Bununla beraber ortak yöntemler kullanýlarak veya zorlama unsurlarý kullanýlarak yapýlan þifre çözümlemelerinde bulunmaktadýr. Web ortamýnda sýkça rastladýðýnýz MD5'ler buna en iyi örnek olabilir. Þifrelenen her veri bünyesinde karþý çözümleyicinin yani anahtarýn bilgisini taþýmaktadýr. Geliþmiþ sistemlerde ise þifreleme hizmeti veren firmalarýn sunduðu sertifikalar aracýlýðýyla kurumsal veya þahsi þifreleme teknikleri kullanýlmaktadýr. Buna en iyi örnek ise birçok online satýþ yapan þirketin kullanmýþ olduðu SSL sistemleri ve RSA kripto sistemleridir.
Þifreleme Hizmetleri sunucu veya istemci tarafýndan baþlatýlabilir. Windows içerisinde Checksum SHA-1, DES AH için kullanýlýr, veriler ise RSA RC4 ( MPPE ), DES IPSec standart bir MPPE 56 -128 bitlik þifreleme sunarken, DES sistemi ise 56 bit þifreleme kullanýr. DES kriptosunun güvensizliði sonrasýnda 3DES kriptosu kullanýlmaya baþlamýþtýr. 3DES kullanýcýya 112 bit þifreleme sunar. MPPE 128 ve 3DES için sistemlerinin güncellemeli ve gerekli fix'leri sistemlerinize kurmanýz gerekmektedir.
" Windows Encryption ", sistemlerinizde bulunan konfigürasyona göre farklý þifreleme unsurlarý çalýþtýrýlýr. Bu unsurlarý standartlar dahilinde deðiþtiremezsiniz. Örnek olarak VPN kullanan bir að ortamýnda PPTP sunucusuna baðlanmak için MPPE, L2TP sunucusuna baðlanmak içinse IPSec kullanýlýr. IPSec uygulamalarýnda veriler sadece MS-CHAP, MS-CHAP v2 veya EAP/TLS kimlik doðrulamasý kullanýlarak þifrelenir.
Güven iliþkisi
Bir etki alaný içerisinde bulunan bilgisayarlarýn kimlik doðrulamaya izin vermesi için oluþturulmuþ bir yapýdýr. Oturumu açmak için kimlik bilgileri doðrulanan bilgisayarýn bu iliþkiler çerçevesinde gerekli izinler verilir. Haberleþme anýnda 2 yönlü iliþki kullanýlmaktadýr. Yani her bir nokta için farklý güven iliþkileri kullanýlýr.
Bir baðlantý esnasýnda sunucu istemciden güven belgesi ister ve kendi içerisinde bulunan sertifikayý gönderir. IPSec uygulamalarýnda kullanýlan SA ile güven iliþkileri tanýmlanýr. SA'nýn kullanýmý içinde IKE protokolü kullanýlýr. Bir güven iliþkisi birçok baðlantýnýn oluþmasýna da izin verir. Örnek olarak bir telnet uygulamasýnda AllowTrustedDomain 1: seçeneðinde güven iliþkisini geçmiþ kullanýcýya izin haklarý vermektedir. Güven iliþkisinin sertifikalar yardýmýyla yapýldýðýný söylemiþtim. Eðer bir sertifika ayarlarý deðiþtirilecek ise bunu
Kullanýcýlar \ Geliþmiþ \ Sertifikalar \ Kullanýlan sertifika, göster \ Ayrýntýlar \ Alan \ özellikleri düzenle \ sertifika amaçlarý \ Gerekli amaçlarý etkinleþtir. Seçeneði ile gerekli sertifika ayarlarý yapýlandýrýlýr. Burada dikkat edilmesi gereken sertifikanýn þirket mi yoksa baðýmsýz bir bireyin mi kullandýðýdýr. Çünkü bu deðerlere göre de güven iliþkilerinde deðiþiklikler oluþmaktadýr.
Internet Ýletiþim Kuralý güvenliði (IPSec)
Genel ve özel aðlarda þifreleme ve filtreleme hizmetlerinin bir arada bulunduðu Internet Protocol Security (IPSec) iletiþim kuralý aracýlýðýyla bilgilerinizin güvenliðini saðlayabilirsiniz. IPSec standart olarak belirlenen bir þifreleme kullanýr ve windows 2000 ile beraber gelmiþtir. IPSec RFC (Requests for Comments) 2401-2411'ta belirlenmiþtir
. TCP/IP yýðýný içerisinde standart gelen bir özelliktir. Devamýndaki sürümlerde kullanýma devam etmiþtir. Bu uygulamalar iletiþim kurallarýnda hiçbir deðiþikliðe neden olmadýðý için, normal aðlarda da kullanýma müsaittir. IPSec að ortamýnda bulunan her bilgisayar için kimlik denetimi yapmaktadýr. DHCP hizmetleri için verilen adresler haricinde diðer adresleri bloke etmek için IPSec kullanýlabilir. VPN baðlantýsý L2TP sunucu için yapýlandýrýlmýþsa IPSec kullanýlýr. Bu baðlantýlarýn oluþturulmasý esnasýnda sunucu ile tünel anlaþmasý yapýlýr. Tünel iþleminde paketler bir çerçeve içerisine alýnarak saklanýr, paketler istenilen hedefe ulaþtýðý an saklama üst verisi iptal olur ve paketin hedefe yönlendirilmesi için asýl paket verisi kullanýlýr. Diðer baðlantý türü olan nakilde að katmanýnda dolaþan bilgileri yakalarlar ve AH-ESP ile baþlýðý korurlar. Bu uygulama sadece 2 nokta arasýnda baðlantý kurulmak isteniyorsa yapýlabilir.
