WPA2 ile WPA3 arasındaki fark

Kablosuz ağ kablolu ağdan farklı çalışır. Kablolu ağda bir paketi görmek için fiziksel bağlantı gerekir. Kablosuz ağda ise kapsama alanındaki herkes aynı havayı dinler.

Şifreleme burada tek koruma katmanıdır. Yanlış yapılandırılmış bir kablosuz ağ, sokaktan bile açılan bir kapı olur. Altay Kargo'nun güvenlik ekibi yeni depo için ağ kurarken ilk kararı şifreleme modudur.

WPA2 mi, WPA3 mü, yoksa ikisi birden mi açılacak? Bu dersin sonunda bu kararı gerekçeyle verebilir, iki sürümün anahtar kurma farkını Wireshark kaydında alan alan okuyabilirsin. İlk durak, WPA2'nin yıllardır taşıdığı dört yönlü el sıkışma.

WPA2 yirmi yıldır kurumsal ve ev ağlarının standardıdır. Şifreleme için AES-CCMP kullanır ve bu algoritma tek başına sağlamdır. Zayıflık algoritmada değil, anahtarın kurulma biçimindedir.

Her şey paroladan başlar. Parola ve ağ adı birlikte işlenir, ortaya önceden paylaşılan anahtar (PSK) çıkar. WPA2-Personal'da ana anahtar (PMK) doğrudan bu PSK'dir.

Oturum anahtarı (PTK) ise PMK'den türetilir, ama tek başına PMK yetmez. İki tarafın ürettiği birer rastgele sayı, yani ANonce ve SNonce, iki tarafın MAC adresi ve PMK bir araya gelir. Bu beş girdi PTK'yi üretir. Yayın trafiğini şifreleyen grup anahtarı (GTK) de bu sırada erişim noktasından istemciye iletilir.

Bu türetme dört yönlü el sıkışmayla yürür. Birinci mesajda erişim noktası kendi ANonce değerini istemciye yollar. İstemci kendi SNonce değerini üretir, artık PTK'yi hesaplayabilir ve ikinci mesajda SNonce ile bir bütünlük kodunu (MIC) gönderir. Üçüncü mesajda erişim noktası GTK'yi ve bir kurulum işaretini yollar; bu mesaj anahtarın kurulacağını söyler.

Dördüncü mesaj bir onaydır, istemci anahtarı kurduğunu bildirir. El sıkışma bittiğinde iki taraf da aynı PTK'ye sahiptir ve parola havadan hiç geçmemiştir. Mesajları ayırmak için anahtar bilgisi (key_info) alanındaki bayraklara bakarsın.

$ tshark -n -r depo.pcap -Y eapol -T fields \
    -e frame.number -e wlan_rsna_eapol.keydes.msgnr -e eapol.keydes.key_info
1	1	0x008a
2	2	0x010a
3	3	0x13ca
4	4	0x030a

Çıktıdaki her satır bir EAPOL-Key çerçevesidir. İkinci sütun, Wireshark'ın msgnr alanıyla verdiği mesaj numarasıdır. Son sütun key_info alanını onaltılık yazar ve her bit bir bayraktır: 0x0040 Install, 0x0080 ACK, 0x0100 MIC, 0x0200 Secure. Dört değerde de bulunan 0x000a ortak kısımdır; sürümü ve anahtar türünü gösterir.

Birinci mesajdaki 0x008a bayraklardan yalnız ACK'i taşır, çünkü erişim noktası karşıdan cevap bekler. İkinci ve dördüncü mesajda MIC biti vardır; istemci artık PTK'yi bildiği için her mesajı imzalar. Üçüncü mesajdaki 0x13ca ise ACK, MIC, Secure ve Install bitlerinin hepsini taşır. Ek olarak 0x1000 biti GTK'nin şifreli taşındığını söyler.

Install biti yalnız bu mesajda bulunur ve anahtarın kurulacağını bildirir. eapol.keydes.key_info.install == 1 filtresi yalnız üçüncü mesajları süzer. KRACK saldırısı tam bu bite dayanır.

2017'de duyurulan KRACK (Key Reinstallation Attack) üçüncü mesajı hedef alır. Saldırgan istemci ile erişim noktası arasında aracı konuma geçer ve dördüncü mesajın erişim noktasına ulaşmasını engeller. Onay alamayan erişim noktası üçüncü mesajı yeniden yollar. İstemci her kopyada aynı anahtarı yeniden kurar.

