You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
Key Escrow<br />
1<br />
KEY ESCROW NEDİR? 11/23/2012<br />
“Şifreleriniz hiç bir zaman güvende olmadı ve olmayacak”<br />
Bu rapor “Key Escrow” hakkında tarafsız olarak hazırlanmıştır.“Key Escrow” un ne<br />
demek olduğu, neden gerekli olduğu, nerelerde uygulandığı gibi sorunların cevabını<br />
bulmaya çalışacağız. Sektörümüz BT olduğundan “Bilişim Teknolojileri” sınırında...<br />
Key Escrow nedir? Tam kelime anlamıyla<br />
“anahtarın emanet edilmesi” demektir.<br />
Belirli koşullar altında, yetkili kişiler<br />
tarafından, şifrelenmiş olan verilerin<br />
şifresini çözmek gerektiğinde gerekli anahtarların<br />
emanet olarak tutulduğu bir düzenlemedir.<br />
Öncelikle şu “belirli koşulları” bir tanımlayalım.<br />
Kullanılan cihazın ve/veya yazılımların bir şekilde<br />
ilgili ülke halkını tehdit edebilecek kişilerin eline<br />
geçmesi ve/veya ilgili ülkeye karşı olarak<br />
kullanılmasını önlemek olarak tanımlanır.<br />
Yetkili kişiler kim veya kimlerdir? Öncelikle ulusal<br />
güvenliği sağlamak üzere kurulmuş hükümet<br />
organizasyonları (NSA, FBI, CIA vb), eğer bir<br />
şirketin güvenliği hakkında konuşuyorsak, şirket<br />
sahibi olarak tanımlanabilir.<br />
Raporun konusu “Key Escrow”, Amerika Birleşik<br />
Devletleri’nde 1996 yılında kanunlaşmıştır.<br />
Konumuz olmasada genel bir bilgi vermek<br />
açısından “Key Escrow” sadece halka açık ürünleri<br />
değil, aynı zamanda askeri amaçlı ürünleri de<br />
kapsamaktadır.<br />
Örneğin uçaklar, gemiler, tanklar, kripto cihazları<br />
ve daha tahmin dahi edemeyeceğiniz her türlü cihaz<br />
bu kanuna uymak zorundadır.<br />
Neden bu güvenlik gereklidir?<br />
Önce askeri bakış açısıyla sorunun cevabını bulalım.<br />
Diyelim ki özel bir savunma şirketiniz var ve çok<br />
müthiş bir uçak geliştirdiniz, hiç bir füze tarafından<br />
vurulması mümkün değil. İnanılmaz bir şekilde<br />
talep ile karşılaştınız, her ülkeden sipariş geldi ve<br />
bol bol sattınız.<br />
Sizin için mükemmel, ülke ekonomisi için<br />
mükemmel ama ülkenizin savunması için hiç de iyi<br />
değil! Çünkü bir gün size karşı kullanılmasını<br />
engellemek için eğer bir önlem almadıysanız ileride<br />
büyük bir tehlike ile karşı karşıya kalırsınız. Kendi<br />
silahınız ile vurulmak!<br />
Dolayısıyla her ülkenin üretip satmış olduğu<br />
silahlarda aynı yöntem bulunur. Yani oturduğunuz<br />
dalı kesmek istemezsiniz!<br />
Gelelim “Bilişim Teknolojileri” gözüyle soruyu<br />
cevaplamaya... Terör, Bilgi Sızdırma vb. Çok güzel<br />
bir şifreleme algoritmanız, siz dahi çözemiyorsanız<br />
büyük bir problem ile karşı karşıya kalırsınız.<br />
Elektronik postaları, telefon konuşmalarını vb<br />
izleyemiyorsanız yine aynı sorunla karşı<br />
karşıyasınızdır.<br />
Dolayısıyla gerek askeri gerekse BT tarafındaki<br />
donanım ve/veya yazılımlar için “bir takım”<br />
önlemler almanız gerekmektedir.<br />
BT gözüyle baktığımızda, iş bilgi<br />
toplamaya giderse...<br />
Güvenlik açısından çok önemli olan bu kanun, aynı<br />
