GÜVENLİ BİR E-POSTA UYGULAMASI: GÜ-POSTA

1. GÜVENLİ BİR E-POSTA UYGULAMASI: GÜ-POSTA Sunan: Halil İbrahim Ülgen Gazi Üniversitesi Elektrik-Elektronik Mühendisliği Bölümü hiulgen@gazi.edu.tr

2. Amaç Bu çalışmada bilim insanlarının, elektronik ortamlarda haberleşirken yüksek seviyede bilgi güvenliği sağlamaları amacıyla kullanabilecekleri bir yazılım geliştirmektir.

3. E-posta ? • E-posta kişilerin sayısal ortamda hazırladıkları ve karşılıklı alışverişte bulunabildikleri iletilere verilen addır. • Bilgi ve belgelerin kolaylıkla ve vakit geçirmeden hızlıca iletimini sağlar. İnternet ile birlikte hızlı bir şekilde gelişerek popülerlik ve önem kazanmıştır.

4. E-posta: Hayatımızdaki Yeri • Wall Street Journal’ın bir raporuna göre: • Ofis çalışanı 49 dk. • Üst düzey yönetici 4 saat. • Amerikan Yönetim Derneği (American Management Association), US News & World Report ve The ePolicy Institute tarafından yürütülen bir araştırmaya göre: • İşverenlerin %81’inin yazılı bir e-posta politikası var. • İşverenlerden %47’si çalışanların e-posta trafiğini gözlemliyor. • %56’sı çalışanların elektronik ortamdaki davranışlarını izliyor.

5. E-posta: Tehditler • E-posta kullanımının, sağladığı kolaylıkların yanında, eğer gerekli önlemler alınmaz ise sıkıntılara ve istenmeyen durumlara yol açması kaçınılmazdır. • Kimlik Hırsızlığı (identity theft) • İzinsiz erişim (eavesdropping) • Değişiklik yapma (message modification) • Korumasız durumdaki yedekler (unprotected backups) • SMTP ve POP3 kaynaklı güvenlik problemleri • Korumasız ağ ortamı

6. Saldırı Şekli: İzinsiz erişim İhlal: Gizlilik

7. Zarar verme

8. Saldırı Şekli: Değişiklik yapma İhlal: Bütünlük, Gizlilik

9. Saldırı Şekli: Üretim

10. İnkar edememe

11. Süreklilik

12. GÜ-Posta Nedir? • GÜ-Posta uygulaması ile mesajların istenmeyen kişiler tarafından okunması, mesaj içeriğinin değiştirilmesi gibi tehditlere karşı güvenli bir e-posta uygulaması geliştirilmiştir. • DES, 3DES, RSA, MD5 ve SHA algoritmaları kullanılmıştır. • Geliştirilmiş bazı uygulamaların aksine, MS Outlook programından bağımsız çalışan ve kendi başına e-posta hizmeti sunan bir yazılımdır. • Kullanıcı farklı şifreleme algoritmaları ve anahtar uzunluğu seçebilir.

13. Kullanılan Yaklaşımlar (1) RSA • RSA açık anahtarlı (asimetrik) bir şifreleme sistemidir. • Algoritması 1977’de Ron Rivest, Adi Shamir ve Len Adleman tarafından oluşturan RSA adını da bu üçlünün soy isimlerinin baş harflerinden almıştır. • RSA en çok bilinen ve kullanılan bir açık anahtar şifreleme sistemidir. • En çok elektronik imzada uygulama alanı bulmuştur

14. Kullanılan Yaklaşımlar (2) • p ve q gibi iki tane rasgele ve birbirinden bağımsız büyük asal sayı seçilir. • n = p * q hesaplanır. • Totient fonksiyonundan yararlanılarak (n) =(p-1)(q-1) hesaplanır. • 1<e< (n) koşuluna uyan ve (n) ile aralarında asal olan bir e tamsayısı seçilir.(OBEB(e, (n) )=1). • d.e=1(mod (n)) olacak şekilde bir d tamsayısı üretilir. • Tüm p,q,n,d,e sayılarının üretilmesinden sonra • Genel anahtar (public key):n,e • Özel anahtar (private key) :d,n verilerini içerir.

15. Kullanılan Yaklaşımlar (3) DES • DES (Data Encryption Standard) veri şifreleme standardı, bir blok şifreleme sistemidir. • FIPS’in (Federal Information Processing Standards) 15 Ocak 1977. • 64 bitlik mesaj bloğu, • 56+8=64 bit anahtar uzunluğu.

16. Kullanılan Yaklaşımlar (4) • 64 bitlik mesaj bloğu 64 bitlik anahtar ile algoritmadan geçirilerek 64 bitlik bir çıktı oluşturulur. • Başlangıç permütasyonundan sonra 64 bitlik mesaj bloğu 32 bitlik iki parçaya ayrılır ve bu parçalar 16 kez aynı fonksiyondan geçirilir. • 16. turun sonunda sağ ve sol parçalar tekrar birleştirilir ve son permütasyon ile algoritma sonlanır.