IPSec dahilinde AH ve ESP tünel modlarý bulunmaktadýr. AH modunda kaynak ve hedef bilgilerinden deðiþtirilme yapýlamaz, çünkü bu modda paket tüm þekilde imzalanýr. Bu koruma yöntemi ile replay saldýrýlarý önlenmiþ olur. Örneðin að içerisinde kullanýlamayan bir makinenin yerine geçen hacker bu yöntemi kullanarak verileri deðiþtiremez. ESP'de iç ve dýþ IP üst bilgisinden oluþur. Bu nedenle AH gibi üst bilgi güvenliðini saðlayamaz. Bu iki ilke haberleþmek için SPI ile ortak kullanýldýklarýnda SA'yý tanýmlayabilirler. Kimlik doðrulama içinde PPP temelli Kimlik Doðrulama Ýletiþim Kurallarý kullanýlmaktadýr. Kimlik doðrulamayla beraber oluþturulan tüm kurallarý kendi bünyesinde saklar. IPSec baðlantýnýn oluþturulmasý esnasýnda yetkisiz eriþimleri izin vermez. Bu nedenle pasif veya aktif sniffer (að dinleme) iþlemleri için tam güvenlik saðlayabilir. Bununla beraber sisteme ait administrators grubunun kullandýðý portlarý, yabancýlara karþý kapadýðýndan trojen ve keylogger türü araçlarýn sisteminize sýzmasýný engeller.
Sistemlere en çok yapýlan saldýrýlarak karþýda ICMP paketlerine sýnýr koyabilmektedir.
Yönetici ilk önce iki bilgisayar arasýndaki güven iliþkisini tanýmlamalýdýr. Yani soru þudur, bu bilgisayarlar birbirlerine nasýl güvenecek? IPSec uygulamalarýnda aksi belirtilmemiþse Kimlik denetimi iþlemi yapýlmasý, sadece user-pass olarak gerçekleþmez. Bu uygulamada karþý makinenin kimlik denetiminin yapýlmýþ olmasý ve gerekli deðerin verilmiþ olmasý gerekir. Bu nedenle istemci makinelerinde korunmasý gerekmektedir. Demek oluyor ki herhangi bir kiþi iþ istasyonu ve sunucuda oturum açabiliyorsa, IPSec baðlantýsýný da kullanabilir. Kimlik denetimi için kullanýlan protokoller PAP, SPAP, CHAP, MS-CHAP, MS-CHAPV2, EAP'tir. Bu denetim protokolleri arasýnda web uygulamalarýnda da bulunmaktadýr. Bunlar: Basic, Anonymous, Windows integrated, Digest, .NET pass ve Sertifikalardýr. IPSec yerel güvenlik ilkesi (GPO) kullanýlarak yapýlandýrýlýr. RUN \ secpol.msc komutu aracýlýðý ile GPO'ya ulaþabilirsiniz.
IPSec iþlemlerinin çalýþabilmesi için bir etki alanýna dahil olmalýsýnýz. Kendi sisteminizi IPSec'e hazýrlamak için servislerin çalýþýr olmasý gerekmektedir. RUN \services.msc yazmanýz devamýnda panel içerisinde bulunan IPSec ve Ýþ istasyonu, kullanýcý özelliklerine görede diðer gerekli servisleri çalýþtýrmalýsýnýz. Yapýlandýrmayý yazýnýn ilerleyen bölümlerinde bulabilirsiniz.
Windows 2000 ve sonrasý kullanýcýya önceden tanýmlý IPSec kümeleri sunar. Örneðin Salt Yanýtlama özelliði ile istendiði durumlar harici IPSec kullanýlmayan, sadece istek geldiðinde IPSec deðerlerini kullanan, etkin olduðu alana göre yanýt vermeye ayarlanabilen deðerdir. Bu özellik doðrultusunda istenilen iletiþim kuralý ve baðlantý güvenliði saðlanabilir. Bununla beraber IPSec'de ön tanýmlý kurallar otomatikleþtirilemez. Sadece güvenli bir kiþiden gelen veriler kabul edilebilir.
