Akıllı fabrikalarda IIoT ağ geçidi (Gateway) ve kablosuz sensör güvenliği: MQTT TLS şifreleme, sertifika yönetimi ve uç nokta koruma yöntemleri rehberi.
Hızlı Özet (TL;DR)
Endüstri 4.0, kestirimci bakım (Predictive Maintenance) ve canlı enerji/üretim izleme dönüşümüyle birlikte fabrikalarda titreşim, rulman sıcaklığı, hidrolik basınç, nem ve reaktif güç ölçen yüzlerce Endüstriyel IoT (IIoT) sensörü ve uç ağ geçidi (Edge Gateway) devreye alınmaktadır. Ancak bu sensörlerin büyük çoğunluğu düşük güç tüketimi ve düşük maliyet odaklı üretildiği için güçlü kriptografik işlemcilere sahip değildir; topladıkları verileri doğrudan fabrika ağına veya buluta bağlı IoT Gateway cihazlarına iletirler. Siber güvenlik sıkılaştırması yapılmamış tek bir IIoT ağ geçidinin ele geçirilmesi; saldırganın sahte sensör verisi enjekte ederek kestirimci bakım algoritmalarını yanıltmasına, üretim hattını durdurmasına veya bu cihazı bir sıçrama tahtası (Pivot Point) olarak kullanarak fabrikanın ana ERP ve PLC ağına sızmasına yol açar.
Akıllı Fabrikalarda IIoT Saldırı Yüzeyi Neden Hızla Büyüyor?
Geçmişte bir fabrikanın dış dünyayla tek bağlantısı bilgi işlem odasındaki kurumsal güvenlik duvarıydı. Bugün ise enerji izleme firmasından gelen 4G/LTE modemli bir pano, kompresör üreticisinin uzaktan bakım için taktığı bulut bağlantılı bir IoT kutusu veya bakım ekibinin motorların üzerine yapıştırdığı Bluetooth/LoRaWAN kablosuz titreşim sensörleri, geleneksel IT güvenlik duvarlarını tamamen baypas eden Gölge OT (Shadow OT) bağlantı noktaları oluşturmaktadır.
Sahada yaptığımız endüstriyel siber güvenlik denetimlerinde IIoT ekosisteminde en sık karşılaştığımız 4 temel zafiyet şunlardır:
- Fabrika Varsayılan Şifreleri (Default Credentials): Panolara monte edilen endüstriyel Linux tabanlı gateway cihazlarının, seri-Ethernet dönüştürücülerin ve Node-RED panellerinin
admin / adminveyaroot / 123456parolalarıyla bırakılması. - Şifresiz Telemetri Protokolleri: MQTT (Port 1883), HTTP ve Modbus TCP üzerinden akan üretim ve enerji verilerinin ağ üzerinde tamamen açık metin olarak dolaşması.
- Unutulmuş ve Yamalanmayan Gömülü Linux Sistemleri: Saha veri toplama kutularının (Raspberry Pi, endüstriyel ARM PC’ler) kurulduktan sonra 5 yıl boyunca tek bir işletim sistemi veya OpenSSL güvenlik güncellemesi almaması.
- Dışarıdan İçeriye Doğrudan Port Yönlendirme (Port Forwarding) ve 4G Modemler: Makine tedarikçilerinin güvenlik duvarı kurallarıyla uğraşmamak için panoya SIM kartlı bir 4G router takarak fabrikanın iç PLC ağını doğrudan internete köprülemesi.
