DNS yalan söylerse: DNSSEC

Bir e-posta gönderdiğinizde sunucunuz önce şunu öğrenmek ister: bu alan adına gelen e-postaları hangi sunucu kabul ediyor? Bu sorunun cevabını DNS verir. Arkasından başka sorular gelir. Gönderen, bu alan adı adına e-posta göndermeye yetkili mi? E-postadaki imza hangi anahtarla doğrulanacak? Alan adının sahibi, doğrulamadan geçemeyen e-postalar için ne istiyor? Bu soruların cevapları da DNS kayıtlarında.

Yani e-posta her adımda DNS'e başvurur ve aldığı cevaba güvenir. Sorun şu ki DNS, varsayılan hâliyle, verdiği cevabın doğru olduğunu kanıtlamaz.

01DNS güvene dayanır

DNS 1980'lerin başında tasarlandı. O dönemde internet, birbirini tanıyan ve birbirine güvenen küçük bir topluluktu. Protokol de buna göre kuruldu: gelen cevabın doğru olduğu varsayılır. DNS çözümleyici bir soru sorar, uygun görünen ilk cevabı kabul eder ve bir süre önbelleğinde saklar.

2008'de Dan Kaminsky bu varsayımın ne kadar kırılgan olduğunu gösterdi. Saldırgan, bir çözümleyicinin önbelleğine sahte bir kayıt yerleştirebiliyordu. O çözümleyiciyi kullanan herkes, kaydın süresi dolana kadar sahte adrese yönlendiriliyordu. "Önbellek zehirleme" adı verilen bu saldırıya karşı yamalar çıktı, ancak yamalar saldırıyı yalnızca zorlaştırdı. Asıl sorun yerinde duruyordu: cevabın gerçekten alan adının sahibinden geldiğini kanıtlayan bir mekanizma yoktu.

02E-posta güvenliği DNS'e bağlı

Bir kurumun e-posta güvenliği için yaptığı ayarların neredeyse tamamı DNS kaydı olarak tutulur.

• MX kaydı, alan adınıza gelen e-postaların hangi sunucuya teslim edileceğini belirtir.
• SPF kaydı, sizin adınıza e-posta göndermeye yetkili sunucuları listeler.
• DKIM kaydı, e-postalarınızdaki imzayı doğrulamak için kullanılan açık anahtarı içerir.
• DMARC kaydı, kimlik doğrulamasından geçemeyen e-postalara ne yapılacağını belirtir.
• TLSA kaydı, bu dizinin sonraki yazısının konusu olan DANE'in temelini oluşturur.

Sahte bir DNS cevabı, karşı tarafa bu kayıtlardan herhangi birini olduğundan farklı gösterebilir. Üstelik bunu kimse fark etmez.

03Sahte bir cevap neye yol açar

Bir saldırgan, bir e-posta sunucusunun kullandığı çözümleyiciye sahte bir MX kaydı yerleştirmeyi başarırsa, o sunucunun belirli bir alan adına gönderdiği e-postalar saldırganın sunucusuna gider. Gönderen tarafta hiçbir hata oluşmaz; loglarda e-posta başarıyla teslim edilmiş görünür.

Aynı yöntemle doğrulama da atlatılabilir. Alıcı sunucu, gelen bir e-postanın SPF ve DMARC kontrollerini yaparken gönderen alan adının kayıtlarını DNS'ten sorgular. Bu cevap sahteyse, saldırgan kendi yazdığı kayıtlarla doğrulamadan geçebilir. Yani kimlik avına karşı kurduğunuz koruma, doğruluğu kontrol edilmemiş bir cevaba dayanıyor.

04DNSSEC ne yapar, ne yapmaz

DNSSEC, DNS kayıtlarına dijital imza ekler. Alan adının sahibi kayıtlarını kendi anahtarıyla imzalar ve her kaydın yanında imzası da yayınlanır. Çözümleyici cevabı aldığında bu imzayı kontrol eder.

Ama imza tek başına yetmez; imzayı atan anahtarın gerçekten o alan adına ait olduğu da kanıtlanmalıdır. Bunu güven zinciri sağlar. Alan adınızın anahtarının özeti bir üst seviyede, örneğin edu.tr'de, DS kaydı olarak yayınlanır. edu.tr'nin anahtarının özeti .tr'de, .tr'ninki de DNS'in en üst seviyesi olan kökte yayınlanır. Kök 2010'dan beri imzalı. Doğrulama yapan bir çözümleyici bu zinciri kökten başlayarak alan adınıza kadar adım adım kontrol eder. Halkalardan biri kopuksa ya da bir imza tutmuyorsa cevabı geçersiz sayar.

