BİLİNÇSİZ DNS DEĞİŞTİRME VE RİSKLERİ MEHMET SEVRİ GAZİ ÜNİVERSİTESİ BİLİŞİM ENSTİTÜSÜ

GİRİŞ Son yıllarda internet kullanım oranının artışı ile birlikte kullanıcılar, istedikleri uygulamalara erişimin devamlılığını talep etmekte olup, kısıtlamaları ve sansürleri aşma meyli göstermektedirler. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ İnternet altyapısı, tüm kullanıcıların, dünyanın herhangi bir yerinden, herhangi bir zamanda istedikleri bilgiye ulaşılabilecekleri şekilde tasarlanmıştır. Günümüzde internet, en hızlı ve en özgür bilgi taşıma servisini sunmaktadır. Bununla birlikte bazı devletler çeşitli yöntemlerle internete kısıtlama getirebilmektedir. Mesela Çin devleti tarafından 1998 yıllında başlatılan, 2003 yılında devreye alınan ve dünyanın en büyük ve ünlü güvenlik duvarı sayılan Altın Kalkan Projesi (Golden Shield Project) bunlardan birisidir [1,2]. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ Kısıtlama yöntemleri sürekli geliştirilmekte ve internet erişim katmanlarının tümünde uygulanmaktadır. Bir web sitesinde veya sosyal medya uygulamasında işlem yapıldığında, esasında kullanılan cihaz tarafından internet katmanlarında iletişimler gerçekleşmektedir. Bu katmanlarda gerçekleştirilen işlemler bağlı olunan yönlendirme cihazları tarafından manipüle edilebilmekte, şüpheli ve tehlikeli işlemler gerçekleştirilebilmektedir [2]. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ 2010 yılı itibariyle Arap Baharının başlamasıyla birlikte Mısır, Libya, Suriye gibi ülkelerde kullanıcıların en büyük haber ve iletişim kaynağı haline gelen internet ve sosyal medyanın sansürlenmesi sıklıkla başvurulan bir yöntem olmuştur. Mısır’da protestoların başlaması (2011) ile birlikte, dünya tüm gelişmeleri protestocuların internet ve sosyal medya üzerinden yaydıkları haberler, videolar ve resimler ile öğrenebilmiştir. İnternet, Mısır’ın dünyaya açılan tek kapısı haline gelmiştir. Bununla birlikte o zamanki Mısır Güvenlik ve İstihbarat Birimi tarafından internet alt yapısına ve GSM’e yönelik kısıtlamalar uygulanmış, Facebook ve Twitter gibi sosyal ağlar, DNS kayıtları üzerinde yasaklanmıştır. Bu süreçte Mısır’da internet ağının yaklaşık %93’ü erişilemez hale gelmiştir [3]. Analistlere göre Mısır ve Libya’da meydana gelen internet ağı kesintisi Arap Baharı bitene kadar devam etmiştir [4]. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ Hükümetlerin uyguladıkları bu kısıtlamalara yönelik olarak kullanıcılar da çeşitli yöntemler kullanarak istedikleri internet uygulamalarına erişmeye çalışmaktadırlar. İnternet kullanıcılarının, internet servis sağlayıcılarının kısıtladığı web sitelerine ve internet uygulamalarına erişmek için kullandıkları yöntemlerden birisi de DNS (Domain Name System – Alan Adı Sistemi) değiştirme yöntemidir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ Ülkemizde ise Youtube video barındırma sitesi ilk olarak 2007 yılı Mart ayında, ikinci olarak 2008 yılı Ocak ayında ve sonrasında çeşitli tarihlerde mahkeme kararlarıyla erişeme kapatılmış olup, son olarak 2014 yılı Mart ayında Twitter ile birlikte erişime kapatılmıştır. Bu süreçte IP temelli olarak gerçekleştirilen bu yasakları aşmak için kullanıcılar DNS değiştirme yöntemini kullanmaya başlamış ve bu yöntem bilinçsiz bir şekilde hızla yayılmıştır. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

