Güvenli Ağ iletişimi-1

Daha doğrusu güvenliği arttırılmış iletişim demek de fayda var. Her türlü güvenliği delebilecek birileri mutlaka vardır. Önemli olan siz ne kadar önemlisiniz. Birileri güvenliği arttırmanın yollarını araştırırken, başka birileri güvenliği delmenin yolarını araştırmaktadır. Kısaca yin-yang olayı.

Güvenli iletişimin en temel kuralı şifrelemedir. Bilgisayarınızın güvenliği sağlam da olsa bilgiler sizden çıktıktan sonra savunmasız demektir, şayet güçlü bir şifre ile şifrelenmemişse. Güvenli iletişimin geldiği son noktayı en iyi banka iletişimini inceleyerek anlayabilirsiniz.( maalesef hayatta ortak olarak herkesin en değer verdiği şeydir para.). İnternet bankacılığı güvenli iletişimin de hikayesidir aslında. Önceleri 6 karekterli sayıdan oluşan bir şifre ve hesap numarasıyla girilen internet bankacılığı. Şimdiler de şifre, hesap no, resim onayı, sanal klavye, sms onayı, belirli periyotlarda değiştirilmesi gereken şifreler ve anlık şifre üreten akıllı cihazlara kadar gelişmiştir. Nedir bu gelişimin perde arkası; yin-yang elbette. Saldırı cephesi basit keylogger (yani klavyeden girilen tüm tuşları kaybedip saldırgana gönderen programlar) lar ile hayata başladı. Bunu farkeden savunma cephesi sanal klavyeleri çıkardı. Artık kendi klavyeniz yerine ekrandaki klavyeden giriş yaparak keylogger lar biraz da olsa engellendi. Sonra saldırı cephesi trojan ve benzeri programlar aracılığıyla ekran görüntülerinizi, ister resim ister video olarak kaydetmeye başladı. Buna karşılık savunma tarafı anlık şifre üreten cihazlar ve sms onayını getirdi. Bu hikayeden ne anlamamız gerekmektedir. Şayet iletişiminiz bankaların yaptığı gibi değilse her türlü bilgilerinize ulaşılabilir, daha önce de söylediğim gibi buradaki tek kriter siz ne kadar değerlisiniz. Saldırı ve savunma tarihinin gelişimi basit olarak budur. Bu yazıyı bitirdiğinizde bilgisayardan hiç anlamasanız dahi güvenli iletişimi yapabilir hale geleceksiniz.

Bilgisayarınız dan çıkan tüm verileri şifreleyerek göndermek için kullanılan yöntemler içinde bana göre en iyisi güçlü şifre ile korunmuş VPN (virtual private network) teknolojisidir (bankalarda VPN kullanmanıza gerek yok hatta tehlikeli bile olabilir. Normal iletişim için tavsiye ediyorum). Cep, tablet ve her türlü platformda rahatlıkla kullanılabilmesi de bu teknolojiyi tercih edilir yapmaktadır. Bu teknoloji de bilgilerinizi göndereceğiniz bilgisayar ile aranızda şifre ile korunmuş özel bir kanal açarsınız ve iletişim size özel bu kanaldan gerçekleşir. Şayet güvenlik uyarılarına dikkat ederseniz( sertifika hataları önceki yazılarda bahsetmiştim. ” Mitm ile gelen ssl açıklığı”.) güvenliği sağlanmış bu iletişimin dinlenebilmesi neredeyse imkansızdır. Neredeyse dememizin elbette bir sebebi vardır.

VPN teknolojisinde veri iletişimi yukarıdaki gibi gerçekleşir. Yani İnternet’e çıkan bilgileriniz güvenli kanalda VPN server dediğimiz anlaşma yaptığımız bilgisayara ve oradan dış dünyaya çıkar. Şayet güvenilmeyen, yaptığınız iletişimi kaydeden(log), basit şifreleme ve şifre değisim algoritması kullanan VPN servisleri çok da güvenli sayılmaz. En iyi VPN servisleri asgari AES 256 bit şifreleme ile birlikte RSA şifre değişim algoritması kullanması ve kayıt (no log) tutmaması gerekir. Ama beni kim takip edecek sadece istediğim sitelere girebileyim bir de yeni yetme hacker lardan korunayım derseniz her türlü VPN çözümü işinizi görür. Gelelim VPN ayarlarının nasil yapılabileceğine. iOS, Windows, macosx ortamlarında nasıl VPN bağlantısı kurarız.

