SSL/TLS İncelemesi ve Tarayıcı Arasındaki Kişi Saldırıları

HTTPS, Malware indirmeleri, C2 kanalları ve veri dışarı aktarma da dahil olmak üzere Web trafiğinin artık %90'ından fazlasını oluşturur. TLS'yi inceleyemeyen çevre güvenliği araçları yalnızca şifrelenmiş veri bloklarını görür ve saldırganların etkin biçimde yararlandığı bir kör nokta oluşturur. SSL/TLS denetimi (SSL interception, SSL bumping veya HTTPS için derin paket incelemesi olarak da adlandırılır), güvenlik ağ geçitlerinin HTTPS trafiğini uç noktaya ulaşmadan önce şifresini çözmesine, incelemesine ve yeniden şifrelemesine olanak tanır. Bu görünürlük, trafiğin çoğunun HTTPS olduğu ortamlarda Web içerik filtreleme, DLP ve kötü amaçlı yazılım taraması için zorunludur.

SSL denetimi, kuruluşun kendi güvenlik altyapısı tarafından gerçekleştirilen denetimli bir ortadaki adam işlemidir. Süreç şöyledir: 1. Adım: Client, kurumsal CA tarafından imzalanmış Proxy sertifikasını kullanarak Proxy'ye TLS bağlantısı kurar. 2. Adım: Proxy, Server'ın gerçek sertifikasını kullanarak gerçek Server'a ayrı bir TLS oturumu kurar. 3. Adım: Proxy, Client'tan gelen trafiğin şifresini çözer, trafiği inceler, ardından yeniden şifreleyip Server'a iletir (aynı işlem tersi yönde de gerçekleşir). Kurumsal CA sertifikası MDM veya Group Policy aracılığıyla tüm yönetilen uç noktalara önceden yüklendiği için Client, Proxy'nin sertifikasına güvenir.

Her trafik denetlenmemelidir. Kuruluşlar genellikle yasal veya etik açıdan hassas veriler taşıyan kategorileri istisna tutar: bankacılık ve Financial siteleri, Healthcare portalları, hukuki araştırma veritabanları, Certificate şeffaflığı ve OCSP URL'leri (Certificate doğrulamasını bozmamak için) ve Certificate sabitlemesi kullanan siteler (yeniden imzalanmış Certificate'ları reddederek uygulamanın bozulmasına neden olurlar). İstisnalar, denetim Policy'sinde bir atlama listesi olarak tutulur. Bazı yargı bölgelerinde çalışan izleme yasaları, kişisel Web gezintisinin denetlenmesini kısıtlayabilir ve kabul edilebilir kullanım Policy'lerinde açık bilgilendirme yapılmasını gerektirebilir.

Certificate sabitleme, bir uygulamanın belirli bir Server için beklenen Certificate'ı veya ortak anahtarı sabit olarak içermesi ve Certificate geçerli olup işletim sisteminin CA deposu tarafından güvenilse bile eşleşmediğinde bağlantıyı reddetmesi tekniğidir. Proxy'nin yeniden imzaladığı Certificate sabitlenmiş değerle eşleşmediği için bu yöntem SSL denetimini bozar. Mobil uygulamalar (bankacılık uygulamaları, ödeme uygulamaları), ortadaki adam saldırılarına karşı önlem olarak sıklıkla Certificate sabitlemesi kullanır. Enterprise, sabitlenmiş uygulamalar için denetimi atlamalıdır; aksi hâlde uygulamalar bozulur. Bu durum, SSL denetiminden kaçmak isteyen saldırganların Malware'lerine sabitleme özelliği ekleyebileceği anlamına da gelir.

SSL stripping, saldırganın HTTPS trafiğini yakalayıp HTTP'ye düşürdüğü ve içeriği düz metin olarak okumasına ve değiştirmesine olanak tanıyan bir ortadaki adam saldırısıdır. Saldırı, HTTPS'ye yönlendirilmeden önce HTTP olarak başlayan bağlantılarda çalışır: saldırgan ilk HTTP Request'ini yakalar, kurbanla HTTP bağlantısını sürdürürken meşru Server ile HTTPS bağlantısı kurar ve trafiği şeffaf biçimde aktarır. Kurbanın bakış açısından site HTTP gibi görünür. HTTP Strict Transport Security (HSTS), kullanıcı HTTP yazsa bile Browser'lara bir alan adı için her zaman HTTPS kullanmalarını söyleyerek SSL stripping'e karşı koruma sağlar.

Browser İçindeki Adam (MitB) saldırısı, Web Browser'ın içine — kötü amaçlı bir uzantı veya Browser sürecine kod ekleme yoluyla — yerleşen ve kullanıcı fark etmeden Web sayfalarını ve işlemleri değiştiren bir bankacılık Truva atı türüdür. Network üzerindeki ortadaki adam saldırısından farklı olarak MitB, şifrelenmiş oturumun içinde, Browser katmanında çalışır; bu nedenle TLS koruma sağlamaz. MitB Malware'i (Zeus, SpyEye) ödeme tutarlarını değiştirebilir, alıcı hesap numaralarını değiştirebilir, tek kullanımlık parolaları ele geçirebilir ve kullanıcı formları doldurduktan sonra bunları sessizce değiştirebilir. Değişiklikler, TLS şifrelemesinin çözülmesinden sonra ve kullanıcı işlenmiş sayfayı görmeden önce gerçekleşir.

