Tag Archives: phorm

Haber Siteleri, Phorm ve Derin Paket Analizleri

Kişiselleştirilmiş reklam ve içerik, adı üzerinde kişiye özgü, ilgi alanlarına giren reklamların ve içeriklerin oluşturduğu bir bütündür. Daha geniş anlamıyla, bir reklamın size özel olabilmesi için sizinle ilgili kapsamlı ve gizliliğinizi ihlal edecek bir bilgiye sahip olunması ve sizin eşsiz bir profilinizin çıkartılması gereklidir. Internet çerçevesinden bakıldığında bu bilgiler, sizin ziyaret ettiğiniz websitelerinden okuduğunuz haberlere, izlediğiniz videolardan dinlediğiniz müziğe, alış-veriş sitelerinde baktığınız ürünlerden oynadığınız çevrimiçi oyunlara kadar çok geniş bir alanı kapsamaktadır. Bununla birlikte, bilgilerin toplanması için çeşitli servisler çoğunlukla arka planda ve sizden habersiz bir şekilde çalışmaktadır. Türkiye’de ise bu işi yapan gezinti.com servisi kendini “internette gezinirken hassas içerik ve sayfaları hariç tutarak oluşan ilgi alanlarınıza göre size özel içerik ve reklam sunan ücretsiz bir servistir” şeklinde tanımlamıştır. Fakat, tüm bu kişiselleştirilmiş içerik ve reklam üretiminin altında yatan sistem aslında bir derin paket analizi sistemidir. Internet, veri paketlerinin karşılıklı değişiminin olduğu bir ağ olup, bu ağlarda paketler temel birimlerdir. Phorm gibi sizlere özel içerik ve reklam adı altında hizmet sunan servisler de bu ağ üzerinde dolaşan paketlerin içeriğini incelerler ve sizlerin eşsiz bir profilinizi çıkartırlar.

Bana gelen bir e-postada Twitter’ın 17 Aralık 2013 yolsuzluk operasyonu ile ünlenen hesabı fuatavni‘nin Rota haber‘de yazdığı ve Rota haber’de ise Phorm’un aktif olduğunu belirtiyordu. Kontrol ettiğimde Rota haber’de ise Phorm sunucularınun aktif olduğu ve http://ptreklam.com.tr/tag/1.js üzerinden Phorm’un çalıştığı sonucu geldi. Diğer taraftan, PT Reklam Çözümleri ve Anonim Şirketi Phorm’un Türkiye’deki adresidir.

kame $ whois ptreklam.com.tr
** Registrant:
   PT REKLAM COZUMLERI TICARET VE SERVIS ANONIM SIRKETI
   Büyükdere Cad. Ali Kaya Sok. Polat Plaza B Blok
   No:4 K:13 Oda No:2 Levent Şişli
   İstanbul,
     Türkiye
   moreinfo@phorm.com
   + 90-212-3197670-
   + 90-212-3197600-


** Registrar:
NIC Handle              : tyh14-metu
Organization Name       : TURKTICARET.NET YAZILIM HIZ. SAN. VE TIC.A.S.
Address                 : Büyükdere CAd. Ecza Sk. Safter İş merkezi Kat: 3
                          Levent
                          İstanbul,34330
                          Türkiye
Phone                   : + 90-224-2248640-
Fax                     : + 90-224-2249520-


** Domain Servers:
ns1.phorm.com
ns2.phorm.com

** Additional Info:
Created on..............: 2013-Jan-23.
Expires on..............: 2016-Jan-22.

Anlaşılan, fuatavni hesabının yazılar yazdığı veya tweetlerinin yayınlanarak haberler oluşturulduğu bir haber sitesinde Phorm aktif olarak çalışmaktadır. Ayrıca, ben 1.js dosyasına erişmek istediğimde beni http://gezinti.com/tag/1.js adresine yönlendirdi. İşletmeler hakkında bilgi sahibi olmadığım için PT Reklam’ın aslında TTNET’e bağlı bir alt firma veya kağıt üzerinde bir firma olabileceğini düşünüyorum. TTNET, dolaylı bir yolla gezinti.com’u kullanarak bir haber sitesi üzerinde, dahası 17 Aralık 2013 ile iktidara ait birçok sırrı ifşa ettiği söylenen bir hesabın bağlantı verdiği bir haber sitesi üzerinde derin paket analizi gerçekleştirmektedir.

