Kablosuz Ağlarda Tarama - Wardriving / Warchalking
Kablosuz ağların kırılabilmesi ve içeri sızabilmek için öncelikle saldırganın açık ağları keşfetmesi gerekmektedir. Bu yazı bunun için bilinen metodları ve bunlara karşı nasıl önlem alınacağını anlatacaktır.
Kablosuz ağlarda tarama nedir?
Kablosuz tarama, kablosuz ağdaki uygun AP lerin bulunabilmesi metodudur. Kablosuz ağ kartının promiscuous modda (her paketi kabul eden mod) çalışması ve yazılımınızın iletişime açık AP leri tespit etmesi ile kablosuz ağların tanımlanmasıdır. Bir kere ulaşılabilir bir AP bulduktan sonra, Wardriver onu kullanılabilir klasör olarak tanımlar. Bundan sonra saldırgan o AP in gerekli bütün bilgilerine ulaşabilir(SSID, WEP, MAC vs.) Saldırgan ağa girmek isterse, bütün paketleri daha sonra incelenmek üzere loglar veya WEP ahantar kırıcısını çalıştırarak zayıf anahtar kullanılıyorsa bunu ele geçirir.
Kablosuz ağı taramak için birkaç değişik yol vardır. En çok bilinen ve kullanılan method Wardriving ve sonra da Warchalking dir. Warstrolling, Warflying gibi başka methodlarda vardır. Bu yazıda sadece Wardriving ve Warchalking den bahsedeceğiz.
Niçin "War" ? (Niçin "Savaş"
Wardriving ve Warchalking iinde kullanılan "war" kelimesi aslında eski zamanlarda kullanılan Wardialing den gelmektedir. Wardialing, saldırı amacıyla kullanmak üzere bir telefon numarasının bütün ihtimallerini deneyerek modem takılı olan hattı bulmak olarak tanımlanabilir. Bu yazıda kullanılan Wardriving de kablosuz ağlar için aynı mantıkta kullanılmaktadır.
WarDriving
Wardriving, ilk ve en çok bilinen kablosuz ağ tespit etme (tabii ki güvenliği olmayan yada az olan) metodudur. Genellikle bir gezici birim ile mesela dizüstü veya el bilgisayarları ile kullanılır. Wardriving taraması son derece ustalıkla ve çok basit yollarla gerçekleşir: Saldırgan dizüstü veya el bilgisayarı ile arabasında otururken bir kablosuz ağ tespit edebilir(NetStumbler for Windows, BSD-AirTools for BSD veya AirSnort for Linux) Bir kere uygun bir AP tespit edildikten sonra saldırgan bunu kullanılabilir klasör olarak tanımlar ve araştırabilir. Ve hatta internete ulaşmasını engelleyebilir.
Wardrive için gerekli olan ekipman: Kablosuz ağ kartı (PCMCIA), kendinizi harita üzerinde tespit edebilmek için GPS (Global Position System - Global yer tespit sistemi) -bu aslında çok da gerekli bir araç değildir- , dizüstü veya başka tür bir gezici bilgisayar, Linux red Hat veya Debian işletim sistemi (Windows pek tavsiye edilmemektedir), kablosuz iletişim yazılımları (WEPCrack, AirSnort vs..)
Yukarıda sayılan ekipmanlar kolaylıkla bulunabilir ve çok ucuzdur.
WarChalking
" Ve yeni bir dil gelişiyor: WarChalking. Bu fikir "hobo sembolleri - hobo symbols" temeline dayalıdır ve caddedeki semboller orada açık bir kablosuz ağ olduğunu ve ayarlarını anlatır. Anlaşılması güç ve kargacık burgacık gibi gözükmekte ve birçok insan bunun eski grafiti yazılarına benzediğini düşünerek aldırmadan yürüyüp geçmektedir fakat saldırganların anlayabileceği birçok bilgi içerirler" - Zig
WarChalking bi grup arkadaş tarafından 2002 haziranında tasarlandı ve Matt Jones tarafından yayınlandı.
WarChalking basitçe, yol kenarlarına veya duvarlara tebeşir ile orada bir kablosuz ağın olduğunu gösteren semboldür, böylece diğerleri kolayca bu ve diğer detayları not edebilmekte idi. WarChalking, yolların düşük teknoloji krallarının birbilerini barınak, yemek ve potansiyel tehlikelere karşı korumak için kullandıkları hobo işeret dilinin modern uyarlamasıdır. Bu tebeşir işaretleri, kablosuz ağlar hakkında görsel bir işaretten başka birşey vermez.
Aşağıdakiler WarChalking sembolleridir:
Symbol Key
SSID Open Node
)(
Bandwidth
SSID Closed Node
()
WEP Node SSID Access Contact
( W )
Bandwidth
WarChalking’e bir örnek:
Retina
)(
1.5
Bu sembolün manası; Burada SSID “Retina” olan ve bant genişliği 1.5 Mbps olan bir istasyon olduğudur.
Bu sembolleri kullanmakla, WarDrivers için gerekli olan istasyona ve ağa ait birçok bilgi alınmış oluyor. WarChalking'i anlamanın yollarını bilen biri, ağada rahatlıkla online olabilir.
WLAN ları güvenli hale getirmek
Kablosuz ağları güvenli hale getirmek kablolu ağlara göre çok daha basittir. Güvenli bir kablosuz ağ yaratabilmek için birkaç işlem yeterliş olacaktır. Bunun yanında kendinize "Neden o zaman kablosuz ağları kırmak bu kadar kolay?" diye sorabilirsiniz. Cevabı çok basit. Bir şirket ne zaman bir kullanıcısına kablosuz olarak bağlanmak istese, sistem sorumluları sıklıkla router, ateş duvarı, AP, WEP i açma ve diğer birçok şeyin başlangıç değerlerini değiştirmeyi unutmaktadır. Başlangıç değerleri değiştirilmediği için de bu ağ artık saldırılara açık hale gelmektedir.
Bunun yanında, sistem sorumlularının birçoğu, kablosuz ağların, binanın duvarlarının dışına kadar gittiğini unutmaktadır. Kapıda güvenlik memuru olabilir, ve kablolu ağlar için en iyi ateş duvarlarına sahip olabilirsiniz fakat kablosuz ağlar için arka kapı sonuna kadar açıktır.
Kablosuz ağları güvenli hale getirmek için neler yapılabileceğini bu yazıda anlatmayacağız. Bundan sonraki yazımızda bu konuda olacaktır.
