Remio güvenlik mimarisi, açık ve net.

§01 · Özet

Remio, sıfır bilgili, eşler arası bir mimari üzerine kurulmuş bir uzak masaüstü uygulamasıdır. Ekran içeriği, girdi verileri ve ses akışları, cihazlar arasında sektör standardı DTLS-SRTP ile uçtan uca şifrelenir — WebRTC tabanlı her ürünün dayandığı aynı güvenlik modeli. Merkezi çözümlerin aksine Remio'nun sinyalleşme sunucusu yalnızca ilk bağlantının kurulmasına yardımcı olur — oturum verilerini asla görmez, işlemez veya saklamaz.

Hesap gerekmez, ihlal edilecek parola yoktur, merkezi bir kimlik bilgisi veritabanı yoktur. Cihaz eşleştirme, ana makinenin kendi ekranından okunan bir QR kodu ya da Cihaz Kimliği ve PIN ile yapılır; tüm oturum anahtarları geçici ve İleri Gizlilik (Perfect Forward Secrecy) özelliklidir: bir anahtar ele geçirilse bile geçmiş ve gelecek oturumlar kriptografik olarak güvende kalır. Bu mimari, rakipleri yıllardır yıpratan saldırı kategorilerinin tamamını ortadan kaldırır — çünkü çalınacak hiçbir şey yoktur.

§02 · Tehdit modeli

Remio'nun güvenlik mimarisi, hem kurumsal hem kişisel bağlamlarda uzak masaüstü kullanımıyla ilgili bir dizi tehdit senaryosuna karşı tasarlanmıştır. Neye karşı koruduğumuz ve güven sınırlarının nerede olduğu konusunda açığız.

Karşı koruduğumuz tehditler

• Dinleme. Tüm medya (video, ses) ve veri kanalları (girdi, klavye, imleç) sırasıyla SRTP ve DTLS ile şifrelenir. Ağ gözlemcisi yalnızca şifreli paketleri görür ve oturum içeriğini yeniden oluşturamaz.
• Ortadaki adam (MITM). Sertifika parmak izi doğrulamalı DTLS el sıkışması müdahaleyi önler. Sinyalleşme kanalı, İleri Gizlilik'li TLS 1.3 kullanır.
• Sunucu ele geçirilmesi. Sinyalleşme sunucumuz tamamen ele geçirilse bile saldırganlar yalnızca bağlantı üst verilerine (IP adresleri, zaman damgaları) ulaşır. Oturum içeriği sunucularımızdan asla geçmez ve orada saklanmaz.
• Yetkisiz erişim. Eşleştirme, ana makinenin QR kodunu taramayı, gösterdiği Cihaz Kimliği ve PIN'i yazmayı ya da her ikisinde aynı Remio hesabıyla oturum açmayı gerektirir. Saldırılabilecek, uzaktan erişilebilir bir kimlik bilgisi veritabanı yoktur.
• Kimlik bilgisi hırsızlığı. Parola yok, hesap yok, merkezi kimlik bilgisi deposu yok. Cihaz güveni PIN eşleştirmesiyle kurulur; oturum belirteçleri (JWT) kısa ömürlüdür ve cihaza bağlıdır.
• Oturum tekrar saldırısı. SRTP'nin yerleşik tekrar koruması ve DTLS dizi numaraları, yakalanan paketlerin yeniden oynatılmasını önler.
• Tedarik zinciri saldırıları. Tüm Remio ikili dosyaları kod imzalıdır. macOS sürümleri Apple tarafından notarize edilir. iOS sürümleri yalnızca App Store üzerinden dağıtılır.

Güven sınırları

Tehdit modelimiz üç güven sınırını açıkça tanımlar:

1. Cihaz sınırı. Her cihaz yalnızca PIN doğrulamasından sonra güvenilir sayılır. İşletim sistemi düzeyindeki korumalar (korumalı alan ve her sistemin Anahtar Zinciri gibi korumalı depolaması) cihazdaki verileri korur.
2. Ağ sınırı. Aktarımdaki tüm veriler şifrelidir. Ağın düşmanca olduğunu varsayarız.
3. Sunucu sınırı. Kendi sunucularımız güvenilmeyen röleler olarak ele alınır. Bağlantıları kolaylaştırırlar ama içeriği inceleyemezler.

