Dijitalleşmenin hayatımıza entegrasyonu ile her gün sayısız siber saldırı yaşanmakta. Büyük veri ihlallerine sebep olabilecek bu saldırılar; hem bilgisayarlara hem de kullanıcılara yönelik olabilir. Bu yazımızda adını sıkça duyduğumuz man in the middle attack yani ortada ki adam saldırısı olarak bildiğimiz siber saldırısı nedir, tarihçesine, bu saldırı ile işlenebilecek suçlara, nasıl gerçekleştirildiğine,örneklerine ve ne gibi önlemler alabileceğimize değineceğiz, daha sonrasın da MITM saldırılarını gerçekleştirmek için kullanıldığı bilinen tekniklere ve bunlar arasında olan ARP poisoning ve DNS poisoning konularını da anlatacağız. Keyif almanızı ve size çok katkısı olmasını temenni ediyoruz. Öyleyse hemen başlayalım.
Man-In-The-Middle Attack(Ortadaki Adam Saldırısı):
MITM Nedir?
Man-in-the-middle saldırısı (ortadaki adam saldırısı, kısaltması MITM), saldırganın birbiri ile doğrudan iletişim kuran iki taraf arasındaki iletişimi gizlice ilettiği veya değiştirdiği en eski siber saldırı türüdür. Aradaki adam saldırısı tam olarak ağ üzerindeki paketleri yakalayarak manipüle etmek olarak özetlenebilir.
Bu saldırı türünde siber saldırgan kendi bilgisayarında oluşturduğu gizli sahte bir ağ ile gerçek zamanlı veri aktarımında olan iki tarafın arasındaki iletişime gizlice dahil olur. Saldırının başarılı olması durumunda siber saldırgan tüm internet trafiği akışını yönlendirebilmekte ve şifreli “https” sitelerindeki bilgileri dahi ele geçirebilmektedir. Saldırgan; İnternet trafiğinde yer edinmesi nedeniyle tüm verilere ulaşabilmekte verileri aktarabilmekte veya değiştirebilmektedir.
Peki MITM saldırıları neden bu kadar tehlikeli?
Koruma önlemlerinin en az olduğu saldırı türlerinden biri olması, casusluk veya finansal kazanç elde etme amacıyla kullanılması ,saldırı esnasın da virüslü bilgisayarlara yasal olmayan SSL sertifikaları yüklenebilme olasılığı ve kurbanın cihazından ekran görüntüleri alınabilme olasılığı dikkatli bir siber saldırgan tarafından gerçekleştirildiğinde, ortadaki adam saldırısını tespit etmenin ve buna ilişkin siber güvenlik önlemleri almanın mümkün olmamasından dolayı MITM saldırıları bu kadar tehlikeli.
MITM Tarihçesi
Bu bölümde man in the middle attack ile ilgili gerçekleşen saldırılardan birkaçını sizinle paylaşmak istedik,
- En eski, en önemli, kriptografi içermeyen bir MITM saldırısı; 2003 yılında Belkin kablosuz ağ yönlendiricisi tarafından gerçekleştirildi. Periyodik olarak, üzerinden yönlendirilen bir HTTP bağlantısını yüklenirken: trafiği hedefe iletmekte başarısız olup, bunun yerine kendisi sunucuymuş gibi yanıt dönmüştü. Gönderdiği cevap, kullanıcının istediği web sayfası yerine, bir başka Belkin ürününün reklamıydı. Teknik olarak bilgili olan kullanıcıların itirazlarından sonra, bu ‘özellik’ yönlendiricinin üretici yazılımının sonraki sürümlerinden kaldırıldı.
- 2011’de Hollandalı sertifika otoritesi DigiNotar’ın güvenlik ihlali, sertifikaların sahte olarak verilmesiyle sonuçlandı. Daha sonra, sahte sertifikalar MITM saldırıları gerçekleştirmek için kullanıldı.
- 2013 yılında, Nokia’nın tarayıcısı Xpress’in, Nokia’nın proxy sunucularındaki HTTPS trafiğinin şifresini çözdüğü ve şirkete müşterilerinin şifreli tarayıcı trafiğine açık metin erişimi sağladığı ortaya çıktı.
- 2017 yılında Equifax, MITM açıkları konusundaki endişelerini takiben mobil uygulamalarını geri çekti.
