Bölüm 32: Kablosuz Ağ Güvenliği

Menzildeki her radyo o frame’i duydu. Duymak ile okumak arasındaki farkı yaratan şey mesafe değildir; bağlanırken üretilmiş ortak bir sırdır.

O sır hiçbir zaman havaya çıkmadı. Peki iki taraf ona nasıl vardı?

Havada ne şifreleniyor, ne açık kalıyor?

Ağa yeni giren bir cihazın üç işi var ve üçü de sen parolayı yazdıktan sonra, saniyenin içinde bitiyor: access point’le ilişkilendirilecek, ağla karşılıklı kimlik doğrulayacak, frame’lerini şifreleyecek. Üçüncüsü sanıldığından geniş. Koruma yalnızca kullanıcı verisini kapsamıyor. Bağlantıyı koparan deauthentication frame’ini eskiden menzildeki herkes sahte olarak üretebiliyordu; tek bir komutla komşunun bağlantısını düşürmek mümkündü. WPA3’ün zorunlu kıldığı korumalı yönetim frame’leri (PMF) bu tür frame’leri de doğrulamaya bağladı.

Pazarlık bir keşif adımıyla başlıyor: access point beacon yayınlıyor ya da cihazın kendisi bir yoklama isteği gönderiyor. 30. bölümde bu iki yol ağı bulup ilişkilendirmeye kadar götürüyordu; aynı frame’ler bir menü de taşıyor. Access point sunduğu kimlik doğrulama ve şifreleme biçimlerini ilan ediyor, cihaz da içlerinden birini istiyor. Dikkat et: o anda cihaz henüz doğrulanmış değil ve anahtar iki tarafta da yok.

Wi-Fi kartını monitor mode’a alıp yanından geçen her frame’i kaydetmeyi 21. bölümde görmüştük. Menzilde duran bir yabancı da aynı şeyi senden izin almadan yapar; kaydedilen trafik şifreliyse eldeki dosya anlaşılmaz kalır.

Şifrelemenin açık olup olmadığını frame denetim alanındaki tek bitlik Protected Frame bayrağından okuyabilirsin; bitin eski adı, doğduğu protokolden kalma, WEP biti. Başlığın kendisi şifrelenmiyor: adres alanları açıkta gidiyor, şifrelenen kısım yalnızca yük. Dinleyen biri içeriği okuyamaz, kimin kiminle konuştuğunu yine de görür.

Başlık yine de korumasız değil. WPA2’nin şifreleme düzeni CCMP, yani AES’in sayaç kipiyle bir bütünlük kodunun birleşimi; başlığın yolda değişmeyen alanlarını da bu koda katıyor. Biri yolda adresi değiştirirse alıcı frame’i atar. Şifreleme kanalın hızına dokunmaz, yalnızca her frame’e 16 baytlık bir ek getirir: 8 baytlık bir şifreleme başlığı ve 8 baytlık bir bütünlük kodu.

Bütün bu işler tek bir soy ağacında duruyor: WEP’ten WPA’ya, oradan WPA2’ye ve WPA3’e. En eski adın açılımı hedefini de söylüyordu: Wired Equivalent Privacy, yani kablolu ortamla eşdeğer bir mahremiyet. Eski access point kataloglarında güvenlik satırı 64, 128 ve 152 bitlik WEP seçenekleriyle reklam ediliyordu. Bu sayıların 24 biti anahtar değildi; her frame’de açıkta giden bir başlangıç vektörüydü. 64 bitlik WEP’in gerçek anahtarı 40 bitti. WEP’in yapısal kusurları 2001’de yayımlandı, 2007’de anahtar bir dakikadan kısa sürede çıkarılır hâle geldi.

WPA 2003’te, eski donanımda çalışsın diye aceleyle hazırlanmış bir ara çözüm olarak geldi; WPA2 2004’te, WPA3 ise 2018’de. Aradaki on dört yıl boyunca WPA2 el sıkışması sahadaki tek ciddi seçenek olarak kaldı. Bir güvenlik protokolü için uzun bir süre bu ve o sürenin sonunda ne olduğunu birazdan göreceksin.

