Eğitmen: Bu derste kablosuz ağlarınızı
onlara yönelik bazı tehditlerden nasıl koruyacağınız
hakkında konuşacağız.
Şimdi, kablosuz ağlar bize çok fazla kolaylık sağlıyor ama aynı
zamanda bir sürü güvenlik riskini de beraberinde getiriyor çünkü
kablolu bir ağın aksine, kablosuz sinyalin kapsama alanı
içinde olduğum sürece akıllı telefonumla, tabletimle veya
dizüstü bilgisayarımla ona bağlanabiliyorum.
Ağınızı korumak için, cihazlarınızın neye
bağlandığını bildiğinizden emin olmanız
ve bağlandıktan sonra gönderilen verilerin
şifreleneceğinden emin olmanız gerekir.
Şimdi yapmak istediğimiz ilk şey, ağlarımızın
güvenliğini artırmak için ilettiğimiz her şeyin özel olarak
yapıldığından emin olmaktır.
Bunu yapmanın yollarından
biri de önceden paylaşılmış anahtar denilen şeydir.
Şimdi, önceden paylaşılan anahtar, her iki uç noktanın, hem erişim
noktanızın hem de dizüstü bilgisayarınızdaki veya akıllı telefonunuzdaki
istemcinizin aynı şifreleme anahtarına sahip olmasıdır.
Bir tarafta bir parola ve diğer tarafta aynı parolayı
kullanırsam ve bunlar eşleşirse, bu şifreleme tünelini
oluşturmak için aynı ön paylaşımlı anahtar kullanılır.
Ancak önceden paylaşılmış anahtar
kullandığınızda birkaç sorunla karşılaşırsınız.
İlk olarak, ölçeklenebilirlik bizim için büyük bir sorun haline geliyor.
Diyelim ki 50 farklı kullanıcımın olduğu bir ofisim
var ve hepsi kablosuz ağa bağlı ve hepsi
aynı ön paylaşımlı anahtarı kullanıyor.
Ama diyelim ki yarın işe gidiyorum ve çalışanlardan
birini işten çıkarıyorum.
Şimdi, bu çalışan önceden paylaşılan anahtarı biliyor, o halde
ne yapmamız gerektiğini tahmin edin?
Ön paylaşımlı anahtarı değiştirmemiz gerekiyor
ve benim bu ön paylaşımlı anahtarı değiştirmem gerektiğinden,
diğer 50 çalışanın hepsine yeni anahtarın ne olduğunun söylenmesi gerekiyor
ve böylece hepimiz değiştirebiliyoruz.
Bu, evinizin ön kapısının anahtarını değiştirmek gibi bir şey.
Eğer 10 aile üyeniz varsa, şimdi
bu anahtarın 10 kopyasını çıkarmanız gerekir.
Tüm müşterileriniz aynı şifreyi ve aynı anahtarı
kullandığından, anahtar yönetimini değiştirmemiz
ve uygun şekilde yapmamız gerçekten zorlaşıyor.
Büyük ortamlarda önceden paylaşılmış
anahtarları kullanmamamızın en büyük nedenlerinden biri budur.
Ancak küçük bir ofisteyseniz ya da eviniz gibi bir ev ofisi ortamındaysanız
ya da 10 veya daha az çalışanı olan küçük bir ofisteyseniz, önceden
paylaşılan bir anahtar kullanabilirsiniz çünkü ağları bu şekilde
yapılandırmak gerçekten kolaydır çünkü yalnızca birkaç
cihazınız vardır.
Şimdi kablosuz güvenliğe baktığımızda,
bunu yapmak için kullanabileceğimiz üç ana yöntem vardır.
İlki WEP'tir ve daha sonra WPA ve WPA2'ye sahibiz.
WEP ile uğraşırken, Kablolu
Eşdeğer Gizlilikten bahsediyoruz.
Bu, 802 ile wifi'nin ilk sürümü
ile icat edilen orijinal
kablosuz güvenlikti. 11.
