Solution for Your Systems

Bir FTP sunucusuna yapılan saldırının başarılı olması için ilgili sunucunun kullanıcıya sunduğu yetkilerin ve genel güvenlik ayarlarının yanlış yapılandırılmış olması gerekir. FTP sunucusuna yapılacak saldırılardan korunabilmek için  sunucu ve güvenlik duvarı ayarlarının yalnızca dış bağlantılar için değil, iç sunucularla aralarındaki özel iletişim noktaları için de iyi yapılandırılması gerekmektedir.

SSL yerine RCP Kullanılması

RCP ile sağlanan iletişimde herhangi bir şifreleme yoktur ve bilgiler düz metin halinde yollanır ve alınır. FTP sunucusunda kimlik doğrulama aşamasında RCP kullanıldığı takdirde kullanıcı adı ve şifre, sunucuya düz metin halinde gider ve iletişimi dinlemekte olan saldırgan bu paketi yakaladığında bilgilere de kolaylıkla ulaşır. Aynı şekilde istemci ve sunucu arasındaki bilgi transferi de şifresiz olduğu için saldırgan, istemcinin almakta olduğu paketi çalarak, şifreye veya kullanıcı adına ihtiyaç duymadan içindeki bilgiye ulaşır. SSL (Secure Socket Layer) kullanımı ile bu tehlikenin önüne geçilir; şifre, kullanıcı adı ve tüm veri iletişimi şifrelenir. Bu yapıyı kullanmak için istemci tarafında SSL destekli bir yazılım olması gerekir; fakat SSL kullanımında bağımsız, üçüncü parti bir sertifika sağlayıcı (Certification Authority – CA) gereklidir. CA, sunucu ile istemci arasındaki kimlik doğrulama işlemini yaptığı için her iki tarafın da CA olan kuruma güvenmesi gerekmektedir.

Pasif ve Aktif Kullanıcı Yapılandırması

FTP sistemi temel olarak iki bağlantı noktası üzerinden çalışır. Bu kanallar “denetleme kanalı” ve “veri kanalı” olarak ikiye ayrılır.

Denetim kanalı, 21 numaralı port üzerinden çalışır. İstemciler, sunucunun bu portuna bağlanırlar ve veri iletişimini başlatırlar. Dosya aktarımı veri kanalı üzerinden yapılır. Dosya aktarımında iki çeşit bağlantı kullanılır.

Aktif Bağlantı:  Aktif bağlantıda veri aktarımının hangi yolla yapılacağına istemci karar verir. İstemci, sunucuya belirli bir bağlantı noktasından veri aktarımını başlatması için istek gönderir ve sunucu aktarımı başlatır. Bu sistemin en büyük açığı, aktarımı başlatan tarafın sunucu olması ve istemci üzerindeki güvenlik duvarının bu bağlantıya izin vermesi için bağlantı noktası açması ve bu bağlantı noktalarından gelen bağlantılara izin vermesidir. Bu sayede bir saldırgan istemci üzerindeki açık bağlantı noktalarını tarayarak ve açık bulunan FTP bağlantı noktalarından birini kullanarak bilgisayara izinsiz giriş yapabilir.

Pasif Bağlantı: Pasif bağlantıda veri aktarımının hangi yolla yapılacağına sunucu karar verir. İstemci, sunucudan bir dosya talep eder ve sunucu istemciye dosyayı sunucunun hangi bağlantı noktasından alabileceği bilgisini gönderir. Bu sistemin aktif bağlantıdan daha güvenli olmasının sebebi, bağlantıyı başlatan tarafın istemci olması ve sunucunun ilgili bağlantı noktasına bağlanmasıdır. Bu şekilde istemcinin kendi üzerinde bağlantı noktası açıp gelen bağlantılara izin vermesi gerekmez. Bu bağlantının açığı ise sunucunun kendi üzerinde bağlantı noktası açıp beklemesidir. Bu sayede, saldırgan, sunucu üzerindeki bağlantı noktalarını tarayarak, dosyayı talep eden istemciden önce açık bağlantı noktasına bağlanabilir ve kullanıcı adı, şifre gibi detaylara gerek duymadan ilgili dosyayı alabilir. Bu durumda istemcinin dosyayı korumak için alacağı hiçbir önlem yoktur. İndirilen dosyanın güvenliğini sağlamak, tamamıyla sunucu taraflı bir işlemdir. Bu tip bir saldırıdan korunmak için FTP sunucusu, açtığı bağlantı noktasına, yalnızca dosyayı talep eden IP veya MAC adresinin bağlanmasına izin verir.

