WLAN’lara tam güvenlik

Kablosuz ağ bağlantınız ne kadar güvenli? Sunduğumuz ipuçlarıyla ağınıza maksimum güvenlik sağlayacak, en son güncellemelere kavuşacaksınız.

Akıllı telefonlarınızı yada tablet PC’lerinizi internete bağlamak için her zaman kablo kullanamayacağınız için Wireless LAN bağlantısı kaçınılmaz. Ancak bazen bu bağlantı türünü seçmek insanı huzursuz eder: Kablosuz ağ bağlantısına kimlerin sızdığı kuşkusu sizi yiyip bitirebilir. Aslına bakarsanız diğer konsol kullanıcıları da bir şifre ya da MAC filtresi sayesinde kendilerini bu saldırılardan korudukları yanılgısı içindedirler. Gerçekte bu teknolojinin ne kadar güvenilir olduğu kullanıcıya bağlıdır. WLAN kullanıcıları yanlış anahtarlar, zayıf erişim verileri nedeniyle adeta hırsızları eve davet etmektedir. WEP şifrelerinin nasıl kırıldığını, filtrelerle nasıl baş edeceğinizi, kısacası güvenli bir WLAN ağını nasıl yöneteceğinizi tüm detaylarıyla anlatıyoruz.

Tehlike: Ağlara sızmak çok kolay

Günümüzde çoğu kullanıcı WLAN’ larından dikkatsizce yararlanmakta. Eninde sonunda birinin kablosuz ağ sisteminize sızacağını bilmeniz gerekiyor özellikle de akıllı telefonların ve tabletlerin otomatik olarak şifresiz ağlara bağlandığını göz önünde bulundurduğunuzda. Eğer ağınıza sızanlar sadece web sitelerine bakınmışsa bu ciddi bir internet trafiği anlamına gelmez ancak bu kullanıcılar yasa dışı müzik ya da film indirmeye başladığında başınız ağrıyabilir. Böylesi durumlarla karşılaşmamanız için internet servis sağlayıcınızın çeşitli yükümlülükleri bulunuyor.

Bunların başında da verilerinizin sizin isteğiniz dışında başkalarıyla paylaşmamanız için şifrelenerek güvenliğinin sağlanması geliyor. Bu yüzden servis sağlayıcıların en güncel teknolojik imkânlarla verilerinizin ağ trafiğindeki akışını güvenlik altına alması gerekiyor. Diğer taraftan şifrelenmiş ağlar genellikle standart bir yönlendirici yapılandırmasına sahip; erişim verileri genellikle biliniyor ve herhangi bir güvenlik sağlamıyor.

Dolayısıyla servis sağlayıcınızın şifreleme sistemi dahi internet güvenliğinizi sağladığınız anlamına gelmiyor. Gerekli değişiklikleri yapmak için erişim verilerine web tarayıcı ara yüzünden ulaşmanız gerekiyor.

Bu adres genellikle “http://192.168.178.1” ya da “http://192.168.2.1” oluyor. Eğer bu adreslerden erişim sağlayamazsanız, yönlendiricinizin IP’sini en basit biçimde konsolunuzdan öğrenebilirsiniz.

Windows 7’de arama alanına “cmd” yazın ve çalıştırın. Bu alana ulaşmanın diğer pratik bir yolu da [Windows] + [R] tuş bileşimini kullanmak. Daha sonra ağ ayarlarını “ipconfig”den açın ve “standartgateaway”e bakın. Burada belirtilen IP adresi yönlendiricinize ait olduğundan artık web tarayıcınızın adres satırına girebilirsiniz. Her üreticinin güvenlik ayarları farklılık gösterebiliyor.

Ancak genellikle erişim verilerini “WLAN / Security” altından bulabiliyorsunuz. Eğer halka açık bir WLAN sistemi kullanmak istiyorsanız ağ denetimine dikkat etmeniz gerekiyor çünkü koruma olmadığı için herkesin ev bağlantınıza girebileceğini ve bazı art niyetlilerin bunu manipüle edebileceğini unutmamanız gerekiyor.