Bazı Linkler ve Kaynaklar:
http://www.wifimaps.com - Kablosuz ağlarda AP leri kullanılır klasör (MAP Server) yapmaya yarayan yazılımlar
http://www.kraftvoll.at/software/index.shtml - Linux için GPS driving yazılımı
http://www.kismetwireless.net - Konsol tabanlı kablosuz ağ dinleme yazılımı. GPS desteği ve daha birçok özelliği var
http://airsnort.shmoo.com - GUI arabirimi olan ve WEP anahtarlarını kırmaya yarayan kablosuz ağ dinleme yazılımı
ftp://ftp.cs.pdx.edu/pub/mobile - FreeBSD Kablosuz tarayıcı
http://www.blackbeltjones.com/warchalking/warchalking0_9.pdf - WarChalking Sembolleri
http://wepcrack.sourceforge.net - WEPCrack – Linux
http://www.blackalchemy.to/Projects/fakeap/fake-ap.html - AP aldatma yazılımı - Linux
http://prismstumbler.sourceforge.net/ - PrismStumbler – Linux
http://www.bastard.net/~kos/wifi/ - SSID Sniff – Linux
http://www.techm.com/font2.html - Hobo Sembolleri
Kablosuz ağların topolojileri hakkında söylenecek çok fazla söz yoktur aslında. 2 ana bileşeni vardır; istasyonlar (STA - Stations) ve erişim noktaları (AP - Access Points). Kablosuz ağlar 2 değişik modda çalışırlar; ad-hoc (peer-to-peer) ve infrastructure. ad-hoc modunda, kullanıcılar ağdaki bir diğer kullanıcı ile direkt olarak iletişimde bulunurlar. Infrastructure modunda ise, her kullanıcı (STA) iletişimi erişim noktası (AP) ile yapar. AP ler kablolu ağlardaki köprü görevi gören ahantarlama ürünleri ile aynı görev ve yapıdadır.
Kullanıcı ve erişim noktaları veri transferine başlamadan önce iletişim kurmalıdırlar. Kullanıcı ile erişim noktası arasındaki bu iletişim başlangıcında 3 durum söz konusudur:
1. Doğrulanmamış ve ilişkilendirilmemiş (Unauthenticated and unassociated)
2. Doğrulanmış ve ilişkilendirilmemiş (Authenticated and unassociated)
3. Doğrulanmış ve ilişkilendirilmiş (Authenticated and associated)
Gerçek veri transferi ancak 3. durumda gerçekleşebilir. STA ve AP iletişimde yönetim çerçevelerini kullandıktan sonraki ana kadar. AP ler belli zaman aralıkları ile işaret yönetim çerçeveleri yollarlar. Kullanıcı bu çerçeveyi alır ve kimlik tanımlaması için kimlik tanımlama çerçevesini yollamaya başlar. Başarılı bir şekilde kimlik tanımlaması gerçekleştikten sonra kullanıcı ilişkilendirme çerçevesini yollar ve AP buna yanıt verir.
Kablolu Ağlarda Eşdeğer Protokol
Kablolu ağlardaki eşdeğer protocol veya WEP, yazarları tarafından ilk olarak 802.1 standardı olarak tasarlandı. WEP, IPSEC gibi güvenli bir ağ protokolu olma desteği verecek şekilde tasarlanmadı. Fakat eşit seviyede kişisel güvenlik sağlamaktaydı. WEP, radyo dalgaları üzerindeki verilerin şifrelenesini sağlamaktaydı. WEP, kablosuz ağlara izinsiz girişleri engellemek için kullanıldı. WEP normalde başlangıç değeri olarak kullanımda değildir. Eğer kullanıma açılırsa, gönderilen her paket şifreli olarak iletilecektir.
WEP protokolü, BBS (Basic Set Service)lerde paylaşılmış olan gizli anahtar mantığına dayalıdır. Bu anahtar veri paketlerini göndermeden önce şifrelemek ve bunların veri bütünlüğünü kontrol etmek için kullanılır. WEP, akış (stream) şifreleme olan RC4 algoritmasını kullanır. Akış şifreleme, kısa anahtardan sonsuz sahte rastgele anahtara (infinite pseudo-random key) genişletilmiştir.
WEP Şifreleme Algoritması
- ICV olarak bilinen, Bütünlük algoritması, bütünlük kontrol değerini ürettiği halde şifresiz metin yollanır. CRC-32 nin kullanımına ait özellikler 802.11 standartlarında belirtilmiştir.
- Bütünlük kontrol değeri, şifresiz metinin sonuna eklenir
- 24 bit başlangıç durumu vektörü (IV - initialization vector) yaratılır ve gizli anahtar içine sıralanır. Sonra WEP sahte rastgele numara yaratıcısına (PRNG - pseudo-random number generator)kök değer yaratılmak üzere yollanır
- PRNG anahtar sırasını çıkartır
- Veri yaratılan bu anahtar sırası ile XORing tarafından şifrelenir
- IV, şifresiz metnin sonundaki koruma çerçevesini temizler ve yollar.
Şifrenin çözülmesindeki karmaşıklık, yukarıdaki algoritmaya bakılarak kolaylıkla görülebilir. IV, gizli ahantarın ömrünü uzatmada kullanılır.
WEP 2
IEEE, WEP protocolünü 2001 de değiştirmeyi amaçlıyordu. Birkaç kusurdan sonra orjinal olanı keşfedildi. Yeni uyarlaması, WEP2, IV alanını 24 bit den 128 bit e arttırdı ve Cerberus V desteği sağladı. Sonuçta problemler tekrar başgöstermedi. WEP2 nin bütünü için tamamen bir destek henüz hazırlanmadı.
Açık Sistem Kimlik Tanımlaması (Open System Authentication)
Her kablosuz ağ 2 kimlik tanımlama sistemine sahiptir. Açık sistem kimlik tanımlaması ilk olup, 802.11 için başlangıç protokolüdür. Sistem her kimlik tanımlaması isteyene bu kimlik tanımlaması sistemini tavsiye etmektedir. Eğer kullanıma açık ise, belirtilen tecrübelerden dolayı kimlik tanımlama yönetim çerçevelerinin şifresiz metin olarak yollanmasında WEP hiç yararlı değildir.
Erişim Kontrol Listesi
Bu güvenlik özelliği 802.11 standardında tanımlanmamıştır. Fakat üreticiler tarafından kullanılarak standart güvenlik önlemlerine ek olarak daha iyi bir güvenlik sağlamaktadır. Erişim Kontrol Listeleri, kullanıcının sahip olduğu kablosuz ağ kartındaki MAC adrelerine göre yapılır. AP ler kullanıcının ağı kullanmasını bu erişim kontrol listelerine göre sınırlandırırlar. Eğer kullanıcının MAC adresi listede varsa ve ağa ulaşım için izin verilmişse erişime izin verilir. Diğer halde erişim engellenecektir.