VPN uygulamalarýnda yapýlacak ayarlamalar sonucunda VPN kimlik denetimine dahil edilmemiþ kiþiler, VPN baðlantýsý kurmak istese dahi, sunucu kimlik denetiminde kayýtlý olmayan istemciyi gördüðünden kendisini gizleyecektir. Yabancý istemci ise sunucuyu göremeyecektir. Sunucular için güvenlik isteme enkeni IPSec ile önceden tanýmlý olarak gelen diðer bir özelliktir, bu iletiþim kuralýnda güvenli olmayan gelen verileri kabul eder ancak ilk göndericiden güvenlik ister. Güvenlik isteme sonucu, eðer karþý taraf bunu gerçekleyemez veya IPSec yapýlandýrmasýný yapmamýþ ise, veri güvenli halde korunmaz. Ancak sunucu güvenlik isterse ki bu özellikte yine IPSec ile gelmektedir. Bu kuralda güvenli olmayan iletiler anýnda red edilecektir. Bu kural doðrultusunda giden veriler ise daima güvenli olacaktýr. Baðlantýlarýn oluþturulmasýndan RUN\ ias.msc ( yani internet kimlik doðrulama hizmetini ) kullanýlýr hale getirilmelidir. ve sistem-kullanýcý haklarýna istenilen deðerler verilmelidir. Üç farklý kimlik denetimi kullanýlýr " kerberos - sertifikalar - önceden dönüþtürülmüþ anahtarlar " Windows 2000 de varsayýlan kimlik denetimi kerberos V5 ile yapýlmaktadýr.
Bu standart ilkeler dahilinde DHCP, DNS, WINS, SNMP uygulamalarý ve sunucu oluþturma uygulamalarý için, kendi dahilinde kurallar oluþturulabilir. Örneðin SNMP hizmeti için IP süzgeç listesi içerisinde izin ver deðerine sahip source - destination adresleri belirtilmelidir. Bu baðlamda 161-162 UDP'ler in-out deðerleri istenen iþlemler doðrultusunda yapýlandýrýlabilir. Bu konu açýlmýþken birþeyi belirtmek isterim bir IP aralýðý yerine iþlemi kullanacak IP ve alt maskesi kullanýlmasý daha saðlýklý olacaktýr.
Süzme iþlemlerinden kendi yapýlandýrmanýz esnasýnda, yüksek katmanlý kurallar veri þifrelemesi saðlayacaksa, ESP gizliliði seçimini hiçbiri olarak belirtin. Ekstra yapýlacak bu uygulamalarda ileri düzey bilginizin olmasý þarttýr. Bunu bir örnek ile açýklayalým; IPSec ilkeleri içerisinde bir DNS adýný kullandýðýnýzda bazý kolaylýklar saðlar. Ancak bu IP statik deðil ise, bir saldýrý sonucunda baðlantýnýn kopmasý sonucu IP ve DNS adresi deðiþirse, IPSec farklý bir IP adresi yapýlandýracaktýr. Buda güvenliðin delinmesi demektir. Að ortamýnda bulunan veriler iç aðda yapýlacak bir saldýrýda kaybolabilir. DNS sunucu ile IPSec akýþýnýn bir bütün olmasý için þu adýmlar atýlmalýdýr. Kaynak adres IP adresiniz olarak ayarlanmalý, hedefi de DNS sunucu olarak belirtin. Otomatik süzgeç içinde yansýtýldý seçeneðini etkin duruma getirin. IPSec süzme iþlemi için izin ver deðerini etkinleþtirin. DNS saldýrýlarýna karþý 53. portu denetlemeyi unutmayýn, gerekli ayarlamalar ileriki bölümlerde anlatýlacaktýr. Saldýrýlardan korunmanýn diðer bir yolu ise iç ve dýþ að kurmak, hatta iki DNS sunucusu oluþturulmak saðlýklý bir uygulama olacaktýr.
IPSec 3 protokol yolu kullanmaktadýr 500 UDP ISAKMP trafiði, ID 50 ESP, ID 51 AH. Ek olarak L2TP/IPSec VPN 1701 UDP, IPSec portlarý yeni conf sistemlerine ek olarak 4500 kullanýlabilir. IPSec gelen ve giden ias üst bilgisi için 50 (0x33), IPSec gelen ve giden sarma Güvenlik Ýletiþimi Kuralý için 50 (0x32), gelen ve giden ISAKMP/Oakley akýþý içinse 500 (0x1F4) kurallarý kullanýlýr. Sizlere IPSec'in administrators grubunun kullandýðý portlarý blokladýðýný söylemiþtim, sistem içerisinde farklý bir yapýlandýrma sonucunda firewall kullanmak zorunda kalabilirsiniz. Bu nedenle dikkat edilmesi gereken bazý durumlar söz konudur. Ýlk husus statik paket filtreleme kullanýmýdýr, diðer unsur ise IPSec kullanýmý esnasýnda firewall'da yapýlandýrýlmýþ olan NAT'ýn að adres dönüþümlerini destekleyen yapý, IPSec konfigürasyonuna destek göstermemesidir. Bu 2 kavramýn ortak ve sorunsuz çalýþabilmesi için hem sunucu hem de istemcinin yeni sürüm olan NAT-T kullanmalarý gerekmektedir. Firewall yapýlandýrýlmasýndaki ilk göze alýnacak deðerler IPSec ve VPN uygulamalarý olacaktýr. Eðer böyle bir uygulama çalýþtý yor iseniz, firewall conf ayarlarý muhakkak bu 2 özelliðin çalýþmasý doðrultusunda yapýlmalýdýr.