Özellikle Windows XP işletim sistemi kullananlar için bu tarz kamuya açık ağ bağlantıları ölümcül sonuçlar doğurabiliyor. Microsoft, Professional sürümünün dışında herhangi bir şifre ayarlaması seçeneği sunmuyor. Aksine tüm ağ sorguları güvenlik altına alınmamış bir yerel kullanıcı hesap üzerinden çalışıyor. Oysa XP işletim sisteminde basit bir hile ile güvenliği sağlayabilirsiniz. Konsolu çalıştırın ve “net user guest şifreniz”i girip [Enter] tuşuna basın. Windows yeniden başlatıldıktan sonra erişim sadece sizin erişim bilginizle mümkün olacak ama hedef kullanıcı ayarlarını artık değiştiremeyeceksiniz. Şunu belirtmeliyiz ki, eğer ağ ile yoğun olarak çalışıyorsanız Windows 7’yi tercih etmelisiniz. Bu işletim sisteminde Microsoft tüm önemli özellikleri tek bir paket altında bir araya getirmiş. Genellikle ağınızı “Denetim Masası/ Ağ ve İnternet” altından “Ev Grubu”na tıklayarak şifre korumalı hale getirmeniz yeterli.

Diğer taraftan kamuya açık bir WLAN hala başka tehditleri barındırıyor. Saldırganlar farklı servislerden yararlandığınız korunmasız erişim verilerini ağ yoklayıcılarla (network sniffer) görüntüleyebiliyor.

Kullanışsız:Filtreler ve ağ adları

Daha önceden olduğu üzere iki güvenlik önerisi hala revaçta: MAC adresleri filtrelemek (donanım rakamı) ve SSID’i (ağadı) gizlemek. Aslında hiçbir ilave koruma sağlamadığı için bu iki öneriyi tamamen kulak ardı edebilirsiniz. Ağ adınızı çözmek için bir saldırganın tek ihtiyaç duyduğu şey bir WLAN adaptörü ve Kismet (Bk. www.kismetwireless.net) gibi bir yoklayıcı. Bu tarz yazılımlar yardımıyla saldırgan tüm kablosuz ortamı görüntüleyebiliyor.

Akabinde manipüle ettiği veri paketleri sayesinde istemciyi ağdan atabiliyor; kullanıcı yeniden bağlantı yapmaya çalıştığında da bu defa SSID’yi görebiliyor. Bu biraz karmaşık ve uzun sürüyor görünebilir ancak esasında tüm işlem ancak birkaç dakikanızı alıyor. İşte saldırganlar MAC filtrelerini bu kadar kolay bypass edebiliyor. Saldırganın tek yapması gereken adresinizi yazıp kendi cihazıymış gibi ataması. Böylelikle kullanıcı kimin kendi ağında sörf yaptığını anlayamıyor.

Eğer hala WEP şifreli cihazları kullanıyorsanız hızlı hareket edip önlem almalısınız çünkü art niyetli kişilerin şifrelerinizi kırması an meselesi.

Önemli Not

WLAN anahtarlarınız ne kadar güvenli

WEP : Açılımı “Wired Equivalent Privacy” olan WEP teknolojisi, WLAN cihazlara anahtarla birlikte bir grup gereksiz rakam gönderen RC4 algoritma üreticisini kullanıyor. Bu başlangıç vektörü şifreli olmadığından üçüncü kişilere verileri yazıp WEP anahtarını yeniden yapılandırma fırsatı sunuyor.

WPA : Wi-Fi Protected Access’ın kısaltılmışı olan WPA (Wi-Fi korumalı erişim) WEP mimarisi üzerine kurulu ama ileri koruma için dinamik anahtarlar sunuyor. Saldırganlar TKIP işleminin Beck-Tews yöntemi ve Ohigashi-Morii varyantıyla bu şifreleri kırıyor. Kişisel paketleri çözebiliyor ve manipüle edip ağa gizlice yerleştirebiliyorlar.

WPA2 : Wi-Fi Protected Access 2 güvenlik anahtarı geliştirilmiş şifreleme standardı olarak AES’i kullanıyor. TKIP’in yanı sıra CCMP de benzer biçimde AES üzerine kurulu. Bu şekilde korunan bir WLAN henüz kırılabilmiş değil. Saldırganların tek kozu brute force ve sözlük saldırıları gerçekleştirerek farklı kombinasyonlar yardımıyla anahtarı tahmin etmek. Tabii şimdilik bu neredeyse imkânsız.

