60 saniyede Wi-Fi güvenlik kanıtı
Kablosuz ağ sızma testleri, etkileyici görünen ancak teknik olarak zayıf sonuçlara karşı olağanüstü derecede kırılgandır. Bir tarayıcı düzinelerce SSID listeler. Bir yakalama (.pcap) dosyası 4-way handshake içerir. Bir test erişim noktası (AP), kurumsal ağla aynı ismi yayınlar. Bir istemci probe request gönderir. Bu gözlemlerin her biri faydalıdır; ancak hiçbiri tek başına yetkisiz bir kullanıcının ağa sızabileceğini veya kritik bir veriye ulaşabileceğini kanıtlamaz.
Bunun sebebi mimaridir: Wi-Fi, havadaki bir radyo sinyali (RF frame) ile kurumsal bir iş sistemi arasına birbirinden bağımsız birçok güvenlik kararı yerleştirir. Bir değerlendirme yalnızca hangi kararın test edildiğini, ortamda neyin değiştiğini ve toplanan kanıtın tam olarak nerede bittiğini ortaya koyduğunda ciddiye alınabilir.
Bu saha notu, yetkilendirilmiş Wi-Fi testleri için tekrarlanabilir bir metodoloji sunar. Hedef isimlerini gizler ve kontrollü laboratuvar kimlikleri kullanır. Kullanıcıların bağlantısını koparabilecek (deauth), kimlik bilgisi toplayabilecek (rogue AP) veya izin verilen alan dışına taşabilecek tüm testler açık yazılı onay, bakım penceresi ve test edilmiş bir durdurma koşulu (stop condition) gerektirir.
Bir kablosuz bağlantı altı farklı iddiadan oluşur
“Ağ savunmasızdır” ifadesi fazlasıyla toptancı bir yaklaşımdır. Bunun yerine problemi altı küçük soruya bölün:
- Radyo varlığı (Radio presence): Test uzmanı onaylanan konumdan ilgili kanalda yayın izleyebiliyor veya sinyal gönderebiliyor mu?
- Ağ kimliği (Network identity): Gözlemlenen BSSID, SSID, güvenlik yetenekleri ve controller kaydı kapsamdaki WLAN’a mı ait?
- İlişkilendirme (Association): İstemci ve erişim noktası (AP) yetenekler üzerinde anlaşıp bir bağlantı (link) kurabiliyor mu?
- Kimlik doğrulama (Authentication): İstemci beklenen parolaya, sertifikaya veya kurumsal kimliğe sahip olduğunu kanıtlayabiliyor mu?
- İstemci güveni (Client trust): İstemci gerçekten beklenen ağ ve yetkili kimlik doğrulama sunucusuyla (RADIUS) konuştuğunu doğruluyor mu?
- Yetkilendirme (Authorization): Bağlantı sağlandıktan sonra, bu kimlik gerçekte hangi VLAN, cihazlar, servisler ve sistemlere erişebiliyor?
Her adım kendi bağımsız kanıtına ihtiyaç duyar. Bir Beacon frame’i bir AP’nin parametre yayınladığını kanıtlar. Başarılı bir association, link katmanı müzakeresini kanıtlar. Bir EAP Success, belirli bir kimlik için kimlik doğrulama görüşmesinin tamamlandığını kanıtlar. Bir DHCP lease adresi atanmasını kanıtlar. Ancak bunların hiçbiri diğer kablosuz istemcilere, yönetim arayüzlerine veya iç uygulamalara erişim sağlandığını kanıtlamaz.
SSID adına değil, ağ kimliğine odaklanın
SSID bir etiket (label) olup kriptografik bir kimlik değildir. Birden fazla erişim noktası meşru olarak aynı ismi yayınlayabilir. Komşu bir şirket aynı ismi seçebilir. Bir test cihazı bu ismi klonlayabilir. Gizli SSID’ler (Hidden SSID) bu gerçeği değiştirmez; istemciler ve AP’ler ağı işletmek için yine de yeterli bilgiyi açık havada paylaşır.
