URL Tabanlı Engelleme Nasıl Yapılır?

turk-internet.com Notu : URL Bloklamanın nasıl yapıldığına dair bir açıklamayı, internette yayınlayan Kuşburnu kullanıcı adı taşıyan güvenlikçi arkadaşımızın kaleminden, okuyucularımız için yayınlıyoruz.

Evvelki gece Tayyip Erdoğan ile oğlu Bilal Erdoğan arasında geçen telefon konuşmalarına ait ses kaydı Youtube üzerinden yayımlandı[1]. Ses kaydı gerçek mi değil mi diyorsanız veya bu konuyla ilgili bir bilgi almak isterseniz Kıvaç Kitapçı’nın yazdığı ”Tayyip Erdogan – Bilal Erdogan Telefon Gorusmesi Analizi”[2] adlı makaleyi okuyabilirsiniz. Dün geceye tekrar dönecek olursak, kayıt yayımlandıktan bir süre sonra erişime engellendi. Fakat her zaman alışık olduğumuz yöntemlerin aksine sayfaya “http” üzerinden eriştiğinizde tarayıcınızdan sanki öyle bir sayfa yokmuş, bağlantınız resetlenmiş gibi hata aldınız. Tahmin edildiği üzere bu URL tabanlı bir engelleme idi. Bu engelleme nasıl yapıldı ve engelin kaynağı neresidir üzerine küçük bir analizi kısaca fakat -olabildiğince- anlaşılır bir dille nasıl yapıldığını açıklayayım:

• Öncelikle, tcpdump[3] çalıştırıldı ve trafiğe konu olan veri paketlerine monitörleme yapılıp herhangi bir şüpheli durum var mı, varsa neden kaynaklanıyor bu belirlenmeye çalışıldı.
• dig[4] ile www.youtube.com adresinin DNS kayıtlarına bakıldı.
• traceroute[5] ile www.youtube.com adresine hangi sunucu veya yönlendiriciler üzerinden gidildiğine bakıldı.
• Tarayıcıdan ilk olarak URL tabanlı engellenen Youtube sayfasına girildi.
• Ardından da açık olan -yani engellenmemiş- bir Youtube sayfasına girildi.

Açık olan Youtube videosuna erişim sonucu:

URL tabanlı engellenen Youtube videosuna erişim sonucu:

Bu iki Youtube sayfasına ait tcpdump çıktısının en temel noktası, URL tabalı engellenen sayfanın TTL (yaşam süresi)[6] değeri açık sayfaya göre gelen değerden farklı. Bu fark şunu ifade ediyor; URL tabanlı engelleme yapılabilmesi için İSS’lerde IPS[7] gibi bir sistemin olması gerekli. Bu sistem ağı monitörleme, istenmeyen aktiviteleri tespit etme, bu aktiviteleri loglama, engelleme veya durdurma ve raporlama işlerini yapmaktadır. URL tabalı engellemenin çalışma sistemi de aynen monitörleme, loglama, engelleme ve erişimleri raporlama üzerinedir. Engelli sayfa çıktısında görüldüğü üzere İSS araya girerek TTL değerini değiştiriyor. Açık sayfada ise İSS tarafından bir müdahalede bulunulmadığı için TTL değeri normal düzeyde, yani gelmesi gereken düzeyde geliyor. Diğer yandan (çıktı olarak vermedim) traceroute sonucuna bakıldığında sorgu Google’a gidiyor. ICMP paketinin zaman aşımına uğradığı IP adresi 209.85.251.24, yani Google ağı içinden. Herhangi bir sorun yok gibi duruyor. Peki tüm bunlardan ne anlamalıyız?

İSS, bir IPS kullanmakta ve IPS de bu mevcut URL tabanlı engellemeyi gerçekleştirmektedir. Bunu da RST (reset) paketi ile istemciye “bu iletişimi kes” mesajı vererek yapmaktadır. O gördüğünüz “sayfa bulunamadı” hatasını da bu yüzden almaktasınız. Ayrıca, RST paketi sunucu tarafından gönderilmemekte ve IPS bunu “istemci engelli bir sayfaya erişmekte, ben de bunu durdurayım” şeklinde görmektedir. Anlaşılan çalmayı öğrendikleri kadar sansür ve gözetimde de bilgi sahibi olmuşlar gibi duruyor. Fakat, bu sonuç sansürün ana kaynağını malesef söyleyemiyor. Bakalım, ilerleyen süreçte yapılan engellere de analiz yapmaya devam edip sansürün ana kaynağına ulaşabilecek miyiz zaman gösterecek. Bakarsınız, bu sürede belki sansürleyecek bir hükümet de kalmaz. Kim bilir.

Son olarak, bu yazı da montaj ve TTL lobisi yazdı.

[1] Tayyip Erdoğan ile oğlu Bilal arasında geçtiği iddia edilen ses kaydı

[2] Kıvanç Kitapçı : Tayyip Erdogan – Bilal Erdogan Telefon Gorusmesi Analizi

[3] Tcpdump

[4] Dig Command

[5] TraceRoute

[6] TTL (Time to live)

[7] IPS – Intrusion Prevention System