Bu durumun ciddiyetine gelecek olursak; öncelikle fuatavni’nin bağlantılar vermeye başlamasından sonra mı yoksa öncesinde mi Phorm’un aktif olup olmadığını bilmiyorum. fuatavni’nin Rota haber’de Phorm’un aktif olduğunu bilip bilmediği üzerine de bir fikrim yok. Ayrıca, Rota haber sitesinde böyle sistemin aktif olduğunu biliyor mu yoksa bilmiyor mu belli değil. Bu üç durumun önemi ise ilk olarak öncesinde aktif olması bir haber sitesi üzerinde derin paket analizi gerçekleştirildiği ile sonrasıda ise muhalif hesapların yönlendirmeler yaptığı haber sitelerinde ve özellikle haber içeriklerinde derin paket analizlerinin yapıldığı ayrımında yatmaktadır. Diğer taraftan, fuatavni Phorm’u bilmiyorsa kendisini takip eden ve okuyanları (sadece Twitter’da 900 küsür bin kişi) bir gözetim sistemi içine dahil ediyor ve eşsiz profillerinin çıkartılmasına neden oluyor. Eğer, biliyorsa titresin ve kendine gelsin. Son olarak, Rota haber sitesi Phorm’un aktif olduğunu bilmiyorsa bir an evvel bunu engellemesi gerekmektedir. Bir şekilde javascript’i sitelerine gömmek zorunda kalmış veya gömmeye mecbur bırakılmışsa, bu diğer Interner haberciliği yapan websitelerin de ileride başının ağrıyacağının habercisidir. Çünkü, muhalif görünen herhangi bir hesap bir bağlantı verdiğinde, bu sitelerde Phorm’un aktif olması içten bile değil.

Bundan sonrasının bir teori olduğunu vurgulayarak, bağlantıya tıklayıp haber sitesine ve dolayısıyla habere ulaşanlar bir nevi bu hesabı takip edenler veya bu hesabın verdiği bağlantılar ile içeriğe ulaşanlar olarak profillenmektedirler. Diğer taraftan, haber sitesinin takipçileri ise ilgili veya ilgisiz bir şekilde düzenli olarak okudukları haberlere göre profilleri çıkartılmaktadır. İki farklı şekilde ayırdığım ziyaretçilerin ise birbirlerinden nasıl ayrıldığı meçhul. Belki de haberleri okuyan herkes fuatavni potası içine girmektedir. Bununla birlikte, tüm Internet bağlantıları derin paket analizi altında çok daha kapsamlı bir ayrıştırmaya gidilmektedir. Bir diğer nokta da muhalif haber sitelerinde ve iktidarı eleştiren sitelerdeki köşe yazıları, haberleri, röportajları vd içerikleri ziyaret eden kullanıcıların da bu yöntemle profillerinin çıkartılması olasılığını yüzümüze çarpmaktadır.

Internet haberciliğinin habere erişim kolaylığı ve bir haberin doğrulanmasının çok hızlı bir şekilde gerçekleştirilebilmesi en temel özelliklerindendir. Muhalif, yanlı, bağımsız veya ne olursa olsun bu içeriklere erişen, okuyan veya paylaşan herkes derin paket analizi ile gözetim altına alınmakta ve okuduğu haberler/içerikler kapsamında eşsiz profilleri çıkartılmaktadır. Ayrıca, bu haberlere/içeriklere erişenlerin Internet hatlarının tamamının izlenip izlenmediği de belli değildir. Internet özgürlüğü sadece ifade özgürlüğünün koruyucusu değil aynı zamanda basın özgürlüğünün ve özgür Interner haberciliğinin de koruyucusudur. Internet haberciliğinin önündeki büyük engeller ve iktidarın kontrol konusundaki kafayı bozması bir yana bu websiterin yaşayacağı bu tarz büyük sorunlar da yukarıda bahsettiğim temel özelliklerinin üzerini çizerek ileride çok baş ağrıtacağa benziyor.

Tagged , , , , , , , ,

Derin Paket Analizi’nde Türkiye

Bugün Taraf gazetesinde “Internete sansür donanımı” adında bir haber yayınlandı. Haberden bir alıntıyla devam edelim:

Hükümet, internetten istihbarat toplama projesini harekete geçiriyor. İnternet ortamında ne yapıldığını en ince ayrıntısına kadar görmek, müdahale etmek ve sansürlemek için ihale açan Türk Telekom, Procera Networks adlı ABD şirketinden bir donanım satın aldı.

17 Aralık 2013 yolsuzluk operasyonu sonrasında Türkiye’nin Internet kontrolü ve takibindeki donanımsal yetersizliklerin ani bir müdahale noktasında çok geri kaldığından dolayı, bu konuya ilişkin ihtiyacı giderebilmek adına yaptığı girişimlerden ilk olarak Netclean ile ilgili haberler yayınlanmıştı. Bununla birlikte, bugün yayınlanan habere bakacak olursak bu müdahaleler için açılan bir ihale ile Procera Networks şirketinden bir donanım alındığı yazmaktadır. Procera Networks kendi deyimleriyle servis sağlayıcılara Internet istihbaratı çözümleri sunan ve bu konuda ağ donanımları geliştiren, bu donanımlar ile paketlerin görünebilirliğini ve istatistiğini sağlayan bir şirkettir. Haberin devamında:

Alınan donanım sayesinde Türk Telekom, HTTPS trafiği, Whatsapp mesajları, Skype görüşmeleri, ziyaret edilen internet sayfaları ve VPN hizmetleri de dâhil pek çok işlemi analiz edecek, yavaşlatacak, gerekirse sansürleyecek.

