Dns Hijacking Nedir ? Ne değildir ? Yenir mi İçilir mi ?

4 Mayıs 2012 de Gerçekleşen Hack Olayları Hakkında Makale...

Dns Hijacking

Dns hijackingi bilmek için önce DNS ve Name Server tanımını bilmek gerekiyor.
Günümüzde pek çok kişinin eksik bildiği konulardan birisidir belki de DNS.
Pek çok kişinin kafasını da karıştıran yapısıyla da merak edilen konulardan olmuştur.
- Bazı ülkelerde gözüken sayfa neden bizim ülkemizde aynı şekilde gözükmüyor ?
- Dns güncelleme aralığı kıtadan kıtaya 24-48 saat gibi bir aralık olarak söylenmekte. Bu farkın kaynağı ne ? gibi sorular DNS yapısını anlamak isteyenlerin aklına gelen sorulardandır.

Dns (Domain name system) Nedir ?

"
İnternet ağını oluşturan her birim sadece kendine ait bir IP adresine sahiptir. Bu IP adresleri kullanıcıların kullanımı için www.site_ismi.com gibi kolay hatırlanır adreslere karşılık düşürülür. DNS sunucuları, internet adreslerinin IP adresi karşılığını kayıtlı tutmaktadır.
İnternette bulunan her nesnenin, etkileşime giren her sunucu ve ucun bir internet adresi olması gerekir. Bu adres, protokol seviyesinin IPv4 ve IPv6 olmasına göre 32 bit ya da 128 bit uzunluğundadır. Alan adı, bu 32 ya da 128 bit uzunluğundaki sayı yerine insanların anlayacağı, akılda tutacağı, kurumsal kimlik ve marka ile özdeşleştirebileceği isimlerin kullanılmasını sağlar. Örneğin tr.wikipedia.org alan adı ile 207.142.131.210 şeklindeki IP nosu ile bağlantıyı Alan Adı Sistemi sağlar. Sırayla; org, wikipedia.org ve tr.wikipedia.org içiçe geçmiş İnternet alanları ya da bölmeleridir.
Alan Adı Sistemi'nin yarattığı ilişkiler bire bir ilişki olmak zorunda değildir. Bir alan adına birden fazla IP adresi atanabilir. Bu yoğun talep olan hallerde geçerlidir. Wikipedia.org, yahoo.com, google.com gibi adreslerde bu çok olur. Ama daha yaygını, birçok alan adı tek bir IP'ye atanabilir. Buna da "Sanal Evsahipliği" (Virtual Hosting) denir.
Alan Adı Sistemi hiyararşik bir yapı gösterir. En üste .com, .org, .net, .int, .edu, .info, .biz, .aero, .travel, .jobs, .gov, .mil gibi "jenerik" üst düzey alanlarla (gTLD) .tr, .us, .de, .uk, .jp, .az gibi ülke alanlarından (ccTLD) oluşur. Buna son olarak .eu ve .asia gibi bölgesel birkaç üst düzey alan adı daha eklenmiştir.

DNS'in yapısı

DNS sistemi, isim sunucuları ve çözümleyicilerinden oluşur. İsim sunucuları olarak düzenlenen bilgisayarlar, host isimlerine karşılık gelen IP adresi bilgilerini tutarlar. Çözümleyiciler ise DNS istemcilerdir. DNS istemcilerde, DNS sunucu ya da sunucuların adresleri bulunur.
Bir DNS istemci bir bilgisayarın ismine karşılık IP adresini bulmak istediği zaman isim sunucuya başvurur. İsim sunucu, yani DNS sunucu da eğer kendi veritabanında öyle bir isim varsa, bu isme karşılık gelen IP adresini istemciye gönderir. DNS veritabanına kayıtların elle, tek tek girilmesi gerekir.
İnternet adresleri, ilk önce ülkelere göre ayrılır. Adreslerin sonundaki tr, de, uk gibi ifadeler adresin bulunduğu ülkeyi gösterir. Örneğin tr Türkiye'yi, de Almanya'yı, uk İngiltere'yi gösterir. ABD adresleri için bir ülke takısı kullanılmaz çünkü DNS ve benzeri uygulamaları oluşturan ülke ABD’dir. Öte yandan, ABD'ye özel kuruluşlar için us uzantısı oluşturulmuştur. İnternet adresleri ülkelere ayrılıdıktan sonra com, edu, gov gibi daha alt bölümlere ayrılır. Bu ifadeler DNS'te üst düzey (top-level) domain'lere karşılık gelir.