iOS da( iPhone ve iPad ) VPN kurulumu için öncelikle yaklaşık bir senedir kullandığım VPN express kurulumundan başlayalım. Apple Store dan indireceğiniz Vpn Express yazılımının kurulumu yapılırken ( aldığınız bu VPN hizmetini bilgisayarınızda da -windows ya da mac osx- kullanabilirsiniz.)

gereken şifrenin en az 8 rakam ve 3-4 harf ya da karekter olmasına dikkat edin. Şifre ve mail adresinizi programda tanımladıktan sonra sistemin VPN ayarlarının yapılması gerekmektedir. Bunun için programın kullanıcıya sağladığı bir kolaylık var.

Yukarıdaki şekilde iOS setup tuşuna tıkladığınızda sistem VPN kurulumu otomatik yapılmaktadır. Ayarlar tamamlandıktan “ayarlar” bölümündeki “VPN” bölümüne girerseniz aşağıdaki gibi bir ekranla karşılaşırsınız.

yukarıdaki resimde bağlantı kurmak istediğiniz bölgeyi ve bağlantı tipini seçip yukarıdan VPN i açarsanız aşağıdaki gibi VPN bağlantısının olduğunu gösteren ikonu gördüğünüz sürece VPN bağlantınız aktif demektir, güvenle internette gezinip maillerinizi kontrol edebilirsiniz. (yalnız VPN ayarları detayında “tüm trafiği gönder” in açık olmasına dikkat ediniz.)

Aslında herhangi bir VPN hizmeti satın aldığınızda servis size bir şifre ( siz belirlersiniz ) ve bağlantı yapabileceğiniz bölgeler ile birlikte bağlantı yapılacak bilgisayarın bağlantı ismi verilir. Bağlantı ismi ve şifre ile VPN servisini ister cepten ister herhangi bir bilgisayardan kurarak çalıştırabilirsiniz. Bu servisleri ister aylık yani süreli isterseniz de data miktarına göre seçip kullanabilirsiniz. Fazla güvenli internet trafiğiniz yoksa data planı fiyat olarak daha uygun. Aldığım 10 gb lik planı bir senedir hala bitiremedim.

VPN hizmeti satın alabileceğiniz servisleri gösteren www.bestvpnservice.com adresinden size uygun VPN hizmetini satın alabilirsiniz. Aldığınız bu hizmeti çoğunlukla cep,tablet ya da bilgisayarda ya da hepsinde birden kullanabilirsiniz.

Yazının ikinci bölümünde VPN bağlantılarının bilgisayar üzerinden nasıl yapılacağını ve kendi VPN ve SSH servisimizi kurarak kısmen de olsa güvenliği sağlamaya çalışacağız.

Tüm Yönleriyle Mitm (Ortadaki Adam-Man in The Middle) Saldırısı-1

Ağ ortamında bir bilgisayarın internete göndereceği ya da internetten alacağı herhangi bir bilgi bilgisayardan çıktıktan sonra ağ dediğimiz bir çok verinin aynı anda dolaştığı bilgi seli içinde gideceği yeri bulmaya çalışır. Gönderilen veriler şifreli değilse, bilgisayarınızın güvenliği hangi seviyede olursa olsun verileriniz ağ ortamına çıktığında korumasız ve yalnız başına ormanda yürüyüşe çıkmış çocuk gibidir. Bilgi hırsızları işte bu korumasız anı gözetler ve gerekli ayarlamalar ile ağa gönderdiğiniz verileri ele geçirebilir. Verilerinizi şifreleseniz de durum çok farklı sayılmaz aslında. İşte ağa gönderilen korumasız verileri ele geçirmek için kullanılan yöntemlerden biri mitm (man in the middle-ortadaki adam) saldırılarıdır.