zamanda bilgi toplamaya (sınırları devlet sınırlarını<br />
aştığını düşünelim) gidebilir mi? Bu sorunun
yanıtına hemen evet diye cevap vermek imkanım<br />
yok. Henüz tesbit etmiş olduğum bir bilgi sızıntısı<br />
en azından benim notebook'umda yok.<br />
Ama tabi belli şartlar yerine getirildiğinde<br />
gerçekleşiyor mu onu o şartlarda olanların tesbit<br />
etmesi gerekir.<br />
Mesela, domain adresleri "gov" olduğunda<br />
kullanılan e-posta programı nasıl davranıyor? Veya<br />
antivirüs programınız neleri tarıyor? Virüs mü<br />
yoksa içeriği bir başka mantıkta mı tarıyor? DLP<br />
yazılımları kimin için çalışmaya başlıyor?<br />
Yakın bir örnek (tabiki tam örnek olamayacaktır)<br />
vermek gerekirse, Stuxnet virüsü ancak ilgili ortam<br />
şartları yerine getirildiğinde aktif hale geçiyordu.<br />
Yani nükleer santralde kullanılacak yazılım ve<br />
ekipman algılandığında... Bu yüzden erken tesbit<br />
edilemedi.<br />
Donanımlardaki bir duruma<br />
bakalım...<br />
Bilgisayarlarımız, sunucularımız, veri depolama<br />
cihazları, network cihazları, network kartları,<br />
modemler, şifreli telefonlar ve benzeri cihazlardaki<br />
şifre bölümü de aynı şekilde key recovery opsiyonlu<br />
olup olmadığını hiç kontrol ettiniz mi?<br />
“Ya hocam sende çok paranoyaksın ha!” Şifreli bir<br />
telefonda bu opsiyon varsa nasıl satılır? Zamanında<br />
AT&T tarafından ses şifrelemesi yapabilen bir<br />
telefonun içerisindeki NSA tarafından decrypt<br />
edilmesinin sağlayacak şekilde tasarlanmış chip<br />
bulunmaktaydı. AT&T 1992 yılında böyle bir cihaz<br />
üreteceğinin haberini alan NSA, güvenlik politikası<br />
ile hemen olaya müdahele etmiştir. (Kaynak<br />
:http://www.flickr.com/photos/mattblaze/227425<br />
2795/) Dikkat, Key Escrow yasası 1996 yılında<br />
çıkmıştır. Şimdi telefonlarınızın içerisinde olup<br />
olmadığını nereden biliyorsunuz? Ya da network<br />
cihazlarınızda, ya da, ya da, ya da...<br />
Hadi gelin benim paranoyamı biraz daha<br />
geliştirmeye... Dosyalarınızı şifreliyorsunuz işletim<br />
sisteminizle, bende idda ediyorum 1sn de<br />
kırılacağını, neden yine aynı durumdan dolayı...<br />
Siz hiç Amerikan devlet organizasyonlarının<br />
terörist disklerini ele geçirip şifrelerini kıramıyoruz<br />
diye bir açıklama yaptıklarını duydunuz mu?<br />
2<br />
KEY ESCROW NEDİR? 11/23/2012<br />
Ya da WikiLeaks'in şifrelenmiş videoları nasıl<br />
açabildiğini hiç düşünmediniz mi? (Arka<br />
plandakilere bakmanızı öneririm, her zaman ön yüz<br />
bir aktör olabilir!)<br />
Einstein'da olsanız AES-512bit şifresini bilmeden<br />
dosyayı çözme imkanınız yok. Çünkü bu şifreleme<br />
yönteminde hatalı şifre girdiniz diye bir uyarı<br />
olmadığından Bruce Force atağı yapamazsınız.<br />
Açılan dokümana bakıp karar vermelisiniz. Ya iç içe<br />
AES şifresi konduysa... Kısacası insan ömrü yetmez!<br />
Bu taktirde tek yol arka kapıyı kullanmaktır.<br />
Hadi bakalım donanımları açalım, chip arayalım.<br />
Hmm evet üzerinde US Key Escrow yazıyor ☺...<br />
Unutmayın bir de yazılım tarafı var bunun...<br />
Yazılımlardaki duruma bir bakalım...<br />
