Ortadaki adam saldırısı, birbiriyle iletişim kuran iki taraf arasına girilerek trafiğin dinlenmesi ya da değiştirilmesidir. Taraflar doğrudan konuştuklarını sanırken, tüm veri saldırganın üzerinden geçer. Saldırgan yalnızca dinlemekle kalmayıp içeriği değiştirebilir de. Bu nedenle saldırı hem gizliliği hem bütünlüğü tehdit eder.

Saldırının başarılı olması için trafiğin saldırgan üzerinden geçmesi gerekir. Bu yönlendirme, ağ katmanında yapılan hilelerle, sahte kablosuz ağlarla ya da ele geçirilmiş ağ cihazlarıyla sağlanır. Yerel ağlarda uygulanması görece kolaydır. Şifrelenmemiş ya da doğru doğrulanmamış bağlantılar, saldırıyı doğrudan mümkün kılar.

Ortadaki Adam Saldırısı Nedir?

Ortadaki adam saldırısı, iki taraf arasındaki iletişim akışına araya girerek verinin dinlenmesini, değiştirilmesini veya yönlendirilmesini sağlayan saldırı türüdür.

Saldırının klasik hedefi kimlik bilgileri ve oturum belirteçleridir. Ele geçirilen bir oturum çerezi, parolayı hiç öğrenmeden hesaba erişim sağlayabilir. Bu nedenle saldırı çoğu zaman oturum çalma ile birlikte anılır. Elde edilen veri, sonraki aşamalarda yanal hareket için kullanılır.

Nasıl Gerçekleştirilir?

Yerel ağda en yaygın yöntem adres çözümleme protokolünün kötüye kullanılmasıdır. Saldırgan, ağdaki cihazlara kendisini ağ geçidi olarak tanıtır ve trafiği üzerine çeker. ARP zehirlenmesi olarak bilinen bu teknik, düz ve segmentsiz ağlarda kolayca uygulanır. Segmentasyon, bu tekniğin etki alanını daraltır.

İkinci yöntem, ad çözümleme sürecinin hedef alınmasıdır. Saldırgan sahte yanıtlar üreterek kullanıcıyı kendi sunucusuna yönlendirir. DNS zehirlenmesi bu kategoridedir ve yerel ağla sınırlı olmayabilir. Bu nedenle ad çözümleme altyapısının korunması kritik önemdedir.

Üçüncü yöntem sahte kablosuz erişim noktalarıdır. Bilinen bir ağ adıyla yayın yapan bir cihaz, kullanıcıların otomatik bağlanmasını sağlar ve tüm trafik saldırgan üzerinden geçer. Sahte erişim noktası saldırıları özellikle kamuya açık alanlarda görülür. Kurumsal cihazlarda otomatik bağlanma ayarlarının kontrolü bu riski azaltır.

• ARP zehirlenmesi ile yerel ağda trafiğin yönlendirilmesi
• Sahte DNS yanıtlarıyla kullanıcının başka sunucuya gönderilmesi
• Sahte kablosuz erişim noktası kurulması
• Ele geçirilmiş yönlendirici ya da anahtar üzerinden trafiğin kopyalanması
• Şifresiz bağlantıya düşürme girişimleri
• Sahte ya da hatalı doğrulanan sertifikalarla şifreli trafiğin açılması

Şifreleme Neden Tek Başına Yetmez?

Şifreleme, doğru doğrulama yapılmadığında beklenen korumayı sağlamaz. Saldırgan kendi sertifikasını sunduğunda, istemci bu sertifikayı doğrulamıyor ya da kullanıcı uyarıyı geçiyorsa trafik açılabilir. Bu nedenle TLS protokolü kullanımı kadar sertifika doğrulamasının katı yapılması da önemlidir. Uyarıların geçilebilir olması, korumayı kullanıcı kararına indirger.

Uygulama tarafında sertifika doğrulamasının devre dışı bırakılması yaygın bir hatadır. Geliştirme sırasında kolaylık olsun diye kapatılan doğrulama, üretime taşındığında tüm bağlantıları savunmasız bırakır. Bu tür ayarların dağıtım öncesi kontrol edilmesi gerekir. Otomatik denetimler bu hatayı erkenden yakalayabilir.

Nasıl Önlenir?

İlk önlem, tüm trafiğin güncel sürüm şifrelemeyle taşınması ve şifresiz bağlantılara düşmenin engellenmesidir. HSTS kullanımı, tarayıcının siteye yalnızca şifreli bağlanmasını zorunlu kılar. Böylece düşürme girişimleri sonuçsuz kalır. Bu ayar, sunucu tarafında tek seferlik bir yapılandırmayla sağlanır.

İkinci önlem, kritik bağlantılarda karşılıklı doğrulama kullanılmasıdır. Hem istemcinin hem sunucunun sertifikayla kimliğini kanıtladığı yapılarda, araya giren bir taraf iletişimi kuramaz. Karşılıklı TLS özellikle servisler arası iletişimde tercih edilir. Bu yöntem, ağ katmanındaki güven varsayımını ortadan kaldırır.