IP/MAC Maskelemesi: IP/MAC kontrolü yapan bir sunucudan dosyayı çalmak için saldırgan, asıl istemcinin IP ve MAC adreslerini tespit edip, kendisini bu bilgilere göre maskelemesi gerekir. Bu da saldırının başarı şansını oldukça azaltmaktadır. Bahsi geçen saldırıda dosyayı talep eden bilgisayardan önce sunucuya bağlanmak gerekir. Saldırgan, IP ve MAC maskelemesini yapana kadar geçen sürede dosyayı talep eden bilgisayar sunucuya bağlanmış olacaktır.

Zaman Aşımı Süresi: IP/MAC filtrelemesi yapan bir sunucuya yapılan saldırının başarılı olması, istemcinin dosya aktarımı sırasında kısa süreli bağlantı kopuklukları yaşaması ile mümkündür. FTP sunucuları genel olarak bağlantıda yaşanan kısa süreli kopmalarda dosya aktarımının sona ermemesi için belli bir süre zaman aşımı süresi tanırlar. İstemci böyle bir sorun yaşadığında, sunucu, istemcinin IP ve MAC adresi için açtığı oturumu kapatmaz ve zaman aşımı süresi sonuna kadar bağlantının yeniden kurulmasını bekler. IP ve MAC maskelemesini gerçekleştiren saldırgan bu zaman aralığında sunucudaki açık oturuma bağlanır ve asıl istemcinin kaldığı yerden dosyaları indirmeye devam eder.

Bu açıkların yanı sıra FTP sunucularına saldırıda en sık kullanılan yöntem sıçrama saldırısı olarak bilinen yöntemdir. Sıçrama saldırısı ile çeşitli açıklar kullanılarak çeşitli saldırılar yapılır.

Bounce Saldırısı

“Bounce” saldırısının en önemli özelliği, saldırganın bulunmasını zorlaştırmasıdır. Diğer saldırılar ile birlikte kullanıldığında bir saldırgan hiçbir iz bırakmadan saldırısını gerçekleştirebilir. Bu tip bir saldırıdaki mantık bir FTP sunucusunun proxy olarak kullanılmasıdır. “Bounce” yöntemi ile yapılabilecek temel saldırı tipleri şunlardır:

Bağlantı Noktası Tarama: Saldırgan herhangi bir sunucuda bağlantı noktası taraması gerçekleştirmek için bu yöntemi kullanırsa sunucu günlüklerinden saldırı ayrıntılarına bakıldığı zaman bağlantı noktası taramasını yapan bilgisayar olarak FTP sunucusu görünür ve saldırgana ulaşmak zorlaşır. Saldırı yapılacak sunucu ile proxy olarak kullanılan FTP sunucusu aynı alt ağda ise hedef sunucu, FTP sunucusundan gelen verilerde herhangi bir paket filtrelemesi yapmaz ve yollanan paketler güvenlik duvarına takılmaz. Bu paketler üzerinde hiçbir erişim kuralı uygulanmayacağından saldırganın başarı şansı artar.

Temel Paket Süzgeçlerinden Geçmek: Bir saldırgan bu yöntemi kullanarak anonim bir FTP sunucusunun arkasına kurulan ve güvenlik duvarı tarafından korunan bir iç sunucuya ulaşabilir. Anonim FTP sunucusuna bağlanan saldırgan, bağlantı noktası tarama yöntemi ile bu sunucuya herhangi bir bağlantı noktasından bağlı olan bir iç sunucuyu tespit eder ve tespit ettiği bağlantı noktasından arkadaki sunucuya ulaşabilir. Böylece güvenlik duvarının dış bağlantılara karşı koruduğu sunucuya, güvenli bağlantı olarak nitelendirilmiş ve FTP sunucusuyla iletişim kurulmak için özel olarak tanımlanmış noktadan, saldırı gerçekleşmiş olur.

Hizmet Yadsıması (Denial of Service) Saldırısı

DoS saldırıları tanım itibariyle yeni bir tür güvenlik açığı değildir. DoS saldırıları temel olarak, hedef sunucunun kaynaklarını harcayarak, sunucunun hizmet vermesini engellemek amaçlı yapılır. Yani saldırıya uğramış bir FTP sunucusunun ziyaretçileri bu saldırı boyunca sunucuya bağlanamayacak veya talep ettiği dosyayı alamayacaktır.