Parola hattan geçmeden anahtar nasıl doğuyor?

Evinde ve küçük bir ofiste çalışan kipin adı kişisel kip. Access point’e tek bir parola girilir ve bütün cihazlar onu paylaşır. Parolayı yalnızca cihaz ile access point bilir. Parola bağlantıdan önce cihazlarda bulunduğu için bu düzenin adı önceden paylaşılan anahtar (pre-shared key, PSK).

WPA2-PSK doğrulaması iki aşamadan oluşur ve aşamalar birbirinden bağımsız çalışır. Birinci aşamada istemci bir 802.11 Authentication frame’i gönderip Open System ister. Adı kimlik doğrulamaya benziyor ama sana parola sormuyor. Access point Status Code alanına Successful yazıyor ve iş bitiyor. O başarı damgasına aldanma; hiçbir sırrın doğrulandığı anlamına gelmiyor.

Birinci aşama bittiğinde cihaz ilişkilendirilmiştir, ama gerçek doğrulama hiç olmamıştır. İkinci aşama yalnızca o bağlantıya ait taze bir AES anahtarı üretir. Adı dört adımlı el sıkışma (4-way handshake); mesajları EAPOL frame’leriyle taşınır. EAPOL, genişletilebilir kimlik doğrulama protokolünün (EAP) yerel ağ üstünde taşınan biçimi ve adını kurumsal kipte göreceğimiz 802.1X’ten alıyor.

Sırayı adım adım izleyelim. Birinci mesajda access point rastgele bir sayı, bir nonce gönderiyor. İstemci kendi nonce’unu üretiyor; paroladan türeyen ortak sırrı, iki nonce’u ve iki MAC adresini birleştirip oturum anahtarını hesaplıyor. İkinci mesajda kendi nonce’unu, bu anahtarla hesaplanmış bir MIC (bütünlük kodu) ile birlikte gönderiyor. Access point artık aynı hesabı yapabiliyor; MIC tutuyorsa karşı tarafın parolayı bildiğini anlıyor. Üçüncü mesajda kendi MIC’ini ve broadcast frame’lerinde herkesin ortak kullanacağı grup anahtarını şifreli olarak yolluyor. Dördüncü mesaj istemcinin onayı; iki taraf da anahtarı kuruyor.

Nonce’lar kaydedilmiş bir mesajın yeniden oynatılmasını engelliyor ve her bağlantının anahtarını farklı kılıyor. El sıkışma bittiğinde anahtarı iki tarafta hazır buluyorsun, ama parola hiçbir zaman hatta çıkmamış oluyor. 9. bölümde simetrik şifrelemenin anahtar dağıtımı sorununu görmüştük; burada o anahtarı elden veren bir merci yok, iki tarafın ortak parolası var.

Bu düzenin bir zaafı da var. Nonce’lar ve MAC adresleri açıkta gidiyor; eksik olan tek parça parola. Parolayı bilen biri, yani aynı kafenin ağına bağlı herhangi biri, başka bir cihazın el sıkışmasını kaydederse o cihazın oturum anahtarını hesaplayıp trafiğini çözebilir. WPA2-PSK’da aynı parolayı paylaşanlar birbirine karşı korunmaz.

Bağlanma izini frame frame sayabilirsin: bir beacon, iki authentication, iki ilişkilendirme ve dört EAPOL frame’i, toplam dokuz; her birinin ardından dönen ACK’ler bu sayıya dahil değil. Adres alma sırası ondan sonra geliyor, çünkü el sıkışma bitip anahtar kurulmadan access point cihazın veri frame’lerini geçirmiyor; DHCP bile çalışamıyor.

