Spoofing (sahtecilik)

Kısaca: Bir ağda sahte bir kimlik taklit etmek — örneğin sahte gönderici adresiyle yanlış güven kazanmak veya güvenlik mekanizmalarını aşmak.

Biraz daha ayrıntılı: Yaygın türler: IP spoofing (paketlerde sahte gönderici IP adresi), ARP spoofing/poisoning (yerel ağda IP’nin MAC adresleriyle yanlış eşleştirilmesi; trafiği yönlendirmek için) ve e-posta spoofing (kimlik avı için sahte gönderici adresi). Spoofing çoğu kez ortadaki adam gibi başka saldırıların ilk adımıdır.

Ayrıntılı

Yerel ağlarda pratikte en etkili türlerden biri olan ARP spoofing’de saldırgan, diğer cihazların IP adresi–MAC adresi eşleştirmelerini yanlışlıkla saldırganın makinesini gösterecek şekilde değiştirmesi için sahte ARP yanıtları gönderir:

Normal:        192.168.1.1 (yönlendirici) -> MAC aa:aa:aa:aa:aa:aa'ya ait
Spoofing
sonrası:       192.168.1.1 (yönlendirici) -> kurban yanlışlıkla şuna inanır:
                                             MAC bb:bb:bb:bb:bb:bb (saldırgan)

ARP’nin tüm ağ güveni, her cihazın diğer cihazların yanıtlarına denetlemeden inanmasına dayanır — ARP’de tasarım gereği hiç kimlik doğrulama yoktur. Bu, saldırganın iki iletişim ortağı (örn. kurban ve yönlendirici) arasına “ortadaki adam” olarak yerleşmesine ve tüm trafiği okumasına (sniffing) hatta fark edilmemek için değiştirilmeden ileteceği trafiği değiştirmesine izin verir.

E-posta spoofing farklı çalışır: SMTP protokolü varsayılan olarak belirtilen göndericinin gerçekten doğru olup olmadığını denetlemez — saldırgan “From” alanına pratikte istediği adresi yazabilir. Modern e-posta sistemleri ise SPF, DKIM ve DMARC gibi koruma mekanizmaları kullanır; bunlar bir DNS kaydıyla hangi sunucuların bir alan adı adına e-posta gönderebileceğini tanımlar — alıcı posta sunucuları böylece sahte göndericileri giderek daha güvenilir biçimde tespit edip ayıklayabilir.

Diğer spoofing türleri

ARP ve e-posta spoofing’in yanı sıra aynı temel ilkenin sayısız başka türü vardır: DNS spoofing (DNS önbellek zehirleme de denir), DNS çözümlemesini manipüle ederek bir alan adının gerçek sunucu yerine saldırganın IP adresini göstermesini sağlar — kurbanlar doğru adresi girdikleri halde fark etmeden bir web sitesinin sahte kopyasına düşer. Arayan numarası spoofing’i telefon aramalarında görünen numarayı sahteler; çoğu kez banka veya makam gibi davranan dolandırıcılık aramalarında kullanılır. GPS spoofing, bir cihazın hesapladığı konumu manipüle etmek için sahte uydu sinyalleri gönderir — diğer şeylerin yanı sıra drone savunması veya konuma dayalı uygulama özelliklerini kandırmak için önemlidir.

ARP spoofing’e karşı koruma önlemleri

ARP’nin kimlik doğrulama kavramı olmadığından koruma başka düzeylerde sağlanmalıdır: yönetilebilir switch’ler çoğu kez “dinamik ARP denetimini” destekler; switch ARP yanıtlarını bilinen, güvenilir bir listeye (örn. DHCP eşleştirmelerinden) karşı kendisi denetler ve şüpheli paketleri ağa ulaşmadan düşürür. İstemci tarafında özellikle kritik cihazlar (örn. yönlendirici) için statik ARP girdileri riski azaltabilir ama büyük, dinamik ağlarda sürdürülmesi pek pratik değildir. Şifreli bağlantılar (TLS/HTTPS) de saldırgan ARP spoofing ile ortadaki adam olmayı başarsa bile zararı azaltır — trafiği görür ama uygun anahtar olmadan düz metin olarak okuyamaz.

DDoS saldırılarında IP spoofing

IP spoofing bazı DDoS saldırı tekniklerinde de merkezi rol oynar: “yansıtma saldırısında” saldırgan, zararsız, herkese açık sunuculara (örn. DNS veya NTP sunucuları) sahte bir gönderici IP’siyle — gerçek kurbanın sahte adresiyle — istekler gönderir. Yanıt veren sunucu (çoğu kez çok daha büyük) yanıtını saldırgana değil, sözde göndericiye, yani gerçek kurbana yollar; kurban böylece istenmeyen yanıtlar dalgasıyla boğulur. Bu teknik (“DNS amplification”, “NTP amplification”) IP spoofing’i etkili bir yükseltici yapar, çünkü saldırganın kendisi yalnızca az bant genişliği harcayıp kurbanda bunun katlarca yanıt trafiği üretebilir.

Ayrıca bakınız: ARP, Kötü amaçlı yazılım