DNSSEC'in ne yapmadığını da bilmek gerekir: sorguları şifrelemez. Kimin hangi alan adını sorguladığı ağda görülmeye devam eder. DNSSEC gizlilik sağlamaz; cevabın yolda değiştirilmediğini ve gerçekten alan adının sahibinden geldiğini garanti eder. Sorguların şifrelenmesi ayrı bir konudur ve başka protokollerle yapılır.

05Türkiye'de altyapı hazır

İyi haber şu ki Türkiye'de DNSSEC için gereken ulusal altyapı yerinde.

Yani bir üniversitenin, belediyenin ya da bakanlığın alan adı için güven zinciri kökten başlayıp kurumun bir üst seviyesine kadar kesintisiz geliyor. Zincirde eksik bir halka varsa o halka kurumun kendi tarafındadır: ya kurum kendi kayıtlarını imzalamamıştır ya da DS kaydını bir üst seviyeye iletmemiştir.

Kendi alan adınızın durumunu görmek için şu komutu çalıştırmanız yeterli: dig +dnssec alanadiniz.edu.tr. Cevabı doğrulama yapan bir çözümleyiciden alıyorsanız ve bayraklar arasında ad varsa, cevap doğrulanmış demektir. Daha görsel bir inceleme için DNSViz ya da Verisign DNSSEC Analyzer zincirin her halkasını tek tek gösterir.

06En büyük risk: süresi dolan imza

DNSSEC'in bir bedeli var ve bunu baştan söylemek gerekir. İmzaların bir geçerlilik süresi vardır. İmzalar zamanında yenilenmezse ya da anahtar değiştirilirken üst seviyedeki DS kaydı güncellenmezse, doğrulama yapan çözümleyiciler alan adınızı bozuk kabul eder. Bu çözümleyicileri kullanan herkes için alan adınız bir anda erişilemez hâle gelir: web siteniz açılmaz, size gönderilen e-postalar teslim edilemez.

Kısacası DNSSEC'i yanlış kurmak, hiç kurmamaktan daha fazla kesintiye yol açabilir. Ama bu, DNSSEC'ten vazgeçmek için değil, işi planlı yapmak için bir sebep. İmzalamayı otomatik yapan bir DNS yazılımı ya da sağlayıcı kullanmak ve anahtar değişimlerini takvime bağlamak riskin büyük kısmını ortadan kaldırır.

07Nereden başlamalı

DNS'inizi kimin yönettiğini netleştirin. Alan adınızın DNS kayıtlarını kendi sunucularınızda mı tutuyorsunuz, yoksa bir sağlayıcıda mı? Güncel DNS yazılımlarının ve sağlayıcıların önemli bir kısmı imzalamayı otomatik yapabiliyor.

Önce imzalayın, sonra zinciri bağlayın. Kayıtlarınızı imzalayın ve imzaların doğru yayınlandığını kontrol edin. DS kaydını ancak bundan sonra, alan adınızı aldığınız kayıt kuruluşu aracılığıyla üst seviyeye iletin. Sıralama önemli: DS kaydı yayınlandığı anda doğrulama devreye girer.

İzlemeyi en başta kurun. İmzaların geçerlilik süresini ve DS kaydının anahtarla uyumunu düzenli kontrol eden bir izleme, sorunu kesinti yaşanmadan fark etmenizi sağlar.

Kendi çözümleyicinizin doğrulama yaptığından emin olun. Kendi alan adınızı imzalamak işin yalnızca bir tarafı. Diğer tarafı, sunucularınızın başkalarının imzalarını doğrulaması. E-posta sunucularınızın kullandığı çözümleyici DNSSEC doğrulaması yapmıyorsa, başkalarının imzalı kayıtları size hiçbir koruma sağlamaz.

08DeepFilter'da durum

DeepFilter'ın kara liste ve itibar sorguları, ürünle birlikte kurulan ve DNSSEC doğrulaması yapan yerel bir çözümleyici üzerinden yapılır. İmzalı bir alan adı söz konusuysa, bu sorgularda sahte ya da bozulmuş bir cevap kabul edilmez.

DNSSEC'in e-posta açısından asıl önem kazandığı yer ise sunucular arasındaki şifreli bağlantının doğrulanmasıdır. Bunu dizinin sonraki yazısında, DANE'i anlatırken ele alacağız.

Dizinin sonraki bölümü: DANE kaydı nedir?