GİRİŞ İlk başlarda GoogleDNS veya OpenDNS gibi güvenilir(!) DNS hizmetleri kullanılırken, sonrasında bazı internet servis sağlayıcılar, bilinen bu DNS hizmetleri ile ilgili de kısıtlama yoluna gitmişlerdir. Bunun sonucunda bilinçsiz kullanıcılar internet aramaları sonucu ve internet sitelerindeki yönlendirmelerle güvensiz DNS hizmetlerinden faydalanmaya başlamıştır. Birçok kullanıcı tarafından gerçekleştirilen güvensiz DNS değiştirme işlemleri çok riskli olabilmektedir. Bu çalışmada son dönemde ülkemizde gerçekleşen internet kısıtlamaları sonucunda kullanıcıların DNS değiştirme işlemine yönelmeleri ve bunun sonucunda ortaya çıkabilecek önemli risklere değinilmiştir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi DNS: İnternette hizmet sunan her bilgisayarın, sunucunun veya servis sağlayıcının bir tane benzersiz IP si vardır. Sayı bloklarından oluşan bu IP'lerin kullanıcıları tarafından hatırlanması zordur. Bundan dolayı hiyerarşik bir isimlendirme sistemi olan Alan Adı Sistemi (DNS) kullanılmaktadır. DNS sayesinde her IP kolayca hatırlanabilecek karakterlerden oluşan isimlendirme ile ilişkilendirilmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi Dağıtımı: Alan Adı Sistemi her bölgedeki IP blokları için alan adı dağıtım sorumluluğunu bölüştürerek yetkili alan adı sunuculara sorumluk ve yetki dağıtımı yapar. Bu yetkili alan adı sunucuları da kendi sorumluluklarındaki alt alan adları için diğer alan adı sunucularına yetki verebilir. com domain net com ripe www edu isi tislabs • disi ws1 ws2 ftp sun moon google net domain ripe.net domain Mehmet SEVRİ G.Ü Bilişim Enstitüsü

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi root DNS server DNS Sorgusu: Bir alan adı sorgusu olduğunda internete bağlanılan bilgisayarın bağlanmak istediğimiz internet servisinin ad çözümlemesi için öncelikle bağlı olunan DNS sunucuya bu istek iletilir. Eğer bu DNS sunucuda talep edilen DNS çözümlemesi için kayıt varsa dönülür, yoksa bu istek bir üst DNS sunucuya yönlendirilir. Yandaki şekilde be.gazi.edu.tr alan adında bulunan istemci ab2015.anadolu.edu.tr için istek yapıyor. TLD: Top Level Domain 2 3 TLD DNS server yerel DNS sunucu ns.gazi.edu.tr 4 5 7 6 1 8 yetkili DNS sunucu ns.anadolu.edu.tr istek yapan host be.gazi.edu.tr Mehmet SEVRİ G.Ü Bilişim Enstitüsü ab2015.anadolu.edu.tr

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi Mehmet SEVRİ G.Ü Bilişim Enstitüsü

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi Mahkeme kararıyla veya çeşitli sebeplerle yasaklanan internet uygulamalarına erişmek isteyen kullanıcılar bu uygulamalar için isim çözümleme isteği gönderdiğinde bağlı bulundukları ISP'nin DNS sunucuları tarafından bir uyarı sayfasına veya farklı bir sunucuya yönlendirilirler. Böylece kullanıcıların ilgili internet uygulamasına erişimleri engellenmiş olur.   IP bazlı olarak gerçekleştirilen bu tür engellemeleri aşabilmenin en kolay yollarından birisi bağlı olunan DNS sunucuyu değiştirerek yasaklı sitelere erişime izin veren DNS sunucular ile isim çözümleme işlemini gerçekleştirmektir. Bu işlem ağ ayarları üzerinden statik DNS IP'si girilerek kolayca gerçekleştirilebilmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