Aktif testlere başlamadan önce yetkilendirilmiş bir WLAN kimlik envanteri çıkarın:
| Sinyal | Neden önemlidir |
|---|---|
| SSID ve BSSID kümesi | Bir servis adını onu yayınlayan fiziksel radyolardan ayırır |
| Bant, kanal, genişlik | Benzer isimli bir komşunun çakışan kanalda yanlışlıkla test edilmesini önler |
| RSN/AKM/şifreleme yayını | AP’nin hangi kimlik doğrulama ve şifreleme modlarını sunduğunu gösterir |
| PMF yeteneği ve zorunluluğu | Yönetim çerçevesi korumasının yalnızca desteklendiğini mi yoksa zorunlu mu tutulduğunu ayırt eder |
| Controller/AP envanteri | Havadaki gözlemleri kurumun sahip olduğu gerçek altyapıyla korele eder |
| Fiziksel test alanı | Yayına nerede izin verildiğini ve sinyal sızıntısının nerede ölçüleceğini belirler |
| Beklenen VLAN veya rol | Bağlantı sonrası erişim testleri için bilinen bir politika hedefi sağlar |
Controller envanteri kontrol düzlemi (control-plane) görünümüdür; kablosuz paket yakalama ise istemci tarafı (client-side) görünümüdür. İkisi arasındaki tutarsızlıklar derinlemesine incelenmelidir: eski kalmış radyoları, transition modlarını, hatalı uygulanmış WLAN profillerini veya kuruma ait olmayan yabancı cihazları ortaya çıkarabilir.
Test seçmeden önce kimlik doğrulama ailesini anlayın
Aynı SSID adı, temelde birbirinden tamamen farklı güvenlik modellerini temsil edebilir:
Personal Ağlar (WPA2/WPA3-Personal)
WPA2-Personal ortak bir gizli anahtar (pre-shared key) kullanır. Risk; parola politikasına, parolayı kimlerin bildiğine, nasıl değiştirildiğine ve bağlantı sonrasında hangi yetkilerin tanındığına bağlıdır. Geçerli bir handshake yakalamak, yetkilendirilmiş bir parola dayanıklılık testi için materyal sağlar; ancak yakalama başarısı, parolanın kırıldığı anlamına gelmez.
WPA3-Personal, WPA2’nin PSK mantığını SAE (Simultaneous Authentication of Equals) ile değiştirir. WPA2/WPA3 transition modunu “yeterince WPA3” olarak görmeyin; ayrı bir konfigürasyon olarak ele alın. Belirli bir istemcinin gerçekte ne müzakere ettiğini kaydedin; AP tarafından sunulan en güçlü mod, her istemci tarafından kullanılan mod olmak zorunda değildir.
Kıdemli bir güvenlik değerlendirmesi; kurumun ortak parolaları emekliye ayırıp ayıramayacağını, eski cihazları izole edip edemeyeceğini ve downgrade saldırılarını tespit edip edemeyeceğini sorgular. Bir capture dosyasının varlığıyla yetinmez.
Enterprise Ağlar (802.1X / EAP)
WPA2/WPA3-Enterprise, kimlik doğrulamasını 802.1X ve EAP üzerinden genellikle merkezi bir RADIUS servisine devreder. İstemci, yeniden kullanılabilir bir parola göndermeden önce sunucuyu doğrulamak zorundadır. Güvenilen bir sertifika zinciri tek başına yeterli değildir; istemci bu zincir altındaki herhangi bir sunucu adını kabul ediyorsa zafiyet vardır; beklenen RADIUS sunucu adları doğrulamak zorundadır.
EAP-TLS, istemcinin parola göndermek yerine bir özel anahtara (private key) sahip olduğunu kanıtlaması nedeniyle kimlik modelini tamamen değiştirir. Bu durum her dağıtımı otomatik olarak kusursuz yapmaz; sertifika dağıtımı, kimlik eşleme, iptal mekanizmaları (CRL/OCSP) ve kimlik doğrulama sonrası atanan rol yine de sıkı bir doğrulama gerektirir.