- Diğer önemli gerçek hayat uygulamaları aşağıdakileri içerir:
- DSniff – SSL ve SSH’a karşı MITM saldırılarının ilk açık uygulaması
- Fiddler2 HTTP(S) tanı aracı
- NSA’nın Google’ın kimliğine bürünmesi
- Superfish kötü amaçlı yazılımı
Man in the Middle Attack (Ortadaki Adam Saldırısı) İle İşlenebilen Suçlar
Bu bölümde man in the middle attack ile işlenebilen ve karışılabilecek suçlara kısaca değineceğiz.
- Bilişim sistemine girme(TCK 243)
- Sistemi engelleme, bozma, verileri yok etme veya değiştirme (TCK 244)
- Haberleşmenin gizliliğini ihlal (TCK 132)
- Özel hayatın gizliliğini ihlal (TCK 134)
- Kişisel verilerin kaydedilmesi (TCK 135)
- Verileri hukuka aykırı olarak verme veya ele geçirme (TCK 136)
Man In The Middle Attack Nasıl Gerçekleştirilir?
Gerçek zamanlı konuşmaları ve veri aktarımını açığa çıkaran ortadaki adam saldırıları bir tür oturum kaçırmadır ve Sidejacking, Evil Twin, Sniffing gibi formlara bürünür. Sniffing’de saldırgan, verilere müdahale etmek için bir yazılım kullanır. Saldırganların bilgisayarlara enjekte ettiği kötü amaçlı yazılım kendisini otomatik olarak tarayıcıya yükleyebilir. Sidejacking oturum açma bilgilerini çalmaya ve bir kullanıcı oturumunu ele geçirmeye odaklanır. Evil Twin’de ise saldırgan meşru bir Wi-Fi ağını çoğaltarak gerçek ağda oturum açtığına inanan kullanıcıların verilerini ele geçirir.
Tipik olarak, bu saldırılar, veri yakalama ve şifre çözme olarak bilinen iki aşamalı bir süreç aracılığıyla gerçekleştirilir. Aşağıdaki adımlar, ortak bir veri yakalama tekniğinde yer alır:
Saldırgan, bir kullanıcının (HTTP) tabanlı bir web sitesine erişmesi veya güvenli olmayan bir genel erişim noktası kullanması gibi güvenli olmayan ağ trafiğini ölçmek için bir paket dinleyicisi yükler. Kullanıcı güvenli olmayan web sitesine giriş yaptığında, saldırgan kullanıcının bilgilerini alır ve onları sahte bir web sitesine yönlendirir. Sahte web sitesi orijinal web sitesini taklit eder ve saldırganın orijinal web sitesindeki tüm kullanıcı kaynaklarına erişmek için kullanabileceği tüm ilgili kullanıcı verilerini toplar.
Şifre çözme aşaması ise, ele geçirilen verilerin şifrelenmemiş olduğu yerdir. Bu önemli adım, saldırganın en sonunda verileri deşifre etmesini ve kendi avantajları için kullanmasını sağlar; örneğin, kimlik hırsızlığı yapabilir veya iş operasyonlarında aksamalara neden olabilirler.
MITM Saldırılarına Örnekler
Bu bölümde popüler olan gerçek hayattan bazı saldırı örneklerini bulabilirsiniz,
Bankacılık Truva Atları
Bankacılık Truva Atları, çevrimiçi bankacılık oturumları sırasında kullanıcı kimlik bilgilerine müdahale edebilen bir tür kötü amaçlı yazılımdır. Kullanıcı oturum açtıktan sonra, Trojan, kullanıcıyı gerçek web sitesiyle aynı görünen sahte bir web sitesine yönlendirir. Kullanıcı daha sonra bilmeden oturum açma kimlik bilgilerini bilgisayar korsanına verir ve bilgisayar korsanı bu bilgileri banka hesaplarına erişmek için kullanabilir.
Genel Wi-Fi
Kullanıcılar halka açık bir Wi-Fi ağına bağlandıklarında genellikle bağlantılarının güvenli olduğunu varsayar. Ancak bilgisayar korsanları ağdan geçen trafiği engelleyebilir ve kullanıcı adları, parolalar ve kredi kartı numaraları gibi hassas bilgileri çalabilir.