Procera Networks, 24-28 Şubat 2014 tarihlerinde San Fransisco’dan düzenlenen RSA Konferansı’nda katılımcı olarak girmiş ve sahip oldukları NAVL isimli Intel ve Napatech OEM’lerini kullanan donanımlarını tanıtmışlardı. Bu donanım, kendi deyimleriyle gerçek zamanlı 7. katman uygulamaları için derin paket analizi yapabilen bir donanımdır. 7. katman Internet protokolü ile bilgisayar ağı arasındaki işlemler için bir iletişim ağıdır. Procera Networks’ün NAVL donanımıyla ilgili ifadesinden anladığım kadarıyla sansürden öte bir derin paket analizinin yapılmasıdır. Derin paket analizi ya da DPI bir ağ boyunca yolculuk yapan veri paketlerinin içeriğini inceleyen bir analize denilmektedir. Internet gibi karşılıklı paket değişiminin olduğu ağlarda paket temel bir birimdir. DPI, kendi ağlarını incelemek için şirketler tarafından kullanılan bir yöntem olmasına rağmen, günümüzde devletler tarafından totaliteryen bir gözetim aracına dönüştürülmüştür. Bununla birlikte, haberde ve ürün tanıtımında mevcut analiz sonrasında ne tür bir yol izlenecek (sansür vs.) bununla ilgili detay verilmemiş. Diğer taraftan, bu iletişim ağına neler dahil diye bakarsak:

  • Bitcoin
  • BitTorrent
  • eDonkey
  • Freenet
  • Gopher
  • Kademlia
  • NFS
  • SSH
  • Tor
  • XMPP
  • SMB
  • RDP
  • LDAP

listenin geri kalanına buradan ulaşabilirsiniz.

Taraf’ın -sözde- ele geçirdiği belgelerde (Neden sözde; çünkü o belgelerden hiçbir şey anlaşılmıyor. Gazetecilik böyle olmasa gerek?) MİT’in bir aracı haline dönüştürülen TİB’in Türk Telekom’a bu konuda bir direktif götürdüğü ve sonucunda da böyle bir cihazın alınarak trafiğin analiz edilmesi sağlanabilecektir. Ayrıca, NAVL’ın önemli bir özelliği ise 80GBps gibi bir trafiği kaldırabilecek bir donanım olmasıdır. Diğer taraftan, -kendi tanıtımları- kritik trafik ile ilgisiz trafiği ayırabilecek bir yapıya sahip olduğudur. Bu ne anlama geliyor? Derin paket analizlerini kendi istekleri doğrultusunda “kişiselleştirebilecekler” ve daha spesifik analiz yaparak gereksiz trafik analizi yükünü çekmeyeceklerdir. Bununla birlikte, Türkiye’nin uzun zamandır Phorm adında derin paket analizi yapan bir başka sistemi daha mevcuttur. TTNet kullanıcıları bu sisteme otomatik olarak eklenmiş, sonrasında açılan davada TTNet ceza ödemeye mahkum edilmişti. Fakat, TTNet kullanıcılarını gezinti.com ile kişiselleştirilmiş reklam adı altında bu sisteme haberleri olmadan eklemeye de devam etmektedir.

Benim bu noktada kafamı karıştıran şey, NetClean ve Procera haberlerinin gündemde bir etki ve korku yaratmasını sağlamak bir tarafa Türkiye’nin kaç tane farklı donanım peşinde koştuğudur. NetClean bir URL engelleme sistemi, Procera derin paket analizi (DPI) sistemi üzerine yoğunlaşmış iki şirkettir. Yakında, hangi alanlarda yeni donanıma ihtiyaç var hepimiz göreceğiz.

Tagged , , , , , , , , , , , , , , , , , , , ,

Yeni 5651 ve Sansürün İşleyişi

5651 yumuşatılarak geçmişken Internet sansürünün Türkiye’deki yumuşak yerine bir bakalım.

5651 sayılı Internet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun sözde yumuşatılarak meclisten geçti. Bizleri ilerleyen süreçte neler bekliyor, Türkiye’nin sansür konusunda dünyadaki yeri nedir, 5651 sayılı kanun sonrası ne olur, dünyada sansürlenen içeriklerin dağılımı ve bizdeki yansımaları ne olur tüm bunları merak etmekteyiz. İlk olarak, Türkiye’nin dünya Internet sansürü haritasında nerede yer aldığına bir bakalım.

Internet_Censorship_World_Map_suggestedYukarıda gördüğünüz harita 2013 yılı dünya sansür haritasıdır. Haritanın kaynağı için buraya bakabilirsiniz. Ek olarak, diğer haritalar yerine renkleri için bu haritayı seçtim. Renklerin ifade ettiklerine gelirsek; radikal, oldukça, seçici, gözetim altında, düşük (ya da yok) ve veri yok şeklindedir. Haritaya Türkiye’de seçici bir sansür olduğu işlenmiştir. Bununla ilgili de hatırlarsanız çeşitli kelimelerin (haydar, mini etek, liseli vs.) filtrelendiği ve bunun üzerinden de sitelere erişimin yasaklandığını, TİB’in ise 2014 yılı itibariyle (muhtemelen bahsettikleri sistemin otomatik olarak engellediği siteler) 35702 siteyi, Türkiye’de ise toplamda 40124 sitenin engellediğini biliyoruz. Fakat, 5651 sayılı kanun ile muhtemelen 2014 yılında Türkiye’de sansür oldukça veya radikal olarak renklendirilebilir bir hale gelebilir.