Yok canım artık satılan her yazılım bu durumda mı?<br />
Valla ben onu, bunu bilmem, gördüğümü söylerim<br />
siz karar verirsiniz. Kanun açık şifreleme vb, peki ya<br />
daha ileri gitmişse bu iş... Arka kapılar sadece<br />
şifreleme cihaz ve yazılımlarında yoksa...<br />
Bir örnek vereyim... Bir posta yazılımı (meşhurdur)<br />
kullanıyorum, e-posta adreslerimden bir tanesinin<br />
şifresini bir türlü hatırlayamadım. Genelde bu hep<br />
olur, çünkü bu şifreleri çok karışık yaparım.<br />
Arkadaşlara sordum bir cevap alamadım, bende<br />
dedim ki bir bilene yani "Google" a sorayım.<br />
İlk aramamda karşıma çıktı. Evet bu şifreleri<br />
kurtaran yazılımlar var. Nasıl yani? Bunun adı şifre<br />
değil mi? Bu yazılımlara para vermek yerine<br />
araştırma yapıp kendi yazılımımı yazdığımda, işin<br />
resmi ortaya çıktı. Şifreler encrypted olarak<br />
saklanıyor ama decrypt de etme imkanınız var.<br />
Decrypt esnasında ise bir güvenlik yok! Yani tamire<br />
notebook verirken bir kez düşünmek gerekiyor.<br />
Şimdi sadece bununla sınırlı kalsa iyi (kendimi<br />
kandırmayı seviyorum), Login şifresindeki durum<br />
acaba nedir diye düşününce, aynı sorunun bir<br />
benzeri orada da karşımıza çıkıyor. Yazılım<br />
yazmaya gerek yok zaten yazanlar var. BackTrack<br />
gibi... Şifreyi sıfırlayıp login olmak mümkün...<br />
Peki dijital sertifikalara ne demeli... Acaba<br />
kopyalanabiliyor mu? Bilmem, Stuxnet virüsünü<br />
yazanlara sormalı, virüsün içerisinde iki adet orjinal<br />
dijital sertifika var. Yok canım kopyalanmaz ☺...
Aklıma devlet ihaleleri geliyor, "İnternet güvenlği<br />
için şu yazılım alınacaktır. Şöyle bir network cihazı<br />
alınacaktır. Böyle bir depolama ürünü alınacaktır.".<br />
Hmm, acaba gerçekten güvenlik sağlayacak mı?<br />
Yani en azından birileri için güvenlik sağlayacağı<br />
garanti de, bizim için durum nedir? Mesela,<br />
verilerinizin yedeklemesini yaparken, hiç<br />
serverlarınızın portlarını kontrol ettiniz mi? Gibi,<br />
gibi, gibi...<br />
Biraz daha derinlemesine<br />
inceleyelim...<br />
Amerikan Hükümetinin “Key Escrow” üzerine<br />
yapmış olduğu bir toplantı notunun üzerinden<br />
giderek, gelişen teknolojiye karşın ne gibi önlemler<br />
geliştirildiğini beraberce inceleyeceğiz.<br />
1996 yılında “Key Escrow” kanunu çıktığında<br />
teknolojik bakımdan daha evlere kadar<br />
bilgisayarlar girmemiş, bu kadar çok şifreleme<br />
algoritmaları geliştirilmemişti.<br />
Makalede ismi geçen görevli ve firma isimleri<br />
sansürlenmiştir. Orjinal doküman arama<br />
yapıldığında (☺) bulunabilir.<br />
"İyi günler, ismim Smith. Ben şu anda FBI’ın Dijital<br />
Telefon ve Şifreleme politikası birimi xxx olarak genel<br />
ve kongre işleri ofisine atanan bir denetleme özel<br />
görevlisiyim. Geçtiğimiz iki buçuk yıl için, dengeli bir<br />
şifreleme kamu politikalarını geliştirmek içinde<br />
çalıştım." - 1996 yılında yayınlanan "Key<br />
escrow" kanununa yönelik olarak çalışmalarını<br />
yürüten bir görevlidir.<br />
"Mevcut ihracat kısıtlamaları, güçlü şifrelemeleri<br />
