Otomasyon dergisi, Türkiye'nin otomasyon konusundaki ilk ve en köklü dergisidir. 1992 yılında “Türkiye’de Otomasyonsuz Fabrika Kalmasın” sloganıyla yola çıkan dergi, Türkiye endüstrisinin otomasyon konusunda bilgilendirilmesini kendisine misyon edinmiştir. Dünyadaki ve Türkiye'deki gelişmeleri anında okuruna iletmeyi; otomasyon alanında yapılacak yatırımların, doğru ve kârlı olabilmesi için yol gösterici bir rol oynamayı amaçlamıştır.

GÜVENLİ AĞ TRAFİĞİ İÇİN IPSEC VPN

GSL MÜHENDİSLİK

ENDÜSTRİYEL İLETİŞİM TEKNOLOJİLERİ İÇİN GELİŞTİRİLEN KABLOSUZ HABERLEŞME SİSTEMLERİ GÜVENLİ AĞ TRAFİĞİNİN OLUŞABİLMESİ ADINA BİRÇOK UNSURU TEK BİR TEKNOLOJİDE BİRLEŞTİRİYOR.

Özellikle kablosuz haberleşmede güvenlik için başvurulan Virtual Private Network (VPN) tünelleri, bu VPN bağlantılarının gereksinimlerine göre geliştirilmiş çeşitli protokoller kullanılarak kuruluyor. IPsec, L2TP, OpenVPN, SSTP, IKEv2, PPTP, mevcut VPN protokolleri arasında en çok tercih edilen protokollerdir. Güvenli haberleşmenin gerekli olduğu ve VPN’den yararlanılması gereken uygulamalarda hangi protokolün tercih edileceği ise, aralarında bağlantı sağlanan cihazların teknik özellikleri, bağlantı hızı, güvenlik derecesi, uygulama alanları gibi birçok unsura bağlıdır. Genel itibariyle IPsec ve OpenVPN, çoğu uygulamanın güvenlik ve kullanım taleplerine çok iyi cevap verebilen VPN protokolleridir. Diğer protokoller özellikle işletim sistemi kaynaklı yetersizlikleri ve bilinen zayıflıklarının daha fazla olması nedeniyle daha az tercih ediliyor. IPsec ve OpenVPN arasındaki seçimde ise en önemli etken maliyet olarak öne çıkıyor. OpenVPN, kurulumda bu protokolü destekleyen iki cihaza ek olarak mutlaka bir server kullanılmasını gerektirirken, IPsec VPN, bu protokolü destekleyen cihazlar arasında doğrudan kurulabiliyor. Türkiye’de de başta enerji olmak üzere birçok endüstriyel uygulamada IPsec üzerinden VPN tünel kullanımı talep ediliyor. Uzak sahalardan merkeze veri aktarımı ve ağ yönetimi gerektiren, başta elektrik, su, doğal gaz dağıtımı, sayaç otomasyonu ve enerji izleme olmak üzere Endüstriyel Nesnelerin İnterneti uygulamalarının birçoğunda VPN teknolojisinden yararlanılıyor. Yaşamsal altyapılar olarak da tabir edilen bu uygulamalar çoğu zaman kablolama masraflarından kaçınma isteği ve saha koşullarının oluşturduğu imkansızlıklar nedeniyle merkeze veri aktarımını router özellikli donanımlar üzerinden gerçekleştiriyor. Router donanımlarının, veri trafiğini merkeze güvenli biçimde aktarabilmek için VPN protokol desteği sunması da bekleniyor.

IPSEC NEDİR?

Internet Protokolü (IP) Güvenliği” veya “IP Güvenlik Protokolü” olarak da bilinen IPsec, IP ağ trafiği için oluşturulmuş bir güvenlik hizmeti altyapısını tanımlıyor. IPsec, IP katmanında veri güvenliğinin sağlanmasına yönelik bir çerçeve ortaya koyuyor ve bu güvenliği sağlamak için IP ağ paketlerinin kimlik doğrulaması ve şifrelenmesi yoluyla tasarlanmış protokolleri ifade ediyor.