Yazar ceyhun çamlı

Çalıştığımız organizasyonlarda kullandığımız her bir servis için firewall üzerinde kurallar oluşturmamız ve network güvenliğini sağlamamız gerekmektedir. Yanlış konfigüre edilecek olan her servis, ya da fazladan açılacak her port network yapımız içerisinde güvenlik açığı oluşturacak ve organizasyonumuz için güvenlik zaafiyeti oluşmasına sebep olacaktır.

Bu doğrultuda SCOM ile agent’ların , web konsolununun ve scom’un network device’larıyla iletişime geçerken kullandığı portları ve bu portların yeine getirdiği işlevleri bu makalede anlatmaya çalışacağım.

Untrusted Server’lara SCOM Agent Dağıtımı

 

SCOM Konsolunun Kullanıcı Bilgisayarına Kurulumu

 

SCOM Web Konsoluna Kullanıcı Bilgisayarından Erişim

 

SCOM ile Network Cihazlarının Monitor Edilmesi İçin Gerekli Portlar

Daha detaylı bilgiye aşağıdaki tablodan erişebilirsiniz.

 

Umarım yararlı olmuştur.

Yazar ceyhun çamlı

Microsoft 23 Ekim 2008 tarihinde çok acil olduğunu bildirdiği bir güncelleme yayınladı: MS08-67. Güncelleme solucanlar tarafından kullanılabilir bir açıklığı kapatıyordu. Tabiî ki Microsoft’un kendisinin böyle önemli bir açıklık olduğunu belirtmesi ve normal güncelleme çıkarma periyodunu sırf bu açıklık için değiştirmesi dünyadaki birçok güvenlik uzmanının dikkatini çektiği gibi, kötü niyetli kod yazarlarının da ilgisini çekti.

Açıklığın yayınlanmasının üzerinden daha 24 saat geçmemişti ki internette açıklığı kullanan exploitler ortaya çıktı. Ondan sonraki günlerde birçok kötü niyetli yazılım bu açıklığı kullanarak yayılmaya çalıştı fakat çok büyük tehdit oluşturamadılar. Ancak açıklık yayınlandıktan bir ay sonra ilk kayda değer, açıklığı kullanan “Conficker” adlı solucan tespit edildi.

Conficker solucanı ilk çıktığında fazla dikkat çekmedi. Solucanın yayılımı beklenenin, diğer bir deyişle korkulanın altında bir sayıdaydı. Hatta görülen o ki bu durum birçok güvenlik sorumlusunu rehavete sevk etti. Çünkü işin ciddiyeti yaklaşık solucanın yeni bir sürümünün çıkmasıyla değişti. Bu yeni sürümün tespit edilmesinin üzerinden bir iki hafta geçmeden yeni solucan 3 milyonunun üzerinde bilgisayara bulaşmıştı. Haddi zatında 3 milyon sayısı bir solucan için çok büyük bir başarıydı. Çünkü şimdiye kadarki en büyük solucan ağının büyülüğü 100 binler civarındaki bilgisayardan oluşmaktaydı. Fakat Conficker bu kadarla kalmadı. Bir kaç gün içinde telaffuz edilen sayı 9 milyonu geçti.

Nasıl Yayılıyor

Aslında bu yayılma hızı bir açıdan hiç de şaşırtıcı değil. Çünkü solucan, her ne kadar çok karmaşık bir mühendislik örneği olsa da, bilinen en zayıf güvenlik halkasına yani insan faktörüne akıllı bir şekilde saldırmakta.

Biraz daha açacak olursak, solucan yayılmak için biraz sosyal mühendislik, biraz da hep ihmal ettiğimiz çok basit güvenlik zafiyetlerinden faydalanmakta. Solucanın yayılmak için kullandığı kısaca üç farklı yol var.

Conficker yayılma yöntemleri

MS08-67 ile Duyurulan SMB Protokolündeki Açıklığı Kullanarak

Evet, üzerinden üç ay geçmesine rağmen maalesef birçok kullanıcı bilgisayarı halen güncellememiş durumda. Solucanın bu kadar hızlı yayılmasının temel nedeni de bu.