Bu doðrultuda ESP, ISAKMP, AH trafiklerine de izin verilmesi gerekmektedir. Firewall uygulamalarýnda açýk býrakýlmasý gereken portlarýn korunmasý yine yukarýda bahsettiðim gibi IPSec (Kimlik Denetimi) olarak yapýlabilir. IPSec L2TP için güvenliðini Internet Anahtar Deðiþimi (IKE) sertifika temelli kimlik doðrulama kullanarak belirler. IPSec engeli ancak iþ istasyonu pozisyonunda olan sunucu makine tarafýndan verilen deðerlere göre kaldýrýlabilir. Son olarak uçbirim servislerinin kullandýðý 3389 nolu porta sýnýrlý kullanýcý atayýn ve diðer ulaþýmlar için kullanýmýný engelleyin.
IPSec ilkelerinde 2 depolama konumu bulunmaktadýr. Bir etki alaný içerisinde bulunmayan bilgisayarlar. regedit'te local olarak tanýmlanmaktadýr. Belirlenemeyen bir durum sonucu baðlantý kopar ve sonlandýrýlamamýþ bir görev oluþursa, önceki bilgiler regedit içerisinde ön belleðe alýnýr. IPSec baðlantýsýnýn baþlamasý esnasýnda baðlantýyý kurmak isteyen bilgisayar, içinde bulunan süzgeç listesine göre eþleþme ve denetleme yapar. IPSec sürücüsü ISAKMP'e karþý tarafla güvenlik anlaþmasýnýn baþlayacaðýný bildirir. Bu adýmdan sonra iki adres arasýndaki ilk paylaþým baþlar, anahtar deðiþimi ile ortak anahtar ve güvenlik iliþkileri belirlenir. Bu adým sonrasý kaynak adres, karþýya gönderilen IPSec Security Association (SA) kullanarak paketlerin þifrelenmesini ve üst bilgilerin pakete yerleþtirilmesini saðlar. Bu adýmdan sonra da kullanýlan protokol veya protokoller aracýlýðý ile transfer iþlemi baþlar. Hedef bilgisayar aldýðý veriyi IPSec sürücüsüne yükler. En son ise verinin anahtarlanmasý ve tersine iþlemle veri okunur hale gelir. Bilmem anlatabildim mi?
Katman Ýki Tünel Oluþturma Ýletiþim Kuralý (L2TP)
Bir etki alanýna dahil olan kullanýcýlar için oluþturulmuþ bu politikada veri güvenliði için þifreleme unsurlarý kullanýlýr. Ýki Tünel iletiþim Kuralý (L2TP/IPSec) L2TP paketlerinin güvenliðini saðlar. L2TP ile özel bir aða VPN baðlantýsý kurabilirsiniz. Özellikle AppleTalk RS-232 amaçlý kullanýlmaktadýr. L2TP/IPSec VPN 1701 UDP kullanýlmaktadýr, normal durumlarda PPTP ile ayný iþleve sahip internet tünel iletiþim kuralýdýr. L2TP için özel bir baðlantýnýzýn olmasý þart deðildir. Normal internet baðlantýsý olan her kullanýcý bu uygulamayý çalýþtýrabilir. IPSec L2TP kurmadan önce tünel sunucu arasýnda bir iletiþim kurmasý ve sistemin çalýþmasýný onaylatýr. L2TP, SPAP ve IPSec'li PAP gibi standart PPP esaslý kimlik doðrulama iletiþim kurallarýný kullanýr. Bu uygulama kullanýlacaksa kimlik doðrulama sertifikalarýnýn kullanýcýda bulunmasý gerekmektedir. Sertifikasyon hizmetlerinden en az bir tanesi (ortak anahtar) her iki baðlantý noktasýnda bulunmasý ve onaylatýlmýþ olmasý gerekmektedir.Tünel oluþturma kavramý sizlere aslýnda yabancý deðildir diye düþünüyorum. Web dillerinde kullanýlan tünel kavramýndan biraz farklýdýr. Ancak amaç aynýdýr, bilginin saklanmasý... L2TP en önemli özelliklerinden biri ise ( L2F- PPTP ) gibi IP-IPX-NetBEUI çerçevelerini birleþtirip saklamasýdýr.
