Kısaca cevap
IP sahtekarlığı (İngilizce "IP spoofing"), internette gönderilen veri paketlerine gerçek adres yerine sahte bir gönderen IP adresi yazılmasıdır. Yaygın inanışın aksine bu yöntemle bir siteye girip gizlice gezinmek mümkün değildir, çünkü cevaplar sahte adrese gider. Asıl kullanım alanı DDoS saldırıları ve yalnızca IP adresine güvenen zayıf sistemlerdir. Önlemin büyük kısmı internet sağlayıcılarına düşer; siz de modeminizi güncel tutarak ve IP adresine dayalı güvenliğe güvenmeyerek riskinizi azaltabilirsiniz.
Bu sayfada
Bu yazı, konunun nasıl işlediğini kavramsal olarak anlatır ve korunma yollarına odaklanır. IP adresi nedir sorusunun cevabını biliyorsanız konuyu kolayca takip edebilirsiniz.
IP sahtekarlığı nedir?
İnternette gönderilen her veri, küçük paketlere bölünür. Her paketin başında bir zarf gibi düşünebileceğiniz bir bölüm vardır. Bu bölümde paketin nereye gideceği (hedef IP adresi) ve kimden geldiği (kaynak IP adresi) yazar.
Posta sisteminde zarfın arkasına istediğiniz gönderen adresini yazabilirsiniz; postane bunu kontrol etmez. İnternetin temel yapısı da benzer şekilde tasarlanmıştır: Paketi taşıyan cihazlar çoğunlukla yalnızca hedef adrese bakar. IP sahtekarlığı, işte bu "gönderen" alanına gerçek olmayan bir adres yazılmasıdır.
Bu yüzden bir paketin üzerinde yazan gönderen adresi, tek başına paketin gerçekten oradan geldiğini kanıtlamaz.
Yaygın bir yanılgı: sahte IP ile gizlice gezinmek mümkün mü?
İnternette "IP adresini sahtesiyle değiştirip siteye gizlice girmek" gibi anlatımlara rastlayabilirsiniz. Bu mümkün değildir. Sebebi, web sitelerinin çalışma şeklidir.
Bir siteyi açtığınızda tarayıcınız ile site arasında TCP adı verilen bir bağlantı kurulur. Bu bağlantı, bir telefon görüşmesi gibi karşılıklı selamlaşmayla başlar:
- Tarayıcınız siteye "bağlanmak istiyorum" der.
- Site, pakette yazan gönderen adrese "tamam, hazırım" diye cevap verir.
- Tarayıcınız bu cevabı alınca "ben de hazırım" der ve sayfa istenir.
Gönderen adres sahteyse sitenin cevabı o sahte adrese gider; size hiç ulaşmaz. Selamlaşma tamamlanmaz, sayfa açılmaz. Güncel işletim sistemleri, bu selamlaşmanın tahmin edilerek atlatılmasını da rastgele sayılarla oldukça zorlaştırır.
Gerçekten IP adresinizi sitelerden gizlemek istiyorsanız yasal ve çalışan yöntemler VPN, proxy ve Tor gibi aracı hizmetlerdir. Bu yöntemlerde cevaplar önce aracıya, oradan size gelir. Ayrıntıları IP adresi gizleme rehberimizde anlattık.
| Soru | IP sahtekarlığı | IP gizleme (VPN, proxy, Tor) |
|---|---|---|
| Nasıl çalışır? | Pakete sahte gönderen adresi yazılır | Trafik aracı bir sunucu üzerinden geçer |
| Cevaplar kime gider? | Sahte adrese | Aracı sunucuya, oradan size |
| Siteye girmek mümkün mü? | Hayır | Evet |
| Kullanım amacı | Çoğunlukla saldırı | Gizlilik, güvenlik, halka açık ağlarda koruma |
IP sahtekarlığı nerede kullanılır?
Cevap alınamadığı için sahte adresli paketler, cevaba ihtiyaç duyulmayan işlerde kullanılır. Bunlar genellikle saldırılardır.
