Bilgisayar Güvenliği

1. Giriş

Kitlesel iletişim araçlarının önemini daha çok arttırdığı günümüz dünyasında bilgiye hızlı bir şekilde ulaşmak gelişmiş toplumların temel ihtiyaçlarından birisi olmuştur. Bu ihtiyaç sayesinde bu toplumlarda 1980'li yıllardan itibaren bilgisayar ağları konusunda önemli gelişmeler sağlanmıştır. Internet te, bu çalışmalar neticesinde ortaya çıkan ve yaygın olarak kullanılan bir bilgisayar ağıdır.

Bütün bilgileri hızlı bir şekilde elde etmek için ilk önce kuruluşlar kendi yerel ağlarını kurmuş ve daha geniş bir etkinlik alanına sahip olabilmek için yerel ağlarını dünyaya entegre etmek ihtiyacını hissetmişlerdir. NetWork teknolojisi de bununla birlikte gelişmiş ve değişik protokollerin ortaya çıkması kaçınılmaz olmuştur.

Internet sınırsız bir bilgi ortamı olmasına rağmen yasalarla tam anlamıyla denetlenememektedir. Kusursuz olmayan NetWork ağlarında güvenlik açıkları bulunmaktadır. Bazı kullanıcılar bu güvenlik açıklarından faydalanarak bazı sistemlere girip onlara zarar verebilirler. Bu da NetWork ortamında güvenliği sağlamak amacına yönelik yazılımların ve sistemlerin ortaya çıkmasına sebep olmuştur.

2. Güvenlik

2.1. İnternet Güvenliğine Bir Bakış

2.1.1. Genel Çerçeve

Firewall' lar güvenlik mekanizmalarının ilk aşamalarıdır, ancak bilgilerimizin duyarlılığı arttıkça bununla beraber şifreleme ve kullanıcı doğrulama (authentication) tekniklerinden de yararlanmak gerekmektedir.

Ağ yöneticileri için ağın güvenliği, başkaları tarafından - özellikle dışarıdan ağa dahil olacaklar tarafından- zarara uğratılmaması, her zaman için en önemli, en zor ve en çok sıkıntı yaratan konulardan biri olmuştur. Bir yolunu bulup ağa dahil olmuş kişiler tarafından ağa zarar verilmesi, belki bundan daha da önemli olmak üzere, gizli bilgilere ulaşması, ağ yöneticileri için korkuların başında gelmekte idi. Bu gün için ise durum daha da kötüdür. Bahsetmiş olduğumuz korkular, internet kavramı bu kadar yaygın değilken ve kuruluşlar bu ortama dahil olmak konusunda bu kadar istekli değilken yaşanan korkulardı. Oysa internet denilen ve çok güçlü olması gerekmeyen bir bilgisayar ile basit bir programdan başka bir şey istemeyen ortamın insanların kullanımına açılması, bunun kuruluşlar tarafından da çok cazip bir ortam olarak görülmesi, ağ yöneticileri için yeni kaygıların başlangıcı olmuştur. Bu gün dünyanın hemen her tarafındaki şirketler internete dahil olmak Web sayfaları arasında kendilerine ait olanı da görmek istemektedir. Bazıları ise şirket için bir intranet kurulması isteniyorken bu ortamdan yararlanmak istemektedir. Bu da tabi gizliliği yüksek olan bilgilerin, genel kullanıma açık bir ağ ortamına çıkarılması manasına gelmektedir ki ağ yöneticileri için yeni zorlukların da başlangıcının işaretçileridir.

Tabi bu durumlar karşısında, ağ güvenliğini sağlayacak ürünler devreye girmiş, bu konuda değişik teknolojiler geliştirilmiştir. Bu çalışmalardan biri de firewall' lardır. Yalnız maalesef bunlar da ağ yöneticilerinin beklentilerini tam olarak karşılayamamışlardır. Computer Security Institute (Bilgisayar Güvenliği Enstitüsü)' ün açıklamalarına göre internet üzerindeki şirketlerin beşte biri istenmeyen dış müdahalelere uğramıştır. Bunların da üçte biri kurulu bir firewall' a sahipti. Yani firewall' lar, ağ yöneticilerinin beklediği güvenliği sağlayamamıştır.

Internet üzerinden dünyanın dört bir tarafından erişilebilir hale gelmiş şirketler için böyle tehlikeler söz konusu iken, bazı ağ yöneticileri bu tehlikelerden habersizdir. Bu konuda çalışmalarda bulunmuş bazı uzmanların belirttiğine göre, ağ yöneticilerinin bir kısmı, internet ortamında veri çalmanın ne kadar kolay olduğunu bilmemektedir ve aslında gerçek tehlikeyi oluşturan da budur.

