Ortadaki Adam (Man-in-the-Middle) Saldırıları

Bu rehber teknik bilgisi olmayan kullanıcılar için yazıldı. Saldırının nasıl işlediğini kabaca anlatıyor, ama asıl odağı onu nasıl fark edeceğiniz ve nasıl korunacağınız. Diğer saldırı türlerine genel bir bakış için siber saldırı çeşitleri yazımıza göz atabilirsiniz.

Ortadaki adam saldırısı nedir?

İnternette bir siteyi açtığınızda verileriniz tek bir kablodan geçmez. Önce Wi-Fi ağına, oradan modeme, sonra internet sağlayıcınıza ve birçok ara cihaza uğrar. Normalde bu cihazlar verinizi yalnızca iletir.

Ortadaki adam saldırısında ise saldırgan bu yolun bir noktasına yerleşir. Siz siteyle konuştuğunuzu sanırsınız, ama aslında her şey önce saldırgandan geçer. Bunu bir postacıya benzetebilirsiniz: Mektubunuzu açıp okuyan, hatta içindeki banka hesap numarasını değiştirip yeniden kapatan kötü niyetli bir postacı.

Saldırganın amacı genellikle şunlardan biridir:

• Dinlemek: Şifre, kart bilgisi, mesaj gibi verileri okumak.
• Değiştirmek: Sayfaya sahte bir form eklemek veya indirdiğiniz dosyayı zararlı bir dosyayla değiştirmek.
• Yönlendirmek: Sizi gerçek site yerine birebir kopyası olan sahte bir siteye götürmek.

Bu saldırılar nerede ve nasıl olur?

Halka açık ve şifresiz Wi-Fi ağları

Kafe, otel, havalimanı veya AVM ağları çok sayıda yabancının aynı anda bağlandığı ağlardır. Ağ şifresizse veya şifre herkese açıksa, aynı ağdaki biri bazı durumlarda trafiği izlemeye ya da kendi cihazını aracı yapmaya çalışabilir. Güncel Wi-Fi güvenliği (WPA3) ve HTTPS bu riski azaltır, ama tamamen ortadan kaldırmaz.

Sahte erişim noktası ("kötü ikiz")

Saldırgan, gerçek ağla aynı ya da çok benzer adda bir Wi-Fi ağı yayınlar. Örneğin kafenin ağı "Kafe_WiFi" ise sahte ağın adı "Kafe_WiFi_Free" olabilir. Siz yanlış ağa bağlanınca tüm trafiğiniz saldırganın cihazından geçer. Bu yönteme İngilizcede "evil twin" (kötü ikiz) denir. Bazı sahte ağlar, bağlanınca açılan bir "giriş sayfası"yla sosyal medya veya e-posta şifrenizi de ister.

Ele geçirilmiş modem veya yönlendirici

Varsayılan şifresi hiç değiştirilmemiş ya da yıllardır güncellenmemiş bir modem, saldırganın kontrolüne geçebilir. Bu durumda saldırgan modemin DNS ayarını değiştirip sizi sahte sitelere yönlendirebilir. Evdeki tüm cihazlar etkilenir.

Sahte DNS cevapları

DNS, alan adını IP adresine çeviren "internetin rehberi"dir. Şifresiz DNS sorguları yol üzerinde görülebilir ve bazı durumlarda sahte cevaplarla değiştirilebilir. Böylece doğru adresi yazsanız bile başka bir sunucuya gidebilirsiniz. HTTPS burada da devreye girer: Sahte sunucu, gerçek sitenin geçerli sertifikasını sunamaz ve tarayıcı uyarı verir.

HTTPS'i düşürme girişimi

Bazı saldırılar, sitenin şifreli (HTTPS) sürümü yerine şifresiz (HTTP) sürümünü açtırmaya çalışır. Güncel tarayıcılar ve siteler buna karşı HSTS adlı bir koruma kullanır: Site, tarayıcıya "beni her zaman yalnızca şifreli aç" der ve tarayıcı bunu hatırlar. Yine de adres çubuğunu kontrol etme alışkanlığı önemlidir.

HTTPS neyi korur, neyi korumaz?

İnternet terimleri sözlüğümüzde de anlattığımız gibi HTTPS, tarayıcınız ile site arasındaki bağlantıyı şifreler. Ortadaki adam saldırılarına karşı en önemli korumanız budur.

Kısacası kilit simgesi "bağlantı şifreli" demektir, "site güvenilir" demek değildir. Adres çubuğundaki alan adının doğru olduğunu her zaman kendiniz kontrol edin.

"Bağlantınız gizli değil" uyarısı: ne yapmalısınız?

Chrome ve Edge gibi tarayıcılar, sitenin sertifikasını doğrulayamadığında "Bağlantınız gizli değil" benzeri bir uyarı sayfası gösterir. Bu uyarının masum sebepleri de olabilir: sitenin sertifikasının süresi dolmuştur ya da bilgisayarınızın tarihi yanlıştır. Ama aynı uyarı, araya giren birinin sahte sertifika sunduğunu da gösterebilir.