HTTPS Stripping
HTTPS, web trafiğini şifreleyerek bilgisayar korsanlarının verileri ele geçirmesini ve okumasını zorlaştıran bir protokoldür. Ancak bilgisayar korsanları, bir web sitesinin güvenlik ayarlarını HTTP’ye düşürmek için HTTPS stripping adı verilen bir teknik kullanabilir. Bu, bilgisayar korsanının web sitesinden geçen trafiği engellemesine ve değiştirmesine olanak tanır.
DNS Sahtekarlığı
Bilgisayar korsanları, kullanıcıları sahte web sitelerine yönlendirmek için DNS sahtekarlığını kullanabilir. Örneğin, bir bilgisayar korsanı hedeflediği kişinin cihazının DNS ayarlarını değiştirerek onu sahte bir bankacılık web sitesine yönlendirebilir. Hedeflenen kişi bilmeden oturum açma kimlik bilgilerini bilgisayar korsanına verebilir ve bilgisayar korsanı bu bilgileri hedeflenen kişinin banka hesabına erişmek için kullanabilir.
MITM Saldırısını Algılama Ve Önleme Yöntemler
Ortadaki Adam Saldırıları Nasıl Tespit Edilir?
Bir MitM saldırısında, dolandırıcı veya bilgisayar korsanı, değiş tokuş edilen bilgileri değiştirebilir veya çalabilir. Bu nedenle, işletmelerin MitM saldırılarını tespit etmesi ve önlemesi çok önemlidir. Bir MitM saldırısını tespit etmenin bir yolu şifreleme kullanmaktır. Verilerin şifrelenmesi, kötü niyetli bir üçüncü şahıs tarafından ele geçirilmemesini veya değiştirilememesini sağlar. İşletmeler olası MitM saldırıları için ağ trafiğindeki herhangi bir ani değişiklik araştırılmalıdır.Plan, bir siber saldırı tespit edildiğinde, ilgili makamlara bildirimde bulunmak, etkilenen sistemi izole etmek ve sistemi güvenli bir duruma geri yüklemek gibi atılacak adımları içermelidir.
Ortadaki Adam Saldırıları Nasıl Önlenir?
Azaltma, MiTM saldırılarına karşı en iyi savunmadır. Aşağıdakiler, bu saldırıların önlenebileceği birkaç yolu vurgulamaktadır:
- Güvenli bağlantılar. Bu, MiTM saldırılarına karşı ilk savunma hattıdır. Kullanıcılar, yalnızca “HTTP” yerine URL çubuğunda “HTTPS” gösteren web sitelerini ziyaret etmelidir
- Kimlik avı e-postalarından kaçının. Siber suçlular, kullanıcıları kandırmak için kasıtlı olarak kimlik avı e-postaları oluşturur.
- Sanal özel ağ şifrelemesi. Bir VPN , internet bağlantılarını ve şifreler ve kredi kartı bilgileri gibi çevrimiçi veri aktarımlarını şifreler ve güvenli olmayan halka açık Wi-Fi ağlarına ve erişim noktalarına bağlanırken kullanılmalıdır.
- SSL/TLS veya IPSec gibi şifreleme protokollerini kullanarak verileri şifreleyin. Bu, gönderilen tüm verilerin güvenli olmasını ve bir bilgisayar korsanı tarafından erişilememesini sağlayacaktır.
- Saldırıların çoğu kötü amaçlı yazılımlara dayandığından virüsten koruma yazılımı yüklemeliyiz. Şüpheli etkinliği algılamak ve kötü amaçlı trafiği engellemek için uygulama güvenlik duvarlarını kullanın.
- Saldırıları önlemek için, çift güvenlikli iletişim düşünülmeli, mümkün olan her yerde çok faktörlü kimlik doğrulama etkinleştirilmelidir.
- Herhangi bir şüpheli etkinlik için ağ trafiğini izleyin. IP adresi filtreleme, kötü amaçlı IP adreslerini engellemek için kullanılabilir.
- Uzak sistemlere erişmek için SSH ve SFTP gibi güvenli protokolleri kullanın. İşletmeler, bu en iyi uygulamaları izleyerek bir MITM saldırısının kurbanı olma riskini büyük ölçüde azaltabilir.