DDoS saldırıları ve "yansıtma"
Bir siteyi veya sunucuyu çok fazla trafikle boğarak hizmet veremez hale getirmeye DDoS saldırısı denir. Saldırganlar sahte adresleri iki şekilde kullanır:
- Kaynağı gizlemek: Paketler binlerce farklı adresten geliyormuş gibi görünür. Bu, saldırıyı basit bir "şu adresi engelle" kuralıyla durdurmayı zorlaştırır.
- Yansıtma ve büyütme: Saldırgan, internetteki yanlış yapılandırılmış herkese açık sunuculara küçük sorular gönderir ve gönderen adrese kurbanın IP adresini yazar. Sunucular cevaplarını kurbana gönderir. Bazı cevaplar sorudan çok daha büyük olduğu için kurbana ulaşan trafik katlanarak artar. Bu yüzden sunucu işletenlerin, sunucularını gereksiz yere herkese açık bırakmaması önemlidir.
Yalnızca IP adresine güvenen sistemler
Bazı eski veya kötü tasarlanmış sistemler, "bu istek güvendiğim bir IP adresinden geliyor, o halde izin veririm" mantığıyla çalışır. Sahte adres bu tür bir güveni kötüye kullanmaya çalışabilir. Yukarıda anlattığımız selamlaşma engeli nedeniyle bu, günümüzde zor ve sınırlı bir yöntemdir. Ama yine de ders nettir: IP adresi tek başına kimlik kanıtı değildir. Güvenlik mutlaka şifre, sertifika veya iki adımlı doğrulama gibi gerçek kimlik doğrulamasına dayanmalıdır.
Yerel ağda başkası gibi görünme
Aynı Wi-Fi ağındaki bir saldırgan, adres sahteciliğini kullanarak kendini modem gibi gösterip trafiği kendi üzerinden geçirmeye çalışabilir. Bu, bir ortadaki adam saldırısı türüdür. Buna karşı en iyi korumanız HTTPS, tarayıcı uyarılarını ciddiye almak ve halka açık ağlarda VPN kullanmaktır.
IP sahtekarlığı nasıl önlenir?
İnternet sağlayıcıları ve ağ işletmecileri
En etkili önlem, sahte paketleri daha çıktıkları yerde durdurmaktır. Bir internet sağlayıcısı, müşterilerinden gelen paketlerin gönderen adresine bakabilir. Eğer adres o müşteriye verilmiş adres aralığında değilse, paket sahtedir ve internete çıkmadan atılır. Bu yönteme giriş filtrelemesi (ingress filtering) denir. Konuyla ilgili yaygın kabul görmüş kılavuz BCP 38 adıyla bilinir.
Tüm ağlar bu filtrelemeyi uygulasaydı sahte adresli saldırılar büyük ölçüde ortadan kalkardı. Sorun, filtrelemenin her ağda uygulanmamasıdır: Bir tek filtre uygulamayan ağ bile saldırganlara yeterli olabilir.
Site ve sunucu sahipleri
- Erişim izinlerini yalnızca IP adresine bağlamayın; yönetim panellerinde şifre ve iki adımlı doğrulama kullanın.
- Sunucunuzdaki DNS veya benzeri hizmetleri gerekmedikçe herkese açık bırakmayın. Açık bırakılan hizmetler, başkalarına yönelik yansıtma saldırılarında kullanılabilir.
- Hosting firmanızın DDoS korumasını ve filtreleme seçeneklerini öğrenin.
Ev kullanıcıları
Sahte adresli paketleri evden engellemek sizin elinizde değildir. Ama şu adımlar hem sizi hem de interneti daha güvenli yapar:
- Modem yazılımını güncelleyin. Modeminizin yönetim arayüzünde veya internet sağlayıcınızın uygulamasında güncelleme seçeneğini kontrol edin.
