Hangi VPN protokolleri artık güvenli değil?

Hangi VPN protokolleri artık güvenli değil?

VPN türleri arasındaki farkı anlamak kafa karıştırıcı olabilir; özellikle de VPN dünyasına yeniyseniz. VPN protokollerine aşina olmayan biri için, karşılaştırmalar hiçbir şey ifade etmeyen rastgele harf ve sayı dizileri gibi görünebilir.

Bu nedenle, işleri netleştirmeye yardımcı olmak için, günümüzün en iyi VPN'lerinin kişisel verilerinizi güvende tutmak için kullandığı protokoller ile artık işe yaramayanlar arasındaki gerçek farkları size sunmak için tüm algoritmaları ve jargonları bir kenara bırakacağım.

VPN Protokolü Nedir?

VPN protokolü, verilerin cihazınız ile VPN sunucusu arasında güvenli bir şekilde nasıl iletileceğini belirleyen bir dizi kuraldır. Protokoller, VPN sunucusunun gönderdiğiniz verileri, ona bağlandığınızda anlaması ve daha sonra bunları nasıl işleyip yanıtlayacağını anlaması için gereklidir.

Tüm VPN protokolleri güvenli bir bağlantı oluşturur (veya oluşturmaya çalışır) ancak hepsi bunu aynı şekilde yapmaz. Protokolleri farklılaştıran şey şifreleme yöntemleri, kimlik doğrulama süreçleri ve veri aktarım teknikleridir.

Yani, bazı protokollerin neden güvenli olmadığını açıklamak için, öncelikle asimetrik şifreleme ile simetrik şifreleme arasındaki farkı tartışmam gerekecek.

Veri transferinizin çoğu simetrik şifreleme kullanılarak gerçekleştirilir. Bu yöntem, hem şifreleme hem de şifre çözme için aynı anahtarı kullanır ve bu, önemli bir işlem yükü olmadan kullanımını kolaylaştırır. Ancak, simetrik şifrelemenin dezavantajı, her iki tarafın da aynı şifreleme anahtarını bilmesi gerektiğidir.

Bu temel bir sorunu ortaya çıkarır: Daha önce hiç tanışmadığınız bir tarafla, üçüncü bir tarafın müdahalesi olmadan simetrik anahtarı güvenli bir şekilde nasıl paylaşırsınız?

İşte asimetrik şifrelemenin devreye girdiği yer burasıdır. Asimetrik şifrelemede, anahtar bir şifreleme ("genel") ve şifre çözme ("özel") anahtarına bölünür. Güvenli bir iletişim kurmak istediğiniz tarafa genel anahtarınızı verirsiniz. Bilgileri şifrelemek için genel anahtarınızı kullanırlar ve ardından siz özel anahtarınızla şifresini çözersiniz. Verileri geri göndermek için, onların genel anahtarıyla şifrelersiniz, vb.

Bu süreç daha karmaşık ve hesaplama açısından pahalıdır, bu nedenle asimetrik şifreleme genellikle yalnızca ilk simetrik şifreleme anahtarını iletmek için kullanılır. Simetrik anahtar güvenli bir şekilde aktarıldıktan sonra, iletişimin geri kalanı için simetrik şifreleme kullanılır.

OpenVPN ve WireGuard gibi savaşta test edilmiş protokoller, bu anahtar paylaşım sürecini belirgin kusurlar olmadan yönetir ve üçüncü taraf müdahalesi olmadan yeni şifreli tüneller kurmayı kolaylaştırır. Ancak, en azından bir protokolün anahtar iletim sürecinde temel kusurları vardır ve bu da onu bilgisayar korsanlığına karşı savunmasız hale getirir.

O halde, buna daha yakından bakalım - PPTP.

PPTP güvenli midir?

Noktadan Noktaya Tünelleme Protokolü anlamına gelen PPTP, Microsoft'un Windows için geliştirdiği şirket içi VPN protokolüdür.

Ancak, burada derinlemesine değinmek için çok fazla sorunu var. Ancak, asıl sorunu ele alacağım; oturumu müzakere etmek için kullanılan asimetrik anahtarın güvenli olmaması.