Genel olarak ortadaki adam (man in the middle) saldırısı nedir ? Ağa gönderilmek üzere hazırlanan paket ağ kartına teslim edilir. Bağlı bulunduğunuz ağın yapısına göre paketlerin teslim edilmesini doğruluğunu v.b. durumları kontrol eden protokoller vardır. Basit olarak çoğu fiziksel ağ ethernet protokollerini kullanır. A bilgisayarından çıkan bir paketin B bilgisayarına gitmesi kabaca şöyle gerçekleşir. A bilgisayarı bulunduğu ağa B bilgisayarının mac adresini ARP REQUEST paketleriyle sorar. Ağ içinde bu paketi alan bilgisayarlar adresi biliyorsa söyler bilmiyorsa cevap vermez en sonunda paket B bilgisayarına geldiğinde ağa ARP REPLY paketleri göndererek benim mac adresim budur der ve her bilgisayar bu kaydı saklar. Artık tekrar gerektiğinde B nin adresi kayıt altına alınmıştır. Paketin gideceği bilgisayarın mac adresini bulan A rahatlıkla paketi bu adrese gönderir. Sağlıklı gerçekleşen paket trafiği budur. Peki C bilgisayarı ARP REQUEST yani mac adresi sorgulaması yapılmadan ARP REPLY paketleri göndererek ve B bilgisayarın mac adresini kullanarak benim mac adresim bu derse ne olur. Paketi alan bilgisayarlar artık B bilgisayarı yerine göndermek istedikleri paketleri C ye yollamak zorunda kalırlar. Mac adresini taklit etmeye ARP SPOOF saldırısı denmektedir. Bu saldırı mitm için kullanılan en yaygın saldırı biçimidir. İnternet’e gönderilen yada internetten size gelen paketler önce bağlı olduğunuz ağın default gateway adresi olarak bilinen genellikle 192.168.1.1-192.168.2.1-10.0.0.1 gibi orta ölçekli işletmelerde kullanılan ip adresine sahip bilgisayara gönderilir. Bu bilgisayarlar sizin dış dünyaya çıkış kapınızdır. Diyelim ki X bilgisayarının tüm internet trafiğini takip etmek istiyorsunuz. X takip etmek istediğimiz bilgisayar Y takibi yapan bilgisayar ve Z de ağın çıkış kapısı (default gateway ) bilgisayarı olsun. Öncelikle X bilgisayarının mevcut route tablosundaki Z ye ait mac adresi arpsoof saldırısı ile değiştirilip Y nin mac adresi yapılır. Ardından Z bilgisayarının route tablosundaki X e ait mac adresi arpspoof saldırısı ile Y bilgisayarının mac adresiyle değiştirilir. Artık X makinesinden çıkan tüm internet trafiği önce Y bilgisayarına oradan Z bilgisayarına ( bu arada yeterince karışık olan anlatıma yönlendirme işlemlerinin detayını katmadım bilenler kızmasın ). Z ye internetten gelen ve X e iletilecek olan bilgiler önce Y bilgisayarına oradan X bilgisayarına gidecektir. Bu anlatım çift yönlü mitm saldırısıdır. Biz sadece İnternet’e giden trafiği yakalayıp gelenle uğrasmasakta istenilen bilgilere ulaşmış oluruz. Gelen giden bu paketleri toplayıp wireshark, tcpdump gibi paket inceleme programlarıyla yorumladığımızda yapılan tüm iletişimi yakalamış oluruz.

Mitm için ios, linux, windows sistemlerinde kullanılabilecek araçlar vardır. Öncelikle windows altında kullanılabilecek araçları incelemeye başlayalım. Cain&Abel, wireshark, networkminer windows ta benim vazgeçilmezlerim.