Ele geçirilmiş olan bilgisayardan solucan diğer bir bilgisayara açıklık yardımıyla bulaşmak istediğinde ilk önce ele geçirilmiş olan bilgisayarın dış ip adresini aşağıdaki web sayfalarından herhangi birini kullanarak tespit etmekte :

• http://checkip.dyndns.org
• http://getmyip.co.uk
• http://www.getmyip.org
• http://www.whatsmyipaddress.com

Daha sonra solucan rastgele bir portta HTTP sunumcusu açmakta:

• http://%DışIPAdresi%:%RastgelePort%

Bu web sunumcusunun üzerinden de solucan kendisini yeni kurban makinesine kopyalamakta. Kopyalanan dosyanın uzantısı “bmp”,”gif”,”jpeg”,”png” uzantılarından herhangi birisi olabilmekte.

Son olarak da solucan, açıklığın asıl kaynağı olan NetpwPathCanonicalize API ‘sine kanca atmakta ve başka birisinin bu açıklığı kullanarak bu bilgisayarı ele geçirmesini engellemekte.

Bu açıklığı kullanarak solucan sadece güncellenmemiş Windows 2000,XP ve 2003 makinelerine bulaşabilmekte, Vista ve Server 2008 kurulu bilgisayarlara bulaşamamaktadır .

Sözlük Saldırısı ile Bilgisayarlardaki Zayıf Yerel Yönetici Hesaplarının Şifrelerini Kırarak

Zaten eğer hala standart “12345″,”Asd1234″,”Password” gibi şifreler kullanıyorsanız ve şimdiye kadar hacklenmediyseniz ya bir ağ bağlantınız yok ya da hacklendiğinizin farkında bile değilsiniz.

Conficker solucanı bir bilgisayara bulaştığında ilk önce çevresindeki bilgisayarları taramakta. Tarama sonucunda bulduğu bilgisayara bulaşabilmesi için tarama için kullandığı kullanıcı hesabının karşı bilgisayarda yerel yönetici haklarına sahip olması gerekmektedir. İşte eğer yerel yönetici hakkına sahip değilse, NetUserEnum API yardımıyla karşı bilgisayardaki kullanıcı hesap isimlerini almakta ve yukarıda bahsi geçen kendi sözlüğündeki şifreleri sırayla denemektedir.

Bu saldırı sonucunda solucan yerel yönetici haklarına sahipse ve ağ üzerinden bilgisayarın paylaşımlarına ulaşabiliyorsa, aşağıdaki adreste bir kopyasını “ADMIN$” paylaşımda oluşturmakta:

\\[Sunumcu İsmi]\ADMIN$\System32\[rastgele dosya ismi].[rastgele uzantı]

Bundan sonra zamanlanmış bir iş tanımlayarak kopyalamış olduğu dosyanın çalıştırılmasını sağlamaktadır:

• rundll32.exe [rasgele dosya ismi].[rastgele uzantı], [rastgele]

Ele Geçirilmiş Bir Bilgisayara Bağlanmış Depolama Aygıtlarının Başka Bir Bilgisayara Bağlanmasıyla

Aslında bu yöntem çok da yeni olmayan bir yöntem. Fakat Conficker bu saldırıya eklediği orijinal sosyal mühendislik örneği sayesinde yeni bir boyut kazandırmakta.

Conficker bir bilgisayara bulaştığında o bilgisayara map edilmiş ve taşınabilir sürücülerde aşağıdaki dosyaları oluşturmakta:

• %DriveLetter%\RECYCLER\S-%d-%d-%d-%d%d%d-%d%d%d-%d%d%d-%d\[...].[3 rasgele karakter]
• %DriveLetter%\autorun.inf

Bu sayede bulaştığı bir sürücü başka bir bilgisayara takıldığında eğer autorun (otomatik çalıştır) aktifse, Conficker direk olarak takıldığı bilgisayara bulaşmakta. Eğer autorun aktif değilse yani biraz bilinçli bir kullanıcı autorun’ı kapattıysa veya Vista ve üstü bir sürüm kullanıyorsa Conficker’ın sosyal mühendislik saldırısı devreye girmekte.

Taşınabilir bir sürücü takıldığında

Yukarıdaki Windows penceresindeki sorunu görebildiniz mi? Evet, “Install or run program” yazısının altındaki “Open folder to view files” yazan klasör ikonu sahte. Eğer bir aşağıdaki “General options” altındaki “Open folder to view files” yazan klasör ikonu yerine üstteki sahte olana tıklarsanız Conflicker’ı kendiniz çalıştırmış olacaksınız.