IPsec, paketleri şifreleme, şifresini çözme ve kimlik doğrulamasını yapmada kullanılan şifreleme algoritmalarını tanımlıyor. Bunun yanı sıra güvenli anahtar değişimi ve anahtar yönetimi için gerekli olan protokoller de IPsec kapsamındadır. IPsec IP paketlerinde güvenliği sağlamak için ilk olarak iki mekanizma tanımlamıştır: IP paketlerinde verileri şifrelemenin bir yolu olan Encapsulating Security Payload (ESP) protokolü ve IP paketlerini dijital olarak imzalamanın bir yolu olan Authentication Header (AH) protokolü. IPsec sunucuları tarafından kullanılan kriptografik anahtarları yönetmek için ise Internet Key Exchange (IKE) protokolü kullanılıyor. IPsec’in temel kullanım amacı, ağ verisini korumak. Bu, her VPN bağlantısında olduğu gibi IPsec tünelleme kullanarak, iki uç nokta arasında iletilen verinin şifrelendiği bağlantılar kurarak yapılabiliyor. Bunun yanı sıra IPsec, ağ verisini uygulama katmanında şifreleyerek veya verilerini herkese açık internet üzerinden ileten router özellikli cihazların güvenliğini sağlayarak da koruyabiliyor. Dahası, şifreleme olmadan da IPsec kimlik doğrulamada kullanılabiliyor, örneğin verinin bilinen bir göndericiden geldiğini teyit edebilir. İnternet trafiği, bir sunucu ile diğeri arasında IPsec kullanılmadan da güvenlik altına alınabiliyor. Örneğin, uygulama katmanında (OSI modelinin 7. katmanı) HTTP Secure (HTTPS) ile veya aktarım katmanında (OSI modelinin 4. katmanı) Transport Layer Security (TLS) protokolüyle veri şifrelenerek güvenliği sağlanabiliyor. Ancak, bu yüksek katmanlarda şifreleme veya kimlik doğrulaması kullanıldığında, tehdit unsurları, gizli kalması gereken verileri ortaya çıkarabilecek protokol bilgilerine müdahale edebiliyor.

IPSEC PROTOKOLÜNÜN BÖLÜMLERİ

IPsec, Internet Protokolünün mevcut her iki sürümüyle de (IPv4 ve IPv6) kullanılabilmek üzere tasarlanmıştır. IPsec protokolünün üst bilgileri (IP Header) IP üst bilgisine dahil edilir, bir sistem IPsec kullanırken burada IP üst bilgisi uzantıları olarak görünürler. IPsec’in bir bölümü olarak kabul edilen en önemli protokoller şunlardır: IP Authentication Header (AH), IP paketleri için bağlantısız veri bütünlüğü ve veri kaynağının kimlik doğrulamasını güvenceye almayı ve eski paketlerin tekrarını önlemeyi sağlayan opsiyonel bir paket üst bilgisi tanımlar.

OPENVPN, KURULUMDA PROTOKOLÜ DESTEKLEYEN İKİ CİHAZA EK OLARAK MUTLAKA BİR SERVER KULLANILMASINI GEREKTİRİRKEN, IPSEC VPN, BU PROTOKOLÜ DESTEKLEYEN CİHAZLAR ARASINDA DOĞRUDAN KURULABİLİYOR.

-IP Encapsulating Security Payload (ESP), paketin şifrelenmesi yoluyla gizliliği sağlamak için kullanılabilen opsiyonel bir paket üst bilgisi tanımlar. Ayrıca veri bütünlüğünü koruma, veri kaynağının kimlik doğrulaması, erişim kontrolü, gerektiğinde tekrarları önleme veya trafik analizinde de kullanılabilir.

-Internet Key Exchange (IKE) veya “Internet Key Exchange Protocol Version 2” (IKEv2), sunucuların, hangi hizmetlerin paketlere dahil edileceğini, hangi kriptografik algoritmaların bu hizmetleri sunmada kullanılacağını ve bu kriptografik algoritmalarda kullanılan anahtarları paylaşmanın bir yolunu belirlemesi için tanımlanmış bir protokoldür.

-Önceden kendi başına tanımlanmış olan Internet Security Association and Key Management Protocol (ISAKMP) de artık IKE protokol spesifikasyonlarının bir parçası olarak belirtilmektedir. ISAKMP, IPsec kullanan iki sunucu arasındaki doğrudan bağlantıları tanımlamak için güvenlik ilişkilendirmelerinin (Security Association, SA) nasıl kurulup kullanıldığını tanımlar. Her bir SA, tek bir yönde, bir sunucudan diğerine bir bağlantıyı tanımlar; yani bir çift sunucu iki SA ile tanımlanır. SA, bağlantının ilgili tüm niteliklerini içerir; kullanılan kriptografik algoritma, IPsec modu, şifreleme anahtarı ve bağlantı üzerinden verinin iletimiyle ilgili diğer tüm parametreler de buna dahildir.