Resolving (Çözümleme) - Aranılan bir kaydı bulma işlemi

• Mesela http://google.com.tr adresine karşılık gelen IPv4 adresinin 72.14.221.104 olmasının bulunması. Çözümleme yapan yazılımlar iki çeşit işlem yaparlar; özyineli çözümeme ve özyineli olmayan çözümleme. Sorgularda gönderilen RD (recursion required - özyineli gerekli) bitlerine göre sorgunun türü belirlenir. Özyineli olmayan sorgulara cevap veren sunucular cevap olarak ardışık isim sunucuları verirler.

Sonuç olarak yapılan bir sorgu özyineli değil ise http://google.com.tr için doğrudan 72.14.221.104 IP'si ya da "makina bulunamadı" cevabı verilebilir. Fakat özyineli bir sorguda cevabı bulmak için başka bir isim sunucusunun IP'sini verebilir.

Authoritive Nameserving (Yetkili İsim Sunumu)

• Bir alan hakkında bilgi bulunduran sunucudur. Mesela yildiz.edu.tr alanının MX (Mail eXchanger), NS (Name Server), A (Address)(Bunlar - Resource Record - Özkaynak Kaydı olarak bilinir) kayıtlarının tutulduğu isim sunucusudur

"
(Wikipedia)

Recursive ve Authoritative DNS Yapısı ve Farkları

"
DNS Unicast olarak çalışır. İki tip sorgu tipi vardır, bunlar ;
Recursive : Kullanıcılar ( Clientlar ) DNS’e genellikle Recursive sorgu yaparlar. Client soru sorduğunda DNS Server bunu bulmak zorundadır. Cevabı bilmiyorsa bile bunu çeşitli sorgularla halletmeye çalışır ve mutlaka cevap vermek zorundadır. Bu Recursive sorgudur.
Iterative : Kullanıcı ( Client ) DNS Server’a Recusive sorgu atar. DNS root’a(noktaya) sorgu yaptığında bu iteratvie sorgudur. Çünkü DNS’in ROOT’a yaptığı sorguda ROOT sadece yönlendirme yapar. Tüm cevabı vermez. DNS başka bir kendi Domain’i dışındaki DNS’e Iterative sorgu sorar.

İkisi arasındaki en önemli fark Recursive sorgu sorgulanan çözümlemeyi DNS Server’a sonucu bulmaya zorlar, Iterative sorgu cevabın bulunmasına zorlamaz. Yönlendirmeyle geçiştirilebilir. Recursive sorgu yorucu olduğu için genelde kapalı tutulur.
DNS Server her sorguya cevap vermeyebilir. Authoritative Dns’ler cevap verebilir. Bu, cevap vermek yetkisine sahip olmak anlamına gelir. Cevap vermeye yetkisi olmayanlar ise Non – Authoritative DNS’lerdir. Non – Authoritative DNS’ler cevap veremez ama yönlendirme yaparlar. Her isim için için ayrı ayrı yetki mekanizması vardır ve her isim için ayrı ayrı authorization(yetkilendirme) vermek gerekir. DNS bir isimden yetkiliyken üstünde tanımlı başka bir isimden yetkili olmayabilir, bu da SOA kayıtları sayesinde belirlenir"
(System Network)


