IP spoofing hakkında (Güven ilişkisi kullanımı)

[BÖLÜM I. ALTYAPI BİLGİSİ]

--[ Oyuncular ]--
A: Hedef makine
B: Güvenilen makine
X: Ulaşılamayan makine
Z: Saldıran makine
(1)2: Makine 1 kendisini makina 2 olarak gösteriyor

--[ Figürler ]--
Yazıda pek çok figür var ve aşağıdaki örnekteki gibi gösteriliyorlar:

tick makine a kontrol makine b
1 A ---SYN---> B

tick: Bir zaman süresi. Ne kadar süre geçtiği konusunda bir belirleme yapılmamıştır. Sadece bir sürenin geçtiğini belirtir. Genelde çok da önemli değildir.

makine a: TCP-tabanlı bir bağlantıda yer alan bir makine.
kontrol: Bu alan TCP başlığında hangi bit’lerin ayarlanmıi olduğunu ve bilginin akış yönünü gösterir.
makine b: TCP-tabanlı bir bağlantıda yer alan bir makine.

Bu durumda, zamanın ilk referans noktasında makine a SYN bit’I açık olan bir TCP segment’ini makine b ye göndermektedir. Özellikle belirtilmedikçe TCP segment’inin bilgi içeren kısmıyla ilgilenmiyoruz.

--[ Güven İlişkileri ]--

Unix dünyasında, güven kolaylıkla verilebilir. Diyelimki makine A da ve makine B de birer hesabınız olsun. Minimum miktarda zorlukla iki makine arasında gidip gelmeyi kolaylaştırmak için, makineler arasında full-duplex (çift yönlü) güven ilişkisi kurmanız gerekir. Makina A da ev dizininizde ‘echo “B kullanıcıismi” > ~/.rhosts’ ile bir .rhosts dosyası yaratırsınız. Makine B’de dec’echo “A kullanıcıismi” > ~/.rhosts’ ile bir .rhosts dosyası yaratırsınız. (Alternatif olarak root kullanıcısı /etc/hosts.quiv içerisinde benzer kurallar yaratabilir fakat aradaki fark bireysel değil bütün makine için geçerli oluşudur.) Artık herhangi bir r* komutunu şifre ile kimlik tanılama yapılmadan kolaylıkla kullanabilirsiniz. Bu komutlar adres-tabanlı kimlik tanılama yapacak ve servise isteği yapanın IP adresine bağlı olarak erişime izin verecek yada reddedecektir.

--[ Rlogin ]--

Rlogin TCP’yi kullanan basit bir istemci-sunucu tabanlı protokoldür. Rlogin kullanıcın bir makineden diğerine uzaktan login olabilmesini sağlar.Ve eğer hedef makine diğerine güveniyorsa rlogin şifre sormayacaktır. Bunun yerne istemcinin kimlik tanılamasını kaynak IP adresine göre yapacaktır. Yani, yukarıdaki örneğe göre, A dan B’ye, şifre sorgulaması olmadan uzaktan login olmak için kullanabiliriz.

--[ Internet Protokolü ]--

IP TCP/IP protokol takımındaki, bağlantısız, güvenilir olmayan bir ağ protokolüdür. Adres bilgisini tutmak için 2 adet 32-bit’lik başlığı vardır. Ayrıca IP TCP/IP protokol takımı içerisinde, hemen hemen tüm TCP/IP protokolleri IP datagram’ları içerisinde encapsulate edildiğinden, en meşgul olanıdır. IP’nin görevi ağda paketleri yönlendirmektir. Güvenilirlik ve dayanıklılık için hiçbir mekanizması yoktur ve bunlar için üst katmanlara dayanır. IP basitçe datagram’ları gönderir ve yerine ulaştığını umut eder. Eğer yerine varmazsa IP kaynağa ICMP hata mesajı gönderir fakat bu paketde kaybolabilir. (ICMP Internet kontrol mesajı protokolüdür ve ağ durumları ve farklı hataları IP ye ve diğer katmanlara yönlendirir) IP’nin teslimatı garantileyecek hiçbir yaptırımı yoktur. IP’de bağlantı kurulmadığından hiçbir bağlantı durumu bilgisi tutmaz. Her IP datagram’I bir önceki veya sonraki ile ilişkisi olmadan yollanır. Bu ve kaynak (ve hedef) alanlarındaki IP adreslerine istenilen değerlerin girilmesindeki kolaylık, IP’nin kolaylıkla kötü amaçla kullanılmasına yarayabilir.