DNS’ in Tanımı, Çalışma Şekli ve Erişimin Engellenmesi Google Trends: Türkiye’den gerçekleşen “dns değiştirme” terimli Google aramaları   Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Türkiye'de Gerçekleştirilen DNS Değişiklikleri 2014 yılı başlarında sosyal medyaya yönelik olarak IP bazlı kısıtlamalar getirilmiştir. Bununla birlikte PC (Kişisel Bilgisayar) kullanıcıları ağ ayarlarını yapılandırarak veya çeşitli programlar kullanarak DNS değiştirmiş ve kısıtlanmış sitelere erişmeye devam etmişlerdir. Bu durum bazı mobil kullanıcılar için bu kadar basit olmamıştır. Özellikle bu durum cihaz üzerinde yönetici yetkisine sahip olmayan Android tabanlı mobil kullanıcılar için geçerli olmuştur. Kısıtlı yetkilere sahip bu kullanıcılar DNSet gibi çeşitli yazılımlar kullanarak DNS değiştirme yoluna gitmişlerdir. DNSet, mobil kullanıcılar için bağlı oldukları 3G/4G operatörler tarafından dayatılan varsayılan DNS sunucular dışında başka DNS sunuculara bağlanmalarına imkan veren bir programdır. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Türkiye'de Gerçekleştirilen DNS Değişiklikleri Bu süreçte DNSet programını kullanarak DNS değiştirme işlemini gerçekleştirmiş olan mobil kullanıcılar ile ilgi olarak bir araştırma yapılmıştır [2]. Bu araştırmada elde edilen verilere göre Tablo 1’de 2014 yılı Ağustos ayı itibariyle DNSet uygulamasının Dünya üzerindeki coğrafik dağılımı görünmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Türkiye'de Gerçekleştirilen DNS Değişiklikleri Şekil'de Android cihazına, DNSet uygulamasının kurulumunu gerçekleştiren kullanıcıların sayısı görülmektedir. Burada yeni program kurulum sayıları ve programın kaldırılma sayıları dikkate alınmıştır. 2014 yılı Mart ayı itibariyle gerçekleşen hızlı artış dikkat çekmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Türkiye'de Gerçekleştirilen DNS Değişiklikleri Şekil ’de 2014 yılı Şubat ayı ile Ağustos ayı arasında Türkiye'den TOR (The Onion Router, Anonim Ağ) ağına bağlanan kullanıcılar görülmektedir. TOR ağı; sanal tüneller ile kullanıcıların gizli ve güvenli şekilde internette dolaşmalarına imkan sağlayan ağ yapısıdır. Bu şekle göre kısıtların olduğu zaman diliminde kullanım 2 katından fazla artmış ve 70.000' e ulaşmıştır. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler Kullanıcıların internet aratmaları sonucu ve/veya herhangi bir web sitesi, forum sitesinin yönlendirmesi sonucunda ulaştıkları herhangi bir DNS sunucu bilgilerini kendi cihazına tanımlaması çok kritik riskler oluşturabilmektir. Kullanıcıların kendi cihazlarına tanımladıkları DNS sunucular, isim çözümleme yeteneği ve hizmeti dışında başka yeteneklere de sahiptirler. Kötü amaçla oluşturulmuş bir DNS sunucu hizmet verdiği kullanıcıları izleyebilir, bilgilerini çalmak ve/veya zararlı yazılım bulaştırmak amacıyla bağlanmak istediğinden farklı sitelere yönlendirebilir, kullanıcının bağlandığı siteyi veya içeriklerini izleyebilir veya engelleyebilir. Kullanıcın internet uygulamalarına bağlanma hızlarını yavaşlatabilir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler 1) Yemleme (Phishing) / Zararlı (Malicious) Siteye Yönlendirme: DNS aldatmaca ile kullanıcılar oluşturulan veya var olan yemleme sitelerine veya diğer türlü zararlı sitelere kolayca yönlendirilebilir. Özellikle tamamen HTTP tabanlı yani SSL (Secure Socket Layer - Güvenli Giriş Katmanı) barındırmayan sitelere bağlanılırken, bir web tarayıcısı bu sitenin içeriğinin kendi gerçek sunucusundan mı yoksa farklı bir sunucu tarafından mı verildiğini ayırt edemez. Saldırgan bu işlemi kullanıcının bağlanmak istediği web sitesinin bir kopyasını kendi oluşturduğu bir web sunucuya yükleyerek ve ilgili