Man In The Middle Saldırı Türleri
Bu bölümde MITM saldırılarının türlerinden ve kısaca tekniklerinden bahsedeceğiz. En çok bilinen ARP ve DNS poisining üzerinde duracağız.
E-mail Hijacking
Siber suçlular, bankaların e-posta mesajlarını taklit ederek kurbanın oturum açma ve banka kartı bilgilerini elde etmeye çalışır. Erişim sağlandıktan sonra kurum ile müşterileri arasındaki işlemleri izleyebilirler. Saldırganlar daha sonra bankanın e-posta adresini taklit edebilir ve müşterilere kendi talimatlarını gönderebilir.
Wi-Fi Dinleme (Wi-Fi Eavesdropping)
Saldırganlar, mevcut bir Wi-Fi bağlantısındaki güvenlik açığından yararlanmak yerine kendi ağlarını kurabilir. Böylece bir kullanıcı, dolandırıcının Wi-Fi ağına bağlandığında saldırgan kullanıcının çevrimiçi etkinliğini izleyebilir, oturum açma ve banka kartı gibi bilgilerini ele geçirebilir.
SSL Hijacking
SSL, tarayıcınız ve web sunucusu arasında şifreli bağlantı olmasını sağlayan bir güvenlik protokolüdür, Güvenli Yuva Katmanı anlamına gelir. SSL stripping, bir bilgisayar korsanının şifrelenmiş bir bağlantıyı HTTPS’den HTTP’ye düşürmeye çalıştığı bir tür ortadaki adam saldırısıdır. Bilgisayar korsanı daha sonra iki bilgisayar arasında gönderilen verileri görüntüleyebilir ve değiştirebilir.
Sniffing
Sniffing, bir bilgisayar korsanının ağ trafiğini yakalayıp analiz ettiği bir tür ortadaki adam saldırısıdır. Bilgisayar daha sonra iki bilgisayar arasında gönderilen verileri görüntüleyebilir ve değiştirebilir.
Smurf Attack
Smurf attack, bir bilgisayar korsanının bir hedefi çok sayıda paketle doldurmak için bir paketin kaynak IP adresini taklit ettiği bir ortadaki adam saldırısı türüdür. Bilgisayar korsanı daha sonra iki bilgisayar arasında gönderilen verileri görüntüleyebilir ve değiştirebilir.
Gizli Dinleme
Dinleme, bir bilgisayar korsanının iki bilgisayar arasındaki etkin bir iletişim oturumunu dinlediği bir tür ortadaki adam saldırısıdır. Bilgisayar korsanı daha sonra iki bilgisayar arasında gönderilen verileri görüntüleyebilir ve değiştirebilir.
Man-in-the-Browser
Tarayıcıdaki adam (MitB) saldırısı olarak adlandırılan bu saldırılar; bir tarayıcı ve bir web sunucusu arasında gönderilen verileri değiştirmek için Truva atlarının kullanıldığı siber tehditlerdir. Kimlik avı saldırılarının aksine, kullanıcının kötü amaçlı bir web sitesini ziyaret etmesi gerekmez. Bunun yerine, kullanıcı meşru bir web sitesini ziyaret eder, ancak gerçekte gördükleri saldırgan tarafından kontrol edilir. Tarayıcıdaki adam saldırıları ile bir web sitesinin görünümü değiştirilebilir, kullanıcı tarafından gönderilen bilgiler değiştirilebilir, oturum gerçek zamanlı olarak ele geçirilebilir.
Tarayıcı Çerezlerini Çalmak
Tarayıcı tanımlama bilgisi, bir web sitesinin bilgisayarınızda sakladığı küçük bir veri parçasıdır. Örneğin, çevrimiçi bir satıcı, girdiğiniz kişisel bilgileri ve seçtiğiniz alışveriş sepeti öğelerini bir tanımlama bilgisinde saklayabilir, böylece siteyi tekrar ziyaret ettiğinizde bu bilgileri yeniden girmeniz gerekmez. Siber suçlular bu tarayıcı çerezlerini ele geçirerek, parolalarınız ve adresiniz gibi hassas bilgilerinize erişebilir.
