Modbus/TCP için hafif sıklet şifrelemeli donanım modülü ile yeni bir güvenlik yaklaşımı

Endüstriyel kontrol sistemleri, hayatımızı doğrudan etkileyen elektrik, su, enerji gibi kritik alt yapıları yönetmek için kullanılmaktadır. Bu sistemlerde kullanılan haberleşme protokolleri tasarlandıkları yıl itibarıyla güvenlik parametreleri göz önüne bulundurulmadan geliştirilmiştir. Teknolojinin sürekli gelişiminden ötürü bu sistemler artık internete bağlı hale gelmişlerdir. Dolayısıyla bu sistemlerin yapısı birçok güvenlik tehdidine karşı savunmasız durumda olabilmektedir. Bu tezde, endüstriyel kontrol sistemlerinde en çok kullanılan Modbus/TCP protokolünün güvenlik açıklarını kapatmaya yönelik çalışma yapılmıştır. Modbus/TCP protokolü yapısı gereği, veri bütünlüğü, veri gizliliği ve oturum açma gibi temel güvenlik kontrollerine sahip değildir. Bu eksiklikler Modbus/TCP protokolünü kullanan sistemleri; hizmet reddi, ortadaki adam, paket dinleme, paket manipüle etme gibi birçok saldırıya karşı açık hedef haline getirmektedir. Bu durum protokole bir güvenlik katmanı eklenmesi ihtiyacını doğurmuştur. Bu sebeple, protokolün güvenliğini artırmak için endüstriyel sistemin çalışmasını olumsuz yönde etkilemeyecek yaklaşımlar kritik önem arz etmektedir. Bu problemleri çözmek için farklı tekniklerde fazla sayıda çalışma yapılmış ancak bu çalışmaların bir çoğu gerçek zamanlı sistem üzerinde uygulanabilir değildir. Yapılan çalışmalarda; makine öğrenmesi, derin öğrenme, kriptografik şifreleme gibi alanlarda bu sorunları çözmek için değerlendirmeler yapılmıştır. Makine öğrenmesi ve derin öğrenme tabanlı çözümlerde genellikle saldırı tespit veya engelleme sistemlerinin tasarlanması üzerine odaklanılmıştır. Kriptografik şifreleme tabanlı çözümlerin uygulanması esnasında şifreleme işlemlerinin hangi cihaz üzerinde yapılacağı tartışma konusu olmuştur. Endüstriyel cihazlar, düşük işlem kapasitesine sahip kaynak kısıtlı donanımlardır. Bu cihazlar üzerinde şifreleme yapıldığı düşünülürse, işlem gecikmesinden dolayı endüstriyel kontrol sisteminin işleyişi aksayabilir. Ayrıca, endüstriyel sistemlerde bulunan cihazların yazılımını güncellemek veya cihazların yenilenmesi büyük bir maliyet ve iş yükü oluşturmaktadır. Bu noktada, bu çalışmada şifreleme ve şifre çözme işlemleri için endüstriyel cihazların önüne bir modül yerleştirilmesi önerilmiştir. Böylelikle eski cihazlarla yaşanabilecek uyumluluk probleminin de önüne geçilmiştir. Önerilen modülü gerçekleştirmek için Raspberry Pi 4 ve Orange Pi R1 LTS Plus cihazları tercih edilmiştir. Orange Pi R1 LTS Plus cihazı kendi üzerinde çift ethernet portuna sahip olduğundan araya yerleştirme işlemine uygunken Raspberry Pi 4 cihazını araya yerleştirip bağlantı sağlamak için bir USB ethernet dönüştürücü kullanılmıştır. Modülü gerçekleştiren cihazlar üzerindeki ethernet arayüzleri köprü yapısı oluşturularak paketlerin arayüzler arasında yönlendirilmesi sağlanmıştır. Şifreleme işlemi aktif olmadığında gelen paketler direkt olarak hedef adrese doğru yönlendirilir. Şifreleme işlemi aktif olduğunda ise Modbus/TCP paketleri şifrelenmek üzere işleme alınmaktadır. Linux tabanlı işletim sistemi üzerinde Python programlama dili kullanılarak hafif sıklet şifreleme algoritmaları ile Modbus/TCP paketleri iki farklı senaryoda şifrelenmektedir. İlk olarak, Modbus/TCP protokolünün PDU alanı; ikinci olarak ise Modbus/TCP ADU alanı şifrelenmektedir. Her iki senaryoda da IP ve TCP başlık alanları şifrelenmemektedir. Tez çalışmasında, Python programlama dili ile aynı boyutta iki farklı fonksiyona ait Modbus/TCP paketleri oluşturulmuş, yedi adet hafif sıklet şifreleme algoritması ve şifreleme standardı olan AES algoritması ile oluşturulan bu paketler gönderen tarafta şifrelenmiş olup alıcı tarafta ise paketlerin şifresi çözülmüştür. Gönderilen Modbus/TCP paketleri Modbus fonksiyon kodu 15 olan Write Multiple Coils ve Modbus fonksiyon kodu 16 olan Write Multiple Register fonksiyonlarının verilerini içermektedir. Modbus/TCP