§03 · Mimariye genel bakış

Remio, sinyalleşme düzlemini (bağlantı kurulumu) veri düzleminden (yayın) ayırır. Bu ayrım sıfır bilgili tasarımımızın temelidir — bağlanmanıza yardım eden sunucu, alışverişini yaptığınız verilere asla dokunmaz.

Sinyalleşme ve veri düzlemi

Sinyalleşme sunucusunun tek görevi, bağlantı kurulumu sırasında cihazlar arasında SDP tekliflerini/yanıtlarını ve ICE adaylarını iletmektir. P2P bağlantı kurulduktan sonra sinyalleşme sunucusu artık devrede değildir.

Sunucu iletilen içeriği ayrıştıramaz — yalnızca hedef cihazın yorumlayabildiği şifreli bir ikili veri öbeğidir. İkili protokol, JSON tabanlı sinyalleşmeye kıyasla enjeksiyon saldırılarını zorlaştıran ek bir yapı katmanı sağlar.

§04 · Şifreleme katmanları

Remio, her iletişim kanalının gereksinimlerine en uygun kriptografik protokolü kullandığı çok katmanlı bir şifreleme stratejisi uygular.

İleri gizlilik (Perfect forward secrecy)

Her Remio oturumu, ECDHE anahtar değişimiyle benzersiz bir geçici şifreleme anahtarları kümesi üretir.

• Geçerli oturum anahtarının ele geçirilmesi geçmiş oturumları ifşa etmez.
• Geçerli oturum anahtarının ele geçirilmesi gelecek oturumları ifşa etmez.
• Her anahtar çifti yalnızca tek bir oturum süresince var olur.
• Anahtarlar asla diske yazılmaz — yalnızca bellekte bulunur.

Şifre takımları

# Signaling — TLS 1.3 cipher suites (in order of preference)
TLS_AES_256_GCM_SHA384
TLS_CHACHA20_POLY1305_SHA256
TLS_AES_128_GCM_SHA256

# Media — SRTP protection profile (WebRTC industry default)
SRTP_AES128_CM_SHA1_80   # AES-128 counter mode, HMAC-SHA1-80 auth

# DTLS certificates
Self-signed ECDSA (P-256), verified out-of-band via SDP fingerprints

Anahtar döndürme

Anahtarlar şu sınırlarda otomatik olarak döndürülür:

• Oturum başlangıcı. Yeni bir DTLS el sıkışması her bağlantı için yeni anahtarlar üretir.
• SRTP anahtar türetme. Medya anahtarları DTLS el sıkışmasından türetilir ve her medya izi için benzersizdir.
• Yeniden bağlanma. Bir oturum kesilip yeniden bağlanırsa tamamen yeni bir anahtar değişimi gerçekleşir.

§05 · Kimlik doğrulama ve eşleştirme

Remio geleneksel kullanıcı adı/parola kimlik doğrulamasından bilerek kaçınır. Bunun yerine, uzak masaüstü yazılımlarındaki en yaygın saldırı vektörlerini ortadan kaldıran PIN tabanlı bir cihaz eşleştirme modeli kullanırız.

PIN tabanlı eşleştirme

Bir istemci bir ana makineye ilk kez bağlanmak istediğinde süreç şöyle işler:

1. Ana makine ekranında kısa bir sayısal PIN (ya da QR kodu) gösterir.
2. İstemci PIN'i girer; PIN sinyalleşme kanalı üzerinden ana makineye gönderilir.
3. Ana makine PIN'i doğrular ve eşleştirmeyi onaylar ya da reddeder.
4. Başarılı olursa bir cihaz güven ilişkisi kurulur.
5. Aynı cihazdan sonraki bağlantılar yeniden eşleştirme gerektirmez.