El sıkışmanın kendisi de bir açık taşıyordu

WPA2’nin dört adımlı el sıkışması on üç yıl boyunca sağlam sayıldı; 2005’te matematiksel bir güvenlik kanıtı bile yayımlanmıştı. Mathy Vanhoef’un 2017’de bulduğu kusur şifrede değil, sıralamadaydı. Kanıt anahtarın gizli kaldığını gösteriyordu, ama anahtarın ne zaman ve kaç kez kurulacağını hiç modellemiyordu.

Üçüncü mesaj yolda kaybolabiliyor. Protokol bunu öngörmüş: access point cevap gelmezse aynı mesajı yeniden gönderiyor. İstemci de her aldığında anahtarı yeniden kuruyor. Anahtarı yeniden kurmak, yanındaki sayacı da sıfırlamak demek: nonce olarak kullanılan paket numarası başa dönüyor.

9. bölümde sayaç kipinin en tehlikeli hatasını görmüştük: aynı anahtarla aynı sayacı iki kez kullanmak, iki şifreli metnin XOR’unun iki açık metnin XOR’unu vermesi demek. Saldırgan üçüncü mesajı kaydedip yeniden oynattığında bunu tetikliyor. Anahtar kırılmıyor, tahmin edilmiyor, hesaplanmıyor; yalnızca ikinci kez kullanılıyor. Saldırının adı da bunu söylüyor: anahtarın yeniden kurulması, kısaltmasıyla KRACK (Key Reinstallation Attack). En çarpıcı durum Linux ve Android 6’daki istemci yazılımındaydı: yeniden kurulan anahtar tamamen sıfırlanıyor, trafik sıfırlardan oluşan bir anahtarla şifreleniyordu.

Düzeltmeyi protokolde değil gerçeklemelerde arayacaksın; istemciler aynı anahtarı ikinci kez kurmayı reddeder hâle getirildi. Yani telde giden mesajlar aynı kaldı, değişen şey o mesajlara verilen tepki oldu.

WPA3 el sıkışmayı nasıl değiştirdi?

WPA3’ün getirdiği asıl değişim el sıkışmanın kendisinde. WPA2’nin dört adımı menzilde duran biri tarafından kaydedilebiliyordu. Kayıt eldeyse parola havuzunu denemek ağla hiç konuşmadan, saldırganın kendi makinesinde yapılır; bunun adı çevrimdışı sözlük saldırısı. 2018’de bulunan bir yöntemle tam el sıkışmaya bile gerek kalmadı: access point’in ilk mesajına eklediği tek bir alan (PMKID) denemeye yetiyordu, ortada bağlanan bir istemci olmasa bile.

WPA3’ün kullandığı SAE (Simultaneous Authentication of Equals), Dragonfly ailesinden geliyor: parolayla doğrulanan ve bu saldırıya dayanıklı bir anahtar değişimi. Ailenin tanımı RFC 7664’te yazılı; belgeyi Harkins kaleme aldı, IRTF’in CFRG grubu Kasım 2015’te yayımladı.

Değişim iki adımda kuruluyor. Commit adımında iki taraf da parolaya dair tek bir tahmine bağlanır. Her taraf birer skaler ile eleman üretip değiş tokuş eder ve ortak sırrı hesaplar; skaler büyük bir sayı, eleman ise eliptik eğri üzerinde bir nokta. Confirm adımında ise aynı sırrı türettiklerini, dolayısıyla aynı parolaya sahip olduklarını birbirine kanıtlarlar. Her taraf birer Commit ve birer Confirm gönderdiği için değişim dört frame eder. Diziliş WPA2’nin dört adımına benziyor, üretilen şey benzemiyor.

Ortak sır tek parça da bırakılmaz; ondan iki anahtar türetilir. Biri Confirm adımındaki kanıtı üretir (KCK), öteki bağlantının ana anahtarı olur (PMK). Skaler ve eleman üretildikten sonra ara değer geri dönülemez biçimde yok edilmek zorundadır. Karşı taraf aynı skaler ve elemanı olduğu gibi geri gönderirse bu bir yansıtma saldırısı işaretidir. Değişim orada durur.