Cain&Abel windows platformunda çalışan oldukça etkili bir komple saldırı aracıdır. Ağı dinleyerek hedef seçtiğiniz bilgisayarın tüm ağ trafiğini hedef sisteme farkettirmeden dinleyebilir. Sadece dinlemekle kalmaz ele geçirdiği ham ağ verilerini yorumlayarak içindeki şifreleri, gezilen sayfaları, oturum açmak için kullanılan şifrelerin hash edilmiş hallerini daha aklınıza ne gelirse hepsini toplayarak hedef sistemle ilgili ayrıntılı bilgiler verebilir. Yakaladığı hash edilmiş şifreleri çözmek için ayrı bir modülüde var. (hash nedir ? şifreleri bilgisayar ortamında saklamak güvensizdir. Bunun için girdiğiniz şifreleri geri dönüşümü olmayan bir hash fonsiyonu ile tekrar sifreler bu son hali saklarız.) Ayrıca yerleşik sertifika sistemi sayesinde ssl sertifikalarını taklid ederek https dediğimiz güvenli bağlantıları dahi dinleyip güven içinde girdiğiniz şifreleri bulabilir.

Cain&Abel açıldığında ilk yapmamız gereken ayarlar bölümünden sistemimize uygun ağ kartını seçmek. Üst menüden ayarlar (configure) seçilirse aşağıdaki ekran gelir. Burada ip numarası görülen ağ kartını seçmek lazım. Yani bağlı olduğumuz ağa bakan kart.

Ardından bağlı bulunduğumuz ağda var olan bilgisayarları bulmak için ağ taraması yaparız. Bunun için üstteki ikon menüden sniffer seçili olmalıdır.(soldan ikinci).

Tarama sonucu ortak ağda bulunan herhangi bir bilgisayarı hedef seçerek arp spoof işlemini başlatırız. Bunun için alt ikon menüden APR ve üst ikon menüden artı şeklindeki ikona tıklarsak

Çıkan ekranda solda dinleme yapılacak bilgisayarın ip numarası seçili iken sağdaki alandan ağın çıkış kapısı (default gateway) seçilerek işlem tamamlanır.

Artık araya girmeye hazırız. En üst ikon menüden APR ikonuna tıklarsak işlem başlamış olur.

Bu işlemi bir çok bilgisayar için aynı anda yapabiliriz. Bu işlem devam ederken gerekli bilgiler toplanmaya başlanacaktır. Gezilen sayfalarda clear text yani şifre korumalı yapılmayan yazışmalar girilen şifreler hepsi ekrana gelmeye başlayacak. Sertifika taklit edebilme özelliğinden dolayı sertifika hatalarına dikkat etmeyen kullanıcıların ssl bağlantıları da ele geçirilebilir. Oturum açma şifreleri hash haliyle ele geçmesine rağmen bunları da kırabilmek için ayrı bir bölümü vardır.

Gelelim ios yani iphone ve ipad de mitm yöntemine. Kullanacağımız araçlar, tarama için scany ya da iNet, araya girmek ve yönlendirme için pirni, topladığımız paketlerin analizi için tcpdump ve en önemlisi telefon da ssh konsolu açabilmek için issh programı.

iNet programını açarak bağlı olduğumuz ağdaki bilgisayarları “Network Scanner” a tıklayarak bulabiliriz. Bunlardan örnek olarak 192.168.2.8 ip numaralı bilgisayarı seçip mitm (man in the middle) işlemini başlatalım.

Bilgisayarı bulduk issh programı ile telefonda ssh konsolu açıyoruz. ( ana ekranda “add configuration” a tıklayıp “description” iphone, “host” 127.0.0.1, “port” 22, “login” root, “password”(değiştirmediyseniz) “alpine” yazıp ssh konsolunu açıyoruz.)

Artık konsolda pirni programını çalıştırabiliriz.

Program çalışırken 192.168.2.8 ip lı bilgisayarın tüm internet trafiği -o parametresinde belirtilen isimle (yer belirtmezsek private/var/root adresine) kaydedilir. Bu loglar wireshark ve tcpdump gibi programlarla incelenebilir. Fakat araya girme anında tcpdump programını kullanarak da anlık yapılan işlemler hakkında bilgi sahibi olabiliriz. Örneğin takip edilen bilgisayarda hangi sayfaların açıldığını anlamak için pirni açıkken aynı issh programında sağ üst köşedeki çarpıya tıklarsak aktif ekranı bitirmeden (pirni ekranı ) yeni ssh konsolu açmak için imkan buluruz. Tekrar ssh konsolu açtığımızda ekranı parmakla sağa ya da sola çektiğimizde aktif ekranlar arası geçiş yapabiliriz. Komut satırında

tcpdump -nn -X -s 1400 dst port 53

yazıldığında pirni çalışırken takip edilen bilgisayarın tüm dns istekleri yani açmak istediği sayfalar tcpdump ekranında karşımıza gelir.

