Açık Metin Protokolleri: Saldırganlar Ne Görür

HTTP, tüm verileri şifreleme olmadan düz ASCII metni olarak iletir. HTTP üzerinden bir giriş formu gönderdiğinizde tarayıcı, kullanıcı adınızı ve parolanızı açık metin olarak içeren bir POST isteği gönderir. Aynı ağ kesimindeki herkes veya sizinle sunucu arasındaki herhangi bir yönlendirici, kimlik bilgileri, oturum çerezleri ve hassas form verileri dahil olmak üzere isteğin tamamını okuyabilir.

Telnet, SSH'den önce kullanılan standart uzak terminal protokolüydü. Telnet oturumunda yazılan her tuş, sunucuya tek bir şifrelenmemiş TCP paketi olarak gönderilir. Ağ trafiğini yakalayan bir saldırgan, giriş sırasında yalnızca kullanıcı adını ve parolayı değil, yazılan her komutu ve görüntülenen her çıktı satırını da görür; böylece herhangi bir kriptografik engel olmadan oturumu tamamen ele geçirebilir.

FTP, TCP'nin 21 numaralı bağlantı noktasında açık metin olarak gönderilen bir USER komutunun ardından bir PASS komutuyla kimlik doğrulaması yapar. Bir FTP girişinin paket yakalaması, kimlik bilgilerini olduğu gibi gösterir. Dosya aktarım kanalı FTPS ile şifrelenmiş olsa bile ilk kimlik doğrulama alışverişi parolayı tüm gözlemcilere açığa çıkarır. Eski FTP sunucuları kurumsal ortamlarda yaygın olarak bulunur ve kolay kimlik bilgisi toplama hedefleri oluşturur.

TLS olmadan kullanılan POP3 (110 numaralı bağlantı noktası) ve IMAP (143 numaralı bağlantı noktası), e-posta kimlik bilgilerini ve iletilerin tamamını açık metin olarak gönderir. Kullanıcı, şifrelenmemiş bir posta sunucusu yapılandırmasıyla bir kafedeki Wi-Fi ağı üzerinden e-posta istemcisini açtığında, indirdiği her e-posta ağdaki diğer tüm cihazlar tarafından okunabilir. POP3S (995 numaralı bağlantı noktası) ve IMAPS (993 numaralı bağlantı noktası) sürümlerine geçmek, bağlantının başlangıcından itibaren TLS kullanılmasını sağlar.

MySQL (3306 numaralı bağlantı noktası) ve PostgreSQL (5432 numaralı bağlantı noktası) gibi veritabanı sunucuları varsayılan olarak şifrelenmemiş bağlantıları destekler. Veritabanına SSL kullanımı zorunlu kılınmadan bağlanan uygulama sunucuları, hassas kişisel veriler de dâhil olmak üzere sorguları ve sonuçlarını ağ üzerinden açık metin olarak gönderir. İç ağlar çoğu zaman güvenilir kabul edilir; ancak herhangi bir yerden erişim elde eden saldırganlar veritabanı trafiğini hemen dinlemeye başlayabilir.

389 numaralı bağlantı noktasındaki LDAP (Lightweight Directory Access Protocol), dizin sorgularını ve kimlik doğrulamasını açık metin olarak iletir. Kimlik doğrulaması için Active Directory kullanan kurumsal ortamlarda LDAP bağlama işlemleri, kullanıcı adlarını ve parolaları iç ağda açığa çıkarabilir. 636 numaralı bağlantı noktasındaki LDAPS TLS kullanır ve 389 numaralı bağlantı noktasındaki STARTTLS bağlantıyı daha güvenli hâle getirebilir; ancak bunlar her zaman zorunlu tutulmaz.

Redis, varsayılan olarak kimlik doğrulaması ve TLS olmadan 6379 numaralı bağlantı noktasını dinler. Parola olmadan ağa açık bir Redis örneği, herhangi bir istemcinin depolanan tüm anahtarları okumasına, istediği komutları çalıştırmasına ve hatta yapılandırma dosyalarını yazmasına olanak tanır. Redis 6.0 (2020) TLS desteğini ekleyene kadar önbellek verileri ve oturum belirteçleri de dâhil olmak üzere tüm Redis trafiği ağ üzerinde tamamen açıktaydı.

Yaygın olarak kullanılan bir önbellekleme katmanı olan Memcached'in yerleşik bir kimlik doğrulama mekanizması yoktur ve tüm verileri TCP'nin 11211 numaralı bağlantı noktası üzerinden açık metin ASCII olarak gönderir. Geliştiriciler genellikle erişimi kısıtlamak için ağ güvenlik duvarlarına güvenir; ancak internete açık, yanlış yapılandırılmış Memcached örnekleri, büyütme türündeki DDoS saldırılarında ve veri hırsızlığında kullanılmıştır. Oturum verileri ve API yanıtları da dâhil olmak üzere önbelleğe alınan tüm içerik, bağlantı noktasına erişebilen herkes tarafından görülebilir.

Geleneksel syslog, kimlik doğrulaması ve şifreleme olmadan UDP'nin 514 numaralı bağlantı noktasını kullanır. Ağ üzerinden gönderilen sistem günlükleri, yol üzerindeki herkes tarafından okunabilir, değiştirilebilir veya sahte olarak oluşturulabilir. Syslog trafiğini kesebilen bir saldırgan, güvenlik olaylarını gerçek zamanlı olarak okuyabilir veya izlerini gizlemek için sahte günlük girdileri ekleyebilir. RFC 5425, TLS üzerinden syslog'u tanımlar; ancak birçok sistem hâlâ eski açık metin protokolünü kullanır.

Tek bir ağ gözlem noktasından açık metin protokol trafiğini yakalayan bir saldırgan, ortamın kapsamlı bir görünümünü elde eder. Birden fazla hizmete ait kullanıcı adlarını ve parolaları, özgün parola olmadan yeniden kullanılabilen oturum belirteçlerini, aktarılan hassas verileri ve ağın iç mimarisini görür. Bu bilgiler, hedef sistemlerle hiçbir etkileşime girilmeden pasif olarak toplanabilir.

Açık metin kullanımının riskleri onlarca yıldır bilinmesine rağmen, yükseltilemeyen eski sistemler, büyük ortamlardaki yapılandırma karmaşıklığı, yüksek aktarım hızlı iç bağlantılardaki performans kaygıları ve iç ağların güvenilir olduğu varsayımı nedeniyle şifrelenmemiş protokoller varlığını sürdürüyor. Ağ bölümlendirmesi ve sıfır güven mimarisi ilkeleri, iç trafiği dış trafikle aynı titizlikle ele alarak bu varsayıma karşı çıkar.

Aşağıdaki protokol ve bağlantı noktası birleşimlerinden hangisi varsayılan olarak kimlik doğrulama bilgilerini açık metin hâlinde iletir?

HTTP, Telnet, FTP, POP3, IMAP, ham veritabanı bağlantıları, LDAP, Redis, Memcached ve syslog, varsayılan olarak verileri şifrelemeden iletir. Ağ yolu üzerindeki herhangi bir gözlemci kimlik bilgilerini, oturum belirteçlerini ve hassas verileri okuyabilir. Tüm bu protokollerin TLS ile güvenli hâle getirilmiş eşdeğerleri vardır. İç ağa duyulan güven varsayımları tehlikelidir; sıfır güven ilkeleri tüm trafiğin gözlemlenebilir olabileceğini kabul eder.