L2TP aracýlýðýyla gerekli güvenlik denetimleri ve düzenlemeleri gerçekleþtirilebilir. Normal aðlardan daha güvenli bir þifreleme uygular. Herhangi bir aða eriþim Windows Routing And Remote Access (RRA) üzerinden yapýlýyorsa, VPN uygulamalarý için L2TP/IPSec'in kullanýmý önem taþýmaktadýr. Böylelikle kimlik denetimi saðlamlaþtýrýlmýþ olur. Son olarak L2TP TCP/IP yýðýnýna baðlýdýr ve TCP/IP üzerinde yapýlacak deðiþiklikler L2TP'yide etkileyecektir. Bu özellik nedeniyle VPN eriþimi kurulduðu zaman RRAS sunucusunda L2TP/IPSec ve PPTP portlarý yapýlandýrýlýr. L2TP/IPSec NAT ile uyumlu deðildir. Nedeni NAT'ýn kaynak adresini deðiþtirmesidir, bu sorun NAT-T ile giderilebilir.
Noktadan Noktaya Ýletiþim Kuralý (PPP)
Ortak iþlemler için çaðrýlan uzaktan eriþim yazýlýmlarý için oluþturulmuþ iletiþim kümesin PPP, standartlar dahilinde tüm PPP sunucularý vasýtasýyla uzaktaki aðlara baðlanma imkaný vermektedir. Bu nedenle TCP/IP- NetBEUI, IPX iletiþim kurallarýný desteklemektedir. PPP tabanlý baðlantýlar için þifreleme MPPE tarafýndan yapýlmaktadýr 128-40 bit. PPP verileri þifrelediði gibi verileri sýkýþtýrma ve kimlik doðrulama yöntemlerini desteklemektedir. PPP kullanýcý düzeyi kimlik doðrulama yöntemlerini kullanarak (CHAP, SPAP, MS-CHAP, isteðe baðlý EAP) kimlik doðrulamasý yapar. PPP tüm RFC standartlarýna uyumlu bir þekilde çalýþmaya olanak saðlar. Zaten bu nedenden dolayý noktadan noktaya iletiþimde ilk sýralarda yer almýþtýr.
PPP çerçevelenmesi için, Baðlantý Denetim Ýletiþim Kurallarý (LCP)
kullanýlmaktadýr. Çerçeve adýndan da anlaþýldýðý gibi, verinin nasýl saklanacaðý sorusuna cevap verir. Ýlk olarak saklama biçimi þekillendikten sonra PPP baðlantýsý baþlamýþ olur. Bunun ardýndan Kimlik Doðrulama Ýletiþim Kurallarý aracýlýðýyla güvenlik düzeyi belirlenir. Bu seviyeyi sunucu belirlemektedir. Baðlantý isteyen sunucunun isteði doðrultusunda kon figüre edilmek zorundadýr. Baðlantý ayarlarý içinde NCP kullanýlmaktadýr. Her bir baðlantý için, karþý sistemin yapýsý gereði farklý iletiþim kurallarý ayarlanýr. Baðlantý saðlandýktan sonra, iþlemin bitmesi ile kullanýcý tarafýndan baðlantý direk sonlandýrýlýr. Win 2000 prof. ve diðer baðlantýlar, Win server gelen baðlantýlar için sonradan yapýlandýrmaya gerek kalmaz, varsayýlan deðer kullanýlýr. Doðru yapýlan baðlantýlarda PPP çevirmeyi otomatikman yapacaktýr. Ýleriki safhalarda arayan baðlantýya göre belirli ayarlamalar yapýlabilirsiniz.
PPP özgün paketlerin iletiþim kurallarýný kullanabilir, bunlar IPC, IPXCP, NBTP, ATCP olarak çeþitlilik gösterir. Bunlarýn en yaygýn kullanýlaný IPXCP'dir. Novel sistemlerde bu kurala alternatif olarak IPX WAN kullanýlmaktadýr. Sistem yöneticilerinin bu özelliði kullanarak güvenilir bir politikasý oluþturmasý mümkündür. Örneðin Kimlik doðrulama ve diðer imkanlar aracýlýðýyla, remote uygulamalarda PPTP süzme iþlemini tanýmlayabilirler. Bu yolla da istemcilerden sadece kimlik doðrulamasý yapmýþ olanlar, sýkýþtýrýlmýþ ve þifrelenmiþ verilerden yararlanabilir.
PPP için RFC'ler
1332 PPP IPCP
1334 PPP
1552 PPP IPXCP
1549 PPP HDLC
1661 PPP LCP
1990 PPP Çoklu baðlantý
2284 PPP EAP
PPP konfigürasyonu için ilk önce að baðlantýlarý bölümünde, ayarlar sekmesinden tüm gerekli ayarlamalarý yapabilirsiniz. Örneðin LCP'nin baðlatýlýp, devre kalmasý gibi...
Parola Kimlik Doðrulama Ýletiþim Kuralý (PAP)
Parola Kimlik Doðrulama Ýletiþim Kuralý (PAP), en az geliþmiþ ve düz metin olarak çalýþan bir yapýdýr. Bu yapý güvenli olmadýðý için en son tercih olarak kullanýlmalýdýr. Diðer iþletim sistemlerine baðlantý içinde kullanýlabilir. Uzakta çalýþan bir sunucuyla iliþki kurulmak istendiðinde, PAP bilgisayarýnýzý þifresini gönderir ve güvenlik belgelerini veritabaný ile denetler. PAP isteðe baðlý þifrelenir.