Gelelim aydınlık tarafta yapılabileceklere. Bunun için yani güvenli internet trafiği için ayrı bir yazı yazmayı düşünüyorum. Detayları orada bulabilirsiniz. Ama basit olarak internette güven sizin için önemliyse güçlü bir sifreyle desteklenmiş VPN çözümleri ideal olabilir. Ayrıca hata veren sertifika uyarılarına dikkat etmek gerekir.

Linux sistemlerdeki mitm baska zamana kaldı :)) Bu yazının devamına eklenecek

Bayram Altun

Mitm ile Gelen Ssl Açıklığı

MITM İLE GELEN SSL AÇIĞI

Havaalanları, fastfoodlar, işyerleri v.b. internetin genel kullanıma açıldığı güvensiz alanlarda yapılacak internet iletişiminin her zaman en ince ayrıntısına kadar takip edilip manipüle edilebileceğini unutmayın. (buna güvenli kabul ettiğimiz ssl bağlantıları da dahil. http den https e geçiş yapan sitelerde )
Hava alanında uçağınızı beklerken göndereceğiniz mail, facebook ta yaptığınız sohbetler, messenger şifreleri ortadaki adam (mitm) saldırısı ile kaydedilebilir. (Şekil-1)
Mitm yöntemi çok ciddi network bilgisine ihtiyaç duyulmadan da uygulanabilecek araçlara entegre olarak karşımıza çıkmaktadır.

Cain&Abel bunlardan windows ta çalışan en tehlikelilerindendir. Sadece bir kaç tıklama ile saldırı yapılacak sistemler belirlenebilir. Ardından uygulanacak Mitm ile network trafiği rahatlıkla saldırgan üzerine yönlendirilebilir. Program içine yerleşik sertifika sistemi sayesinde ssl bağlantılarının da taklidi yapılarak kişisel güvenliğiniz ile ilgili bilgilere ulaşılabilir.
Güvensiz ortamlarda oluşturulan ssl ya da ssh bağlantısı yapılmayan (şifrelenmemiş) tüm trafik kontrol edilebilip içeriği değiştirilerek manipüle edilebilir. Yani açmak istediğiniz sayfadan farklı bir sayfa açılabilir, gönderdiğiniz mailin içeriği değiştirilip alıcıya farklı bir mesaj gönderilebilir. Kısaca yapılabilecekler hayal gücünüzle sınırlı. Fakat yapacağınız yazışmalar güvenli bağlantıyla (ssl) yapılıyorsa, endişe duymanıza gerek yok. Örneğin mailinizi kontrol etmek için girdiğiniz gmail, sosyal paylaşım platformu facebook, sohbet programı messenger gibi bir çok uygulama oturum açma aşaması ve sonrasında daha iyisi çıkana kadar en iyisi diyebileceğimiz, e-ticaret platformlarında da kullanılan SSL (Secure Socket Layer) bağlantısını kullanmaktadır. Bilinen en güvenli sistem olan SSL bağlantısının kullanıcı tarafında ciddi sayılabilecek bir açığı bulunmaktadir. Mitm saldırısıyla (Şekil-1)araya giren saldırgan sahte SSL sertifikaları oluşturarak bağlantıyı taklid edebilir. Normalde https baglantısı (SSL gibi) (Şekil-2-3-4)yapmak istedigimizde browser (explorer, firefox, safari)

güvenli bağlantı yapmak istediğimiz sitenin SSL sertifikasını otomatik olarak kontrol eder. Sertifika doğru ise sorunsuz olarak site açılır güvenle işlemlerimizi yaparız. Sertifika ile ilgili problem varsa… İşte kullanıcı tarafındaki SSL açığı bu aşamada başlamaktadır. Şayet sizi
takibe alan bir saldırgan varsa ve Mitm ile araya girmişse SSL bağlantılarını da taklid edebilir. Güvenli bağlantı yapmak istediğiniz her aşamada tarayıcınız sizi uyaracak bağlanmak istediğiniz sitenin sertifikasında sorun olduğunu söyleyecektir.

