BGP Hijacking DNS'i Nasıl Etkiler?

İnternetin yönlendirme sistemi, paketlerin hangi yoldan geçeceğini BGP (Border Gateway Protocol) aracılığıyla belirler. BGP, ağlar arasındaki trafiği koordine eden temel mekanizmadır; ama bu sistem, tasarımı gereği güven varsayımına dayanır. Bir ağın, başka bir ağa ait IP bloğunu duyurmuş gibi davranması - BGP hijacking olarak adlandırılan bu saldırı - bu güven varsayımını silah olarak kullanır.

DNS ile BGP'nin birbirinden bağımsız sistemler olduğu sanılabilir; ancak çözümleme süreci IP katmanından geçer. DNS sorgularınız, aldığınız yanıtlar ve kullandığınız özyinelemeli çözümleyiciler (recursive resolver), BGP tablolarının yönlendirdiği yollarda taşınır. BGP yönlendirmesi manipüle edildiğinde bu tablolar bozulur ve sorgu trafiği saldırganın ağına akar.

Saldırının sonuçları teknik görünür, ama etkisi somuttur: kullanıcılar farkında olmadan sahte DNS yanıtları alabilir; bu tablo DNS hijacking tespitiyle aynı kullanıcı belirtisini üretir, araya giren sistemlerle (man-in-the-middle) karşılaşabilir ya da hizmetlere erişemez hale gelebilir. Hangi senaryo gerçekleştiği, saldırının hedefine ve kullanılan yönteme göre değişir.

BGP Protokolünün DNS Altyapısındaki Yeri

DNS kök sunucuları ve büyük özyinelemeli çözümleyiciler, anycast IP adresleriyle duyurulur. Anycast mimarisinde aynı IP bloğu dünyanın farklı noktalarındaki veri merkezleri tarafından eş zamanlı olarak duyurulur; kullanıcı trafiği, BGP kararlarına göre en yakın konuma yönlendirilir. Tüm bu yakınlık kararlarını veren mekanizma BGP'dir. Dolayısıyla DNS altyapısının sağlıklı çalışması, BGP yönlendirmesinin doğruluğuna doğrudan bağlıdır.

Kök sunucuların büyük çoğunluğu anycast kullanır. Özyinelemeli çözümleyici hizmeti sunan büyük operatörler de kendi IP bloklarını küresel düzeyde duyurur. Bu duyurular - BGP announcement - ISP'ler arasında yayılır ve yönlendirme kararları bu duyurulara göre şekillenir.

Bir BGP duyurusu sahte ya da hatalı olduğunda, trafik o sahte duyuruyu yapan ağa yönelir. DNS trafiği de bu yoldan geçtiği için etkilenir; saldırı belirli bir çözümleyicinin IP bloğunu hedef aldığında, o çözümleyiciye giden sorgular saldırganın altyapısına ulaşabilir. Bu noktanın önemi şudur: saldırgan DNS protokolüne hiç dokunmadan yalnızca IP yönlendirmesini manipüle ederek DNS'i işlevsiz hale getirebilir. Failover katmanı sağlık kontrolü olmadan bu sapmayı göremez.

BGP Hijacking Nasıl Gerçekleşir?

BGP, internetteki ağlar arasında çalışır. Her ağ - teknik adıyla otonom sistem (AS) - hangi IP bloklarına sahip olduğunu komşu ağlara duyurur. Standart filtreleme mekanizmaları uygulanmadığında, herhangi bir ağ herhangi bir IP bloğunu duyurabilir; sistem bu duyuruları varsayılan olarak doğrulamaz.

Daha spesifik ön ek saldırısı (more specific prefix attack) en yaygın yöntemdir. Meşru sahibi /16 bloğunu duyururken saldırgan aynı bloktan /24 gibi daha dar bir alt bloğu duyurur. BGP, daha spesifik yolları tercih ettiği için trafik saldırganın ağına kayar. Bu yöntem, meşru ağın duyurduğu bloğun tamamını devre dışı bırakmadan yalnızca belirli trafiği çekmeyi mümkün kılar; bu nedenle başlangıçta fark edilmesi güçtür.

Rota sızması (route leak) ise her zaman kasıtlı değildir. Transit ISP ilişkisinin yanlış yapılandırılması, bir ağın gerekmediği halde başka ağların rotalarını yeniden duyurmasına yol açar. Trafik hedef ağa ulaşır, ama beklenmedik bir yoldan geçer; bu durum gecikme sorunları ve gizlilik riskleri yaratır. Yanlışlıkla oluşan bir rota sızması bile DNS gecikme sürelerini ciddi biçimde artırabilir ve zaman aşımı hatalarına neden olabilir.

DNS Çözümleyicileri Neden Hedef Alınır?

