IPv6’da Komşu Keşfi Protokolü (NDP) ve Atak Vektörleri

0
205
views
Günümüzde akıllı cihazların (cep telefonları, IP telefon, sayısal fotoğraf makineleri, buzdolabı, kamera,…) artması sonucunda 32 bitten oluşan IPv4 internet protokolünü (IP) yetersiz kalmaktadır. Bu sebeple, 128 bitlik IPv6 ortaya çıkmıştır. Bu yazıda, IPv6 altyapısının en önemli bileşenlerinden olan Komşu Keşfi Protokolü‘nün mesaj türleri, protokol seçenekleri, kullanım alanları ve bu protokole yönelik saldırı türleri incelenecektir.

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

IPv4 altyapısında, ARP (Address Resolution Protocol), IP ve MAC eşleşmesi yapıp IP adresi bilinen bir cihazın MAC adresini bulmaya ve komşulukları oluşturmaya yaramaktadır. IPv4 ortamında bu görevleri gerçekleştiren ARP isteği sorguları broadcast çalışmaktadır. IPv6’da ise bu görevler ve DAD (Duplicate Adres Detection) ve NUD (Neighbor Unreachability Detection) gibi ek bazı işlerin yapılması için ise NDP protokolü tasarlanmıştır. NDP protokolü istek sorguları ise çoklu gönderim adresi ile çalışmakta ve RFC 4861’de tanımlanan görevleri şu şekildedir [2]:

  • Yönlendirici keşfi
  • Önek keşfi
  • Parametre keşfi (Sıçrama limiti, MTU vb.)
  • Otomatik adres yapılandırması
  • Sonraki atlama tespiti
  • Komşu erişilemezlik keşfi (NUD – Neighbor Unreachability Detection)
  • Adres çakışma tespiti (DAD – Duplicate Adres Detection)
  • Yeniden yönlendirme

NDP bu görevleri yerine getirmek için 5 farklı ICMPv6 tabanlı mesaj tipi kullanmaktadır. Bu mesajlar yine RFC 4861’de şu şekilde adlandırılmaktadır [2]:

  • Yönlendirici talep mesajı (RS – Router Solicitation)
  • Yönlendirici duyuru mesajı (RA – Router Advertisement)
  • Komşu talep mesajı (NS – Neighbour Solicitation)
  • Komşu duyuru mesajı (NA – Neighbour Advertisement)
  • Yeniden yönlendirme mesajı

Bu mesaj türlerine ait ICMPv6 tip numaraları ile ilgili detaylı bilgi için kaynaklardaki Siberportal bağlantısı incelenebilir.

 

A) NDP Mesaj Türleri

A.1) Yönlendirici Talep (RS) ve Duyuru Mesajları (RA)

İstemciler ağa bağlanmak ve IPv6 adresine sahip olabilmek için RS (Router Solicitation) mesajları yayarak çevresinde bir yönlendirici ararlar, yönlendiriciler de gerek bu RS mesajlarına gerekse kendilerini bütün istemcilere bildirmek için periyodik olarak RA (Router Advertisement) mesajları yayarlar. İstemcilerin yolladığı RS mesajları varış yeri adresi olarak yerel bağlantıdaki tüm yönlendiricileri gösteren çoklu gönderim adresini kullanırlar. Yönlendiricinin gönderdiği RA mesajında varış yeri adresi olarak ise yerel ağdaki bütün cihazları ifade eden çoklu gönderim adresi yer alır. Yönlendiriciler RA mesajları ile istemcilerin ihtiyaç duyduğu veya istediği önek, MTU vb. bilgileri istemcilere iletirler. RS mesaj başlığı aşağıda gösterilmiştir.

Şekil 1: Yönlendirici Talep Mesajı (RS) [2]

Bunun yanında RA mesaj başlığı da aşağıda gösterilmektedir.

