BİLGİ GÜVENLİĞİ DERSLERİ: KRİPTOGRAFİK ALGORİTMALARI ANLAMAK

Ana SayfaKRİPTOLOJİ BİLGİ GÜVENLİĞİ DERSLERİ: KRİPTOGRAFİK ALGORİTMALARI ANLAMAK

17 Ekim 2022 by BTUYUM KRİPTOLOJİ

Merhabalar,

Yaşadığımız çağda, bilgi güvenliğinin hayatımızın her alanında önemini hissettirmektedir. Bu noktada en önemli ihtiyaçlardan biri, istenmeyen tarafların bu bilgilere yetkisiz müdahalesinin önüne geçilmelidir.

Bunun için en önemli araçlardan Kriptografi’dir. Bu yazı dizisinde, soru/cevap tekniği kullanılarak, bilgi güvenliği ile ilgilenen veya takip eden paydaşlar için ihtiyaç duyacakları temel kriptoloji bilgisinin kazandırılması hedeflenmektedir.

Bu yazı özelinde kriptografik algoritmalara değinilecektir.

Konunun daha iyi anlaşılması için serinin ilk yazısı olan “BİLGİ GÜVENLİĞİ DERSLERİ: KRİPTOLOJİ İÇİN TEMEL SORULAR ve CEVAPLAR” başlıklı yazıyı bu bağlantıdan erişerek okuyabilirsiniz .

Kriptografik algoritmalar için genel resmi kafamızda nasıl toplayabiliriz?

Kriptografik algoritmaların çok sayıda türü ve bu türe ait algoritmalar vardır. Ancak genel resmi aşağıdaki diyagramda kolayca görebilirsiniz?

Simetrik ve asimetrik algoritma nedir?

Simetrik ve asimetrik algoritmalar detaya girdikçe kapsamlı tanımlar yapılabilir. Ancak en temel tanım aşağıdaki gibidir.

Simetrik algoritmalar; şifreleme ve çözme işleminin aynı anahtar tarafından yapıldığı algoritmalardır.

Asimetrik algoritmalar, şifreleme ve çözme işleminin farklı anahtarlar tarafından yapıldığı algoritmalardır. Ancak anahtarlar arasında matematiksel bir bağlantı bulunmaktadır.

“Block Cipher “ ve “Stream Cipher” nedir?

Blok şifreleme ve dizi şifreleme simetrik algoritmalar için 2 alt grubu temsil etmektedir.

Block şifrelemede; veriler bloklara ayrılır. Bu veriler sabit boydaki bir anahtar ile işleme girerler. Kullanılan algoritmalar karmaşık fonksiyonlar içerir. Verilerdeki bozunmanın kritik olduğu günümüz şartlarında yaygın olarak kullanılan algoritmalar bu gruptadır. AES, TDES algoritması gibi.

Dizi şifrelemede ise, verideki her bir binary bileşenin anahtar ile işleme sokulması şeklinde uygulanan şifreleme yöntemidir. Dizi şifrelemede yapılan işlem genelde XOR gibi basit işlemdir. Ancak kayan anahtar şeklinde uzun boyutlu ve zamana bağlı üretilmiş bir anahtar ile işlem yapılır. Dolayısıyla şifre çözme işleminde de bu anahtarın aynı şekilde üretilmesi ve kullanılması gerekir.

Daha çok telsiz haberleşmesi gibi gürültülü ortamlarda ses iletimini sağlamak için bu algoritmalar tercih edilir.

Algoritmanın modu nedir? Güvenliğe nasıl etki yapar?

Algoritmanın modu, onun kullanma şeklini gösterir. Güvenlik açısından çok kritik olmakla beraber çoğu zaman dikkatten kaçırılır.

Örneğin yaygın olan kullanılan ve güvenli olarak kabul edilen AES algoritmasının ECB (Electronic Code Book) modu güvenli değilken Counter Modu güvenlidir.

Her 2 mod için çalışma diyagramları aşağıdadır.

Asimetrik sistemlere neden ihtiyaç vardır?

Asimetrik sistemler kriptolojide en temel problemlerden biri anahtar dağıtım problemidir.

Hem şifreleme hem de çözme işleminin aynı anahtarca yapılması, sistemde yer alacak her bir paydaşa güvenli anahtar ulaştırma ihtiyacı, bir anahtar ifşa olduğunda tüm sistemin çökmesi önemli kısıtlardandır. Bu nedenle 1970’lere kadar kriptoloji sadece devletlere veya devlet seviyesinde güçlü kurumlara özgü bir teknoloji olarak kalmıştır.