sansürlenen içeriklerİkinci olarak, bizleri ilgilendiren diğer bir nokta dünyada sansürlenen içeriklerin ne olduğudur. Bu konundaki yüzdesel dağılım (birincil kaynak: opennet initiative) yukarıda görüldüğü gibidir. Yoğunluğun bloglar ve siyasi partilerde olması -bence- çok önemli bir noktadır. Özellikle 5651 sayılı kanun ile Türkiye açısından değerlendirdiğimizde, ilerleyen süreçte muhalefet partilerine ve bloglara, ardından bağımsız basına doğru çok ciddi bir sansür dalgasının yayılabileceğini (bu kısmı benim öngörüm olarak alırsanız memnun olurum) söyleyebiliriz.

sansür işleyişiYeni 5651 sayılı Internet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun‘un içeriğini yukarıdaki sansür işleyişi şeması üzerinden anlatalım. Devlet, yasal düzenlemelerin yanında İSS’larını direkt olarak kontrol edebilmek için tüzüğünü kendi onayladığı Erişim Sağlayıcıları Birliği adında bir birliğe üye olmaya zorlamaktadır. Bununla birlikte, bu birliğe üye olmayan servis sağlayıcıların faaliyette bulunamayacaklarını da ayrıca belirtmektedir. Böylece, erişim engelleri ve veri takibi (phorm, dpi vs.) taleplerinin bu birliğe yapılacağı, bunun bir sonucu olarak da taleplerin İSS’lere de yapılmış varsayılacağı söylenmektedir. Kısaca devlet, Erişim Sağlayıcıları Birliği ile İSS’leri direkt olarak kontrol edebileceği bir yapıya kavuşturmaktadır.

Ayrıca, yapılan erişim engelleri ve veri takibi için yasal bir koruma kalkanı da mevcuttur. Bu koruma kalkanına göre; “TİB Başkanlığı personelinin, yaptıkları görevin niteliğinden doğan veya görevin yerine getirilmesi sırasında işledikleri iddia olunan suçlardan dolayı haklarında ceza soruşturması açılmasına TİB Başkanı için ilgili Ulaştırma Denizcilik ve Haberleşme Bakanı, diğer personel için ise Bilgi Teknolojileri ve İletişim Kurumu Başkanı’nın izni aranacak.” Bunu yukarıdaki veri takibi araçları ile ilişkilendirirsek sonucun ne kadar vahim bir boyutta olduğu çok net görebiliriz. Yani devlet, veri takibi için İSS’leri kontrol altında tuttuğu bir yapı içinde olmaya ve bu takipler sonucu doğabilecek suçların soruşturulması için de kendinden izin almaya zorluyor. Kısaca, beni bana şikayet edin demektedir.

Bir diğer nokta, yer sağlayıcıların (hosting firmaları) yasal düzenleme ile trafik kayıtlarını saklama süresi en az 6 ay en fazla 2 yıl olacak şekildedir. 5651 sayılı kanun TİB (MİT kökenli Ahmet Çelik) başkanına sansür için doğrudan yetki vererek -sözde- kanuna aykırı (örneğin, kişilik hakları bahanesi ile) fakat herhangi bir içeriğe erişim 4 saat içinde engellenebilecek (24 saat içinde mahke karar verecek) ve yer sağlayıcı kendisine bildirilen içeriği derhal çıkartmak zorunda kalacaktır. Gayri hukuki talepler ise tam bu noktada devreye girmektedir. Kendisiyle ilgili yapılan eleştiriden memnun olmayan bir “bakan” içerik hukuka uygun olsa bile (örneğin, özel hayatı bahane ederek) erişimi engelleyebilme yolu açılmış olacaktır. Burada sadece bakanla sınırlamamak gerekir. İktidar, kendisini eleştiren tüm içeriklere ve bu içeriklerin birçoğu hukuka uygun olsa bile (örneğin, özel hayatı tekrar bahane ederek), erişime engelleyebilecektir. Diğer yandan, kayıt bilgilerinin nerede tutulduğu bu noktada çok önemli değildir. Kayıtların uzun süre tutulması ve istendiği takdirde (hukuka uygun olsa bile) devlete verilecek olması asıl problemdir. Fakat, Ulaştırma Bakanı Lütfi Elvan, “kayıtlar devlette tutulmayacakdiyerek insanları yanlış yönlendirmektedir. Kendisine tabi yaptığı sağlayıcılar, istendiği takdirde tüm kayıtları vermek mecburiyetindedir.