Şekil 2: Yönlendirici Duyuru Mesajı(RA) [2]

RFC 4861’e göre başlık bilgilerini şu şekilde özetleyebiliriz [2];

  • Type (Tip): ICMPv6 tip 133 mesajın RS mesajı olduğunu, tip 134 RA mesajı olduğunu gösterir.
  • Code (Kod): Tip alanına dair detaylı bilgi içeren bu alan NDP mesajlarında sıfır değerini almaktadır.
  • Checksum (Sağlama): Mesajın sağlama değerini içeren 16 bitlik alandır.
  • Reserved (Rezerve edilmiş): Gelecekte doğabilecek ihtiyaçlar için rezerve edilmiş 16 bitlik değerdir. Alıcı tarafından ihmal edilen ve bütün bitleri sıfır olan alandır.
  • Options (Seçenekler): RS veya RA başlığına eklenebilecek seçenekleri ifade etmektedir. NDP mesajlarında Target Link-Layer Address (Hedef Katman 2 Adres), Önek, MTU gibi seçenekler bu kısma örnek olarak gösterilebilir.
  • Current Hop Limit (Mevcut Sıçrama Limiti): Yönlendiriciye kaç sıçrama sonra erişilebileceğine dair bilgiyi içerir. Eğer yönlendirici bu kısımda bir şey belirtmemişse sıfır alınır [2].
  • “M” Biti: İstemcinin nasıl yapılandırılacağını gösterir. Bu bit 1 olursa istemciye DHCPv6 aracılığı ile durumlu yapılanması gerektiği söylenir. Sıfır ise istemciye yönlendiricinin gönderdiği önek bilgisine göre durumsuz IP numarasının yapılandırılması gerektiği söylenir.
  • “O” Biti: İstemcilere durumlu olarak DHCPv6 sunucusundan alınması gereken başka bilgilerinde olduğunu göstererek istemcinin DHCPv6 ile iletişimini tetikler.
  • Router Lifetime (Yönlendirici Hayat Süresi): Alanı istemciye bu yönlendiricinin ne kadar süreliğine varsayılan yönlendirici olarak kabul edileceği bilgisi bildirilir. Eğer burası sıfır işaretlenmişse yönlendirici kendisinin varsayılan yönlendirici olmadığını ifade etmektedir.
  • Reachable Time (Ulaşılabilir Süre): Bir komşunun ne kadar süre ulaşılabilir varsayılacağının milisaniye cinsinden bilgisidir.
  • Retransmission Timer (Yeniden İletim Zamanlayıcısı): İki ardışıl NS mesajının arasında geçmesi gereken minimum sürenin milisaniye cinsinden değeridir.

 

A.2) Komşu Talep (NS) ve Komşu Duyuru (NA) Mesajı

NS (Neighbour Solicitation) ve NA (Neighbour Advertisement) mesajları bir cihazın IP adresinden MAC adresini sorgulamak veya istenen MAC adresini sorgulayan istemciye iletmek için kullanılan komşu keşif mesajlarıdır. Bu anlamıyla IPV4’te ARP / RARP protokollerinin yaptığı işleri yaptığı söylenebilir. Bu adres çevirimi işleminin yanında adres çakışma tespiti (DAD – Duplicate Adres Detection) ve komşu erişilemezlik tespiti (NUD – Neighbor Unreachability Detection) için de kullanılmaktadır. Dolayısı ile NS mesajı çoklu gönderim, NA mesajı tekil gönderim adresler üzerinden çalışmaktadır. Aşağıda komşu talep mesaj yapısı gösterilmiştir.

Şekil 3: Komşu Talep Mesajı (NS) [2]

Bunun yanında aşağıdaki şekilde de komşu duyuru mesaj yapısı gösterilmiştir.

Şekil 4: Komşu Duyuru Mesajı (NA) [2]

Komşu duyuru mesajındaki alanlar şu şekilde özetlenebilir:

  • Type (Tip): NS mesajı için 135, NA mesajı için 136 değerini almaktadır.
  • “R” (Router / Yönlendirici) Biti: Eğer bu bit 1 olarak işaretlenmişse gelen mesajın bir yönlendiriciden geldiği ifade edilmektedir.
  • “S” (Solicitation / Talep) Biti: Eğer bu bit 1 olarak işaretlenmişse gelen mesajın bir NS mesajına cevap olarak gönderildiği ifade edilmektedir. Erişilebilirlik kontrollerinde gönderilen NS mesajlarına cevap olarak yollanan NA mesajlarında ayarlanır.
  • “O” (Override / Geçersiz kılma) Biti: 1 olarak ayarlandığında komşu önbelleğinde yer alan katman 2 adresinin güncelleştirilmesi, komşu önbelleğinin yenilenmesi gerektiğini ifade etmektedir. Eğer bu bir sıfır olarak ayarlanırsa komşu önbelleğinde var olan kaydın üstüne yazılmak yerine önbellekte yeni bir kayıt oluşturulur [2].
  • Target Address (Hedef Adres): Katman 2 adresi sorgulanan IPv6 bağlantı yerel adresini belirtmektedir.

