşıladığını bilmektir.
Kapalı Ekosistem Güvenli Demek Değildir
iOS'in "her zaman güvenli" algısı, App Store'un manuel inceleme süreci ve Apple'ın donanım-yazılım entegrasyonundan beslenir. Ancak Pegasus, FORCEDENTRY ve zero-click iMessage zafiyetleri iOS'in de hedef alındığını ve başarıyla istismar edildiğini göstermiştir. Apple'ın gizli mimarisi, bağımsız güvenlik araştırmacılarının ikili dosyaları analiz etmesini zorlaştırır — bu da bilinmeyen zafiyetlerin daha uzun süre yamasız kalabileceği anlamına gelir.
Android tarafında ise AOSP açık kaynak olduğu için kod denetimi geniş bir araştırmacı topluluğu tarafından yapılır. Google Play Protect, SafetyNet ve son yıllarda devreye giren Play Integrity API gibi katmanlar, Play Store dışından yüklenen uygulamaları bile tarayabilir. Yani açık olmak savunmasız olmak değildir; sadece tehdit yüzeyinin farklı bir kompozisyonu vardır. Pazarın evrimi ve farklı platformların tarihsel gelişimi için konuya ilişkin ansiklopedik kaynaktan daha geniş bir bağlam edinilebilir.
Asıl Fark: Güncelleme Modeli
İki ekosistem arasındaki en kritik fark, güvenlik yamalarının kullanıcıya ulaşma hızıdır. Apple, donanım üzerinde tam kontrole sahip olduğu için yeni iOS sürümünü 5-6 yıl geriye dönük cihazlara aynı anda iletebilir. Android'de ise zincir uzar:
- Google → AOSP'a yamayı işler
- SoC üreticisi (Qualcomm, MediaTek) → çekirdek katmanını günceller
- Telefon üreticisi (Samsung, Xiaomi, vb.) → kendi katmanını ekler
- Operatör → bazı bölgelerde son onayı verir
- Cihaz → kullanıcı bildirimi alır
Bu zincir Project Treble, Mainline ve GMS güncellemeleriyle önemli ölçüde kısaldı; artık bazı bileşenler Play Store üzerinden yamalanabiliyor. Yine de orta segment cihazlarda 6 aylık gecikmeler hâlâ olağan. Bu pratik gerçek, Android'i istismar penceresi açısından iOS'ten ayırır — ancak son model Pixel veya kurumsal yönetilen cihazlarda fark büyük ölçüde kapanır.
Sandbox ve İzin Modeli
Her iki sistem de uygulamaları izole sandbox içinde çalıştırır. iOS'te bu izolasyon Mach-O ikilisi, entitlements ve XPC servisleri üzerinden yürütülür. Android'de ise Linux kullanıcı kimliği başına uygulama izolasyonu, SELinux MAC katmanı ve Binder IPC ile sağlanır. Mimari yaklaşım farklı olsa da hedef aynıdır: bir uygulamanın diğerinin verisine erişememesi.
İzin modeli açısından Android, kullanıcıya daha granular kontrol sunar — özellikle Android 12+ ile birlikte tek seferlik konum, mikrofon ve kamera erişim göstergeleri standart hâle geldi. iOS ise daha kısıtlayıcı bir varsayılan davranış benimser; arka plan erişimleri sıkı şekilde sınırlanır. Hangisi daha güvenli? Bu, kullanıcının izinleri ne kadar bilinçli yönettiğine bağlıdır.
Attack Surface: Nereden Saldırılır?
Mobil bir cihazın gerçek saldırı yüzeyi sadece işletim sistemi değildir. Aşağıdaki bileşenlerin her biri ayrı bir tehdit vektörü oluşturur:
- Baseband / radyo modem: Hücresel ağ üzerinden gelen mesajlar, OS'tan bağımsız bir işlemcide işlenir.
- Bluetooth ve Wi-Fi stack: Yakın mesafe saldırıları, BlueBorne tarzı RCE'ler.
- WebView ve tarayıcı motoru: Safari/WebKit ve Chromium tabanlı motorlardaki JS zafiyetleri.
- Mesajlaşma katmanı: iMessage, SMS, MMS ve OTT uygulamalardaki ayrıştırıcılar.
- USB ve fiziksel erişim: Checkm8 gibi bootrom zafiyetleri.
Bu listeye bakıldığında, iOS ile Android arasındaki "kim daha güvenli" sorusu anlamını yitirir. Önemli olan, kullanıcının veya kurumun tehdit modelidir: hedefli devlet saldırısına karşı mı korunuyoruz, yoksa toplu kötü amaçlı yazılım kampanyalarına karşı mı?
Geliştirici Perspektifi
Geliştirici tarafında iki ekosistem farklı disiplinler gerektirir. iOS, Swift ve Objective-C üzerinden Xcode ile çalışır; Apple'ın imzalama altyapısı zorunludur. Android tarafında Kotlin artık birincil dildir ve Android Studio üstünde Gradle tabanlı bir derleme süreci vardır. Mobil güvenlik konusuna geliştirici tarafından yaklaşmak isteyenler, modern Android güvenlik mimarisini anlamak için Android Kotlin eğitimi içeriklerinden yararlanabilirsiniz — Keystore, EncryptedSharedPreferences ve Biometric API gibi yapılar güvenli uygulama tasarımının temelini oluşturur.
Kullanıcı İçin Pratik Sonuç
Her iki platform da doğru yapılandırıldığında çoğu tehdide karşı yeterli koruma sağlar. Kritik olan üç davranış vardır: cihazı güncel tutmak, uygulamaları yalnızca resmi mağazalardan yüklemek ve izinleri periyodik olarak gözden geçirmek. Bunlar yapıldığında, "iOS mu Android mi" tartışması büyük ölçüde teorik kalır. Yanılgı, birinin diğerinden mutlak üstün olduğunu varsaymaktan kaynaklanır — gerçek dünyada her iki sistemin de güçlü ve zayıf noktaları, kullanım senaryosuna göre değişir.
Mobil işletim sistemlerini değerlendirirken etiketler yerine mimariyi okumak, doğru kararı vermenin tek yoludur. Hangi cihaza ne kadar süre güncelleme verileceği, hangi izinlerin varsayılan olarak kapalı geldiği ve cihazın ne kadar süredir piyasada olduğu, marka algısından çok daha belirleyici göstergelerdir.
