Üç yollu el sıkışma, güvenilir bir bağlantının kurulması için gerçekleştirilen üç adımlı süreçtir. İstemci bir bağlantı isteği gönderir, sunucu bunu onaylayarak kendi isteğini iletir ve istemci son onayı gönderir. Üç adım tamamlandığında bağlantı kurulmuş olur ve veri aktarımı başlayabilir. Bu süreç, her iki tarafın da hazır olduğunu ve iletişimin çift yönlü çalıştığını doğrular. Ayrıca sıra numaraları bu aşamada uzlaşılır. Bu numaralar, veri bütünlüğü ve sıralama için kullanılır.

Sürecin güvenlik açısından önemi iki yönlüdür. Birincisi, bağlantı kurulmadan veri aktarımının başlamaması, sahte kaynak adresli saldırıları sınırlar. İkincisi, sunucunun ikinci adımdan sonra kaynak ayırması bir zafiyet oluşturur. Bu ikinci nokta, klasik bir hizmet reddi saldırısının temelidir. İki yön birlikte değerlendirilmelidir. Tasarım tercihleri sonuç üretir.

Üç Yollu El Sıkışma Nedir?

Üç yollu el sıkışma, bağlantı isteği, onay ve son onay adımlarıyla iki taraf arasında güvenilir bir iletişim kanalının kurulmasını sağlayan süreçtir.

Süreç tamamlanmadan veri aktarımı yapılmaz. Bu kural, sahte kaynak adresle veri gönderilmesini zorlaştırır çünkü saldırgan ikinci adımdaki yanıtı göremez. Bu özellik, bağlantı tabanlı protokolleri bağlantısız olanlardan daha dirençli kılar. IP spoofing saldırıları bu nedenle bağlantısız protokolleri tercih eder. Fark yapısaldır. Tasarımdan gelir.

Güvenlik Açısından Etkileri

Sunucu, ikinci adımı gönderdikten sonra bağlantıyı yarı açık durumda bekletir ve bunun için kaynak ayırır. Saldırgan son adımı hiç göndermeyerek bu kaynağı bloke edebilir. Çok sayıda yarım bağlantı biriktiğinde sunucu yeni bağlantı kabul edemez. SYN flood saldırısı bu mekanizmaya dayanır. Önlem, kaynak ayırmayı erteleyen yöntemlerdir. Modern sistemlerde bulunur.

Sıra numaralarının tahmin edilebilir olması da bir risktir. Tahmin edilebilir numaralar, saldırganın bağlantıya veri enjekte etmesini mümkün kılar. Modern uygulamalar rastgele numara üretir ve bu risk büyük ölçüde ortadan kalkmıştır. Eski sistemlerde ise risk sürebilir. Güncelleme önemlidir. Envanter kontrol edilmelidir.

• Bağlantı isteği gönderilmesi
• Sunucunun onay ve kendi isteğini iletmesi
• İstemcinin son onayı göndermesi
• Sıra numaralarının uzlaşılması
• Yarı açık bağlantıların kaynak tüketmesi

İzleme ve Tespit

Yarım kalan bağlantıların oranı izlenmesi gereken bir göstergedir. Normal koşullarda bu oran düşüktür; ani yükseliş saldırı işareti olabilir. Ayrıca tarama faaliyetleri de bu göstergede görünür. Port taraması yapan bir istemci, çok sayıda bağlantıyı yarım bırakır. Bu örüntü tespit kuralı hâline getirilebilir. Ölçüm kolaydır.

Bağlantı durum tablolarının doluluk oranı da izlenmelidir. Tablonun dolması, yeni bağlantıların reddedilmesine yol açar ve hizmet kesintisi üretir. Eşik tabanlı uyarı tanımlanmalıdır. Kapasite planlaması bu metriğe dayanır. İzleme sürekli yapılır. Rapor üretilir.

Bağlantısız Protokollerle Karşılaştırma

Bağlantısız protokollerde el sıkışma yapılmaz; veri doğrudan gönderilir. Bu tasarım hız kazandırır ama güvenilirlik ve doğrulama sağlamaz. Sahte kaynak adresle veri göndermek bu protokollerde çok daha kolaydır. Bu nedenle güçlendirme saldırıları bu protokolleri kullanır. Yansıma ve güçlendirme saldırıları bu farktan beslenir. Filtreleme gereklidir.

Bu protokolleri kullanan servislerin internete açık bırakılmaması önerilir. Gerekliyse kaynak kısıtlaması ve hız sınırlama uygulanmalıdır. Bu önlemler, servisin kötüye kullanılmasını engeller. Envanter çıkarılarak açık servisler belirlenir. Gereksizler kapatılır. Düzenli tarama yapılır.

Modern protokoller bu iki yaklaşımı birleştirmeye çalışır. Bağlantısız taşıma üzerinde güvenilirlik ve şifreleme sağlayan yeni protokoller yaygınlaşmaktadır. Bu protokoller performans avantajı sunar. Güvenlik denetimi açısından ise yeni zorluklar getirir. Denetim araçlarının uyumu değerlendirilmelidir. Kapsam kontrol edilir.

Bağlantı Sonlandırma

Bağlantının düzgün sonlandırılması da bir süreçtir ve dört adımda gerçekleşir. Düzgün sonlandırılmayan bağlantılar, sunucuda kaynak tutmaya devam edebilir. Zaman aşımı mekanizmaları bu kaynakları serbest bırakır. Zaman aşımı süreleri yapılandırılabilir. Uzun süreler kaynak tüketir. Kısa süreler meşru bağlantıları keser.

Ani sonlandırma paketleri de saldırı amacıyla kullanılabilir. Sahte sonlandırma paketleri göndererek meşru bağlantıların kesilmesi mümkündür. Bu saldırı, sıra numaralarının tahmin edilebilir olmasını gerektirir. Modern uygulamalarda risk düşüktür. Eski sistemlerde sürebilir. Güncelleme önemlidir.

Privia Security olarak ağ katmanı dayanıklılığını ve koruma yapılandırmalarını altyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.