 

A.3) Yeniden Yönlendirme Mesajı

Bir istemci RS mesajı gönderdiğinde, ortamda birden fazla yönlendirici varsa, yönlendiricinin biri RA mesajı için kendisine gelen RS mesajını başka bir yönlendiriciye yeniden yönlendirme mesajı ile yönlendirebilir.

Şekil 5: Yönlendirme Mesajı (Redirect Message) [2]
Yönlendirme mesajındaki alanlar şu şekilde özetlenebilir:

  • Type (Tip): 137 sayısı mesajın bir yeniden yönlendirme mesajı olduğunu göstermektedir.
  • Target Address (Hedef Adres): Paketin yönlendirildiği yönlendiricinin IPv6 adresini ifade etmektedir.
  • Destination Address (Varış Yeri Adresi): Yönlendirilen paketin sahibini gösteren IPv6 adresini ifade etmektedir.

 

B) NDP Seçenekleri

ND süresinde RS/RA, NS/NA ve yeniden yönlendirme mesajlarında bir takım seçenekler kullanılmaktadır. Bu seçenekler aşağıda sırasıyla incelenmektedir.

 

B.1) Kaynak / Hedef (Source / Target ) Katman 2 Adresi

Bu seçenek genelde yeniden yönlendirme mesajının seçeneği olarak kullanılır [2]. İstemci bir NS mesajı ile yönlendirildiği yönlendiricinin katman 2 MAC adresini tekrar sorgulamasın diye, ilk yönlendirici tarafından MAC adresi istemciye bu seçenek ile bildirilir.

Şekil 6: Kaynak/Hedef Katman 2 Adres Seçeneği [2]

İlgili alanlar şu şekilde özetlenebilir:

  • Type (Tip): 1 varsa kullanılan katman 2 adresinin bir kaynak adres olduğu, 2 varsa bir hedef adres olduğu ifade edilmektedir.
  • Length (Uzunluk): Tip ve uzunluk alanları da dahil olmak üzere tüm kaynak / hedef katman 2 seçeneğinin uzunluğunu ifade eder.

 

B.2) Önek (Prefix) Seçeneği

Önek başlık yapısı aşağıda gösterilmiştir.

Şekil 7: Önek Başlığı [2]

RFC 4861’e göre Önek Seçeneği’nin alanları şu şekilde özetlenebilir[2]:

  • Type (Tip): Bu alanın 3 olması bu başlığın bir önek başlığı olduğunu ifade etmektedir.
  • Length (Uzunluk): Bütün önek başlığının uzunluğunu göstermektedir.
  • Prefix Length (Önek Uzunluğu): Gönderilen önekin uzunluğunu göstermekte olan alandır.
  • “L” (Link / Bağlantı) Biti: Bu bitin 1 olarak ayarlanması gönderilen bu öneki istemci lokal networkünü belirlemek için kullanabilir anlamına gelmektedir.
  • “A” (Autonameous / Otonom) Biti: Bu bitin ayarlanması gönderilen önekin durumsuz yapılandırma için kullanılabileceğini gösterir.
  • Valid Lifetime (Geçerli Hayat Süresi): “L” biti ayarlanmışsa bu alanda belirli bir süre belirtilir. Bu alan yerel ağ belirlenmesi için gönderilen önek bilgisinin geçerlilik süresini saniye cinsinden göstermektedir. Bu süre sonunda ya yönlendirici önek bilgisini yeniler veya istemci RS ile önek bilgisini ister.
  • Preferred Lifetime (Tercih Edilen Hayat Süresi): Gönderilen önek durumsuz adres üretmek için kullanılacaksa bu adres için tercih edilen geçerlilik süresi ifade eder.
  • Prefix (Önek): Yönlendiricinin istemcilere bildirdiği önek bilgisini ifade etmektedir.

 

B.3) Yönlendirilmiş Seçenek (Redirected Option)

Yönlendirilmiş Seçenek yapısı aşağıda gösterilmiştir.