Kapalı Ağ Erişim Kontrolü (Closed Network Access Control)
Bu özellik sistem sorumlusunun ister kapalı ister açık ağda kullanımına izin verir. Açık ağ demek, herkezin ağa girişine izin verilmiş olması demektir. Ağ kapalı iken, sadece SSID si veya ağ ismi bilinen kullanıcılar katılabilir. Ağ ismi paylaşımlı anahtar görevi görecektir.
Kablosuz Ağlarda Saldırı
Bir çoğunuz bu bölümü daha ilginç bulacaksınız, çünki bu bölümde kablosuz ağ ile uzlaşabilmek, bant genişliğini çalabilmek ve sadece eğlence amaçlı olan en yaygın saldırı teknikleri anlatılacaktır. Eğer yakınınızda bir kablosuz ağ varsa veya geniş bir kablosuz ağ kullanımı olan bir yerde çalışıyorsanız, açıklanacak olan bu saldırı tiplerinin %98 i başarıyla sonuç verecektir.
Saldırganların saldırıda bulundukları kablosuz ağların %95 i tamamen korunmasızdır. Yürürlükteki standarda göre (802.11b) bant genişliği 11 Mbps e kadardır. Eğer saldırılan ağ başlangıç değerlerini kullanıyor ise, saldırgan bütün bant genişliğini kullanabilecektir. Çok inandırıcı bir örneği aşağıdaki linkte bulabilirsiniz:
http://neworder.box.sk/newsread.php?newsid=3899
# AP Yanıltma (Spoof) ve MAC Adresi Dinleme (Sniff)
Güçlü kimlik formları kullanıldığında ALC (Erişim Kontrol Listeleri) ler kabul edilebilir bir güvenlik seviyesi sağlamaktadırlar. Ne yazık ki aynı şey MAC adresleri için geçerli değildir. MAC adresleri WEB kullanılabilir durumda iken dahi şifresiz metin olarak saldırgan tarafından kolaylıkla dinlenebilir. Ayrıca, kablosuz ağ kartlarının bir yazılım vasıtası ile MAC adresleri kolaylıkla değiştirilebilir. Saldırgan tüm bu avantajları kullanarak ağa nüfuz edebilmektedir.
MAC adresini dinlemek çok kolaydır. Paket yakalama yazılımı kullanarak saldırgan kullanılan bir MAC adresini tespit eder. Eğer kullandığı kablosuz ağ kartını izin veriyorsa MAC adresini bulduğu yeni MAC adresine değiştirebilir ve artık hazırdır.
Eğer saldırgan yanında kablosuz ağ ekipmanı bulunduruyorsa ve yakınında bir kablosuz ağ varsa, artık aldatma (spoof) saldırısı yapabilir demektir. Aldatma saldırısı yapabilmek için, saldırgan kendine ait olan AP yi yakınındaki kablosuz ağa göre veya güvenebileceği bir internet çıkışı olduğuna inanan bir kurbana göre ayarlamalıdır. Bu sahte AP nin sinyalleri gerçek AP den daha güçlüdür. Böylece kurban bu sahte AP yi seçecektir. Kurban bir kere iletişime başladıktan sonra, saldırgan onun şifre, ağ erişim ve diğer önemli bütün bilgilerini çalacaktır. Bu saldırının genel amacı aslında şifre yakalamak içindir.
WEP Saldırıları
Şifresiz Metin Saldırıları
Bu saldırıda saldırgan şifreli ve şifresiz metinleri ikisinede sahiptir. Ortada olmayan tek şey anahtardır. Anahtarı elde edebilmek için saldırgan hedef sisteme küçük bir veri parçası yollar ve buna karşılık yollanan veriyi yakalar. Bu verinin ele geçirilmiş olması demek IV nin ele geçirilmiş olması demektir. Şimdi saldırgan sözlük kullanarak (brute-force) anahtarı bulacaktır.
Başka bir şifresiz metin saldırısı basit bir şekilde XOR kullanarak sistem akış ahantarınının çalınmasdır. Eğer saldırgan şifresiz ve şifreli metne sahipse, şifreli metne XOR kullanarak anahtarı elde edebilir. Saldırgan doğru IV ile akış anahtarını kullanabilir ve paketlere kimlik tanımlaması olmayan kablosuz ağ bilgisi enjekte ederek erişim noktasına yollar.
Şifreli Akışın Yeniden Kullanımı (Cipher Stream Reuse)
Bu problem saldırganın WEP paketindeki (şifreli paket) akış anahtarını bulmasını sağlar. WEP şifreleme algoritması başlangıç durumuna getirme vektörünü küçük alanlar halinde bildirir. Bu akış şemasında saldırgan sisteme çeşitli IV paketleri göndererek akış anahtarını yakalar. Saldırgan şifresiz mesaj ile XORing kullanarak şifreli mesajı şifresiz duruma getirir. (Not: saldırı hem şifreli hemde şifresiz metin içermelidir) Sonra, ağdaki kimlik tanımlaması veri trafiği sırasında, saldırgan araya girebilir ve akış anahtarını kullanarak bunu şifresiz metine çevireilir.
Fluhrer-Mantin-Shamir Araştırması (Fluhrer-Mantin-Shamir Research)
Bu araştırma projesi Ağustos 2001 de Cisco firmasından Scott Fluhrer, “Computer Science Department of The Weizmann Institute in Israel” den Itsik Mantin ve Adi Shamir tarafından yayınlandı. Proje RC4 deki Anahtar Zamanlama Algoritmasındaki (KSA - Key Scheduling Algorithm) zayıflıklar hakkındadır.
Bu grup KSA de 2 zayıflık keşfetmişlerdir. Bu grubun proje sayfalarında açıklanan saldırı tekniği hem WEP (24 bit) hemde WEP2 (128 bit) anahtarlarını kırmaktadır. Adam Stubblefield veya Rice Üniversitesi ve AT&T laboratuvarlarından John Loannidis ve Aviel Rubin bu saldırı tekniğini onayladılar. Saldırı onaylandıktan sonra 2 yeni yazılım kullanıma sunuldu (AirSnort ve WEPCrack). Bunların kaynak kodu asla yayınlanmadı.
Ortadaki Adam Saldırısı (Man-in-the-middle)
Bu kategorideki birçok saldırı ARP zehirlemesine (ARP poisoning) veya önbellek zehirlenmesine (Cache poisoning) dayanmaktadır. Temel olarak, ARP aldatması (ARP Spoofing), IP ve Ethernet protokollerinin kesintiye uğratılması metodudur. Bundan dolayı bu kısım ARP protokolleri veya ARP saldırıları ile alakalı değildir. Bu kısımda kısaca saldırılar ve amaçlarına değineceğiz.
