Bölüm 79: Sensör Ağı Uygulamaları

Laboratuvarda görülemeyecek şeyleri ölçtüler. Bozuldukları yerler de laboratuvarda görülemeyecek türdendi. Bu bölüm beş saha çalışmasıyla başlıyor; her biri bir bilim sorusuna cevap aradı ve ağ tasarımına bir ders bıraktı. Ardından bugünün uzun menzilli seçeneklerini tartacağız ve bu ağlara özgü saldırılarla bitireceğiz.

Bir adada kuş yuvaları

2002 yazında Berkeley’den bir ekip, Maine kıyısının yaklaşık 15 mil açığındaki Great Duck Island’a sensör düğümleri taşıdı. Soru biyologlarındı. Yuvasını toprağın altına kazan küçük bir deniz kuşu olan fırtına kırlangıcı yuvasında ne zaman kalıyor, yuvanın içinde sıcaklık ve nem nasıl değişiyor? Böyle koloniler insan ziyaretine çok duyarlı. Makalenin aktardığı bir gözleme göre bir karabatak kolonisine yapılan 15 dakikalık bir ziyaret, yuvalarda %20’ye varan kayba yol açabiliyordu. Gözlemci yaklaştıkça ölçtüğü şeyi bozuyordu.

Ağ kademeli kuruldu. Yuvaların yoğun olduğu bölgelere serpilen düğümler ölçümlerini bir ağ geçidine, ağ geçidi adadaki baz istasyonuna aktardı. Oradan veri, araştırma istasyonundaki bir dizüstü bilgisayara, oradan da uydu bağlantısıyla Kaliforniya’daki laboratuvara gitti. Tasarımın açık bir şartı vardı: baz istasyonu internetle bağlantısı koptuğunda da çalışmaya devam etmeli, veriyi saklayıp bağlantı dönünce göndermeliydi. Zincirdeki her halka ayrı ayrı kopabiliyordu ve her halka elindekini saklayarak bir sonrakini bekliyordu.

2003’te ağ büyüdü: 50 düğümlük tek sekmeli ağın yanına 100 düğümlük çok sekmeli bir ağ eklendi ve ikinci kuşak 150 düğüme ulaştı. Sensörlerin söylediğini doğrulamak için yuvalara bakan kızılötesi kameralardan oluşan ayrı bir ağ da kuruldu. Bir sensör ağının ölçtüğünün doğru olup olmadığını bilmenin tek yolu, onu başka bir yolla ölçmekti.

Bir ağacın gövdesinde

Kaliforniya’da 70 metre boyunda bir kıyı sekoyasının gövdesine, iki metrede bir olmak üzere 33 düğüm yerleştirildi. Her düğüm beş dakikada bir hava sıcaklığını, bağıl nemi ve bitkinin fotosentezde kullanabildiği ışığı ölçtü. Ağ 44 gün çalıştı ve 820.700 veri noktası topladı. Araştırmacılar buna makroskop dediler: bir ağacın çevresindeki iklimi hem zamanda hem mekânda sık aralıklarla gösteren bir alet.

Ölçümler, tek bir istasyonun asla göremeyeceği şeyler gösterdi. Aynı anda ağacın farklı yüksekliklerindeki bağıl nem arasında 40 puana varan fark vardı. Nem ölçümlerinin dağılımında %100’de ikinci bir tepe çıktı; Kaliforniya kıyısında yaz başında sık görülen sis, dağılımda kendi imzasını bırakmıştı.

Ağ tarafının haberi daha az parlaktı: toplam verim %49’du. Beklenen ölçümlerin yarısından fazlası hiç gelmedi ve arızalar pillerin tükenmesiyle ilişkiliydi. Bilim sorusunun cevabı yine de çıktı, ama 75. bölümdeki pil hesabının sahada kâğıttaki kadar temiz işlemediğini hatırlattı.

Bir yanardağın eteğinde

Ekvador’daki etkin Reventador yanardağının eteğine 16 düğüm kuruldu ve 19 gün çalıştı. Her düğüm sismik ve akustik sinyali saniyede 100 kez örnekledi. Yanardağ sismolojisinin sorusu belli: bir sarsıntının dalga biçimi eksiksiz ve farklı noktalardaki kayıtlar birbirine göre doğru zamanlanmış olmalı.

