T.C. MİLLÎ EĞİTİM BAKANLIĞI MEGEP (MESLEKÎ EĞİTİM VE ÖĞRETİM SİSTEMİNİN GÜÇLENDİRİLMESİ PROJESİ) BİLİŞİM TEKNOLOJİLERİ AĞ GÜVENLİĞİ (YAZILIM) ANKARA, 2008
Milli Eğitim Bakanlığı tarafından geliştirilen modüller; Talim ve Terbiye Kurulu Başkanlığının 02.06.2006 tarih ve 269 sayılı Kararı ile onaylanan, Mesleki ve Teknik Eğitim Okul ve Kurumlarında kademeli olarak yaygınlaştırılan 42 alan ve 192 dala ait çerçeve öğretim programlarında amaçlanan mesleki yeterlikleri kazandırmaya yönelik geliştirilmiş öğretim materyalleridir (Ders Notlarıdır). Modüller, bireylere mesleki yeterlik kazandırmak ve bireysel öğrenmeye rehberlik etmek amacıyla öğrenme materyali olarak hazırlanmış, denenmek ve geliştirilmek üzere Mesleki ve Teknik Eğitim Okul ve Kurumlarında uygulanmaya başlanmıştır. Modüller teknolojik gelişmelere paralel olarak, amaçlanan yeterliği kazandırmak koşulu ile eğitim öğretim sırasında geliştirilebilir ve yapılması önerilen değişiklikler Bakanlıkta ilgili birime bildirilir. Örgün ve yaygın eğitim kurumları, işletmeler ve kendi kendine mesleki yeterlik kazanmak isteyen bireyler modüllere internet üzerinden ulaşılabilirler. Basılmış modüller, eğitim kurumlarında öğrencilere ücretsiz olarak dağıtılır. Modüller hiçbir şekilde ticari amaçla kullanılamaz ve ücret karşılığında satılamaz.
İÇİNDEKİLER AÇIKLAMALAR...ii GİRİŞ...1 ÖĞRENME FAALİYETİ-1...3 1. ANTİVİRÜS KURMA...3 1.1. Antivirüsler...3 1.1.1. Çalışma Prensipleri...3 1.1.2. Çeşitleri...4 1.2. Ağ (Network) Antivirüsleri...4 1.2.1. Ağ Antivirüslerinin Bileşenleri...5 1.2.2. Kurulumu...6 1.2.3. Ayarlar...9 UYGULAMA FAALİYETİ...15 ÖLÇME VE DEĞERLENDİRME...16 ÖĞRENME FAALİYETİ-2...18 2. GÜVENLİK DUVARI...18 2.1. Güvenlik Düzeyleri...18 2.2. Güvenlik Tedbirleri...19 2.2.1. Veri Şifreleme...19 2.2.2. IP Güvenliği (IPSec) (Internet Protocol Security, -IPv6)...21 2.2.3. SSL (Secure Socets Layer)...23 2.2.4. E-Mail (E-Posta) Güvenliği...23 2.2.5. PKI (Public Key Infrastructure) Şifreleme...24 2.3. Güvenlik Duvarı...24 2.3.1. Kurulum...25 2.3.2. Ayarlar...27 2.3.3. Güvenlik Duvarı Türleri...34 UYGULAMA FAALİYETİ...37 ÖLÇME VE DEĞERLENDİRME...38 ÖĞRENME FAALİYETİ-3...40 3. AĞ İZLEME VE KONTROL PROGRAMLARI...40 3.1. Ağ İletişim ve Yönetim Programı (NetOp School)...40 3.1.1. Kurulum...40 3.1.2. Kullanımı...44 3.2. İzleyici (Sniffer) Programları...49 3.2.1. TCPDump...49 3.2.2. DSniff...51 3.3. Ağ Kartı Paket Analiz Programı (Ethereal)...52 3.4. Saldırı Tespit Programı (Snort)...54 3.5. Ağ Güvenlik Durumu Kontrol Programı (GFI Languard)...54 3.6. Klasör Bütünlük Denetleyici Programı (Samhain)...55 UYGULAMA FAALİYETİ...56 ÖLÇME VE DEĞERLENDİRME...58 MODÜL DEĞERLENDİRME...60 CEVAP ANAHTARLARI...61 KAYNAKÇA...63 i
AÇIKLAMALAR AÇIKLAMALAR KOD 481BB0064 ALAN Bilişim Teknolojileri DAL/MESLEK Ağ İşletmenliği MODÜLÜN ADI Ağ Güvenliği (Yazılım) Ağ sisteminin yazılımsal güvenliğini oluşturmak ve güvenlik MODÜLÜN TANIMI tedbirlerini almak için gerekli temel bilgi ve becerilerin kazandırıldığı öğrenme materyalidir. SÜRE 40/32 ÖN KOŞUL Ağ Güvenliği (Donanım) modülünü almış olmak YETERLİK Yazılımsal olarak ağ güvenlik sistemini kurmak Genel Amaç Bu modül ile gerekli ortam sağlandığında yazılımsal olarak ağ güvenliğini sağlayabileceksiniz MODÜLÜN AMACI EĞİTİM ÖĞRETİM ORTAMLARI VE DONANIMLARI Amaçlar Antivirüs programını kurarak ayarlarını yapabileceksiniz. Güvenlik duvarı kurulumunu ve ayarlarını yapabileceksiniz. Ağ izleme ve kontrol programlarını kurarak, ağı izleyebilecek ve kontrol edebileceksiniz. Ortam Ağla birbirine bağlı bilgisayar laboratuarı. Donanım Ağ güvenlik yazılımları, grup kontrol yazılımları. ÖLÇME VE DEĞERLENDİRME Her faaliyet sonrasında o faaliyetle ilgili değerlendirme soruları ile kendi kendinizi değerlendireceksiniz. Modül sonunda uygulanacak ölçme araçları ile modül uygulamalarında kazandığınız bilgi ve beceriler ölçülerek değerlendirilecektir. ii