PPTP, Microsoft'un mevcut kimlik doğrulama standartlarına dayanan anahtar müzakeresi için Microsoft'un MS-CHAPv2'sini kullanır. Esasen, zaten birbirleriyle konuşan bir Microsoft makineleri ağınız varsa, kimlik doğrulamalarında herhangi bir değişiklik yapmadan bir PPTP VPN takabilirsiniz.

PPTP, bir oturum anahtarı oluşturmak için bu mevcut altyapıyı kullanır. Daha sonra, anahtar, VPN istemcileri arasında RC4 şifreleme şemasını kullanarak veri akışı için gereken şifrelemeyi oluşturmak için kullanılır.

PPTP oturumlarını müzakere etmek için kullanılan asimetrik anahtar güvenli değildir.

Ancak, MS-CHAPv2'nin çalışma biçiminde temel bir kusur vardır - kaba kuvvet kullanılarak kolayca kırılabilir. Aslında, elinizdeki hesaplama kaynaklarına bağlı olarak, oturum anahtarını bir gün içinde kırabilirsiniz.

PPTP ayrıca varsayılan olarak Mükemmel İleri Gizlilik sağlamaz, bu da oturum anahtarı kırıldığında geçmiş oturumları şifresini çözmek için de kullanılabileceği anlamına gelir. RC4'ün çalışma biçiminde de bir sorun vardır. Temel olarak, RC4 üzerinden gönderilen verilerin iletim sırasında yakalanıp değiştirilmediğini doğrulayamazsınız, bu nedenle PPTP kullanıyorsanız, bir bilgisayar korsanı VPN üzerinden gönderdiğiniz her şeyi okuyabilir ve verileri istediği gibi değiştirebilir.

Daha önce bahsettiğim açık anahtarlı şifrelemeyi tercih eden MS-CHAPv2'yi terk eden PPTP'nin biraz daha güvenli uygulamaları olsa da, eski sistemleri desteklemeye çalışmıyorsanız PPTP kullanmak için gerçek bir neden yoktur.

Ticari VPN'lere gelince? PPTP'yi hala sunan herhangi bir VPN sağlayıcısına geniş bir yer verirdim. Microsoft bile PPTP'yi terk edip bunun yerine alternatif bir VPN çözümü kullanmanızı öneriyor.

IPSec güvenli mi?

PPTP'ye karşı argüman oldukça sağlam - ancak IPSec ve L2TP hakkındaki şüphelerimin nedenlerini belirlemek daha zor.

Size biraz arka plan bilgisi vermek gerekirse, L2TP şifrelenmiş bir tünel oluşturur ve IPSec, tünelden gönderilen içerik için kimlik doğrulama ve şifreleme sağlayan güvenlik paketidir. Birleştirildiklerinde, tamamen şifrelenmiş bir VPN protokolü oluştururlar.

Yani, VPN'lerden bahsettiğimizde, yalnızca birinden veya diğerinden bahsetsek bile, IPSec ve L2TP genellikle birlikte ele alınır.

IPSec/L2TP'nin tam olarak neden güvenli olmadığı belirsizdir. Ancak, Edward Snowden'ın 2014'te yaptığı sızıntılar, NSA ve GCHQ'nun SIGINT programlarını desteklemek için mümkün olduğunca çok VPN trafiğini şifresini çözmekte çıkarları olduğunu ortaya koydu. Bu programın bir parçası olarak, NSA'nın IPSec/L2TP üzerinden taşınan dünyanın internet trafiğinin önemli bir bölümünü şifresini çözmesi gerektiği öne sürülüyor.

Bu, IPSec paketinin kendisinin bir güvenlik açığı içerdiği veya şifresini çözmeyi kolaylaştırmak için kasıtlı olarak zayıflatıldığı anlamına gelebilir, ayrıca NSA'nın trafiği şifresini çözmelerine olanak tanıyan gerçek protokolle ilgisi olmayan başka şekillerde önemli internet altyapısını tehlikeye attığı anlamına da gelebilir.

İddialarını ilişkilendirmek için gerçek teknik uygulamalar olmadan, IPSec'in neden güvenli olmadığını tam olarak söylemek zor.

