Kablosuz ağların yapısal bir zayıflığı vardır: bir cihaz, bağlanmak istediği ağın adını duyduğunda o ağın gerçekten kendi ağı olduğunu doğrulamak zorunda değildir. Sahte erişim noktası saldırısı bu boşluğu kullanır.
Nasıl çalışır
Saldırgan, kurumun ağ adıyla aynı adı taşıyan bir erişim noktası kurar. Cihazlar bu adı daha önce gördükleri için tanır.
İki yol izlenir. Ya sahte nokta daha güçlü sinyal verir ve cihazlar doğal olarak ona kayar; ya da bağlı istemciler koparılmaya zorlanır ve yeniden bağlanırken sahte noktaya düşerler.
Bağlantı kurulduğunda saldırgan, kullanıcı ile internet arasında oturur. Trafiği görür, yönlendirir ve gerektiğinde değiştirir.
Kullanıcı tarafında hiçbir belirti yoktur. Ağ adı doğrudur, çubuklar doludur, internet çalışır.
Neden kullanıcı fark edemez
Kablosuz ağlarda ağ adı bir kimlik değildir; yalnızca bir etikettir ve herkes tarafından kullanılabilir.
Kullanıcının ayırt etmesini sağlayacak tek şey, cihazın kimlik doğrulama sırasında sunucuyu denetlemesidir. Ortak parolalı bir ağda böyle bir denetim yoktur; parola doğruysa bağlantı kurulur.
Kurumsal doğrulamada bu denetim vardır — ama istemci “sunucu sertifikasını doğrula” ayarı kapalıysa devreye girmez. Bu, kurulumların büyük bölümünde açık kalan boşluktur; ayrıntısı 802.1X ile kurumsal kablosuz rehberinde.
Sertifika doğrulamanın genel mantığı TLS sertifikası nasıl çalışır yazısında.
HTTPS ne kadar koruyor
Yaygın bir rahatlama cümlesi vardır: “trafik zaten şifreli, ortadaki kimse okuyamaz”. Büyük ölçüde doğrudur ve tamamen değil.
Koruduğu: modern siteler ve uygulamalarla kurulan bağlantıların içeriği. Saldırgan araya girse de içeriği çözemez.
Korumadığı: hangi adreslere gidildiği, ad çözümleme trafiği, şifreleme kullanmayan eski uygulamalar ve kullanıcının karşısına çıkarılan sahte oturum açma sayfaları.
Sonuncusu asıl risktir. Saldırgan, ağa bağlanır bağlanmaz bir karşılama sayfası gösterir ve kurumsal parola ister. Kullanıcı, misafir ağlarında buna alışkındır — ve verir.
Bu, teknik bir açık değil bir sunuş oyunudur; kalıpları oltalama türleri yazısında.
İkinci sorun: yetkisiz iç erişim noktaları
Sahte erişim noktalarının hepsi saldırı amaçlı değildir. Çoğu, iyi niyetli bir çalışan tarafından kurulur.
Kapsama sorunu yaşayan biri, evden getirdiği küçük bir yönlendiriciyi masasının altındaki ağ prizine takar. Artık kurumsal ağa, hiçbir denetimden geçmeyen, çoğu zaman zayıf parolalı bir kablosuz kapı açılmıştır.
Bu cihazlar iki katlı zarar verir. Güvenlik tarafı açıktır. Ama ayrıca ağı bozarlar: kendi DHCP sunucusunu yayınlayan bir cihaz, çevresindeki makinelere yanlış adres dağıtır ve arıza “internet gitti” diye gelir. Mekanizması DHCP nasıl çalışır yazısında.
Tespit
Üç yöntem birlikte kullanıldığında kapsayıcı olur.
Havadan tarama. Kurumsal erişim noktaları, çevredeki diğer yayınları sürekli dinler ve kendi ağ adını taşıyan yabancı cihazları raporlar. En doğrudan yöntemdir ve modern denetleyicilerde hazır gelir.
Kablo tarafında port denetimi. Yetkisiz bir cihaz ağa takıldığında, o portta beklenmedik bir adres belirir. 802.1X kablolu tarafta da uygulanırsa, tanınmayan cihaz porta hiç kabul edilmez.
Adres ve yayın izleme. Ağda ikinci bir DHCP sunucusu belirdiğinde uyarı üretmek, hem yetkisiz yönlendiricileri hem yapılandırma hatalarını yakalar.
Uyarıların gürültüye dönüşmemesi için eşiklerin dikkatli seçilmesi gerekir; ölçüt alarm neye bakmalı yazısında.
Kullanıcı tarafında ne yapılabilir
Teknik önlemlerin yanında iki alışkanlık gerçekten işe yarar.
Otomatik bağlanma listesini temizlemek. Cihaz, daha önce bağlandığı her ağı arar ve adı duyduğunda bağlanır. Otellerde ve havalimanlarında bir kez bağlanılan ağlar, aylar sonra sahte bir kopyasına bağlanma riskini taşır.
Kurumsal ağa profil ile bağlanmak. Kullanıcı ağ adını elle seçmez; profil cihaza dağıtılır ve hangi sunucuya güvenileceğini içerir. Dağıtım yolu grup ilkesi nedir yazısında.
Kurum dışında çalışanlar için ek katman, tüm trafiği kurumsal çıkışa taşımaktır; ne koruyup ne korumadığı VPN nedir yazısında.
Tespit ile engelleme aynı şey değil
Bazı sistemler yalnızca raporlamakla kalmaz, sahte erişim noktasına bağlı istemcileri koparmayı da önerir.
Bu özellik dikkatle kullanılmalıdır. Yayınının kapsamı sizin denetiminizde değildir; komşu ofisin meşru ağını da etkileyebilir ve bu, hem hukuki hem teknik olarak sorunludur.
Sağlıklı yaklaşım, otomatik engellemeyi yalnızca kendi kablolu ağınıza takılı olduğu doğrulanmış cihazlar için açmaktır. Geri kalanı rapor edilir ve fiziksel olarak aranır.
Kısaca
Ağ adı bir kimlik değildir; aynı adı taşıyan sahte bir erişim noktası, kullanıcı tarafında ayırt edilemez.
Tek gerçek savunma, istemcinin doğrulama sunucusunu sertifikayla denetlemesidir. Yanına havadan tarama ve kablo tarafında port denetimi eklendiğinde, hem saldırı amaçlı hem iyi niyetle kurulmuş yetkisiz cihazlar görünür hâle gelir.