Cihaz güven modeli

Eşleştirildikten sonra her cihaz benzersiz bir cihaz kimliğiyle tanımlanır. Ana makine güvenilir cihazların yerel bir listesini tutar. Bu güven ilişkisi:

• Yalnızca ana makine cihazında, sisteminin sağladığı korumalı depolamada yerel olarak saklanır — Mac'te Anahtar Zinciri, Windows'ta şifreli sistem depolaması, Linux'ta özel bir dosya.
• Asla iletilmez — sunucu hangi cihazların güvenilir olduğunu bilmez.
• İptal edilebilir — ana makine güvenilir bir cihazı istediği zaman kaldırabilir.

Oturum belirteçleri (JWT)

Eşleştirmeden sonra sinyalleşme sunucusu kimlik doğrulaması için kısa ömürlü imzalı belirteçler (24 saat geçerli) kullanılır.

Bu belirteçler bir cihazı oda oluşturma ve mesaj iletme için sinyalleşme sunucusuna doğrular. Ayrı bir DTLS el sıkışmasıyla korunan oturum içeriğine erişim sağlamazlar.

Yapay zekâ ajanı erişimi (Remio MCP Sunucusu)

Remio bu aynı güven modelini yapay zekâ ajanlarına da genişletiyor. Claude Code, Codex veya Claude uygulaması gibi araçlar, Remio MCP Sunucusu aracılığıyla makinelerinizi uzaktan kullanabilir — ve güvenlik sınırı, bir insan istemcinin geçtiği sınırla aynıdır:

• Her şey oturum açmanızla sınırlıdır. Bir ajan yalnızca çevrimiçi olan ve sizin kimlik doğruladığınız hesapla eşleşmiş ana makinelere ulaşabilir (OAuth ile Google veya Apple girişi). Kimliği doğrulanmış hesap yoksa araç da yoktur.
• Remio bir aracıdır, operatör değil. MCP sunucusunun tek işi, kimliği doğrulanmış hesabınıza göre sınırlandırılmış bir araç kümesini sunmak ve bunları bağlanmayı sizin seçtiğiniz yapay zekâ aracına vermektir. Remio makinenizle kendi başına oturum başlatamaz — bir ana makine yalnızca hesabınızın yetkisinin kanıtını sunan bağlantıları kabul eder; tıpkı yukarıdaki cihaz güven modeli gibi.
• Aynı şifreli aktarım. Ajan oturumları §04'te anlatılan aynı uçtan uca şifreli kanallar üzerinden gider. Sunucularımız yine yalnızca şifreli veri öbeklerini görür — §06'daki sıfır bilgi özellikleri değişmeden geçerlidir.
• Görünür, sonlandırılabilir, denetlenir. Bir ajan oturumu çalışırken ana makinede gösterilir, bir acil durdurma anahtarıyla anında sonlandırılabilir ve yerel bir denetim günlüğüne kaydedilir.

§06 · Sıfır bilgili tasarım

Sıfır bilgi Remio'da bir pazarlama terimi değil — mimari bir kısıttır. Sistemlerimiz, oturum içeriğinin Remio, çalışanları veya herhangi bir üçüncü taraf için yapısal olarak erişilemez olacağı şekilde tasarlanmıştır.

Sunucularımızın görebildikleri

• Bağlanan cihazların IP adresleri (ağ iletişimi için gerekli).
• Bağlantı zaman damgaları.
• Cihaz kimlikleri (kişisel bilgilere bağlı olmayan, anlamsız tanımlayıcılar).
• Sinyalleşme üst verileri: SDP teklif/yanıt alışverişi, ICE adayları.