ARP Poisoning:
Açılımı Adres Çözümleme Protokolü (Address Resolution Protocol) olan ARP, bir cihaz bir Yerel Alan Ağı veya Ethernet üzerinde başka bir cihazla iletişim kurmak istediğinde kullanılan bir protokoldür. ARP, İnternet Protokolü (IP) adreslerini bir Medya Erişim Kontrolü (Media Access Control – MAC) adresine çevirir.
ARP zehirlenmesi ya da ARP spoofing siber suçluların, MAC adresini ağdaki meşru bir cihazın veya sunucunun IP adresiyle ilişkilendirmek amacıyla, hedef LAN’a sahte ARP mesajları gönderdiği bir saldırı türüdür. Bir saldırganın bir ağdaki veri çerçevelerini ele geçirmesine, trafiği yönlendirmesine veya tüm trafiği durdurmasına izin verebilir. Saldırganların MAC adresleri ile IP adresleri arasındaki ilişkiyi manipüle etmesiyle ortaya çıkan ARP spoofing saldırıları, yalnızca verilerinizin çalınmasına değil, oturum ele geçirmeye ve ağ çökmelerine neden olabilir. Dağıtılmış hizmet reddi (DDoS) saldırılarına da yol açabilirler.
ARP Poisoning Uygulaması Yapalım:
- Öncelikle Gateway’ımızı öğrenelim.
netdiscover -r 192.198.1.0/24komutu ile kurban cihazımızın IP adresini bulalım.- Kurban cihazda ARP tablomuzu görüntüleyelim ve gateway’in MAC adresine bakalım.
- Bir de saldırgan cihazımızın MAC adresini öğrenelim.
- Kurban cihazda örnek bir ping atalım. Pingimizin sıkıntısız olarak google.com’a ulaşabildiğini görüyoruz.
- Ettercap -G komutuyla ettercap aracımızı açalım.
- Açılan araçta eth0 ve sniffing at startup seçip accept’leriz.
- scan for hosts’u seçeriz.
- Sonra hosts list’i açarız.
- Çıkan listede ilk olarak kendi gatewayimizi seçelim
- Sonra ikinci olarak kurban cihazımızın IP adresini seçelim.
- Daha sonra MITM menüyü seçer ve oradan ARP poisoningi seçeriz.
- Kurban cihazda ARP tablomuzu tekrar görüntüleyelim değişime bakalım.
- Tekrar ping atmayı deneyip kontrol edelim.
- ARP poisoning i gerçekleştirmiş bulunmaktayız. Kurban cihazımız bundan habersiz gelip terminalde ftp coslat.com yazıp kullanıcı adı ve parola girmiş olsun.
- Saldırgan tarafında neler oluyor ona bakalım.
Görüldüğü gibi saldırgan cihaz arp poisoningi gerçekleştirmiş ve kurban cihazın girdiği kullanıcı adı ve parolayı görebiliyor.
- Ya da kurban cihazımız bir sayfaya gitsin ve log in kısmına user name ve parola girsin.
- Saldırgan tarafında neler yazıyor kontrol edelim.
Görüldüğü gibi girdiğimiz kullanıcı adı da şifre de görünmekte.
- Bu sefer de tüm ağ trafiğini takip edelim. Bunun için Wireshark yazıp gelen pencerede eth0’ı seçelim.
- Bundan sonra kurbanın tüm hareketlerini izleyebiliriz. Mesela tekrar bir ftp coslat.com yaptığımızda kurban tarafında sol üste ftp yazarsak girişlerimizi görebiliriz.
ARP Poisoning nasıl önlenir? Korunma yöntemleri nelerdir?
- Veri Kodlama ve Kimlik Doğrulama: Herhangi bir iletide veri gönderenin kimliğini doğrulamak, kötü niyetli bir saldırıdan kaçınmaya yardımcı olur.
- Şifreleme: Verilerin gizliliğini ve bütünlüğünü sağlamak için tüm ağ trafiği uçtan uca şifrelenmelidir. TLS/SSL ve SSH gibi kriptografik ağ protokollerini kullanarak aktarım halindeki verilerin şifrelenmesi önerilir.
- ARP Statiği: ARP, her IP adresi için statik girişlerin geliştirilmesine izin verir. Statik bir ARP girişi kullanarak herhangi birinin o adres için ARP yanıtlarını dinlemesini engelleyebilirsiniz.