Asimetrik sistemlerin icadından sonra ise aşama aşama, ticari ve gündelik yaşamda kullanılabilir hale gelmiştir.

Asimetrik sistemler daha güncel ve başarılı ise neden simetrik sistemlere ihtiyaç duyuyoruz?

Asimetrik sistemler en temelde yavaş çalışırlar. Dolayısıyla, asimetrik sistemlerle büyük boyutlu verileri şifrelemek efektif değildir. Bu nedenle asimetrik sistemler ile anahtarı paylaştıktan sonra işlemlere simetrik algoritmalar ile devam edilir.

SSL ile Asimetrik Sistemlerin ilişkisi nedir?

SSL (güncel adı ile TLS) teknolojisi ile günlük kullanılan uygulamalarda web tarayıcılar üzerinden ek bir kanala ihtiyaç duymaksızın iki nokta arasında güvenli bir haberleşme hattı kurulur.

Bu hattın kurulumu için başlangıç noktasındaki anahtar değişimi asimetrik kripto algoritmaları ile yapılır.

Sertifika nedir? Neden ihtiyaç duyulmuşur?

Asimetrik sistemlerde, “public key” ve “private key” denilen bir anahtar çifti kullanılır. “Public key” ile şifrelenen veriler ancak “private key” ile açılır. Bu nedenle “Public key” haberleşme trafiğinin başında karşı tarafa gönderilir. Bu sayede veri şifrelemede kullanılacak anahtar tohumu güvenle “private key” sahibine iletilir.

Bu noktada akla şöyle bir soru gelebilir. “Ya kötü niyetli bir saldırgan, veri şifrelemede kullanılacak “public key” olarak kendi anahtarını gönderirse ne olur ?”. Bu durumda veri şifreleme anahtarı, saldırganın “public keyi” ile şifrelenmiş olacağından onun eline geçecektir.

Bunun önüne geçilmesi için “public key” verisi uluslararası geçerli otoritelerce imzalanır. (Otoriteye ait “private key” ile işleme tutulur). Bu sayede “public key” alıcısı, aldığı anahtarın doğruluğundan emin olur. İşte “public key” ve kişiye/kuruma özel bilgileri içeren imzalanmış bu veriye “sertifika” denir?

Asimetrik algoritmalar şifreleme yapabilir mi?

Asimetrik algoritmaların bazıları hem şifreleme, hem imzalama yapar. RSA (Rivest Shamir Adleman) algoritması buna örnektir. Bazıları ise sadece imzalama gerçekleştirir. DSA (Digital Signature Algorithm) ve ECDSA (Elliptic Curve Digital Signature Algorithm) buna örnektir.

Hash algoritmalarına neden gerek vardır?

Bilgi güvenliğinin sağlanması senaryolarında şifreleme ve imzalama dışında aşağıdaki işlemleri gerçekleştirecek kriptografik mekanizmaları ihtiyaç duyulur.

Büyük boyutlu verileri bir işlemden geçirerek onu temsil edecek daha küçük bir veri elde etmek
Verilerde yapılacak olası bir müdahale ile bütünlüğünün bozulmadığını kontrol etmek
Kimlik doğrulama verileri bir anahtar kullanmadan, açık olarak kullanıcıların göremeyeceği şekilde saklamak.

Hash algoritmaları temelde veri bütünlüğünü sağlamak için tasarlanmış olmakla beraber yukarıdaki diğer fonksiyonları da sağlayan kriptografik fonksiyonlardır. En yaygın bilinen hash algoritmaları ve güvenlik durumları aşağıda verilmiştir?

Bir hash algoritmasından hangi güvenlik özellikler beklenir?

Bir hash algoritmasının aşağıdaki özellikleri sağlaması beklenir.

Çakışmaya Dayanıklılık (Collision Resistance): Aynı hash sonucunu veren 2 farklı açık metin bulunamamalıdır.
Ters Görüntüye Dayanıklılık (Preimage Resistance): Verilmiş bir özet değerine ait mesaj bulmak imkansız olmalıdır.
İkinci Ters Görüntüye Dayanıklılık (Second Preimage Resistance): Verilmiş bir mesaj ile aynı özeti veren başka bir mesaj bulunamamalıdır.

Hash algoritmasının güvenlik durumunu değerlendirirken bu 3 parametreye bakılmalıdır. Algoritma bu 3 özellikten biri açısından kırılmış olsa bile, kırılan özelliğin gerekli olmadığı senaryolarda halen kullanılabilir.

17 Ekim 2022 ISO 27001

UYGULAMALI ISO 27001: GÖZDEN GEÇİRME VE İYİLEŞTİRME