Kablosuz Ağlarda Şifreleme ve Güvenlik Sınırları
Kurumsal ağlarda yaygın bir yanlış algı vardır. Şöyle ki, yöneticiler WPA2-Enterprise veya WPA3 şifrelemesi kullandıklarında ağın tam korunduğunu sanırlar. Ancak şifreleme, sadece paketin okunmasını zorlaştırır. Bu yüzden şifreleme; erişim denetimini veya kimlik doğrulamayı tek başına sağlayamaz.
Saldırganlar çoğunlukla şifreleme algoritmalarını kırmaya çalışmazlar. Bunun yerine, protokoldaki mantık hatalarından ve istemci zafiyetlerinden faydalanırlar. Bu nedenle bu rehberde; kablosuz ağ şifrelemesinin sınırlarını, saldırı yöntemlerini ve etkili Wi-Fi savunma stratejilerini inceliyoruz.
• Şifreleme gizliliği korur ama erişim meşruiyetini garanti etmez.
• Rogue AP, Deauth ve zayıf 802.1X ayarları şifrelemeyi etkisiz kılar.
• Bu yüzden EAP-TLS ve WIPS entegrasyonu şarttır.
Şifreleme Katmanının Sınırları
Ağ yöneticileri genelde WPA3-Enterprise geçişi yaptıklarında ağın tam korunduğunu düşünürler. Şüphesiz ki AES-256 ve GCM gibi standartlar veri dinlemeyi neredeyse imkansız kılar. Yani bu standartlar verilerin havada dinlenmesini engeller.
Ancak şifreleme yalnızca verinin gizliliğini korur. Dolayısıyla erişimin meşruiyetini veya hizmetin sürdürülebilirliğini tek başına garanti edemez.
Kablosuz ağ ortamı fiziksel bir sınıra sahip değildir. Bu nedenle saldırganlar kurum dışından veya otoparktan sinyallere erişebilirler. Şifreleme aktifken saldırganlar paket içeriğini okuyamazlar. Fakat şu boşlukları kullanarak şifrelemeyi baypas edebilirler:
- Bağlantı Öncesi İletişim Zafiyeti: IEEE 802.11 standartlarında Yönetim Çerçeveleri varsayılan olarak şifrelenmez. Bu yüzden saldırganlar ağ isimlerini açıkça izleyebilirler.
- Kimlik ve Yetki Ayrımı Eksikliği: Şifreleme anahtarına sahip olmak cihazın güvenli olduğunu göstermez. Örneğin zararlı yazılım barındıran bir cihaz ağa girdiğinde şifreleme onu durduramaz. Çünkü şifreleme cihazın niyetini denetlemez.
- İstemci Merkezli Kararlar: Kablosuz ağlarda AP seçimini istemci cihaz yapar. İstemciler genelde en güçlü sinyale sahip bilinen ağlara otomatik bağlanırlar.
- Açık Paket Başlıkları: Şifreli paketlerde sadece veri bölümü gizlenir. Buna karşın kaynak ve hedef MAC adresleri açık kalır. Böylece saldırganlar ağ trafiğini kolayca haritalandırabilirler.
Şifrelemeyi Baypas Eden Saldırı Vektörleri
Gelişmiş saldırganlar şifreleme algoritmalarına doğrudan saldırmazlar. Bunun yerine protokol zafiyetlerini ve insan faktörünü hedeflerler.
Sahte Erişim Noktası (Rogue AP) ve Evil Twin Saldırıları
Evil Twin saldırısı, istemcilerin otomatik bağlantı mekanizmasını hedefler. Saldırgan, kurum ağıyla aynı isimde fakat daha güçlü bir sahte AP kurar. İstemciler ise en güçlü sinyale otomatik bağlandıkları için bu sahte ağa yönelirler.
Kurum WPA3 kullanıyor olsa bile istemci sahte AP’ye bağlanır. Bu durumda şifreli tünel gerçek RADIUS sunucusu yerine saldırganın cihazıyla kurulur. Böylece saldırgan araya girer (MitM). Sonuç olarak kullanıcı bilgilerini toplar ve trafiği çözer.