Anahtar yeniden kurulunca paket numarası (nonce) ve tekrar sayacı başlangıç değerine döner. Aynı nonce ikinci kez kullanılınca bazı paketler çözülebilir hale gelir. O dönemde wpa_supplicant 2.4 ve sonrasını kullanan Linux istemcileri ile Android 6.0 ve üstü, bir hata yüzünden anahtarı sıfırlarla kurdu ve tümüyle açık kaldı.

Parolayı değiştirmek bu saldırıyı durdurmaz; çözüm istemci ve erişim noktası yamalarıdır. Havada ise Kismet'in NONCEREUSE uyarısı, daha önce görülmüş bir nonce değerinin yeniden kullanıldığını işaretler.

WPA2'nin ikinci derdi el sıkışma avlamadır. Saldırgan sahte bir kopma çerçevesiyle istemciyi düşürür, istemci yeniden bağlanırken dört yönlü el sıkışmayı havadan yakalar. Bu kayıtta parola yoktur, ama paroladan türetilen bir doğrulama kodu (MIC) vardır.

Saldırgan kaydı kendi bilgisayarına taşır ve milyonlarca parola adayını çevrimdışı dener. Bu deneme ağa dokunmadığı için sessizdir ve hız sınırı tanımaz.

2018'de duyurulan bir yöntem istemciyi düşürmeye bile gerek duymaz; bazı erişim noktalarının ilk mesajda gönderdiği PMKID değerini hedef alır. Kısa ya da tahmin edilebilir bir parola bu yollarla saatler içinde çözülür. Savunan taraf için işaret nettir: art arda gelen kopma çerçevesi, birinin el sıkışma avladığını gösterir.

WPA3, WPA2'nin iki büyük açığını kapatır; ilki bu el sıkışma avıdır. WPA3-Personal'da parolayla doğrulamayı SAE yapar. SAE, RFC 7664'te tanımlanan Dragonfly anahtar değişimine dayanır. Her bağlantıda tazeden çalışır, iki taraf da parolayı bilerek karşılıklı bir kanıt üretir ama parolayı asla göndermez.

SAE'nin çıktısı, paroladan çok daha yüksek entropili bir PMK'dir. Dört yönlü el sıkışma kalkmaz; SAE bittikten sonra yine çalışır ve PTK'yi bu güçlü PMK'den türetir. Tanıdık akış korunur, ama her halkası daha sağlam bir anahtarla beslenir.

Fark burada ortaya çıkar. Yakalanan bir WPA3 el sıkışması sözlük saldırısına yaramaz, çünkü PMK paroladan hesaplanamaz. SAE'nin bir başka kazancı ileri gizliliktir.

Parola ileride bir yerden sızsa bile, geçmişte kaydedilmiş oturumların anahtarı yeniden türetilemez. WPA2-Personal'da ise sızan parola, el sıkışması kayda geçmiş eski trafiği de açardı.

Yayın trafiğini şifreleyen grup anahtarı (GTK) da dört yönlü el sıkışmada taşınır ve belli aralıklarla tazelenir; hostapd bunu varsayılan olarak günde bir kez yapar. wpa_strict_rekey=1 ayarı ise bir cihaz ağdan ayrılınca GTK'yi hemen yeniler. Böylece ayrılan cihaz, eski anahtarla yayın trafiğini okumayı sürdüremez.

$ tshark -n -r wpa3.pcap -Y 'wlan.fixed.auth.alg == 3' \
    -T fields -e frame.number -e wlan.ta -e wlan.fixed.sae_message_type
7	02:00:00:11:22:33	1
8	aa:11:22:33:44:55	1
9	02:00:00:11:22:33	2
10	aa:11:22:33:44:55	2

Filtredeki wlan.fixed.auth.alg == 3 değeri yalnız SAE kimlik doğrulama çerçevelerini seçer; 0 açık sistemdir, SAE ise 3'tür. İkinci sütun çerçeveyi yollayan cihazın adresidir: 02:00:00:11:22:33 istemci, aa:11:22:33:44:55 erişim noktasıdır.

Üçüncü sütundaki wlan.fixed.sae_message_type alanı çerçevenin türünü söyler: 1 Commit, 2 Confirm. Önce iki taraf birer Commit yollar; seçilen eliptik eğri grubunu ve kendi geçici değerlerini paylaşır. Sonra iki Confirm çerçevesi, her iki tarafın da parolayı bildiğini kanıtlar.

Ağın kendisini doğrulamak için beacon çerçevesine bakarsın. wlan.rsn.akms.type değerinin 8 olması SAE'yi, wlan.rsn.capabilities.mfpr bitinin 1 olması zorunlu PMF'yi gösterir. Bu iki alan, bir ağın gerçekten WPA3 olup olmadığını kayıttan doğrulamanın en kesin yoludur.