Sürekli örneklenen verinin tamamını çok sekmeli bir 802.15.4 ağından geçirmek mümkün değildi. Çözüm, 75. bölümdeki olayla tetiklenen teslimdi. Düğümler örnekleri kendi belleklerinde tutuyor, üzerlerinde basit bir olay sezme algoritması çalıştırıyordu. Yeterince düğüm aynı anda ilginç bir sarsıntı gördüğünde baz istasyonu o zaman aralığının verisini düğümlerden güvenilir bir aktarımla indiriyordu. Ağ 19 günde 229 deprem, patlama ve benzeri olay yakaladı. Zamanlama için 78. bölümdeki FTSP ve bir GPS alıcısı kullanıldı.

Çalışmanın başlığı dersini de özetliyor: sadakat ve verim. Ağ araştırmacısının alışık olduğu ölçüt, iletilen paketlerin oranı. Sismoloğun ölçütü ise başka: olayın dalga biçimi eksiksiz mi, zaman damgaları doğru mu? Baz istasyonunun elektrik kesintileri ve üç gün süren bir yazılım hatası dışarıda bırakılınca düğümler zamanın %96’sından fazlasında ayaktaydı. Ağ sağlıklı görünüyordu; asıl soru, bu sağlığın bilime ne kadarının yansıdığıydı.

Bir köprünün üstünde

2006’nın Temmuz ile Ekim ayları arasında Golden Gate Köprüsü’nün 1.280 metrelik ana açıklığına ve güney kulesine 64 düğüm yerleştirildi. Amaç, köprünün rüzgâr ve trafik gibi kaynaklardan gelen ortam titreşimlerini ölçmekti. Bu kez ölçüm çok daha hızlıydı: düğümler saniyede 1.000 örnek alıyor ve örnekleme anları birbirinden 10 mikrosaniyeden az sapıyordu.

Bu ağın asıl ilginç yanı şekliydi. Düğümler köprü boyunca tek bir çizgi üzerindeydi ve en uzaktaki düğümün verisi baz istasyonuna 46 sekmede ulaşıyordu. Zincir biçimli bir ağda bir düğüm konuşurken bir sonraki onu dinlemek zorunda, iki sonraki ise konuşursa bir sonrakinin alışını bozar; 30. bölümdeki gizli terminal sorununun zincirdeki hâli bu. Aynı anda ancak birbirinden birkaç düğüm uzaktaki düğümler konuşabilir.

Straw adlı aktarım protokolü bunu bir boru hattına çevirdi. Kaynak paketleri, girişimi önleyecek kadar aralıklı gönderiyordu; dördüncü sekmeden sonra zincirin farklı yerlerinde aynı anda birden çok paket ilerlemeye başladı. Paket aralığı sabit kaldığı için bant genişliği dördüncü sekmeden kırk dördüncüye kadar neredeyse hiç düşmedi. 46. sekmedeki düğüm için bu değer saniyede 441 bayttı. Az görünüyor, ama zincir uzadıkça sıfıra gitmek yerine sabit kalan bir sayı. Çok sekmeli bir ağda sekme sayısıyla bant genişliği arasındaki bağı tasarım belirliyor.

Tarlada: Murphy’nin patatesleri

Hollanda’da Delft Teknik Üniversitesi’nden bir ekip, bir patates tarlasına yaklaşık 100 düğüm kurdu. Amaç tarladaki nem ve sıcaklığı izleyerek hassas tarıma veri sağlamaktı. 2006’da yayımlanan makalenin başlığı, işlerin nasıl gittiğini kendisi anlatıyor: Murphy patatesleri sever. Ters gidebilecek her şey ters gitti.

Makalenin kendi değerlendirmesi dürüst: pilot, başlangıçtaki araştırma sorularını cevaplayamadı. Onun yerine, çalışmalarını yalnızca benzetimle değerlendiren araştırmacıların genellikle gözden kaçırdığı mühendislik sorunlarını ortaya çıkardı. Beş saha çalışmasının belki de en öğretici cümlesi bu.

Fabrikada: kesin zamanlama

Fabrika ortamının istekleri tarladakinden farklı. Bir süreç kontrol döngüsünde ölçüm belli bir süre içinde gelmek zorunda; geç gelen ölçüm gelmeyen ölçümden farksız. Metal borular, dönen makineler ve yansımalar ise 31. bölümdeki çok yollu yayılımı en ağır hâliyle yaşatıyor.

