İletişim zincirinin zayıf halkası kablosuz erişim

Kablosuz erişimde yazılım ve donanım temelli güvenlik açıklan ev kullanıcısını tehdit ediyor

Gamze Yurttutan /[email protected]

Çoğu ev kullanıcısının günümüzde yaygın olarak kablosuz ağ kullanması, bu alandaki güvenliğin önemini artırıyor. Eskiden çoğu kablosuz ağ kurulumunda şifre kullanılmazken, kullanıcı bilincinin artmasıyla kablolu ağlarda şifreleme tekniklerinin kullanımı da yaygınlaşıyor. Peki, tüm bu çabalara karşın kablosuz ağların güvenliği arttı mı? Bu yazımızda güvenlik için uygulanan yöntemlere kısaca göz atmaya çalışacağız.

Ağ trafiği şifreleme

802.11 kablosuz ağları, ağ şifresi kullanılmadığı zaman tüm trafiği havada açık bir şekilde gönderir. Bu da kablosuz ağ bağdaştırıcısını "monitör" modunda kullanan bir saldırganın bütün paketleri dinleyerek açık trafiği görmesine neden olur. Bu durum, kablosuz ağların, kablolu ağlara oranla daha güvensiz olmasının da bir nedenidir.

Kablosuz ağ saldırılarını kolaylaştırmak için yazılan Kismet gibi kablosuz a" dinleme programlan ağların kolayca dinlenmesine olanak sağlar.

Kablosuz ağın güvenliği için ilk yöntem, trafiği bir şifreleme al-gorİtmasıyla şifrelemektir. Bu bölümde şifreleme için kullanılan ve birbirinden farklı özelliklere sahip WEP, WPA ve WPA2 algoritmalarından bahsedeceğiz.

WEP

1999 yılında ortaya çıkan WEP'in

(Wired Equİvalent Privacy - Kabloya Eşit Güvenlik) hedefi, kablosuz ağların güvenliğini kablolu ağların güvenliğine eşit seviyeye getirmekti. Kullanılan şifreleme mekanizmalarıyla havada İletilen paketler saldırganlar tarafından yakalanabilseler bile şifreli oldukları için okunama-yacak, bu da kablosuz ağın varoluş-sal sorunlarını ortadan kaldıracaktı. Ancak, hedeflenen tam anlamıyla gerçekleşmedi. Seçilen şifreleme algoritmalarının zayıflığı bir süre son fark edildi. Ortaya çıkan temel sorun, kullanılan algoritmanın anahtar uzunluğunun kısa olmasıydı. İlklendirme Vektörü (IV) uzayının küçüklüğü nedeniyle şifrelerin kırılma süresinin çok düşük olduğu fark edildi. Ayrıca kullanılan mesaj bütünlüğü algoritmasının lineer olması nedeniyle mesaj bütünlüğünün garantilenemeyeceğİ anlaşıldı. Sonuç olarak, aİrodump (paket yakalama), aireplay (paket ekleme) ve aircrack (statik WEP ve WPA-PSK şifre kırıcı) gibi çeşitli yazılım araçlarını kullanarak WEP şifrelerini kırmak oldukça kolay bir hale geldi.

WPA / WPA2

WEP'in açıklarının keşfedilmesi ve bu bilginin yaygınlaşmasıyla birlikte WEP destekleyen cihazlarla uyumlu daha güvenli bir şifreleme algoritması olarak WPA (Wi-Fi Protected Access - Wi-Fi Korumalı Erişim) ortaya çıktı. Bu aşamada WEP'in güvenliği, TKIP adı verilen ek bir protokolle artırıldı, ancak temel şifreleme algoritması değişmedi.

Kablosuz ağ şifreleme algoritması olarak asıl hedeflenen AES'nin kullanılması ise IEEE 802.1 li standardının oluşturulmasıyla birlikte gündeme geldi. Wi-Fi Al-liance, standarda WPA2 adını verdi. Eski cihazlar en güvenli yöntem olan WPA2'yi desteklemediği için, diğer protokollere duydukları ihtiyaç, varolan kablosuz ağların güvenlik riskini de artırmaktadır.