ihraç edilmesine engel değildir; ancak, bu otuz üç<br />
ülkeden biri hükümetin bir lisansı ile güçlü şifreleme<br />
alabilir. Bir lisans ile, Amerika Birleşik Devletleri'nde<br />
bulunan en güçlü, en güçlü şifreleme teknolojisi<br />
verebilirsiniz." - Lisanslama? Ürünün kurallara<br />
(☺) uygun olması durumunda, hangi ülkeye,<br />
hangi kuruma, hangi seri nolu ürünün satıldığı<br />
ve benzeri bilgilerin ilgili devlet kurumuna<br />
bilgilendirilmesidir. Yani bir network cihazı<br />
Mahalle Muhtar'ına dahi satıldıysa bu bilgi<br />
bilinir.<br />
Dikkat ederseniz ilgili konuşma bazı IT şirketlerine<br />
yapılıyor! "Ancak, ne yapamazsınız, sonuçları ne<br />
olursa olsun,her yere, herkes için ihracat (lisanssız<br />
olması kastediliyor) yapılamaz. Yani, bunu en<br />
3<br />
KEY ESCROW NEDİR? 11/23/2012<br />
başından itibaren açıkça belirtelim." -<br />
teşekkürler...Örneğin İran, Lübnan vb..."<br />
“Diğer bir alanda arama ve el koymadır. Şimdi<br />
herkes şimdi bilgisayar kullanarak, kağıt dosyaları<br />
ortadan kaldırdı. Sonuç olarak, kolluk kuvvetleri,<br />
elektronik olarak saklanan, sabit sürücüler, disket ve<br />
diğer elektronik depolama aygıtlarında tutulan<br />
bilgileri elegeçiriyor. Bu nedenle, kolluk kuvvetlerinin<br />
bu şifreli, bilgilere anında erişim kazanmaları için<br />
daha fazla yetenekli olmaları gerekiyor." – Ortada<br />
sizin sattığınız şifreleme yöntemleri var ama biz<br />
bunları açmak için uğraşmak zorunda kalıyoruz<br />
mu denmek isteniyor acaba?<br />
"Şimdi, şifreli bilgileri kırmak için kolluk yeteneğini<br />
konuşalım. Kolluk topluluğu, ihracat kontrolleri ile<br />
korunmaktadır, istihbarat topluluğunun aksine, işi<br />
kanıt toplamak değildir. Bazı durumlarda şifreleri<br />
kırmak için kullanılan Bruce Force atak yöntemi<br />
yeterli olmamaktadır. Örneğin PGP 128-bit<br />
şifrelemede insan ömrü yeterli olmaz." – Gerçi<br />
PGP'de arka kapı vardı ama neyse...<br />
Hala konuya girilemiyor. Bir kaç sayfa daha<br />
atlayıp bakalım en iyisi...<br />
"Biz her hangi bir teknik çözümün savunucusu<br />
değiliz. Kolluk güçleri, ticari amaçlı şifreleme<br />
ürünlerine mahkeme kararı ile düz metin olarak<br />
erişim yapılabilmesi için, bazı araçlara sahip<br />
olunması gerektiğine inanıyor." - Sanırım yavaş<br />
yavaş istenene geliyoruz. Birşey savunulmuyor<br />
ama satabilirseniz satın...<br />
"Anahtar kurtarma (key recovery) bir seçenek;<br />
anahtarını emanet (key escrow) başka bir seçenek;<br />
ve xxx tarafından üretilen geri kazanılabilir<br />
(recoverable products) ürünler ise üçüncü bir<br />
seçenektir."<br />
Aslında tüm IT sektörünü ilgilendiren kısımda<br />
"Recoverable Products" kısmıdır. Çünkü yukarıdaki<br />
yazıdan da anlayabileceğiniz gibi hükümet<br />
tarafından üretilen ürünlerde (uçak, tank vb) bir<br />
problem yok ama ticari olarak satılan ürünlerde<br />
kontrolün zor olması, Key Escrow kanunu<br />
yüzünden üreticilerin ve dolayısıyla Amerika'nın<br />
ekonomi olarak kayıplarına bakıldığında, üstü<br />
kapalı olarak üretilecek ürünler ile bunu aşılması<br />
düşünülmektedir.