GİRİŞ GİRİŞ Sevgili Öğrenci, Bilgisayar ağlarının tüm dünyayı sardığı günümüzde ağ güvenliği büyük bir sorun olarak karşımıza çıkmaktadır. Tüm kurumların işlemlerini İnternet ve/veya İntranet gibi ağ ortamlarından gerçekleştirdiğini de göz önüne aldığımızda güvenlik sorunun ne kadar büyük olduğu daha iyi anlaşılabilir. Bu modülü bitirdiğinizde tüm ağınızı, yazılımsal olarak izleyebilecek, yönetebilecek ve saldırılara karşı koruyabileceksiniz. 1
2
ÖĞRENME FAALİYETİ-1 ÖĞRENME FAALİYETİ-1 AMAÇ Yeterli koşullar sağlandığında yazılımsal olarak ağ güvenliğini sağlayarak virüs, trojan ve worm gibi kötü amaçlı yazılımlara karşı gerekli önlemleri alabileceksiniz. ARAŞTIRMA Bağlı bulunduğunuz ağ ( network ) ortamında sizi bekleyen tehlikeler nelerdir? Araştırınız. 1. ANTİVİRÜS KURMA Bilgisayar sistemlerinin düzgün çalışmalarını engelleyen, veri kayıplarına, veri bozulmalarına ve çeşitli yollarla kendisini kopyalayan kötü amaçlı yazılımlara virüs denir. Her geçen gün yeni virüsler çıkmakta veya var olanların özellikleri değiştirilerek tekrar piyasaya sürülmektedir. Virüsler; bilgisayar sistemlerinin çalışmasını aksatma ve bozmanın yanı sıra, verilerin silinmesi veya çalınması gibi kötü amaçları gerçekleştirmek için hazırlanmaktadır. Zamanın ve bilginin son derece önemli olduğu günümüzde, kötü amaçlı bu yazılımlara karşı önlem almak da bir o kadar önem kazanmıştır. 1.1. Antivirüsler Virüslerden korunmak amacıyla yazılan programlara antivirüs denir. Antivirüslerin amacı; virüsleri önceden tanımlayarak sisteme bulaşmalarını önlemek, bulaşmış olanları da tespit ederek temizlemek, silmek veya etkilerini gösteremeyecekleri güvenli bir bölgeye (karantina quarantine-) taşımaktır. 1.1.1. Çalışma Prensipleri Antivirüsler veritabanlarında kayıtlı bulunmayan hiçbir kötü amaçlı yazılımı yakalayamaz. Çünkü antivirüsler, ASCII biçiminde kodlanan bazı kötü amaçlı scriptler dışında.bir programın yapısına bakarak onun virüs olup olmadığına karar veremez. 3
Bir yazılımın antivirüs tarafından virüs olarak değerlendirilebilmesi için öncelikle; antivirüs firması, kullanıcılardan gelen raporlara göre o yazılımı inceler, içeriğin zararlı olduğuna kanaat getirilirse o programdan hexadecimal (16 lık) bir kod bloğu alınır. Buna hex imza denir. Hex imza, antivirüs programının veritabanına eklenir. Daha sonra bir tarama esnasında bu imzayı taşıyan bir programla karşılaşıldığında antivirüs, o yazılımı virüs olarak tanımlar ve temizlemeye çalışır. 1.1.2. Çeşitleri Antivirüsler kullanım amaçlarına göre iki ana başlık altında incelenebilir: Bireysel (Personel) AV ler: Bir bilgisayar için tasarlanmış, tek kullanıcılı AV.(antivirüs) lerdir. Kişisel bilgisayarlarda kullanılarak sadece kurulu olduğu işletim sisteminde çalışırlar. Sunucu işletim sistemlerinde çalışmazlar. Ağ (Network) AV ler. Kurumsal (Business) AV. olarak da bilinir. Yapısında birden fazla bilgisayarın bulunduğu ağ ortamlarının korunmasında kullanılır. Sunucu işletim sistemlerinde çalışır. 1.2. Ağ (Network) Antivirüsleri Sunucu (server) işletim sistemlerinde çalışır. Birçok bilgisayarın bağlı bulunduğu ağ ortamlarında güvenliği sağlamak üzere tasarlanmıştır. Örneğin; 1 sunucu (server) + 15 istemci (client) bilgisayarın bulunduğu bir kurumda tüm bilgisayarların tek tek korunmasının yanında tüm ağın korunması, gelen e-postaların taranması ve sunucudaki dosyaların güvenliğinin sağlanması gibi önemli işleri gerçekleştirir. Resim 1.1: Server tabanlı network 4
