Sahte erişim noktasını yakalamak

Bir erişim noktasının adı, yani SSID, herkese açık bir bilgidir ve kopyalaması bedavadır. Saldırgan aynı adı taşıyan kendi cihazını kurar; buna ikiz ağ (evil twin) denir. İstemci genelde adı tanır, arkasındaki donanımı sorgulamaz. Sahte ağ daha güçlü sinyal verirse bazı istemciler otomatik ona bağlanır ve trafiği artık saldırganın cihazından geçer.

Altay Kargo'nun güvenlik ekibi, otoparka yakın beliren tanıdık bir ağ adını fark edince bu derste öğreneceğin yöntemle sahte olanı gerçekten ayırır. Önce üç kimlik alanını, sonra bu alanları kayıtta nasıl okuyacağını göreceksin. Bunu yalnız kendi lab ortamında ya da yazılı iznin olan hedefte dene.

Savunmanın en verimli ayracı SSID değil, BSSID'dir. BSSID, erişim noktasında yayın yapan radyonun MAC adresidir ve her cihazda farklıdır. Bir erişim noktası her bant ve her SSID için ayrı bir BSSID kullanabilir.

Gerçek ağın SSID'si her yerde aynı kalsa da BSSID cihazdan cihaza değişir. Aynı SSID'nin arkasında beklenmedik bir BSSID görmek, ikiz ağın en net izidir. Bu yüzden BSSID kontrolü hiçbir zaman atlanmaz. Gerçek ağın bütün BSSID'lerini, iki bandı ve her SSID'yi kapsayacak biçimde bir envantere yazmak, bu kontrolü bir bakışta yapılır hale getirir.

Sinyal gücünü bir ölçü olarak kullanmak çekicidir ama tek başına yanıltır. Gerçek bir erişim noktası da yeri değişince ya da arada bir engel olunca farklı sinyal verir.

İkiz ağın sinyali ise genelde saldırganın durduğu noktaya göre anormal güçlüdür, çünkü cihaz binanın içine değil koridora ya da otoparka yakın durur. Bu yüzden sinyali tek başına değil, BSSID ve OUI ile birlikte okursun. Üç ölçü aynı yöne işaret ettiğinde karar güvenli olur.

Üçüncü kimlik üretici bilgisidir. MAC adresinin ilk üç baytı üreticiyi gösterir ve buna OUI denir. Kurumun tüm resmi erişim noktaları aynı üreticiden alınmışsa, farklı bir OUI taşıyan BSSID hemen göze batar. Ancak OUI de yazılımla değiştirilebilir; bazı saldırı araçları tanınabilir bir OUI bile kullanır.

Örneğin bir saldırı donanımı 00:13:37 önekini taşıyabilir ve Kismet bunu KARMAOUI uyarısıyla işaretler. Tek bir alan kesin kanıt değildir; üç kimlik üst üste düşünce alarm güvenilir olur.

Sahte erişim noktası tek bir şey değildir; üç ayrı tehdit aynı başlık altında toplanır. İkiz ağ (evil twin), gerçek ağın SSID'sini taklit eden harici bir cihazdır. İzinsiz erişim noktası (rogue AP), kurum kablosuna takılmış denetimsiz bir cihazdır ve çoğu zaman kötü niyetli değildir. Karma tipi erişim noktası ise cihazların arka planda sorduğu her ağ adına cevap verir.

Üçünün tespit izi farklıdır. İkiz ağ havada çift BSSID bırakır. Rogue AP kabloda bilinmeyen bir cihaz olarak görünür. Karma ise çok sayıda ağ adına cevap verdiği için öne çıkar.

Kablosuz izleme sistemi (WIDS) bu izleri otomatik yakalamak için kurulur. Sistem havadaki tüm erişim noktalarını sürekli dinler ve bilinen envanterle karşılaştırır. Envanterde olmayan bir BSSID aynı SSID'yle yayın yapıyorsa alarm üretir.

WIDS'in gücü sürekliliktedir. Elle yapılan tarama yalnız o anın fotoğrafını verir; saldırgan cihazını taramadan sonra açarsa gözden kaçar. Sistem ya ayrı sensör cihazlarıyla ya da var olan erişim noktalarının dinleme moduyla kurulur.

Ayrı sensör bu işi tam zamanlı yapar. Erişim noktasını dinlemeye ayırmak daha ucuzdur, ama o nokta bu sürede istemciye hizmet veremez. Seçim, kapsama ihtiyacı ile bütçe arasındaki dengedir.

WIDS'in de senin de baktığın yer beacon ve probe response çerçeveleridir. Beacon, erişim noktasının düzenli aralıkla yaydığı buradayım duyurusudur; Wireshark'ta wlan.fc.type_subtype == 0x0008 ile süzülür. Probe response, bir cihazın sorusuna verilen cevaptır ve 0x0005 değerini taşır. İki çerçevede de BSSID, kanal ve şifreleme modu okunur.

wlan.ssid == "AltayDepo" filtresi tek bir ağ adını yayan tüm BSSID'leri listeler. wlan.rsn.akms.type alanındaki fark, birinin şifreleme modunu düşürdüğünü gösterir. İstemci tarafında Linux'ta nmcli, Windows'ta netsh wlan show networks mode=bssid aynı tabloyu verir.