--[ Transfer Kontrol Protokolü ]--

TCP, TCP/IP protokol takımında, bağlantı tabanlı ve güvenilir bir transfer protokolüdür. Bağlantı tabanlıdan maksat, bir karşılıklı konuşmada yer alacak iki makinenin, bilgiler el değiştirmeden önce bağlantı kurması gerektiğidir. Güvenilirlik bir kaç yolla sağlanır fakat bizim ilgilendiğimiz ikisi, bilgi sıralama (data sequencing) ve aldığını-onaylama (acknowledgement) dır. TCP her segment’e sıra numaraları verir ve her bir bilgi segment’inin karşı taraf tarafından alındığını onaylar. (ACK`ler sıra numarası kullanır fakat kendileri için ACK kullanılmaz.)
Bu güvenlik TCP’nin IP den daha zor kandırılmasını sağlar.

--[ Sıra numaraları, aldığını-onaylama ve diğer flag’ler ]--

TCP güvenilir olduğundan, kaybolmuş, tekrar edilmiş yada sırası bozuk bilgiler gibi durumlarla başa çıkabilmelidir. Transfer edilen her byte’a bir sıra numarası vererer ve bağlantının diğer ucundan alındığına dair onay gerektirerek güvenli teslimatı garanti edebilir. Alıcı taraf sıra numaralarını kullanarak bilginin düzenli sıralanmasını sağlar ve tekrarlanmış bilgi byte’larını yok eder.

--[ TCP Bağlantısı kurulması ]--

TCP kullanarak bilgi takas edilebilmesi için makinenin bir bağlantı kurması gerekir. TCP 3-yönlü el sıkışma (3-way handshake) adı verilen 3 adımlık bir işlem ile bağlantı kurar. Eğer makine A bir rlogin istemcisi çalıştırıyor ve makine B deki bir rlogin servisine bağlanmak istiyorsa işlem aşağıdaki gibidir:

(1) de istemci sunucuya bir bağlantı kurmak istediğini söylüyor. Bu SYN flag’inin tek amacıdır. İstemci sunucuya sıra numarasının geçerli olduğunu ve kontrol edilmesi gerektiğini söylemektedir. İstemci TCP başlığındaki sıra numarası alanını kendi ISN (başlangıç sıra numarası) na göre ayarlar. Sunucu, bu segment’I aldığında (2) kendi ISN’I ile (Bu yüzden SYN flag’I vardır.) cevap verir ve istemcinin ilk segment’inin alındığına dair bir ACK onayı (istemcinin ISN’I+1) gönderir. Sonra da istemci sunucunun ISN’ini ACK’ler (3). Artık bilgi transferi yapılabilir.

--[ ISN ve Sıra Numarası arttırımı ]--

Sıra numaralarının başlangıçta nasıl seçildiklerini ve zamanla nasıl değiştiklerini anlamak önemlidir. Başlangıç sıra numarası bir makine boot edildiğinde 1 ile başlar. (TCP bu değişkeni, başlangıç gönderme numarası olduğu için ‘tcp_iss’ diye adlandırır. Diğer sıra numarası değişkeni başlangıç alış numarası olduğundan ‘tcp_irs’ olarak adlandırılır ve 3-yönlü bağlantı kurulması sırasında öğrenilir. Aralarındaki fark bizim için şu an önemli değil.) Bunun yanlış olduğu, tcp_init() fonksiyonunda kullanıldığı yerde de yorum olarak belirtilmiştir. ISN her saniyede 128000 artar buda eğer hiç bağlantı olmazsa 32-bitlik ISN sayacının 9.32 saatte bir başa dönmesi demektir. Fakat, ne zaman bir connect() kullanılsa sayaç 64000 artar.

Bu tip tahmin edilebilir bir artışın en önemli sebeplerinden birisi o anki bağlantıya ait önceki bilgilerin tekrar gönderilip herşeyi bozmasını önlemek içindir. 2MSL bekleme süreleri bununla ilgilidir fakat bu yazının konusu dışında kalıyor. Eğer sıra numaraları bir bağlantı geldiğinde rastgele olarak seçilseydi numaraların daha önceki bir bağlantıdan kalıp kalmadığı konusunda bir garanti olmazdı. Eğer bir bilgi bir yerlerde rooting loop’a girip bir süre sonra kurtulduğunda yeni bir bağlantıya denk gelebilir ve işleri karıştırabilirdi.