Bu bilgilerden anlaşılacağı üzere kısaca özetlersek , siz bir alan adına girerken alan adı için istekte bulunursunuz örneğin google.com.tr arka planda yönlenen kısımda bilgisayarınız yerel dns leri üzerinden belirli bir ip ye istek gönderir. İstek gönderilen sunucu da bunu name serverlarında google.com.tr olarak çözümler ve sizi google.com.tr hangi name serverın ipsinde A değerinde tanımlı ise o sayfayı gösterir. (Detaylı bilgi için Sunucularda Name server yapısına bakınız). Eğer siz bir domain alan adını yönetmek isterseniz bunun için bir host tanımlamak gerekir ve siz bu host için name server lar tanımlamak durumundasınızdır.
Genelde websitesi olan arkadaşlar name serverlarının yönetiminde belirli bir host üzerine geçmek için bu değerleri domain firmasından değiştirirken arka planda neler gerçekleştiğini bilmez.
Örneğin google.com.tr için tanımlanan name serverlar ,
ns1.google.com
ns2.google.com
ns3.google.com
ns4.google.com
Şeklindedir. google.com serverlarında domain firmasından bu name serverlara yönlenen domainler işlenir. Yani arka planda A , MX gibi kayıtların tutulduğu ayrı ayarlar tanımlıdır. Ve bu ip ye gelen istekler gerekli domaine iletilir ve google.com serverında işlenir. Arka planda ns1.google.com ns2.google.com ns3.google.com ve ns4.google.com da bir sürü ayrı tanımlamalar mevcuttur bunlar server kurulumunda yapılan ayarlamalardır.
Yani siz bir domaine istek gönderdiğinizde bu domain sayfası açılması sürecinde sunucuya istek gönderilirken bu sorgu bir sürü yapı üzerinden çok hızlı bir şekilde geçerek ve işlenerek servis sağlanır.

Dns sistemini korumanın sadece belirli bir alanı korumak değil tamamiyle bir güvenlik dizisi alarak birbirine bağlı değişkenlerden oluştuğunu bilmek gerekiyor.
Örneğin tek başına DNSSec (DNS Security Extensions), in yeterli olmadığının bilinmesi belki de bu konudaki güvenlik konusuna giriş için en temel sebep oluyor. DNSSEC, DNS cache dediğimiz yani önbellek zehirleme gibi saldırılara karşı geliştirilmiş güvenlik eklentilerinden oluşan bir yapıdır. Fakat çoğu kişinin yanıldığının aksine DNSSEC , DDoS adını verdiğimiz Distributed Denial of Service ataklarına karşı bir koruma aracı değildir.
Burada belirtmemiz gereken şeylerden birisi de bir ülkenin internetini kesmenin yolunun DNS yapısına saldırmaktan geçtiğini bilmeyenler Turk Telekom , TIB  (Telekominikasyon iletişim başkanlığı) gibi sistemlerin websitelerine saldırarak kesilebileceğini iddia etselerde bu DNS yapısından bihaber kişilerin uydurduğu asparagas haberlerden biridir. Nitekim bununla ilgili haberleri de ülkemizde geçtiğimiz günlerde gördük.
Karıştırılmayacak konulardan bir tanesi de Turk Telekom gibi sistemlerin DNS yapısı ile Nic.tr gibi sistemlere domain yönetimi için verilen dns ler farklıdır. Buna dikkat etmemiz gerekiyor. Bu terimleri anlamak için DNS Query aşamaları , tipleri gibi konular dikkatlice incelenmelidir.
Dns başlı başına sizin bilgisayarınızdan çıkıştan itibaren alan adı üzerine varıncaya kadar yani Client ten servera bir sürü yapılarından geçen her alanda var olan bir yapıdır.
Yani dns ağ bağlantılarınızdan bazı engelli sitelere ulaşmak için değiştirdiğiniz ip aralıklarından ibaret değildir...

Gelelim DNS Hijacking işlemine...

Dns Hijacking Nedir ?

Dns hijacking ise üstte bir çok noktada tamamını anlatmadığım DNS yapısının her hangi bir devresinde
- Gerek merkez dns ler üzerinde , gerek kök dns sunucularda , gerek name serverı yönettiğiniz domain paneli üzerinde , gerekse host üzerinde name serverlarin tanımlı olduğu alanda  -  değişiklik yapılmasını sağlayan hacking türüdür.