Sunucularımızın göremedikleri

• Ekran içeriği — video kareleri uçtan uca SRTP ile şifrelidir.
• Ses — videoyla aynı SRTP şifrelemesi.
• Girdi olayları — fare, klavye, dokunma DTLS ile şifrelidir.
• İmleç konumu — şifreli veri kanalıyla iletilir.
• Dosya içeriği — her dosya aktarımı şifreli kanallar üzerinden yapılır.
• Pano verileri — şifreli veri kanalı.
• Uygulama durumu — hangi uygulamaları çalıştırdığınız, neyle uğraştığınız.

Veri saklama politikası

P2P mimarimiz sayesinde fiilen saklanacak bir şey yoktur:

• Oturum içeriği. Asla saklanmaz. Yalnızca gerçek zamanlı akış.
• Sinyalleşme günlükleri. Bağlantı üst verileri hata ayıklama için en fazla 30 gün saklanır, sonra silinir. Oturum içeriği içermez.
• Kullanıcı hesapları. Hesap gerekmez. İsteğe bağlı Firebase Auth verileri Google'ın altyapısında yönetilir ve kullanıcı tarafından silinebilir.
• Cihaz bilgileri. Her cihazda yerel olarak saklanır. Oturum açmayı seçerseniz cihaz listeniz hesabınızla eşitlenir (bkz. gizlilik politikası).

Önce P2P veri akışı

Bağlantıların çoğunda (NAT geçişinin başarılı olduğu durumlarda) veri, hiçbir sunucuya dokunmadan doğrudan cihazlar arasında akar:

# Best case: direct P2P
Client <—— DTLS-SRTP (encrypted) ——> Host
              ↑ No server involvement

# Fallback: TURN relay
Client <— DTLS-SRTP —> TURN server <— DTLS-SRTP —> Host
                            ↑ Still E2E encrypted
                            ↑ Server sees only encrypted blobs

TURN röle yedeği senaryosunda bile röle sunucusu yalnızca şifreli paketleri işler. Aptal bir boru gibi davranır — veriyi çözemez, inceleyemez veya değiştiremez.

§07 · Ağ güvenliği

P2P bağlantı kurulumu

Remio, cihazlar arasındaki mümkün olan en iyi bağlantı yolunu bulmak için ICE (Interactive Connectivity Establishment) protokolünü kullanır:

1. Ana makine adayları — aynı ağda doğrudan yerel ağ bağlantısı.
2. Sunucu yansıtmalı adaylar (STUN) — genel IP'yi keşfetmek için STUN sunucuları üzerinden NAT geçişi.
3. Röle adayları (TURN) — doğrudan bağlantı kurulamadığında şifreli röle.

ICE aracısı tüm aday çiftlerini eş zamanlı sınar ve en düşük gecikmeli, en güvenilir yolu seçer. Doğrudan P2P her zaman tercih edilir.

Yapılandırılabilir aktarım politikaları

Bağlantılar varsayılan olarak doğrudan P2P'yi tercih eder ve şifreli röleye otomatik döner. Tüm trafiği röleden geçirmeye zorlayan ya da yerel ağ keşfini tamamen atlayan daha sıkı politikalar, kilitli ağ ortamları için kullanılabilir.

Hız sınırlama

Sinyalleşme sunucusu kötüye kullanımı önlemek için sıkı hız sınırlama uygular:

Süresi dolan hız sınırlayıcılar 5 dakikalık aralıkla ve 10 dakikalık TTL ile otomatik temizlenir; böylece dağıtık saldırılardan kaynaklanan bellek tükenmesi önlenir.

DDoS koruması

Sinyalleşme altyapımız Cloudflare ile korunur ve şunları sağlar:

• Küresel uç ağıyla Anycast DNS.
• Katman 3, 4 ve 7 DDoS azaltma.
• Web Uygulaması Güvenlik Duvarı (WAF).
• Trafik kaynağa ulaşmadan uçta hız sınırlama.
• Bot tespiti ve doğrulama sayfaları.