Şekil 8 : Yönlendirilmiş Seçenek[2]

Bu seçenek yeniden yönlendirme mesajında yer alır ve gönderilen paketi içerir. İlgili alanlar şu şekilde özetlenebilir:

  • Type (Tip): Bu alanın 4 olması bu başlığın bir yönlendirilmiş başlık olduğunu ifade etmektedir.
  • Length (Uzunluk): Bu alan bütün başlığın uzunluğunu göstermektedir.
  • IP Header (IP Başlığı) + Veri (Data): Başlıktaki bu alan ise yönlendiricinin başka bir yönlendiriciye yeniden yönlendirme mesajı ile yönlendirdiği paketi içermektedir [3].

 

B.4) Maksimum İletim Birimi (MTU) Seçeneği

MTU seçeneği başlık yapısı aşağıda gösterilmiştir.

Şekil 9: MTU Seçeneği

 

Tip alanının 5 olması bu başlığın bir MTU (Maximum Transmission Unit) başlığı olduğunu göstermektir. MTU seçeneği RA mesajları içerisinde ağa gönderilip ağdaki istemcilerin MTU bilgisine sahip olmalarını sağlar [2]. RA mesajları ile bu değer bütün bağlantıya iletilir. İstemciler kendi aralarında MTU keşfi yaparsalar o zaman yine bu başlık ile MTU değeri gönderilir.

 

C) NDP Kullanım Alanları

ND Protokolü bir çok alanda kullanılmaktadır. En çok kullanıldığı alanlar aşağıdaki gibi sıralanabilir.

 

C.1) Adres Çözümleme

Aynı ağdaki bir bilgisayar başka bir bilgisayar ile haberleşmek istediği zaman ilk önce kendi önbelleğinden haberleşmek istediği bilgisayarın MAC adresini sorgular. Eğer burada bir ilgili MAC adresi mevcut ise anahtarlar marifetiyle diğer bilgisayarla haberleşebilir. Yoksa ilk önce bu MAC adresini tespit etmesi gerekmektedir. Bunun için varış yeri adresi olarak Solicited Multicast adres yer almaktadır. Daha önce ifade edildiği üzere Solicited Multicast adrese sahip cihazlar bu çoklu adrese gelen cevapları dinlerler ve paket kime gelmişse o cevap verir. Ayrıca MAC adresi sorgulanmak istenen IPv6 bağlantı yerel adresi de gönderilen pakete hedef seçeneğine eklenerek burada belirtilir.

Aşağıdaki şekilde adres çözümleme süreci özetlenmiştir.

Şekil 10: NDP Adres Çözümleme

 

C.2) Adres Çakışma Tespiti (DAD)

Bir istemci bir arabirim tanıtıcısı ürettiği veya aldığı zaman bu adresin ağda başkaları tarafından kullanılıp kullanılmadığını bilmemektedir. Özellikle durumsuz adres yapılandırmalarında kullanılan IPv6 adresleri herhangi bir yerde tutulmadığı için bunu tespit etmek istemciye kalmıştır. İstemci bir IPv6’yı kullanmadan önce ağda böyle bir IPv6 olup olmadığını DAD süreci ile anlamaktadır. RFC 4861, bütün tekil gönderim adresler için (bağlantı yerel veya küresel adres olmasına bakılmaksızın) yapılandırmanın durumsuz veya durumlu olmasına bakılmaksızın (DHCPv6, SLAAC veya manuel yapılandırma olsa bile) DAD sürecinin her durumda istemcilere uygulanmasını önermektedir [1].

DAD süreci aşağıda özetlendiği şekilde işlemektedir.