- VPN: VPN’ler ARP spoofing saldırılarından korumanın en güvenli yollarından biridir çünkü VPN’ler, veri aktarımı için yalnızca şifreli bir tünel kullanmakla kalmaz, aynı zamanda içinden geçen verileri de şifreler.
- Anti-ARP Yazılımı: Davetsiz misafirleri tanımlamak ve durdurmak için Anti-ARP yazılımları etkili olabilmektedir. Bu tip yazılımlar gönderilene kadar verileri kontrol edip doğrulayarak ve yanı sıra sahte çıkışlardan gelen verileri engelleyerek çalışırlar.
DNS Poisoning nedir?
DNS spoofing, diğer adıyla DNS önbellek zehirlenmesi, Alan Adı Sistemi (Domain Name System) verisini bozarak, DNS çözümleme önbelleğine bozuk verinin yerleştirildiği bir bilgisayar güvenliği saldırısıdır.
Bilindiği gibi DNS bir alan adını, belirli IP adresine çevirmek için kullanılır. DNS önbelleği diğer alan adlarına yapılan ziyaretlerin tüm kayıtlarını içeren geçici bir veri tabanıdır ve her bilgisayarın en son DNS isteklerini depolayan bir DNS önbelleği bulunur. En son ziyaret ettiğimiz sunucunun IP adresi TTL süresi (Time To Live) sona erene kadar burada saklanır, amaç sorgulara çok daha hızlı yanıt verilmesidir. DNS sunucularındaki zayıflıklardan yararlanan DNS önbellek zehirlenmesi saldırıları, bir alan adının orijinalinden farklı bir IP adresine yönlendirilmesine olanak tanıyan bir siber tehdit türüdür. Çevrimiçi trafiği sahte bir web sitesine yönlendiren bu saldırı biçiminde saldırgan DNS kayıtlarını değiştirerek bunu başarır. DNS önbelleğine erişim elde eden saldırganlar gerçek IP adresini sahte bir web sitesinin IP adresiyle değiştirerek kullanıcıların gerçek web sitesi yerine dolandırıcılık için özel hazırlanmış sahte web sitesine ulaşmasını sağlar.
DNS önbellek zehirlenmesi saldırılarının amaçları arasında virüslü dosya indirmeleri için kullanıcıları kandırmak, ortadaki adam saldırıları (MITM) ile trafiği izlemek, kimlik avı saldırıları ile banka hesap bilgileri gibi hassas verileri toplamak sayılabilir.
Son yıllarda meydana gelen diğer önemli DNS zehirlenmesi saldırıları arasında AWS ve Malaysia Airlines’a yapılan saldırıları sayabiliriz:
- 2018’de Amazon Web Services’e (AWS) yapılan bir DNS spoofing saldırısı, 17 milyon dolar değerinde Ethereum çalınmasına yol açmıştır. Hırsızlar, MyEtherWallet hesaplarına giriş yapmaya çalışanlardan gelen trafiği, giriş bilgilerini ele geçirmek için sahte bir web sitesine yönlendirmiş ve bu bilgileri, kullanıcıların hesaplarına erişmek ve paralarını çalmak için kullanmıştır.
- 2015 yılında, Lizard Squad olarak bilinen bir korsan grubu, Malaysia Airlines’a DNS zehirlenmesi saldırısı düzenlemiştir. Sitenin ziyaretçilerini oturum açmaya teşvik eden sahte bir web sitesine yönlendiren saldırı, iki uçuşun kaybedildiği zorlu bir yılı geride bırakan havayolu şirketinde ciddi kayba yol açmıştır.
DNS Poisoning korunma yöntemleri
DNSSEC’i tanıtmak, DNS zehirlenmesi saldırılarına karşı korunmak için alabileceğiniz en değerli önlemlerden biridir. DNSSEC, mevcut internet protokollerinde standart olmayan DNS verilerini doğrulamayı mümkün kılmak için ortak anahtar şifrelemesine güvenir. Bir diğer önemli adım.
Sonuç
Sonuç olarak siber güvenlik saldırılarının en yaygın, eski ve önemli olanlarından birini anlatmış bulunmaktayız. Man in the middle attack hakkında bilgi sahibi olmak, kişisel verilerinizin güvenliğini artırmak için oldukça önemlidir. Umarım keyifli bir okuma olmuştur. Bir sonraki makalelerde görüşmek üzere.
