Riskli VPN uygulaması nasıl tanınır

VPN sistem düzeyinde çalışır: Cihazdaki her programın trafiğini alır, sizin haberiniz olmadan arka planda çalışanlar dâhil. Sıradan bir uygulama yalnızca kendi topladığını sızdırabilir; bir VPN o cihazda yaptığınız her şeyi sızdırabilir. Seçerken çıtayı çok daha yükseğe koymak gerekir.

“Bir şey olmadı” güvenliğin kanıtı değildir. Kayıt tutma, raporlama ve araya içerik sokma, kullanıcının hiçbir şey hissetmediği sunucu tarafında ya da arka planda olur; sonuçları çoğu zaman aylar sonra gelir ve belirli bir uygulamaya bağlanamaz.

• Kaynağı belirsiz: Kurulum dosyası bir sohbet grubundan, bir dosya paylaşım bağlantısından ya da bir QR koddan gelir; resmî sitesi ya da mağaza sayfası yoktur. Meşru bir istemci uygulama mağazasından, geliştiricinin sitesinden ya da imzası doğrulanabilen bir sürüm sayfasından gelir.
• Sizden kök sertifika kurmanızı ister: “Bu sertifikaya güvenin”, “bu profili yükleyin”, bir sertifika yetkilisine (CA) güvenin. Kök sertifika kurulduğunda bankacılık ve e-posta dâhil bütün HTTPS trafiğinizi çözebilir. Normal bir VPN'in buna asla ihtiyacı olmaz.
• Aşırı izinler: Rehbere, SMS'lere, arama kayıtlarına, kesin konuma ya da fotoğraf arşivinize erişmek isteyen bir VPN. Bir VPN'in ihtiyacı yalnızca tünel kurma iznidir.
• Kimlik istekleri: Kayıt için kimlik kartı, yüz taraması ya da Çin telefon numarası istenir. “Mevzuata uygun” bir VPN, kimliğinizi trafik kayıtlarınıza tam olarak böyle bağlar; meşru bir hizmete bir e-posta adresi yeter.
• Özel protokol ve kapalı istemci: Yalnızca kendi uygulamasıyla kullanılabilir, hiçbir standart protokolü (AnyConnect, OpenVPN, WireGuard, Hiddify) desteklemez; bu yüzden gerçekte ne gönderdiğini açık kaynak bir istemciyle doğrulayamazsınız.
• Ücretsiz ama görünür bir geliri yok: Ücretli paketi yok, reklamı yok, kurumsal müşterisi yok, yine de yıllardır çalışıyor. Anakara çıkış bant genişliği ölçülerek ücretlendirilir; hiçbir ücret almayan bir hizmet parasını başka yerden toplar.
• Şirket yok, destek yok, geçmiş yok: Bulunabilecek bir işletme yok, ulaşılacak kimse yok, alan adı bir yıldan kısa süre önce kaydedilmiş, sık sık isim değiştiriyor.
• Olağan dışı arka plan trafiği: Cihaz boştayken sürekli veri yüklüyor, pil ve mobil veri hızla bitiyor. Cihazınızı başkasının çıkış noktası olarak kullanıyor ya da verilerinizi eşitliyor olabilir.
• “Resmî”, “kayıtlı”, “yasal ve mevzuata uygun” vurgusu yapan ve geri kalan her şeyin yasa dışı olduğunu ima eden tanıtım: Arkasında denetim makamı olan uygulamaların klasik söylemi; buradaki uyum, kayıt tutmak ve raporlamaktan ibarettir.
• Mağazada hep aynı coşkulu puanlar, birbirine benzeyen yorumlar ve yorum sayısıyla orantısız indirme sayısı: satın alınmış.

1. Protokole bakın: Site hangi protokolleri kullandığını ve üçüncü taraf istemcilerin çalışıp çalışmadığını söylüyor mu? OpenVPN, AnyConnect, Hiddify ya da Tailscale ile erişilebilen bir hizmet, gönderilenleri yakalayıp incelemenize imkân verir.
2. İzinlere bakın: Kurduktan sonra sistem ayarlarını açın, VPN izni dışındaki her şeyi geri alın ve hâlâ çalışıp çalışmadığına bakın. Çalışmıyorsa kaldırın.
3. Sertifikalara bakın: iOS'ta Ayarlar → Genel → VPN ve Aygıt Yönetimi; Android'de Ayarlar → Güvenlik → Şifreleme ve kimlik bilgileri → Güvenilen kimlik bilgileri → Kullanıcı; Windows'ta sertifika yöneticisi → Güvenilen Kök Sertifika Yetkilileri. Uygulamanın kurduğu her şeyi silin ve uygulamayı kaldırın.
4. Sızıntıya bakın: Bağlıyken bir DNS sızıntı testi ve bir IPv6 test sayfası açın; ad çözümlemenin ve adreslerin onun sunucularından geçtiğini doğrulayın. Ardından bir HTTPS sitesi açın ve sertifikayı verenin sitenin gerçek sertifika yetkilisi olduğunu kontrol edin.
5. İşleteni kontrol edin: Site bir şirket ya da ekip adı veriyor mu, ne kadar süredir çalıştığını ve desteğin nerede olduğunu söylüyor mu; bir iade politikası var mı; gizlilik politikası neyin kaydedildiğini açıkça belirtiyor mu?

1. Kaldırın, ardından yukarıdaki yerleri kontrol edip uygulamanın kurduğu sertifika ya da profilleri silin.
2. Parolaları değiştirin (bankacılık, e-posta, günlük hesaplar), özellikle o uygulamayı kullanırken giriş yaptıklarınızı.
3. İki adımlı doğrulama açık hesaplarda giriş geçmişini gözden geçirin ve tanımadığınız cihazları kaldırın.
4. Bir router'a kurulduysa fabrika ayarlarına döndürün ve resmî ya da doğrulanabilir bir firmware yükleyin.

LeoTun'in bütün istemcileri resmî üreticilerden ve tanınmış açık kaynak topluluklarından gelir (Cisco, OpenVPN, Hiddify, Tailscale) ve hiç değiştirilmeden yansıtılır; bizden indirdiğiniz istemciyi istediğiniz an resmî ya da açık kaynak sürümle değiştirebilirsiniz. Her protokol standarttır ve paket yakalamayla incelenebilir.

Kayıt için yalnızca e-posta adresi gerekir; telefon numarası da kimlik de istenmez. Neyi kaydettiğimiz Hakkımızda sayfasında yazıyor: e-posta, paket, bitiş tarihi ve faturalandırma için her bağlantının süresi ve veri miktarı; içerik yok, reklam ekleme yok, veri satışı yok.

Sertifika yok, rehber yok, konum yok. Bizim olduğunu iddia eden bir istemci bir gün sizden kök sertifika kurmanızı isterse o bizim değildir.