Mobile Device Security. Fırat Narin

Transkript

1 Mobile Device Security Fırat Narin

2 Hayatımızda Mobile Cihazların Önemi Akıllı mobil cihaz satışlarının PC satışlarını 2013 yılından itibaren geçtiği bir dünyada yaşıyoruz.mobil cihazlar artık hayatımızın her anına girdi. Ödemelerden, işlerimize, oyunlardan, sosyal hayatımıza Neredeyse her şeyi mobil cihazlar üzerinden yapabilmekteyiz. Daha önce hiç bu kadar bağlantıda olmamıştık.daha önce hiç bu kadar fikir,duygu ve düşüncelerimizi dünya genelindeki insanlarla paylaşma fırsatımız olmamıştı hem de bu kadar kolay ve hızlı şekilde.tüm bunlar akıllı mobil cihazlar sayesinde gerçekleşiyor. Mobil cihazlara baktığımız zaman onlar artık sadece bir telefon yada tablet değil onlar bizim rehberlerimiz,yardımcılarımız,danışmanlarımız hatta bir çok insanın hayatında en fazla vakit geçirdiği arkadaşı diyebiliriz. Sonuç böyle oluncada mobil cihazlarda olası saldırı hedefleri haline geliyor.

3 Saldırılar Saldırılar mobil cihazların açıklarından yararlanarak yapılmaktadır. Saldırılar küresel mobil iletişim standartları olan SMS, MMS, Wi-Fi ağları, Bluetooth ve GSM yollarıyla yapılabildiği gibi, akıllı telefonlar üzerinde kurulu İnternet tarayıcıları ve işletim sistemi üzerindeki açıkları da kullanmaktadır. Aynı zamanda, ortalama bir kullanıcının sahip olduğu bilgi seviyesini sömürerek saldırı düzenleyen kötü amaçlı yazılımlar da bulunmaktadır. Saldırganlar mobil cihazlar üzerindeki saldırılarında üç ana başlığı hedeflerler. Bunlar; Veriler: Mobil cihazlar, içerilerindeki hassas olabilecek kişisel ve kurumsal verileri depolamaktadırlar. Bu veriler arasında kişinin bir sisteme girebilmesi için sahip olduğu hesap bilgileri, kredi kartı numaraları, gelen ve giden arama/mesaj bilgileri gibi cihaz üzerinde saklanan verilerdir. Kimlik bilgileri: Mobil cihazlar genellikle kişiye özel olarak kullanılan cihazlardır. Saldırganlar, cihazı kullanmakta olan kişinin kim olduğunu, cihaz üzerindeki bilgilerden elde edip gelecekteki saldırılarında elde ettiği kullanıcı kimliğini kullanabilir. Kullanılabilirlik: Saldırgan cihaz üzerinde yeni kısıtlar koyarak, cihazın özelliklerinden kullanıcısını yoksun bırakabilir.

4 Saldırı Kanalları İletişim Ağı Kanallı Saldırılar GSM Ağları GSM şebekelerine yapılan saldırılar neticesinde bir cep telefonu kullanıcısının konuşmaları dinlenebiliyor, yerine geçilip adına SMS atılabiliyor ve mobil takibi yapılabiliyor.bunlar, intercept yani hava yoluyla telefon konuşmalarının veya SMS lerin arasına girme, ele geçirme ve dinlemedir. Elde edilen verilerin şifrelerinin çözülmesi de gerçek zamanlı ya da işlemler kaydedildikten sonra bir toplu işlemle yapılabilir. impersonation yani bir çalıntı mobil kimlikle çağrılar ve SMS ler gerçek kişinin yerine geçilerek onun adına yapılabildiği veya alınabildiği bir saldırı türüdür. tracking yani mobil abonelerin internet sızıntılı bilgilere göre küresel çapta ve geçici mobil abone kimliğinin (TMSI) telefon ile baz istasyonu arasındaki karşılıklı birebir haberleşmesinin tekrarıyla yerel çapta konumlarının takip edilmesidir..