Eski cihazlarla uyum için birçok ağ WPA2 ve WPA3'ü aynı anda açar; buna geçiş modu (transition mode) denir. Bu kolaylık bir risk taşır. Saldırgan aynı ada sahip, yalnız WPA2 destekleyen sahte bir erişim noktası yayınlarsa, zayıf tarafı destekleyen istemci bu sahte ağa daha kolay bağlanır.

Saldırgan böylece istemciyi WPA3'ün koruduğu yoldan WPA2'nin zayıf el sıkışmasına çeker. Bir ağ, en zayıf desteklediği sürüm kadar güvenlidir. Tüm cihazlar WPA3 destekliyorsa geçiş modunu kapatıp WPA3-yalnız çalışmak en güvenli seçimdir.

2019'da Vanhoef ve Ronen, Dragonblood çalışmasında bu düşürme saldırısını gösterdi. Saldırganın parolayı bilmesi gerekmiyordu.

Sahte ağa bağlanan istemciden yakaladığı yarım WPA2 el sıkışması, çevrimdışı sözlük denemesine yetiyordu. Aynı çalışma, SAE'nin Dragonfly el sıkışmasında zamanlama ve önbellek yan kanallarının parola hakkında bilgi sızdırabildiğini de gösterdi. Araştırmacılar bu bulguları tasarım kusuru olarak sundu.

Üreticiler yamaları dağıttı. Standart da sonradan parolayı deneme döngüsü kullanmadan eğri noktasına dönüştüren hash-to-element yöntemini ekledi. Ders yine aynı: yeni bir protokolün ilk sürümleri olgunlaşana kadar yama akışını izlemek gerekir. Geçiş modunu gereğinden uzun açık tutmak, bu bilinen saldırıya kapıyı açık bırakır.

Yeni bir ağı yapılandırırken öncelik sırası nettir. Önce cihaz envanterini çıkar ve WPA3 desteğini üretici sayfasından doğrula. Eski bir cihaz yalnız yazılım güncellemesiyle WPA3'e geçebilir, bu yüzden güncelleme durumunu da kontrol et. Tüm cihazlar destekliyorsa geçiş modunu kapat.

WPA2'de kalman gerekiyorsa KRACK yamalarını mutlaka uygula ve WPS'i kapat. Açık bırakılan WPS, parolayı deneme yanılmayla bulmaya ayrı bir kapı açar. Son olarak kısa parola yerine uzun bir parola seç; SAE bile zayıf bir parolayı sonsuza dek gizleyemez.

# WPA3-Personal, yalnız SAE
wpa=2
wpa_key_mgmt=SAE
rsn_pairwise=CCMP
ieee80211w=2
sae_require_mfp=1
sae_pwe=2
transition_disable=0x01
wps_state=0

Her satırın bir görevi var. wpa=2, WPA3'ün de üstünde çalıştığı RSN güvenlik çerçevesini açar. wpa_key_mgmt=SAE anahtar yönetimini yalnız SAE'ye sınırlar, böylece WPA2-Personal kapanır.

rsn_pairwise=CCMP, AES-CCMP şifrelemesini seçer. ieee80211w=2 PMF'yi zorunlu kılar; 0 kapalı, 1 isteğe bağlı, 2 zorunludur. sae_require_mfp=1, SAE kullanan her istemciden PMF ister; ileride ieee80211w=1 ile karma moda dönülse bile bu şart sürer.

sae_pwe=2, parolanın gizli öğeye dönüşmesinde daha yeni hash-to-element yöntemini de açar. transition_disable=0x01, istemcilere geçiş modunu kendi profillerinden silmelerini söyler; böylece bir daha WPA2'ye düşmezler. wps_state=0 ise WPS'i tümden kapatır.

İstemci tarafında bir ağın modunu hızlıca görmek istersen nmcli işini görür. nmcli -f SSID,BSSID,CHAN,SECURITY dev wifi list komutu, güvenlik sütununda WPA2, WPA3 ya da ikisinin birlikte yazıldığı karma modu gösterir. Savunma izlemesinde ise kopma çerçevesi sayısına bakarsın.

Wireshark'ta wlan.fc.type_subtype == 0x000c yalnız kopma (deauth) çerçevelerini süzer. Kısa sürede patlayan deauth sayısı, birinin el sıkışma avladığının erken işaretidir. Kismet gibi araçlar bu örüntüyü DEAUTHFLOOD uyarısıyla kendiliğinden yakalar.