Eğer siz her hangi bir websitesinin name server larının yönetimini ele geçirirseniz bu alan adının yönetiminin tamamen ele geçirildiği anlamına gelir. Önceleri Domain Hacking ismi verilen domain haklarının illegal yollarla üzerine geçirilmesi işleminin , günümüzde hak sahipliği anlaşmaları ile garantiye alınarak domainin asıl sahibinin geri alması üzerinde birçok kolaylıklar sağlandığını biliyoruz. Dns hijacking işleminde siz domain hak sahipliğini geçici süre alsanız bile bu kısmi domain hack olur ve domainin yönetimini kısa süreli de olsa elinizde bulundurmuş olursunuz.
Burada dikkat edilmesi gereken şeylerden bir tanesi de şudur. Dns Hijacking işlemi Dns Spoofing ile kesinlikle karıştırılmamalıdır. Arp saldırılarından olan Dns spoofing işleminde olay yerel dns lerle alakalıdır ve genelde yerel networkü ilgilendiren bir konudur.

Dns Hijacking ile neler yapılabilir?

Dns hijacking işlemi ile yapılabilecekler o kadar fazla ki şuan için hepsini saymak çok güç. Bu tamamen bu saldırıyı yapan kişi yada kişiler ile alakalı olabilecek bir durumdur. Örneğin , Bir ülkenin ülke alan adlarının yönetiminin olduğu name serverlara kötü niyetli saldırı yaparak başarıya ulaşan bir kişinin yapabileceklerinden bazıları...

* Öncelikle dış devlet destekli profesyonel bir saldırıda yapılabilecek ilk şey, ara name server sunucusu kullanıp yüksek trafiğe sahip bir Cloud Hosting sistemi ile kimsenin ilk başta bişey farketmemesini sağlayarak bir süre saldırının boyutunu arttırmak olurdu.
* Cloud hostingin bu saldırıda kullanılma amacı, dnslerin yönetimi değiştirilen name serverların gönderildiği alan adı üzerinden süzülerek hedef sitenin gerçek dns sunucusuna aktarılmasıdır ve bu şekilde yapılan bir saldırıda da bütün mailleşmeler dahil tüm istekler belirli bir süzgeçten geçirilerek gerçek sunucuya aktarılır. Bir nevi arada tüm kontrolleri ve incelemeleri yapan bir ara sunucu görevini görür ve gerçek adrese istekler normal olarak gittiğinden dolayı da ilk bakışta birşey anlaşılmaması sağlanır.

* Sadece Cloud Hosting servisi olmadan da direkt olarak sıradan name serverlarda tanımlı fake sayfalara yönlendirilerek kullanıcı bilgileri , şifreleri çalınması amaçlanabilir.

* Böylesine büyük organize bir saldırıda hedefte olabilecek başlıca önemli sistemler sırasıyla şunlardır:

~ O ülkenin tüm internet alt yapı sistemi
~ O ülkenin E-Devlet sistemi
~ Para , Döviz vs. işlemleri yapılan internet bankacılığı sistemleri

~ Mailleşmeleri dinlenmek üzere kurulan sistemin kurbanı olabilecek askeri , istihbarat birimleri , başbakanlık birimleri , kısacası devlet kurumlarının istisnasız tamamı...

~ Spekülasyon haber yapılarak ülkenin borsa da darbe almasına neden olacak resmi basın yayın organları ve ajanslar...

~ Ünlü ticari markalarının tamamı...

~ Federasyonlar , Dernekler , Önemli kuruluşlar...

Kısacası hacker filmlerinde gördüğünüz tüm senaryoyu abartısız yaşamak mümkün olurdu...
O yüzden geçtiğimiz gün yaşadığımız olaydan sonra Dns saldırılarını küçümseyenlere ve basite indirgeyenlere inat diyeceğim tek şey şudur...
Bir ülke için DNS candır , DNS namustur...

 ~ Emrullah Akdemir - 06.05.2012