BGP Hijacking Nedir? Rota Kaçırma Saldırıları ve RPKI Güvenliği

BGP hijacking (BGP rota kaçırma), bir otonom sistemin (AS) kendisine ait olmayan IP adres bloklarını internet omurgasına sahte yönlendirme anonslarıyla duyurması ve bu yolla meşru internet trafiğini yetkisiz biçimde kendi üzerine çekmesi veya saptırması olayıdır. Küresel internetin omurgasını oluşturan Sınır Geçit Protokolü (Border Gateway Protocol - BGP), bağımsız ağların birbirine karşılıklı güven duyduğu ilk internet yıllarında geliştirilmiştir. Bu nedenle protokolün temel çalışma mantığında, yönlendiricilere gelen rota duyurularının gerçekten o IP bloğunun sahibine ait olup olmadığını denetleyen yerleşik ve kriptografik bir güvenlik katmanı bulunmaz.

Kötü niyetli bir aktör veya yanlış yapılandırılmış bir ağ yönlendiricisi sahte anons geçtiğinde, internet üzerindeki diğer yönlendiriciler bu sahte rotayı gerçek sanarak yönlendirme tablolarına işleyebilir. Bunun sonucunda kullanıcılara ait hassas veriler araya giren saldırganlar tarafından dinlenebilir, sahte sunuculara yönlendirilerek kimlik avı yapılabilir veya trafik sahte bir çıkmaza yönlendirilerek küresel çapta hizmet kesintileri (hizmet engelleme) yaşanabilir.

BGP protokolü ve otonom sistemlerin çalışma mantığı

İnternet tek bir merkezden yönetilen tek parça bir ağ değildir; binlerce bağımsız büyük ağın birbiriyle konuşmasından meydana gelir. Bu bağımsız ağların her birine Otonom Sistem (Autonomous System - AS) adı verilir. İnternet servis sağlayıcıları, büyük veri merkezleri, telekomünikasyon operatörleri ve teknoloji şirketleri kendi otonom sistem numaralarına (ASN) sahiptir.

Farklı otonom sistemler arasındaki veri alışverişi ve en uygun yolun belirlenmesi BGP protokolü aracılığıyla yürütülür:

1. Önek (Prefix) Anonsu: Bir otonom sistem, kendi bünyesinde barındırdığı IP adres bloklarını komşu yönlendiricilere duyurur. Örneğin bir ağ yöneticisi, sahip olduğu IP bloğu için komşularına "Bu adreslere ulaşmak için trafiği bana gönderin" mesajını iletir.
2. Yol Yayılımı (AS_PATH): Anonsu alan komşu otonom sistem, bu rota bilgisini kendi yönlendirme tablosuna kaydeder, kendi AS numarasını rota zincirine ekler ve anonsu diğer komşularına aktarır. Böylece rota bilgisi dakikalar içinde tüm dünyaya yayılır.
3. En Uygun Rota Seçimi: Bir kullanıcı belirli bir IP adresine paket göndermek istediğinde, aradaki yönlendiriciler hedefe giden en kısa otonom sistem zincirini (AS_PATH uzunluğu) ve en dar alt ağ eşleşmesini tercih eder.

Bu sürecin en kritik zayıf noktası, BGP yönlendiricilerinin kendilerine gelen duyuruların kaynağını varsayılan ayarlarda sorgulamamasıdır. Karşı taraftan gelen duyuru biçimsel olarak doğru bir BGP paketi olduğu sürece yönlendirici tarafından kabul edilir.

BGP hijacking nasıl gerçekleşir?

BGP rota kaçırma senaryolarında saldırganın veya hatalı yapılandırılmış yönlendiricinin kullandığı temel mekanizma, internet yönlendirme algoritmalarının öncelik kurallarını istismar etmektir:

[Meşru IP Sahibi: AS 100]  ── duyurur: 198.51.100.0/22  ──┐
                                                         ▼
[Saldırgan / Hatalı AS 666] ── duyurur: 198.51.100.0/24 (Daha dar alt ağ)
                                                         │
                                                         ▼
[İnternet Yönlendiricileri] ── En uzun önek eşleşmesi kuralı (Longest Prefix Match)
                                                         │
                                                         ▼
[Kullanıcı Trafiği AS 666'ya Sapar] ──► [Dinleme / Değiştirme / Kara Delik]

En uzun önek eşleşmesi (Longest Prefix Match) kuralının istismarı

İnternet yönlendiricileri iki farklı rotayla karşılaştığında her zaman daha spesifik, yani alt ağ maskesi daha dar olan rotayı tercih eder. Küresel internet yönlendirme tablolarında genel kabul gören en küçük duyuru boyutu IPv4 için /24 bloğudur (256 adet IP adresi). /24'ten daha küçük bloklar (örneğin /25 veya /28) internet omurgasındaki yönlendiriciler tarafından kabul edilmez ve filtrelenir.

