Ortadaki Adam (MITM) Saldırısı

EDİT

Ortadaki Adam Saldırısı (Man-in-the-Middle, MITM), iki sistem arasındaki iletişime saldırganın izinsiz olarak müdahale etmesiyle gerçekleşen bir siber saldırı türüdür. Saldırgan, iletişim kuran taraflar arasına girerek veri trafiğini izleyebilir, yönlendirebilir ya da değiştirebilir. Kurbanlar çoğunlukla bu müdahaleden haberdar değildir.

MITM saldırıları genellikle veri bağlantı (OSI 2. katman) seviyesinde gerçekleşir. Saldırgan, istemci ile sunucu arasında iki yeni bağlantı oluşturur: biri kurbanla kendisi, diğeri kendisiyle sunucu arasında. Bu yapı sayesinde saldırgan, iletişimdeki tüm verileri kontrol edebilir. Şifreli HTTPS trafiği bile, uygun araçlarla kırılabilir veya yönlendirilebilir.

• ARP Zehirlenmesi: IP adresleri ile MAC adresleri arasındaki eşleşmeyi manipüle eder.
• DNS Sahteciliği: Kullanıcıları sahte web sitelerine yönlendirir.
• SSL/TLS Striping: HTTPS bağlantılarını HTTP'ye çevirerek şifrelemeyi kaldırır.
• MAC Tabanlı Saldırılar: Switch cihazlarını kandırarak tüm trafiğin saldırgana yönlenmesini sağlar.

MITM saldırılarının kökeni, ağ trafiğinin ilk kez paket temelli olarak yönlendirilmeye başlandığı dönemlere uzanır. Saldırının teknik tanımı ilk kez 1980’lerde akademik literatürde yer buldu. Özellikle kablosuz ağların ve çevrimiçi bankacılık gibi uygulamaların yaygınlaşmasıyla birlikte MITM, daha dikkat çeken bir tehdit haline gelmiştir. 2010’lu yıllarda SSL/TLS protokollerine yönelik zafiyetlerin keşfiyle MITM saldırıları tekrar gündeme gelmiştir.

• Comodo & DigiNotar (2011): Bu iki sertifika otoritesinin dijital sertifikalarının ele geçirilmesiyle, sahte HTTPS sertifikaları oluşturuldu ve MITM saldırıları gerçekleştirildi.
• Gmail Çin Vakası (2010): Çin'deki kullanıcılar, sahte sertifikalarla donatılmış MITM saldırıları aracılığıyla Gmail giriş sayfalarına yönlendirildi.
• Public Wi-Fi Tuzağı: Kamuya açık Wi-Fi ağlarında kurulan sahte ağ geçitleri aracılığıyla çok sayıda kullanıcı bilgisi toplanmıştır. Bu, günümüzde hâlâ yaygın bir saldırı senaryosudur.

MITM saldırılarında hem saldırı hem de savunma amaçlı çok sayıda araç geliştirilmiştir:

Saldırı Amaçlı:

• arpspoof: ARP tablosu zehirleme için kullanılır.
• SSLStrip: HTTPS trafiğini HTTP'ye çevirerek şifrelemeyi devre dışı bırakır.
• Driftnet: Kurbanın görüntülediği görselleri ağdan toplar.
• Ettercap: Ağdaki aktif bağlantıları listeleyip müdahale eder.

Savunma Amaçlı:

• Arpwatch / Arpon: ARP tablosu değişikliklerini izler.
• Snort / Suricata: Ağ içi davranışları analiz eden saldırı tespit sistemleridir.
• TLS/SSL Sertifika Doğrulaması: Tarayıcı düzeyinde sahte sertifikalara karşı koruma sağlar.
• VPN: Tüm trafiği şifreleyerek araya girmeyi zorlaştırır.

1. Ağ Seviyesi Önlemler:
2. 1. Akıllı yönetilebilir switch'ler ve port güvenliği
   2. DHCP snooping ve ARP inspection etkinleştirilmesi
2. Kriptografik Önlemler:
3. 1. Güncel ve güçlü TLS/SSL protokollerinin kullanılması
   2. HTTP Strict Transport Security (HSTS)
3. Kullanıcı Önlemleri:
4. 1. VPN kullanımı
   2. Sertifika uyarılarına dikkat edilmesi
   3. Kamuya açık ağlarda hassas işlemlerden kaçınma

MITM saldırıları, hem teknik karmaşıklığı hem de fark edilmesinin zorluğu nedeniyle ağ güvenliği açısından büyük risk taşır. İletişimin güvenliği yalnızca yazılımla değil, aynı zamanda altyapı ve kullanıcı farkındalığı ile de desteklenmelidir. Etkili bir korunma için hem istemci hem de sistem düzeyinde katmanlı savunma stratejileri benimsenmelidir.