Bu yüzden sanayi, 76. bölümdeki zaman bölmeli ve kanal atlamalı yaklaşımı seçti. Eylül 2007’de HART 7 sürümüyle yayımlanan WirelessHART, 2010’da IEC 62591 adıyla uluslararası standart oldu. ISA100.11a 2009’da yayımlandı ve 2014’te IEC 62734 oldu. İkisinin de temel vaadi aynı: her bağlantıya önceden ayrılmış bir zaman dilimi, dilimden dilime değişen bir kanal ve dolayısıyla öngörülebilir bir gecikme.

Çok uzağa, çok az: geniş alan seçenekleri

75. bölümde bir soruyu bu bölüme bırakmıştık: çok sekmeli bir ağ kurmak yerine her düğüm doğrudan kilometrelerce uzaktaki bir toplayıcıya konuşsa? Düşük güçlü geniş alan ağlarının üç büyük temsilcisi bu soruya üç farklı cevap veriyor.

LoRaWAN. Semtech 2012’de LoRa radyosunu geliştiren Fransız Cycleo şirketini satın aldı; LoRaWAN’ın ilk sürümü Haziran 2015’te yayımlandı. Radyonun anahtarı yayılma faktörü: bir biti daha uzun bir sinyale yayarak alıcının onu gürültünün altından bile çıkarabilmesini sağlıyor. Bedeli havada kalma süresi. 12 baytlık bir ölçüm, LoRaWAN başlıklarıyla 25 bayt ediyor. Semtech’in yayımladığı formülle hesaplanınca:

Her adım süreyi kabaca ikiye katlıyor; SF12, SF7’nin yaklaşık 24 katı. Avrupa’da 868 MHz bandında bir cihaz alt banda göre zamanın %0,1 ile %10’u kadar gönderebiliyor ve sensörlerin kullandığı alt bantta sınır tipik olarak %1. SF12’de 1,5 saniyelik bir gönderimden sonra yaklaşık iki buçuk dakika susmak gerekiyor.

ABD’de görev döngüsü sınırı yok ama her gönderim bir kanalda en fazla 400 milisaniye sürebiliyor. Tablonun SF10 satırı bu sınırın hemen üstünde: 12 baytlık ölçüm 411,6 ms sürüyor, 11 bayt ise 370,7 ms’ye sığıyor. Bu yüzden ABD’de LoRaWAN cihazları yukarı yönde SF11 ve SF12’yi hiç kullanmıyor ve en yavaş hızda gönderilebilecek uygulama verisi 11 baytla sınırlı. Bir yönetmelik maddesi, bir protokolün en büyük paket boyunu belirlemiş oluyor.

NB-IoT. 3GPP, Haziran 2016’da dondurulan 13. sürümünde hücresel ağa dar bantlı bir kip ekledi. NB-IoT tek bir 180 kHz’lik blok kullanıyor ve bu blok bir LTE taşıyıcısının içine, koruma bandına ya da tek başına yerleştirilebiliyor. Kapsamayı belirleyen sayı, cihazla baz istasyonu arasında göze alınabilecek en büyük kayıp: 164 dB, yani GPRS’ten 20 dB, güç olarak 100 kat fazla. Hedef, bodrum katındaki bir su sayacına ulaşmak. Pili korumak için cihaz, ağa kaydını bozmadan uzun süre ulaşılamaz olmayı (PSM) ya da çağrıları çok seyrek dinlemeyi (eDRX) seçebiliyor; eDRX’te boşta iki dinleme arası 43,69 dakikaya kadar uzuyor. Tasarım hedefi, günde 200 bayt gönderen bir cihazın 5 watt-saatlik bir pille 10 yıldan fazla çalışması. Hesap yapınca bu, ortalama 57 mikrowatt’lık bir tüketim demek.