1.2.1. Ağ Antivirüslerinin Bileşenleri Ağ sisteminin belli kademelerinde güvenliği sağlamak üzere hazırlanmış çeşitli bileşenler bulunmaktadır. Şimdi bu bileşenleri inceleyelim: 1.2.1.1. İş İstasyonları İçin ( For Workstation ) İstemci bilgisayarlara kurulur (işletim sistemi çeşidi önemli değildir.). Sunucu bilgisayara kurulan bir yönetimsel araç (administrative tool) ile uzaktan yönetilebilir, güncelleştirilebilir ve virüs saldırıları ile ilgili raporlar tutulabilir. Ağda gelen giden dosya taraması yapabilir. Çeşitli veri iletim protokolleri üzerinden e-posta taraması yapabilir. 1.2.1.2. Dosya Sunucuları İçin (For File Servers) Server işletim sistemlerine kurulur. Dosya sunucularının (file server) güvenliğini sağlar. Erişimde (on-access) korumanın yanı sıra kendisine bağlı istemcilerden birinde virüs tespit ettiğinde onu izole ederek ağa bağlanmasını engelleyebilir. Bu sayede ağa bağlı diğer istemci ve sunucu bilgisayarların virüslü bilgisayardan etkilenmelerini önler. 1.2.1.3. E-Posta Sunucuları İçin (For Mail Servers (linux) veya Exchange Servers (windows)) Üzerinde e-posta sunucusu bulunan sunucu bilgisayarlara kurulur. Gelen e-postaların spam (aldatıcı) olup olmadığını gözden geçirir. Kullanıcının isteğine göre filtreleme özelliğine sahiptir. Posta adreslerine göre filtreleme yapabileceği gibi IP adreslerine göre de yapabilir. Erişimde taramanın yanı sıra serverde yedeklenen e-postaları da tarayabilir. 1.2.1.4. ISA Sunucu İçin ( For ISA Server ) ISA (Internet security and acceleration server İnternet güvenlik ve hızlandırıcı sunucusu) için hazırlanmıştır. Yerel ağa HTTP ve FTP gibi protokoller yoluyla İnternet üzerinden gelen virüsleri tespit etme özelliğine sahiptirler. Not: Tüm bu bileşenler ayrı ayrı kurulabileceği gibi, daha yüksek güvenlik önlemi gerektiren durumlarda, tamamı aynı anda kurulabilir. Kurulumları ve yönetimleri ortak özellikler taşıdığından bu bileşenlerden bir tanesini kurarak, kurulumları ve ayarlamaları hakkında bilgi verelim: 5
1.2.2. Kurulumu Bu kısımda sunucu işletim sistemine kurulan sunucu için antivirüs (antivirus for server) bileşenini kuracağız. Bu programlar, dosya sunucusu (file server) için antivirüs olarak da bilinir. Sunucu işletim sistemleri üzerine kurulur. Gereksinim duydukları sistem özellikleri şunlardır: Donanım gereksinimleri 50 MB boş disk alanı Sunucu işletim sistemini karşılayabilecek işlemci ve ram desteği Sistem gereksinimleri Tüm Windows Server işletim sistemlerine kurulabilir. Programın setup.exe dosyası çalıştırıldığında açılan bu ilk pencerede Next düğmesini tıklayarak kurulumu başlatabiliriz. Resim 1.2: Server AV kurulumu (karşılama ekranı) Lisans sözleşmesinin kabul edildiğini gösteren onay kutusu işaretlenir. 6
Resim 1.3: Server AV kurulumu (lisans sözleşmesi) Yükleme şekli penceresinde; tam kurulumv(1), yönetimsel(2) araçların kurulumu, isteğe bağlı kurulum (3) seçenekleri bulunur. İlk defa kurulum yapılıyor ise tam kurulum önerilir. Seçim yapıldıktan sonra Next düğmesi tıklanır. Resim 1.4:Server AV kurulumu (kurulum seçenekleri) 7
Bu adımdan sonra karşılaşılan pencerede (Resim 1.5) programın nereye kurulacağı sorulmaktadır. Varsayılan ayar c:\programfiles\... şeklindedir. İhtiyaç duyulmadıkça, bu tanımlamanın değiştirilmemesi önerilir. Devam etmek için Next düğmesi tıklanır. Resim 1.5:Server AV kurulumu (kurulum dizinini belirleme) olur. Bu adımdan sonra program için gerekli dosyalar kopyalanır ve kurulum tamamlanmış Resim 1.6:Server AV kurulumu 8
Resim 1.7:Server AV kurulumu (bitiş ekranı) 1.2.3. Ayarlar Programın, bildirim alanında bulunan simgesi çift tıklanarak ana penceresi açılabilir. Resim 1.7: Server AV ayarları (genel ayarlama seçenekleri) Konsolun sol tarafında temel bileşenler, sağ tarafında ise seçilen bileşene ait ayarlama seçenekleri bulunur. 9
Genel ayarlama seçenekleri kullanılarak (Resim 1.7); başka bir bilgisayara bağlanılabilir (connect to another computer), program durdurulup başlatılabilir(stop/start), kullanıcı izinleri ayarlanabilir (modify user permission), program hakkında bilgi edinilebilir(about the program), ayarlar tazelenebilir (refresh), program hakkında yardım alınabilir (help). Şimdi temel bileşenleri inceleyelim: Real time protection; gerçek zamanlı koruma demektir. Sürekli olarak arka planda çalışarak, tüm dosyaları ve gelen giden verileri ara vermeden tarar. Alt menüsünde bulunan Blocking access from computers (Bilgisayarlardan erişimi engelle) seçeneği ile istemci bilgisayarlardan erişim engellenebilir (Resim 1.8). Resim 1.8: Server AV ayarları On-demand scan (isteğe bağlı tarama); bilgisayar üzerinde istenilen herhangi bir bölümünün istenilen zamanda taranmasını sağlar (Resim 1.9). Alt menüde bulunan scan at system startup seçeneği ile sistem başlangıcı, scan my computer seçeneği ile bilgisayar, scan quarantine seçeneği ile de programın karantinaya aldığı dosyalar taranabilir. 10