  • Kendi IPv6 adresini durumlu veya durumsuz olarak üreten bir istemci, bu adresi kullanmadan önce geçici olarak işaretler ve yerel ağına bir NS mesajı ile DAD isteğinde bulunur. İstekte kaynak adres olarak belirsiz adres yer almaktadır. Çünkü üretilen adres istemciye DAD sürecinden önce atanmamaktadır. Varış yeri adresi olarak da yine kendi ağdaki cihazları gösteren Solicited Multicast adres yer almaktadır. Yani bu mesaj bu gruptaki IP adreslerini dinleyen herkese gidecektir.
  • NS DAD mesajına eğer belli bir süre içerisinde cevap gelmezse, istemci bu IP adresinin başkası tarafından kullanılmadığı düşünüp kendisine atar ve kullanmaya başlar.
  • Eğer bu IP adresi başka bir istemci tarafından kullanılıyorsa bu istemci bu adresi kullandığı bir NA adresi ile bildirir. Bu NA adresinde kaynak olarak kendi IP adresi, varış yeri olarak ise yine Solicited adres yer alacaktır. Çünkü karşı tarafın daha IP adresi geçici olarak işaretlendiği için paketi kime göndereceğini bilmemektedir.
  • Kendisine gelen NA mesajında kullanmak istediği IP adresinin başka bir istemci tarafından kullanıldığını gören istemci ise yeni bir IP adresi üretip süreci tekrarlayacaktır.

Yukarda anlatılan DAD sürecini özetleyen şekil aşağıda verilmiştir.

Şekil 11: NDP DAD Süreci

 

C.3) Yönlendirici Keşfi

Bir istemci bir ağa bağlanmadan önce o ağ ile ilgili önek bilgisi, IPv6 adresini nereden alacağı gibi bazı bilgilere sahip olması gerekir. İstemci bu bilgilere ortamda bulunan bir yönlendirici sayesinde sahip olur. İstemci yönlendirici aramak için ağa bir RS mesajı yayar. Ağdaki yönlendirici ise bu mesajı RA mesajı ile karşılık vererek istemciyi önek, durumlu veya durumsuz IP alması gerektiği vb. gibi konularda bilgilendirir.

Yönlendirici keşfi süreci aşağıdaki şekilde özetlenmiştir.

Şekil 12: Yönlendirici Keşif Süreci

 

C.4) Komşu Erişilemezlik Tespiti(NUD)

Bu mesajın amacı ağa daha önce erişilmiş olan ve istemcinin önbelleğinde yer alan IP adresinin halen daha erişilebilir olup olmadığını tespit etmektedir [2]. İstemci bunun için ilgili IP adresine sahip cihaza bir NS mesajı yollar. Eğer cevap alamazsa o istemci ile alakalı bilgileri önbelleğinden siler. Cihazlar bu şekilde başka komşularına erişilebilirliği arada bir test etmektedirler.

 

C.5) Cihazların Otomatik Yapılandırılması

Daha önceki bölümlerde de anlatıldığı üzere NDP mesajları, istemcilerin durumsuz IP yapılandırılması kullanarak kendi kendilerine IP adresi üretmesi için kullanılmaktadır. Bu süreç şu şekilde özetlenebilir;

  • Bir istemci ilk açıldığı zaman kendi bağlantı yerel adresini oluşturur.
  • Ardından bu bağlantı yerel adresin ağda olup olmadığını anlamak için DAD sürecini başlatır.
  • DAD sürecinde kendi IP adresi başkası tarafından kullanılmadığı anlaşıldığında bu adresi kullanarak RS mesajı ile ağda bir yönlendirici arar.
  • Yönlendirici RA mesajı ile önek bilgisini ve otomatik yapılandırma ile adresini üretmesi gerektiğini istemciye iletir.
  • İstemci kendisine elen önek bilgisine göre küresel tekil IPv6 adresini de random olarak üretir.
  • Ürettiği küresel tekil adresi için de yeniden bir DAD süreci başlatır.

 

D) NDP’ye Yönelik Ataklar

NDP, ağda dolaşan paketleri şifrelemediği, verinin bütünlük kontrolü ve kimlik doğrulama gibi güvenlik önlemlerine sahip olmadığı için çeşitli saldırılara karşı savunmasızdır. RFC 3756‘de de tanımlanan NDP atakları [4] aşağıda sırasıyla incelenmiştir.

 

D.1) Komşu Sahtekarlığı

Saldırgan sahte NDP mesajları ile ağdaki başka birini taklit ederek istediği iki cihaz arasına girebilir. Böylelikle örneğin kendi MAC adresini kurbanın varsayılan ağ geçidinin MAC adresi gibi göstererek kurbanın trafiğinin kendi üzerinden geçmesine neden olabilir. Bu saldırı aslında bir ortadaki adam saldırısına örnektir ve IPv4 ortamında Arp sahtekarlığına karşılık geldiği düşünülebilir. Bu saldırının temel sebebi cihazlar arasındaki iletişimin şifresiz gitmesi ve bütünlük kontrolünün olmamasıdır.