Saldırgan, hedef ağdaki AP ile aynı tipteki bir özel sanal ağ sunucusunu birleştirir. Kullanıcı gerçek sunucuya ulaşmak istediğinde, aldatılmış olan sunucu cevap verir, böylece kullanıcı sahte sunucuya bağlanır.
Bu tipteki saldırılar bu yazıda anlatılamayacak kadar karmaşıktır. Fakat daha fazla bilgi için www.ebcvg.com adresinden ARP zehirlenmesi hakkındaki dökümanlara bakabilirsiniz.
Kısa-süreli fırsat (Low-Hanging Fruit)
Kablosuz ağlara saldırı yapan saldırganlar kuvvetle muhtemel bu saldırı ile başlayacaklardır. Çünki birçok ağ tamamen korumasızdır ve WEP başlangıç değeri olarak kullanıma açık değildir.
Bütün saldırganlar saldırı için kablosuz ağ kartı ve tarama yazılımları gibi (yazının sonunda bu konuda bazı linkler vereceğim) araçlara ihtiyaç duyar. Saldırganlar tarama yaparak bağlantıya açık AP ler bulmayı ve bağlanmayı amaçlarlar. Bunu bedava internet ulaşımı veya bu ağ üzerinden saldırı yapabilmek için yaparlar. Asıl saldırıyı yapacağı ağa başka bir ağ üzerinden saldırması onun yakalanma riskini ortadan kaldırır.
Kablosuz Ağları Güvenli Hale Getirme
Kablosuz ağlar çok popüler firmalar tarafından kullanılmaya başlandı, çünki bu tip ağlar kullanıcılarının rahatça binada dolaşarak ağda kalmalarını ve internete çıkmalarını sağlamaktadır. Yeni teknolojiler iyi güvenlik seviyesinde başarısızlardır. Kablosuz iletişim de bunun dışında değildir. Bu bölümde kablosuz ağlarda güvenliği arttırmanın en bilinen yöntemlerini anlatacağım.
MAC Adres Filtreleme
Bu metod, AP ile iletişim kurmaya izin verilmiş kullanıcıların kablosuz ağ kartlarının MAC adreslerinin listelenmesi ve kullanılmasıdır. Eğer birkaç AP varsa, bu listeler kullanıcının iletişimde bulunacağı bütün AP lerde tanımlanmalıdır. Sistem sorumluları bu listeleri güncelleme konusunda çok dikkatli olmalıdır. Yine de bu metod bir korunmasızdır (yukarıda anlatıldığı gibi) ve güvenli kablosuz ağlar için yaygın bir şekilde kullanılmaktadır.
WEP
Yukarıda anlatılan duruma göre, WEP, AP ile kullanıcı arasındaki iletişim için kesin bir veri şifreleme sağlamaktadır. Fakat WEP mutlaka kullanıma açılmalıdır, çünki saldırgan için daha rahat girilebilecek bir ağ yaratmaya ihtiyacımız yok. Tekrar söylemek gerekirse, bu metod da değişik saldırılar ile geçilebilir.
SSID (Ağ Kimliği - Network ID)
Geüvenli kablosuz ağlarda ilk kullanım denemesi Ağ Kimliğidir (SSID). Kablosuz kullanıcı AP ile iletişim kurma başlangıcında iken SSID gönderilmektedir. SSID 7 digit ve hem rakam hemde harflerden oluşan, hem AP hemde kullanıcı kablosuz ağ kartlarına zor kodlanabilen bir kimliktir. SSID nin kullanımı ise, AP tarafından iletişime izin verilen doğru Ağ Kimliği taşıyan kullanıcılar tarafından gerçekleşir. WEP in kullanıma açılması ile, SSID şifreli bir şekilde yollanır, fakat eğer saldırgan fiziksel olarak aygıta ulaşabiliyorsa, SSID yi bulabilir çünki şifresiz metn olarak saklanmaktadır.
SSID saldırgan tarafında bir kere ele geçirilirse, sistem sorumlusu yeni bir SSID yi elle tanımlamak zorundadır.
Ateş Duvarları
Ateş Duvarı kullanımı kablosuz ağlarda izinsiz girişleri engellemek için muhtemelen tek güvenlik özelliğidir. Aşağıda bahsedildiği gibi, ağa ulaşım sadece IPSec, Güvenli Kabuk (Secure Shell) veya VPN ile sağlanmalıdır. Böylece ateş duvarı sadece IPSec veya Güvenli Kabuk trafiğine göre ayarlanabilir. Kablosuz ağlardan kablolu ağlara erişimi örneklemek gerekirse:
1. Kablosuz kullanıcıya kimlik tanımlaması yapılmıl olmalı ve AP ile iletişimi sağlanmalıdır. Daha iyi güvenlik için, AP lerde MAC adres filtrelemesi uygulanmalıdır.
2. AP ler IP isteklerini DHCP sunucuya yollar. Sunucu kullanıcıya bir adres ataması yapar. Adres ataması yapıldıktan sonra, kablosuz kullanıcı kablosuz ağa dahil olur. Eğer bu kullanıcı kablolu ağa girmek isterse IPSec VPN tüneli veya Güvenli Kabuk’ran biri uygulanmalıdır.
Ateş duvarının sadece güvenli bağlantıları kabul etmesi çok önemlidir, diğer tüm bağlantı isteklerine kapalı olmalıdır.
Erişim Noktaları (AP - Access Point)
Erişim noktaları MAC adres filtrelemeye olanak sağlarlar ve öyle de konfigüre edilmelidirler zaten. Bunun yanında MAC adresleri dinlenebilir (Yukarıya bakınız). Sistem sorumluları AP lerin güvenli bir noktada olmasına dikkat etmelidirler, ki izinsiz fiziksel erişim sağlanamasın.
AP ler telnet, web tarayıcı veya SNMP ile konfigüre edilebilir. Size sadece telnet ile konfigüre etmenizi ve iğer tüm yolları kapatmanızı tavsiye ederiz.
Tasarımda Dikkat Edilecekler (Design Considerations)
Güvenli kablosuz ağlar gerçekleştirmeden önce ağı doğru tasarlamak çok önemlidir. Doğru tasarlanmış ağlar bazı kablosuz ağ risklerini azaltacaktır.
