|
|
HTTPS Protokolü ve Güvenliği
Merhaba arkadaşlar. Konumuz güvenli olduğunu düşünerek kullandığımız “https” protokolünün güvenliği.
Günümüzde genelde bankalar da çok sık gördüğümüz https gerçektende denildiği gibi o kadar güvenlimi ? Her an kredi kartı dolandırıcılığı ile karşı karşıya gelebileceğimiz bir ortam da en güvenli protokollerden biri olarak gösterilen “https” nin güvenliğine değineceğiz.
Katmanlı Güvenlik
Güvenlik bir zincir gibi katmanlardan yani halkalardan oluşuyor ve herhangi bir sistemin güvenliği de kendisinde oluşturulan halkaların en basiti kadardır. Güvenliğin en çok ihtiyaç duyulduğu noktalardan biri de iletişimdir ve temel TCP/IP ile oluşur.
TCP/IP nin amacı güvenlik değildi ve günümüzde eksiklikleri yeni protokollerle kapatılmaya çalışılmıştır ama temelde ki en ufak bir problem tüm sistemi etkiliyebiliyordur.
Örneğin HTTPS ile çalışan bir uygulamanın güvenli olup olmadığını bilmek için sistemin hangi halkalardan oluştuğunu iyi bilmemiz gerekir ve bu halkalardaki güvenlik zafiyetlerini ölçeklememiz icab eder.
HTTPS nin gerçekleşebilmesi için ek olarak 4 protokol daha devreye giriyor. HTTPS ne kadar güvenli olsa da diğer protokollerdeki açıklar HTTPS’yi de etkiler. Öyleyse HTTPS güvenli değil mi?
HTTPS Güvensiz Mi?
Yukarıda da bahsetmiştik genelde bankaların kullandığını ama bankalar haricinde online alışveriş siteleri, bazı kurumlar da yüksek güvenlik için bir çok yola başvurur ve güvenlik denilince hemen 128 bitlik şifreleme akla gelir. 128 bitlik şifre günümüzde geçerli bir güvenlik düzeyi kabul edilse de sadece şifreleme ile işler bitmiyor, şifrelerle kullanılan altyapıların da güvenli olması şarttır sıkı bir güvenlik için.
SSL’nin en büyük tehlikede aldığı saldırı tipi MITM (Man İn The Middle)’dir. MITM ataklarında saldırgan kendisini istemci (Kurban) ile sunucu arasına yerleştirir ve tüm trafiği dinler, değiştirebilir.
HTTPS de MTIM il araya giren saldırgan sahte sertifika üretir ama CA kurumu tarafından imzalanmadığı için Web browser hata verir.
Dikkatsiz davranarak her gördüğü linke, popup pencerelerine ne olduğunu bilmeden bilinçsizce yes’e basan kullancılar için risk bir nevi azalsa da hala devam eder ama bilinçli kullanıcılar için bu tip uyarılar dikkate alınır.
Peki bilinçli kullanıcı olsa bile gözünden kaçan HTTPS’yi güvensiz bırakabilecek başka açık var mıdır ?
Evet var, ona da diğer başlıkta değineceğiz.
SSL’in HTTP ile İmtihanı
SSL(HTTPS) bahsettiğimiz gibi güvenli bağlantılar da kullanıyoruz, kullanıyoruz ama çoğu sistemde HTTP de aynı anda kullanılıyor. Yani siteye önce http Protokolü ile giriliyor ama hassas ve güvenlik gereken linklerde HTTPS bağlantısına geçiliyor. E bu durumda HTTPS nin güvenliği HTTP ye bağlı oluyor.
Madem HTTPS HTTP den daha güvenli o zaman neden sadece HTTPS kullanılmıyor ? sorusu akıllara gelebilir.
Kısa olarak anlatırsak SSL sunucu tarafında daha fazla kapasite gerektirir, yani ekstradan daha fazla alan gerektirdiği için güvenlikten ödün verip alandan ödün vermezler genelde. HTTP ile HTTPS arasındaki yüklerin farklılığını ise Wireshark gibi snifferla inceleyebiliriz.
Göz Yanılgısı İle HTTPS Nasıl Devre Dışı Bırakılabilir ?
Bunu bir pratik ile anlatacağız, SSL Strip uygulaması ile böyle bir göz yanılgısı mümkündür.
-Peki nedir bu SSLStrip ? Nasıl Çalışır ?
SSLStrip uygulaması Linux tabanlı sistemlerde çalışıyor ve saldırgan MITM tekniklerini kullanarak istemcinin trafiğini üzerine geçirmek zorundadır.
Şimdi saldırganın yaptığı işlemlere hep birlikte göz atacağız.
1.Adım: Adım: Saldırgan bahsettiğimiz gibi istemcinin trafiğini kendi üzerine geçirir. Üstüne geçirdikten sonra trafik üzerinde istediği oynamaları yapar. Saldırgana gelen paketleri hedefe iletmek için işletim sisteminin routing yapması gerekiyor. Linux tabanlı sistemlerde ise bu sysctl değeriyle oynanıp yapılıyor.
2. Adım: Saldırgan iptables güvenlik duvarını kullanarak istemciden gelip herhangi biryere giden tüm TPC/80 isteklerini lokalde sslstrip’in dinleyeceği 8000. Porta yönlendirmesi gerekmektedir.
3.Adım: Saldırgan sslstrip uygulamasını çalıştırır 8000. Portu dinlemeye başlar ve istemci sunucudan gelecek tüm istek ile cevapları “topla” isimli dosyaya loglar.
Evet sizlere kısaca bahsettik adımlardan bu adımlar sayesinde istemci farkında bile olmadan HTTPS kullanacağına HTTP yi kullanır ve tüm bilgileri kaptırır. En çok da halka açık kablosuz ağlarda, şirketlerde, TOR gibi ücretsiz Proxy hizmet kullanılan yerlerde yaşanabilir.
Nasıl Korunabilirim ?
Bu saldırı yöntemlerinden korunmak sunucuyu değil istemciyi ingilendiriyor. İstemci HTTPS olarak girmek istediği yerlere girerken isteklerin HTTPS olarak gittiğine çok dikkat etmeli, daha da önemlisi insan unutur ama bilgisayar unutmaz bu yüzden bu işi otomatik yapan bir program kullanmalıdır.
Alıntıdır - AL_KaVRaZ |
|
|
Hakkımda bildikleriniz, sadece benim bilmenizi istediklerimdir.
|
|
Giriş Yap
Kayıt ol
Online Üyeler
Aktif Konular
Arama
Üyeler
Forum Kuralları
Tahribat.Com Forumları
HTTPS Protokolü Ve Güvenliği
Kısayol
Alıntı yap
Özel Mesaj