Çekiþme El Sýkýþma Doðrulamasý Ýletiþim Kuralý (CHAP)
Çekiþme El Sýkýþma Doðrulamasý Ýletiþim Kuralý (CHAP), Message Digest 5 (MD5) aracýlýðýyla görüþme saðlar. Sunucu ile iliþkilendirildiðinde, sunucu bilgisayar dimlik doðrulamasý ister ve þifreli yanýt gönderilerek sunucunun denetlemesi saðlanýr. CHAP MD5'i destekleyerek PPP hizmetlerine güvenle baðlanabilirsiniz. CHAP güvenlik gerektirmez ancak sunucuda yapýlacak ayarlamalar sonucu, bu özelliði kullanýlýrsa, normal bir baðlantý sunan sunucuya baðlanma esnasýnda isteminiz askýya alýnýr. Güvenli parola gerektir ve akýllý kart uygulamalarýnda kullanýlamaz. Microsoft bu kuralý kendine uygun hale getirmiþtir.
" MS-CHAP sonrasýnda da MS-CHAP V2 "
Shiva Parola Doðrulama Ýletiþim Kuralý (SPAP)
Shiva Parola Kimlik Doðrulama Ýletiþim Kuralý (SPAP), Shiva client ve Windows 2000 server 'a baðlanabilirsiniz. Güvensiz parolaya izin verir ve þifreleme gerektirmez.Þifreleme isteðe baðlýdýr, ancak spap kullanýmý zorunlu ise þifre isteyemezsiniz. ve Windows 2000 istemcileri Shiva sunucularýna baðlanabilirler.
Microsoft Çekiþme El Sýkýþma Doðrulamasý Ýletiþim Kuralý (MS-CHAP) (MS-CHAP v2)
CHAP'ýn geliþtirilmiþ versiyonu diyebiliriz. MS-CHAP network içerisinde standart kullanýma uygun özelliði sayesinde Windows istasyonlarýnda kimlik doðrulamasý için oluþturulmuþtur. Tek yönlü þifreleme kullanýr. Þifreleme ve güvenli parola gerektirmektedir. Ýsteðe baðlý veya zorunlu þifreleme isteyen sunuculara baðlanabilir. PPP baðlantýlarýnda güvenli olduðu için tercih edilmektedir. Baðlantý esnasýnda sunucu MS-CHAP ve MS-CHAP v2'den kimlik doðrulamasý ister. Bu iþlemler öncekiler gibi devam eder ama farklý en son istediði kimlik doðrulama mekanizmasýdýr. MS-CHAP v2 önceki sürümünde meydana gelen deðiþim sýrasýndaki parola uyuþmazlýðýný gidermek için oluþturulmuþtur. MS-CHAP v2'de gönderme ve almada farklý þifreleme anahtarlarý kullanýr.
Geniþletilebilir Kimlik Denetimi Ýletiþim Kuralý (EAP)
Geniþletilebilir Kimlik Denetimi Ýletiþim Kuralý (EAP), PPP'de ek kimlik denetim yöntemlerini desteklemesi için geliþtirilmiþtir. Að içerisinde dizin bozma ve brutelforce uygulamalarýna karþý aþýrý dayanýklý bir yapýdadýr. MD5-TLS denetim kurallarýný kullanýlmaktadýr. EAP/TLS akýllý kartlarla kullanýlmaktadýr. Bu nedenle verilerin yapýlandýrýlmasý daha kolay ve güvenli olur. EAP/TLS yapýlandýrýldýðýnda sunucuya baðlandýðýnýz an kimlik doðrulamasý yapýlamýyorsa baðlantý direk kesilir. [ Sanýrým Böyle olmasý gerekir ] Çünkü kimlik kanýtladýðý içindir. MS-CHAP v2'ye benzer noktalarý bulunmaktadýr. Bu iki yapýda parola kimlik doðrulamasý yolu ile yeni þifreleme imkaný oluþturabilirsiniz.
IPSec Yapýlandýrýlmasý
Sizlere IPSec'in yapýlý bir þekilde geldiðini belirtmiþtim. Hazýr halde gelen bu 3 deðeri IPSec yapýlandýrmasý için ilk önce iki makine arasýnda yapýlandýrmayý görelim.
Birinci makinenin IP'si 172.18.0.1 ikinci makine ise 172.18.0.2 olsun.
bu uygulama için 2 seçenek kullanacaðýz. Aslýnda ikiside ayný ancak yeni oluþturulan MMC daha kapsamlý kullanýmlar ve yönetimler için yapýlandýrýlabilir.
