Hiyerarşik Yapı ve Yetki Devri

DNS ağacı, en tepede kök bölgesi (root zone) ile başlar. ICANN tarafından koordine edilen ve 13 adres kümesine sahip kök sunucular, dünya genelinde Anycast adresleme ile 1.000’den fazla fiziksel node üzerinden servis verir. Her kök sunucu kümesi, gerçekte onlarca ile yüzlerce fiziksel makineye yönlendirilir; bu sayede yük dağıtımı ve yüksek erişilebilirlik sağlanır.

Kök bölgesinin altında Üst Düzey Alan Adları (TLD) yer alır: .com, .net, .org gibi jenerik TLD’ler ve .tr, .de, .uk gibi ülke kodlu TLD’ler. Yetkili isim sunucuları (authoritative name servers) ise belirli bir alan için nihai ve kesin cevabı döndüren sunuculardır.

DNS Kayıt Türleri

DNS protokolü, farklı amaçlara hizmet eden onlarca kayıt türünü destekler. Bu kayıtlar, basit IP eşlemesinden e-posta yönlendirmeye, metin tabanlı doğrulamaya kadar geniş bir işlevsellik sağlar.

DNSSEC Kayıt Türleri

DNSSEC, mevcut DNS’e ek dört kritik kayıt türü ekler. Bu kayıtlar, kaynağın gerçekliğini doğrulamak ve veri bütünlüğünü güvence altına almak için birlikte çalışır:

TLS 1.2 vs TLS 1.3: Temel Farklar

TLS 1.3, protokol geçmişindeki en kapsamlı revizyonu temsil eder. 2018’de RFC 8446 ile standartlaştırılan bu sürüm, hem güvenlik hem de performans açısından köklü değişiklikler içerir.

TLS El Sıkışma Mekanizması (TLS 1.3)

TLS 1.3 el sıkışması, önceki sürümlere kıyasla dramatik biçimde basitleştirilmiştir. İstemci, ClientHello mesajında desteklediği şifre paketlerini ve anahtar paylaşım parametrelerini (key_share) eş zamanlı olarak gönderir; böylece sunucunun ekstra tur-döngüsü gerektirmeden anahtar türetmesine olanak tanır.

X.509 Sertifika Yapısı

X.509 v3 sertifikaları, ITU-T standardı olan ASN.1 formatında DER (ikili) veya PEM (Base64) kodlamasıyla depolanır. Her sertifika, sahibi, veren CA, geçerlilik süresi, açık anahtar ve kritik uzantılar (key usage, extended key usage, SAN) içerir.

IPSec Protokol Bileşenleri

IPSec, birbiriyle koordineli çalışan üç temel bileşenden oluşur:

IKE (Internet Key Exchange): IKEv2, IPSec güvenlik ilişkilerini (SA — Security Association) müzakere eden ve yönetilink anahtar değişim protokolüdür. İki aşamada çalışır: Faz 1’de güvenli bir IKE tüneli kurulur; Faz 2’de IPSec SA’ları bu tünel üzerinden müzakere edilir. IKEv2, MOBIKE uzantısıyla ağ değişimlerinde (Wi-Fi → LTE) oturumu kesintisiz sürdürebilir.

AH (Authentication Header): Kimlik doğrulama ve bütünlük sağlar; ancak şifreleme sunmaz. IP başlığı dahil tüm paketi korur. NAT ortamlarında sorunludur çünkü NAT, IP başlığını değiştirerek bütünlük doğrulamasını bozar.

ESP (Encapsulating Security Payload): Hem şifreleme hem kimlik doğrulama hem de bütünlük sağlar. Tünel modunda (tunnel mode) orijinal IP paketi tamamen kapsüllenir ve yeni bir IP başlığı eklenir; bu sayede uçtan uca VPN tünelleri kurulabilir.

DNS Cache Poisoning (Önbellek Zehirlenmesi)

Dan Kaminsky’nin 2008’de kamuoyuna duyurduğu ve bir ay içinde milyonlarca DNS resolver’ı etkileyen kritik güvenlik açığı, DNS önbellek zehirlenmesinin ne kadar tehlikeli olabileceğini gözler önüne serdi. Saldırgan, bir resolver’ın dışarıya gönderdiği DNS sorgusuna —doğru kaynak portu ve transaction ID’yi tahmin ederek— sahte bir yanıt enjekte eder. Resolver bu yanıtı gerçek sunucudan gelen yanıt olarak kabul ederse, sahte kayıt TTL süresi boyunca önbellekte kalır ve tüm kullanıcıları yanlış IP’ye yönlendirir.

DNS Tünelleme

DNS tünelleme, DNS sorgularını ve yanıtlarını veri exfiltration veya komuta-kontrol (C2) kanalı olarak kötüye kullanır. Saldırgan, kendi kontrolündeki alan adına yönelik uzun TXT, NULL veya A kayıt sorguları içine veri kodlar. Güvenlik duvarları genellikle DNS trafiğini (UDP/53) izin listesinde tutar; bu durum, sıkı ağ kontrolleri bulunan ortamlarda bile veri sızdırmaya imkân tanır.

