Ağlar ve güvenlik: büyük resim

Bu ders iki parçalı bir yolculuk. İlk yarıda İnternet’in nasıl çalıştığını öğreneceksin: katmanlar, linkler, router’lar, TCP. İkinci yarıda bu yapının nerelerden saldırıya açık olduğunu ve yazılımı nasıl güvenli yazacağını göreceksin. Ağı bilmeden güvenliği anlayamazsın. Bir saldırgan IP başlığını sahteler (spoofing), TCP el sıkışmasını suistimal eder (SYN flood) ya da kuyrukları doldurur (DoS). Hepsi bu ilk haftaların konusu.

Bu sayfa iki şey öğretir: İnternet’in genel resmi ve gecikme hesabı. Sınavda neredeyse kesin bir “how long does it take?” sorusu gelir. Şu kurallar yeter:

1. Transmission delay $L/R$, propagation delay $d/s$. Birbirine karıştırma.
2. Birimleri çevir. Byte’ı bite (×8), km’yi metreye, Mbps’i $10^6$ bit/s’ye.
3. Store-and-forward: router paketin tamamını almadan iletmez. Her link kendi $L/R$‘sini ekler.
4. Throughput darboğaz linktir: yol üstündeki en yavaş link.
5. $La/R > 1$ ise kuyruk sonsuza büyür.

İnternet nedir?

İki açıdan bakılır.

Donanım (nuts and bolts) açısı. İnternet, milyarlarca uç sistemin (end system, host) birbirine bağlandığı bir ağlar ağıdır (network of networks). Laptop, telefon, sunucu birer host. Hostlar iletişim linkleri (fiber, bakır, kablosuz) ve paket anahtarları (packet switch: router ve link-layer switch) üzerinden bağlanır. Hostlar İnternet’e bir ISP (Internet Service Provider) üzerinden girer; ISP’ler de hiyerarşik olarak birbirine bağlanır (erişim ISP’si, bölgesel ISP, tier-1 ISP, IXP noktaları).

Servis açısı. İnternet, dağıtık uygulamalara (web, e-posta, video) haberleşme hizmeti veren bir altyapıdır. Uygulama programcısı “bu veriyi şu adrese güvenilir gönder” der, gerisini ağ halleder. Bu hizmet bir soket arayüzü (socket interface) üzerinden sunulur.

Protokol (protocol), iki ya da daha fazla taraf arasında değişen mesajların biçimini, sırasını ve bir mesaj alındığında yapılacak işi tanımlayan kurallar bütünüdür. TCP, IP, HTTP, Ethernet birer protokoldür. Standartlar IETF’nin RFC belgelerinde yazılıdır.

Ağın kenarı ve çekirdeği

Paket anahtarlama ve devre anahtarlama

Çekirdekte veri iki temel yolla taşınabilir.

Devre anahtarlama (circuit switching). Haberleşme başlamadan önce kaynaktan hedefe bir yol kurulur ve her linkte bu bağlantı için kaynak ayrılır (rezerve edilir). Klasik telefon ağı böyledir. Link kapasitesi ya frekansa göre (FDM, frequency-division multiplexing) ya da zamana göre (TDM, time-division multiplexing) paylaştırılır. TDM’de zaman çerçevelere, çerçeveler slotlara bölünür; her devre her çerçevede bir slot alır.

• Artısı: garantili hız, kuyruk yok, öngörülebilir gecikme.
• Eksisi: kurulum süresi; kullanıcı sustuğunda ayrılan slot boş gider.

Paket anahtarlama (packet switching). Mesaj paketlere bölünür. Her paket, yolu bilen router’lar tarafından tek tek iletilir. Kaynak ayrılmaz; link o an kimin paketi varsa onundur. Bu yüzden paketler kuyrukta bekleyebilir, buffer dolarsa kaybolabilir (packet loss).

• Artısı: patlamalı (bursty) trafikte çok daha verimli, kurulum yok, basit.
• Eksisi: gecikme ve kayıp değişkendir.

Çözümlü örnek: devre anahtarlamada dosya süresi

1,200,000 bitlik bir dosya, 2.4 Mbps’lik ve 30 slotlu TDM kullanan bir devre üzerinden gidiyor. Kurulum 250 ms.

Devre başına hız   = 2.4 Mbps / 30 = 80,000 bps
Aktarım süresi     = 1,200,000 / 80,000 = 15 s
Toplam             = 15 + 0.25 = 15.25 s

TUZAK · tüm link senin değil. TDM’de sana düşen hız $R/\text{slot sayısı}$. Dosyayı 2.4 Mbps’le böler, 0.5 s bulursan soruyu kaçırırsın.

İstatistiksel çoğullama

1 Mbps link, her kullanıcı aktifken 100 kbps istiyor ve zamanın sadece %10’unda aktif. Devre anahtarlama en fazla 10 kullanıcı alır. Paket anahtarlamada 35 kullanıcı koyarsan, aynı anda 10’dan fazlasının aktif olma olasılığı binom dağılımından:

$P(X \ge 11) = \sum_{k=11}^{35}\binom{35}{k}(0.1)^k(0.9)^{35-k} \approx 4.24\times10^{-4}$

Sorun çok nadir. Paket anahtarlama aynı link ile 3.5 kat kullanıcı taşır. İnternet’in paket anahtarlamalı olmasının sebebi budur.