Meşru bir kurum kendisine ait /22 boyutundaki bir bloğu (1.024 adet IP adresi) anons ediyorsa, kötü niyetli bir aktör bu bloğu ikiye veya dörde bölerek internete iki ayrı /24 anonsu duyurabilir. Yönlendiriciler yolun kaç otonom sistemden geçtiğine bakmaksızın, en uzun önek eşleşmesi kuralı gereğince her zaman /24 anonsunu /22 anonsuna tercih eder. Böylece kurumun trafiği tamamen saldırganın ağına çekilir.

Eşit önek ve AS_PATH sahteciliği

Saldırgan meşru kurumla birebir aynı önek boyutunu (örneğin her ikisi de /24) anons ederse, yönlendiriciler arasında AS_PATH zinciri kıyaslanır. Saldırgan kendisini internet omurgasındaki büyük değişim noktalarına (IXP) ve üst taşıyıcılara daha yakın bir noktadan anons edebilirse, internetin belirli bir coğrafyasındaki yönlendiriciler saldırganın yolunu daha kısa görerek trafiği o yöne akıtır. Bu durum kısmi rota kaçırma ile sonuçlanır.

BGP hijacking türleri ve etkileri: Karar ve risk tablosu

BGP rota kaçırma eylemleri hedeflenen sonuca ve uygulanan yönteme göre farklı risk seviyeleri barındırır:

Trafik dinleme ve araya girme (Man-in-the-Middle)

Saldırgan sahte anons ile üzerine çektiği paketleri inceledikten, şifresiz oturumları kaydettikten veya TLS trafiğini sahte sertifikalarla sonlandırmayı denedikten sonra, meşru hedefe doğru giden ayrı bir rota üzerinden paketleri asıl sahibine iletebilir. Bu senaryoda kullanıcılar bağlantılarının koptuğunu fark etmez; ancak aradaki tüm veri akışı üçüncü tarafların eline geçer.

Kara delik (Blackholing) ve hizmet kesintisi

Trafiği üzerine çeken saldırgan sunucu gelen tüm paketleri sessizce çöpe atabilir (null-route). Bu durumda hedef sunucu fiziksel olarak çalışır durumda olsa bile internet dünyası için tamamen görünmez hale gelir. Bankacılık, e-ticaret, oyun sunucusu veya kamu platformları saatlerce hizmet veremez.

BGP hijacking nasıl engellenir? RPKI ve ROV savunma mekanizması

BGP protokolünün yapısal güven açığını kapatmak için geliştirilen en güçlü ve endüstri standardı haline gelen çözüm RPKI (Kaynak Açık Anahtar Altyapısı - Resource Public Key Infrastructure) ve ROV (Rota Kaynağı Doğrulama - Route Origin Validation) ikilisidir.

[RIR (RIPE NCC / APNIC vb.) Kriptografik Yetkilendirme]
                      │
                      ▼
[ROA Kaydı: Prefix: 198.51.100.0/24, Origin ASN: 12345, MaxLength: 24]
                      │
                      ▼
[BGP Kenar Yönlendiricisi - ROV Denetimi]
  ├─ Gelen Anons: ASN 12345, Prefix /24 ──► DURUM: Valid   (Kabul Edilir)
  └─ Gelen Anons: ASN 666,   Prefix /24 ──► DURUM: Invalid (Doğrudan Reddedilir)

RPKI ve ROA nesnelerinin yapısı

RPKI, IP adres blokları ve otonom sistem numaralarının sahipliğini bölgesel internet kayıt kuruluşlarının (RIR; örneğin Avrupa için RIPE NCC) kök sertifikalarına bağlayan hiyerarşik bir açık anahtar altyapısıdır.

Bir IP bloğunun yasal sahibi, yetkili internet kayıt paneline girerek bir ROA (Route Origin Authorization - Rota Kaynak Yetkilendirmesi) nesnesi oluşturur. ROA nesnesi dijital olarak imzalanır ve şu üç temel parametreyi içerir:

1. IP Öneki (Prefix): Yetkilendirilen IP adres aralığı (örneğin 198.51.100.0/22).
2. Yetkili ASN (Origin AS): Bu IP bloğunu internete anons etmeye yetkili olan tekil otonom sistem numarası.
3. Maksimum Uzunluk (MaxLength): Bu IP bloğunun internete anons edilebilecek en küçük alt parça boyutu.