Örneğin sabit diskin C sürücüsü taranmak isteniyorsa, scan my computer (bilgisayarımı tara) alt menüsünü açılıp C seçilerek start (başlat) seçeneğinin tıklanması yeterli olacaktır. Resim 1.9: Server AV ayarları (isteğe bağlı tarama) Quarantine (Karantina): Program, kullanıcının gösterdiği veya otomatikman şüpheli olarak değerlendirdiği bazı dosyaları quarantine (karantina) adı verilen güvenli bir bölgeye taşır. Bu bölgeye taşınan dosyalar çalıştırılamaz. Program genellikle şüpheli görüp de temizleyemediği dosyaları karantinaya alır. Resim 1.10:Server AV ayarları (karantina) 11
Backup (Yedekleme): Program, sildiği dosyaların her ihtimale karşı bir yedeğini alır. Bu dosyalar ilerleyen zamanlarda silindikleri yere geri gönderilerek tekrar kullanılabilir. Örneğin kullanıcı, virüs bulaşmış önemli bir dosyasını disinfect (temizle) düğmesini tıklayarak temizleyebilecekken yanlışlıkla delete (sil) düğmesini tıklayarak silerse, program bu dosyanın bir yedeğini alır. Kullanıcı, istediği zaman da o dosyayı geri alabilir. Resim 1.11: Server AV ayarları (yedekleme) Update (Güncelleme); son çıkan virüs bilgilerinin programın veritabanına işlenmesi için gereken ayarların yapıldığı bölümdür. Güncelleme, genellikle İnternet üzerinden yapılır. Resim 1.12:Server AV ayarları (güncelleme) Reports (Raporlar); tespit edilen virüsler ile bu virüsler üzerinde gerçekleştirilen işlemler hakkında raporların ve uyarı kayıtlarının tutulduğu kısımdır. Kullanıcıyı bilgilendirme amaçlıdır (Resim 1.13). 12
Resim 1.13: Server AV ayarları (raporlar) System Audit Log (Sistem Denetim Kayıtları); program bileşenleri ve güncellemeleri hakkında kayıtların tutulduğu kısımdır. Bileşenlerin başlatılma ve durdurulma saatleri, güncellemelerin tarihi ve kaç günlük olduğu gibi kayıtlar tutulur (Resim 1.14). Resim 1.14:Server AV ayarları (sistem denetim kayıtları) Statistics (İstatistikler); program hakkında istatistiklerin tutulduğu kısımdır. İstatistik penceresinde, bileşenlerin durumu, güncellemelerin tarihi ve programın gereksinimlerinin karşılanıp karşılanmadığı hakkında bilgi alınabilir (Resim 1.15). Örneğin, Resim 1.15 te görülen istatistik penceresi incelendiğinde; gerçek zamanlı koruma bileşeninin, bilgisayarlardan erişimi engelleme bileşeninin ve script ekranının devre dışı (disable) olduğu; güncellemelerin tarihinin geçmiş olduğu, yedekleme ve karantina için gereken boş disk alanının da yeterli olduğu görülmektedir. 13
Resim 1.15: Server AV ayarları (istatistikler) 14
UYGULAMA FAALİYETİ UYGULAMA FAALİYETİ Bilgisayarın C sürücüsü için güvenlik kontrolünü yapınız. İşlem Basamakları Öneriler Programın ana penceresini açın. bildirim alanındaki simgeyi çift tıklayın İsteğe bağlı tarama seçeneğini açın. Bilgisayarımı tara alt seçeneğini açın. c sürücüsünü seçin. İşlemi başlatın. 15
ÖLÇME VE DEĞERLENDİRME ÖLÇME VE DEĞERLENDİRME Aşağıdaki soruları dikkatlice okuyarak doğru/yanlış seçenekli sorularda uygun harfleri yuvarlak içine alınız. Seçenekli sorularda ise uygun şıkkı işaretleyiniz. Boşluk doldurmalı sorularda boşluklara uygun cevapları yazınız. 1- Virüs kötü amaçlı yazılımlardan korunmak için kullanılan bir programdır. (D/Y) 2- Antivirüsler, virüsleri aşağıdakilerin hangisine göre tespit ederler? A) Hex signiture (imza) B) Programın yapımcısına göre C) Yazılan tarihe göre D) Programın çalışma prensibine göre 3- Antivirus for Workstation istemci bilgisayarlara kurulur. (D/Y) 4- Antivirus for File server sadece sunucu işletim sistemlerine kurulur. (D/Y) 5- Real time protection sadece istenildiği zaman çalışarak belirtilen bölgeyi tarar. (D/Y) 6- Aşağıdakilerin hangisi on-demand scan bileşeninin alt seçeneklerinden değildir? A) Scan at system startup B) Scan my computer C) Scan quarantine D) System audit log 7- bileşeni tespit edilen virüsler hakkında raporları ve uyarıları tutar. 