Yine de, sızdırılan belgeler beni IPSec'ten de uzak durmaya yetiyor - en azından IKEv1 ile ilgili olarak. Neyse ki, IKEv2, IPSec etrafında oluşturulan çoğu uygulamada IKEv1'in yerini aldı ve çok daha güvenli bir protokol gibi görünüyor.

Hangi VPN protokolleri güvenlidir?

OpenVPN, VPN güvenliğinin altın standardı olarak kabul edilir. Açık kaynaklıdır, dünya çapında yüz binlerce kuruluş tarafından güvenilir ve temelde her web sitesinin kullandığı şifrelemeyi sağlayan OpenSSL kütüphanesinin üzerine kurulmuştur.

Güvenli bir VPN arıyorsanız ve potansiyel bir seçimin OpenVPN kullandığını fark ederseniz - bu sağlam bir seçenektir. Doğru şekilde yapılandırıldığında, neredeyse kurşun geçirmezdir.

Sonra, WireGuard var. Neredeyse OpenVPN kadar güvenlidir, ancak varsayılan olarak, fark edilebilir bir sorun vardır. WireGuard, Ağ Adresi Çevirisi yaparken IP'nizi depolar. Yani, bir bilgisayar korsanı veya çalışan VPN sunucusuna girerse, trafiğinizi IP adresinize bağlayabilir. Neyse ki, VPN sağlayıcıları tarafından oldukça kolay bir şekilde düzeltilebilir.

OpenVPN, VPN güvenliğinin altın standardı olarak kabul edilir.

Bu sorunu ele almak için, WireGuard sunan en üst düzey VPN sağlayıcıları, sunucuları içinde bir adres atanırken trafiğinizi anonimleştirmek için "çift NAT" adı verilen bir yaklaşım kullanır. Örneğin, NordVPN, tescilli WireGuard tabanlı NordLynx protokolünü oluştururken bu yaklaşımı kullandı.

Bu arada, sağlayıcıya özgü VPN protokolleri söz konusu olduğunda, bunları vaka bazında değerlendirmek zordur. Ancak, akılda tutulması gereken birkaç altın kural vardır.

Örneğin, en önemlilerinden biri, protokolün üçüncü taraf denetimine tabi tutulduğunu kontrol etmektir. Kendi protokolünü oluşturan bir VPN sağlayıcısı, potansiyel olarak yüzlerce yazılım, ağ ve kriptografi mühendisinin çalışmasını kopyalamaya çalışmaktadır. Bana göre, tuzuna değer herhangi bir VPN, üçüncü taraf bir firmanın ürünlerini en ince ayrıntısına kadar incelemesine ve olası güvenlik açıklarını kontrol etmesine izin vermekten memnuniyet duyacaktır.

Denetimler, şeffaf ve gizlilik odaklı hizmetleri gösterir. Bu nedenle, mümkünse ExpressVPN ve NordVPN gibi bu denetimleri düzenli olarak yapan sağlayıcıları arayın.

VPN protokolleri ve kuantum hesaplama

Kuantum hesaplama, VPN protokolleri tarafından kullanılanlar da dahil olmak üzere birçok şifreleme yöntemi için potansiyel bir tehdit oluşturmaktadır. Geleneksel şifreleme algoritmaları, klasik bilgisayarların çözmesi zor olan ancak kuantum bilgisayarlar tarafından daha kolay ele alınabilen matematiksel problemlere dayanır.

Örneğin, kuantum bilgisayarlar teorik olarak en yaygın asimetrik anahtar değişim yöntemlerinden biri olan RSA şifrelemesini kırabilir. Gerçek etki, kuantum hesaplama teknolojisinin gelişimine ve pratik yeteneklerine bağlıdır.

Şimdilik, kuantum bilgisayarlar bu şifreleme yöntemlerini büyük ölçekte kırmak için henüz yeterince gelişmiş değil.

Araştırmacılar, potansiyel tehdide yanıt olarak kuantum saldırılarına karşı güvenli olacak şekilde tasarlanmış birkaç algoritma geliştirdiler. Kuantum sonrası algoritmalar artık çoğu şifreleme kütüphanesine entegre edilmiştir ve NordVPN ve ExpressVPN gibi üst düzey VPN sağlayıcıları bunları VPN şifreleme protokollerine entegre etmektedir.

Kaynak: TechRadar