sitenin DNS kaydını oluşturduğu web sunucu IP'sine yönlendirerek kolayca gerçekleştirebilir [5]. Özellikle bu yöntem bilinçsiz kullanıcıların internet bankacılığı bilgilerini ve finansal bilgilerini çalmaya yönelik olarak gerçekleştirilmektedir. asdasdasd Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler Sahte/Zararlı Siteye Yönlendirme: asdasdasd Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler Bu saldırıya benzerlik gösteren 2004 yılı Nisan ayında gerçekleşen meşhur Paypal saldırısında sahte site gerçek Paypal sitesinin bire bir aynısı olarak oluşturulmuş, gerçek sitedeki grafiksel öğeler ve düzen (layout) ve metinler aynen kullanılmıştır. Çoğu kullanıcı tarafından çok zor ayırt edilecek bir site oluşturulmuştur. Bu saldırıda kullanıcıların yeni Paypal hesabı oluşturması, hesap ve kredi kartı bilgilerini girmelerini amaçlanmış ve saldırganlar başarıya ulaşmışlardır. Şekil’de Sahte Paypal Sitesi (Nisan 2001) URL'si İnternet Explorer’ın adres çubuğunda direkt görülmektedir, fakat IE ikonu, URL'nin ilk iki harfinin (ww) üstüne gelmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler 2) İçerik Engelleme / İnternet Sansürleme: DNS aldatmanın kullanılma amaçlarından diğer birisi ise internet kullanıcılarının erişecekleri içerikleri engelleme, filtreleme veya sansürlemedir. Teknik açıdan bakacak olursak, DNS tabanlı filtreleme sistemi kurulumu ile yemleme (phishing) siteleri aynı şeydir, bununla birlikte, niyet çok farklıdır. Yemleme / Zararlı siteler tipik olarak talep edilen sitenin birebir aynısını sunarak kullanıcıları kandırmaya çalışırken, DNS engelleme stratejisinde kullanıcının korsan, pornografik, dini / siyasi vb. sitelerin içeriğine erişiminin engellenmesi amaçlanır. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler 3) İzlenme: Bilinçsiz DNS değiştirme işlemi sonucunda ortaya çıkabilecek risklerden biriside kullanıcının izlenmedir. Bu risk, kullanıcının bir internet uygulamasına bağlanırken gönderdiği DNS isteklerinin saldırgan DNS sunucu tarafından saklanması ve trafiğinin izlenmesi sonucu ortaya çıkmaktadır. Bu işlem sonucunda istemci IP’si ile birlikte bağlantıya geçilen tüm url bilgileri saldırgan DNS sunucu tarafından kaydedilir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler 4) Yavaşlık: İnternet uygulamalarını kullanan kullanıcıların en önemli taleplerinden birisi hızdır. Kullanıcıların internet hızını kendi bağlantı hızları kadar bağlandıkları uygulamaların cevap verme hızları da etkilemektedir. Kullanıcılar her yeni web sitesi veya uygulamaya bağlandıklarında öncelikle bu uygulamanın alan adlarını çözmeleri gerekmektedir. Bağlı olunan DNS sunucunun cevap verme süresi internet kullanıcılarını direk etkilemektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler 5) Ortadaki Adam Saldırıları (Man-in-the-middle attack): Tuzak DNS sunucular aracılığıyla yapılabilecek bir başka saldırı ise ortadaki adam saldırısıdır. Bu saldırı, kullanıcı iletişimini saldırganın bilgisayarlarına yönlendirmesiyle gerçekleştirilmektedir. Kullanıcı iletişimini dinlemek için Wireshark (bazı protokollerde) veya şifresiz bağlantılar için tcpdump, ve mitmproxy (HTTPS bağlantılar için) veya şifresiz bağlantılarda sslplit (herhangi SSL/TCP bağlantılar için) gibi araçlar kullanılmaktadır [5]. Saldırganlar, kullanıcıların tüm iletişimini dinleyebilir, hatta bazı araçları kullanarak internet trafiklerini değiştirebilirler. Güvenlik sertifikası barındırmayan sitelerde kullanıcı giriş işlemi yapıldığında, dinlenen kullanıcıların kullanıcı adını ve şifresini kolayca öğrenebilirler. Kullanıcıların genellikle aynı kullanıcı adını ve şifreyi birçok giriş ekranında kullandığı varsayıldığında bunun ne kadar tehlikeli olduğu görülmüş olur. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Bilinçsiz DNS Değiştirmeden Dolayı Oluşabilecek Riskler Şekil’de Wireshark aracı ile dinlenmekte olan kullanıcının şifresiz iletişim kurulan bir bağlantısındaki kullanıcı adı ve şifre bilgilerinin elde edilmesi gösterilmektedir. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Riskleri Azaltma Önerileri Bilinçsiz şekilde gerçekleştirilen DNS değiştirme işlemleri sonucunda çok ciddi riskler ortaya çıkarabilmektedir. İnternette yapılan aramalar sonucunda bulunan rastgele DNS sunucu IP’leri ile gerçekleştirilen veya DNS değiştirme amacıyla kullanıma sunulan programlar ile yapılan DNS değiştirme işlemi bu risklerin ana sebebidir. Kullanıcılar öncelikle kendi gizlilikleri ve güvenlikleri için sonrasında ise çeşitli sebeplerle erişime kapatılan internet servislerine ulaşabilmek için; şifrelenmiş, güvenilir, kurumsal ve mümkünse ücretli proxy sunucular (vekil sunucular) kullanmalıdırlar. Bunun yanında ücretsiz olarak sunulan ve kurumsallıklarından dolayı güvenilir şekilde kullanılabilecek DNS sunucular mevcuttur. Kullanıcıların rastgele DNS sunucular yerine Google DNS, Open DNS, Yandex DNS, Comodo DNS, Norton ConnectSafe vb. gibi kurumsal sunucuları tercih etmeleri bu tür riskleri azaltacaktır. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Sonuç Bu bildiride bilinçsiz DNS değiştirme sonucu ortaya çıkabilecek riskler; nedenleri ve sonuçları ile ele alınmış olup, internet kullanıcılarının DNS değiştirme konusunda bilinç kazanması amaçlanmıştır. Kullanıcıların içerikleri engellenmiş servislere erişebilmek için kullandıkları DNS değiştirme yöntemi sonucunda finansal kayıp, veri çalınması, iletişimin dinlenmesi ve değiştirilmesi gibi birçok önemli riskle karşı karşıya kaldıkları görülmüştür. Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Kaynaklar [1] G. Lowe, P. Winters, and M. L. Marcus, “The Great DNS Wall of China,” Privacy Enhancing Technologies, Springer, 2007.   [2] A. D. Florio, N. V. Verde, A. Villani, D. Vitali, L. V. Mancini, “Bypassing Censorship: a proven tool against the recent Internet censorship in Turkey”, 2nd IEEE International Workshop on Reliability and Security Data Analysis (RSDA),2014 [3] A. Dainotti, C. Squarcella, E. Aben, K. C. Claffy, M. Chiesa, M. Russo, and A. Pescap´e, “Analysis of country-wide internet outages caused by censorship”, 2011 ACM SIGCOMM Conference on Internet Measurement Conference, ser. IMC ’11. New York, NY, USA: ACM, 2011, pp. 1–18. [Online]. Available: http://doi.acm.org/10.1145/2068816.2068818 [4] S. P. Garry Blight and P. Torpey, “Arab spring: an interactive timeline of middle east protests,”,2011 [Online]. Available: http://www.theguardian.com/world/interactive/2011/mar/22/ middle-east-protest-interactive-timeline [5] http://blog.philippheckel.com/2013/07/18 /how-to-dns-spoofing-with-a-simple-dns-server-using-dnsmasq/ [6] T. Dinew “Why spoofing is serious internet fraud”, Communications of the Acm, October 2006/Vol. 49, No. 10 Mehmet SEVRİ G.Ü Bilişim Enstitüsü

Teşekkür Teşekkür Ederim. Mehmet SEVRİ G.Ü Bilişim Enstitüsü