Ýlk olarak RUN\ secpol.msc yazýyoruz. Karþýmýza Yerel Güvenlik Ýlkesi GPO paneli çýkýyor. Bu panelde en soldan en altta bulunan Yerel Makine Üzerinde Güvenlik Ýlkeleri ( IP Security Policy Management ) paneline týklayýn. Bu adým makineniz üzerinde çalýþan yapýlandýrmayý belirtir. Ancak biz MMC olarak yeni bir konsol açacaðýz.
Þimdi RUN \ MMC yazýn, açýlacak Konsol1 alt penceresinde Konsol kökü bizim yeni kuralýmýz olacak bunun için konsol1'den Konsol \ Ek bileþen ekle kaldýr diyoruz. Açýlan pencerede politika ismini belirledikten sonra ekle diyoruz. Saðda açýlacak pencerede gösterilen seçeneklerden Yerel Makine Üzerinde Güvenlik Ýlkeleri ( IP Security Policy Management ) seçeneðini ekle diyoruz. Burada size bazý seçenekler sunulacak, bu seçeneklerden en üstteki sekme ( Yerel Bilgisayar ) bizim tanýmlamamýz olacak. Diðer seçenekler ise ait olduðunuz etki alanlarýna belirli izin ve sýnýrlamalar k****k amacýyla yapýlandýrýlýr. Biz en üstteki sekmeyi aynen býrakýp ekle ve tamam diyoruz. ikinci açýlan pencereye de tamam dedikten sonra konsol köküne geliyoruz. eklemiþ olduðumuz Yerel Makine Üzerinde Güvenlik Ýlkeleri ( IP Security Policy Management ) 'e týkladýðýmýzda standart gelen 3 yönetimi görüyoruz. Ýlk adýmda bir etki alanýna dahil olmadýðýmýzý düþünerek 1. adýmý atalým. Saðda bulunan client ( istemci yalnýzca yanýtla) seçeneðine gelin, add ( ekle ) seçeneðine gelin next ( ileri ) dedikten sonra tünel uç noktasýný belirtmemiz gerekiyor ve 172.18.0.1 yazýyoruz ve ileri diyoruz. Gelen pencerede bize hangi network uygulamasý için yapýlandýrma yapacaðýmýz seçeneðini sunuyor. Bizimkisi yerel aðda olduðu için yerel að diyoruz. Gelen pencerede sertifika veya kerberos seçeneklerini kullanýyoruz. elimizde harici bir sertifika olmadýðý için kerberos seçeneðinden ileri diyoruz.
Þimdi bir etki alanýna dahil olmadýðýmýzý düþünerek bu uygulama bizi bir etki alanýna dahil edecektir.
Ýkinci adým asýl olay diyebilirim. tekrar client ( istemci yalnýzca yanýtla) týklýyoruz ve ekle diyoruz. burada uygulama adýný belirtiyoruz. Þifreleme yazabilirsiniz. Ekle diyoruz ve Specific IP adress (benim IP adresim) seçeneðimi seçiyoruz. ileri dedikten sonra uç nokta olan 172.18.0.2 adresi için Belirli bir IP adresi seçeneðini seçip buraya gerekli adresi yazýyoruz ve ileri diyoruz. iletiþim kuralýný ise herhangi biri diyorum. Çünkü yapýlacak iþleme göre bu uygulama deðiþtirilir ve son diyoruz. Þimdi bir filtreleme unsuru eklememiz gerekli yeni filtre uygulamasýna geliyoruz. Görünen güvenlik seçeneðini iþaretleyin ve varsayýlan durum için 3DES ve SHA1 seçeneðini iþaretleyin ve tamam diyin. Accept unsecured communication, but always respond using IPSec seçeneðini iþaretleyin ve filtreleme kutucuðuna görülen yazýn. görülen seçeneðine týklayýn ve belgeleme özelliklerine gelin burada ekle diyerek, istediðiniz bir anahtar girin. bunun uzun olmasý sizin için daha saðlýklý olacaktýr. Þimdi keyberos seçeðine gelip remove diyin çünkü artýk yeni bir politikanýz var. Close diyin ve gelen giden adreslerini tekrar oluþturun.
Þimdi belirlediðiniz protokole týklayýn ve genel sekmesine gelin, geliþmiþ sekmesinden anahtarýn hangi aralýklarla deðiþtirileceðini belirtin yahutta, PFS özelliðini aktif edin tüm bunlar sizin istemlerinize kalmýþ. Yine en son pencereden yöntemler sekmesiyle Þifrelemeyi, bütünlüðü ve diffie-hellman grubunun seviyesini belirleyebilirsiniz.
Kullanýlan bütünlük algoritmalarý : MD5-SHA1
Þifreleme algoritmalarý :3DES-DES
Diffie-Hellaman Grubu: Düþük-orta
buradan sonrasý kolay að baðlantýlarým özelliklerinde TCP'yi istenilen deðerler doðrultusunda deðiþtirebilirsiniz. Ancak unutmayýn özel bir að kullanacaðýnýz için güvenli sekmesini seçmeyi unutmayýn
Sistem loglarýný kullanýn.