Açık ve Misafir Ağlar (Open & Guest)
Şifresiz bir SSID kasıtlı bir tercih olabilir. Burada asıl kritik soru hangi telafi edici kontrollerin (compensating controls) mevcut olduğudur: captive portal davranışı, istemci izolasyonu (client isolation), misafir-kurumsal ağ ayrımı, oturum süre aşımı ve kötüye kullanım izleme kontrolleri. Radyo katmanındaki şifreleme ile iç sistemlere erişim yetkisi birbirinden bağımsız iki ayrı dinamiktir.
Bir Handshake gerçekte neyi kanıtlar?
“Handshake” terimi genellikle tek bir güvenlik sonucunu adlandırıyormuş gibi kullanılır. Hangi spesifik iletişimin yakalandığını netleştirmek gerekir:
- Bir authentication / association değiş tokuşu;
- Bir WPA2 4-way handshake;
- Bir WPA3 SAE değiş tokuşu;
- Bir EAP kimlik değişimi;
- Bir TLS sunucu sertifikası ve tünel kurulumu;
- Bir EAP Success ve ardından gelen anahtar türetme süreci.
Her yakalama için uç noktaları, zaman damgasını, kanalı, müzakere edilen güvenlik paketini ve analizi eksiksiz kılan spesifik çerçeveleri kaydedin. Raporlama dilini kanıtın ötesine geçmeyecek şekilde daraltın:
Gözlemlenen:
Onaylı laboratuvar istemcisi için eksiksiz bir WPA2 4-way handshake değiş tokuşu
Desteklediği:
Onaylanan canary parolasına karşı çevrimdışı (offline) sözlük saldırısı değerlendirmesi
Desteklemediği:
Parolanın kırıldığı, ağa kabul edildiği veya iç sistemlere erişim sağlandığıDört yüksek değerli test ailesi
1. Parola ifşası yapmadan parola dayanıklılık testi
Personal bir ağ için, sızma testi için özel olarak tanımlanmış bir canary parola veya üretim politikasının izole edilmiş bir kopyasını kullanın. İzin verilen aday havuzunu, işlemci bütçesini ve süreyi önceden netleştirin. Raporda parolanın kendisini değil, test edilen politikayı ve kırma süresini (time-to-crack) belirtin.
En güçlü negatif kontrol; hedeflenen politikaya tam uyan ve aynı test sınırları altında kırılamayan ikinci bir canary paroladır. Bu karşılaştırma, zayıf bir kimlik bilgisi ile sadece yakalanmış bir handshake arasındaki farkı kesin olarak gösterir.
2. Kurumsal sunucu kimlik doğrulaması (Enterprise Server Validation)
Enterprise Wi-Fi’da sahte bir kimlik doğrulama servisi (rogue AP / RADIUS), yalnızca bir istemci ona güvenmeye istekliyse işe yarar. Bu nedenle test kullanıcıları değil, istemcinin karar mekanizmasını hedeflemelidir.
İzole bir laboratuvar SSID’si ve test kimliği kullanın. Her defasında tek bir özelliği bozulmuş bir RADIUS sertifikası sunun: beklenmeyen sunucu adı, güvenilmeyen kök sertifika (CA), süresi geçmiş sertifika veya eksik Server Authentication amacı. İstemci, yeniden kullanılabilir kimlik bilgilerini sızdırmadan önce bağlantıyı reddetmelidir. Üretim ortamındaki kullanıcılara asla sürpriz bir sertifika onay kutusu çıkartmayın.
3. Kontrolsüz kesinti yaratmadan Protected Management Frames (PMF) testi
Protected Management Frames (PMF), belirli yönetim çerçevelerini (örneğin deauthentication/disassociation) şifreler ve WPA3 için zorunludur. Denetimi yalnızca AP yönetim panelindeki bir ayardan ibaret görmeyin. İstemci ilişkilendirmesini bizzat inceleyin: “capable” ve “required” farklı durumlardır.
PMF testinin amacı “mümkün olduğunca çok paket göndermek” değildir. Müzakere edilmiş bir PMF istemcisinin korumasız bir deauth paketini reddedip reddetmediğini ve güvenlik izleme sistemlerinin bu girişimi loglayıp loglamadığını tespit etmektir.