IPsec tarafından kullanılan sayısız başka protokol ve algoritma bulunuyor. Şifreleme ve dijital imza algoritmaları da bunlar içerisindedir. İlgili protokollerin çoğu Internet Engineering Task Force (IETF) tarafından oluşturulan “IP Security (IPsec) and Internet Key Exchange (IKE) Document Roadmap”te açıklanmıştır.

IPSEC NASIL ÇALIŞIR?

Bir IPsec bağlantısı kurulmasının ilk adımı, bir sunucunun, bir paketin IPsec kullanılarak iletilmesi gerektiğini tespit etmesidir. Bu, veri trafiğinin IPsec kullanımı için “anlamlı” olup olmadığına karar vermek amacıyla, kaynak veya hedef IP adresini mevcut yapılandırmalara göre kontrol ederek yapılabiliyor. Anlamlı trafik, paketlere yönelik güvenlik politikasını tetikler; yani paketi gönderen sistem, uygun şifreleme ve/ veya kimlik doğrulamasını pakete uygular. Gelen paket “anlamlı” olarak tanımlandığında, sunucu gelen paketin şifrelenmiş ve/veya kimlik doğrulamasından geçmiş olduğunu doğrular. IKE Faz 1 de denen ikinci adım, IPsec kullanan iki sunucunun güvenli bağlantıda kullandıkları kurallarda anlaşmalarını, birbirlerinin kimliklerini doğrulamalarını ve iki sunucu arasında güvenli bir ön kanal başlatmalarını sağlıyor. IKE Faz 1 IPsec kullanan sunucular arasında kurulan güvenli ön kanal; daha sonra IPsec bağlantısının gönderilen veriyi şifrelemesi veya kimlik doğrulaması için kullanacağı yöntem konusunda güvenli bir şekilde anlaşma sağlamak için kullanılıyor. IKE Faz 1’in iki seçeneği vardır: Ana (main) Mod ve Agresif (Aggressive) Mod. Ana Mod oturum algoritmalarının ve anahtarlarının değiş tokuşu için güvenli bir tünel oluşturduğundan, daha yüksek güvenlik sağlar. Agresif Mod ise, bazı oturum yapılandırma verilerinin düz metin olarak geçirilmesine izin verir, öte yandan sunucuların IPsec bağlantısını daha hızlı oluşturmasını da sağlar. Ana Modda, oturumu başlatan sunucu oturum için bir veya daha fazla istek gönderir, bunu yaparken tercih ettiği şifreleme ve kimlik doğrulama algoritmaları ile bağlantının diğer özelliklerini de gösterir. Karşıdaki sunucu her iki taraf da mutabık kalana ve bir IKE güvenlik ilişkilendirmesi oluşturana kadar görüşmeyi devam ettirir. Oluşturulan bu IKE güvenlik ilişkilendirmesi ise IPsec devresini tanımlar. Agresif Mod kullanımdayken, bağlantıyı başlatan sunucu IKE güvenlik ilişkilendirme verilerini tek taraflı olarak ve açık olarak belirler, karşı taraftaki sunucu ise oturumu doğrulayarak yanıt verir. Bir IPsec bağlantısı kurulmasının üçüncü adımı ise; IKE Faz 1’de kurulan güvenli kanal üzerinden gerçekleştirilen IKE Faz 2’dir. İki sunucunun anlaşmasını, buna ek olarak asıl ağ verisini taşıyan IPSec devresi için de güvenlik ilişkilendirmesini başlatmasını gerektirir. İkinci fazda iki taraf oturumda kullanılacak kriptografik algoritma tipini müzakere eder, bu algoritmalarda kullanılacak gizli anahtarlama materyaline karar verir.

Oturumların kimlik doğrulaması ve eski paketlerin tekrar gönderilmesinin engellenmesi için yalnızca tek sefer kullanılan rastgele sayılar olan nonce’lar, bu fazda değiş tokuş edilir. İki taraf bu fazda değiş tokuş sırasında tam iletim güvenliği uygulama üzerinde de anlaşabilirler. IPsec bağlantısının dördüncü adımı, yeni oluşturulan, IPsec ile şifrelenen tünel üzerinden gerçek veri aktarımıdır. Bu noktadan itibaren, paketler, önceki üç adımda oluşturulan IPsec SA’lar kullanılarak iki uç nokta tarafından şifrelenir ve deşifrelenir. Son adım IPsec tünelinin sonlandırılmasıdır. Genellikle taraflar arasındaki iletişim tamamlandığında, oturum zaman aşımına uğradığında veya önceden belirlenmiş bir bayt miktarı IPsec tünelinden geçirildiğinde gerçekleşir. IPsec tüneli sonlandırıldığında, taraflar bu güvenlik ilişkilendirmesinde kullanılan anahtarları boşa çıkarır.