SAE bittiğinde dört adımlı el sıkışma yine koşar; ama bu kez paroladan değil, SAE’nin ürettiği ve her bağlantıda farklı olan ana anahtardan başlar. İki kazanç buradan çıkıyor. Parolayı bilen biri bile, kaydettiği başka bir cihazın trafiğini artık çözemez. Parola ileride sızsa bile eski kayıtlar açılmaz; 11. bölümde TLS için gördüğümüz forward secrecy havaya da gelmiş olur.

İki tarafın parolayı hiç göndermeden nasıl anlaştığını izleyelim:

Geçiş kipi eski açığı geri getiriyor

WPA3’e geçişin de bir pürüzü var ve bu kez kusur uyumlulukta. Bir access point hem WPA3 hem WPA2 kabul edecek şekilde ayarlanabiliyor; adı geçiş kipi ve amacı eski cihazları dışarıda bırakmamak.

Sorun şu: hangi kipin kullanılacağına istemci ile access point el sıkışmanın başında karar veriyor ve o pazarlık henüz korunmuyor. Aynı ağ adıyla yalnızca WPA2 sunan sahte bir access point açan biri, istemciyi WPA2 tarafına düşürebiliyor. Bu olduğunda az önce gördüğün WPA3 kazanımı kayboluyor: kaydedilmiş el sıkışmadan parolayı deneme imkânı geri geliyor. Vanhoef ile Ronen bunu 2019’da Dragonblood adıyla yayımladı. Bugünkü çözümlerden biri, WPA3’le bir kez bağlanan cihazın o ağ için WPA2’yi bir daha kabul etmemesi.

Aynı çalışma SAE’nin kendisinde de bir sızıntı buldu: parolayı eğri üzerindeki bir noktaya çeviren adımın süresi paroladan parolaya değişiyordu ve bu süre ölçülebiliyordu. Sonradan eklenen ve 6 GHz bandında zorunlu olan yöntem (hash-to-element) bu adımı her parola için aynı sürede yapıyor.

Kurumsal kipte parola nereye gitti?

Kurumsal kipte parola kullanıcı başına ayrışır ve kimlik olarak sertifika da kullanılabilir. Protokol iki taraf yerine üç taraf arasında koşar: cihaz, access point ve RADIUS gibi bir kimlik doğrulama sunucusu. Access point bu konuşmada neredeyse tamamen bir aktarıcıdır. Kimlik bilgileri istemci ile sunucuda durur, access point’te değil.

Bu düzenin adı 802.1X, resmî adı ise port tabanlı ağ erişim denetimi. Adında ne kablosuz ne parola geçer. İlk hâli 2001’de kablolu Ethernet portları için yazıldı: port, kimlik doğrulanana kadar yalnızca doğrulama trafiğini geçirir. 802.11i aynı denetimi kablosuza taşıdı; burada kapı bekçisi access point’te duruyor.

Standart üç rol tanımlar: kimliğini kanıtlayan istemci (supplicant), kapıyı tutan kimlik denetleyici (authenticator) ve kararı veren sunucu. Kimlik denetleyici ayrı bir kutu değildir; switch’in ya da access point’in üstlendiği bir roldür. İstemciden gelen kimlik yanıtını alır, bir RADIUS Access-Request paketine koyup sunucuya iletir. Aynı EAP verisi iki ayrı zarfla taşınır: cihazla access point arasında EAPOL, access point’le sunucu arasında RADIUS. Sunucunun işi kimlik doğrulamayı, yetkilendirmeyi ve hesap kaydını tek merkezde toplamaktır.