4. İstemci güveni ve kontrollü sahte ağlar (Rogue AP)
Bir erişim noktası aynı SSID’yi yayınlayabilir; bu sadece isimlerin kopyalanabilir olduğunu kanıtlar. Anlamlı bir istemci güveni testi; yönetilen bir kurumsal cihazın sahte ağa otomatik bağlanıp bağlanmadığını, sertifikayı denetleyip denetlemediğini ve bağlantıyı kesmeden önce hangi bilgileri (örneğin MSCHAPv2 hash’leri) dışarı sızdırdığını araştırır.
Association yalnızca ağ seviyesindeki testin başlangıcıdır
Onaylı bir test kimliği ağa bağlandığında, iş radyo analizinden erişim kontrolü testine geçer. Atanan IP adresini, DNS sunucusunu, gateway’i, VLAN’ı veya atanan güvenlik rolünü kaydedin. Ardından hedeflenen erişim ile gözlemlenen erişimi karşılaştırın.
Misafir ve BYOD ağları için istemciden-istemciye izolasyonu (Client Isolation) test edin. Kurumsal ağa erişemeyen bir misafir istemci, aynı yayın alanındaki (broadcast domain) başka bir misafir cihaza saldırabilir. Tersi şekilde, engellenen bir istemci taraması iç güvenlik duvarı ACL’lerinin doğru olduğunu kanıtlamaz.
Evidence matrix
| Sinyal | Neyi kanıtlar | Neyi kanıtlamaz | Bağımsız kontrol |
|---|---|---|---|
| Beacon’da WPA3 ve PMF yayını | AP’nin bu yetenekleri sunduğunu | İstemcinin bunları müzakere ettiğini veya politikanın zorunlu tuttuğunu | İstemci association durumunu ve controller kaydını inceleyin |
| Eksiksiz WPA2 handshake | Uç noktalar arasındaki anahtar türetme trafiğini | Parolanın kırıldığını veya ağa giriş iznini | Onaylı bir canary parola ile sınırlı kırma testi yapın |
| Enterprise istemcinin yanlış sunucu adını reddetmesi | İlgili profilde sunucu adı doğrulamasının çalıştığını | Diğer CA’lerin, istemcilerin veya EAP yöntemlerinin güvenli olduğunu | Her testte yalnızca tek bir sertifika parametresini değiştirin |
| RADIUS Access-Accept yanıtı | Kimlik doğrulama servisinin hesabı onayladığını | Doğru VLAN, ACL veya iç servislere erişimi | Dönen RADIUS attribute’larını ve gözlemlenen rolü korele edin |
| DHCP lease atanması | İstemcinin IP ve ağ yapılandırması aldığını | İstemci izolasyonunu veya kurumsal segmentasyonu | Canlı canary hedeflerle erişim matrisini test edin |
| Misafir istemcinin diğer misafire ulaşamaması | İzolasyonun o yönde korunduğunu | Kurumsal rotaların veya IPv6 trafiğinin engellendiğini | Matrisi her iki yönde ve tüm protokollerle tamamlayın |
Araştırma sonucu
Wi-Fi güvenliğinde asıl birim paket yakalama dosyası (.pcap) değildir. Erişim noktasının ne sunduğu, istemcinin neyi doğruladığı, kimlik doğrulama servisinin neyi kabul ettiği ve ağın sonrasında neye izin verdiği arasındaki uyumsuzluktur.
Yakalanan bir handshake bu araştırmanın yalnızca başlangıcı olabilir; sonraki kararları atlama gerekçesi asla olamaz. Radyo kanıtını, kimliği, kimlik doğrulamayı, istemci güvenini ve bağlantı sonrası erişimi birbirinden ayırarak Wi-Fi testleri tekrarlanabilir, güvenli ve abartıdan uzak teknik kanıtlara dönüşür.
Bu teknik not ne kadar güncel?
En son kaynak incelemesi, içerik güncellemesi veya yayın tarihi gösterilmektedir.
Yazar teknik incelemeyi tamamladı. Bu etiket tek başına laboratuvar yeniden üretimi iddiası taşımaz.