Tarayıcıda araya girme kötü amaçlı yazılımı, uygulama katmanındaki tarayıcı API'lerine kancalar yerleştirir. Windows'ta, DLL enjeksiyonu veya COM ele geçirme kullanarak tarayıcı işlemlerine (Chrome, Firefox, IE) kod enjekte eder; ardından JavaScript işlevlerine ve DOM değiştirme API'lerine kancalar yerleştirir. Kullanıcı bankasını ziyaret ettiğinde kötü amaçlı yazılım, sayfayı ve işlem onayını oluşturan JavaScript'i ele geçirerek alıcı hesabını saldırganın hesabıyla değiştirir. Sunucu doğru işlemi görür; sunucu tarafındaki HTTPS günlüklerinde olağandışı hiçbir şey görünmez. Kullanıcı, amaçladığı tutar da dahil olmak üzere doğru onayı görür; ancak gerçek para transferi saldırganın hesabına gider.

Tarayıcıda araya girme saldırılarına karşı savunma, katmanlı denetimler gerektirir. Tarayıcı yalıtımı (Menlo Security, Zscaler Browser Isolation), tarayıcı görüntülemesini uzak bir bulut VM'sinde gerçekleştirir ve kullanıcının ekranına yalnızca pikselleri aktarır; kötü amaçlı yazılım uzak bir ortamda çalışan tarayıcı işlemine kod enjekte edemez. İşlem doğrulama: bankalar, işlem ayrıntılarını (tutar + alıcı) bant dışı bir kanal üzerinden (işlem ayrıntılarını içeren SMS OTP) doğrular; böylece kullanıcının sunucunun gerçekte aldığı bilgileri doğrulaması gerekir. Tarayıcı işlemlerine DLL enjeksiyonunu algılayan uç nokta EDR, tarayıcıda araya girme bulaşmalarını belirleyebilir. Tarayıcı uzantılarına izin listesi uygulamak, kötü amaçlı uzantıları engeller.

Kötü amaçlı tarayıcı uzantıları, uç noktalar için önemli bir tehdit oluşturur. Uzantıların geniş izinleri vardır; sayfa içeriğini okuyabilir, istekleri değiştirebilir, form gönderimlerini ele geçirebilir ve çerezlere erişebilirler. Yararlı bir araç (reklam engelleyici, karanlık mod) gibi görünen bir uzantı, kimlik bilgilerini toplayabilir, reklam enjekte edebilir, trafiği başka yere yönlendirebilir veya tarayıcıda araya girme aracısı olarak çalışabilir. Kurumsal denetimler: uzantı yüklemesini onaylanmış bir izin listesiyle sınırlamak için Group Policy veya MDM kullanın. Uzantı yüklemesini Chrome Web Store ya da Firefox Add-ons dışındaki kaynaklardan engelleyin. Yönetilen uç noktalarda yüklü uzantıları, ilke ihlallerine karşı düzenli olarak denetleyin.

SSL denetimi uygulayan kuruluşlar, çalışanlar açısından doğuracağı gizlilik sonuçlarını ele almalıdır. Birçok hukuk sistemi ve iş yasası, şifrelenmiş trafiği izlemeden önce açık bir bildirim yapılmasını zorunlu kılar. En iyi uygulamalar şunlardır: HTTPS dahil ağ trafiğinin incelenebileceğini açıkça belirten bir Kabul Edilebilir Kullanım İlkesi (AUP) yayımlamak; çalışanların işe alım sürecinde AUP'yi kabul ettiğini teyit etmesini sağlamak; kişisel bankacılık ve sağlık siteleri için muafiyet kategorileri uygulamak; şifresi çözülmüş trafik günlüklerini yalnızca gerektiği kadar (genellikle 30-90 gün) saklamak. Özellikle GDPR'nin çalışanların izlenmesine daha sıkı sınırlamalar getirdiği EU ülkelerinde, dağıtımdan önce hukuk danışmanı denetim programını incelemelidir.

Certificate Transparency, tarayıcılar bunlara güvenmeden önce, kamuya güvenilen tüm TLS sertifikalarının kamuya açık şekilde denetlenebilir ve yalnızca ekleme yapılabilen CT günlüklerine kaydedilmesini zorunlu kılan bir çerçevedir (RFC 6962). CT, alan adı sahiplerinin yanlış düzenlenmiş sertifikaları izlemesini sağlar: saldırgan bir şekilde CA'yı alan adınız için sertifika düzenlemeye ikna ederse (2011'de DigiNotar olayında olduğu gibi), CT günlükleri gerçeğe çok yakın zamanda tespit yapılmasına olanak tanır. crt.sh gibi araçlar, güvenlik ekiplerinin alan adları için düzenlenmiş tüm sertifikaları CT günlüklerinde aramasını sağlar. Tarayıcılar, TLS el sıkışmasına gömülen günlük dahil etme kanıtını (Signed Certificate Timestamps, SCT'ler) zorunlu tutarak CT'yi uygular.

Bu derste şunları öğrendiniz: SSL/TLS denetimi, yönetilen uç noktaların güvendiği kurumsal bir CA sertifikasını kullanan proxy üzerinden HTTPS trafiğinin şifresini çözer, trafiği inceler ve yeniden şifreler; SSL stripping, HTTPS'yi HTTP'ye düşürür ve buna HSTS ile karşı konur; tarayıcıda araya girme saldırıları, işlemleri görünmeden değiştirmek için TLS katmanının üzerindeki tarayıcı işlemine kod enjekte eder ve bunlara karşı savunma olarak tarayıcı yalıtımı veya bant dışı işlem doğrulaması gerekir. Sırada, güvensiz protokolleri güvenli eşdeğerleriyle değiştirmeyi inceleyeceğiz.