5 Saldırı Kanalları İletişim Ağı Kanallı Saldırılar WI-FI Kablosuz Ağlar MAC Adreslerini Taklit etmek Kablosuz ağımız şifrelenmiş bile olsa MAC adresleri TCP/IP paketlerinin şifresiz bölümünde kalırlar.buda güvenlik tehtididir.saldırgan burada kendi MAC adresini değiştirip erişim noktasına bağlantı kurabilir.fakat aynı ağda aynı MAC adresine sahip 2 sistemin iletişim kurması mümkün olmadığından saldırgan kurban offline durumda iken ağa giriş yapabilir. Man-in-the-middle attack(ortadaki adam saldırısı) Bir network üzerinde kurban bilgisayar ile diğer ağ araçları (yönlendirici, switch, modem ya da server gibi) arasına girerek verileri yakalama ve şifrelenmemiş verileri görebilme ilkesine dayanan bir saldırı çeşididir. Wireless Sniffing (Kablosuz Ağların Dinlenmesi) Kablosuz olarak bağlantı kurduğunuz cihazlar aynı ağa bağlı olan farklı cihazlar üzerinden geçen datanın dinlenebilmesidir..

6 Saldırı Kanalları İletişim Ağı Kanallı Saldırılar Bluetooth BlueJacking (Spam)Bluetooth cihazlara e-kontak kartları gönderebiliyor. Eğer bu e-kart açılırsa kullanıcının adres defterine kaydoluyor. Artık kaydolan bu kontak kişi etkilenen cihaza mesajlar gönderebiliyor. Car Whisperer saldırganların Bluetooth özellikli araçlara ses gönderimi veya ses alımı yapabilmesini sağlıyor. Yani saldırganlar isterlerse sizin telefon görüşmelerinizi dinleyebilir hatta araya girebilirler. Bluebugging Bu saldırı türü saldırganların Bluetooth özellikli bir telefona erişerek konuşmaları dinleme, gelen çağrıları yönlendirme, çağrıları yanıtlama ve mesaj gönderebilme gibi tüm özelliklerini kullanıcının haberi olmadan kullanabilmelerini sağlıyor.

7 Saldırı Kanalları İletişim Ağı Kanallı Saldırılar NFC Data Tampering(Veri Değişikliği) Kötü niyetli bir kullanıcı, menzil dahilinde olursa, iki NFC cihazı arasında iletilen veriyi kurcalayabilir. Data Interception(Veri Alma) kötü amaçlı bir kullanıcının iki NFC aygıtı arasındaki verileri kesmesi durumunda oluşur. Veri kesildikten sonra, kötü niyetli kullanıcı veriyi pasif olarak kaydeder ve alıcının üzerine dokunmadan iletir. Bu veri kesme olayları, man-in-the-middle saldırıları olarak bilinir çünkü iki meşru cihaz arasında bir müdahale cihazı bulunmaktadır. Kötü niyetli kullanıcılar hassas verileri çalabildikleri için bu tür saldırılar korkutucu ancak NFC için kısa mesafe gereksinimleri nedeniyle adam-içiorta saldırıların gerçekleştirilmesi zordur. Şifreleme ve güvenli bir iletişim kanalı, veri kesme girişimleri azaltmaya yardımcı olabilir. Mobile Malware(Kötü Amaçlı Yazılım) NFC aygıtı başka bir NFC aygıtı için yeterince yakınlaşırsa, bir bağlantı kurulabilir ve cihaz sahibinin bilmediği kötü amaçlı yazılımları veya istenmeyen uygulamaları indirebilir. Bu zararlı yazılım, cihazınızı hâlâ menzil dahilindeyse, kredi kartı numaraları, banka numaraları, şifreler gibi hassas verileri cihazınızdan kopyalayıp web üzerinden saldırgana veya NFC kanalından geri gönderebilir.

8 Saldırı Kanalları İletişim Kanallı Saldırılar SMS SMS mesajının içeriğini cihazın anlamlandıramacağı şekilde düzenler ve cihazın beklenmedik davranışlar göstermesine sebep olur(cihazın yeniden başlatılması gibi). Bu saldırıyı kullanarak saldırgan cihazlar üzerinde DoS saldırısı gerçekleştirmiş olur. MMS & E-POSTA MMS ve e-posta yolu ile saldırılarda ise saldırgan, mesaja ek olarak bir link yada dosya yollar.bu data bir virüs içerir ve bu virüs mesajın ulaştığı cihazlara bulaşarak, saldırgan tarafından belirlenen işlevlerini gerçekleştirirler. Bulaşan bu virüsün, cihaz içerisinde depolanan kişi listesindeki diğer insanlara kendini yine bir MMS yada e-posta yoluyla yollayabilir ve böylelikle yayılabilir.