Gayet akıllıca değil mi? Evet, Conficker’ın sayısı 3 bin civarında olduğu tahmin edilen küçük, orta veya büyük ölçekli kuruluşun iç veya dış ağına bulaştığı varsayılmakta [1]. Malumunuz günümüzde direk internet erişimi olan bir kuruluş nerdeyse hiç yoktur. Hepsinin çıkışında bir güvenlik duvarı ve bunun yanında genellikle bir IDS bulunmaktadır. Bu solucanın Windows açıklığını kullanarak bulaşması için karşı bilgisayarın 139 ve 445 inci portlarına ulaşması gerekmektedir ve güvenlik duvarlarında internetten bu portlara gelen isteklerin kapalı olması gerektiği en temel ayarlardan birisidir. Peki, nasıl olduyor da bu kuruluşlara Conficker rahatlıkla bulaşıyor? Tabiî ki taşınabilir sürücülerle.

Birçok kuruluşta USB sürücü kullanımı ya yasaktır ya da denetim altında tutulmaktadır. Fakat sistem yöneticileri için bu yasak çoğu zaman bir şey ifade etmez. Ve bu solucanın bir sistem yöneticisinin bilgisayarına bulaştığını varsayalım. Solucan hâlihazırda sistem yöneticisinin haklarına sahip olacaktır ve ikinci yayılma yöntemini hatırlarsak, daha sonrası için bütün ağı ele geçirmesi an meselesi olacaktır.

Diğer taraftan solucanın çoğu zaman yönetici hesabına ihtiyacı da bulunmamaktadır. Genelde iç ağ olmasından dolayı önemsenmeyen ve zamanında yapılmayan güvenlik güncellemeleri ve devamlı şifre sıfırlamak ve değiştirmekten bıktığı için basit şifreler kullanan sistem yöneticileri ve bilgisayar kullanıcıları, solucanın yayılması için gerekli ortamı zaten oluşturmaktadırlar.

Bilgisayarımıza bulaştı mı nasıl anlarız?

Conficker solucanı bir bilgisayara bulaştığı zaman tespit edilmesini zorlaştıran ve yayılmasını kolaylaştıran birçok değişiklik yapmaktadır. Yaptığı bu değişiklikler diğer taraftan da normalin dışında faaliyetlere sebep olduğu için tespit edilmesine de olanak sağlamaktadır.

Tabiî ki en genel tespit yöntemi virüs programları. Fakat Conficker bulaştığı bilgisayardaki virüs programlarının kendilerini güncellemek için bağlanmaları gereken domainlere (etki alanlarına) ulaşmasını engellemektedir. Yani virüs programınız kendini güncelleyemiyorsa Conficker size çoktan bulaşmış olabilir.

Bunun dışında:

• Eğer “Windows Update” devamlı olarak başarısız oluyorsa.
• Windows Defender güncelleme yapamıyorsa
• Svchost adresinden rastgele hata mesajları geliyorsa
• Güvenlikle alakalı önemli sitelerin belli bir kısmına ulaşamıyorsanız
• Aşağıdaki Windows servisleri çalışmaya başlayamıyorsa
• “wscsvc” (Windows Security Center Service)
• “WinDefend” (Windows Defender Service)
• “ERSvc” (Windows Error Reporting Service)
• “WerSvc” (Windows Error Reporting Service)

Conficker size de bulaşmış olabilir.

Bunların dışında, Conficker analiz edilmesini ve denetlenmesi zorlaştırmak için çok katmanlı polimorfizm (polymorphism) ve paketleme (packing) korumasına sahiptir. İndirilen ve çalıştırılan dosyalarına ulaşımı engellemek için oluşturduğu kütük defteri servis ayarlarına ulaşım hakkını sadece Local System erişebilecek şekilde değiştirmektedir. Aynı amaçla çalışacak olan dosyalarına bütün kullanıcılar için bütün erişim haklarını kaldırmakta. Sadece execute (çalıştırma) hakkına ulaşımı bırakmaktadır. Bunlara ek olarak kendi dosyaları üzerinde bir sistem kilidi (system lock) tutmakta. Böylelikle başka programların bu dosyalara ulaşımını zorlaştırmaktadır.

Nasıl önlem alır veya temizleriz?

Eğer bilgisayarınıza Conficker bulaşmamış ise yapmanız gereken gayet kolay. Bilgisayarınızı güncelleyin, anti virüs programınızı güncelleyin, şifrelerinizi güçlendirin, autorun özelliğini kaldırın ve diğer bilgisayarlara da giren taşınabilir sürücüleri taktığınızda nereye tıkladığınıza dikkat edin.