Devlet, içerik kaldırma ve kullanıcıya ait veri taleplerini içerik sağlayıcılarından istemekteydi. Fakat, bununla ilgili olarak her zaman istediği sonucu alamamakta bazen de reddedilmekteydi. Artık, içerik kaldırma ya da veri talebi ile uğraşmak yerine IP ve URL bazlı engelleme getirerek, kuracağı birlik üzerinden İSS’lerin hizmetlere erişimi engellemesini sağlayacaktır. Bu şu demek oluyor; örneğin, Twitter’ın (https://twitter.com) tamamen erişime engellenmesi yerine Twitter kullanıcılarından herhangi birinin (https://twitter.com/songuncelleme) içeriğinin erişime engellenmesi veya tamamen erişime engellenen bir sitenin DNS (VPN veya proxy hariç) değiştirilse bile erişilememesidir. Böylece, devlet yapmış olduğu erişim engeli ya da veri isteği taleplerinde reddedilse bile içeriğe ya da tamamen yer sağlayıcıya erişimi engelleyebilecektir.

Yukarıda anlattıklarımı en basit şekliyle bir kolunu şemaya uygun olarak kısaca tekrar anlatayım. Devlet, yasal bir düzenleme ile İSS’leri oluşturacağı birliğe üye yapmaya mecbur ederek İSS’lerin direkt kontrolünü sağlar. Böylece veri takibi ve erişim engelini de kendine yani tekele yükler. Bu da içeriğin kaldırılmasından engellenmesine, veri takibinden kullanıcının Internetteki hareketlerinin izlenmesine kadar çok geniş çaplı bir alanı kapsar. Tüm bunları toparlayacak olursam, devlet kendi denetiminde ve üyeliği zorunlu tuttuğu bir birlik kurarak Internet’te veri takibi ve erişim engelinin gayri hukuki yolunu açmış, ayrıca bunu yasal bir düzenleme ile yapmıştır. Bununla birlikte, Türkiye’de zaten radikal bir sansür mevcuttur. Bu konuda bir örnek (çoğaltılabilir elbette) göstermem gerekirse, hiç düşünmeden Guillaume Apollinaire Davası diyebilirim. 5651 sayılı kanun ile oluşturulacak yeni birlik ve işleyiş de Internette “seçici” olan sansürü “radikal” sansüre çevirecektir.

Şimdi soruyorum, sizce sansür haritasında 2014 yılı sonu için Türkiye’nin yeni rengi (benim ifademi bunun dışında tutarak) ne olacaktır?

Ekleme (17.01.2014): Bugün t24’te ‘Emniyet ve yargıdaki görevden almaların merkez üssü TİB’ başlıklı bir haber yayımlandı. Haberde TİB’e MİT kökenli Ahmet Çelik’in atanmasından sonra cemaate yakın kamu görevlilerinin listelerine yönelik çalışma başlatıldığı ve teknik takiplerin TİB’in “ana dinleme sistemi” araclığı ile kontrol edildiği söyleniyor. Yazıyla tamamen tutarlı olması açısından önemli bir haberdir.

Ekleme (17.01.2014): Yeni bir haber daha. ‘Dinlemenin merkezi’ TİB’de tüm daire başkanları görevden alındı başklı bu haberde de 5 TİB daire başkanın görevden alındığı ve yerlerine MİT kökenli isimlerin geleceği söylenmiş. Türkiye’yi artık radikal olarak boyayabiliriz.

Ekleme (24.01.2014): Vimeo erişime engellendi.

Ekleme (24.01.2014): Soundcloud erişime engellendi.

Ekleme (27.01.2014): Vagus.tv erişime engelledi. (Özgür basın)

Ekleme (31.01.2014): Bilgi Teknolojileri İletişim Kurumu ile Telekomünikasyon İletişim Başkanlığı, T24‘e CHP’nin soru önergesi haberini yayından kaldırması için tebligat yolladı. Haberin ayrıntıları burada. Özgür basın demiştim değil mi? Buna dolaylı yoldan siyasi partiye ait haber ve içeriği de ekleyebiliriz.

Tagged , , , , , , , , , , , , , , , , , , , , ,

DNS Leak Tehlikesi

Kullandığımız anonim ağlara ya da VPN tünellerine aldanıp anonim olduğumuzu zannederken, aslında tüm Internet aktivitelerimizin İSS tarafından rahatça izlenip kaydedilebilmesi, bir DNS sızıntısı ile o kadar kolay ki.

  • DNS Sızıntısı (Leak) Nedir?

what-is-a-dns-leak
Anonim bir ağ ya da VPN servisi kullandığınız zaman, bilgisayarınızdan geçen tüm trafiğin bu anonim ağ ya da  servis üzerinden güvenli bir şekilde gönderildiği varsayılır. Tor veya VPN kullanmanızdaki temel neden, trafiğinizi İSS’nizden ve diğer üçüncü kişilerden gizlemek, anonimliğinizi arttırmaktır. Fakat bazı durumlar vardır ki, siz güvenli bir VPN bağlantısı kurduğunuzu düşünseniz bile, İSS’niz Internet trafiğinizi izleyebilir ve çevrimiçi aktivitelerinizi monitörleyebilir. Yani, bir nedenle sorgularınız VPN bağlantınız ya da anonim ağ yerine İSS’nizin DNS sunucularına da yönleniyorsa, burada bir DNS sızıntısı (leak) var demektir. Şema üzerinden anlatırsak; bir VPN tüneline sahipsiniz ve EFF için bir sorguda bulundunuz. Normal olarak sorgunuz tünelden VPN servisine, VPN servisinin DNS sunucusu ve oradan da EFF’ye ulaşmalı. Fakat, sorgunuza İSS’niz DNS sunucusu da cevap vermektedir. Bu da şu anlama gelmektedir; İSS’niz İnternet aktivitilerinizi bir bir kaydetmekte, sizleri rahatça izlemektedir.