8-. bileşeni, programın diğer bleşenlerinin başlatılma ve durdurulma zamanları gibi kayıtları tutar. 9- Diğer bilgisayarların sunucuya bağlanmalarını engelleyen bileşen aşağıdakilerden hangisidir? A) Connect to another computer B) Blocking Access from computers C) On-demand scan D) System audit log 10- Aşağıdakilerden hangisi program hakkında istatistik tutan bileşendir? A) Real-time protection B) Reports C) Quarantine D) Statistics 16
DEĞERLENDİRME Cevaplarınızı cevap anahtarı ile karşılaştırınız. Doğru cevap sayınızı belirleyerek kendinizi değerlendiriniz. Yanlış cevap verdiğiniz ya da cevap verirken tereddüt ettiğiniz sorularla ilgili konulara geri dönerek tekrar inceleyiniz. Tüm sorulara doğru cevap verdiyseniz diğer öğrenme faaliyetine geçiniz. 17
ÖĞRENME FAALİYETİ-2 ÖĞRENME FAALİYETİ-2 AMAÇ Güvenlik duvarını kurabilecek ve istenilen güvenlik düzeyine göre gerekli ayarları yapabileceksiniz. ARAŞTIRMA Ağ ortamına dışarıdan gelebilecek saldırılar hakkında bilgi edininiz. 2. GÜVENLİK DUVARI Gelişen teknoloji, bilgisayar sistemleri kurulumu oldukça kolay hâle getirmiştir. Teknoloji aynı zamanda, sistem kurulmasını da kötü amaçlı kişilerce yıkılmasını da kolay hâle getirmektedir. Bu nedenle güvenlik önemli bir sorun olarak karşımıza çıkmaktadır. Bir sistemin güvenliği, o sistemin büyüklüğü, işlevi ve kullanıcıların beklentileri gibi unsurlara göre ayarlanır. 2.1. Güvenlik Düzeyleri Güvenlik düzeyleri genel olarak üç kademede incelenir: Üst seviye; tüm servislerin engellendiği seviyedir. Bu seviye kapsamında işletim sisteminin bileşenleri de engellenir. Bu durum bilgisayarımızın çalışmasını da (internet bağlantısını, ağ erişimini vb.) büyük oranda kısıtlayacaktır. Üst seviye güvenlik uygulamasının sadece gerekli durumlarda kullanılması önerilir. Orta seviye (özel düzey); servislerin, önceden belirlenen düzeyde denetlendiği seviyedir. Kullanıcı, engellemek ya da izin vermek istediği servisleri belirler (customization), belirtilen bu istekler dâhilinde güvenlik sağlanır. Örneğin kullanıcı bir programın, güncellemelerini yapmak üzere İnternete bağlanmasını engellemek isteyebilir. 18
Düşük seviye; en alt seviye güvenlik önlemidir. İyi veya kötü niyetli tüm servislerin çalıştığı durumdur. Bu düzeyde sistem, tüm saldırılara açık durumdadır. Emin olduğunuz bir uygulamanın güvenlik önlemlerine takılmasını önlemek için geçici bir süre güvenlik seviyesi düşük duruma getirilebilir. Aksi hâlde kesinlikle önerilmeyen bir durumdur. 2.2. Güvenlik Tedbirleri 2.2.1. Veri Şifreleme Veriler, çeşitli şifreleme yöntemleri kullanılarak şifrelenir (encryption) ve okunamaz hâle getirilir. Gönderildiği yerde de yine çeşitli yöntemlerle şifresi çözülür (decryption). Verinin gönderildiği sistemde, kaynakta kullanılan şifreleme tekniği ile aynı mantıkta çalışan şifre çözme programı bulunmak zorundadır. Çünkü şifrelerin çözülebilmesi için kaynakta kullanılan algoritmaların hedefte de kullanılması gereklidir. Eğer kaynakta kullanılan algoritmalar hedefte yoksa şifrenin çözülmesi imkânsız hâle gelebilir. Günümüzde kullanılan bazı şifreleme teknikleri aşağıda sıralanmıştır: MD5; (Message-Digest algorithm5) veri bütünlüğü veya özet fonksiyon olarak da bilinir. Tek yönlü (açık anahtarlı) şifreleme tekniğidir. Bir yere gönderilecek veri 128 bitlik özetler hâlinde şifrelenir. Veri bütünlüğünü sağlamak için kullanılır. Aşağıda bir örnek görülmektedir. 'oktay' için MD5 şifreleme: f55694370a2e688a08edd2a3ee184e0d SHA-1; (Secure Hash Algorithm) özetleme algoritmasıdır. Tek yönlü (açık anahtarlı) şifreleme tekniğidir. Veri bütünlüğünü sağlamak için kullanılır. Verileri 160 bit uzunluğunda özetler. Web alanında geniş kullanımı vardır. SHA-2 adı altında hazırlanmış 224,256,384,512 bit uzunluğunda özetler üreten çeşitleri vardır. Örneğin; oktay isminin SHA-1 ve SHA-2 özetleri aşağıdaki gibidir. SHA-1 (160bit) SHA-256 22771aca22f13b0e26b3011542bde186a5c47690 f6ff3f7aa48c6357fb3f9d09f8fdde97060e3121afc0db0e35ec807c62922456 SHA-384 d64f697923b1c8c425643c0f03f86c3c12b0af576521e41096cef9e9547466 1f947453a5ab2430928dfd02a381af93e2 SHA-512 278179b20946ee2cb093545ca8727f53607ba058acb2ed888aac8f32ecaf74 d8572479ff6380fbf34be9c274080eeb1e7f055b32e3204ce2bda6afd1714ac 75c 19