IIoT Ağ Katmanları ve Uçtan Uca Güvenlik Önlemleri Tablosu
Bir sensörün fiziksel ölçüm yaptığı noktadan başlayarak verinin Üretim Takip Yazılımı (MES) veritabanına yazıldığı ana kadar geçen 5 katmanlı IIoT mimarisinde uygulanması gereken zorunlu güvenlik kontrolleri:
| IIoT Mimarisi Katmanı | Kullanılan Donanım ve Protokoller | Temel Siber Güvenlik Riski | Zorunlu Mühendislik ve Güvenlik Önlemi |
|---|---|---|---|
| 1. Fiziksel Algılama ve Sensör Katmanı | 4-20mA, PT100, IO-Link, RS-485 (Modbus RTU) | Fiziksel kabloya müdahale, sahte analog/dijital sinyal enjeksiyonu | Zırhlı kablo tavaları, kilitli saha panoları, sensör sınır değeri (Plausibility) doğrulaması |
| 2. Kablosuz Saha Ağı Katmanı | LoRaWAN, Zigbee, BLE, Endüstriyel Wi-Fi (802.11ax) | Frekans karıştırma (Jamming), sahte sensör düğümü ekleme, paket dinleme | LoRaWAN AES-128 AppKey/NwkKey ayrımı, Wi-Fi WPA3-Enterprise (802.1X RADIUS) |
| 3. Uç Ağ Geçidi (Edge Gateway) Katmanı | Endüstriyel ARM/x86 IPC, Moxa, Teltonika, Siemens IOT2050 | SSH/Web arayüzünün kırılması, SD kartın sökülüp kopyalanması, zararlı yazılım | TPM 2.0 çipi, Secure Boot, Tam Disk Şifreleme (LUKS), Read-Only RootFS, SSH Anahtarı |
| 4. Mesajlaşma ve Taşıma Katmanı | MQTT, AMQP, CoAP, HTTPS REST API, OPC UA Pub/Sub | Araya girme (MitM), sahte telemetri yayınlama, Broker’ı DoS ile kilitleme | MQTTS (TLS 1.3 - Port 8883), Karşılıklı Sertifika Doğrulama (mTLS), Topic ACL |
| 5. Uygulama ve Analitik Katmanı | MQTT Broker (EMQX/Mosquitto), Time-Series DB, Maysa MES/OEE | SQL/NoSQL Injection, yetkisiz API sorguları, veri zehirleme (Data Poisoning) | DMZ üzerinde izole Broker, JWT / API Token rotasyonu, hız sınırlama (Rate Limiting) |
Güvenli MQTT Yapılandırması (MQTTS ve mTLS Mimarisi)
Endüstriyel IoT dünyasının standart mesajlaşma omurgası MQTT (Message Queuing Telemetry Transport) protokolüdür. Yayınla/Abone Ol (Publish/Subscribe) mantığıyla çalışan bu mimaride, sahadaki tüm gateway cihazları verilerini merkezi bir MQTT Broker sunucusuna gönderir.
Eğer MQTT Broker standart TCP 1883 portundan şifresiz ve anonim olarak çalıştırılırsa, ağa bağlanan herhangi biri mosquitto_sub -h broker_ip -t "#" komutuyla fabrikadaki tüm tezgâhların üretim adetlerini, kalıp kodlarını ve arıza durumlarını canlı olarak izleyebilir; hatta mosquitto_pub komutuyla sahte duruş veya reçete verisi basabilir.
Kurumsal Seviyede MQTTS Sıkılaştırma Adımları
Gerçek bir endüstriyel kurulumda MQTT altyapısı şu 4 kuralla zırhlandırılır:
- TLS 1.3 Şifreleme (Port 8883) Zorunluluğu: Şifresiz 1883 portu tamamen kapatılır. Tüm telemetri trafiği TLS 1.2 veya TLS 1.3 kriptografisiyle uçtan uca şifrelenerek 8883 (veya güvenli WebSocket için 8084) portundan taşınır.
- Karşılıklı Kimlik Doğrulama (Mutual TLS - mTLS): Sadece kullanıcı adı ve parola kullanmak, parola bir kez sızdığında tüm ağın tehlikeye girmesi demektir. mTLS mimarisinde şirketin kendi yerel Sertifika Otoritesi (Internal PKI / CA) tarafından her bir Edge Gateway cihazı için tekil bir X.509 İstemci Sertifikası (Client Certificate) üretilir. Geçerli dijital sertifikası olmayan yabancı bir cihaz, doğru şifreyi bilse dahi MQTT Broker ile el sıkışamaz (TLS Handshake reddedilir).
- Konu Bazlı Erişim Kontrol Listesi (Topic ACL): Her gateway yalnızca kendi sorumlu olduğu üretim hattının konusuna (Topic) veri yazabilir. Örneğin
gateway-enjeksiyon-04sertifikasıyla bağlanan bir cihaz yalnızcafabrika/atolyeler/enjeksiyon/makine04/telemetrikonusuna Publish (Yazma) yapabilir; diğer makinelerin konularına yazması veya tüm fabrikayı (#wildcard ile) Subscribe (Okuma) etmesi Broker tarafından engellenir. - Payload Şema ve Sınır Doğrulaması (Schema Validation): Ağ geçidinden gelen JSON paketinin beklenen veri tipinde ve mantıklı mühendislik sınırlarında olduğu uygulama katmanında denetlenir; aşırı büyük (Oversized Payload) paketler bellek taşmasını önlemek için reddedilir.
Edge Gateway Cihazlarında Donanımsal Güvenlik: TPM 2.0 ve Secure Boot
Üretim sahasındaki IIoT ağ geçitleri, kilitli bilgi işlem odalarında değil; tozlu, sıcak ve herkesin fiziksel olarak ulaşabileceği makine kenarlarındaki panolarda çalışır. Kötü niyetli bir kişi panoyu açıp gateway cihazının içindeki eMMC/SD bellek kartını sökerek bilgisayarına takarsa, kartın içindeki Wi-Fi şifrelerini, TLS özel anahtarlarını (Private Keys) ve kaynak kodlarını saniyeler içinde kopyalayabilir.