Bağlantı Kesme (Deauthentication) DoS Saldırıları
802.11w protokolü yoksa Deauthentication bildirimleri kriptografik imza taşımaz. Saldırganlar hedef cihazın MAC adresini taklit ederek ortama sahte Deauth paketleri atarlar. Bu işlem hizmet kesintisi yaratır. Ayrıca istemciyi ağdan düşürerek sahte AP’ye bağlanmaya zorlar.
Protokol Düzeyindeki Zafiyetler: KRACK ve Dragonblood
KRACK zafiyeti, WPA2 el sıkışma sürecini istismar eder. Saldırganlar anahtarların yeniden yüklenmesini sağlarlar ve trafiği açık metne dönüştürürler. Benzer şekilde Dragonblood zafiyeti de WPA3 Dragonfly mekanizmasını hedefler. Saldırganlar zamanlama analizleriyle şifreleme parolalarını elde ederler.
İstemciler Arası İzolasyon Eksikliği
Birçok kurum güçlü şifreleme kullanır ama Client Isolation ayarlarını unutur. Bu ayar yapılmadığında aynı ağdaki cihazlar birbirleriyle doğrudan haberleşebilirler. Sonuç olarak tek bir enfekte cihaz, şifreli tünelin içinden diğer kurumsal cihazlara kolayca saldırabilir.
Kablosuz Saldırı Vektörleri Karşılaştırması
| Saldırı Türü | Hedeflenen Katman / Bileşen | Şifreleme Etkisi | Temel Risk ve Sonuç |
|---|---|---|---|
| Evil Twin / Rogue AP | L2 / İstemci Otomatik Bağlantı | Etkisiz (Saldırgan Kendi Tünelini Kurar) | MitM, Kimlik Bilgisi Hırsızlığı, Trafik Dinleme |
| Deauthentication DoS | L2 Yönetim Çerçeveleri | Etkisiz (802.11w yoksa paketler açık) | Hizmet Kesintisi, Sahte AP’ye Yönlendirme |
| EAP Downgrade / Rogue RADIUS | L7 / Kimlik Doğrulama Katmanı | Kısmen Etkisiz (Zayıf EAP Moduna Düşürür) | MS-CHAPv2 Hash Çalınması, Offline Kırma |
| KRACK / Dragonblood | L2 / WPA2-WPA3 El Sıkışması | Baypas Edilir (Anahtar Yeniden Yükleme) | Paket Çözme, Enjeksiyon, Paralel Veri Dinleme |
| Lateral Movement (Yanal İlerleme) | L3/L4 / Ağ İzolasyonu Eksikliği | Etkisiz (Ağ İçi Yetkili Erişim) | İstemciler Arası Bulaşma, Zararlı Yazılım Yayılımı |
802.1X ve Sertifika Yapılandırması
Kurumlar genelde riskleri azaltmak için 802.1X/EAP mimarisine geçerler. Ancak 802.1X kullanımı tek başına yeterli değildir. Yapılandırma biçimi de kritik önem taşır.
PEAP-MSCHAPv2 Zafiyeti ve Sertifika Doğrulama İhmali
Piyasada en yaygın kullanılan tür PEAP-MSCHAPv2’dir. Bu yöntemde istemci cihaz RADIUS sertifikasını doğrulamalıdır. Ancak kurumlar bu doğrulamayı zorunlu kılmazlarsa ciddi riskler doğar:
EAP-TTLS ve EAP-TLS Karşılaştırması
EAP-PEAP veya EAP-TTLS gibi yöntemler parola tabanlıdır. Bu yüzden insan hatalarına açıktırlar. Buna karşın EAP-TLS, çift taraflı dijital sertifika doğrulaması zorunlu kılar. İstemci cihazda geçerli bir sertifika yoksa ağa erişim kesinlikle sağlanamaz.