NOT: MD5, SHA-1, SHA-2 (SHA-256,-384,-512) gibi algoritmalar Hash Algoritmaları olarak sınıflandırılır. DES;(Data Encryption Standart) simetrik şifreleme tekniğidir. 56 bit uzunluğunda anahtar kullanır. Blok şifreleme algoritmasını kullanır. (Bitler önce bloklanır sonra şifrelenir.) Hem şifrelemek için hem de şifre çözmek için aynı anahtar veri kullanılır. Örneğin, tek kilidi olan bir sandık düşünün. Birbirinin kopyası iki anahtarı olsun. Anahtarlardan biri kaynakta diğeri ise hedeftedir. Kaynakta anahtarla kilitlenen sandık, hedefe gittiğinde yine aynı anahtarla açılacaktır. 3DES; (trible DES) DES teki açıkları kapatabilmek için DES te kullanılan algoritmanın üç kez uygulanmasıyla anahtar uzunluğunu artıran yöntemdir. Anahtar uzunluğu 112 bite çıkarılmıştır.(anahtar uzunluğu ne kadar artarsa güvenlik de o kadar artar.) AES; (Advanced Encryption Standart) günümüzde en yaygın olarak kullanılan şifreleme yöntemlerinden birisidir. Bu da blok şifreleme algoritmasını kullanılır. Veriler 4x4 lük diziler (matris) hâlinde bloklandıktan sonra uzunluğu en az 128 bit olan anahtarlar kullanılarak şifreleme gerçekleştirilir. RC-4; (Ron s Code), simetrik şireleme tekniğidir. Ama DES ve AES ten farklı olarak dizi şifreleme algoritmasını kullanır. (Veriler bit bit şifrelenir. Aynı karakterin karşılığı her seferinde farklı olur.) WEP ve SSL gibi güvenlikli bağlantı standartlarında yaygın olarak kullanılmaktadır. Yukarıda anlatılanlar en çok kullanılan şifreleme yöntemleridir. Bunun yanında yaygın olarak kullanılmayan, sadece özel amaçlarla kullanılan daha birçok şifreleme tekniği bulunmaktadır. Aşağıdaki tabloda oktay isminin çeşitli şifreleme teknikleri ile şifrelenmiş karşılıklarını görebilirsiniz. ŞİFRELEME TEKNİĞİ ŞİFRELENMİŞ HÂLİ ( oktay İSMİ İÇİN) ripemd128 9f4799778dd68f6612d836570edd9766 ripemd160 ee9f516c6548b8235bb7eff9989a42ef2644b6dd whirlpool 42ec9a3fe63f01dac799cb9bfcd832aa4d6c1f476d1c8f4071e22a9db48920c4 c75fc177564c86595d273fcc62c40bd2822d71a2b40f519e4d6047ec785fd2e b tiger128,3 096aa49fc4435cb89010751403a2662c tiger160,3 096aa49fc4435cb89010751403a2662c2757d666 tiger192,3 096aa49fc4435cb89010751403a2662c2757d666e91b1e0f tiger128,4 0093e56a8717b3ea78a31653496d1d3d tiger160,4 0093e56a8717b3ea78a31653496d1d3dcb1cf02e tiger192,4 0093e56a8717b3ea78a31653496d1d3dcb1cf02e9fd9de11 snefru a05fa3527181fe47bb6639ad7bbdb5fe9536b4a753c2e5f20e68e7be933d597 8 20
gost 009608beac9edf7728fbefcaefc5969efc873ea9db36fe895bb709e6201787cb adler32 29027306 crc32 522b7a83 crc32b 7134a037 haval128,3 b61bf3d1c6ef50d69fbcaa4cb8b4c70a haval160,3 857a5b1b945010644ef0e86682b2e49c1cf2d239 haval192,3 5aabfdae0eb2309c71069c3de54b201e61410372a180af99 haval224,3 790d92fe4b1e5c1e5ec0b95e7464594d15df27782e047b39345a99ac haval256,3 da930d7368a0012daa8c441b1242f2b41ed0e26c8e6aa39ef4a238f02bd3534 3 haval128,4 1cc829297b9e9f6749a2daf0e7f31b65 haval160,4 123dcdd457501e282e0349e0ca6636c3ee6364e8 haval192,4 f1ebce84a14e0e651e0bab035ccb9a8f76afea869225ed32 haval224,4 8815cb943908af9d9ac842c74f531ad90ca2f67c4f97353cf85ad2d0 haval256,4 99b58581b1c7f2296a32538a34b8e503a4294d5a9901608e7f38177d477689 62 haval128,5 f838e73834720a5937e4ff73abc7b7cf haval160,5 40879d12bb1fed806fba8ddfd5c42db93f8c1667 haval192,5 76afc7c1754c92b948875d46a37e0d1e78440eefc7d94a3e haval224,5 0e751a33bb2fb196a239f3787e7673bc683fcfbdd025b53cc143a9cc haval256,5 276bb71ff51bac3cd62a37adee93eba1f0a2480f8e64b196b65f35f24bf5ba22 2.2.2. IP