SSL Sniffing Nedir ve Nasıl Önlenir?

Nesnelerin İnterneti giderek daha güvenli hale geldiğinden, siber suçlular hassas verileri ele geçirmek ve çalmak için yeni yöntemler düşünmek zorunda kalıyorlar. Genellikle mevcut siber güvenlik araçlarından yararlanırlar ve kullanıcıları onlara güvenmeleri için kandırmaya çalışırlar. Bu nedenle, bu makale SSL Sniffing girişiminin ne olduğunu öğrenmenize yardımcı olacaktır. Ayrıca SSL bağlantınızı bundan nasıl koruyacağınızı da gösterecektir. Ama önce, TLS/SSL sonlandırma proxy’sinin ne olduğunu tanımlayalım.

---

İçindekiler

1. TLS/SSL Sonlandırma Proxy’si Nedir?
2. SSL Koklama Nedir?
3. SSL Koklama Nasıl Çalışır?
4. SSL Sniffing Nasıl Önlenir?
5. Nasıl SSL Koklamayı Önlemek için?

---

TLS/SSL Sonlandırma Proxy’si Nedir?

TLS/SSL sonlandırma proxy ‘si, özellikle bir kuruluş tarafından gelen TLS/SSL bağlantılarını kesmek ve işlemek, TLS/SSL’nin şifresini çözmek ve ardından şifrelenmemiş isteği Apache HTTP Sunucusu, Nginx veya HAProxy gibi yüksek güvenlikli sunucularından birine iletmek için kullanılan bir proxy sunucusudur.

TLS/SSL sonlandırma proxy’sine sahip olmanın amacı, kurumun ana sunucuları üzerindeki yükü azaltmaktır. Ancak bu proxy’yi uygulamadan önce kurum, ağının kullanıcıları için oturum verilerini şifrelemek zorunda kalmayacak kadar güvenli olduğundan emin olmalıdır.

Ne yazık ki, siber suçlular güvenli SSL bağlantılarını koklamak için TLS/SSL sonlandırma proxy’sinin yeteneklerini nasıl kullanacaklarını öğrendiler. Artık bu bağlantı içinde değiş tokuş edilen mesajlara kolayca müdahale edebilirler.

---

SSL Koklama Nedir?

SSL koklama, bir TLS/SSL sonlandırma proxy’sinin güvenli SSL bağlantısını ele geçiren bir MitM proxy’si gibi davrandığı kötü niyetli bir siber saldırıdır.

Neden MitM (ortadaki adam)? Çünkü bir proxy tanımı gereği ortadaki adam üçüncü bir taraftır. Proxy sunucuya bağlanır ve ardından istemci proxy’ye bağlanır.

---

SSL Koklama Nasıl Çalışır?

SSL sertifikalarının MitM saldırılarını önlediğini zaten biliyor olabilirsiniz. MitM nasıl olur da bir SSL bağlantısına müdahale edebilir ve onu koklayabilir?

SSL bağlantısını koklamak, MitM proxy’nin güvenilmeyen bir Sertifika Yetkilisi olarak hareket etmesini içerir. MitM proxy, SSL bağlantısının kurulması için gereken ana bilgisayar adına dinamik olarak SSL Sertifikaları oluşturur. Örneğin, tarayıcı https://www.mywebsite.com adresine bağlanmak isterse, MitM proxy www.mywebsite.com için bir SSL Sertifikası oluşturacak ve bunu bağımsız bir CA olarak imzalayacaktır.

Kötü niyetli MitM proxy, kasıtlı olarak ayrı bir CA gibi davranarak bu olasılıktan yararlanır ve güvenilir bir SSL bağlantısını ele geçirmeye çalışır. Böylece, tarayıcı web sunucusuna bağlanmaya çalıştığında, MitM proxy kendi sertifikasını yayınlayarak ve imzalayarak müdahale eder. Bu nedenle, MitM proxy sunucunun orijinal SSL Sertifikasını alırken, tarayıcı MitM proxy tarafından verilen sahte SSL sertifikasını alır.

Ancak, SSL Koklama girişiminin en önemli kısmı da burada başlıyor:

Tarayıcı sunucuya bağlandığını düşünür, ancak aslında MitM proxy’sine bağlanır. Hıçkırık burada ortaya çıkar: koklamanın gerçekleşmesi için tarayıcının bu proxy’yi gerçek, güvenilir bir CA olarak kabul etmesi gerekir.

Kullanıcı herhangi bir güvenlik uyarısını görmezden gelir ve sahte SSL Sertifikasını ve MitM proxy CA’sını güvenilir olarak kabul ederse, kullanıcı MitM proxy’ye başarıyla bağlanacak, SSL Koklama işlemini başlatacak ve SSL bağlantısı güvensiz hale gelecektir.

---

SSL Sniffing Nasıl Önlenir?