Ancak bu yöntemler tamamen risksiz değildir. WPA ve WPA2 tarafından sağlanan Önceden Paylaşılmış Anahtar (PSK-Pre-Shared Key) metodu kullanıldığı zaman anahtar paylaşımı için gönderilen paketler dışarıdan dinlenerek pasif olarak kırılabilir. Seçilen anahtarın karmaşıklığı ve anahtarın düzenli olarak değiştirilmesi bu riski azaltsa da hiçbir zaman sıfırlamaz.

Ek güvenlik önlemleri

Yukarıda bahsedilen kablosuz ağ güvenlik özellikleri dışında modemde bulunan çeşitli güvenlik ayarlarına ek güvenlik sağlaması için kullanılır. Ancak, bu ayarların yanlış bîr şekilde tek başına kullanımı da istenilen güvenliği sağlayamayabilir. Aşağıda yaygm olarak kullanılması tavsiye edilen ayarlardan örnek vereceğiz:

MAC Adresi Filtreleme

MAC adresi, bilgisayarımızın Ethernet kartının sahip olduğu ve bu donanımı özgün olarak tanımlamaya yarayan rakamlardır. MAC adresi, kartla birlikte gelir ve ancak Özel programlar vasıtasıyla değiştirilebilir. MAC Adresi Filtreleme ayarı kullanıldığında, kablosuz ağa bağlanmasına İzin verilen cihazların MAC adresleri sırasıyla yazılır ve bu liste dışındaki cihazların ağa bağlanmalarına izin verilmez.
Bu tür bir ayarlama uygun görünse de ağda güvenli bir şifreleme metodu kullanılmadığı sürece saldırganları engellemeye yetmez. Saldırganın bu tür bir durumda yapacağı hareket, ağ paketlerini dinleyerek ağda iletişim yapan kullanıcıların MAC adreslerini bulup kendi MAC adresini bunlardan birisiyle değiştirmektir. Bu ayarı değiştirdikten sonra saldırgan, ağa tekrar ulaşabilir. Aynı şekilde İP kısıtlamaları da MAC adresi kısıtlamaları gibi ağ trafiği dinlenerek bulunan İP adresleri kullanılarak bertaraf edilebilir.

SSID Gizleme

SSID ya da Kablosuz Ağ Adı'nı gizleyen çoğu kullanıcı artık kendi ağının saldırganlara görünmez olduğunu düşünür. Oysa ağ pasif dinleme saldırılarına açık olduğu için bu ayar riski azaltmaz. Ayrıca, ağa bağlı bir cihaz, bu ağa tekrar bağlanmak istediğinde SSID'yi de gönderdiği için pasif dinleme ile bu SSID ortaya çıkabilir.

Sonuç olarak, şifreleme kullanılmadan yapılmış diğer sıkılaştırma ayarları becerikli bir saldırganı engellemeye yetmez.

Modem Şifresi

Kablosuz modem ayarlarının yapıldığı arayüze konulan şifre, yetkisiz kişilerin ağa eriştikten sonra modem ayarlarına ulaşarak onları değiştirmesini engeller. Modem ayarlan önemlidir, çünkü örneğin, bir saldırgan ayarlar üzerinden alan adlarını IP'lere çeviren DNS sunucunun IP'sini zararlı sitelere yönlendirme yapan bir sunucuya çevirebilir. Dolayısıyla, modem şifresi tahmin edilemeyecek karmaşıklıkta bir şifre olarak ayarlanmalıdır. Ancak bu şifre ile kablosuz ağ şifresi aynı değildir, yani sadece bu şifreyi kullanmak iletişimin şifreli olacağı anlamına gelmez; aynı zamanda yukarıda bahsedilen WPA2 şifresinin ayarlanması gerekmektedir, yoksa kablosuz ağ iletişimi açık olarak yapılır.