--[ Port’lar ]--

TCP modülüne aynı anda farklı erişimlere olanak sağlamak için TCP, port adı verilen bir kullanıcı arabilirimi sağlar. Port’lar kernel’in ağ işlemlerini ayırt etmesinde kullanılır. Bunanlar kesin olarak transfer katmanı bireyledirler (yani IP bunlara çok önemsemez). IP adresi ile birlikte, bir TCP port’u ağ bağlantıları için bitiş noktası sağlar. Aslınd tüm internet bağlantıları istenildiğinde 4 adet numara ile tanımlanabilirler: Kaynak IP adresi, kaynak port, Hedef IP adresi ve hedef port. Sunucular farkli sistemlerde standart portlarda olsun diye ‘well-known’ port’lar olarak isimlendirilen portlara sınırlandırılmışlardır. Örneğin rlogin servisi TCP port 513 de çalışır.

[BÖLÜM 2 - SALDIRI]

...Şeytan eli boş olanlar için iş bulur....

--[ Kısaca... ]--

IP-spoofing çeşitli adımlardan oluşur. Bunların kısaca önbilgisini verip sonrada detaylı olarak açıklayacağım. Önce hedef makine seçilir. Sonra güvenilir bir makine ile güven ilişkisi bulunur. Güvenilen makine kapatılır ve hedefin TCP sıra numaraları örneklenir. Güvenilen makine sahiplenilir, sıra numaraları bulunur ve sadece adres-bazlı kimlik tanılama gerektiren bir servise bağlanılır. Eğer başarılı olursa, saldırgan `backdoor` bırakmak için basit bir komut çalıştırır.

--[ Gerekenler ]--

Bu saldırıyı birisinin gerçekleştirebilmesi için pek çok şey gereklidir:
(1) beyin, akıl, yada giğer bir düşünce cihazı
(1) hedef makine
(1) güvenilen makine
(1) saldırı yapılan makine (root yetkileri ile)
(1) IP-spoofing yazılımı

Genelde saldırı yapılan makinedeki root hesabından hedef makinedeki root hesabına saldırı yapılır.

--[ IP-Spoofing bir `Kör Saldırıdır` ]--

Çoğu zaman gözardı edilen ama IP-spoofing`de kritik bir faktör bu saldırının 'kör' (blind) oluşudur. Saldırganın hedef makinenin güvenliğini geçebilmesi için güvenilen makinenin kimliğine bürünmesi gereklidir. Güvenilen makine aşağıda tanımlanan metot ile kapatılır. Hedefin tek bildiği güvenilen bir arkadaşla konuşma olduğudur.

--[ Güven Modeli ]--

Bir hedef seçildikten sonra saldırgan güven modelini belirlemeli (hedef makinanın birilerine güvendiğini umuyoruz. Eğer güvenmeseydi saldırı burda biterdi). Bir makinenin kime güvendiğini bulmak kolay olabilirde olmayabilirde. ‘Showmount –e’ dosyas-sistemlerinin nereyle paylaşıldığını gösterebilir ve rpcinfo’da değerli bilgiler verebilir.

--[ Güvenilen makinenin günah seli ile kapatılması ]--

Güvenilen makine bulunduğunda kapatılmalıdır. Saldırgan onun yerini alacağı için bu makinenin hiçbir ağ trafiği almadığından ve işleri karıştırmayacağından emin olması gerekir. Bunu yapmanın pek çok yolu vardır. Benim anlatacğım yöntem TCP SYN seli (flooding).
Bir TCP bağlantısı bir istemcinin sunucuya TCP başlığında SYN etiketi olan bir istek yapmasıyla başlar. Normalde sunucu IP başlığındaki 32-bitlik adrese (istemciye) bir SYN/ACK cevabı geri dönecektir.

Saldıran makine kapanmasını istediği TCP port’una çok sayıda SYN isteği gönderir. Ayrıca saldıran makine o anda ulaşılamayan bir makineyi kaynak IP adresi olarak göstermelidir (hedef makine bu adreslere cevap dönmeye kalkacaktır). IP makinenin erişilemediği konusundan TCP’yi bilgilendirir fakat TCP bu hataları geçici olarak düşünür ve çözümünü IP’ye bırakarak (paketleri tekrar yönlendir vs) gözardı eder. IP adresi erişilmez durumda olmalı çünkü saldırgan hiçbir host’un hedeften SYN/ACK alıp bir RST cevabı dönerek saldırıyı bozmasını istemez. İşlem aşağıdaki gibidir:

fig(2)
1 Z(x) ---SYN---> B
Z(x) ---SYN---> B
Z(x) ---SYN---> B
Z(x) ---SYN---> B
Z(x) ---SYN---> B
...
2 X <---SYN/ACK--- B
X <---SYN/ACK--- B
...
3 X <---RST--- B

(1) de saldıran makine hedefe çok sayıda SYN isteği göndererek ‘backlog’ kuyruğunun bekleyen bağlantılarla dolmasını sağlıyor (unutmayın, bu saldırının bu safhasında hedef güvenilen makine).
(2) de hedef makine gelen SYN’lerin kaynağı olduğu sandığı adreslere SYN/ACK cevabı dönüyor. Bu süre içerisinde bu TCP portuna yapılan tüm istekler gözardı edilecektir.