Fakat Conficker zaten bulaşmış durumda ise ilk önce gerekli MS08-67 güncellemesi yüklenmeli ve şifreler güçlendirilmelidir. Tabiî ki “Windows Update” servisinin çalışması virüs tarafından engelleneceği için güncelleme temiz bir bilgisayarda Microsoft’un sayfasından indirilebilir. Daha sonra bu dosya yazma korumalı olarak açılan bir paylaşıma kopyalanabilir ve bu paylaşım üzerinden kurban bilgisayarda çalıştırılabilir. Asıl temizleme işlemi için ise kurban bilgisayarda bulunan virüs yazılımı varsa güncellenebilir veya yalnız başına çalışan birçok temizleme aracından birisi kullanılabilir. Örnek olarak MSRT (Malicious Software Removal Tool) [veya F-Secure “Disinfection Tool” . Yine bu noktada dikkat edilmesi gereken husus Conficker’ın virüs programı güncellemesini web üzerinden yapmanızı engelleyecek olmasıdır. Bunun için yukarıdaki metot aynı şekilde kullanılabilir.

Yazar ceyhun çamlı

Bilgi Teknolojisi sistemlerinde işlenen kritik verilerin güvenli saklanması, güvenli iletimi, kaynağının doğrulanması şifreleme, şifre çözme, bütünlük kontrolleri, elektronik imza vb. kriptografik işlemleri zorunlu kılmaktadır. Haberleşme ve bilgisayar sistemlerinde bu işlemler sistem içerisinde yer alan kripto modülleri ile sağlanmaktadır. Bu kripto modüllerinin güvenlik özelliklerini aksatmadan yerine getirmesi önem arz etmektedir. ISO/IEC 19790, bilgi teknolojisi sistemlerinde yer alan ve kritik verilerin güvenliğini sağlayan bu kripto modülleri için güvenlik gereklerini belirleyen bir standarttır.

Bu standart içinde dört güvenlik seviyesi belirlenmiştir. Her bir seviye için kripto modüllerinden belli beklentiler bulunmaktadır. Bu seviyeler birbiri üzerine hiyerarşik olarak kurulmuşlardır; yani  her bir seviye bir öncekine göre daha fazla güvenlik isterleri barındırmaktadır.

ISO/IEC 19790 standardı, kripto modülleri içinde yer alan kriptografik yapılar, fiziksel yapılar, işletim ortamı, dokümantasyonu vb. çeşitli konularda isterler içermektedir. İstenilen güvenlik özellikleri standart içerisinde aşağıdaki ana başlıklar altında verilmektedir:

• modül özellikleri (specification);
• portlar ve arayüzler;
• roller, servisler ve asıllama (authentication);
• sonlu durum modeli;
• fiziksel güvenlik;
• işletim ortamı;
• kriptografik anahtar yönetimi;
• öz sınama (self-test);
• tasarım garantisi (design assurance);
• diğer saldırıların azaltılması (mitigation of other attacks)

Kripto modüllerinin ISO/IEC 19790 standardına uygunluğunu test etmek için ISO/IEC 24759 standardı test metodolojisi olarak hazırlanmıştır. Kontrol adımlarını incelemeden önce bu standarttan da kısaca bahsetmek konunun bütünlüğü açısından faydalı olacaktır.

ISO/IEC 19790 Test Metodolojisi Olarak TS ISO/IEC 24759 Standardı

ISO/IEC 24759: Bilgi Teknolojisi – Güvenlik Teknikleri – Kripto Modülleri İçin Test Gereksinimleri, kripto modüllerinin ISO/IEC 19790 standardına uygunluğunu test etmek için hazırlanmış bir test metodolojisidir. Bu standart, ISO/IEC 19790 uygunluk testlerinin laboratuvardan laboratuvara öznellik göstermesini engellemek amacı ile geliştirilmiştir.

ISO/IEC 24759 standardı, ISO/IEC 19790 standardından alıntılanan güvenlik gereklerini içermektedir. Doküman içerisinde her bir güvenlik gereğini takiben bu gerek için ürün geliştiricisinin test laboratuvarına teslim edeceği  dokümantasyon ve test personelinin uygulayacağı test adımları açıklanmaktadır.

ISO/IEC 19790 Standardının Diğer Uluslararası Standartlar ile Karşılaştırılması

FIBS 140 Standardı

Amaç ve içerik olarak Federal Information Processing Standards (FIBS) 140 isterleri ve ISO/IEC 19790 isterleri arasında temel farklar bulunmamaktadır ancak; FIBS140 için katılımcı ülkeler Amerika, İngiltere, Kanada ve Almanya olup, FIBS140 kriterleri kapsamında değerlendirmeye tabi tutulan algoritmalar Amerika-NIST tarafından onaylanmış algoritmalar ile sınırlıdır.