- Varsayılan şifreleri değiştirin. Modem, IP kamera ve akıllı ev cihazlarının fabrika şifreleri, bu cihazların saldırganlarca ele geçirilip saldırılarda kullanılmasına yol açabilir. Güçlü bir şifre oluşturmak için şifre üretici aracımızı kullanabilirsiniz; güvenli şifre alışkanlıkları için kardeş sitemiz rastgelesifre.com.tr rehberine de göz atabilirsiniz.
- Uzaktan yönetimi kapatın. Kullanmıyorsanız modemin internetten yönetim (uzaktan erişim) özelliğini kapalı tutun.
- IP adresine dayalı güvenliğe güvenmeyin. Evden eriştiğiniz kamera, NAS veya uzak masaüstü gibi hizmetleri "sadece benim IP'mden erişilsin" ayarına emanet etmeyin; güçlü şifre ve mümkünse iki adımlı doğrulama kullanın.
Bir IP adresi gerçekten kime ait?
Bir saldırının kaydında gördüğünüz IP adresi sahte olabilir. Özellikle cevap gerektirmeyen trafikte (ör. DDoS) kayıttaki adresler, gerçek saldırganı göstermeyebilir. Buna karşılık normal bir web ziyaretinde görülen adres, bağlantı kurulabildiği için sahte değildir; ancak VPN, proxy veya paylaşımlı (CGNAT) bir adres olabilir.
Bir IP adresinin hangi kuruluşa veya internet sağlayıcısına ayrıldığını whois sorgulama aracıyla görebilirsiniz. Bu bilgi kişiyi değil, adresi yöneten kurumu gösterir. Kendi genel IP adresinizi ise IP Adresim sayfasından öğrenebilirsiniz.
Diğer saldırı türlerine genel bir bakış için siber saldırı çeşitleri yazımıza, terimlerin kısa açıklamaları için internet terimleri sözlüğümüze bakabilirsiniz.
Sık sorulan sorular
IP sahtekarlığı ile IP gizleme aynı şey mi?
Hayır. IP gizlemede VPN veya proxy gibi bir aracı sunucu kullanılır; siteler sizin yerinize aracının adresini görür ve cevaplar size ulaşır. IP sahtekarlığında ise pakete sahte bir gönderen adresi yazılır, bu yüzden cevaplar size değil o sahte adrese gider.
Sahte IP adresiyle bir siteye girebilir miyim?
Hayır. Web siteleri TCP adı verilen ve karşılıklı selamlaşma gerektiren bir bağlantı kullanır. Sitenin cevabı sahte adrese gittiği için bağlantı hiç kurulamaz. Gizlilik için VPN, proxy veya Tor gibi yasal aracı hizmetler kullanılır.
Benim IP adresim bir saldırıda sahte adres olarak kullanılabilir mi?
Teorik olarak evet, ama bu durumda saldırının hedefi genellikle sizsinizdir; yansıtma saldırılarında sahte gönderen adresi kurbanın adresidir. Sizin adınıza bir suç işlenmiş gibi görünmesi pek olası değildir, çünkü sahte paketlerle karşılıklı bir bağlantı kurulamaz.
IP sahtekarlığını evde kendi başıma engelleyebilir miyim?
Büyük ölçüde hayır; asıl önlem internet sağlayıcılarının ve ağ işletmecilerinin sahte adresli paketleri filtrelemesidir. Sizin yapabilecekleriniz modem yazılımını güncel tutmak, varsayılan şifreleri değiştirmek ve hiçbir hizmette yalnızca IP adresine dayalı güvenliğe güvenmemektir.
E-postadaki sahte gönderen de IP sahtekarlığı mıdır?
Genellikle değildir. Sahte e-posta gönderici adresi, e-postadaki gönderen (Kimden) alanının taklit edilmesidir ve buna e-posta sahteciliği denir. IP sahtekarlığı ise ağ paketlerinin gönderen adresiyle ilgilidir. İki konu da kimlik taklidine dayanır ama farklı katmanlarda gerçekleşir.