IPSEC VPN MODLARI

IPsec protokolleri, iki veya daha fazla nokta arasındaki tüm trafiği şifrelemek ve/veya doğrulamak amacıyla, bir VPN bağlantısı kurmak için kullanılabilir. VPN’ler de dahil IPsec devreleri iki modda kullanılmak üzere ayarlanabilir: Tünel modu: Genellikle güvenli ağ geçitleri arasında kullanılan IPsec tünel modu, ağ geçitlerinden birinin arkasındaki sunucuların diğer ağ geçidinin arkasındaki sunucularla güvenli bir şekilde iletişim kurmasını sağlar. Örneğin bir firmanın şubesinde yer alan bir sistemin kullanıcıları, şube ve merkez ofislerde sunucular için IPsec vekilleri gibi davranabilecek güvenli ağ geçitleri varsa, merkezde bulunan sistemlere güvenli biçimde bağlanabilir. IPsec tüneli iki ağ geçidi arasında kurulur, ancak tünelin kendisi korunan ağların içindeki herhangi bir sunucudan veri taşıyabilir. Tünel modu, iki ağ arasındaki tüm trafiği, her iki uçtaki farklı sunuculardan koruyabilecek bir mekanizma kurmak için kullanışlıdır. Aktarma (transport) modu: İki ayrı sunucu doğrudan bağlı bir IPsec VPN bağlantısı kurduğunda, bu devre aktarma modunda bir IPsec devresine örnek verilebilir. Örneğin, sahadaki IT personelinin bakım görevlerini tamamlamak amacıyla uzak bir sunucuya erişebilmesi için, aktarma modunda bir IPsec devresi kurulabilir. Aktarma modunda IPsec, bir sunucunun başka bir sunucuyla etkileşime girmesi gerektiğinde kullanılır; iki sunucu IPsec devresini doğrudan birbiriyle görüşür ve devre genellikle oturumun tamamlanmasından sonra kaldırılır.

UYGULAMALARDA IPSEC

IPsec desteği genellikle 1990’dan beri piyasaya sürülmüş olan çoğu işletim sisteminde mevcuttur. Bu tarihten beri kullanımı gittikçe yaygınlaşan IPsec, masaüstü ve sunucu işletim sistemleri, router ve benzeri ağ güvenlik donanımları gibi birçok cihaz tarafından desteklenir hale gelmiştir. Protokol, nesnelerin internetinin getirdiği artan siber güvenlik ihtiyacına paralel olarak da kendisini yenilemeye devam etmiş, her bir sürümüyle sağladığı güvenlik derecesini artırmaya devam etmiştir. Eski sistemler IPsec’in bazı sürümlerini destekleyebilirken, işletmeler IPsec’i güvenlik yamaları güncel işletim sistemleri üzerinden IPsec kullanmalıdır. Ayrıca, IPsec’in eski sürümlerini destekleyen ve güvenli IPsec devrelerini etkinleştirebilir görünen eski sistemlerin verilerini güvenli tutuyor olmayabileceğini de belirtmek gerekir. GSL katkı verdiği birçok projede, uzaktan veri aktarımında veri güvenliğini sağlamak için Robustel’in R3000 ve R2000 serisi routerlarının IPsec desteğinden faydalanılmış. OpenVPN, PPTP, L2TP, GRE gibi diğer VPN protokollerini de destekleyen bu cihazlarda VPN tünelleme ile sağlanan bağlantı güvenliğinin yanı sıra, özel bir yazılım üzerinden VPN ağı kurmak da mümkündür. RobustVPN adlı bu “Bulut VPN Portalı”, kullanıcıların VPN ağı üzerinden routerlara bağlı cihazlardan veri aktarımı yapılabilmesini, bu cihazlara erişilebilmesini sağlar. Siber güvenlik ihtiyaçlarının artması ve çeşitlenmesiyle IPsec protokolü kullanan VPN çözümü sayısı da hızlı artışına devam ediyor.

Kaynak

• Rouse, M. (2018) “IPsec (Internet Protocol Security)”, TechTarget • IETF (2011) “IP Security (IPsec) and Internet Key Exchange (IKE) Document Roadmap”, RFC 6071