Kök sunucu ya da yetkili (authoritative) sunucu yerine özyinelemeli çözümleyicilerin hedef alınması, saldırganlar açısından daha geniş etki alanı sağlar. Sebebi nettir: bir özyinelemeli çözümleyici, tek kullanıcı için değil, milyonlarca kullanıcı adına sorgu yapar. Tek bir hedefe ulaşmak, milyonlarca kullanıcının DNS trafiğini etkilemek anlamına gelir.

Büyük bir ISP'nin özyinelemeli çözümleyicisine ait IP bloğu ele geçirildiğinde, o ISP'ye bağlı tüm abonelerin DNS trafiği saldırganın denetimindeki sistemlere akar. Oradan ya yanıt iletilmez ve servis kesilir, ya geciktirilir, ya da sahte yanıtlar döndürülür.

Yetkili DNS sunucularını hedef almak farklı bir etki yaratır. Bir domain için birden fazla nameserver (NS) kaydı bulunur; yalnızca birinin IP bloğu kaçırılırsa yalnızca o sunucuya gelen sorgular etkilenir. Ama tüm NS kayıtları aynı otonom sistem içindeyse, yedeklilik yanıltıcı olur. Bu yüzden nameserver'larınızın farklı AS'lerde barındırılması gerçek bir güvenlik önlemidir; salt birden fazla NS kaydı eklemek, hepsi aynı altyapıya bağlıysa yeterli değildir.

Saldırı Anında DNS Trafiğine Ne Olur?

Üç temel senaryo gerçekleşebilir.

Trafik kaybı: saldırgan paketleri iletmez, gelen sorgular yanıtsız kalır. Kullanıcılar DNS zaman aşımı (SERVFAIL veya TIMEOUT) alır ve sayfalar yüklenemez; bu semptom DNS hata sınıflarının en gürültülü olanıdır. Bu durum servis kesintisi olarak görünür; görece hızlı fark edilir çünkü belirtisi açıktır.

İzleme ve iletme: saldırgan trafiği alır, kaydeder, sonra meşru hedefe yönlendirir. Kullanıcı tarafında belirgin bir kesinti olmaz; DNS sorguları ve yanıtları ise kaydedilmiş olur. Sorun içerik değil, rotadır. DNSSEC imzaları bu senaryoda yanıtın bütünlüğünü kanıtlamaz, çünkü sorgular gerçek sunucuya ulaşmış ve gerçek yanıtlar geri gelmiştir. Saldırı aylar boyunca fark edilmeyebilir.

Sahte yanıt: saldırgan kendi sahte DNS altyapısıyla sorguları yanıtlar. DNSSEC etkin domainlerde imza doğrulaması başarısız olur ve çözümleyici bu yanıtları reddeder; ama DNSSEC kullanmayan domainlerde kullanıcı sahte A veya MX kaydı alabilir. Web trafiği phishing sunucularına yönlendirilebilir, e-posta teslim akışı değiştirilebilir. Bu senaryo, üçünün en yüksek hasarı üretendir ve DNSSEC uygulamasının neden önemsendiğini somutlaştırır.

Anycast ile Dağıtık Savunma Katmanı

Anycast tek başına BGP hijacking'i engellemez; ama saldırının etki alanını coğrafi olarak kısıtlar. Aynı IP bloğunu dünyanın onlarca noktasında duyuran bir operatör için saldırgan, yalnızca bir bölgedeki trafiği çekebilir. Diğer bölgeler kendi yerel duyurularını kullanmayı sürdürür; küresel hizmet tam anlamıyla kesilmez.

Büyük özyinelemeli çözümleyici servisleri bu mimariden büyük ölçüde yararlanır. Bir veri merkezinin duyurusu ele geçirilse bile, küresel trafiğin yalnızca küçük bir kısmı etkilenir. Saldırının ölçeği, anycast node sayısı arttıkça küçülür.

Kendi NS altyapınızı kurmuyorsanız anycast'ı doğrudan yönetemezsiniz; ama anycast tabanlı sağlayıcı seçimi dolaylı güvence sağlar. Google Cloud DNS ile zone yönetimi yapıyorsanız, küresel anycast altyapısının avantajlarından otomatik olarak yararlanırsınız. Azure DNS altyapısı da coğrafi dağıtım sağlar ve BGP hijacking etkisini sınırlamaya yardımcı olur. DigitalOcean DNS ise daha küçük ölçekli ama yine anycast destekli bir seçenek olarak benzer bir güvence sunar. Sağlayıcı seçerken anycast varlığını doğrudan sormak, teknik bir ayrıntı değil güvenlik değerlendirmesinin parçasıdır.