§08 · İstemci güvenliği

Remio, yerel verileri korumak ve uygulama bütünlüğünü sağlamak için her işletim sisteminin tam güvenlik yığınından yararlanır.

macOS

• Anahtar Zinciri entegrasyonu. Tüm hassas veriler (cihaz güven belirteçleri, JWT), kullanıcının oturum açma bilgileri ve donanım şifrelemesiyle korunan macOS Anahtar Zincirinde saklanır.
• Uygulama Korumalı Alanı. Remio asgari izinlerle korumalı bir ortamda çalışır. Ekran yakalama ve erişilebilirlik açık kullanıcı onayı gerektirir.
• Kod imzalama. Tüm sürümler Apple Developer sertifikalarıyla imzalanır.
• Notarizasyon. macOS sürümleri Apple tarafından notarize edilir; bilinen kötü amaçlı yazılımdan arınmış oldukları doğrulanır.
• Güçlendirilmiş çalışma zamanı. Üretim sürümlerinde kod enjeksiyonunu, kitaplık ele geçirmeyi ve hata ayıklamayı önler.

iOS

• Uygulama Aktarım Güvenliği (ATS). Tüm ağ bağlantıları HTTPS/TLS kullanmalıdır. Yapılandırılmış istisna yoktur.
• Veri koruması. Anahtar Zinciri öğeleri, cihazın kendi donanımından türettiği anahtarlarla şifrelenir ve yalnızca bu cihaza ait işaretli öğeler yedekte bile cihazdan çıkmaz.
• Keychain Services. Cihaz kimlik bilgileri iOS Anahtar Zincirinde kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly koruma sınıfıyla saklanır.
• App Store incelemesi. Tüm iOS sürümleri Apple'ın güvenlik inceleme sürecinden geçer.
• Arka planda veri yok. Uygulama arka plandayken veri toplamaz veya iletmez.

Kod imzalama & doğrulama

# Verify Remio macOS binary — verify_signature.sh
$ codesign --verify --deep --strict "Remio Host.app"
# Remio Host.app: valid on disk

$ spctl --assess --verbose "Remio Host.app"
# Remio Host.app: accepted
# source=Notarized Developer ID

§09 · Olay müdahalesi

Güvenlik sicili

Şubat 2026 itibarıyla Remio'nun güvenlik ihlali veya olay geçmişi yoktur. Sıfır bilgili mimarimiz saldırı yüzeyini önemli ölçüde azaltır — hedeflenecek merkezi bir kimlik bilgisi ya da oturum verisi veritabanı yoktur.

Güvenlik açığı bildirimi

Güvenlik araştırmacılarından sorumlu ifşayı teşvik ederiz. Olası bir açık keşfederseniz:

1. Ayrıntılı bir açıklamayla security@remio.net adresine e-posta gönderin.
2. Varsa yeniden üretme adımlarını ekleyin.
3. Alındığını 48 saat içinde teyit ederiz.
4. Doğrulanan açıkları 30 gün içinde çözmeyi hedefleriz.
5. Bildirenler, anonim kalmayı tercih etmedikçe güvenlik değişiklik günlüğümüzde anılır.

Sorumlu ifşa politikası

• Kamuya açıklamadan önce 90 günlük bir ifşa penceresi isteriz.
• İyi niyetle hareket eden araştırmacılara karşı yasal işlem başlatmayız.
• Düzeltmeleri önem derecesine göre önceliklendiririz: kritik, yüksek, orta, düşük.
• Resmî bir hata ödül programı yol haritamızdadır.

Olay müdahale süreci

Doğrulanmış bir güvenlik sorunu olması durumunda:

1. Sınırlama. Etkilenen sistemleri 1 saat içinde yalıtın.
2. Değerlendirme. Kapsamı ve etkiyi 24 saat içinde belirleyin.
3. İletişim. Etkilenen kullanıcıları 72 saat içinde bilgilendirin (GDPR uyumlu).
4. Giderme. Yamaları otomatik güncelleme altyapısıyla dağıtın.
5. Olay sonrası inceleme. Bir şeffaflık raporu yayımlayın.

