DNS: internetin rehberi

Açılış

Bir cumartesi sabahı Nilüfer Hanım Ece'yi aradı: internet yine çökmüştü. Haber sitesi açılmıyordu, banka uygulaması "bağlantı hatası" veriyordu, ama tuhaf bir şekilde görüntülü konuşma uygulaması bir dakika önce çalışmıştı. Ece telefonda anneannesinin defterindeki acil durum sayfasını açtırdı; orada katmanlı model dersinden kalan beş basamaklı merdiven yazılıydı.

Birlikte basamakları tırmandılar. Telefon kablosuz ağa bağlıydı. Bir adres almıştı. Modeme ulaşılıyordu. Ece'nin söylediği bir sayı dizisine, herkese açık bir hizmetin IP adresine gönderilen sorguya cevap geliyordu; yani internete çıkılabiliyordu. Ama beşinci basamakta, bir sitenin adı yazıldığında, hiçbir şey açılmıyordu.

Ece sorunu buldu: internet sağlamdı, ama adlar adreslere çevrilemiyordu. Servis sağlayıcının ad çevirme hizmeti o sabah arızalıydı. Telefon bir sitenin numarasını biliyorsa ona ulaşabiliyordu; adını bildiği bir sitenin numarasını ise öğrenemiyordu. Bu ders o çeviri hizmetini, internetin rehberini anlatıyor ve rehberin yanlış numara verdiği günde ne olacağını soruyor.

Tek fikir

DNS, insanların hatırladığı adları cihazların ihtiyaç duyduğu IP adreslerine çeviren dağıtık bir rehberdir. Hemen her bağlantı bir DNS sorgusuyla başladığı için, rehberi kontrol eden, kullanıcının nereye gittiğini de kontrol eder.

Nasıl çalışır

Ev ağının parçalarını anlatırken DHCP'nin dağıttığı bilgiler arasında ad çevirisini yapacak sunucunun adresinin de olduğunu söylemiştik. Şimdi o sunucunun ne yaptığına bakıyoruz. Paketler IP adresleriyle taşınır, ama insanlar sayı dizilerini değil adları hatırlar. Adres çubuğuna bir ad girildiğinde cihazın önce o adın hangi IP adresine karşılık geldiğini öğrenmesi gerekir. Bu çeviriyi alan adı sistemi, kısaca DNS yapar.

Bir sorgunun yolculuğu kabaca şöyledir. Cihazın, DHCP'den öğrendiği çözümleyiciye sorar: bu adın adresi ne? Çözümleyici cevabı önbelleğinde bulursa hemen verir. Bulamazsa ağacın tepesinden başlar: kök sunucularına sorar, onlar üst düzey alanın sunucularını gösterir, onlar da o alan adının kendi yetkili sunucusunu gösterir. Yetkili sunucu cevabı verir; çözümleyici cevabı hem sana iletir hem de belirli bir süre önbelleğinde saklar. Bu süreye, kaydın sahibinin belirlediği yaşam süresi denir.

Rehberde yalnız IP adresleri yazmaz. Bir alan adının e-postasını hangi sunucunun kabul ettiğini, bir adın başka bir adın takma adı olduğunu ya da alan adının sahibinin yayımladığı başka bilgileri de taşır. Bu bilgilerin her biri ayrı bir kayıt türüdür ve e-posta güvenliğini Seviye 3'te konuşurken bazılarını ayrıntılı okuyacağız.

DNS, internetin ilk yıllarında birbirine güvenen az sayıda kurum için tasarlandı ve sorgular da cevaplar da varsayılan olarak şifresiz ve imzasız taşınır. Bu iki sonuç doğurur.

Birincisi doğrulukla ilgilidir: cihaz, gelen cevabın gerçekten doğru sunucudan geldiğinden ve yolda değiştirilmediğinden kendi başına emin olamaz. Bir çözümleyicinin önbelleğine sahte bir kayıt yerleştirilirse, o çözümleyiciyi kullanan herkes, doğru adı yazdığı hâlde yanlış adrese gönderilir.