9 Saldırı Kanalları Yazılım Güvenlik Açıklarıyla Saldırılar Internet Tarayıcısı Saldırılara en açık olan uygulamalar mobil İnternet tarayıcılarıdır. Gelişen teknoloji ve mobil işleme gücünün artması ile birlikte, mobil tarayıcılar, masaüstü tarayıcılar gibi, eklentilere ve benzer çalışma prensiplerine sahip olmuşlardır. Bu nedenle masaüstü İnternet tarayıcıları üzerinden yapılan saldırılara açık hale gelmişlerdir. Bu saldırılar arasında man in the middle saldırıları, kimlik ve hesap bilgileri hırsızlıkları yer alır. İşletim Sistemi ve Uygulamalar İşletim sisteminin işleyişinin değiştirilmesi ile güvenlik korumalarının devre dışı bırakılması mümkündür. Bu saldırılar diğer saldırılara göre daha zor olmakla beraber yüklü olan donanım yazılımı ile oynayarak yapılmaktadır.akıllı mobil cihazlarda işletim sistemi dosyaları ROM belleklerinde, üzerilerinde değişiklik yapılamayacak şekilde tutulmaktadır. Bu nedenle zararlı yazılımlar bu dosyalar üzerinde oynama yapamazlar. Fakat yinede Android ve IOS gibi sistemlerde açıklar bulunmaktadır ve bunları önlemek için sürekli olarak güvenlik yamalarıyla birlikte yeni sürümleri çıkmaktadır.uygulamalarda ise işletim sisteminin belirli kısımlarına erişim yetkisi verilir ve bu yetkiler verildiği taktirde uygulama işletim sistemi içindeki verilere kişisel verilere erişim dair tüm kısımları okuyabilir ve kullanabilir.

10 Mobilde Güvenli Kalmak İçin Ne Yapmalıyız? Kablosuz iletişim sağlayan WIFI,Bluetooth,NFC,GPS gibi mobil cihaz üzerindeki özellikleri kullanmadığımız taktirde kapalı tutmalıyız. Dokun-öde NFC sistemlerini gerekmedikçe kullanmamalıyız. Ortak alanlarda yayın yapan Kablosuz ağlara gerekmedikçe bağlanmamalıyız. Kullanmış olduğunuz kablosuz ağlar listesini zaman zaman temizlemeliyiz. İşletim sistemlerini çıkan güncellemeleri takip edip sık sık güncellemeliyiz. İşletim sistemlerinin resmi dağıtım kanalları dışında çıkan sürümlerini cihazımıza kurmamalıyız. İşletim sistemi üzerindeki Ağ,Batarya,Hafıza kaynak kullanımlarını takip etmeliyiz. Mobil cihazımızı root yada Jailbreak yöntemlerini kullanarak zararlı yazılımlara altyapı sağlayacak şekilde kullanmamalıyız. Uygulamaların resmi dağıtım kanalları dışında çıkan sürümlerini cihazımıza kurmamalıyız.(apk ve ipa) Uygulama için çıkan güncellemeleri takip edip sık sık güncellemeliyiz. Hangi uygulamaların cihaz yöneticisi hakkı var? Hangi uygulama hangi hakları istiyor? Sorularına karşılık olarak uygulama yüklerken uygulamanın işletim sistemi üzerindeki hangi birimleri kullanıcağına dair alanı dikkatlica okumalı ve amacına uygun şekilde gerekli kısımlara erişim yetkisi isteğine emin olmalıyız.

11 Mobilde Güvenli Kalmak İçin Ne Yapmalıyız? Bilinmeyen kullanıcılardan gelen SMS-MMS ve E-Posta şeklinde gelen linklere ve dosyaları açmamalıyız. Bilinmeyen kaynaklardan dosya indirme ve yükleme kesinlikle yapılmamalıyız Mobil cihazımıza Ekran kilidi, PIN kodu veya farklı tipte şifre metodları ile şifrelendirmeliyiz. Şifreleri hiçbir türlü tarayıcı yada uygulamaya kaydetmemeliyiz. Mobil antivirus ve güvenlik duvarı kurmalıyız. Çalınma ve hırsızlığa karşı cihazları uzaktan silme ve cihazın yerini bulma servisleri aktif etmeliyiz. Mobil cihazınızın IMEI numaranızı bir yere kaydetmeliyiz. Cihazınızdaki önemli verileri düzenli olarak yedekleme yapmalıyız. Son olarak bun maddelere ek olarak bilinçli ve dikkatli bir kullanıcı olmalı,teknolojide yaşanan son gelişmeleri takip etmeli ve teknolojik cihazlarda her zaman bir tehdit olabileceğini unutmamalıyız.

12 Sorular

13 Teşekkürler

14 ÖNEMLİ Bu projeler lisansüstü öğrencilerinin hazırladığı çalışmalar olup tüm sorumluluk hazırlayan öğrencilere aittir. Öğrenciler hazırladığı projeye göre not almışlardır.