Bazı doğru tasarım ipuçları:
1. Kablosuz ağınızı VPN ve ACL ile koruyunuz
2. Eğer WEP kullanıma açık değilse erişim noktalarınızı (AP) asla kablolu ağınıza bağlamayınız
3. Erişim noktalarınızı (AP) asla ateş duvarının arkasına koymayınız
Kablosuz ağların kırılabilmesi ve içeri sızabilmek için öncelikle saldırganın açık ağları keşfetmesi gerekmektedir. Bu yazı bunun için bilinen metodları ve bunlara karşı nasıl önlem alınacağını anlatacaktır.
Kablosuz ağlarda tarama nedir?
Kablosuz tarama, kablosuz ağdaki uygun AP lerin bulunabilmesi metodudur. Kablosuz ağ kartının promiscuous modda (her paketi kabul eden mod) çalışması ve yazılımınızın iletişime açık AP leri tespit etmesi ile kablosuz ağların tanımlanmasıdır. Bir kere ulaşılabilir bir AP bulduktan sonra, Wardriver onu kullanılabilir klasör olarak tanımlar. Bundan sonra saldırgan o AP in gerekli bütün bilgilerine ulaşabilir(SSID, WEP, MAC vs.) Saldırgan ağa girmek isterse, bütün paketleri daha sonra incelenmek üzere loglar veya WEP ahantar kırıcısını çalıştırarak zayıf anahtar kullanılıyorsa bunu ele geçirir.
Kablosuz ağı taramak için birkaç değişik yol vardır. En çok bilinen ve kullanılan method Wardriving ve sonra da Warchalking dir. Warstrolling, Warflying gibi başka methodlarda vardır. Bu yazıda sadece Wardriving ve Warchalking den bahsedeceğiz.
Niçin "War" ? (Niçin "Savaş"
Wardriving ve Warchalking iinde kullanılan "war" kelimesi aslında eski zamanlarda kullanılan Wardialing den gelmektedir. Wardialing, saldırı amacıyla kullanmak üzere bir telefon numarasının bütün ihtimallerini deneyerek modem takılı olan hattı bulmak olarak tanımlanabilir. Bu yazıda kullanılan Wardriving de kablosuz ağlar için aynı mantıkta kullanılmaktadır.
WarDriving
Wardriving, ilk ve en çok bilinen kablosuz ağ tespit etme (tabii ki güvenliği olmayan yada az olan) metodudur. Genellikle bir gezici birim ile mesela dizüstü veya el bilgisayarları ile kullanılır. Wardriving taraması son derece ustalıkla ve çok basit yollarla gerçekleşir: Saldırgan dizüstü veya el bilgisayarı ile arabasında otururken bir kablosuz ağ tespit edebilir(NetStumbler for Windows, BSD-AirTools for BSD veya AirSnort for Linux) Bir kere uygun bir AP tespit edildikten sonra saldırgan bunu kullanılabilir klasör olarak tanımlar ve araştırabilir. Ve hatta internete ulaşmasını engelleyebilir.
Wardrive için gerekli olan ekipman: Kablosuz ağ kartı (PCMCIA), kendinizi harita üzerinde tespit edebilmek için GPS (Global Position System - Global yer tespit sistemi) -bu aslında çok da gerekli bir araç değildir- , dizüstü veya başka tür bir gezici bilgisayar, Linux red Hat veya Debian işletim sistemi (Windows pek tavsiye edilmemektedir), kablosuz iletişim yazılımları (WEPCrack, AirSnort vs..)
Yukarıda sayılan ekipmanlar kolaylıkla bulunabilir ve çok ucuzdur.
WarChalking
" Ve yeni bir dil gelişiyor: WarChalking. Bu fikir "hobo sembolleri - hobo symbols" temeline dayalıdır ve caddedeki semboller orada açık bir kablosuz ağ olduğunu ve ayarlarını anlatır. Anlaşılması güç ve kargacık burgacık gibi gözükmekte ve birçok insan bunun eski grafiti yazılarına benzediğini düşünerek aldırmadan yürüyüp geçmektedir fakat saldırganların anlayabileceği birçok bilgi içerirler" - Zig
WarChalking bi grup arkadaş tarafından 2002 haziranında tasarlandı ve Matt Jones tarafından yayınlandı.
WarChalking basitçe, yol kenarlarına veya duvarlara tebeşir ile orada bir kablosuz ağın olduğunu gösteren semboldür, böylece diğerleri kolayca bu ve diğer detayları not edebilmekte idi. WarChalking, yolların düşük teknoloji krallarının birbilerini barınak, yemek ve potansiyel tehlikelere karşı korumak için kullandıkları hobo işeret dilinin modern uyarlamasıdır. Bu tebeşir işaretleri, kablosuz ağlar hakkında görsel bir işaretten başka birşey vermez.
Aşağıdakiler WarChalking sembolleridir:
Symbol Key
SSID Open Node
)(
Bandwidth
SSID Closed Node
()
WEP Node SSID Access Contact
( W )
Bandwidth
WarChalking’e bir örnek:
Retina
)(
1.5
Bu sembolün manası; Burada SSID “Retina” olan ve bant genişliği 1.5 Mbps olan bir istasyon olduğudur.
Bu sembolleri kullanmakla, WarDrivers için gerekli olan istasyona ve ağa ait birçok bilgi alınmış oluyor. WarChalking'i anlamanın yollarını bilen biri, ağada rahatlıkla online olabilir.
WLAN ları güvenli hale getirmek
Kablosuz ağları güvenli hale getirmek kablolu ağlara göre çok daha basittir. Güvenli bir kablosuz ağ yaratabilmek için birkaç işlem yeterliş olacaktır. Bunun yanında kendinize "Neden o zaman kablosuz ağları kırmak bu kadar kolay?" diye sorabilirsiniz. Cevabı çok basit. Bir şirket ne zaman bir kullanıcısına kablosuz olarak bağlanmak istese, sistem sorumluları sıklıkla router, ateş duvarı, AP, WEP i açma ve diğer birçok şeyin başlangıç değerlerini değiştirmeyi unutmaktadır. Başlangıç değerleri değiştirilmediği için de bu ağ artık saldırılara açık hale gelmektedir.
Bunun yanında, sistem sorumlularının birçoğu, kablosuz ağların, binanın duvarlarının dışına kadar gittiğini unutmaktadır. Kapıda güvenlik memuru olabilir, ve kablolu ağlar için en iyi ateş duvarlarına sahip olabilirsiniz fakat kablosuz ağlar için arka kapı sonuna kadar açıktır.
Kablosuz ağları güvenli hale getirmek için neler yapılabileceğini bu yazıda anlatmayacağız. Bundan sonraki yazımızda bu konuda olacaktır.