Güvenliği (IPSec) (Internet Protocol Security, -IPv6) Bir veri akışındaki her IP paketinin, şifrelenmesi ve/veya tanımlanması yoluyla tüm iletişimin güvenliğini sağlamak için oluşturulmuş protokoller (usuller) takımıdır. SSL (Secure Socket Layer) ve TSL gibi diğer güvenlik protokollerine göre daha esnek ve güvenlidir. Hem TCP hem de UDP tabanlı protokollerin güvenliğini sağlar. Uçtan uca (end to end) bir iletişim olduğundan verinin gönderileceği yerde de IPSec kullanılıyor olması yeterlidir. Yani iletişim için kullanılan switch, router gibi cihazların uyumsuzluğu gibi bir durum söz konusu değildir. IPsec iki iletim modu kullanır: Transport Mode; yerel ağda bulunan iki istemci arasındaki (client-to-client) iletişim için kullanılır. 21
Tunnel Mode; sadece geçityolları (gateway) arasındaki trafiğin korunması esasına dayanır. Bu modda paketler geçityolundan çıktıkları zaman şifrelenir ve hedef ağın geçityoluna vardıklarında şifreleri çözülür. Bu modda iki geçityolu arasında bir tünel oluşturulur ve istemciden istemciye olan iletişim, tünel protokolü kullanılarak kapsüllenir. Bu modda kaynak ve hedef istemci bilgisayarların IPSec kullanacak şekilde konfigüre edilmelerine gerek yoktur ve bu yüzden yerel ağda IPSec protokolü tarafından desteklenen herhangi bir LAN protokolünü (örneğin TCP/IP, IPX/SPX, AppleTalk, NetBEUI) kullanabilirler. Bu modda, geçityolu bir tünel server, router, firewall veya VPN cihazı kullanılabilir. IPSec in güvenlik mimarisini oluşturan üç temel unsur vardır: Bütünlük (integrity); hedefe ulaşan verinin kaynaktan gelen veri ile aynı olup olmadığı kontrol edilir. Ağ üzerinden gönderilen mesajın gerçekten gönderilen mesaj olup olmadığını anlamak için, mesajı alan bilgisayarın hesapladığı mesaj özeti (message digest) değeri ile mesajı gönderinin ilettiği mesaj özeti değerleri karşılaştırılır. Sonuç farklıysa iletilen mesaja iletim sırasında müdahale edildiği anlaşılır. Mesajları özetlemek için MD5 ve SHA-1 algoritmaları kullanılır. Kimlik doğrulama (Authentication); iletişimde bulunan her iki tarafın da birbirlerinin kimliklerinin doğrulanması için kullanılır. İletişimde bulunan bilgisayarların birbirlerinin kimliklerini doğrulamaları için aynı kimlik doğrulama metodunu kullanması gerekir. IPSec protokolünü kullanarak iletişim kuracak bilgisayarlar, kimlik doğrulama işlemi için çeşitli yöntemler kullanabilirler. Bunları şöyle sıralayabiliriz: Önpaylaşımlı anahtar (preshared key) (MS-CHAP) Kerberos (Windows tabanlı ağlar için) Sertifika yetkilisi (certificate authority) Gizlilik (Confidentiality); gönderilen verinin ağ üzerinden şifrelenmiş bir şekilde iletilmesini belirtmek için kullanılır. Bu durumda, ağdaki paketler bir izleyici (sniffer) aracılığıyla yakalansalar bile içerikleri şifrelenmiş olduğu için taşınan verilerin üçüncü şahıslar tarafından okunması engellenmiş olur. Şifreleme işleminde en çok kullanılan yöntemler DES ve 3DES yöntemleridir. IPSec in güvenli bir iletişim kurmak için kullandığı protokoller aşağıdaki gibi sıralayabiliriz: 22
Authentication Header (AH) (kimlik doğrulama başlığı): IPSec in veri bütünlüğü (Integrity) ve kimlik doğrulama (Authentication) özelliklerini destekler. AH, veriyi şifreleyemediği için IPSec in gizlilik (Confidentiality) özelliğini kullanamazsınız. Diğer bir deyişle, eğer ağ üzerindeki iletimin şifreli bir şekilde gerçekleşmesini istiyorsanız bu protokol ihtiyacınıza cevap vermeyecektir. Encapsulating Security Payload (ESP): Bu protokol, IPSec in veri bütünlüğü (Integrity), kimlik doğrulama (Authentication) ve gizlilik (Confidentiality) özelliklerinin üçünü birden destekler. Yüksek seviyede güvenlik sağlar. Hedefteki sistemlerde, kaynakta kullanılan şifreleri çözebilecek programların bulunması gerekmektedir. 