Üçüncü önlem ağ tarafındadır. Segmentasyon, dinamik ARP denetimi ve yetkisiz erişim noktalarının tespiti, yerel ağdaki uygulamaları zorlaştırır. Konuk ağların kurumsal ağdan ayrılması da temel bir gerekliliktir. Bu kontroller birlikte uygulandığında saldırının yerel uygulanabilirliği belirgin biçimde azalır.

Tespit Yöntemleri

Yerel ağdaki uygulamalar, adres eşleşmelerindeki ani değişikliklerle tespit edilebilir. Aynı ağ geçidi adresinin farklı donanım adresleriyle ilişkilendirilmesi güçlü bir işarettir. Ağ izleme çözümleri bu değişiklikleri uyarı olarak üretebilir. Kayıtların merkezî toplanması, tespit için ön koşuldur.

Sertifika tarafında ise beklenmeyen sertifika değişiklikleri izlenir. Bir kurumun alan adı için tanınmayan bir otorite tarafından sertifika üretilmesi, sertifika şeffaflığı kayıtları üzerinden fark edilebilir. Bu izleme, kurum dışındaki saldırı hazırlıklarını da görünür kılar.

Kamuya Açık Ağlarda Risk

Kafe, otel ve havalimanı gibi kamuya açık kablosuz ağlar bu saldırı için elverişli ortamlardır. Ağ üzerindeki diğer kullanıcılar denetimsizdir ve erişim noktasının gerçekten iddia edilen kuruma ait olduğu doğrulanamaz. Kurumsal cihazların bu ağlara doğrudan bağlanması riskli bir tercihtir. Mobil veri kullanımı çoğu durumda daha güvenli bir alternatiftir.

Kurumsal politika, bu ağlarda çalışmayı tamamen yasaklamak yerine güvenli bir yol tanımlamalıdır. Tüm trafiğin kurumsal bir tünel üzerinden taşınması ya da uygulama düzeyinde doğrulanmış erişim kullanılması, ağın güvenilmez olmasını sorun olmaktan çıkarır. Bu yaklaşım, çalışanı kural ihlaline zorlamaz. Uygulanabilir politika, uygulanan politikadır.

Cihaz ayarları da gözden geçirilmelidir. Daha önce bağlanılan ağlara otomatik bağlanma özelliği, sahte erişim noktalarının işini kolaylaştırır. Kurumsal ağ profillerinin kişisel cihazlarda saklanmaması da önemlidir. Bu ayarların merkezî olarak yönetilmesi tutarlılık sağlar.

Yerel Ağda Alınacak Önlemler

Kurumsal yerel ağda en etkili yapısal önlem segmentasyondur. Kullanıcı cihazlarının birbirini doğrudan görmediği bir tasarımda, ele geçirilen tek bir cihaz diğerlerinin trafiğine erişemez. Mikro segmentasyon bu ayrımı daha ince taneli hâle getirir. Düz ağlar, bu saldırının en kolay uygulandığı ortamlardır.

Anahtar seviyesindeki kontroller de etkilidir. Dinamik adres denetimi, port güvenliği ve yetkisiz cihazların ağa katılmasını engelleyen erişim kontrolü, saldırının ilk adımını zorlaştırır. Ağ erişim kontrolü bu amaçla kullanılır. Bu kontroller kablolu ağda da kablosuz ağda da uygulanabilir.

Konuk ağların tamamen ayrılması temel bir gerekliliktir. Ziyaretçilerin ve kişisel cihazların kurumsal ağla aynı segmentte bulunması, saldırgana hazır bir başlangıç noktası sunar. Ayrımın yalnızca isimde değil, yönlendirme düzeyinde de olması gerekir. Bu ayrım düzenli olarak sınanmalıdır.

Uygulama Geliştiricileri İçin Notlar

Uygulama tarafında en sık yapılan hata, sertifika doğrulamasının gevşetilmesidir. Test ortamındaki kendinden imzalı sertifikalar nedeniyle kapatılan doğrulama, üretime taşındığında tüm bağlantıları savunmasız bırakır. Doğru yöntem, test ortamında da geçerli sertifika kullanmaktır. Kod incelemesinde bu ayar özellikle aranmalıdır.

Mobil uygulamalarda sertifika sabitleme ek bir koruma sağlayabilir. Uygulamanın yalnızca belirli bir sertifikaya ya da otoriteye güvenmesi, araya giren bir tarafın kendi sertifikasını kabul ettirmesini engeller. Ancak bu yöntemin sertifika yenileme süreçlerini zorlaştırdığı da bilinmelidir. Uygulama, sürüm güncelleme planıyla birlikte değerlendirilir.

Bağlantı düşürme girişimlerine karşı da tasarım yapılmalıdır. Uygulamanın şifresiz bağlantıya geri düşmeyi kabul etmemesi ve yalnızca güncel protokol sürümleriyle çalışması gerekir. Eski sürümlerin desteklenmesi, uyumluluk adına güvenlik seviyesini düşürür. Desteklenen sürümler dönemsel olarak gözden geçirilir.

Privia Security olarak ağ mimarisindeki bu tür zayıflıklarıaltyapı ve mimari gözden geçirme kapsamında inceliyor, sömürülebilirliği doğrulanmış bulguları raporluyoruz.