Bundan dolayı ISO/IEC JTC1/SC27 çalışma grubu FIPS 140-2 kriterlerini yeniden ele alarak bu kriterlerin eşleniği olan ISO/IEC 19790 standardını yayınlamıştır. Bu standart, FIPS140-2′nin değerlendirme dışı bıraktığı algoritmaları da değerlendirmeye almaktadır.

NIST tarafından yayınlanmış olan FIBS-140 testleri test metodolojisi “Derived Test Requirements”‘dır. Bu metodolojinin eşleniği ise ISO/IEC JTC1/SC27 çalışma grubu tarafından “ISO/IEC 24759 Test requirements for cryptographic modules” olarak yayınlanmıştır.

ISO/IEC 15408: Bilgi Güvenliği Sistemleri için Ortak Kriterler Standardı

ISO/IEC 19790 standardı çoğu zaman Ortak Kriterler standardı ile karşılaştırılsa da bu iki standart, amaçları; hedef ürün kitlesi; ve uygulanış biçimi olarak birbirinden çok farklı özellikler göstermektedir.

Ortak Kriterler standardı her bir BT güvenlik ürününe uygulanabilen bir standarttır. Bu standarda göre ürünlerin “Güvenlik Hedefi” denilen ve ürünün iddiada bulunduğu güvenlik gereksinimlerini ve güvenlik özelliklerini tanımlayan dokümana uygunluğu farklı garanti seviyelerinde test edilir. Bu standartta güvenlik iddiasını ürün geliştiricisi Güvenlik Hedefi dokümanı ile belirler. Bu iddianın mantıklı bir iddia oluşturup oluşturmadığı ve ürün için geçerli olan tehditlerin ürünün güvenlik fonksiyonları ile karşılanıp karşılanmadığı da Ortak Kriterler testleri kapsamında değerlendirilmektedir. Ürünün güvenlik fonksiyonlarını doğru şekilde uygulayıp uygulamadığı ve bu özelliklerin yeterli olup olmadığı değerlendirme sürecinde ürüne yapılan fonksiyonel ve sızma testleri ile Ortak Kriterler kapsamında ele alınmaktadır. Bu sızma testlerinin kapsamı test laboratuvarı tarafından belirlenmektedir.

ISO/IEC 19790 standardı ise özel olarak kripto modüllerine uygulanmaktadır. Bu standardın bir isterler kümesi bulunmakta ve test sürecinde bu isterlerin sağlanıp sağlanmadığı test edilmektedir. Bu standarda uygunluk testleri kapsamında üründen isterler ve test kapsamı standardın kendisi tarafından belirlenmektedir.

ISO/IEC 19790 Standardı Test Adımları

Modül Özellikleri Testi

Bu adımda, kripto modülünün kapsamında yer alan algoritmalar ve çalışma modları, kripto modülünün gerçeklenme şekli ve kripto modülü dokümantasyonunun yeterliliği ile ilgili kontroller yapılmaktadır.

Kripto modülü kapsamında en az bir onaylı kritpto algoritması olması ve bu algoritmanın onaylı bir modda çalışıyor olması beklenmektedir. Aksi takdirde ürün kripto modülü olarak kabul edilmez ve ürünün TS ISO/IEC 19790 uygunluğu test edilemez.

Kripto modülleri tamamen yazılım ya da tamamen donanım ile gerçeklenebilmektedir, dağıtık bir sistem üzerinde ya da tek bir donanım modülünde bulunabilmektedir. Kripto modülü gerçeklenme yeri ve şekli diğer test adımlarını etkilediği için önem arzetmektedir. Bu adımda ayrıca dokümantasyon yeterliliği de standart isterleri göz önünde bulundurularak incelenmektedir.

Portlar Ve Arayüzler Testi

Bu adımda kripto modülüne giren ve kripto modülünden çıkan açıkveri, kapalı veri, anahtar vb.  verilerin ve kontrol verilerinin giriş/çıkış yaptığı mantıksal ve fiziksel arayüzlerin kontrolünü içeren testler yapılmaktadır. Bu testler kapsamında kritik verilerin bulunmaması gereken arayüzlerden çıkışı zorlanarak davranışı gözlenir.