MaxLength yapılandırma tuzağına dikkat

ROA kaydı oluşturulurken yapılan en yaygın yapılandırma hatası, MaxLength parametresinin gereğinden fazla gevşek bırakılmasıdır. Örneğin /20 boyutunda bir bloğa sahip olan bir ağ yöneticisi, gelecekte alt parçaları duyurabilme kolaylığı olsun diye MaxLength değerini /24 olarak belirlerse; saldırgan aynı /24 bloğunu meşru ASN üzerinden sahte bir AS_PATH zinciriyle anons ettiğinde RPKI doğrulaması bu durumu yakalayamaz. En doğru güvenlik yaklaşımı, yalnızca internette aktif olarak duyurulan önek uzunluğuna eşit bir MaxLength tanımlamaktır.

ROV (Route Origin Validation) durumları

İnternet omurgasındaki yönlendiriciler, yerel RPKI doğrulayıcı yazılımlar (RPKI Validator) aracılığıyla küresel ROA verilerini düzenli olarak çeker. Bir BGP anonsu alındığında yönlendirici üç farklı doğrulanma durumu üretir:

• Valid (Geçerli): Anons edilen IP bloğu ve anonsu yapan ASN, geçerli bir ROA kaydıyla tam olarak eşleşmektedir. Rota kabul edilir.
• Invalid (Geçersiz): IP bloğu için tanımlı bir ROA kaydı bulunmasına rağmen, anons yetkisiz başka bir ASN tarafından yapılmıştır ya da anons edilen alt ağ boyutu tanımlı MaxLength sınırını aşmıştır. ROV uygulayan modern yönlendiriciler bu rotayı kesinlikle yönlendirme tablosuna almaz ve çöpe atar.
• NotFound / Unknown (Bulunamadı): İlgili IP bloğu için kayıtlı hiçbir ROA nesnesi oluşturulmamıştır. RPKI benimsenme sürecinde internet trafiğinin kesilmemesi adına bu rotalar şimdilik varsayılan BGP kurallarıyla işlenmeye devam eder.

Kendi BGP rotalarınızı ve IP bloklarınızı koruma adımları

Kendi bağımsız IP bloklarını yöneten veya sunucularında kritik servisler barındıran kurumların altyapı güvenliğini sağlamak için şu adımları eksiksiz uygulaması önerilir:

1. ROA Kayıtlarını Eksiksiz Tanımlayın: Sahip olduğunuz tüm IPv4 blokları için ilgili internet kayıt kuruluşunun (RIPE NCC vb.) yönetim panelinde güncel ve sıkı tutulmuş ROA kayıtları oluşturun.
2. Sağlayıcınızın ROV Desteğini Sorgulayın: İnternet erişimi aldığınız transit operatörlerin ve veri merkezi sağlayıcılarının gelen anonslarda ROV filtrelemesini zorunlu olarak uyguladığından emin olun. Geçersiz rotaları düşürmeyen bir servis sağlayıcı, kullanıcılarınızı BGP kaçırma saldırılarına açık bırakır.
3. IRR (Internet Routing Registry) Nesnelerini Güncel Tutun: Operatörlerin sınır filtrelerinde kullandığı route ve aut-num nesnelerinin güncelliğini koruyarak yetkisiz duyuruların transit aşamasında elenmesini sağlayın.
4. BGP İzleme ve Anomali Takibi Yapın: Küresel yönlendirme tablolarında IP bloklarınıza dair beklenmedik bir ASN anonsu veya alt ağ bölünmesi belirdiğinde anında uyarı veren ağ gözlem platformlarından faydalanın.

TREAS bünyesinde sunulan kiralık IP blokları ile kendi altyapınızı kurarken güvenlik standartlarını en üst seviyede tutabilirsiniz. TREAS üzerinden kiralanan /24 IPv4 blokları, hem veri merkezi bünyesindeki sunucularınızda hem de firma dışındaki kendi otonom sisteminizde BGP anonslarıyla esnek biçimde kullanılabilir. TREAS ağ omurgasında yer alan DE-CIX bağlantısı ve doğrudan operatör ara bağlantıları sayesinde rota stabilitesi sağlanır. Ağınıza yönelik zararlı trafik ve siber saldırı taşkınlarına karşı ise 12 Tbps koruma kapasitesine sahip yerleşik TRSHIELD Anycast altyapısı devreye girerek L3, L4 ve L7 katmanlarında süzme gerçekleştirir.

Ağınızı büyütmek ve tahsis edilebilir bağımsız IP blokları hakkında teknik bilgi almak için /ip-kiralama sayfamızı, dağıtık altyapı güvenliği için ise /ddos-koruma sayfamızı inceleyebilirsiniz.