Kullanıcının herhangi bir kötü amaçlı yazılım yüklemediğini varsayalım. Tarayıcıları sahte SSL Sertifikasını aldığında, tarayıcı kullanıcıları SSL Sertifikasını veren kuruluşa güvenmemeleri konusunda uyaran bir güvenlik mesajı gösterecek ve sahte MitM proxy sertifikasını güvenilir sertifikalar listesine dahil edip etmeyeceğini soracaktır. Kullanıcı yukarıdaki talebi reddederek SSL Sniffing girişimini durdurur ve güvenli SSL bağlantısını başarıyla korur.

---

SSL Koklama Nasıl Önlenir?

HTTPS koklamasını önlemek ve SSL/TLS korumalı iletişimlerinizin gizliliğini ve bütünlüğünü sağlamak için bu yönergeleri izleyin:

1. En son TLS protokol sürümlerini kullanın. Hem sunucu hem de istemci tarafında en son TLS protokollerini (örn. TLS 1.3) ve en yeni, bakımlı TLS kütüphanelerini veya çerçevelerini kullandığınızdan emin olun. Bu güncellemeler genellikle güvenlik geliştirmeleri ve güvenlik açığı düzeltmeleri içerir. Zamanla, eski SSL/TLS sürümleri bir SSL dinleyicisinin istismar edebileceği bir arka kapı haline gelebilir. Saldırganlara manevra alanı bırakmayın ve SSL dinleme saldırılarını eski protokoller üzerinden yönlendirmeyin.
2. Sıkı Aktarım Güvenliği (HSTS) uygulayın. HSTS, web tarayıcılarına bir web sitesine her zaman HTTPS üzerinden bağlanma talimatı veren ve herhangi bir sürüm düşürme saldırısını önleyen bir güvenlik mekanizmasıdır. SSL sıyırma saldırılarına karşı korunmaya yardımcı olur. HSTS’yi etkinleştirerek, bir kullanıcı “https://” yerine “http://” yazsa bile tarayıcının otomatik olarak güvenli bir bağlantıya geçmesini sağlarsınız.
3. Güvenilir Bir Sertifika Yetkilisinden Sertifika Alın. SSL/TLS sertifikalarını saygın CA’lardan alın. Bu üçüncü taraf kuruluşlar sunucunun kimliğini doğrular ve güvenilir sertifikalar yayınlayarak saldırganların trafiği kesmek için sahte veya kendinden imzalı sertifikalar kullanmasını önler. Süresi dolmuş bir sertifika, bilgisayar korsanlarının keşfetmeyi sevdiği bir başka önemli boşluk olduğundan, sertifika geçerliliğini ve son kullanma tarihlerini düzenli olarak kontrol edin.
4. Sertifika Sabitlemeyi Uygulayın. Sertifika sabitleme, belirli bir etki alanı için hangi sertifikalara veya ortak anahtarlara güvenileceğini belirlemenize olanak tanır. Bu, SSL/TLS el sıkışması sırasında yalnızca beklenen sertifikaların veya anahtarların kabul edilmesini sağlar.
   
   Sertifika sabitleme, istemcinin sunucunun kimliğini yalnızca belirtilen sertifika veya anahtarı kullanarak doğrulamasını sağlayarak bu tür saldırıları önler. Bir saldırgan SSL trafiğini koklamak için farklı bir sertifika kullanmaya çalışırsa, istemci bunu reddederek trafiğin ele geçirilmesini ve şifresinin çözülmesini önler.
5. Cihazınızı Güvenilir Bir Anti-Virüs ile Koruyun. Ne yazık ki, saldırganlar kullanıcının bilgisayarını ele geçirip bir virüs yüklediyse, tarayıcı MitM proxy’sine geçerli bir CA olarak güvenebilir. Bu işlem genellikle arka planda gerçekleşir ve kullanıcı tarafından görülmez. Bu nedenle, bilgisayarınızı güvenilir bir anti-virüs yazılımı ile güvence altına almak çok önemlidir.
   
   Bilgisayarınızı koruyan bir anti-virüs yazılımınız varsa, web tarayıcılarınız güvenilmeyen Sertifika Yetkilisi ve sertifikası hakkında sizi uyaracaktır. Lütfen dikkatli olun ve kötü niyetli MitM proxy’lerine güvenmeyin. Şüphe durumunda her zaman SSL sertifikasını ve Sertifika Yetkilisini kontrol edin. Bir SSL Sniffing saldırısı yalnızca kullanıcıların saflığı nedeniyle mümkündür. Örneğin, “Sonunda o web sitesini ziyaret etmek için Tamam’a tıklayacağım”.

---

Son Düşünceler

Bir SSL Sertifikasının amacının sizinle web sunucusu arasındaki bağlantıyı güvence altına almak olduğunu unutmayın. Bu nedenle herhangi bir üçüncü taraf müdahalesine izin vermemelisiniz. SSL Sniffing yalnızca uyarıları göz ardı ederseniz veya bilgisayarınızı virüslere ve kötü amaçlı yazılımlara açık hale getirirseniz gerçekleşebilir. Bu durumlardan kaçındığınızdan emin olun.