Aircrackng’nin tam paketi oldukça popüler. Diğer taraftan bir yoklayıcı barındıran yazılım WLAN operatörlerini yüklüyor ve WEP anahtarlarını hesaplıyor. Bilinen yöntemler PTW saldırılarından ve veri akışına müdahale edip WEP anahtar paketlerini hesaplayan FMS/KoreK’ dan oluşuyor.   Burada sadece iki seçeneğiniz var: İlkin cihazınızın şifrelemesini güncelleyecek bir firmware bulmak. Eğer üretici firma bir güncelleme sunmuyorsa cihazınızı değiştirin. Hiçbir cihaz ağ bağlantınıza sızılmasından daha pahalı değildir.

Uyarı: WLAN kapsama alanınızı sınırlandırmak ancak belirli bir noktaya kadar güvenlik sağlar. Komşularınız ağınızdan yararlanmaya devam edebilir ve saldırganların güçlü WLAN antenleri kullandığını unutmamak gerekiyor. Dolayısıyla kapsama alanını azaltmak pek bir işe yaramıyor.

WPA2:Güvenliği kullanıcı sağlıyor

2004 yılından bu yana üreticiler en iyi güvenliği sağlayan WPA2’yi kullandığından çoğu cihaz şifrelemeyi destekliyor. Ama her teknoloji gibi WPA2’nin de zayıf noktaları var: Saldırganlar sözlük ve brute force (kaba kuvvet) saldırılarıyla şifre kırabiliyor.

Ancak her iki saldırı yöntemi de sadece zayıf erişim verileri söz konusu olduğunda başarılı olabiliyor. Sözlükler ancak veri tabanında bulunan anahtarları tarayabiliyor; genellikle de harf ve rakam kombinasyonlarından oluşuyor. “1234” ya da “ahmet” gibi şifreler kolaylıkla kırılabiliyor. Bunun karşısında brute force yöntemi herhangi tanımlı bir veri tabanı kullanmıyor ama tüm olası anahtar kombinasyonlarını deniyor. Böylelikle bir saldırgan tüm şifreleri yoklayabiliyor. Tek sorun bunu ne kadar süreyle yapabileceği. NASA en az 8 karakterli şifreler edinmenizi tavsiye ediyor.

Kendi güvenlik kılavuzlarında şifre uzunluk standardı16 karakter. En önemlisi ise şifrelerinizde büyük harf ve rakam kombinasyonları kullanmanız. Bu durumda saldırganın şifrenizi kırabilmesi için hayatını kapınızın önünde geçirmesi lazım. Pratik bir biçimde güvenli şifre edinmek için Password Generator aracından yararlanabilirsiniz. Böylelikle artık dışarıdan ağınıza erişilemeyecek ve ağ üyeleriniz yönlendiricinize rahatlıkla ulaşabilecek.

Aslında bazı cihazlar daha gelişmiş güvenlik özellikleri sunuyor. Bunlardan ilki WLAN üzerinden yönlendiricinin manipüle edilmesini engellemek. Ne yazık ki bu özellik her cihazda bulunmuyor. Ama daha da önemlisi cihazın şifrelenmesi. Söz konusu güvenlik özelliğini hemen tüm cihazlar destekliyor. Genellikle “System / Password” başlığından gerekli ayarlamalar yapılabiliyor. Yaptığınız değişiklikleri yönlendiricinizi varsayılan ayarlara geri döndürerek ilk zamanki haline alabilirsiniz. Ancak bu durumda yaptığınız tüm değişikliklerin de bundan etkileneceğini unutmamalısınız.

Her yazılım gibi firmware’ler de mükemmel değil. Küçük güvenlik boşlukları her daim söz konusu ve böylesi açıklardan yararlanarak bilgilerinizin internete sızması mümkün. Geçtiğimiz yıl http://www.sourcesec.com/ adlı web sitesi D-link’in Ev Ağı Yönetim Protokolü (HNAP) yönlendiricilerinde yönetimin nasıl ele alındığını keşfettiği bir açıkla gösterdi. İş hacker’lar için çok basitti. Tek yapılması gereken sitenin yayınladığı aracı kullanmaktan ibaretti. Yayınladığı bir güncellemeyle D-Link bu açığı kapattı. Bu yüzden cihazınızın firmware’inde bir güncelleme olup olmadığını sık sık denetlemeniz gerekiyor. Bazı cihazlar bu güncellemeleri denetleme işini otomatik olarak yapabiliyor. Diğer taraftan kimi güncellemeler beraberinde cihazınıza ilave özellikler kazandırıyor.