En çok kullanılan internet explorer ve firefox tarayıcıları böyle bir durumla karşılaştıklarında biraz da olsa farklı davranış sergilerler. İnternet explorer ve safari tek ekranda bu sertifikaya güvenip devam etmeniz ya da devam etmemeniz yönünde karar vermenizi ister. Firefox onay sürecini biraz daha zorlaştırır ama yine güveniyorum ya da güvenmiyorum cevabını bekler. Cep telefonlarından internete girildiğinde de durum aynıdır.

Bir çok kullanıcı sertifika hatasının ne olduğunu bile anlamadan yaptığı işin devam etmesini isteyerek sahte sertifikayı onaylayacaktır. Sahte sertifikaya güveniyorum dendiği anda yapılan bağlantı SSL de olsa artık facebook , messenger şifreleri ve yapılan tüm yazışmalar saldırgana ulaşmıştır.

Sonuç olarak ortak kullanıma açık alanlarda yaptığınız bağlantılarda tarayıcınız sizi sertifika konusunda uyarırsa güvenmeyip devam etmemek en iyisidir. Her sertifika hatası araya giren olduğu anlamına da gelmez, süresi dolan sertifikalar da hataya sebep olabilir, fakat yine de dikkat etmek gerekir.

SSL bağlantı yapmadığımız durumlarda saldırı olduğunu nasıl anlarız. Mitm ile araya giren saldırgan trafiğin normal akışını kendi üzerine çekmiştir (Şekil-1). Bu durumda paket tarafiğinin yönü değişmiştir. Ağa gönderilen her paketin önce hedefine bakılır, şayet paket ağ içindeki bir adrese gidecekse direk gönderilir, hedef adres ağ içinde değilse paketin sizden çıktıktan sonra gideceği (normal şartlarda, proxy yoksa) ilk adres bulunduğunuz ağın çıkış kapısıdır(default gateway)(ağ geçidi).

Özetlersek normal bağlantıda paketin sizden sonraki hedefi ağınızın çıkış kapısı olmalı değilse saldırı altında olabilirsiniz. İşletim sistemlerinde gönderilen paketin geçtiği yolları gösteren programlar vardır. Bu programları kullanarak trafiğin yönünün değişip değişmediğini anlayabiliriz.

Mac Os X kullanan macintosh bilgsayarlarda

macmini:~ altun$ traceroute http://www.bayramaltun.com

Windows sistemlerinde

yusuf>;; tracert http://www.bayramaltun.com

komutunu terminalde yazdığımızda http://www.bayramaltun.com adresine giden paketlerin izlediği yol görünecektir.

Her ağın çıkış kapısı farklı olabilir. Ama genelde küçük ve orta ölçekli işletmelerde 192.168.0.1, 192.168.1.1, 192.168.2.1, 10.0.0.1 adresleslerinden biri olma ihtimali çok yüksektir. (Ağ geçidini Tcp/ip ayarları ekranında da görebilirsiniz) (Şekildeki örnekte paketin takip ettiği yoldaki ilk adres 192.168.1.1 yani sorun yok)

Saldırı varsa yani bağlantımız arasına biri girmiş ise şekildeki ekran çıktısı aşağıdaki gibi değişir. Şekilde de görüldüğü gibi paketlerin bizden çıktıktan sonra gitmesi gereken adres 192.168.1.1 iken 192.168.1.3 olmuştur. Demekki bulunduğumuz ağda 192.168.1.3 ip numaralı bilgisayar Mitm saldırısı ile araya girmiştir.

Sonuç olarak sertifika hatalarına her zaman dikkat edin ve güvenli işlem yapmak zorunda kaldığınız ortak kullanım alanlarında ağ trafiğini kontrol ederek araya giren olmadığından emin olun.

Bayram Altun

(Yazıya Tübitak a bağlı www.bilgiguvenligi.gov.tr adresinden de ulaşabilirsiniz.)