Şimdi, kablolu ağlar kadar güvenli olduğunu iddia ediyordu,
bu nedenle "kablolu eşdeğer gizlilik" adını aldı. Ancak gerçek şu ki güvenli değildir
ve bugünlerde asla WEP kullanmamalısınız
çünkü çok güvensiz bir protokoldür.
Şimdi, WEP'in çalışma şekli önceden paylaşılmış bir anahtar kullanmasıdır.
Herkes aynı anahtara sahiptir ve bu 40 bitlik statik bir anahtardır, bu
da çok küçüktür ve güçlü bir bilgisayar kullanarak
kaba kuvvet uygulamak veya tahmin etmek kolaydır.
Zaman içinde WEP'i daha güvenli hale
getirmek için anahtarı 40 bitten 64 bite ve daha
sonra 128 bite yükselttiler ve bu anahtar uzunluğu
sorununu çözdü, ancak başlatma
vektörü olarak bilinen farklı bir sorunu çözmedi.
WEP'in çalışma şekli 24 bitlik
bir başlatma vektörü kullanmasıdır. Bu vektör 24 bir
ve sıfırdan oluşan bir seridir ve bu başlatma
vektörü olarak adlandırılacaktır.
Bu açık metin olarak gönderilir ve bu başlatma vektörlerinden
yeterince yakalarsanız, şifreleme anahtarını
gerçekten kırabilir ve WEP şifreniz için kullandığınız ön paylaşımlı
anahtarı geriye doğru tahmin edebilirsiniz.
Aslında, Aircrack NG'yi kullanarak bunu çoğu modern dizüstü
bilgisayarla yaklaşık iki ila üç dakika içinde yapabilirsiniz.
Şimdi, hakkında konuşmak istediğimiz bir sonraki konu WPA.
WPA veya Wifi Korumalı Erişim, bu 24 bitlik başlatma
vektöründeki zayıflık
nedeniyle WEP'in yerini almıştır.
Bunun üstesinden gelmek için TKIP, yani geçici
anahtar bütünlüğü protokolü olarak bilinen bir şey ortaya koydular.
Şimdi TKIP bu 24 bitlik başlatma vektörünü 48 bit uzunluğunda
yeni bir vektörle değiştiriyor.
Bu, gücünü iki katına çıkardı ancak
modern bilgisayarlar söz konusu
olduğunda bu hala oldukça zayıf kabul ediliyor.
Yaptıkları bir diğer şey ise RC4
ya da Rivest Cipher 4 adı verilen yeni bir şifreleme
türü eklemekti ve bu oldukça iyiydi, ancak yine de bugünün standartlarına
göre bu zayıf kabul ediliyor.
WPA ayrıca cihazlarınıza bir bütünlük katmak istemiş ve bunu kimsenin
ortadaki adam saldırısı yapamayacağından ve bilgileri
değiştiremeyeceğinden emin olarak yapmıştır.
Bunu yapmak için MIC, yani mesaj bütünlüğü kontrolü denen
bir şey kullandılar; bu, verinin gönderilmeden
önce hash edilmesi anlamına geliyordu
ve bu şekilde ağ üzerinden geçerken değiştirilmediğini
doğrulayabiliyordunuz.
Şimdi, WPA da bu önceden paylaşılan anahtarla ve yeni
anahtarları çok hızlı bir şekilde gönderebilmeyle
ilgili bir kusur olduğunu gördü, bu yüzden WPA'nın içine
kurumsal mod olarak bilinen bir şey eklediler.
Kurumsal mod ile bir kullanıcı anahtar alışverişinden
önce kimlik doğrulaması yapabilir ve daha sonra istemci
ile erişim noktası arasında geçici
olarak yeni anahtarlar oluşturabilir.
Bu, önceden paylaşılan anahtar ölçeklenebilirliği sorununu
çözmeye çalıştı, ancak günün sonunda WPA bugünün standartlarına
göre hala zayıf kabul ediliyor ve WPA2
veya Wifi Korumalı Erişim 2 olarak bilinen daha modern
bir sürümle değiştirildi.