Aşağıdaki şekillerde bu saldırı iki farklı örnek ile gösterilmektedir.

Şekil 13: Komşu Sahtekarlığı

 

D.2) DAD DOS Atakları

DOS ataklarındaki temel mantık kurbanın kaynaklarını tüketerek yapmak istediği yapmasına engel olmak olarak açıklanabilir. Bu ataklara DAD DOS atağı örnek olarak verilebilir. DAD DOS atağını açıklamak gerekirse, bir istemcinin bir IP aldığında DAD süreci ile bu IP adresinin ağda kullanılıp kullanılmadığını kontrol etmekte olduğu belirtilmişti. Bu işlem gerçekleştirilirken eğer saldırgan kendisine gelen DAD NS mesajlarına “bu IPv6 adresini ben kullanıyorum” diye DAD NA mesajı ile cevap dönerse istemci yeniden IP adresi üretip bu süreci tekrar etmek zorunda kalacaktır. Kendisine gelen her NS DAD isteğine sahte bir NA DAD isteği dönen saldırgan kurbanın IP almasına ve ağa bağlanmasına engel olabilir. Bu atağın gerçekleştirilebilmesinin temel sebebi gelen DAD NA mesajlarının istemci tarafında doğrulanamamasıdır.

 

D.3) Sahte RS/RA Mesajı Atakları

Bu ataklar birkaç çeşit olarak işlenebilir. Bunların ilki saldırganın bir yönlendirici gibi davranıp sahte RA mesajları ve önek bilgisi yollamasından kaynaklanır. Bu önek bilgisine göre IP adresini üretecek olan istemci DAD sürecini işlettiğinde de kendisine herhangi bir cevap almayacağı için bu IP adresini kullanmaya başlar fakat ağdaki diğer bilgisayarlarla haberleşemez, yönlendirici üzerinden internete çıkmak zorunda kalabilir veya internete hiç çıkamayabilir.

Diğer bir RS/RA mesajı saldırısında, saldırgan istemcilere gönderdiği RA mesajlarında önek hayat süresi kısmını sıfır olarak ayarlar ve kısa periyodik aralıklarla bu mesajı tekrarlarsa bu mesajı alan istemciler küresel tekil IP adreslerini ürettikten sonra bu önekin süresinin sıfır olduğunu düşünüp kullanamayacaklardır. Yani bu durumda istemciler sadece yerel ağda çalışabileceklerdir.

Bunun yanında bir diğer RS/RA atağına ise farklı öneklere sahip periyodik RA mesajlarının istemcilere gönderilmesi örnek olarak verilebilir. Bu durumda istemciler kendilerine gelen farklı önek bilgilerine göre IP adreslerini yeniden üretmek zorunda kalacak ve bu da istemcinin kaynak tüketimine sebep olabilecektir. Bu atak bir DOS atağı gibi de düşünülebilir.

Bu ataklardaki ortak problem ise, yönlendiriciden gelen RA mesajlarının doğruluğunun, bir diğer ifadeyle, yönlendiricinin güvenilirliğinin istemci tarafında doğrulanmamasıdır.

 

D.4) Yeniden Yönlendirme Atakları

Saldırgan istemcilerin kullandığı yönlendiricinin IP adresinden geliyormuş gibi bir RA mesajı üreterek kurbana gönderir. Bu paket içerisinde yer alan yeniden yönlendirme başlığında kurbanın bundan sonraki varsayılan ağ geçici yazar. Bu yeniden yönlendirme mesajı ile istemciye “artık şu yönlendiriciyi kullan” şeklinde bir istek yollanmış olur. Kurban bu mesajı kabul ettikten sonra artık yönlendirici olarak yeniden yönlendirme mesajında gönderilen yönlendiriciyi kullanmaya başlar. Kurban kendisine gelen mesaj içerisinde kaynak IP adresi olarak kendi yönlendiricisinin IP adresini gördüğü için, bu yeniden yönlendirme paketini kabul eder [5]. Bu atağın gerçekleştirilebilmesinin temel sebebi istemcinin kendisine gelen bütün RA paketlerini kabul etmesi, yönlendiriciyi bir şekilde doğrulayamamasıdır.