Güvenliği sağlama konusunda yararlanılabilecek bir başka araç da 'Şifreleme' dir. Pek çok firewall üreticisi, şifreleme araçlari ile çalişmayi desteklemektedir. Yönlendirici (router) üreticileri de bu konuda çalişmakta olup, şifrelenmiş bilgileri yönlendirebilen routerlar da üretilmiştir.

Uygun bir güvenlik sistemi oluşturmak için, aga ve iletilecek bilgilere ilişkin bazi unsurlarin göz önüne alinmasi gerekmektedir. Karar verilmesi gereken konulardan ilki, şifreleme işleminin nerede yapilacagidir. Bazi çözümler uygulama seviyesinde bu işi yapiyorken bazilari IP yigininda yapmaktadir. Uygulama seviyesinde yapilan şifrelemede ag yöneticilerine şifrelemeyi istedikleri şeyleri seçme şansi da verilmektedir.

Cevaplanmasi gereken ikinci soru, verilerin nasil şifrelenecegidir. Şu anda en çok kullanilan iki yöntemden biri 56 bitlik şifreleme anahtari, digeri ise 128 bitlik şifreleme anahtari kullanmaktadir. Güvenlik danişmanlarinin kanul edebildigi, yeterli olabilecek minimum anahtar uzunlugu 56 bittir. Burada üzerinde durulmasi gereken bir diger konu da, paketin nerelerinin şifrelenmesinin yeterli olacagidir. Bazi ürünler, tüm paketi, başlik kismi da dahil olmak üzere şifrelerler. Digerleri ise sadece bilgi kismini şifrelerler.

Genel Çerçeve paragrafinda da belirtildigi gibi, iyi bir güvenlik saglamak için kullanici dogrulama (authentication) mekanizmasinin da kurulmasi gerekmektedir. Bunun manasi, internet üzerinden birisi ile baglanti kuruldugunda, irtibat halinde bulunulanin kimliginin tam olarak belirlenmesidir. Bunun için üreticiler degişik çalişmalarda bulunmaktadirlar.

Bu noktada, güvenlik konusu ile ilgili yapilan çalişmalarda sikça karşilaşilan ve hala daha yeterli düzeye gelinemeyen bir konudan bahsetmek gerekir ; Standart. Internet güvenligi ile ilgili pek çok çalişma yapilmasina ragmen, bu alandaki hizli gelişmeler, hala daha bir standardin oturtulamamasina sebep olmuştur.

Günümüzde, internet ortamina açilma konusunda hemen hemen tüm şirketler isteklidir. Her ne kadar bu ag yöneticileri için çözümü çok zor sorunlari beraberinde getirse de kaçinilmaz olarak bu yöne dogru hizli bir yönlenme olmaktadir. Ancak bu demek degildir ki internet ortaminda güvenlik saglanmiştir ve kuruluşlar ayni mantik ve rahatlikta davranmaktadir. Bu konudaki rahatlik derecesi dogal olarak yapilan işin ve bununla da baglantili olarak taşinmasi gereken bilginin mahiyeti ile ilgilidir. Örnegin bir banka için bilgilerini internet ortaminda gezdirmek, şu an için çok akillica bir işlem degildir. Internet ortamindan müşterilere sunulan ev bankaciligi hizmetleri de, alt düzeylerde kalmaktadir. Önemli verilerin aktarilmasi işlemi için bankalar genellikle özel hatlari tercih etmektedirler. Internet ortaminin sagladigi güvenlik ortamina inançlari, şu an için bu bilgilerin bu ortama aktarilmasi için yeterli olamamaktadir.

Bunun yaninda, bu konularda biraz daha rahat davranabilen kuruluşlar da vardir. Bunlar belki biraz da kendi geliştirdikleri güvenlik mekanizmasinin da yardimiyla, internet ortamindan veri aktariminda yararlanmaktadirlar. Bununla ilgili olarak söylenen, kuruluşlarin ihtiyaçlari dogrultusunda, degişik ürünlerin degişik modüllerinden yararlanmak suretiyle, kabul edilebilir bir güvenligin saglanabilecegidir. Fakat her şeye ragmen şu an için internet ortaminin güvenligi konusu üzerinde daha çok düşünmek gerekmektedir. Mevcut hali ile pek çok tehlikeye açik durumdadir.