Bunu engellemek için sahada hobi amaçlı geliştirme kartları yerine, üzerinde donanımsal TPM 2.0 (Trusted Platform Module) güvenlik çipi bulunan endüstriyel sınıf ağ geçitleri kullanılmalıdır:
- Donanımsal Anahtar Saklama: Cihazın mTLS özel anahtarı dosya sisteminde açık bir
.keydosyası olarak değil, doğrudan TPM 2.0 çipinin kriptografik kasası içinde saklanır. Çip anakarttan sökülse bile anahtar dışarı çıkarılamaz. - Güvenli Açılış (Secure Boot) ve Salt-Okunur Dosya Sistemi: Cihaz her enerji verildiğinde önyükleyici (Bootloader) ve Linux çekirdeğinin dijital imzası TPM tarafından doğrulanır. İşletim sisteminin kök dizini (RootFS) Salt-Okunur (Read-Only) olarak bağlanır; böylece hem ani elektrik kesintilerinde dosya sistemi bozulmaz hem de cihaza kalıcı bir arka kapı (Rootkit) yazılamaz.
IIoT Ağ Segmentasyonu ve Güvenli OTA (Uzaktan Firmware Güncelleme)
IIoT sensör ve ağ geçitleri asla kurumsal ofis VLAN’ına veya doğrudan kritik PLC kontrol VLAN’ına yerleştirilmemelidir. Savunma Sanayii ve İmalat Ağ Güvenliği standartlarına uygun olarak, sensör ağ geçitleri için izole bir IIoT Telemetri VLAN’ı oluşturulur. Bu VLAN’daki cihazların internete çıkışı tamamen kapatılır; yalnızca DMZ bölgesinde yer alan yerel MQTT Broker veya CNC Makine Veri Toplama sunucusunun 8883 portuna tek yönlü paket göndermelerine izin verilir.
Ağ geçitlerinin işletim sistemi ve yazılım güncellemeleri (OTA - Over-the-Air Updates) ise doğrudan internetten değil, fabrikanın kendi iç ağındaki yerel güncelleme sunucusundan kriptografik olarak imzalanmış paketlerle gerçekleştirilir.
Akıllı fabrika dönüşümünüzde güvenli IIoT telemetri, canlı OEE ve sahadan veri toplama mimarileri kurmak için Özel Yazılım Geliştirme ve endüstriyel ağ izolasyonu için Güvenlik Duvarı Firewall sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Fabrikada üretim verisi toplamak için Raspberry Pi gibi hobi kartları kullanmak güvenli midir?
Standart Raspberry Pi modelleri; SD kart bozulmaları, geniş çalışma sıcaklığı (-40°C / +85°C) dayanımının olmaması, 24V endüstriyel besleme/EMC korumasının bulunmaması ve dahili TPM güvenlik çipi eksikliği nedeniyle kritik üretim hatlarında doğrudan kullanılmamalıdır. Eğer ARM tabanlı bir mimari tercih edilecekse, endüstriyel sertifikalı (CE/UL), alüminyum DIN-ray kasalı, eMMC bellekli ve donanımsal TPM 2.0 çipine sahip endüstriyel Edge Gateway modelleri seçilmelidir.
Kablosuz LoRaWAN sensörleri fabrika içindeki Wi-Fi ağımızı yavaşlatır mı veya siber risk oluşturur mu?
LoRaWAN protokolü Wi-Fi’nin kullandığı 2.4 GHz veya 5 GHz bandını değil, Türkiye’de lisanssız endüstriyel bant olan 868 MHz (EU868) frekansını kullanır; bu nedenle Wi-Fi ağınızla hiçbir sinyal çakışması yaratmaz ve beton/metal engellerden çok daha kolay geçer. Güvenlik açısından LoRaWAN, ağ katmanında (NwkSKey) ve uygulama katmanında (AppSKey) çift kademeli AES-128 şifreleme kullanır. Ancak bulut tabanlı halka açık LoRaWAN sunucuları yerine, fabrikanın kendi yerel ağında çalışan Private LoRaWAN Network Server kurulması veri gizliliği için şarttır.
Makine üreticisinin panoya koyduğu 4G modemli IoT kutusunu nasıl güvene alabiliriz?
Makine üreticisinin panoya yerleştirdiği kontrolsüz bir 4G/LTE modem, güvenlik duvarınızı tamamen atlayarak fabrika ağınıza dışarıdan doğrudan bir tünel açar. Bu tür cihazların fabrikanın ana OT/PLC switch’ine doğrudan bağlanmasına kesinlikle izin verilmemelidir. Cihaz ile makine PLC’si arasına kurumsal güvenlik duvarınızın denetlediği bir DMZ / Uzaktan Erişim Portu konulmalı ve 4G modeme giden enerji bir pano anahtarıyla (Key Switch) yalnızca bakım yapılacağı zaman operatör/IT kontrolünde açılmalıdır.