Şimdi, WPA2 mevcut standarttır ve 802'nin bir parçası
olarak oluşturulmuştur. 11i standardı.
İlk uygulandığında Kablosuz G idi ve daha
sonra Kablosuz N ve Kablosuz AC olarak uygulandı.
Daha güçlü kimlik doğrulama ve daha güçlü
şifreleme ve bütünlük kontrolleri gerektirir.
Bütünlük kontrolü CCMP kullanılarak yapılır.
Şimdi, CCMP, Şifreli Blok Zincirleme Mesaj Kimlik
Doğrulama Kodu Protokolü ile Karşı
Mod anlamına gelir; bu, sınav için ezberlemek
zorunda kalmayacağınız veya ne anlama geldiği
konusunda ağız dolusu bir sözdür.
Hatırlamanız gereken şey, CCMP'yi her gördüğünüzde bunun
WPA2 güvenliğinin bir parçası olduğunu düşünmeniz gerektiğidir.
Yaptıkları ikinci şey ise VES Cipher
4 aracılığıyla RC4'ün eski şifreleme mekanizmasını
Advanced Encryption Standard ya da AES olarak bilinen
yeni bir mekanizma ile değiştirmek oldu.
Artık AES 128 bit anahtar kullanıyor ve bazı yeni modeller
aslında 256 bit veya daha fazla anahtar kullanabiliyor.
Bu, bu kablosuz ağ üzerinden giden verilerinizin
ek güvenliğini ve gizliliğini sağlar.
Bu özel kayıt sırasında, AES hala
kırılmamıştır ve WPA2, algoritmanın kendisi kırılmamıştır,
bu nedenle uzun, güçlü bir şifreniz varsa kullanmak
için iyi bir şeydir.
Şu anda insanların bu ağları kırabilmesinin
tek yolu parola saldırılarını kullanmaktır ve bu da kaba kuvvet
saldırısı veya sözlük saldırısı kullanarak
olası her seçeneği tahmin ederek parolaları
tahmin etmeye çalıştıkları anlamına gelir.
Dolayısıyla, ağlarınızı korumak
istiyorsanız, iyi, uzun ve güçlü bir parola kullandığınızdan emin olun.
WPA2 ayrıca kullanacağınız ağa bağlı olarak
iki farklı modu destekler.
Ev veya küçük ofis ortamında kullanıyorsanız, herkesin aynı
parolaya sahip olduğu önceden paylaşılan
bir anahtar kullanacaksınız.
Bu kişisel mod olarak bilinir.
Diğer yol ise kurumsal modu kullandığınız
geniş bir ortamda kullanmaktır
ve bu durumda her bir kullanıcı
kendilerine özgü tek bir kullanıcı adı ve parolaya sahip
olur ve yerel WPA2 kullanarak merkezi bir
kimlik doğrulama sunucusu kullanır ya da bunu bir 801'e
yükler. 1x kimlik doğrulama sunucusu.
Sınav için kablosuz güvenlikle
ilgili dört şeyi hatırlamanızı istiyorum ve bu tablodaki
dört şeyi hatırlarsanız
harika bir iş çıkaracaksınız.
Öncelikle, bir kablosuz ağla ilgili
olarak açık kelimesini gördüğünüzde,
bu güvenlik yok, koruma yok, şifre yok anlamına gelir.
Eğer WEP'i duyarsanız, bunu başlatma
vektörleriyle ilişkilendirmenizi istiyorum.
WEP'teki kusur budur ve sınavda
duyacağınız şey de budur.
WEP zayıftır, WEP kötüdür.
WEP başlatma vektörleri kullanır.
WPA'yı görürseniz, TKIP ve RC4'ü
düşünmenizi istiyorum çünkü TKIP tamamen başlatma vektörlerini
değiştirmek için kullanılıyordu ve RC4
onun şifreleme biçimiydi.
Tekrar ediyorum, WPA zayıf olarak kabul edilir, kullanmayın.