Roller Testi

Bu test adımında kripto modülü için tanımlanmış rollerin (kullanıcı, kripto memuru, vb.) yetkilerini ve bu rollere ait erişim alanı ayrımlarını kontrol eden ve değerlendiren testler yapılmaktadır.

Asıllama Testi

Bu adımda, kripto modülü için tanımlı her bir rol için gerekli kişi tanımlama, kimlik doğrulama, ve yetkilendirme mekanizmlarının yeterliliğine ve etkinliğine yönelik testler yapılmaktadır.

Servisler Testi

Bu adımda kripto modülünün sağladığı durum bilgilendirme ve öz sınama yapma gibi servisler ile gizli servis ve gizlilik dışı servis algoritmalarının kontrolünü içeren testler yapılmaktadır.

Sonlu Durum Modeli Testi

Bu adımda, kripto modülü üreticisinin kripto modülü için laboratuvara teslim ettiği sonlu durum modelinin yeterli olup olmadığını değerlendirmeye yönelik testler yapılır. Ayrıca bu modeldeki her bir durum ve hata durumunu, bu durumlar için gerekli koşulları, giriş ve çıkış değerleri ile birlikte doğrulayan testler yapılmaktadır.

Fiziksel Güvenlik Testi

Bu adımda bulunan testler, bir kısmı ya da tamamı donanım üzerinde gerçeklenen kripto modüllerine uygulanmaktadır. Cihaza fiziksel erişimi engelleyen mekanizmaların her bir güvenlik seviyesi için yeterliliğini denetleyen testler yapılmaktadır.

İşletim Ortamı Testi

Bu adımda kripto modülünün kontrolünü yapan işletim ortamının (işletim sistemi, firmware, akıllı kart işletim sistemi, vb.) güvenliğine yönelik testler yapılmaktadır.

Çevresel Koşullar Testi

Bu test adımında kripto modülünün çevresel çalışma koşulları zorlandığında kritik varlıkların korunmasına yönelik güvenlik açığı oluşturup oluşturmadığına yönelik testler yapılmaktadır.

Kriptografik Anahtar Yönetimi Testi

Kripto modülü içerisinde işlenen kritik varlıkların korunması için anahtar yönetimi önemli bir rol üstlenmektedir. Anahtar Yönetimi; rasgele sayı üretimi, anahtar üretimi, anahtar yüklenmesi, anahtar dağıtımı, anahtar girişi/çıkışı, anahtar depolanması ve anahtarların acil silme mekanizması ile sıfırlanması işlemlerini kapsamaktadır. Bu kapsamda, kriptografik anahtar yönetimi testleri içerisinde Rassal Sayı Üreteci (RSÜ) testleri ve anahtar yönetiminin dokümantasyonu ve uygulaması ile ilgili testler bulunmaktadır.

Öz Sınama Testi

Bu adımda, cihazın açılış öz-sınama testlerinin yeterliliğine ve bu öz sınama testlerinin devreye girdiği olayların yeterliliğine ve etkinliğine yönelik testler yapılmaktadır.

Tasarım Garantisi Testi

Bu adımda tasarım gerçeklenmesi esnasında kullanılan konfigürasyon yönetim araçlarının, teslim ve işletim politikalarının ve kullanıcı kılavuzu ile diğer kılavuz dokümanların yeterliliğine ilişkin testler yapılmaktadır. Ayrıca bu adım kapsamında sadece Level 4 güvenlik iddiasına ilişkin güvenlik fonksiyonlarının formal doğrulama testleri yapılmaktadır.

Yazar ceyhun çamlı

I’m proud to announce the release of version 2.0. This brings the past three years of new feature additions, with significant enhancements to almost every portion of the system. The changes and new features are summarized here. This is by far the most widely deployed release we’ve put out, thanks to the efforts of thousands of members of the community. We also have hundreds of customer systems that have been running 2.0 in production for months and years in some cases. More than 108,000 unique IPs have downloaded snapshots in 2011 from snapshots.pfsense.org alone, not counting downloads from the mirrors.

Upgrade considerations

It is very important to read the upgrade guide before performing an upgrade.

Download

Files for new installs available here on the mirrors.

NOTE: With 2.0 release and newer versions, we’re now also building the oft-requested nanobsd embedded version with VGA! You’ll find alternate builds with VGA in the filename, which are the VGA-enabled versions. Only use these on hardware with VGA video. The regular serial version must be used on all hardware that has only a serial port, like the popular PC Engines and Soekris models amongst others, as they will not boot or function correctly otherwise.

Update files for upgrades available here on the mirrors.

Yazar ceyhun çamlı