Böylelikle yönlendiricinizi olası en iyi biçimde koruduğunuzu varsayabiliriz. Daha fazla koruma elde etmenin yolu ise konuk hesaplarına göz atmaktan geçiyor. Ancak bu güvenlik önlemlerinin sadece şifre atamak ve şifreleme teknolojilerinden ibaret olmadığını belirtelim. Ağ trafiğini düzenli biçimde denetlemek davetsiz misafirleri de sisteminizden uzak tutacaktır.

Tek bakışla WLAN’ınıza hangi cihazların bağlı olduğunu görebilirsiniz fakat kimlerin hangi indirme işlemleri yaptığını gözlemlemek o kadar kolay değil. Eğer çocuklarınızı yanlış web sitelerinden alıkoymak istiyorsanız bunun için en pratik yol Windows’un “Aile koruması” özelliğinden yararlanmak. Tabii ki bu çözüm birkaç ailenin yaşadığı bir ev ya da apartman bağlantısı için uygun olmayacaktır. Ancak yine de ağın sahibi olarak size ağ trafiği hakkında bir bilgi sunması bakımından yararlıdır. Eğer tüm bunlar yeterli gelmiyorsa geriye tek bir çözüm kalıyor: O da acı hapı yutmak ve Ubuntu gibi bir sunucu kurarak tüm ağ trafiğini yönetmek. Ayrıca ntop gibi bir araç kullanarak IP adreslerine göre trafik akışını da bölebilir ve bunu grafik bir ara yüzden denetleyebilirsiniz.

Konuk erişimi: Ev ağını korumak

Bir WPA2 anahtarıyla yönlendiricinizi şifrelediğinizde nadiren sorun yaşarsınız. Tabii bu şifreyi diğer ağ kullanıcılarıyla paylaşana kadar. Tablet PC’leriyle ya da akıllı telefonlarıyla ev ağınıza kısa bir süreliğine bağlanmak isteyen arkadaşlarınız dahi güvenlik açıklarına yol açabilir çünkü kullandıkları cihazlarda zararlı yazılımlar bulunup bulunmadığından emin olamazsınız.

Oysa konuk hesapların yaptığı bağlantılara karşı güvenlik özelliği sunan bir yönlendiriciye sahipseniz, dostlarınızı bağlantı sorunu yüzünden kırmanıza gerek kalmaz. Bu özelliğe sahip yönlendiriciler ayrı bir WLAN ağıile WPA2 anahtarını ayırdığından ev ağına dokunulmamış oluyor. Söz konusu özelliğin kurulumu ise hayli basit.

Genellikle “WLAN / Guest Access / Activate guest Access” üzerinden ağa ne kadar bağlı kalınacağını belirterek gerekli ayarlamaları tamamlamış oluyorsunuz. Akabinde erişim için bir ad girmeniz ve bir şifre oluşturmanız yeterli. Eğer bu özelliğe sahip bir yönlendiriciniz yoksa üzülmeyin; kendiniz de yapabilirsiniz.

Konuk hesabıyla oturum açabilen yönlendiriciler hayli pahalı olduğu için kendi çözümünüzü geliştirmeniz hem keseniz için çok yararlı olacak hem de kafe, otel gibi profesyonel alanlarda kolaylıkla kullanılabilecek. Bunun için gereken tek şey ücretsiz yazılım Chillifire’ı ( http://www.chillifire.net/ ) yükleyebileceğiniz bir yönlendirici.

Araç ödemeli hotspot’lar ve kullanıcıların kredi kartıyla ya da PayPal’le ödeme yaptığı internet bağlantıları için tasarlanmış. Tüm bu önlemlerden sonra ağınız en mükemmel korunmaya kavuşmuş oluyor. Kablosuz ağ bağlantılarında daha fazla güvenlik hemen hemen yok gibi ama zaten daha fazlasına da gerek olmuyor. Size verdiğimiz ipuçları karşısında saldırganların hiç şansı yok.

Google+
WLAN’lara tam güvenlik