verilerinin şifrelenmesi, gizlilik parametresinin gerçekleştirilmesini sağlamaktadır. Ancak, paketin değiştirilip değiştirilmediğinin ve tekrar gönderilip gönderilmediğinin bilgisine karşın bir çözüm sunmamaktadır. Bu hususta; bütünlük kontrolü için HMAC kodu ve tekrar gönderimin tespiti için nonce değeri önerilen modül üzerinde şifreleme esnasında Modbus/TCP paketine eklenmektedir. Bu eklenen iki özellikten alıcı taraftaki modül üzerinde öncelikle HMAC koduna bakılır, eğer hesaplanan değer ile uyuşmuyorsa paketin hedefe iletilmesi engellenir. Eğer HMAC kodu ve hesaplanan değer uyuşuyorsa bu sefer paketin şifresi çözülür ve nonce değeri kontrol edilir. Eğer nonce değeri daha önce gönderilen bir değer ise paketin hedefe ulaşması yine engellenir. Ancak daha önce gönderilmemiş bir değer ise paket başarıyla hedefe yönlendirilir. Çalışmada, Modbus master ve Modbus slave cihazlarını temsil etmek için bilgisayarlar üzerinde benzetim programları ve iki adet önerilen modül kullanarak test ortamı oluşturulmuştur. Önerilen şifreleme modülleri, bilgisayarlar arasında yerleştirilerek şifreleme ve şifre çözme için uygun ortam hazırlanmıştır. Önerilen modül çalıştırıldığında kullanıcıdan şifreleme algoritmasını ve şifreleme modunu seçmesini istemektedir. Performans testleri yapılmak üzere, her bir şifreleme algoritması ve şifreleme modu Modbus master cihazından 100 adet aynı boyutlu Write Multiple Coils paketi ve 100 adet aynı boyutlu Write Multiple Register paketi slave cihaza doğru gönderilmiştir. Gönderilen paketler, gönderici taraftaki modül üzerinde şifrelenmiş ve alıcı taraftaki modül üzerinde şifresi çözülmüştür. Tüm bu işlemler yapılırken şifreleme ve şifre çözme işlem süreleri kayıt altına alınmış olup çalışmada detaylı olarak verilmiştir. Yapılan ölçümler neticesinde işlem sürelerinin farklılıkları değerlendirilmiş olup kullanılan donanım, şifreleme algoritması, şifreleme modu ve Modbus fonksiyonu seçimlerinin performansa etkisi karşılaştırılmıştır. Ölçüm sonucunda elde edilen sürelere bakıldığında; AES, Grain, Simon ve XTEA algoritmalarının diğer şifreleme algoritmalarına göre hız açısından öne çıktığı görülmektedir. AES algoritması hafif sıklet şifreleme algoritması olmamasına rağmen bazı hafif sıklet şifreleme algoritmalarından üstün performans göstermiştir. Bu durumun sebebi, AES algoritmasının donanım hızlandırması desteğine sahip olmasıdır. Ayrıca, Raspberry Pi 4 ve Orange Pi R1 LTS Plus cihazlarının performansları karşılaştırıldığında Raspberry Pi 4 cihazının öne çıktığı da görülmektedir. Raspberry Pi 4 cihazının daha üstün donanım özelliklerine sahip olduğu göz önüne alındığında bu durumun normal olduğu anlaşılmaktadır. Elde edilen sonuçlar değerlendirildiğinde, hafif sıklet şifreleme algoritmalarının önerilen modüller kullanılarak Modbus/TCP paketleri üzerinde uygulanmasının performans bakımından kabul edilebilir bir işlem maliyeti oluşturduğu sonucuna varılmıştır. Şifreleme ve şifre çözme sürelerinin milisaniyeler boyutunda olması önerilen modülün gerçek zamanlı çalışan endüstriyel kontrol sistemlerinde kullanılabilir olduğunu göstermektedir. Ayrıca, üzerinde işlem yapılan Modbus/TCP paketinin boyutu sabit olsa dahi şifreleme sürelerinin değişken olabileceği ve bunun sebebinin algoritmaların yapısı, kullanılan donanım, sistemin o anki iş yükü gibi etkenlerle bağlantılı olduğu da çalışmada gösterilmiştir. Sonuç olarak bu tez çalışması, Modbus/TCP tabanlı endüstriyel ağ ortamında güvenliği artırmak için Raspberry Pi 4, Orange Pi R1 LTS Plus ve hafif sıklet şifreleme algoritmalarının kullanılanabilir olduğunu deneysel çalışmalar ile ortaya koymaktadır. Ek olarak, Modbus/TCP protokolüne eklenen alanlar ile birlikte güvenlik katmanı oluşturulmakla birlikte ortadaki adam, yeniden gönderme, yetkisiz erişim, hizmet reddi gibi saldırılara karşı koruma sağladığı gösterilmektedir. Son olarak bu çalışma, EKS güvenliği konusunda literatüre katkı sunarak gelecekte yapılacak donanım tabanlı çalışmalara temel oluşturmaktadır.