Donanım - yazılım sorunları

Peki kablosuz ağlarımızı sadece güvenli kablosuz ağ şifreleme protokolleri kullanarak saldırganlardan korumak mümkün mü? Bunun yanıtı maalesef "hayır"... Kullanılan kablolu / kablosuz ADSL modem / yönlendiricilerinin içerisindeki yazılımların açıkları da bizim güvenliğimizi etkileyen diğer bir unsurdur. Örneğin, İngiltere'de yaygın olarak kullanılan ve British Telekom tarafından dağıtılan BT Home Hub isimli cihazın UPnP protokolünün varsayılan olarak açık gelmesi buna bir örnektir. Bu açığın, yazılımda bulunan Çapraz Site Betik Saldırısı (XSS-Cross Site Scripting) açığı ile birleşmesiyle birlikte bu modemin ayarlarında uzaktan değişiklik yapılabilmesi mümkün olmuştur. Bu şekilde kullanılan bir açıklık, saldırganın kullanıcının DNS ayarlarını değiştirilebilmesine ve kullanıcıyı istediği sitelere yönlendirebilmesine imkan vermiştir.

Bir başka örnek olarak, Belkin Kablosuz G F5D7230-4 Yönlendiri-ci'de bulunan kimlik doğrulama mekanizmasını atlamayı sağlayan açıklıktan bahsedebiliriz. Bu açıklık, ayarlar sayfasının şifre korumalı olmasına rağmen, konfigürasyon değişikliğini ele alan yazılımın şifreye ihtiyaç duymaması nedeniyle, saldırganın bu yazılıma doğrudan erişerek, yönlendiricinin konfigürasyo-nunu istediği gibi değiştirmesini mümkün kılabilir.

Bu tür açıklıklara engel olmak İçin modem ayarlarını sıkılaştırmak da yetmez. Karşı koruma, ancak firmanın kendi cihazı için yazılım güncellemelerini geliştİrmesiyle mümkündür.

Şimdi güvende miyim?

Kablosuz ağın doğası gereği, yukarı-dakilerin tamamını uygulasanız da engelleyemeyeceğiniz saldırılar da bulunmaktadır.

örneğin, bir saldırgan kablosuz ağ iletişim frekansına karıştırıcı sesler ekleyerek frekansı bozup ağınızı servis dışı bırakma imkanına sahip olur. Dolayısıyla, yüksek süreklilik isteyen ağlarda kablosuz erişim yöntemleri sorun yaratabilir. Sonuç olarak, kablosuz ağ altyapısını tercih ederken ihtiyaçlarınızı göz önünde bulundurmalı ve ağınızın güvenliği için gerekli ayarları mutlaka yapmalısınız.

Kablosuz ağ güvenliğiniz için bazı öneriler

Kablosuz ağınızın güvenliğini sağlamak için:

-Şifreleme algoritması olarak WPA2'yi seçin. Eğer kurumunuz IEEE 802.1x'i destekleyen cihazlara sahipse, bu yöntemi kullanmayı tercih edin.
- Kullanılacak anahtarın uzun ve karmaşık olması güvenliği artıracağından en az 8 karakterli ve içerisinde büyük harf, küçük harf ve rakam içeren bir anahtar secin.
- Anahtarı düzenli aralıklarla değiştirin.
- Donanımınızın güncellemelerini takıp edin.
- Ek güvenlik önlemlerini (SSID gizleme, vs.) gerektiğinde etkin hale getirin. Unutmayın, bu ayarlar tam bir güvenlik sağlamasa da bilgi seviyesi düşük saldırganları engelleyecektir.
- Gerekmediği zamanlarda modeminizi kapalı tutmanız da saldırganların erişmesini engelleyecektir. Unutmayın, limitsiz Internet kullanıyor olsanız bile yetkisiz kişilerin erişimi sizi riske atabilir.

(*) Ernst & Young BT Güvenliği Uzmanı

Bilişim Dergisi