RPKI ile Yönlendirme Doğrulama

RPKI (Resource Public Key Infrastructure), IP adres bloklarının meşru sahiplerini kriptografik imzayla belgeleyen bir sistemdir. Temel bileşen ROA (Route Origin Authorization) kaydıdır: belirli bir IP bloğunun hangi AS tarafından duyurulabileceğini ve izin verilen en dar ön ek uzunluğunu (max-length) tanımlar.

Bir BGP yönlendirici RPKI doğrulaması yapıyorsa, ROA'ya uymayan duyuruları geçersiz (invalid) olarak işaretler ve reddeder. Bu mekanizma more specific prefix saldırısının önüne geçer: saldırgan /24'ü duyururken ROA yalnızca /22'ye izin veriyorsa, bu duyuru geçersiz sayılır ve komşu ağlara yayılmaz. Yönlendirme tablosuna hiç girmeden etkisiz hale gelir.

RPKI'nin gerçek etkinliği iki faktöre bağlıdır: kaç ağ ROA yayımlar, kaç büyük ISP origin validation uygular. Yaklaşık 2025 yılı itibarıyla küresel yönlendirme tablolarının önemli bir bölümü ROA kapsamındadır ve büyük transit sağlayıcıların çoğu doğrulamayı aktif kullanmaktadır. Ama evrensel değildir. Kendi IP bloğunuz varsa bağlı olduğunuz AS'in ROA yayımlayıp yayımlamadığını öğrenmek pratik ilk adımdır; bu bilgiyi genellikle AS'inizin teknik belgeleri ya da peering ekibi doğrulayabilir.

İzleme ve Erken Uyarı

Anlık tespit, önleme mekanizmalarından bağımsız olarak değerlidir. Yönlendirme anormalliklerini izleyen bağımsız platformlar, bir IP bloğunun beklenmedik bir AS tarafından duyurulduğunu algılar ve bildirim üretir. Bu platformlar, ROA doğrulaması olmayan ortamlarda en erken uyarı kaynağı işlevi görür.

DNS tarafında, yetkili sunuculara veya özyinelemeli çözümleyicilere gelen sorgu örüntülerindeki ani değişimler yönlendirme sorunlarının işareti olabilir. Belirli coğrafi konumlardan gelen sorgu sayısının ansızın düşmesi, o bölgedeki trafiğin başka yöne aktığını gösterebilir. Bu izlemeyi sistem olarak kurmak, domain portföyü yönetiminin gözden kaçan ama kritik bir bileşenidir.

E-posta altyapısı da bu saldırıdan etkilenebilir. MX kayıtlarına yönelik sorguların yanlış yönlendirilmesi, gönderim ve teslim süreçlerini sekteye uğratabilir. DNS kaynaklı deliverability sorunları çoğunlukla kayıt hataları olarak incelenir, ama yönlendirme katmanındaki anormallikler de aynı belirtileri üretebilir. İki senaryoyu birbirinden ayırt etmek için sorgu logları ve yönlendirme izleme verilerini bir arada okumak gerekir; yalnızca DNS kayıt doğrulaması yeterli olmaz.

BGP hijacking, DNS protokolünün kendisindeki bir açıktan değil, trafiği taşıyan yönlendirme katmanındaki yapısal güven sorunlarından beslenir. Saldırı hem teknik olarak görünmez hem de etkisi yüzey düzeyde kalır; kullanıcı fark etmez, DNS yöneticisi log'larda anormallik görmez ve kesinti başka bir sorunmuş gibi yorumlanır. Uzun süre izleme senaryosunda hasar özellikle büyük olabilir: trafik kayıt altına alındıktan sonra meşru hedefe iletilir, hiçbir şey kırılmamıştır, ama sorgu içerikleri aylarca dışarı akmıştır.

RPKI ve anycast katmanlarını devreye almak tam anlamıyla bir kalkan değildir; ama mevcut araçlar arasında en ölçülebilir güvenceyi sunanlar bunlardır. ROA kapsamını genişletmek ISP iş birliği gerektirir, anycast altyapısı ölçek ister. Küçük operatörler için erişilebilir ilk adım, yönetilen DNS sağlayıcısı seçiminde anycast varlığını sorgulamak ve kendi yetkili sunucu duyurularının ROA ile uyumlu olduğunu doğrulamaktır. Uygulamalara ek olarak, .tr domain transferi gibi hassas geçiş süreçlerinde yönlendirme izlemeyi aktif tutmak, dışarıdan fırsatçı saldırıları erkenden görünür kılar.

İnternetin yönlendirme altyapısı on yıllar içinde büyüdü ve güven varsayımları o büyümeye eşlik etti. BGP hijacking bu varsayımları istismar eder; RPKI ise bu varsayımların yerine kriptografik doğrulama koymaya çalışır. Süreç tamamlanmış değil; ama her yeni ROA kaydı ve her yeni origin validation kurulumu bu geçişi ilerletir.