Bazı Linkler ve Kaynaklar:
http://www.wifimaps.com - Kablosuz ağlarda AP leri kullanılır klasör (MAP Server) yapmaya yarayan yazılımlar
http://www.kraftvoll.at/software/index.shtml - Linux için GPS driving yazılımı
http://www.kismetwireless.net - Konsol tabanlı kablosuz ağ dinleme yazılımı. GPS desteği ve daha birçok özelliği var
http://airsnort.shmoo.com - GUI arabirimi olan ve WEP anahtarlarını kırmaya yarayan kablosuz ağ dinleme yazılımı
ftp://ftp.cs.pdx.edu/pub/mobile - FreeBSD Kablosuz tarayıcı
http://www.blackbeltjones.com/warchalking/warchalking0_9.pdf - WarChalking Sembolleri
http://wepcrack.sourceforge.net - WEPCrack – Linux
http://www.blackalchemy.to/Projects/fakeap/fake-ap.html - AP aldatma yazılımı - Linux
http://prismstumbler.sourceforge.net/ - PrismStumbler – Linux
http://www.bastard.net/~kos/wifi/ - SSID Sniff – Linux
http://www.techm.com/font2.html - Hobo Sembolleri
Kablosuz ağların topolojileri hakkında söylenecek çok fazla söz yoktur aslında. 2 ana bileşeni vardır; istasyonlar (STA - Stations) ve erişim noktaları (AP - Access Points). Kablosuz ağlar 2 değişik modda çalışırlar; ad-hoc (peer-to-peer) ve infrastructure. ad-hoc modunda, kullanıcılar ağdaki bir diğer kullanıcı ile direkt olarak iletişimde bulunurlar. Infrastructure modunda ise, her kullanıcı (STA) iletişimi erişim noktası (AP) ile yapar. AP ler kablolu ağlardaki köprü görevi gören ahantarlama ürünleri ile aynı görev ve yapıdadır.
Kullanıcı ve erişim noktaları veri transferine başlamadan önce iletişim kurmalıdırlar. Kullanıcı ile erişim noktası arasındaki bu iletişim başlangıcında 3 durum söz konusudur:
1. Doğrulanmamış ve ilişkilendirilmemiş (Unauthenticated and unassociated)
2. Doğrulanmış ve ilişkilendirilmemiş (Authenticated and unassociated)
3. Doğrulanmış ve ilişkilendirilmiş (Authenticated and associated)
Gerçek veri transferi ancak 3. durumda gerçekleşebilir. STA ve AP iletişimde yönetim çerçevelerini kullandıktan sonraki ana kadar. AP ler belli zaman aralıkları ile işaret yönetim çerçeveleri yollarlar. Kullanıcı bu çerçeveyi alır ve kimlik tanımlaması için kimlik tanımlama çerçevesini yollamaya başlar. Başarılı bir şekilde kimlik tanımlaması gerçekleştikten sonra kullanıcı ilişkilendirme çerçevesini yollar ve AP buna yanıt verir.
Kablolu Ağlarda Eşdeğer Protokol
Kablolu ağlardaki eşdeğer protocol veya WEP, yazarları tarafından ilk olarak 802.1 standardı olarak tasarlandı. WEP, IPSEC gibi güvenli bir ağ protokolu olma desteği verecek şekilde tasarlanmadı. Fakat eşit seviyede kişisel güvenlik sağlamaktaydı. WEP, radyo dalgaları üzerindeki verilerin şifrelenesini sağlamaktaydı. WEP, kablosuz ağlara izinsiz girişleri engellemek için kullanıldı. WEP normalde başlangıç değeri olarak kullanımda değildir. Eğer kullanıma açılırsa, gönderilen her paket şifreli olarak iletilecektir.
WEP protokolü, BBS (Basic Set Service)lerde paylaşılmış olan gizli anahtar mantığına dayalıdır. Bu anahtar veri paketlerini göndermeden önce şifrelemek ve bunların veri bütünlüğünü kontrol etmek için kullanılır. WEP, akış (stream) şifreleme olan RC4 algoritmasını kullanır. Akış şifreleme, kısa anahtardan sonsuz sahte rastgele anahtara (infinite pseudo-random key) genişletilmiştir.
WEP Şifreleme Algoritması
- ICV olarak bilinen, Bütünlük algoritması, bütünlük kontrol değerini ürettiği halde şifresiz metin yollanır. CRC-32 nin kullanımına ait özellikler 802.11 standartlarında belirtilmiştir.
- Bütünlük kontrol değeri, şifresiz metinin sonuna eklenir
- 24 bit başlangıç durumu vektörü (IV - initialization vector) yaratılır ve gizli anahtar içine sıralanır. Sonra WEP sahte rastgele numara yaratıcısına (PRNG - pseudo-random number generator)kök değer yaratılmak üzere yollanır
- PRNG anahtar sırasını çıkartır
- Veri yaratılan bu anahtar sırası ile XORing tarafından şifrelenir
- IV, şifresiz metnin sonundaki koruma çerçevesini temizler ve yollar.
Şifrenin çözülmesindeki karmaşıklık, yukarıdaki algoritmaya bakılarak kolaylıkla görülebilir. IV, gizli ahantarın ömrünü uzatmada kullanılır.
WEP 2
IEEE, WEP protocolünü 2001 de değiştirmeyi amaçlıyordu. Birkaç kusurdan sonra orjinal olanı keşfedildi. Yeni uyarlaması, WEP2, IV alanını 24 bit den 128 bit e arttırdı ve Cerberus V desteği sağladı. Sonuçta problemler tekrar başgöstermedi. WEP2 nin bütünü için tamamen bir destek henüz hazırlanmadı.
Açık Sistem Kimlik Tanımlaması (Open System Authentication)
Her kablosuz ağ 2 kimlik tanımlama sistemine sahiptir. Açık sistem kimlik tanımlaması ilk olup, 802.11 için başlangıç protokolüdür. Sistem her kimlik tanımlaması isteyene bu kimlik tanımlaması sistemini tavsiye etmektedir. Eğer kullanıma açık ise, belirtilen tecrübelerden dolayı kimlik tanımlama yönetim çerçevelerinin şifresiz metin olarak yollanmasında WEP hiç yararlı değildir.
Erişim Kontrol Listesi
Bu güvenlik özelliği 802.11 standardında tanımlanmamıştır. Fakat üreticiler tarafından kullanılarak standart güvenlik önlemlerine ek olarak daha iyi bir güvenlik sağlamaktadır. Erişim Kontrol Listeleri, kullanıcının sahip olduğu kablosuz ağ kartındaki MAC adrelerine göre yapılır. AP ler kullanıcının ağı kullanmasını bu erişim kontrol listelerine göre sınırlandırırlar. Eğer kullanıcının MAC adresi listede varsa ve ağa ulaşım için izin verilmişse erişime izin verilir. Diğer halde erişim engellenecektir.