$ nmcli -f SSID,BSSID,CHAN,SIGNAL,SECURITY dev wifi list
SSID       BSSID              CHAN  SIGNAL  SECURITY
AltayDepo  AA:11:22:33:44:55  36    70      WPA3
AltayDepo  DE:AD:BE:EF:00:01  6     95      --

İlk satır envanterdeki gerçek erişim noktasıdır: bilinen BSSID, beklenen kanal 36 ve WPA3 modu. İkinci satır şüphelidir. Aynı SSID'yi taşır ama BSSID envanterde yok.

Kanal 6, yani 2,4 GHz bandı; envantere göre bu SSID yalnız 5 GHz'de yayın yapıyor. SIGNAL sütunu 0 ile 100 arası bir yüzdedir ve 95 değeri cihazın çok yakında durduğunu düşündürür. Güvenlik sütunundaki iki tire ağın açık olduğunu söyler.

Saldırgan ağı açık bırakır ki her istemci sorgusuz bağlansın. Dört işaret burada çakışır: bilinmeyen BSSID, beklenmeyen kanal, aşırı sinyal ve düşürülmüş güvenlik. Hiçbiri tek başına kesin kanıt değildir, ama dördü birlikte ikiz ağı ele verir.

Kismet gibi araçlar bu örüntüleri kurala bağlar. APSPOOF uyarısı, bir SSID için tanımladığın geçerli BSSID listesi dışında bir cihaz aynı adı yayınca tetiklenir. BSSID'yi de kopyalayan bir ikiz ağ bu kurala takılmaz. Onu çoğu zaman CRYPTODROP yakalar; bu uyarı, tanınan bir erişim noktasının birden daha zayıf bir güvenlik modu duyurmasını işaretler.

DEAUTHFLOOD ve BCASTDISCON ise çok sayıda kopma ya da ayrılma çerçevesini yakalar. Her alarm saldırı değildir. En sık yanlış alarm, komşu bir işletmenin meşru ağıdır.

Bir diğeri, kurumun envantere yazılmadan açılmış yeni erişim noktasıdır. Uyarıyı kapatmadan önce üç soru sorarsın: BSSID envanterde mi, SSID gerçekten kuruma mı ait, sinyal ve kanal beklenen aralıkta mı. Üç cevap da olumsuzsa alarm gerçek bir ikiz ağa işaret eder.

Tespit tek başına yetmez; ikiz ağın işe yaramasını da zorlaştırman gerekir. 802.1X ile EAP-TLS çalışan bir ağda istemci, yalnız sunucunun sertifikasını doğruladıktan sonra kimlik bilgisini gönderir. Sahte erişim noktası bu sertifikayı üretemez, çünkü geçerli özel anahtar onda yoktur.

İstemci doğrulamayı doğru yapılandırdıysa bağlantıyı kendisi reddeder. Önceki derste gördüğün 802.1X akışı burada ikinci bir görev üstlenir. Yapılandırma hatalıysa istemci sertifikayı sorgulamadan bağlanır, bu yüzden istemci ayarını denetlemek tespit kadar önemlidir.

Savunmayı katmanlı kurarsın. İstemcilerde sunucu sertifikası doğrulamasını zorunlu tutmak ilk katmandır. PMF'yi açık tutmak, saldırganın istemciyi gerçek ağdan koparmasını engeller.

Mobil cihaz yönetimiyle (MDM) her cihaza aynı ağ profilini dağıtmak, kullanıcının yanlış bir ağa el ile bağlanmasını zorlaştırır. Düzenli hava taraması ise envantere girmemiş yeni yayınları erken yakalar. Hiçbiri tek başına yetmez, ama üst üste konunca ikiz ağın hem kurulması hem işlemesi zorlaşır.

Her sahte erişim noktası havadan gelmez. Bazen bir çalışan, sinyal zayıf diye kendi küçük erişim noktasını kurum kablosuna takar; buna izinsiz erişim noktası (rogue AP) denir. Niyeti kötü olmasa da bu cihaz denetimsiz bir kapı açar. Kablolu tarafta izini anahtarın MAC tablosundan sürersin.

Tek bir portta beliren çok sayıda MAC adresi bir işarettir. Bilinmeyen bir OUI de dikkat çeker. DHCP kayıtlarında aniden beliren yeni bir cihaz üçüncü ipucudur. Hava taraması ile kablolu tablo birlikte okununca cihaz hem havada hem kabloda yakalanır.

Kalıcı önlem duvar prizindedir. Kablolu portlarda da 802.1X istersen, doğrulanmayan bir cihaz takıldığında port kapalı kalır. Port güvenliği (port security) ise bir porttan öğrenilebilecek MAC adresi sayısını sınırlar. Arkasına birden çok cihaz bağlanmış bir erişim noktası bu sınırı aşar; anahtar ihlal kaydı üretir ya da portu kapatır.

Envanteri güncel tutmak WIDS'in en zayıf halkasıdır. Yeni bir erişim noktası kurulduğunda BSSID'si listeye eklenmezse, sistem kendi meşru cihazını bile şüpheli sayar ve gerçek alarmı gürültüye boğar. Bu yüzden kurulum süreci envanter güncellemesini bir adım olarak içermelidir. Bir uyarı doğrulandığında müdahale sırası nettir: bul, belgele, fiziksel olarak kaldır.

Bazı sistemlerin sahte ağı kablosuz paketlerle susturma özelliği vardır, ama bunu komşu bir işletmenin meşru ağına karşı kullanmak hukuki risk taşır. 2014'te ABD'de bir otel işletmecisi, kongre alanında misafirlerin kişisel erişim noktalarını izleme sisteminin bu özelliğiyle düşürdüğü için 600 bin dolar ödemeyi kabul etti. Yetki alanının dışına çıkan engelleme, savunma değil saldırı sayılır.