Anonimliği tehdit eden en büyük tehlikelerden biri DNS sızıntısıdır. Çünkü, anonim bir ağa bağlı olsanız bile (mesela Tor), işletim sisteminiz anonim servis tarafından atanan anonim DNS sunucuları yerine kendi varsayılan sunucularını kullanmaya devam etmektedir. Bu da kullanıcılara sahte gizlilik hissi vermekte ve sonuçları üzücü olmaktadır.

Etkilenenler;
VPN sunucuları
Socks proxyleri (Tor gibi)

Etkilenmeyenler;
CGI Proxyleri
SSH tünel ile HTTP proxyleri

  • Transparan DNS Proxyleri

transparent-dns-proxy

Günümüzde bazı İSS’lerin Transparan DNS Proxysi adında bir teknoloji kullandığı bilinmektedir. Bu şu işe yarıyor; siz eğer bir DNS sorgusu yaparsanız, İSS bunu sadece kendi DNS’leri üzerinden (TCP/UDP port 53) yapılmaya zorluyor. Bir örnek vererek anlatalım. Siz DNS sunucusu olarak OpenDNS‘i kullanmaktasınız ve EFF için bir sorgu yapacaksınız. Transparan DNS Proxysisi sizin isteğiniz OpenDNS sunucularına ulaşmadan araya girip akışı keserek İSS’nin kendi DNS sunucusuna yönlendirmekte ve OpenDNS sunucusu yerine İSS DNS sunucusu cevap vermektedir. Siz tabi bu noktada “Ben VPN kullanıyorum, güvendeyim.” veya “Tor kullanıyorum, güvendeyim.” diyebilirsiniz. Fakat, sonuçlar sizin beklediğiniz yönde gerçekleşmemektedir (şemalar DNS leak test’ten alıntıdır).

  • Tehlikenin Boyutlarına Dair

Bir tehlike modeli üzerinde (Modeller çoğaltılabilir. Mesela ücretsiz anonim socks proxyler üzerinden modeller oluşturulabilir, denemesi size kalmış.) sizlere DNS sızıntısı göstereyim. Modelimiz şu; Amerika lokasyonlı bir VPN servisi kullanıldığınızı düşünün. Ayrıca tarayıcınız da Tor üzerinden internete (exit-node da Amerika’da) girdiği farzedilmekte. Fakat, dinamik ip kullanmaktasınız ve özel bir DNS ayarına sahip değilsiniz;

2013-10-20-002934_1920x1080_scrot

Tor veya VPN servisinizin DNS sunucularını görmeniz (görmezseniz daha iyi) doğal olarak beklenendir. Sizin tek görmek istemeyeceğiniz şey ise, trafiğinizi ondan gizlediğinizi sandığınız İSS’niz olacaktır. Fakat, sonuca bakarsak;

2013-10-20-014138_1920x1080_scrot

Tam bir facia! En üstte VPN servisinizi görüyorsunuz. Daha da kötüsü, siz Tor kullanmanıza ve VPN tüneli oluşturmanıza rağmen, ve tüm bunların üzerine kendinizi tamamen güvende (tamamen olmasa da bir nebze) hissederken, farkında olmadığınız bir DNS sızıntısına sahipsiniz. Diğer enteresan nokta, Firefox, socks proxy (Tor) yerine işletim sisteminin bağlı olduğu ağ (İSS) üzerinden DNS sorgusu gerçekleştirip, Tor’u tamamen atlamış. Tabi burada benim aklımı daha çok kurcayalayan şey, TTNet’in ya da Türkiye’de hizmet veren herhangi bir İSS’nin transparan dns proxysine ya da proxlerine sahip olup olmadığı. Gerçi, TTNet pişkin pişkin Phorm kullanmaya devam edip ve DPI ile paket analizlerine dalmış olduğu için bunu sormak (gene de şunda veya bunda vardır diyemiyorum) abesle iştigaldir.

  • DNS Sızıntı Testi

Böyle bir durumla karşıya karşıya olup olmadığınızı anlamak için;

– DNS Leak Test: https://www.dnsleaktest.com
– IP Leak: http://ipleak.net/

  • İSS’nin DNS Gaspı (Ekleme: 19.11.2013)

Buradaki işlemleri terminalden gerçekleştireceğiz. Önce, varolmayan bir domain adresine ping atalım;

kame $ % ping yokboylebirdomain.ltd
PING yokboylebirdomain.tld (195.175.39.75): 56 data bytes
64 bytes from 195.175.39.75: icmp_seq=0 ttl=236 time=336 ms
64 bytes from 195.175.39.75: icmp_seq=1 ttl=236 time=292 ms
64 bytes from 195.175.39.75: icmp_seq=2 ttl=236 time=274 ms

İşte aradığımız! Var olmayan bir domain’e 195.175.39.75 IP’si üzerinden yanıt geliyor. Yani İSS’niz (örnekte gerçek) sahte bir adres üzerinden sorgularınıza yanıt veriyor.

kame $ % nslookup yokboylebirdomain.tld
Server: 192.168.2.1
Address: 192.168.2.1#53

Non-authoritative answer:
Name: yokboylebirdomain.tld
Address: 195.175.39.75
Name: yokboylebirdomain.tld
Address: 195.175.39.71

Sahte IP’yi sonunda yakaladık; 195.175.39.71!