Bütünsel Kurumsal Savunma Mimarisi
Kablosuz ağı korumak için Sıfır Güven (Zero Trust) ilkelerini benimsemeniz gerekir. Çok katmanlı savunma mimarisinin temel adımları şunlardır:
- Güçlü Kimlik Doğrulama: Parola tabanlı erişimi bırakıp EAP-TLS protokolüne geçmelisiniz. Ayrıca MDM politikalarıyla cihazların sahte ağlara otomatik bağlanmasını engellemelisiniz.
- WIPS / WIDS Entegrasyonu: Ortamı sürekli tarayan WIPS sensörleri kurmalısınız. Bu sistemler sahte AP’leri anında tespit eder ve anahtar portunu otomatik olarak kapatırlar.
- Mikrosegmentasyon ve Dinamik VLAN: Cihazları rollerine göre dinamik VLAN’lara yönlendirmelisiniz. Örneğin insan kaynakları, finans ve IoT cihazları ayrı VLAN’larda izole kalmalıdır.
- 802.11w (PMF) Zorunluluğu: AP üzerinde 802.11w PMF standardını zorunlu yapmalısınız. Böylece yönetim çerçeveleri imzalanır ve Deauth DoS saldırıları engellenir.
Sibertim Kablosuz Sızma Testi Yaklaşımı
Kurumunuzda modern WPA3 veya 802.1X kurulu olsa bile yapılandırma hataları oluşabilir. Sibertim, kablosuz ağ güvenliğinizi gerçek saldırı senaryolarıyla test eder.
Sibertim uzmanlarının kablosuz sızma testlerinde izlediği adımlar şunlardır:
- RF Sinyal Taraması: Dışarı taşan sinyalleri ve bina dışından yapılabilecek saldırı yüzeylerini tespit ediyoruz.
- Rogue AP Simülasyonu: Kurumsal ağları kopyalayarak sertifika baypas zafiyetlerini test ediyoruz.
- 802.1X / RADIUS Analizi: EAP konfigürasyonlarını ve RADIUS sunucu sıkılaştırma durumlarını denetliyoruz.
- İzolasyon ve Segmentasyon Kontrolleri: Farklı VLAN’daki cihazların birbirine yetkisiz erişim durumlarını inceliyoruz.
- Guest Network Escaping: Ziyaretçi ağından kurumsal iç ağa atlama risklerini analiz ediyoruz.
Sonuç: Ağ güvenliğini sadece şifrelemeye bağlamak kurumunuzu açık hedef yapar. Sibertim’in kablosuz sızma testi hizmetleriyle altyapınızı güçlendirebilir ve PCI-DSS, ISO 27001 veya KVKK standartlarına tam uyum sağlayabilirsiniz.
Sık Sorulan Sorular
1. WPA3 Şifreleme Protokolünün Güvenlik Sınırları Nelerdir?
WPA3 sözlük saldırılarına karşı güçlü koruma sağlar. Ayrıca PMF kullanımını zorunlu kılar. Ancak WPA3; Evil Twin saldırılarını veya ağ içi izolasyon eksikliklerini tek başına engelleyemez.
2. Evil Twin Saldırısının Şifreli Ağlardaki Etkisi Nedir?
Saldırgan aynı isimde sahte bir erişim noktası yayınlar. İstemci cihaz sunucu sertifikasını tam doğrulamıyorsa bu ağa bağlanır. Böylece şifreli tünel saldırganla kurulur ve veriler açık metne dönüşür.
3. 802.11w Standardının Önemi Nedir?
802.11w, Katman 2 yönetim paketlerini kriptografik olarak imzalar. Bu standart sayesinde saldırganların sahte Deauth paketleriyle cihazları ağdan düşürmesi engellenir.
4. Kablosuz Ağlarda En Güvenli Kimlik Doğrulama Yöntemi Hangisidir?
Parola tabanlı yöntemler her zaman risk taşır. Bu yüzden en güvenli yapı, çift taraflı dijital sertifika doğrulayan 802.1X EAP-TLS mimarisidir.
5. WIPS / WIDS Sistemlerinin Kurumsal Ağlardaki Rolü Nedir?
WIPS ortamı sürekli dinler. Sahte AP’leri, sinyal karıştırıcıları ve Deauth saldırılarını anında tespit ederek otomatik olarak engeller.