İndirgeme saldırısı

[bullvar_katip]

İndirgeme saldırısı veya sürüm geri alma saldırısı, bir bilgisayar sistemine veya iletişim protokolüne yapılan yüksek kaliteli çalışma modunu (örneğin, ) terk etmesini sağlayarak genellikle eski sistemlerle geriye dönük uyumluluk için sağlanan daha eski, daha düşük kaliteli bir çalışma moduna (örneğin, ) geçiş yapılmasıyla gerçekleşen bir kriptografik saldırı türüdür. OpenSSL'de, saldırganın istemci ve sunucu arasında TLS'nin daha düşük bir sürümünün kullanılmasını müzakere etmesine izin veren böyle bir kusur örneği bulundu. Bu, en yaygın sürüm indirgeme saldırı türlerinden biridir. Başka bir örnek ise, web trafiğini sırasında araya girmek ve kullanıcıyı bir web sitesinin güvenli, HTTPS sürümünden şifrelenmemiş bir HTTP sürümüne yönlendirmektir. Saldırı Sürüm indirgeme saldırıları genellikle ortadaki adam saldırısının (MITM) bir parçası olarak uygulanır ve aksi halde mümkün olmayabilecek bir şifreleme saldırısını etkinleştirmenin bir yolu olarak kullanılabilir. Sürüm indirgeme saldırıları SSL/TLS protokol ailesi ile süregelen bir sorundur; bu tür saldırılara örnek olarak POODLE saldırısı verilebilir. TLS protokolündeki sürüm indirgeme saldırıları birçok şekilde olabilir. Aşağıda araştırmacıların dört başlıkta sınıflandırmış olduğu indirgeme saldırılarını vardır: İstemcilerin eskide kalmış sürümlere olan desteğini veya önerilmeyen (örneğin, veya desteklemeyen) kullanılmasını kötüye kullanan belirli indirgeme ataklarına karşı hassas alan adlarını korumak için TLS istemcilerini (örneğin, web tarayıcıları) devreye sokan, önceden bilgi sahibi olmak (prior knowledge) konseptini kötüye kullanan POODLE, ClientHello fragmentation, ve DROWN saldırısının bir türü ("the special drown" olarak da bilinir) gibi bazı güncel indirgeme saldırıları mevcut. Geriye dönük uyumluluğu kaldırmak, eski sürüme geçme saldırılarını önlemenin genellikle tek yoludur. Ancak, bazen istemci ve sunucu birbirlerinin güncel teknolojileri kullandığını anlayabilir ve indirgemeye izin vermez. Örneğin, bir web sunucusu ve kullanıcı aracısı hem HTTP Katı Taşıma Güvenliği uygularsa hem de kullanıcı aracısı sunucunun bu bilgisini biliyorsa (daha önce HTTPS üzerinden erişerek veya "önyüklü HSTS listesinde" olduğu için ), kötü niyetli yönlendirici onu ve sunucuyu birbirlerine HTTPS desteklemiyor olarak gösterse bile, kullanıcı aracısı siteye basit HTTP üzerinden erişmeyi reddeder. Kaynakça Kategori:Transport Layer Security Kategori:Kriptografik saldırılar Kategori:Ağ güvenliği