18.3.1-Prefix Hijacking (Önek Ele Geçirme)
Nasıl yapılır? Saldırgan, kendisine ait olmayan bir IP bloğunu (örneğin 192.0.2.0/24) BGP üzerinden duyurur.
Etki: Trafik saldırganın ağına yönelir. Bu sayede veri dinlenebilir (MITM) ya da kesintiye uğratılabilir.
Gerçek vakalar: 2008 YouTube Pakistan Telekom örneği.
BGP Prefix Hijacking Nedir?:
Prefix Hijacking, bir saldırganın kendisine ait olmayan IP adres bloklarını (prefix) BGP üzerinden sahte olarak duyurması ve bu sayede bu IP bloklarına gelen trafiği kendi ağına yönlendirmesi saldırısıdır.
Nasıl Çalışır? (Teknik Aşamalar)
1. Saldırgan, sahte BGP update gönderir.
Saldırgan, kendi yönlendiricisinde (router) kendisine ait olmayan bir IP bloğunu (örneğin 192.0.2.0/24) duyuracak şekilde BGP update mesajı oluşturur.
Örnek BGP komutu (Cisco):
2. Komşu yönlendirici bu bilgiyi alır ve yayar.
BGP doğası gereği, aldığı rotaları diğer komşularına da duyurur (path propagation).
Sahte prefix artık birçok ASN'e yayılmış olur.
3. BGP en kısa yolu seçer.
İnternetin geri kalanında bulunan sistemler, bu sahte rotayı daha kısa gördüklerinde bu yolu tercih eder.
Sonuç olarak, trafik saldırganın ağına akar.
Neden Etkilidir?
BGP’nin eksikleri:
Kimlik doğrulaması yoktur: BGP update’leri, kaynağın gerçekten yetkili bir AS olup olmadığını kontrol etmez.
İnternet ölçeğinde merkezi bir doğrulama yoktur: BGP, dağıtık bir sistemdir; IP bloklarının sahipliği küresel olarak anında doğrulanmaz.
Spesifik prefix’ler önceliklidir: Daha spesifik prefix (örnek: /24 yerine /25) duyurusu yapıldığında, tüm yönlendiriciler bu yolu seçer.
Neden Gerçekleşir? (Sebep Olan Faktörler)
Zayıf BGP filtreleme
Operatörler gelen prefix'leri doğru filtrelemezse sahte prefix yayılır.
RPKI eksikliği
Prefix doğrulama sistemi kullanılmazsa yanlış sahiplik iddiaları engellenemez.
BGP oturum güvenliği yok
MD5/TCP-AO gibi oturum güvenliği eklenmemişse sahte bağlantılar kurulabilir.
Konfigürasyon hataları
Operatör hatası ile yanlışlıkla başka bir prefix duyurulabilir (örneğin Pakistan Telekom örneği).
Gerçek Dünya Vakası: YouTube – Pakistan Telekom (2008)
Olayın Özeti:
Pakistan Telekom, hükümet kararıyla YouTube'a erişimi engellemek istedi.
208.65.153.0/24 bloğunu sahte olarak kendi BGP router’ından duyurdu.
Global bir taşıyıcı (PCCW) bu duyuruyu filtrelemeden internetin geri kalanına yaydı.
Sonuç: YouTube global ölçekte yaklaşık 2 saat erişilemez hale geldi.
Etkileri
Trafik sapması
Trafik saldırganın ya da yanlış AS’ye yönlenir.
Veri ihlali (MITM)
Trafik okunabilir, değiştirilebilir.
Servis kesintisi (DoS)
IP'ye ulaşım durabilir.
Hizmet sağlayıcılarda prestij kaybı
Ağ yöneticilerinin hataları küresel etki yaratabilir.
Ticari zarar
CDN’ler, bankalar, kritik altyapılar doğrudan etkilenebilir.
Çözüm Yolları (En İnce Ayrıntısına Kadar)
1. RPKI (Resource Public Key Infrastructure) kullanımı
IP bloklarının kim tarafından duyurulabileceğini tanımlar.
BGP update mesajları, ROA (Route Origin Authorization) ile doğrulanır.
BGP router'ı, gelen güncellemeleri 'valid', 'invalid', 'not found' olarak değerlendirir.
Örnek çözüm: Cisco IOS’da
bgp rpkikomutlarıyla uygulanır.
2. Prefix filtreleme (Prefix-List / Route-Map)
Komşu AS'lerden gelen prefix'leri yalnızca izin verilenlerle sınırla.
Örnek:
3. BGP Session Güvenliği (MD5 veya TCP-AO)
BGP TCP oturumlarını sahte bağlantılara karşı korur.
Cisco’da örnek:
4. Max Prefix Limit Ayarı
Bir komşudan belirli sayıda prefix gelirse, BGP oturumu kesilir.
5. BGP Monitoring ve Alert Sistemleri
Örneğin:
BGPMon, RIPE RIS, ARIN ROA Validator, MANRS gibi sistemlerle prefix değişimi anlık izlenebilir.
Otomatik uyarı ve analiz yapılabilir.
Sonuç
Prefix Hijacking, internetin merkezindeki zayıflıklardan doğan ve dünya çapında etkili olabilen kritik bir saldırıdır. RPKI'nin tam uygulanması, ISP'lerin sıkı prefix filtreleme politikaları ve güvenlik bilinci bu tehdidin azaltılmasında olmazsa olmazdır.
Last updated