  • Ne Yapmalı?

Öncelikle, testi yaptığınızı ve kötü sonuçla karşılaştığınızı varsayarak; bir, statik ip ayarını yapmayı öğrenin. Internette bununla ilgili girilmiş tonlarca yazı, alınmış ekran görüntüsü ve nasıl yapacağınızı anlatan videolar bulunmakta. Bir aramanıza bakar. Hangi işletim sistemini kullanırsanız kullanın, bunu yapın.

İki, iyi bir DNS servisi bulun. Benim bu konudaki önerim aşağıda. Eğer, sizin farklı görüşleriniz varsa, ben sadece Google DNS’i kullanmamanızı tavsiye ederim. Onun yerine OpenDNS‘i gönül rahatlığıyla (dediğime pişman olmam umarım) kullanın, kullandırın.

Üç, Firefox’unuzu aşağıda anlattığım şekilde ayarlayabilirsiniz. Ayrıca, kötü bir VPN servisi kullanmayın, para veriyorsanız da paranızı ziyan etmeyin.

Dört, eğer Windows kullanıyorsanız, öncelikle Toredo‘yu Windows cmd üzerinden kapatın (netsh interface teredo set state disabled). İyi bir firewall kurabilirsiniz. Son olarak, DNS Leak Test’in şu önerilerini uygulayın.

Beş, GNU/Linux’ta alternatif olarak Polipo kurup kullanabilirsiniz.

Altı, Dnscrypt kurup kullanabilirsiniz (Platform bağımsız!).

  • Hangi DNS Servisi?

Ben OpenNIC Project‘in DNS sunucularını kullanmaktayım. Beni kullanmaya iten en önemli ayrıntısı, ücretsiz, sunucuların kayıtlarını bir süre sonra (saatte bir, 24 saatte bir ya da hiç tutmayarak) silmesi (anonimleştirmesi), birçok ülkeden, istediğiniz DNS sunucusunu kullanmanıza olanak vermesi. Şimdilik, sicili gayet temiz ve sunucuları da performans olarak üzmeyecek düzeyde.

  • Firefox Ayarı

Firefox’ta bu dertten kolayca kurtulmak isterseniz eğer, adres çubuğuna about:config yazarak Firefox’un ayarlarını açabilirsiniz. Açtıktan sonra;

network.proxy.socks_remote_dns bulun ve onu true yapın. Böyleyece Firefox bağlı olduğu ağ üzerinden değil socks proxy üzerinden (ayarladıysanız Tor) DNS sorgusu yapacaktır. Eğer kullandığınız uygulamalar DNS ön yüklemesi yapıyorsa, ayarlarında DNSPrefech var mı yok bu bir bakın. Firefox için network.dns.disablePrefetch bulun ve true yapın.

  • Sonuç

DNS sızıntısı basit ve küçümsenecek bir durum değildir. Bunu iyice anlamak lazım. Bir diğer nokta da, “ben Tor’la yasaklı siteye girebiliyorsam nasıl isteğim İSS’me gitsin?” sorusu. Burada bir hataya düşüyorsunuz; Tor’la siteye girmek farklı bir şeydir, siteye girmek için gönderdiğiniz isteğin aynı anda İSS’nize de gitmesi (İSS üzerinden girmeseniz dahi) farklı bir şeydir. Sizin kaçınmanız gereken, konunun da özü, isteğin İSS’nin DNS  sunucularına da gitmesi. “Onu kullanmayı bilen zaten şunu da ayarlar.” yanlış bir bakış açısıdır. Ayarladığını zannedersiniz, güncellersiniz ayarlarınız sıfırlanır, değişir, “VPN kullanıyorum ya, n’olcak.” dersiniz, böyle bir olasılıktan haberdar değilsinizdir ya da iyi bir tehlike modeliniz yoktur, zor duruma düşersiniz.

Anonimlik sizin tehlike modelinize dayanır ve anonimlik düzeyiniz ölçülebilir (bunu her yazımda tekrarlayacağım). Bunun bilincinde olun!

Tagged , , , , , , , , , , , , , , , , , , , , , , , , , , , ,

Tor Ve Günümüz Interneti

Tor’un bizlere sağlamaya çalıştığı anonimlik ve günümüz Internet’ine bir bakış açısı ve giriş yazısı olması adına umarım sizlere bir şeyler anlatır, anonimlikle ve anonimliğin de beraberinde getirdiği problemler konusunda bir farkındalık yaratır.