İkincisi gizlilikle ilgilidir: şifresiz bir DNS sorgusu, yoldaki herkese hangi siteleri ziyaret etmek üzere olduğunu söyler. Sitenin kendisiyle bağlantın şifreli olsa bile, adın sorgusu düz metin olarak gidebilir. Bu sorunu çözmek için DNS sorgularını şifreli bir kanaldan taşıyan yöntemler geliştirildi.

Şifreli DNS gizliliği korur, ama tek başına cevabın doğru olduğunu kanıtlamaz; yalnız çözümleyici ile cihaz arasındaki yolu korur. Cevabın kaynağını kriptografik olarak doğrulayan ayrı bir mekanizma da var; onu kriptografi seviyesinden sonra, e-posta altyapısı güvenliğinde göreceğiz.

Sahada

Savunma

DNS savunması, rehberi kimin tuttuğunu bilmek ve rehberin cevaplarına körü körüne güvenmemekle başlar.

İlk savunma, hangi çözümleyiciyi kullandığını bilmektir. Evde bu genellikle DHCP'nin verdiği, servis sağlayıcının çözümleyicisidir. Bir cihazın ya da ev kutusunun DNS ayarının sessizce değiştirilmesi, kötü amaçlı yazılımların ve ele geçirilmiş yönlendiricilerin sık yaptığı bir iştir; bu yüzden çözümleyicinin adresini envantere yazmak ve aylık turda kontrol etmek, beklenmedik bir değişikliği fark ettirir.

İkinci savunma, adların doğru adrese gittiğini yalnız DNS'e bırakmamaktır. Bir web sitesine şifreli bağlantıyla girildiğinde, tarayıcı sitenin sertifikasını kontrol eder; DNS sahte bir adres verse bile, sahte sunucu o sitenin geçerli sertifikasını gösteremezse tarayıcı uyarı verir. Bu uyarıları ciddiye almak, önbellek zehirleme gibi saldırılara karşı kullanıcının elindeki en önemli korumadır. Sertifikaları Seviye 4'te ayrıntılı göreceğiz.

Üçüncü savunma, gizliliği korumak için şifreli DNS'i kullanmaktır; özellikle güvenmediğin ağlarda. Tarayıcıların ve işletim sistemlerinin "güvenli DNS" ya da benzer adlı ayarları bunu sağlar. Kurumlarda ise bu ayar, Selin'in şirketinin yaptığı gibi, kurumun kendi çözümleyicisine yönlendirilerek görünürlükten vazgeçmeden yapılır.

Kurumlar için dördüncü savunma, DNS'i bir tespit kaynağı olarak kullanmaktır. Hemen her bağlantı bir sorguyla başladığı için, çözümleyici kayıtları bir bilgisayarın neyle konuşmaya çalıştığını gösterir; bilinen kötü alan adlarını çözmeden durdurmak da mümkündür. DNS filtrelemeyi Seviye 3'te ayrıca işleyeceğiz.

Son olarak, kendi alan adı olan herkes için rehberdeki kendi kaydını korumak da bir savunmadır; ama bu, Seviye 3'teki alan adı ve e-posta altyapısı modülünün konusu.

Uygulama

Bu uygulamada kendi cihazının hangi çözümleyiciyi kullandığını görecek ve bir adın adrese çevrilişini izleyeceksin. Komutlar yalnız sorgu yapar.

nslookup çıktısında "yetkili olmayan cevap" anlamına gelen bir ifade görürsen bu bir hata değildir: cevap, alan adının kendi sunucusundan değil, çözümleyicinin önbelleğinden gelmiştir.

Defter: Envanterde modem satırına evin çözümleyicisinin adresi ve bu adresi kimin verdiği; her bilgisayar ve tarayıcı için şifreli DNS'in açık olup olmadığı. Aylık güvenlik turuna "çözümleyici adresi değişmiş mi" maddesi.