Sistemleriniz çalýþtýrýlan her bir uygulamanýn kayýtlarý kendi içerisinde barýndýrmaktadýr. Çalýþtýrýlan her bir uygulama ve baðlantý için Windows kayýt tutar. IPSec ile yapmýþ olduðunuz baðlantýlar içinde bir log tutulacaktýr. Bu amaçla bu kavramý bilmeniz büyük fayda var. Sistem içerisinde yazýlan loglar .evt formatýnda saklanmaktadýr. Bu kayýtlar belirli aralýkla silinebileceði gibi, bellek deðerinin yükseltilmesi ile devamlý loglanmasý saðlanabilir. Bu nedenle sisteminize kurmuþ olduðunuz, að filtreleme araçlarý ve þifreleme unsurlarýnýn düzgün çalýþýlýrlýðý daimi olarak konrol etmek zorundasýn. Yani sistem loglarýný düzenli aralýklarla kontrol etmeniz, güvenliðin tam olarak saðlanmasýndaki en önemli adým sayýlabilir. Sistem içerisinde yapýlan her uygulama loðlandýðýndan, tutulan bu loglarýn temizlenmesi durumunda da sistem bunu loglar. Ancak bazý araçlar ile bu loglarýn tutulmasý engellenebilir. Sistemin loglarý silindiði durumlarda sistem size þöyle bir log sunar.
Kullanýcý : NT AUTHORITY\SYSTEM Kaynak : Security
Bilgisayar: LOCALHOST Kategori: Sistem Olayý
Denetim günlüðü temizlendi
Birincil Kullanýcý Adý: SYSTEM
Birincil Etki Alaný: NT AUTHORITY
Birincil Oturum Açma Kimliði: (********* **)
Ýstemci Kullanýcý Adý: syntax
Ýstemci Etki Alaný: LOCALHOST
Ýstemci Oturum Açma Kimliði: (** *** ****)
Bu loglarýn incelenmesi sonucu, kimin yahut kimlerin hangi iþlemleri yaptýðý rahatlýkla gözlemlenebilir. Bu loglarý görmek için Denetim masasý \ Yönetimsel Araçlar- \ Olay görüntüleyici seçeneði yahut ta aþaðýdaki komut yardýmýyla istediðiniz. Bir yere göndermeniz yeterli olacaktýr. Sistem loglarýnýn yerlerinin deðiþtirilmesi, güvenlik için önemli bir uygulama olabilmektedir. Windows XP ile bunu yapabilirsiniz. Ek olarak Windows NT içerisinde bulunan özellikler ile að ortamýnda karþý cihazlarýn baðlanmasýný istemediðiniz. Ancak Casus kiþilerin sisteminizi test etmesini görebilmek için onlara tuzaklar kurabilirsiniz Ancak önceden hatýrlatayým bu özellik ileri düzey kullanýcýlar için geçerlidir. Olaydan Tuzaða Çevirme Run\" evntwin.exe " aracý ile bu uygulamayý baþlatabilirsiniz.
Run- \ CMD
Microsoft Windows **** [Sürüm ******]
(C) Telif Hakký 1985-2000 Microsoft Corp.
C:\\cd winnt\system32\config
C:\WINNT\system32\config\dir
C sürücüsündeki birimin etiketi yok.
Birim Seri Numarasý: *******
C:\WINNT\system32\config dizini
27.09.2004 22:18 \DIR\ .
27.09.2004 22:18 \DIR\ ..
27.09.2004 14:13 65.536 AppEvent.Evt
27.09.2004 21:24 122.880 default
25.09.2004 11:46 81.920 default.sav
27.09.2004 21:23 20.480 SAM
26.09.2004 12:52 545.040 SecEvent.Evt
27.09.2004 21:23 28.672 ******
27.09.2004 22:49 146.336 ******
27.09.2004 22:49 92.432 *******
27.09.2004 22:20 9.244.672 software
25.09.2004 11:46 540.672 software.sav
27.09.2004 14:13 65.536 SysEvent.Evt
27.09.2004 21:24 2.723.840 system
27.09.2004 21:24 2.723.840 SYSTEM.ALT
25.09.2004 11:46 364.544 system.sav
25.09.2004 11:46 139.264 userdiff
27.09.2004 22:49 \DIR\ ytsec2
15 Dosya 17.479.756 bayt
3 Dizin 38.651.373.568 bayt boþ
C:\WINNT\system32\config\xcopy *.evt D:\loglar
D:\loglar hedefteki bir dosya adýný mý
bir dizin adýný mý belirtiyor
(D = dosya, Z = dizin)? d
C:AppEvent.Evt
C:SecEvent.Evt
C:SysEvent.Evt
3 dosya kopyalandý
C:\WINNT\system32\config\ start d:\dosyalar
Kopyalanan 3 dosyayý herhangi bir yazý editörü aracýlýðý ile açabilir. Geçen deðerleri rahatlýkla takip edebilirsiniz...
Saygýlar.