Tespit yöntemleri arasında anormal sorgu uzunluğu analizi, yüksek sıklıklı sorgu örüntüsü tespiti, entropik alan adı analizi (Base32/Base64 kodlamalı subdomainler) ve DNS yanıt veri boyutu anomali tespiti sayılabilir.

TLS/SSL Saldırıları

BEAST (2011): TLS 1.0’da CBC mod şifrelemesinin IV (Initialization Vector) tahmin edilebilirliğini istismar eden, tarayıcı üzerinden gerçekleştirilen MITM saldırısı. TLS 1.2 ve sonrasında CBC IV tamamen rastgele seçilir.

POODLE (2014): SSL 3.0’ın CBC padding doğrulama zaafiyetini hedefleyen ve protokol düşürme (downgrade) saldırısıyla SSL 3.0’a düşürmeyi gerektiren saldırı. TLS_FALLBACK_SCSV mekanizması ve SSL 3.0’ın tamamen devre dışı bırakılması ile çözüme kavuşturuldu.

DROWN (2016): SSLv2’nin hâlâ etkin olduğu sunuculara yapılan, RSA anahtar paylaşımını hedefleyen ve TLS oturumlarını SSLv2 handshake saldırıları ile çözmeye çalışan karmaşık bir saldırı. SSLv2 devre dışı bırakılmasıyla engellendi.

Renegotiation Saldırısı (2009): TLS renegotiation mekanizmasını kullanarak istemci kimlik doğrulaması yapılmış oturumlara veri enjekte eden saldırı. RFC 5746 ile güvenli renegotiation uzantısı standartlaştırıldı; TLS 1.3 renegotiation’ı tamamen kaldırdı.

DNS-over-HTTPS (DoH) ve DNS-over-TLS (DoT)

Geleneksel DNS, UDP/53 üzerinden düz metin olarak iletilir. İSS’ler ve ağ ortadaki adamlar (MITM), sorgulanan alan adlarını kolaylıkla izleyebilir. DoH (RFC 8484) ve DoT (RFC 7858), DNS sorgularını TLS şifrelemesi altına alarak bu gizlilik açığını kapatır.

DoH, standart HTTPS trafiğiyle (443/tcp) karıştığı için ağ düzeyinde engellenmesi zordur; ancak DNS trafiğini web trafiğiyle harmanlayarak ağ yöneticilerinin görünürlüğünü azaltır. DoT, 853/tcp portunu kullanır; bu öngörülebilirlik, kurumsal ağlarda politika uygulamayı kolaylaştırır. DoQ (DNS-over-QUIC, RFC 9250), en yeni geliştirme olup QUIC’in düşük gecikme avantajlarını DNS’e taşır.

Post-Kuantum Kriptografi (PQC)

Shor algoritmasını çalıştırabilen yeterince güçlü bir kuantum bilgisayarı, mevcut RSA ve ECC tabanlı açık anahtar şifrelemesini kırabilir. Bu tehdit, “Harvest Now, Decrypt Later” (HNDL) saldırısı olarak somutlaşır: Saldırganlar şifreli trafiği depolayıp gelecekte kuantum bilgisayarlarla çözmeyi hedefler.

NIST, 2022’de PQC standart adaylarını seçti. ML-KEM (CRYSTALS-Kyber — FIPS 203) anahtar enkapsülasyonu için; ML-DSA (CRYSTALS-Dilithium — FIPS 204) ve SLH-DSA (SPHINCS+ — FIPS 205) dijital imzalar için standartlaştırıldı. TLS 1.3, hibrit anahtar değişimini (X25519 + ML-KEM768) desteklemek üzere genişletilmektedir.

Encrypted Client Hello (ECH)

TLS 1.3’te Client Hello mesajı, sunucu sertifikası olmadan şifrelenemez; bu nedenle SNI (Server Name Indication) alanı —hangi domain’e bağlanıldığı bilgisi— açık metin olarak iletilir. Ağ izleme araçları ve İSS’ler bu bilgiyi görebilir. ECH, genel bir anahtar kullanarak içteki (inner) Client Hello’yu şifreler. Dış (outer) Client Hello yalnızca bir “kapı tutucu” sunucu adı içerir; gerçek hedef şifreli biçimde aktarılır. Bu mekanizma, TLS tabanlı gözetlemenin en kritik kör noktasını kapatmayı hedefler.

Zero Trust Ağ Mimarisi

Geleneksel “dışarı güvenme, içeri güven” modeli, bulut geçişi ve uzaktan çalışma paradigmasıyla işlevsiz hale gelmiştir. Zero Trust Architecture (NIST SP 800-207), her erişim isteğinin —kaynağından bağımsız olarak— kimlik doğrulama, yetkilendirme ve sürekli doğrulamaya tabi tutulmasını öngörür. DNS, Zero Trust uygulamalarında kritik bir enforsman noktası olarak öne çıkar: DNS sorguları, erişim politikalarını uygulamak ve anormal davranışları tespit etmek için analiz edilir.