HTTPS Protokolü ve GüvenliğiMerhaba arkadaşlar. Konumuz güvenli olduğunu düşünerek kullandığımız "https" protokolünün güvenliği. Günümüzde genelde bankalar da çok sık grdüğümüz https gerçektende denildiği gibi o kadar güvenlimi? Her an kredi kartı dolandırıcılığı ile karşı karşıya gelebileceğimiz bir ortam da en güvenli protokollerden biri olarak gsterilen "https" nin güvenliğine değineceğiz. Katmanlı GüvenlikGüvenlik bir zincir gibi katmanlardan yani halkalardan oluşuyor ve herhangi bir sistemin güvenliği de kendisinde oluşturulan halkaların en basiti kadardır. Güvenliğin en çok ihtiyaç duyulduğu noktalardan biri de iletişimdir ve temel TCP/IP ile oluşur. TCP/IP nin amacı güvenlik değildi ve günümüzde eksiklikleri yeni protokollerle kapatılmaya çalışılmıştır ama temelde ki en ufak bir problem tüm sistemi etkiliyebiliyordur. rneğin HTTPS ile çalışan bir uygulamanın güvenli olup olmadığını bilmek için sistemin hangi halkalardan oluştuğunu iyi bilmemiz gerekir ve bu halkalardaki güvenlik zafiyetlerini lçeklememiz icab eder. HTTPS nin gerçekleşebilmesi için ek olarak 4 protokol daha devreye giriyor. HTTPS ne kadar güvenli olsa da diğer protokollerdeki açıklar HTTPS'yi de etkiler. yleyse HTTPS güvenli değil mi?HTTPS Güvensiz Mi?Yukarıda da bahsetmiştik genelde bankaların kullandığını ama bankalar haricinde online alışveriş siteleri, bazı kurumlar da yüksek güvenlik için bir çok yola başvurur ve güvenlik denilince hemen 128 bitlik şifreleme akla gelir. 128 bitlik şifre günümüzde geçerli bir güvenlik düzeyi kabul edilse de sadece şifreleme ile işler bitmiyor, şifrelerle kullanılan altyapıların da güvenli olması şarttır sıkı bir güvenlik için. SSL'nin en büyük tehlikede aldığı saldırı tipi MITM 'dir. MITM ataklarında saldırgan kendisini istemci ile sunucu arasına yerleştirir ve tüm trafiği dinler, değiştirebilir. HTTPS de MTIM il araya giren saldırgan sahte sertifika üretir ama CA kurumu tarafından imzalanmadığı için Web browser hata verir. Dikkatsiz davranarak her grdüğü linke, popup pencerelerine ne olduğunu bilmeden bilinçsizce yes'e basan kullancılar için risk bir nevi azalsa da hala devam eder ama bilinçli kullanıcılar için bu tip uyarılar dikkate alınır. Peki bilinçli kullanıcı olsa bile gzünden kaçan HTTPS'yi güvensiz bırakabilecek başka açık var mıdır?Evet var, ona da diğer başlıkta değineceğiz. SSL'in HTTP ile İmtihanıSSL bahsettiğimiz gibi güvenli bağlantılar da kullanıyoruz, kullanıyoruz ama çoğu sistemde HTTP de aynı anda kullanılıyor. Yani siteye nce http Protokolü ile giriliyor ama hassas ve güvenlik gereken linklerde HTTPS bağlantısına geçiliyor. E bu durumda HTTPS nin güvenliği HTTP ye bağlı oluyor. Madem HTTPS HTTP den daha güvenli o zaman neden sadece HTTPS kullanılmıyor? sorusu akıllara gelebilir. Kısa olarak anlatırsak SSL sunucu tarafında daha fazla kapasite gerektirir, yani ekstradan daha fazla alan gerektirdiği için güvenlikten dün verip alandan dün vermezler genelde. HTTP ile HTTPS arasındaki yüklerin farklılığını ise Wireshark gibi snifferla inceleyebiliriz. Gz Yanılgısı İle HTTPS Nasıl Devre Dışı Bırakılabilir?Bunu bir pratik ile anlatacağız, SSL Strip uygulaması ile byle bir gz yanılgısı mümkündür.-Peki nedir bu SSLStrip? Nasıl Çalışır?SSLStrip uygulaması Linux tabanlı sistemlerde çalışıyor ve saldırgan MITM tekniklerini kullanarak istemcinin trafiğini üzerine geçirmek zorundadır. Şimdi saldırganın yaptığı işlemlere hep birlikte gz atacağız.1. Adım: Adım: Saldırgan bahsettiğimiz gibi istemcinin trafiğini kendi üzerine geçirir. Üstüne geçirdikten sonra trafik üzerinde istediği oynamaları yapar. Saldırgana gelen paketleri hedefe iletmek için işletim sisteminin routing yapması gerekiyor. Linux tabanlı sistemlerde ise bu sysctl değeriyle oynanıp yapılıyor.2. Adım: Saldırgan iptables güvenlik duvarını kullanarak istemciden gelip herhangi biryere giden tüm TPC/80 isteklerini lokalde sslstrip'in dinleyeceği 8000. Porta ynlendirmesi gerekmektedir.3. Adım: Saldırgan sslstrip uygulamasını çalıştırır 8000. Portu dinlemeye başlar ve istemci sunucudan gelecek tüm istek ile cevapları "topla" isimli dosyaya loglar. Evet sizlere kısaca bahsettik adımlardan bu adımlar sayesinde istemci farkında bile olmadan HTTPS kullanacağına HTTP yi kullanır ve tüm bilgileri kaptırır. En çok da halka açık kablosuz ağlarda, şirketlerde, TOR gibi ücretsiz Proxy hizmet kullanılan yerlerde yaşanabilir. Nasıl Korunabilirim?Bu saldırı yntemlerinden korunmak sunucuyu değil istemciyi ingilendiriyor. İstemci HTTPS olarak girmek istediği yerlere girerken isteklerin HTTPS olarak gittiğine çok dikkat etmeli, daha da nemlisi insan unutur ama bilgisayar unutmaz bu yüzden bu işi otomatik yapan bir program kullanmalıdır. Alıntıdır - AL_KaVRaZ ne diyon?

makale için tşeekkürler http://www.securitytube.net/video/193 sslstrip kullanımı