Hata köşesi

Etik ve sınırlar

DNS kayıtları, bir kişinin hangi sitelere girdiğini ayrıntılı biçimde gösterebilir ve bu yüzden hassas kişisel veridir. Bir kurumda çözümleyici kayıtlarını inceleme yetkin varsa, onları güvenlik amacıyla ve görevinin gerektirdiği ölçüde kullanırsın; bir çalışanın özel internet alışkanlıklarını merakla incelemek bu yetkinin dışındadır. Evde de aynı ilke geçerlidir: ev kutusunun kayıtlarından aile üyelerinin hangi sitelere girdiğini izlemek, onların bilgisi ve rızası olmadan yapıldığında güveni zedeleyen bir gözetimdir; çocuklar için kurulan filtreler ise yaşa uygun olmalı ve konuşularak kurulmalıdır. Başkasının alan adının kayıtlarını değiştirmeye ya da bir çözümleyiciye sahte kayıt yerleştirmeye çalışmak ise, alan adının ya da sunucunun sahibi yetki vermedikçe bilişim suçu sayılabilecek bir müdahaledir.

Kapanış

1. DNS, insanların hatırladığı adları IP adreslerine çeviren, ağaç yapısında dağıtık bir rehberdir; cihazlar sorgularını bir çözümleyiciye sorar, çözümleyici cevapları toplar ve önbelleğinde tutar.
2. DNS varsayılan olarak şifresiz ve imzasızdır; önbellek zehirleme, sahte çözümleyici ya da değiştirilmiş ayarlar doğru yazılmış bir adı yanlış adrese gönderebilir ve şifresiz sorgular ziyaret edilen siteleri yoldakilere gösterir.
3. Savunma, hangi çözümleyicinin kullanıldığını bilmek ve izlemek, tarayıcının sertifika uyarılarını ciddiye almak, güvenilmeyen ağlarda şifreli DNS kullanmak ve kurumlarda DNS kayıtlarını tespit için değerlendirmektir.

Üç soru

1. Nilüfer Hanım'ın telefonu bir IP adresine ulaşabildiği hâlde siteleri neden açamıyordu?
2. Önbellek zehirleme bir çözümleyiciyi kullanan herkesi neden aynı anda etkiler?
3. Şifreli DNS hangi sorunu çözer, hangisini tek başına çözmez?

Yanıtlar

1. Telefon internete çıkabiliyordu, ama site adlarını IP adreslerine çeviren çözümleyici, yani servis sağlayıcının DNS hizmeti, arızalıydı. Telefon bir sitenin numarasını bilseydi ona ulaşabilirdi; ama adını bildiği sitelerin numaralarını öğrenemiyordu. Bağlantı merdiveninde dördüncü basamağın çalışıp beşincinin çalışmaması bu ayrımı gösterdi.
2. Çünkü çözümleyici aldığı cevapları önbelleğinde tutar ve aynı adı soran herkese, kaydın yaşam süresi boyunca, önbellekteki cevabı verir. Önbelleğe bir kez sahte bir kayıt yerleştirilirse, o çözümleyiciyi kullanan bütün cihazlar doğru adı yazdıkları hâlde yanlış adrese gönderilir.
3. Şifreli DNS, sorguların cihaz ile çözümleyici arasındaki yolda gizli kalmasını sağlar; böylece yoldaki bir gözlemci hangi adların sorgulandığını göremez ve sorgu yolda değiştirilemez. Ama çözümleyicinin kendisi sorguları görmeye devam eder ve çözümleyicinin önbelleği zehirlenmişse ya da kötü niyetliyse, şifreli kanal yanlış cevabı doğru hâle getirmez.

Sonraki derse köprü

Modül 3'te ağın bütün parçalarını tek tek gördük: paketler, adresler, portlar, taşıma protokolleri, katmanlar, ev ağının kutusu ve şimdi rehber. Modülün son atölyesi bunları kendi evinde bir araya getiriyor: ev ağının haritası. Evdeki her cihazı, adresini ve bağlantısını çizecek, kutunun bağlı cihazlar listesini envanterinle karşılaştıracak ve tanımadığın bir cihaz bulursan ne yapacağına karar vereceksin.