Doğrulamayı istemci de başlatabilir. Bir EAPOL-Start frame’i gönderir, doğrulayıcı kimlik isteğiyle yanıt verir. Oturumu kapatırken EAPOL-Logoff gider ve port yeniden yetkisiz duruma düşer. EAP’in kendisi kimlik doğrulamaz; yöntemleri taşır. Tanımlanmış yaklaşık 40 yöntem var ve aralarındaki fark kullandıkları kimlik malzemesi: parola, sertifika, SIM kartı ya da donanım tokeni. Adlar bunu söyler; EAP-TLS sertifikaya dayanır, EAP-SIM telefonun SIM kartına. İstemci önerilen yöntemi reddedip kendi listesini önerebilir ve bu pazarlık adımının adı NAK.

EAP-TTLS iki aşamada çalışır ve RFC 5281’de tanımlanır. Önce istemci sunucuyu doğrular ve aralarında bir TLS tüneli kurulur. Sonra sunucu istemciyi o şifreli tünelin içinde doğrular, ardından tünel yıkılır. Parola hiçbir zaman açıktan geçmez. 11. bölümdeki TLS tüneli burada bir web sayfasını değil, tek bir parolayı taşımak için kuruluyor. Sahada en yaygın akrabası PEAP; üniversitelerin ortak ağı eduroam da bu tünelli yöntemlere dayanır.

Tünelin bir şartı var ve en sık atlanan ayar o. İstemci sunucunun sertifikasını denetlemezse, aynı ağ adını yayınlayan sahte bir access point kendi sunucusuyla tüneli kurar ve parolayı toplar. Kurumsal Wi-Fi’da en yaygın yapılandırma hatası bu: sertifika denetimi kapalı bırakılmış istemci.

Sonucu sunucu access point’e bildirir ve kanal şifrelemesi için gereken malzemeyi de ona gönderir. Kurumsal kipte de sonunda aynı dört adımlı el sıkışma koşar, ama artık kimlik için değil kanalı şifrelemek için.

Access point’in ilan ettiği menüyü kendi makinende de görebilirsin. Linux’ta nmcli -f SSID,SECURITY,CHAN dev wifi list menzildeki her ağın yanına o satırı basar.

$ nmcli -f SSID,SECURITY,CHAN dev wifi list
SSID              SECURITY      CHAN
kat3-koridor      WPA2          6
lab-3b            WPA3          36
kampus-net        WPA2 802.1X   11

Üçüncü satırdaki 802.1X işareti o ağın kurumsal kipte koştuğunu söyler.

Özet

• Şifrelenen kısım yüktür: başlıktaki adres alanları açıkta gittiği için dinleyen biri içeriği okuyamasa bile kimin kiminle konuştuğunu görür.
• İlişkilendirme kimlik doğrulama değildir: Open System isteğine dönen Successful damgası hiçbir sırrın doğrulandığını göstermez.
• Anahtar oturuma özeldir: dört adımlı el sıkışma paylaşılan sır ile nonce’ları birleştirip her bağlantıya yeni bir AES anahtarı üretir, sırrı hatta hiç koymaz. Ama WPA2-PSK’da parolayı bilen, kaydettiği el sıkışmadan o anahtarı hesaplayabilir.
• KRACK anahtarı kırmadı, yeniden kurdurdu: yeniden gönderilen üçüncü mesaj sayacı sıfırlıyordu; düzeltme protokolde değil gerçeklemelerde yapıldı.
• SAE tahmini pahalılaştırır: Commit ile Confirm üstüne kurulan değişim, kaydedilmiş bir el sıkışmadan parola havuzunu denemeyi işe yaramaz hâle getirir ve her bağlantıya parolayı bilenin bile hesaplayamadığı bir ana anahtar verir.
• Kurumsal kipte kimlik başka yerde durur: access point aktarıcıdır, karar kimlik doğrulama sunucusundadır ve el sıkışma yalnızca kanalı şifrelemeye yarar.

Evdeki ağın kapısını kimin, neyle ve hangi sırayla açtığını artık biliyorsun. Sokağa çıkınca o kapı arkanda kalıyor. Peki hiçbir kablosuz ağ yokken telefonun neye bağlanıyor?