YazarınNotu: [TCP SYN flooding hakkında detaylı bilgi için Phrack 49. sayısına bakabilirsiniz.]

--[ Sıra Numarası örnekleme ve tahmin etme ]--

Şimdi saldırganın hedef TCP’nin hangi 32-bitlik sıra numarası aralığında olduğu hakkında bir fikir sahibi olması gerekiyor. Saldırgan hedefte bir TCP port’una bağlanır (SMTP iyi bir seçim) ve hedef makinanın gönderdiği ISN’I kaydeder. Çoğu zaman bu işlem birden fazla kez tekrarlanır ve son gönderilen son ISN kaydedilir. Saldırganın hedeften kendisine RTT’nin (round-trip time – tur-döngüsü süresi) ne olduğu hakkında fikir sahibi olmalıdır.

--[ Yıkım... ]--

Saldırının en önemli kısmı burda gerçekleşir:

Saldıran makine IP adresini güvenilen makine (o hala DoS saldırısı ile boğuşuyor) gibi gösterip spoof yapar ve isteğini hedef makinedeki 513 nolu porta gönderir (1).

--[ Niye yapılabilmesine izin var? ]--

IP-Spoofing yapılabiliyor çünkü güvenilen servisler ağ adresine dayalı kimlik tanılama yapabiliyor. IP kolaylıkla taklit edilebileceğinden adres sahtekarlığı yapmak zor değil. Saldırının en zor kısmı sıra numarası tahmini çünkü tamamen tahmine dayalı. Bilinmeyenler ve tahminler minimuma indirgendiğinde saldırının gerçekleşmesi için daha çok şans vardır. Bir makine tüm gelen TCP’ye dayalı bağlantılarını Wietse Venema’nın TCP wrapper (sarıcı) ları ile sarsada hala bu saldırdan etkileniyor. TCP wrapper’lar kimlik tanılama için makine ismi yada IP adresine güvenirler.

[BÖLÜM 3 – KORUNMA]

--[ Güvenmeyin ve Güvenilen olmayın ]--

Bu saldırıyı önlemenin kolay yollarından biri adrese-dayalı kimlik tanılaması yapmamak. Tüm r* komutlarını kaldırın, tüm .rhosts dosyalarını kaldırın ve /etc/hosts.equiv dosyasını boşaltın. Bu tüm kullanıcıları uzaktan erişim için başka yollara zorlar (telnet, ssh, skey, vs).

--[ Paket Filtreleme ]--

Eğer siteniz Internet’e direk bağlı ise router’ınız size yardımcı olabilir. Önce sadece iç ağınızadki makinelerin güven-ilişkilerinde yer alabileceğinden emin olun ( iç ağdaki hiçbir makine ağın dışındaki bir makineye güvenmemeli). Sonra iç ağdan geliyormuş gibi görünen ve dışardan (Internet) gelen tüm trafiği filtreleyin.

--[ Kriptografik Metodlar ]--

IP spoof’u engellemenin en belirgin örneklerinden biri tüm ağ trafiğinin şifrelenmesi ve/veya kimlik tanılaması yapılmasıdır. Bu konuda çeşitli çözümler mevcut fakat bunların standart olması için biraz zaman geçmesi gerek.

--[ ISN – Başlangıç Sıra Numaralarını rastlantısallaştırma (randomizing) ]--

Sıra numaraları rastgele seçilmediğinden (veya rastgele arttırılmadığından) bu saldırı işe yarıyor. Bellovin, TCP için sıra numarası alanını parçalamaya dayalı bir çözüm sunuyor. Her bağlantının kendine ait ayrı bir sıra numarası alanı olmalı. Sıra numaraları önceki gibi artacaktır fakat bu alanlardaki numaralandırma arasında en ufak bir ilişki bulunmamaktadır. Önerilen formül aşağıdaki gibidir:

ISN=M+F(yerelmakine,yerelport,uzaktakimakine,uzaktakiport)

M 4 mikrosaniyelik zamanlayıcı ve F de kriptografik hash’dir. F dışarıdan hesaplanamamalı yoksa saldırgan hala sıra numaralarını tahmin edebilir. Bellovin F’nin bağlantı ID’sinin bir hash’I olmasını ve gizli bir vektör (rastgele bir sayı veya makinenin boot zamanı ile birleştirilen makineye ait bir gizli şey) tavsiye ediyor.