1. Banka, e-posta, sosyal medya, e-Devlet veya alışveriş gibi hassas sitelerde uyarıyı asla geçmeyin. "Gelişmiş" veya "Devam et" bağlantısına tıklamayın.
2. Bilgisayarınızın tarih ve saatinin doğru olduğunu kontrol edin.
3. Halka açık bir Wi-Fi ağındaysanız ağdan çıkın ve mobil veriyle tekrar deneyin. Uyarı kaybolursa sorun büyük ihtimalle o ağdadır.
4. Uyarı yalnızca bir sitede ve her ağda çıkıyorsa sorun büyük ihtimalle sitenin kendisindedir. Hassas bilgi girmeyin, siteye başka bir kanaldan haber verin.

HSTS kullanan sitelerde tarayıcı çoğu zaman "devam et" seçeneğini hiç göstermez. Bu bir arıza değil, sizi korumak için yapılmış bir kısıtlamadır.

Kendinizi korumanın 8 yolu

1. Doğru ağa bağlanın. Halka açık bir yerde ağın tam adını işletmeye sorun. Benzer adlı birden fazla ağ görüyorsanız dikkatli olun.
2. Otomatik bağlanmayı kapatın. Telefonunuz daha önce bağlandığı "Free_WiFi" gibi genel adlara kendiliğinden bağlanmasın. Kullanmadığınız kayıtlı ağları silin.
3. Hassas işleri mobil veriyle yapın. Bankacılık veya ödeme işlemleri için halka açık Wi-Fi yerine mobil veriniz daha güvenlidir.
4. Halka açık ağlarda VPN kullanın. VPN, trafiğinizi aynı ağdaki kişilerden gizleyen şifreli bir tünel açar. Ücretsiz ve tanınmayan VPN'ler yerine güvenilir bir sağlayıcı seçin; ayrıntılar için IP adresi gizleme rehberimize bakın.
5. Şifreli DNS'i açın. Tarayıcınızda veya Android'deki "Özel DNS" ayarında DNS over HTTPS ya da DNS over TLS kullanmak, DNS sorgularınızın yolda okunmasını ve değiştirilmesini zorlaştırır. Adresler için güncel DNS adresleri listemize bakabilirsiniz.
6. İki adımlı doğrulamayı açın. Şifreniz ele geçse bile hesabınız korunur. Mümkünse SMS yerine doğrulama uygulaması veya geçiş anahtarı (passkey) kullanın. Her hesap için farklı ve güçlü bir şifre oluşturmak için şifre üretici aracımızı kullanabilirsiniz.
7. Cihazlarınızı ve modeminizi güncel tutun. İşletim sistemi, tarayıcı ve modem yazılımı güncellemeleri, bilinen açıkları kapatır. Modemin yönetim şifresini varsayılan değerde bırakmayın.
8. Bilmediğiniz sertifika veya profil yüklemeyin. Bir Wi-Fi ağı, site veya uygulama sizden "güvenlik sertifikası" ya da "yapılandırma profili" yüklemenizi isterse reddedin. Bu tür dosyalar, saldırganın şifreli trafiğinizi açmasına izin verebilir.

Windows'ta halka açık bir ağa bağlanırken ağ profilini Genel bırakın. Bu profil, bilgisayarınızı aynı ağdaki diğer cihazlardan gizler.

İş bilgisayarları hakkında: Bazı şirketler, kendi cihazlarındaki trafiği güvenlik amacıyla denetlemek için bilgisayara özel bir sertifika yükler. Bu, şirketin bilgisi dahilindeki yasal bir uygulamadır; ancak iş cihazında kişisel bankacılık ve yazışmalarınızın görülebileceğini unutmayın.

Saldırıya uğradığınızdan şüpheleniyorsanız

1. Şüpheli ağdan hemen çıkın.
2. O ağdayken giriş yaptığınız hesapların şifrelerini, güvendiğiniz başka bir bağlantıdan (ör. mobil veri) değiştirin.
3. Hesaplarınızdaki "aktif oturumlar" veya "bağlı cihazlar" listesini kontrol edin; tanımadığınız oturumları kapatın.
4. Kart bilgisi girdiyseniz bankanızı hemen arayın ve kartınızı kullanıma kapattırın.
5. Evdeki modemden şüpheleniyorsanız modemin DNS ayarlarını kontrol edin, yönetim şifresini değiştirin ve yazılımını güncelleyin.

Benzer şekilde "başkası gibi görünme" mantığına dayanan bir başka saldırı türünü IP sahtekarlığı yazımızda, siteleri trafikle boğan saldırıları ise DDoS saldırısı nedir yazımızda anlattık.