2.1.2. Şifreleme

2.1.2.a. Şifrelemenin Yeri

Daha önceden de degindigimiz gibi, şifreleme konusunda karar verilmesi gereken bazi hususlar vardir. Bunlardan ilki de, şifrelemenin nerede yapilacagidir. Bu konuda iki alternatif mevcuttur. Bunlardan biri IP yigininda şifreleme yapmak, digeri ise uygulama yazilimi seviyesinde şifreleme yapmak. Şu anda piyasada mevcut ürünlerin % 70' ten fazlası, IP yığınınında şifreleme işlemini yapmaktadır. Bu yöntemdeki yaklaşım, kurulmuş olan bir bağlantı üzerindeki bütün verilerin şifrelenmesine dayanır. Güvenlik konusunda titiz davrananlar için (örneğin bankalar) oldukça iyi bir yaklaşımdır. Yerel ağdan dışarı giden herşey şifrelenir. Böylece mümkün olan en üst düzeyde güvenlik sağlanmaya çalışılır.

Bu yaklaşımın dezavantajı, fazla CPU zamanı almasıdır. Şifrelemeye ilişkin işlemler, karmaşık hesaplamaya dayalı işlemlerdir. Dolayısıyla, gelen ve giden her şeyin şifrelenmesi, çok fazla CPU zamanı alacaktır. Bu ağın transfer hızına da yansıyacak, birim zamanda aktarılan veri miktarını düşürecektir.

Bu olumsuzlukları minimuma indirmek için üreticiler değişik yollara başvurmuşlardır. Router' ın veya ayrı bir cihaz olarak gerçeklenen şifreleyicinin ayrı işlemcilere sahip olması bu yöntemlerden biridir.

Şifrelemenin yapılacağı yer konusundaki diğer alternatifin uygulama seviyesindeki şifreleme olduğunu söylemiştik. Bu yaklaşımın avantajı, ağ yöneticisinin, neyin şifrelenip neyin şifrelenmeyeceğine karar verebilmesidir. Böylece ağ yöneticisi, şifrelenmesine ihtiyaç olmadığını düşündüğü şeylerle ilgili zaman kaybının önüne geçebilecek, bu da CPU zamanını kazanmamızı sağlayacaktır. Ancak böyle bir çalışma düzeninde, veriyi alacak olan tarafın, nelerin şifrelenip nelerin şifrelenmediğini bilmesi gerekmektedir. Bu da, ilgili bazı parametrelerin uygun değerlere getirilmesini gerekmektedir. Bu işlem de, ağ yöneticisinin zamanını alacaktır.

2.1.2.b. Şifreleme Yöntemi

Ağ yöneticisi şifrelemenin nerede yapılacağına karar verdikten sonra, düşünmesi gereken ikinci şey, şifrelemenin nasıl yapılacağı, hangi tekniğin kullanılacağıdır. Şu an için en iyi bilinen ve en çok kullanılan yöntem Veri Şifreleme Standardı (Data Encryption Standard - DAS)' dır. İlk olarak 1970' lerin başlarinda geliştirilmiş, Amerika Birleşik Devletleri tarafindan 1977' de son hali verilmiştir. Bu teknikte, 64 bitlik text bloklari 56 bitlik anahtarlar kullanilarak şifrelenir. Bu bize trilyonlarca farkli anahtar sunar. Dolayisiyla ilk bakişta çözülmesi imkansiz bir şifre gibi gözükse de aslinda günümüzün güçlü bir makinasi bunu çözebilir. Dolayisiyla yakin bir gelecekte 56 bitlik şifrelemenin yetersiz kalacagini söyleyebiliriz.

Bu yetersizlik karşisinda "üçlü DES" denilen bir teknik geliştirilmiştir. Burada yapilan, yukarida bahsedilen her bir blogun şifrelenmesinde üç ayri anahtarin kullanilmasidir. Bu teknik günümüzde yavaş yavaş kullanilmaya başlanmiştir. Degişik üreticiler, bu teknigi kullanan ürünlerini piyasaya sumuşlardir. Bunlara örnek olarak IBM' in Securenet Gateway 2.1 firewall' unu verebiliriz. NEC, NSC ve Western Datacom da bu tekniği kullanan ürünler piyasaya sürmüşlerdir.

Şifreleme yöntemi olarak DES' ten başka algoritmalar da piyasada bulunmakta ve kullanilmaktadir. Bunlar; Checkpoint tarafindan üretilen FWZ1, IRE tarafindan üretilen Atlas ve IBM tarafindan üretilen Command Masking Data Facility (CMDF) dir. Bunlarin tamami 40 bitlik algoritmalardir. Northern Telecom Ltd. tarafindan geliştirilen CAST, 40 ila 64 bit araliginda degişen uzunlukta anahtar kullanmaktadir.

2.1.2.c. Private Key Ve Public Key Kavramlari

Şifreleme mekanizmasi için karar verilmesi gereken bir nokta da, private-key mi yoksa public-key mi kullanilacagidir. (Aslinda public-key ile anlatilan bir public-key ve bir private-key içerir. Karişikligi önlemek ve yöntemleri bir birinden ayirmak için böyle bir isimlendirme yapilmiştir.)