Sigfox. Ters yönden gitti: sinyali yaymak yerine son derece dar bir kanala sıkıştırdı. Her mesaj yalnızca 100 Hz genişliğinde bir kanalda, saniyede 100 bitle gönderiliyor. 53. bölümde termal gürültünün hertz başına −174 dBm olduğunu ve bant genişliğiyle büyüdüğünü görmüştün. 100 Hz’lik bir kanala giren gürültü, 125 kHz’lik bir LoRa kanalına girenden 31 dB az. LoRa gürültünün altından okumayı öğreniyor, Sigfox gürültünün kendisini küçültüyor. Bedeli katı sınırlar: günde en fazla 140 yukarı ve 4 aşağı mesaj; yukarı mesaj 12, aşağı mesaj 8 bayt. Güvenilirlik için her mesaj üç kez, farklı frekanslarda gönderiliyor.

Sigfox’un hikâyesinin bir de iş tarafı var. Ağı tek bir şirket işletiyordu ve hedef bir milyar cihazdı. Ocak 2022’de şirket mahkeme koruması altına girdiğinde ağda yaklaşık 17 milyon cihaz vardı; Nisan 2022’de Toulouse’daki mahkeme şirketi Singapurlu UnaBiz’e devretti. On yıl çalışacak diye tasarlanan bir sayaç için ağın kendisinin on yıl yaşayıp yaşamayacağı da bir tasarım sorusu.

Seçim çoğu zaman teknik tablodan önce sahada yapılıyor. Kapsama olmayan bir tarlada kendi ağ geçidini kurabilmek LoRaWAN’ı öne çıkarıyor. Bodrumdaki sayaç için 164 dB’lik kapsama ve operatörün hazır altyapısı NB-IoT’yi. Fabrikanın içinde öngörülebilir gecikme gerekiyorsa cevap bu üçünden biri değil, WirelessHART ya da ISA100.11a.

Sensör ağına özgü saldırılar

İnternetteki bir sunucu kilitli bir odada duruyor. Sensör düğümü ise tarlada, köprüde, ağacın gövdesinde. Saldırgan onu yerinden alıp belleğini okuyabilir. Bu ağlarda güvenliğin ilk varsayımı bu yüzden farklı: düğümlerden bazıları ele geçirilecek.

Bağlantı katmanında koruma. 802.15.4, frame’leri 128 bitlik AES ile korumak için sekiz güvenlik düzeyi tanımlıyor. Kullanılan kip CCM*, 9. bölümdeki GCM’nin akrabası: şifrelemeyi yine CTR kipiyle yapıyor, bütünlük etiketini ise CBC-MAC denen yöntemle hesaplıyor. Düzeyler yalnızca bütünlükten yalnızca şifrelemeye ve ikisine birden uzanıyor; etiket 4, 8 ya da 16 bayt seçilebiliyor. 127 baytlık bir frame’de bu küçük bir pay değil.

Her frame 4 baytlık bir sayaç taşıyor ve bu sayaç nonce’un parçası. 9. bölümde CTR kipinde aynı sayacın iki kez kullanılmasının neden felaket olduğunu görmüştün. Bir düğüm pil değişiminden sonra sayacını sıfırdan başlatırsa iki kötü sonuçtan biri çıkıyor: alıcı yeni frame’leri tekrar saldırısı sanıp reddediyor ya da aynı anahtarla aynı nonce yeniden kullanılıyor. Sayacın kalıcı belleğe yazılması bu yüzden bir ayrıntı değil.

Anahtarı nereden bulacaklar? 9. bölümde adı konan anahtar dağıtımı sorunu burada daha sert. Bütün ağa tek bir anahtar vermek, tek bir düğüm yakalandığında bütün ağı açmak demek. Her düğüm çiftine ayrı bir anahtar vermek ise 10.000 düğümlük bir ağda her düğüme 9.999 anahtar yüklemek demek. 2002’nin düğümlerinde 10. bölümdeki açık anahtarlı yöntemler de fazla pahalı görülüyordu.

Eschenauer ve Gligor 2002’de olasılığa dayanan bir yol önerdi. Büyük bir anahtar havuzundan her düğüme rastgele birkaç anahtar yükleniyor. Sahada iki komşu ortak bir anahtarları olup olmadığını karşılaştırıyor; varsa onu kullanıyor, yoksa ortak anahtarı olan komşular üzerinden bir yol anahtarı kuruyor. Sayılar şaşırtıcı:

Her komşu çiftinin ortak anahtarı olmaması sorun değil. Rastgele çizgeler kuramı, her düğümün yeterince komşusu varsa ağın bütün olarak bağlı kaldığını söylüyor. Bir düğüm yakalandığında saldırgan 100 anahtar ele geçiriyor; başka iki düğüm arasındaki herhangi bir bağlantının bu anahtarlardan biriyle korunuyor olma olasılığı yalnızca %1 civarında.