Tor’un ne olduğunu detaylı olarak anlatmayacağım. Merak eden varsa kendi sitesinden detaylı bilgi alabilir. Tor, websitelerden IP’nizi saklayabilir veya ISS’nizden trafiğinizi Phorm gibi kötücül uygulamalara karşı gizleyebilir. Tabi devamlı kullanımda ISS’niz trafiğinizden dolayı -göremediği için- kıllanacaktır. Fakat küresel ölçekte bir izleme, dinleme, takip olduğu zaman, Tor bunun için yetersiz kalacaktır. Ayrıca, bu Tor’un hatası veya eksik olmasından kaynaklanmamaktadır. Şöyle düşünün, anonim olmayan bir Internet üzerinde kendi anonim network’ünüzü (Tor) kullanıyorsunuz. Burada ne kadar çok şey denerseniz deneyin %100 başarılı bir sonuç elde edemezsiniz.

Tor’da eskiye nazaran “relay” oluşturmak ve çalıştırmak giderek kolaylışmış durumda. Aynı hızla bunların “dinlenmesi” de arttı (bu yüzden HTTPS-Everywhere kullanın diyoruz!). Bununla ilgili olarak, Freedom Hosting’e yapılan FBI baskını, ardından Hidden servis’te zararlı javascript bulunması en güncel örnektir. Ayrıca, Tor kullanıcılarının gerçek kimliklerinin de ele geçirilmesi bunlara paralel olarak daha basite indirgenmiş durumda. Şöyle anlatayım; bir Tor kullanıcısı günümüzde, eğer 3 ay boyunca düzenli Tor kullanırsa, örneğin IRC’ye bağlanmak, Internette sörf yapmak gibi, bu relay gönüllüleri tarafından gerçek kimliğinin öğrenilme olasılığı %50, eğer 6 ay düzenli kullanırsa bu olaslılık %80’lere çıkmaktadır. Bu konuyla ilgili olarak yazılmış “Users Get Routed: Traffic Correlation on Tor by Realistic Adversaries” makalesini indirip okumanızı tavsiye ederim.

Tor’un böyle bir sorununu ortadan kaldırmak için “traffic padding“‘i öneren kullanıcılar mevcut. Kısaca traffic padding’i anlatmak gerekirse; bir veri akışındaki paketlerinizi gizlemektir. Günümüzdeki problem basitçe şudur; X paketini gönderirken beraberinde Y paketini alıyorsunuz ve bu işlem devamlı birbiriyle bağlantılı haldedir. Bu veri transferleri her zaman ve gerçek trafiğinizin bir kısmını içeren verilere sahiptir. Traffic padding ise bu noktada devreye girer ve sahte veri yığını göndererek trafiğinizi izleyen 3. şahıslar için X paketi ile Y paketi arasındaki bağlantıyı kolayca anlayamamasını sağlar. Watermarking saldırıları, eğer trafik yapısına gömülmüşse, onun alıcısını eşsiz olarak tanımlar. Daha sonra ise bu alıcı ile orjinal gönderen de eşsiz olarak tanımlanır. Bu saldırının başarılı olabilmesi için de saldırganın potansiyel göndericiler ve alıcılardan oluşan veri akışını monitörlemesi ve sarsıma uğratması gerekir. Okumanız ve detaylı bilgili almanız için “Countering Repacketization Watermarking Attacks on Tor Network” makalesini buradan indirebilirsiniz.

Traffic padding beraberinde çeşitli sıkıntıları da getirir:

  •  Sörf gibi, chat gibi low-latency işlemleri için büyük bir yüktür.
  • Tahmin eldiği gibi çok büyük bir yardımı olmayabilir.

Burada belki i2p modeli işe yarayabilir. i2p’de herkes node’dur. Böylece kendi trafiğinizi sizin bilgiyarınıza gelen ve giden diğer trafik akışı içinde gizleyebilirsiniz. Açıkçası, Tor ve genel olarak bu durum gerçekten zor ve akademik düzeyde bir problemdir. Bir çözüm olarak, günümüz Internet’i yerine Meshnet gibi kendi internetimize ihtiyacımız vardır. Çünkü, şu anki Internet boğulma noktalarından devamlı izlendiği, takip ediliği, kaydedildiği ve kullanıcıları fişlediği için Tor gibi anonim network’lerin %100 başarılı olması zordur. Günümüz Internetinin trafik akışı çoklu sekmelerden ve her adımı kriptolanmış ve anonimleştirilmiş yollardan akmamaktadır.

Sonuca gelirsek, günümüz Internet yapısının ve anlayışının değişmeye ihtiyacı var ve anonimlik, sizin kişisel tehlike modelinize dayanır; kimsiniz ve kimden saklanıyorsunuz, neden ve ne tür bir risk almayı hedefliyorsunuz. Anonimliğiniz ölçülebilir bir şeydir. Kullandığınız herhangi bir uygulama (Tor, i2p v.d.) size hiçbir zaman %100 anonimlik ver-e-mez. Bunların her zaman bilincinde olmanız gerekir.

Tagged , , , , , , , , , , , , ,