17. Kullanılan Yaklaşımlar (5) 3DES • Triple DES için DES üzerinde kısaca EDE (encrypt, decrypt, encrypt) olarak bilinen yöntem uygulanır.

18. Kullanılan Yaklaşımlar (6) Özetleme algoritmaları (Md5,SHA1,SHA256,SHA384,SHA512) • Hash fonksiyonları büyük boyuttaki mesajları küçük mesaj özetlerine dönüştürmek için kullanılır. • MD=H(M) • Verilen bir M için H(M) yi hesaplamak kolay olmalı • Tek yönlülük(One-Way) • M den H(M)=MD yi bulmak kolayken • H(M)=MD formülünden M nin bulunmasının zorluğu • Çakışmazlık(Collision) • M ve M’ mesajlar olmak üzere • H(M)=H(M’) olasının çok zor olması

19. Neden GÜ-Posta? • Karşılaşılabilecek olumsuz durumları azaltmak için: • Elektronik ortamlarda saklanan, gönderilen ve alınan bilgilerin güvenilir olması • Başkaları tarafından okunamaması ve elde edilememesi, • Gönderenin ve alanın kimliğinin doğrulanması, • Taşınan bilgilerin içeriğinin değişmemesi ve elde edilse bile içeriğinin anlaşılamamasının sağlanması gereklidir.

20. GÜ-Posta: Nasıl Geliştirildi? • GÜ-Posta uygulamasının geliştirilme aşamasında: • Uygulama geliştirme ortamı olarak, sağladığı avantajlar ve ücretsiz oluşu nedeniyle Microsoft Visual C# 2005 Express Edition ortamında program geliştirmeye karar verilmiştir. • .NET framework’te yer “System.Security.Cryptography” isim uzayında yer alan sınıflar kullanılarak ve DES, 3DES, RSA ve özet alma işlemi için gereken modüller hazırlanmıştır. • SMTP (Simple Mail Transfer Protocol) protokolünün kullanılarak e-posta gönderme işleminin yapılmasını sağlayacak modül hazırlanmıştır. • POP3 (Post Office Protocol) protokolünün kullanılarak e-posta mesajlarının okunması için gereken modül hazırlanmıştır. • Son olarak tüm modüller birleştirilerek birlikte çalışabilir bir hale getirilmiş ve kullanıcı testleri yapılmıştır. Bu aşamalardan sonra yazılım son halini almıştır

21. GÜ-Posta (1) Mesaj Gönderme İşlemi Blok Yapısı (DES/3DES)

22. GÜ-Posta (2) Mesaj Gönderme İşlemi Blok Yapısı (RSA)

23. GÜ-Posta (3) Mesaj Alma/Okuma İşlemi Blok Yapısı (DES/3DES)

24. GÜ-Posta (4) Mesaj Alma/Okuma İşlemi Blok Yapısı (RSA)

25. Sonuç-Kazanımlar • Elektronik ortamlar yaygınlaştıkça, bu ortamlardaki uygulamalar artmakta ve e-posta kullanımı da bir zorunluluk haline gelmektedir. E-posta kullanımında karşılaşılan sıkıntılar ve güvenlik zafiyetleri sebebiyle bu ortamların güvenliği için farklı çözümler önerilmektedir. Bu sebeple yüksek güvenlikli bir e-posta hizmeti verebilecek bir yazılım geliştirilmiş ve sunulmuştur. • Gizlilik için DES, 3DES ve RSA kullanımı, • Kimlik doğrulama için RSA kullanımı, • Parola özetlerinin tutulması • Farklı anahtar uzunluklarının seçilebilmesi, • Kolay kullanıcı arabirimi sunumu, • MS Outlook’tan bağımsız olarak kullanılabilmesi, • Anahtar yönetimi ile dağıtımının kolaylıkla yapılması Bu çalışmanın özgün yönleridir.

26. Sonuç-Kazanımlar • Kişisel bilgi güvenliği için bir yazılım geliştirilmiştir. • Bu yazılımda, gizlilik, bütünlük ve kimlik doğrulama işlemi kolaylıkla yapılabilmektedir. • Mevcut yazılımlardan bağımsız çalışabilmektedir. • Bilim insanlarının daha güvenli haberleşebileceği bir yazılım geliştirilmiştir.

27. Olumsuz yönler ve yapılacak çalışmalar • Özel anahtarın bilgisayarda tutulması bir güvenlik zafiyeti oluşturmaktadır. Kısa sürede bir donanımla entegrasyona gidilerek daha fazla güvenlik ve taşınabilirlik sağlanmaya çalışılacaktır. • Geliştirilen uygulamanın yaygın olarak kullanılması amaçlanmaktadır.

28. SORULARINIZ?