Dört gecikme türü

Bir paket bir router’dan bir sonrakine geçerken dört gecikme toplanır:

$d_{nodal} = d_{proc} + d_{queue} + d_{trans} + d_{prop}$

Benzetme: otoyolda konvoy. 10 araçlık konvoyun gişeden geçmesi transmission delay (konvoy boyu / gişe hızı). Bir aracın iki gişe arasındaki yolu katetmesi propagation delay (mesafe / araç hızı). İkisi tamamen farklı şeylere bağlı.

Çözümlü örnek: tek link

$L = 1500$ byte, $R = 10$ Mbps, link 2000 km, $s = 2\times10^8$ m/s.

L = 1500 x 8 = 12,000 bit
dtrans = 12,000 / 10^7      = 0.0012 s = 1.2 ms
dprop  = 2 x 10^6 / 2 x 10^8 = 0.01 s  = 10 ms
dproc = 0.02 ms, dqueue = 2.4 ms verilmişse:
dnodal = 0.02 + 2.4 + 1.2 + 10 = 13.62 ms

Uzun linkte propagation baskın; yavaş linkte transmission baskın olur.

İPUCU · $d_{prop} = d_{trans}$ ne zaman? $d = s \cdot L/R$ olduğunda. $L = 12000$ bit, $R = 1$ Mbps ise $d = 2\times10^8 \times 0.012 = 2400$ km. Bundan kısa linkte ilk bit karşıya varır, son bit daha göndericiden çıkmamıştır.

Store-and-forward ve çok link

Router bir paketi iletmeye başlamadan önce paketin tamamını almak zorundadır. $N$ link ve tek paket için (propagation hariç):

$d_{end\text{-}to\text{-}end} = N \cdot \frac{L}{R}$

$P$ paket arka arkaya gönderilirse ilk paket $N L/R$ sürede varır, sonraki her paket bir $L/R$ arkadan gelir:

$d = (N + P - 1)\frac{L}{R}$

L = 12,000 bit, R = 10 Mbps -> L/R = 1.2 ms
N = 3 link, P = 1 paket : 3 x 1.2 = 3.6 ms
N = 3 link, P = 4 paket : (3 + 4 - 1) x 1.2 = 6 x 1.2 = 7.2 ms

Propagation varsa her linkin $d_{prop}$‘u da eklenir: $N(L/R + d_{prop})$ tek paket için.

Kuyruk gecikmesi ve trafik yoğunluğu

Paketler saniyede ortalama $a$ adet, her biri $L$ bit gelsin. Trafik yoğunluğu (traffic intensity):

$I = \frac{La}{R}$

• $I \approx 0$: kuyruk neredeyse boş, gecikme küçük.
• $I \to 1$: gecikme hızla artar (doğrusal değil, patlar).
• $I > 1$: bitler gönderilebilenden hızlı geliyor. Kuyruk sınırsız büyür, gerçekte buffer taşar ve paket kaybı başlar.

Örnek: $a = 100$ paket/s, $L = 12000$ bit, $R = 2$ Mbps ise $I = 1.2\times10^6 / 2\times10^6 = 0.6$.

Belirli bir paketin kuyruk gecikmesini soruyorsa önündeki işi say: önünde 4 paket bekliyor ve iletilen paketin yarısı kaldıysa $4.5 \times L/R$. $L/R = 1.2$ ms ise $5.4$ ms.

TUZAK · paket kaybı da güvenlik konusu. Bir saldırgan kuyruğu kasıtlı doldurursa ($I \gg 1$) meşru paketler düşer. Bu, ileride göreceğin DoS saldırısının ağ katmanındaki karşılığı.

Throughput ve darboğaz

Throughput, alıcıya saniyede ulaşan bit miktarıdır. Seri bağlı linklerde uçtan uca throughput en yavaş linkin hızıdır:

$\text{throughput} = \min(R_1, R_2, \ldots, R_N)$

Bir link $n$ akış arasında eşit paylaşılıyorsa o link her akışa $R/n$ verir; min’e bu girer. Örnek: 5, 20 ve 10 akışa paylaşılan 100 Mbps’lik linkten geçen 40 Mbit dosya: $\min(5, 20, 10) = 5$ Mbps, süre 8 s.

Bandwidth-delay product

$R \cdot d_{prop}$, linkin içinde aynı anda bulunabilecek bit sayısıdır. 10 Mbps ve 10 ms için $10^7 \times 0.01 = 100{,}000$ bit. Bu sayı 3. haftadaki kayan pencere verimliliğinde ve 8. haftadaki TCP penceresinde tekrar karşına çıkacak.

Güvenliğe ilk bakış

İnternet başlangıçta “karşılıklı güvenen kullanıcılar” için tasarlandı. Güvenlik sonradan eklendi. Bu yüzden birçok protokol varsayılan olarak kimlik doğrulama yapmaz. Dersin ikinci yarısının temel çerçevesi CIA üçlüsü:

Her katmanı öğrenirken şunu sor: “Bu katmandaki başlığı kim sahteleyebilir, kim okuyabilir, kim değiştirebilir?” Bu soru dersin iki yarısını birleştirir.

Sık yapılan hatalar