2.2.3. SSL (Secure Socets Layer) Soket Güvenlik Düzeyi (SSL) Protokolü Netscape tarafından, İnternet üzerinde web sunucular ve tarayıcıların güvenli haberleşmeleri için geliştirilmiştir. İnternet üzerinde, veriyi (data) şifrelemek üzere kullanılan bir tekniktir. Bu teknik, içinde dijital imzanın (digital signature) kullanımının da bulunduğu açık (public) ve özel (private) anahtar şifreleme kullanmaktadır. Bu şifrelemeler onay sağlayan birimler yardımıyla çalışır. Bu birimler, ulaşılan ilgili sunucunun, ait olduğu iddia edilen şahıs veya şirketlere ait olduğuna dair onay verir. Bu onaydan sonra, güvenli iletişim işlemi başlayabilir. SSL yazılımı yüklü sunucular taklit edilerek, karşı taraf kandırılamaz. SSL, istemci ile sunucu arasındaki iletişim algoritmasını tanımlar ve iletişim ancak karşıdan onay alınırsa başlar. SSL, e-posta göndermek, anlık ileti gönderip almak, İnternet üzerinden alışveriş yapmak gibi uygulamalarda güvenliği sağlamak için kullanılır. 2.2.4. E-Mail (E-Posta) Güvenliği Gönderilen bir e-posta, hedefine ulaşıncaya kadar birçok sunucudan geçebilir. Bu sunucular gelen giden postaları kopyalama yeteneğine sahiptir. Bu nedenle sıradan bir epostanın başkaları tarafından okunabilmesini engelleyen hiçbir unsur yoktur. Piyasada e-posta şifrelemek için özel olarak hazırlanmış yazılımlar bulunmaktadır. Şifrelenen mesaj ve şifresi, hedefe ayrı ayrı gönderilir. Şifreli mesajlar hedefte tekrar çözülerek okunabilir hâle getirilir. Burada dikkat edilmesi gereken nokta, hem hedefte hem de kaynakta aynı şifreleme yazılımının kullanılmasıdır. 23
2.2.5. PKI (Public Key Infrastructure) Şifreleme PKI (Public Key Infrastructure) teknolojisi, elektronik ortamda gerçekleşen veri iletiminin güvenliğini iki temel aşamada sağlamaktadır: Veri gizliliği şifreleme (verinin sadece doğru alıcı tarafından deşifre edilebilmesi) Verinin tanımlanması (hedefin doğrulanması) ve bütünlüğünün korunması (iletim sırasında herhangi bir değişikliğe uğramadığının doğrulanması) PKI uygulamalarında her kullanıcının biri özel (private) diğeri genel (public) olmak üzere iki anahtarı bulunur. Kullanıcının genel anahtarı herkese açık olup özel anahtarı sadece kullanıcı (kullanıcı uygulaması) tarafından bilinir. Özel ve genel anahtar arasında çözülmesi pratikte imkânsız bir matematiksel ilişki vardır ki kullanıcının genel anahtarı ile şifrelenen bir mesaj yalnızca aynı kullanıcının özel anahtarı ile deşifre edilebilir. Dolayısıyla bir kullanıcıya şifreli bir mesaj göndermek istendiğinde mesaj, bu kullanıcının genel anahtarı ile şifrelenebilir ve böylece gerçek alıcısı dışında kimse tarafından deşifre edilemez. Kullanıcının genel anahtarının gerçekten o kullanıcıya ait olduğundan emin olunabilmesi için sertifika otoritesi (CA :Certificate Authority) kullanılır. CA, şifreleme ve kimlik doğrulama işlemleri için anahtarları sağlamak ve atamakla sorumludur. CA, bu anahtarları ve sertifikaları yayarak dağıtır. Bir PKI sisteminde, tüm kullanıcıların tanıdığı (güvendiği) ve genel anahtarı tüm kullanıcılar (uygulamalar) tarafından bilinen bir sertifika otoritesi bulunur. Kullanıcıların genel anahtarları, sertifika otoritesinin güvencesi altındadır ve tüm genel anahtarlar sertifika otoritesi tarafından imzalanmıştır. CA, kimlik doğrulmasını dijital imzalar (digital signiture) yoluyla yapar. Dijital imzalama için; gönderici mesajın sonuna mesajın tümünden hash (MD5, SHA-1/2 gibi) algoritmaları ile elde edilen bir özeti (digest) kendi özel anahtarı ile şifreleyerek mesaja ekler. PKI şifreleme veri iletiminin yanı sıra, akıllı kart uygulamalarında, SSL gibi kullanıcı tanımlaması yapan bağlantılarda ve aklınıza gelebilecek şifreli veri transferi gerçekleştiren birçok uygulamada kullanılmaktadır. Karmaşık yapısı sebebiyle uygulama alanı genişledikçe kullanımında zorluklar yaşansa da mevcut olan en güvenli yapı olarak kabul edilmektedir. 2.3. Güvenlik Duvarı Mevcut ağda karşılaşılabilecek sorunları şu şekilde sıralayabiliriz: Ağa yapılan dış saldırılar İnternet bant genişliğinin maksadı dışında kullanılması Yetkisiz kişi veya yazılımların dış ağa bilgi sızdırması Yetkisiz kişilerin İnternete bağlanması 24