§10 · Uyumluluk

GDPR hazırlığı

Remio'nun sıfır bilgili mimarisi, veri toplamayı mutlak teknik asgariye indirdiğimiz için doğası gereği GDPR dostudur:

• Veri minimizasyonu. Yalnızca bağlantı kurulumu için gerekeni toplarız.
• Silinme hakkı. Kullanıcı içeriği saklamadığımız için silinecek bir şey yoktur. İsteğe bağlı hesap verileri talep üzerine silinebilir.
• Veri taşınabilirliği. Cihaz güven verileri yerel olarak saklanır ve kullanıcı tarafından kontrol edilir.
• Rıza. PIN eşleştirme, her cihaz için açık bir rıza mekanizmasıdır.
• İçeriğin sınır ötesi aktarımı yok. P2P bağlantılar veriyi cihazlar arasında tutar; altyapımıza asla girmez.

SOC 2

Henüz yok

• Bağımsız güvenlik denetimi — henüz üçüncü taraf sızma testi ya da kod incelemesi yapılmadı.
• SOC 2 Tip I — henüz rapor yok.
• SOC 2 Tip II — henüz rapor yok.
• Hata ödül programı — resmî sorumlu ifşa ödülleri.

Veri yerleşimi

Remio önce P2P olduğu için oturum verileri cihazlarınızın bulunduğu yerde kalır. Verileriniz cihazlarınız arasındaki doğrudan bağlantıdan asla çıkmaz. Sinyalleşme sunucusu (Cloudflare ve DigitalOcean'da barındırılır) yalnızca bağlantı üst verilerini işler — ve bu üst veriler hiçbir kişisel bilgiye bağlı değildir.

§11 · Alternatiflerle karşılaştırma

Uzak masaüstü sektörü yüksek profilli güvenlik ihlalleriyle yıpranmıştır. Remio'nun mimarisinin merkezi alternatiflerden temelde nasıl ayrıldığı aşağıda.

Merkezi mimariler neden başarısız olur

Merkezi uzak masaüstü hizmetlerinin temel sorunu, tek bir ihlalin tüm kullanıcıları tehlikeye atabilmesidir. AnyDesk'in üretim sunucuları Şubat 2024'te ihlal edildiğinde saldırganlar kod imzalama sertifikalarını çaldı; bu da meşru AnyDesk yazılımı gibi görünen kötü amaçlı yazılım dağıtmalarına olanak tanıyabilirdi. Tüm kullanıcı parolalarının sıfırlanması gerekti.

APT29 (Rusya devlet destekli bir grup) Haziran 2024'te TeamViewer'ın kurumsal ağını ihlal ettiğinde, ürünün bütünlüğü hakkında sorular doğdu — çünkü merkezi mimari, sağlayıcının oturumlara erişme teknik yeteneğine sahip olduğu anlamına gelir.

Remio bu saldırı sınıfını tamamen ortadan kaldırır. Sinyalleşme sunucumuzun ihlali yalnızca bağlantı üst verilerini verir. Çalınacak kimlik bilgisi, erişilecek oturum, kullanıcılarımızın cihazlarını hedefleyen kötü amaçlı yazılımı imzalamakta kullanılabilecek sertifika yoktur.

§12 · Sonuç

Remio'nun güvenliği bir ürüne sonradan eklenmiş özellikler kümesi değil — ilk günden alınan mimari kararların sonucudur. Merkezi yerine P2P'yi, parola yerine PIN eşleştirmeyi, veri toplama yerine sıfır bilgiyi seçerek güvenliğin isteğe bağlı bir yükseltme değil, varsayılan durum olduğu bir uzak masaüstü kurduk.

Gizliliğin isteğe bağlı olmadığına ve güvenin kullanım şartlarıyla talep edilerek değil, şeffaflıkla kazanılması gerektiğine inanıyoruz. Bu teknik belge o taahhüdün bir parçasıdır.

Sorular, kurumsal güvenlik incelemeleri veya bir açığı bildirmek için:

• Güvenlik soruları: security@remio.net
• Kurumsal satış: enterprise@remio.net
• Genel: hello@remio.net