 

D.5) Yeniden Yayınlama Atakları

Yeniden yayınlama ataklarında saldırgan iki istemci arasındaki trafiği dinleyip değiştirebilir. Örneğin PC1, PC2 ile haberleşmek istediğinde PC2’nin MAC adresini öğrenmek için bir NS mesajı yollar. Kurban ise araya girip bu istekleri dinleyerek değiştirip trafiğin kendi üzerinden akmasını sağlayabilir. Aslında bu da bir ortadaki adam saldırısına örnek olarak gösterilebilir. Saldırgan bu saldırıyı RA mesajlarını yeniden yayımlayarak ederek de yapabilir. Yönlendiriciden aldığı RA mesajlarının parametrelerini değiştirerek yerel ağa yollayabilir [6]. Yeniden yayınlama ataklarında temel mantık gelen mesajların parametrelerinin değiştirilerek hedefe gönderilmesidir. Bu atakların yapılabilmesinin temel sebebi yine araya birilerinin girebilmesidir.

 

D.6) Birleşik Ataklar

Bu ataklar yukarı da yazılan atakların birden fazlasının bir araya getirilip gerçekleştirilen senaryoları içermektedir. Örnek olarak sahtekarlık ve DOS atağı beraber kullanılabilir. Saldırgan sahte kaynak IP’lere sahip paketler üreterek DOS atağı gerçekleştirebilir [7].

 

 

Kaynaklar

https://www.siberportal.org/green-team/constructing-network-environment/ipv6-adres-yapisinin-ve-baslik-yapisinin-incelenmesi/
https://www.ipv6consultancy.com/ipv6blog/wp-content/uploads/Overview-of-IPv6-Security.pdf
[1] Graziani, R., IPv6 Fundamentals: A Straightforward Approach to Understanding IPv6, Cisco Press, ABD, 2012, s.27-180.
[2] T.Narten vd., “Neighbor Discovery for IP version 6 (IPv6),” RFC 4861, Eylül 2007, https://tools.ietf.org/html/rfc4861
[3] A.Boudguia, T.Cheneau ve M.Laurent., “Usage and performance of cryptographically generated addresses,” Eylül 2008, https://hal.archives-ouvertes.fr/hal-01373433, s.8-51
[4] P.Nikander, J.Kempf ve E.Nordmark., “IPv6 Neighbor Discovery (ND) Trust Models and Threats,” RFC 3756, Mayıs 2004, https://tools.ietf.org/html/rfc3756, s.9-12.
[5] J. Arkko vd., “Securing IPv6 Neighbor and Router Discovery”, 1.ACM Workshop on Wireless Security, Atlanta,ABD, 29 Eylül 2002, s.77-86.
[6] A. AlSa’deh ve C. Meinel, “Secure Neighbor Discovery: Review, Challenges, Perspectives, and Recommendations”, IEEE Security & Privacy, 7 Şubat 2012, s.26-34
[7] A. AlSa’deh, H. Rafinee ve C. Meinel, “Secure Neigbor Discovery: A Crytocraphic Solition for Securing IPv6 Local Link Operations”, Theory and Practice of Cryptography Solutions for Secure Information Systems, ed. A.Elçi vd., IGI Global, 2013,s.183-190)
[8] S. Deering ve R.Hinden, “Internet Protocol, Version 6 (IPv6)Specification,” RFC 2460, Aralık 1998, https://tools.ietf.org/html/rfc2460, s.4-11.
[9] S. Amante vd., “IPv6 Flow Label Specification,” RFC 6437, Kasım 2011, https://tools.ietf.org/html/rfc6437, s.4.
[10] A.Conta, S. Deering ve M.Gupta, “Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6) Specification,” RFC 4443, Mart 2006, https://tools.ietf.org/html/rfc4443, s.3.
[11] IANA, Internet Control Message Protocol version 6 (ICMPv6) Parameters, https://www.iana.org/assignments/icmpv6-parameters/icmpv6-parameters.xhtml, 27 Ocak 2017.

 

 

 

 

 

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

CEVAP VER

Yorumunuzu giriniz
İsminizi giriniz

This site uses Akismet to reduce spam. Learn how your comment data is processed.