Kaldıki ileride anlatacağım ve bugün kullandığımız<br />
(sizinde kullandığınız), DES, 3DES, SHA, RSA vb<br />
algoritmalar zaten NSA tarafından geliştirilmiştir.<br />
Tekrar madde madde hatırlatalım:<br />
• Key Recovery option<br />
• Key Escrow option<br />
• Recoverable Products option<br />
Hemen aklıma gelen en büyük üreticilerden birisi<br />
oldu. Sayfalarında kısa bir araştırma sonrasında<br />
karşıma gelen kısa bir yazı çıktı. Konu eski ama<br />
yenisi yok ne yazık ki...<br />
"Private keys that are used for digital signing and<br />
authentication must never be stored in a key<br />
recovery database or archive. Someone other than<br />
the legitimate key owner might be able to gain<br />
access to the duplicate and impersonate the owner.<br />
The mere existence of a copy of a signing key<br />
compromises the authentication, integrity, or<br />
nonrepudiation provided by the key.<br />
When recovery databases are properly used, only<br />
trusted administrators are allowed to use the<br />
database and restore keys to their owners. To<br />
prevent key compromise, the confidentiality of<br />
private keys must be maintained at all times during<br />
the key and data recovery processes.<br />
In addition, some public key infrastructures or<br />
public key products might include a key escrow<br />
system that allows others besides the owners of<br />
private keys to access and use the keys. In a key<br />
escrow system, a third party holds copies of the<br />
private keys. Key escrow systems are sometimes<br />
required to obtain a cryptography export license.<br />
Key escrow systems are most commonly used when it<br />
is necessary for government officials to obtain the<br />
private keys that have been used to encrypt<br />
information.<br />
XXX does not provide any key recovery or escrow<br />
services; however, some XXX or third-party<br />
products might support key recovery or key<br />
escrow services. For example, XXX Server provides<br />
key recovery services for secure mail so you can<br />
recover encrypted data if private keys are lost or<br />
damaged. XXX, however, does support exporting<br />
nonsigning private keys that are used for<br />
technologies such as S/MIME and EFS, so you can<br />
manually archive keys and use them for data<br />
4<br />
KEY ESCROW NEDİR? 11/23/2012<br />
recovery. Such exported keys are stored in a<br />
password-protected encrypted format."<br />
Hadi biraz da günümüzdeki<br />
algoritmalara bakalım...<br />
Öncelikle bugün kullandığımız popüler olan bazı<br />
şifreleme algoritmalarına yakından bakmamız<br />
gerektiğine inanıyorum. Çünkü bunlar bize “Key<br />
Escrow” veya “Backdoor” un ne demek olduğunu<br />
daha iyi anlatacaktır.<br />
DES<br />
Data Encryption Standard (DES), bundan bir kaç<br />
sene öncesine kadar oldukça çok kullanılan bir<br />
algoritmaydı. 64 bit özel anahtar (veya şifre)<br />
kullanır. DES orijinal olarak 1977 yılında XXX<br />
tarafından geliştirilmiş ve US Department of<br />
Defence tarafından da kabul edilmiş bir standarttır.<br />
DSA<br />
Digital Signature Algorithm (DSA), dijital imzalar<br />
için Amerika Birleşik Devletleri Hükümeti<br />
standartıdır. 1991 yılında hazırlanan algoritma<br />
2000 yılına kadar değişimlere uğramıştır. Amerikan<br />
patent enstitüsüne göre ilgili algoritmanın patenti<br />
eski bir NSA çalışanı olan David W. Kravitz’e aittir.<br />
SHA<br />
Secure Hash Algorithm (SHA) ailesi cryptographic<br />
hash fonksiyonlarından oluşmaktadır. En çok<br />
kullanılan fonksiyonun SHA-1 olduğunu tahmin<br />
ediyorum. Bu fonksiyon bir çok program ve<br />
protokolda kullanılmaktadır (TLS, SSL, PGP,<br />
S/MIME ve IPSec). SHA algoritması, yine tahmin<br />
edebileceğiniz gibi NSA tarafından oluşturulmuştur.<br />
RSA<br />
1977 yılında MIT’de Ron Rivest, Adi Shamir and Len<br />
Adleman tarafından oluşturulmuştur. Algoritma<br />
Public-Key şifreleme yöntemidir.<br />
AES<br />
Advanced Encryption Standards (AES), simetrik<br />
128bit blok veri şifreleme tekniği olup, Belçikalı<br />
cryptographer Joan Daemon ve Vincent Rijmen<br />
tarafından geliştirilmiştir.
Makalemin bir çok bölümünü sansürlemek zorunda<br />
kaldım, bir çok bilgiyi yazamadım. Zaten yazılsa da<br />
bilişim teknolojilerindeki “doğal bilgisizlik”<br />
nedeniyle bir önlem alınamayacağı kanaatindeyim.<br />
Son söz olarak şunu söylemek istiyorum, Türk<br />
yazılım ve donanım üreticileri oluşturulmadığı<br />
taktirde, bugün kullanılan her türlü donanım ve<br />
yazılımdaki “yapılması zorunlu olan” açıklara karşı<br />
korumasız durumdayız.<br />
Sonra neden helikopterler düşüyor, bilgiler sızıyor<br />
diye düşünmemeliyiz!<br />
Saygılarımla,<br />
Kasım, 2012<br />
CEM ARSLAN<br />
Cem Arslan holds a Master’s<br />
Degree in a Computer Science,<br />
and has worked for more than<br />
ten years as a software<br />
developer. His current research<br />
interest include security<br />
vulnerabilities, social<br />
engineering, reverse engineering and formal<br />
methods for aligment of security policies.<br />
5<br />
KEY ESCROW NEDİR? 11/23/2012
Change language