Paket Parçalama (Packet Fragmentation) ve Ağ Güvenliği
İnternet trafiğinde her veri, paketler halinde iletilir. Bu paketlerin büyüklüğü ise her ağın belirlediği bir sınırla, yani MTU (Maksimum İletim Birimi) ile belirlenir. Eğer bir paket, ağın izin verdiği MTU değerinden büyükse, bu paket daha küçük parçalara ayrılır. Bu işleme paket parçalama (packet fragmentation) denir.
MTU (Maksimum İletim Birimi) Nedir?
MTU, bir ağ üzerinden tek seferde gönderilebilecek en büyük veri paketi boyutunu ifade eder.
| Ağ Türü | Standart MTU |
|---|---|
| Ethernet | 1500 byte |
| Token Ring | 4096 byte |
Bu sınırı aşan veri, düzgün iletim için daha küçük fragmanlara bölünür.
IP Başlığı ve Paket Parçalama
Her IP paketinde bazı önemli alanlar bulunur. Paket parçalama süreci özellikle şu 3 alanı ilgilendirir:
- Identification (Kimlik) – Her pakete özgü, parçaların tekrar birleştirilmesinde kullanılan 16 bitlik bir kimlik numarasıdır.
- Flags (Bayraklar) – Paketle ilgili kontrol işaretlerini içerir:
- DF (Don't Fragment): Parçalanmasın (1) ya da parçalanabilir (0).
- MF (More Fragments): Daha fazla parça var (1) ya da son parça (0).
- Fragment Offset (Parça Ofseti) – Bu parça, orijinal verinin neresinden itibaren geldiğini belirtir. Bu değer 8 byte’lık birimler halinde ölçülür.
Gerçek Bir Paket Parçalama Örneği
Diyelim ki 2.366 byte'lık bir veri paketimiz var ve bu paket, Ethernet ağı üzerinden gönderilecek. Ethernet’in MTU sınırı 1500 byte olduğu için bu paket ikiye bölünür:
1. Paket:
- Toplam: 1500 byte
- 20 byte IP başlığı + 24 byte TCP başlığı + 1456 byte veri
- MF = 1 (devamı var)
- Fragment Offset = 0
2. Paket:
- Toplam: 910 byte
- 20 byte IP başlığı + 24 byte TCP başlığı + 866 byte veri
- MF = 0 (son parça)
- Fragment Offset = 182 (1456 / 8)
Paket Parçalama ile Güvenlik Duvarı Atlatma Saldırısı (Fragmentation Attack)
İşte işin karanlık tarafı: Paket parçalama sadece veri aktarımında değil, aynı zamanda güvenlik açıklarından faydalanmak için de kullanılabilir.
Senaryo:
Bir ağda TCP port 23 (Telnet) engellenmiş, fakat SMTP port 25 açık.
Ne yapılır?
Birinci Paket:
- Fragment Offset = 0
- MF = 1 (devamı var)
- TCP port: 25 (güvenlik duvarı bunu geçirir)
İkinci Paket:
- Fragment Offset = 1
- MF = 0 (son parça)
- TCP port: 23 (engellenmesi gerekir ama gözden kaçar)
Nasıl olur?
Firewall, ikinci paketin bir “devam parçası” olduğunu düşünür ve içeriğini denetlemez. Hedef sunucu ise bu iki parçayı birleştirir, ve içerik port 23 üzerinden çalıştırılır. Böylece firewall atlatılmış olur.
Sonuç: Neden Bilmeliyiz?
Paket parçalama, hem ağ performansı açısından önemli hem de siber güvenlik açısından kritik bir konudur. Özellikle güvenlik duvarlarının zayıf yapılandırıldığı sistemlerde, kötü niyetli kullanıcılar bu tekniği kullanarak iç ağa sızabilir. Bu nedenle:
- Güvenlik duvarları, tüm paketleri (özellikle parçalanmış olanları) denetlemelidir.
- Paketleri birleştirmeden önce tutarlılık kontrolleri yapılmalıdır.
2025’te Network Güvenliği İçin Tavsiyeler
- IDS/IPS sistemleri güncel tutulmalı
- MTU değerleri bilinçli seçilmeli
- TCP/IP fragment analizi yapan araçlar (Snort, Suricata gibi) kullanılmalı