Yönlendirmeye saldırmak. Karlof ve Wagner 2003’te sensör ağlarının yönlendirme protokollerine yönelik saldırıları sınıflandırdı ve o güne kadar bilinen bütün büyük protokollerde ağır açıklar gösterdi. Tablodaki ilk iki saldırı sınıfını ilk kez onlar tanımladı:

77. bölümdeki RPL’de sinkhole’un karşılığı açık: kök gibi düşük bir rank ilan eden bir düğüm, komşularını ebeveyni olmaya ikna edebilir. Karlof ve Wagner’in en öğretici bulgusu ise bağlantı katmanı şifrelemesinin sınırı. Şifreleme dışarıdan birinin ağa katılmasını engelliyor. Ama wormhole ve HELLO flood meşru paketleri olduğu gibi aktarıyor ya da yüksek güçle yeniden yayıyor; şifrelemenin bunları durdurmak için söyleyecek bir şeyi yok.

Cihaz güvenliği ve yasa. 50. bölümde Mirai’nin varsayılan parolası değiştirilmemiş kameralar ve kayıt cihazlarıyla Dyn’e saldırdığını görmüştün. Botnet’i ayrıntıyla inceleyen çalışmaya göre en yüksek noktasında yaklaşık 600 bin cihaz enfekteydi. Mirai’nin kullandığı zayıflık bir yazılım hatası bile değildi: fabrikadan bilinen bir parolayla çıkan ve sahibinin hiç değiştirmediği cihazlar.

Bu zayıflık artık yasalarla kapatılmaya çalışılıyor. Birleşik Krallık’ın PSTI yasası 29 Nisan 2024’te yürürlüğe girdi: tahmin edilebilir ya da bütün cihazlarda ortak olan varsayılan parolalar yasak, üretici cihazın ne kadar süre güvenlik güncellemesi alacağını açıklamak ve açık bildirimi için bir iletişim noktası sunmak zorunda. Cezası 10 milyon sterline ya da dünya çapındaki cironun %4’üne kadar çıkabiliyor. Avrupa Birliği’nin Siber Dayanıklılık Yasası 10 Aralık 2024’te yürürlüğe girdi. Üreticilerin bildirim yükümlülükleri 11 Eylül 2026’da başladı; asıl yükümlülükler 11 Aralık 2027’de uygulanacak ve cezalar 15 milyon avroya ya da cironun %2,5’ine kadar çıkabiliyor.

Özet

• Saha, benzetimin göremediğini gösterir: Great Duck Island kademeli ve bağlantı kopmasına dayanıklı bir mimariyle, sekoya ağı %49’luk verimle, Murphy’nin patatesleri hiç cevaplanamayan sorularla bunu gösterdi.
• Bilimin ölçütü ağınkinden farklıdır: Reventador’da önemli olan paket oranı değil, olayın eksiksiz ve doğru zamanlanmış kaydıydı; olayla tetiklenen aktarım sınırlı bant genişliğini doğru yere harcadı.
• Zincirde bant genişliğini tasarım belirler: Golden Gate’te boru hattı, 46 sekmelik bir zincirde bant genişliğini dördüncü sekmeden sonra sabit tuttu.
• Geniş alan seçenekleri farklı fiziklere dayanır: LoRa yayarak gürültünün altından okur, Sigfox kanalı daraltarak gürültüyü azaltır, NB-IoT operatör ağında 164 dB kayba dayanır. Bölgesel kurallar paket boyuna kadar her şeyi etkiler.
• Düğümün yakalanacağını varsay: rastgele anahtar ön dağıtımı tek düğümün kaybını sınırlar; bağlantı katmanı şifrelemesi wormhole ve HELLO flood’u durdurmaz; μTESLA asimetriyi zamandan elde eder.

Buraya kadarki bütün düğümler yerinde duruyordu: yuvanın ağzında, ağacın gövdesinde, köprünün kirişinde. Düğüm bir zebranın boynunda, bir aracın içinde ya da birinin cebinde olursa ne değişir? Yol her an kopabiliyorsa veri hedefine nasıl ulaşır?