Ardından, WPA2'yi görürseniz, CCMP ve
AES kısaltmalarını düşünüyor olmalısınız.
CCMP bir Bütünlük Protokolüdür ve AES
kullandığımız şifreleme mekanizmasıdır.
Bu, sınav günü güvenlik için kablosuz soruları
yanıtlamanın anahtarıdır.
Şimdi biraz MAC adresi filtreleme hakkında konuşalım.
Erişim noktalarımızı bir ACL ile yapılandırabiliriz
ve bu, bu adreslere bakabilir ve belirli
MAC adreslerinin ağa bağlanmasına izin verebilir
veya reddedebilir.
Örneğin, iPhone'um ağa bağlanmaya çalışırsa ve
yetkili değilse veya Reddedilenler listesindeyse,
bu el sıkışmayı yapamayacak ve iletişim
kuramayacaktır.
Şimdi, Mac filtreleme ile ilgili sorun hala
MAC adresinizi değiştirmenin ve taklit etmenin
gerçekten kolay olduğu gerçeğinde yatmaktadır.
Bilgili kullanıcılar, serbestçe kullanılabilen araçları
kullanarak Mac adreslerini gerçekten hızlı bir şekilde değiştirebilirler
ve bunu yapmak gerçekten yaklaşık beş saniye sürer.
Bu bazı insanları durduracaktır
ancak kusursuz değildir ve herkesi durdurmayacaktır.
Mac adresinizi değiştirmek istiyorsanız
ve Windows için Mac Address Changer, OSX ve MAC sistemleri
için Mac Daddy X veya Linux için Mac changer gibi araçlar kullanıyorsanız,
bunların hepsi kullanımı gerçekten
kolay araçlardır.
Mac adresleri sizin için büyük bir
koruma kaynağı olmayacaktır, ancak sınava göre savunma ve derinlik stratejinizin
bir parçasını oluşturmak için kullanabileceğiniz
bir korumadır.
Yani gerçek dünyada Mac filtreleme konusunda
çok fazla endişelenmeyin, ancak sınav için bunu
iyi bir güvenlik önlemi olarak görüyorlar.
Ardından, ağlarınızı korumak için küçük bir güvenlik
yardımı olarak kabul edilen SSID yayınınızı
devre dışı bırakıyoruz.
Şimdi, sınava göre, tıpkı MAC filtreleme gibi bunun da yapılması
gereken iyi bir şey olduğunu söylüyorlar.
Gerçek dünyada ise gizli
bir SSID'yi bulmak çok uzun sürmez.
Şimdi, SSID tam olarak nedir?
Sunucu seti tanımlayıcısı anlamına gelir
ve aslında kablosuz ağınızın adıdır.
Örneğin, Starbucks'a giderseniz,
"Starbucks Misafiri" adında bir tane var veya
evime giderseniz, "Dion" adında bir tane var ve bu şekilde sunucu
setinin dışarı çıktığını görebilir
ve "Hey, Dion burada, ona bağlanmalı mıyım? Ve bir ağı ararsanız, etrafınızdaki
tüm isimlerin listesini
görürsünüz, değil mi?
Sunucu Kümesi Kimliği yayınını kapatırsanız,
bunu yayınlamayacak ve mevcut
ağlarınızda görünmeyecektir.
Bu şekilde, kullanıcının ağınıza bağlanmak için adı
manuel olarak yazması gerekir, böylece orada
olduğunu gerçekten bilmesi gerekir.
Şimdi, bununla ilgili sorun, kablosuz
sızma tekniklerini kullanarak bunları bulmanın gerçekten kolay
olması ve yine de onlara bağlanabilmenizdir.
Tek yaptığınız yayınınızı devre dışı bırakmaksa,
bu çok güvenli değildir.
Ancak bunu MAC filtreleme ve uzun, güçlü bir parola ile
birlikte yaparsanız, güvenliği katmanlandırmaya
başlar ve size daha iyi bir güvenlik
duruşu sağlarsınız.