Kapalı Ağ Erişim Kontrolü (Closed Network Access Control)
Bu özellik sistem sorumlusunun ister kapalı ister açık ağda kullanımına izin verir. Açık ağ demek, herkezin ağa girişine izin verilmiş olması demektir. Ağ kapalı iken, sadece SSID si veya ağ ismi bilinen kullanıcılar katılabilir. Ağ ismi paylaşımlı anahtar görevi görecektir.
Kablosuz Ağlarda Saldırı
Bir çoğunuz bu bölümü daha ilginç bulacaksınız, çünki bu bölümde kablosuz ağ ile uzlaşabilmek, bant genişliğini çalabilmek ve sadece eğlence amaçlı olan en yaygın saldırı teknikleri anlatılacaktır. Eğer yakınınızda bir kablosuz ağ varsa veya geniş bir kablosuz ağ kullanımı olan bir yerde çalışıyorsanız, açıklanacak olan bu saldırı tiplerinin %98 i başarıyla sonuç verecektir.
Saldırganların saldırıda bulundukları kablosuz ağların %95 i tamamen korunmasızdır. Yürürlükteki standarda göre (802.11b) bant genişliği 11 Mbps e kadardır. Eğer saldırılan ağ başlangıç değerlerini kullanıyor ise, saldırgan bütün bant genişliğini kullanabilecektir. Çok inandırıcı bir örneği aşağıdaki linkte bulabilirsiniz:
http://neworder.box.sk/newsread.php?newsid=3899
# AP Yanıltma (Spoof) ve MAC Adresi Dinleme (Sniff)
Güçlü kimlik formları kullanıldığında ALC (Erişim Kontrol Listeleri) ler kabul edilebilir bir güvenlik seviyesi sağlamaktadırlar. Ne yazık ki aynı şey MAC adresleri için geçerli değildir. MAC adresleri WEB kullanılabilir durumda iken dahi şifresiz metin olarak saldırgan tarafından kolaylıkla dinlenebilir. Ayrıca, kablosuz ağ kartlarının bir yazılım vasıtası ile MAC adresleri kolaylıkla değiştirilebilir. Saldırgan tüm bu avantajları kullanarak ağa nüfuz edebilmektedir.
MAC adresini dinlemek çok kolaydır. Paket yakalama yazılımı kullanarak saldırgan kullanılan bir MAC adresini tespit eder. Eğer kullandığı kablosuz ağ kartını izin veriyorsa MAC adresini bulduğu yeni MAC adresine değiştirebilir ve artık hazırdır.
Eğer saldırgan yanında kablosuz ağ ekipmanı bulunduruyorsa ve yakınında bir kablosuz ağ varsa, artık aldatma (spoof) saldırısı yapabilir demektir. Aldatma saldırısı yapabilmek için, saldırgan kendine ait olan AP yi yakınındaki kablosuz ağa göre veya güvenebileceği bir internet çıkışı olduğuna inanan bir kurbana göre ayarlamalıdır. Bu sahte AP nin sinyalleri gerçek AP den daha güçlüdür. Böylece kurban bu sahte AP yi seçecektir. Kurban bir kere iletişime başladıktan sonra, saldırgan onun şifre, ağ erişim ve diğer önemli bütün bilgilerini çalacaktır. Bu saldırının genel amacı aslında şifre yakalamak içindir.
WEP Saldırıları
Şifresiz Metin Saldırıları
Bu saldırıda saldırgan şifreli ve şifresiz metinleri ikisinede sahiptir. Ortada olmayan tek şey anahtardır. Anahtarı elde edebilmek için saldırgan hedef sisteme küçük bir veri parçası yollar ve buna karşılık yollanan veriyi yakalar. Bu verinin ele geçirilmiş olması demek IV nin ele geçirilmiş olması demektir. Şimdi saldırgan sözlük kullanarak (brute-force) anahtarı bulacaktır.
Başka bir şifresiz metin saldırısı basit bir şekilde XOR kullanarak sistem akış ahantarınının çalınmasdır. Eğer saldırgan şifresiz ve şifreli metne sahipse, şifreli metne XOR kullanarak anahtarı elde edebilir. Saldırgan doğru IV ile akış anahtarını kullanabilir ve paketlere kimlik tanımlaması olmayan kablosuz ağ bilgisi enjekte ederek erişim noktasına yollar.
Şifreli Akışın Yeniden Kullanımı (Cipher Stream Reuse)
Bu problem saldırganın WEP paketindeki (şifreli paket) akış anahtarını bulmasını sağlar. WEP şifreleme algoritması başlangıç durumuna getirme vektörünü küçük alanlar halinde bildirir. Bu akış şemasında saldırgan sisteme çeşitli IV paketleri göndererek akış anahtarını yakalar. Saldırgan şifresiz mesaj ile XORing kullanarak şifreli mesajı şifresiz duruma getirir. (Not: saldırı hem şifreli hemde şifresiz metin içermelidir) Sonra, ağdaki kimlik tanımlaması veri trafiği sırasında, saldırgan araya girebilir ve akış anahtarını kullanarak bunu şifresiz metine çevireilir.
Fluhrer-Mantin-Shamir Araştırması (Fluhrer-Mantin-Shamir Research)
Bu araştırma projesi Ağustos 2001 de Cisco firmasından Scott Fluhrer, “Computer Science Department of The Weizmann Institute in Israel” den Itsik Mantin ve Adi Shamir tarafından yayınlandı. Proje RC4 deki Anahtar Zamanlama Algoritmasındaki (KSA - Key Scheduling Algorithm) zayıflıklar hakkındadır.
Bu grup KSA de 2 zayıflık keşfetmişlerdir. Bu grubun proje sayfalarında açıklanan saldırı tekniği hem WEP (24 bit) hemde WEP2 (128 bit) anahtarlarını kırmaktadır. Adam Stubblefield veya Rice Üniversitesi ve AT&T laboratuvarlarından John Loannidis ve Aviel Rubin bu saldırı tekniğini onayladılar. Saldırı onaylandıktan sonra 2 yeni yazılım kullanıma sunuldu (AirSnort ve WEPCrack). Bunların kaynak kodu asla yayınlanmadı.
Ortadaki Adam Saldırısı (Man-in-the-middle)
Bu kategorideki birçok saldırı ARP zehirlemesine (ARP poisoning) veya önbellek zehirlenmesine (Cache poisoning) dayanmaktadır. Temel olarak, ARP aldatması (ARP Spoofing), IP ve Ethernet protokollerinin kesintiye uğratılması metodudur. Bundan dolayı bu kısım ARP protokolleri veya ARP saldırıları ile alakalı değildir. Bu kısımda kısaca saldırılar ve amaçlarına değineceğiz.
Saldırgan, hedef ağdaki AP ile aynı tipteki bir özel sanal ağ sunucusunu birleştirir. Kullanıcı gerçek sunucuya ulaşmak istediğinde, aldatılmış olan sunucu cevap verir, böylece kullanıcı sahte sunucuya bağlanır.
Bu tipteki saldırılar bu yazıda anlatılamayacak kadar karmaşıktır. Fakat daha fazla bilgi için www.ebcvg.com adresinden ARP zehirlenmesi hakkındaki dökümanlara bakabilirsiniz.
Kısa-süreli fırsat (Low-Hanging Fruit)
Kablosuz ağlara saldırı yapan saldırganlar kuvvetle muhtemel bu saldırı ile başlayacaklardır. Çünki birçok ağ tamamen korumasızdır ve WEP başlangıç değeri olarak kullanıma açık değildir.
Bütün saldırganlar saldırı için kablosuz ağ kartı ve tarama yazılımları gibi (yazının sonunda bu konuda bazı linkler vereceğim) araçlara ihtiyaç duyar. Saldırganlar tarama yaparak bağlantıya açık AP ler bulmayı ve bağlanmayı amaçlarlar. Bunu bedava internet ulaşımı veya bu ağ üzerinden saldırı yapabilmek için yaparlar. Asıl saldırıyı yapacağı ağa başka bir ağ üzerinden saldırması onun yakalanma riskini ortadan kaldırır.
Kablosuz Ağları Güvenli Hale Getirme
Kablosuz ağlar çok popüler firmalar tarafından kullanılmaya başlandı, çünki bu tip ağlar kullanıcılarının rahatça binada dolaşarak ağda kalmalarını ve internete çıkmalarını sağlamaktadır. Yeni teknolojiler iyi güvenlik seviyesinde başarısızlardır. Kablosuz iletişim de bunun dışında değildir. Bu bölümde kablosuz ağlarda güvenliği arttırmanın en bilinen yöntemlerini anlatacağım.
MAC Adres Filtreleme
Bu metod, AP ile iletişim kurmaya izin verilmiş kullanıcıların kablosuz ağ kartlarının MAC adreslerinin listelenmesi ve kullanılmasıdır. Eğer birkaç AP varsa, bu listeler kullanıcının iletişimde bulunacağı bütün AP lerde tanımlanmalıdır. Sistem sorumluları bu listeleri güncelleme konusunda çok dikkatli olmalıdır. Yine de bu metod bir korunmasızdır (yukarıda anlatıldığı gibi) ve güvenli kablosuz ağlar için yaygın bir şekilde kullanılmaktadır.
WEP
Yukarıda anlatılan duruma göre, WEP, AP ile kullanıcı arasındaki iletişim için kesin bir veri şifreleme sağlamaktadır. Fakat WEP mutlaka kullanıma açılmalıdır, çünki saldırgan için daha rahat girilebilecek bir ağ yaratmaya ihtiyacımız yok. Tekrar söylemek gerekirse, bu metod da değişik saldırılar ile geçilebilir.
SSID (Ağ Kimliği - Network ID)
Geüvenli kablosuz ağlarda ilk kullanım denemesi Ağ Kimliğidir (SSID). Kablosuz kullanıcı AP ile iletişim kurma başlangıcında iken SSID gönderilmektedir. SSID 7 digit ve hem rakam hemde harflerden oluşan, hem AP hemde kullanıcı kablosuz ağ kartlarına zor kodlanabilen bir kimliktir. SSID nin kullanımı ise, AP tarafından iletişime izin verilen doğru Ağ Kimliği taşıyan kullanıcılar tarafından gerçekleşir. WEP in kullanıma açılması ile, SSID şifreli bir şekilde yollanır, fakat eğer saldırgan fiziksel olarak aygıta ulaşabiliyorsa, SSID yi bulabilir çünki şifresiz metn olarak saklanmaktadır.
SSID saldırgan tarafında bir kere ele geçirilirse, sistem sorumlusu yeni bir SSID yi elle tanımlamak zorundadır.
Ateş Duvarları
Ateş Duvarı kullanımı kablosuz ağlarda izinsiz girişleri engellemek için muhtemelen tek güvenlik özelliğidir. Aşağıda bahsedildiği gibi, ağa ulaşım sadece IPSec, Güvenli Kabuk (Secure Shell) veya VPN ile sağlanmalıdır. Böylece ateş duvarı sadece IPSec veya Güvenli Kabuk trafiğine göre ayarlanabilir. Kablosuz ağlardan kablolu ağlara erişimi örneklemek gerekirse:
1. Kablosuz kullanıcıya kimlik tanımlaması yapılmıl olmalı ve AP ile iletişimi sağlanmalıdır. Daha iyi güvenlik için, AP lerde MAC adres filtrelemesi uygulanmalıdır.
2. AP ler IP isteklerini DHCP sunucuya yollar. Sunucu kullanıcıya bir adres ataması yapar. Adres ataması yapıldıktan sonra, kablosuz kullanıcı kablosuz ağa dahil olur. Eğer bu kullanıcı kablolu ağa girmek isterse IPSec VPN tüneli veya Güvenli Kabuk’ran biri uygulanmalıdır.
Ateş duvarının sadece güvenli bağlantıları kabul etmesi çok önemlidir, diğer tüm bağlantı isteklerine kapalı olmalıdır.
Erişim Noktaları (AP - Access Point)
Erişim noktaları MAC adres filtrelemeye olanak sağlarlar ve öyle de konfigüre edilmelidirler zaten. Bunun yanında MAC adresleri dinlenebilir (Yukarıya bakınız). Sistem sorumluları AP lerin güvenli bir noktada olmasına dikkat etmelidirler, ki izinsiz fiziksel erişim sağlanamasın.
AP ler telnet, web tarayıcı veya SNMP ile konfigüre edilebilir. Size sadece telnet ile konfigüre etmenizi ve iğer tüm yolları kapatmanızı tavsiye ederiz.
Tasarımda Dikkat Edilecekler (Design Considerations)
Güvenli kablosuz ağlar gerçekleştirmeden önce ağı doğru tasarlamak çok önemlidir. Doğru tasarlanmış ağlar bazı kablosuz ağ risklerini azaltacaktır.
Bazı doğru tasarım ipuçları:
1. Kablosuz ağınızı VPN ve ACL ile koruyunuz
2. Eğer WEP kullanıma açık değilse erişim noktalarınızı (AP) asla kablolu ağınıza bağlamayınız
3. Erişim noktalarınızı (AP) asla ateş duvarının arkasına koymayınız