Kurumsal kablosuz ağ güvenliği: WPA3 Enterprise, 802.1X RADIUS kimlik doğrulaması, sahte erişim noktası (Rogue AP) tespiti ve güvenlik rehberi. İnceleyin.
Hızlı Özet (TL;DR)
Şirket içi kablosuz ağlar (Wi-Fi), fiziksel duvarların ve tel örgülerin dışına taşan radyo frekansı (RF) sinyalleri nedeniyle bina dışındaki otoparkta veya yan sokakta oturan bir siber saldırganın bile doğrudan hedefi olabilir. Ev tipi modemlerde kullanılan ve tüm çalışanların tek bir ortak şifreyle (Pre-Shared Key - PSK) bağlandığı WPA2-Personal mimarisi; işten ayrılan personellerin şifreyi bilmesi, çevrimdışı sözlük ve kaba kuvvet (Brute-Force) saldırıları, PMKID yakalama ve paket dinleme teknikleri karşısında kurumsal güvenlik için tamamen yetersizdir. Kurumsal standart; her personelin kendi kullanıcı adı, şifresi veya dijital sertifikasıyla bağlandığı WPA3-Enterprise (IEEE 802.1X) mimarisi ve sahte baz istasyonlarını havada engelleyen WIPS (Wireless Intrusion Prevention System) korumasıdır.
Ortak Wi-Fi Şifresi (WPA2-PSK) Neden Kurumsal Bir Felakettir?
Fabrika ve ofislerde hala en sık karşılaşılan güvenlik zafiyeti, yüzlerce çalışanın, el terminallerinin ve dizüstü bilgisayarların tek bir ortak Wi-Fi şifresiyle şirket ağına bağlanmasıdır. Bu yapının barındırdığı dört kritik tehlike şunlardır:
- Çevrimdışı El Sıkışma (4-Way Handshake) Kırma: Saldırgan ağa bağlı tek bir cihaza de-authentication paketi göndererek bağlantısını anlık keser ve cihaz yeniden bağlanırken havadaki 4 aşamalı el sıkışma paketini yakalar. Ardından ofisten uzaklaşıp kendi yüksek kapasiteli ekran kartı (GPU) sunucusunda saniyede milyonlarca şifre deneyerek ortak parolayı kırar.
- QR Kod ve Şifre Paylaşımı: Modern telefonlarda (iOS ve Android) bağlı olunan Wi-Fi ağının şifresi tek tuşla QR kod olarak ekranda gösterilebilmektedir. Tek bir çalışanın bu QR kodu bir misafire okutması, şirket iç ağının anahtarını dışarıya vermesi demektir.
- İşten Ayrılan Personel Riski: Bir çalışan işten ayrıldığında tüm şirketteki yüzlerce cihazın, barkod okuyucunun ve yazıcının Wi-Fi şifresini değiştirmek operasyonel olarak çok zor olduğu için şifre yıllarca aynı kalır.
- Ağ İçi Trafik Dinleme: Aynı WPA2-PSK şifresini bilen bir saldırgan, aynı erişim noktasına bağlı diğer kullanıcıların el sıkışma paketlerini yakalayarak yerel ağ trafiğini çözebilir.
WPA2-Personal, WPA2-Enterprise ve WPA3-Enterprise Karşılaştırması
Kablosuz ağ protokollerinin şifreleme gücü, kimlik doğrulama yöntemi ve siber saldırılara karşı dayanıklılığı aşağıdaki tabloda teknik detaylarıyla karşılaştırılmıştır:
| Güvenlik Kriteri | WPA2-Personal (PSK) | WPA2-Enterprise (802.1X) | WPA3-Enterprise (192-Bit / 802.1X) |
|---|---|---|---|
| Kimlik Doğrulama | Tek ortak şifre (Pre-Shared Key) | RADIUS üzerinden kullanıcı adı/parola veya Sertifika | RADIUS (EAP-TLS) + 192-bit kriptografik paket |
| El Sıkışma ve Anahtar Değişimi | IEEE 802.11i 4-Way Handshake (Kırılabilir) | EAP (PEAP-MSCHAPv2 veya EAP-TLS) | SAE (Simultaneous Authentication of Equals) & Dragonfly |
| İleriye Dönük Gizlilik (Forward Secrecy) | Yok (Şifre çözülürse geçmiş trafik okunabilir) | Kullanılan EAP yöntemine bağlı | Tam Destek (Geçmişte kaydedilen trafik asla çözülemez) |
| Yönetim Çerçeveleri Koruması (802.11w PMF) | İsteğe bağlı (Genellikle kapalıdır) | İsteğe bağlı | Zorunlu (De-auth ve Disassociation saldırılarını önler) |
| Dinamik VLAN Ataması | Desteklenmez (Statik SSID-VLAN eşleşmesi) | RADIUS nitelikleriyle tam destek | RADIUS nitelikleriyle tam destek |
| Kurumsal Kullanım Uygunluğu | Uygun Değil (Yalnızca izole ev/küçük ofis) | Standart Kurumsal Ağlar | Yüksek Güvenlikli Kurumlar, Fabrikalar ve Savunma Sanayii |
802.1X RADIUS ile Kişisel ve Sertifika Bazlı Wi-Fi Kimlik Doğrulaması
Kurumsal kablosuz ağ güvenliğinin omurgasını IEEE 802.1X Port Tabanlı Ağ Erişim Kontrolü oluşturur. Bu mimaride üç ana bileşen görev yapar: İstemci cihaz (Supplicant), Kurumsal Erişim Noktası (Authenticator - Access Point) ve Kimlik Doğrulama Sunucusu (Authentication Server - RADIUS / NPS).
- Ortak Şifreye Son: Ağda kimsenin ezbere bildiği tek bir genel Wi-Fi şifresi bulunmaz.
- Active Directory ve EAP-TLS Entegrasyonu: Çalışanlar şirket dizüstü bilgisayarlarından veya kurumsal mobil cihazlarından kendi Active Directory hesaplarıyla (
PEAP) veya Grup İlkesi (GPO) ile bilgisayarlara otomatik dağıtılan makine sertifikalarıyla (EAP-TLS) Wi-Fi ağına şifresiz ve kesintisiz bağlanır. Şirket envanterine kayıtlı olmayan ve geçerli sertifikası bulunmayan kişisel bir telefon veya dizüstü bilgisayar, kullanıcı şifresini bilse dahi kurumsal Wi-Fi ağına adım atamaz. - İşten Ayrılan Personel Otomasyonu: İnsan kaynakları veya IT departmanı personelin Active Directory hesabını devre dışı bıraktığı salisede, RADIUS sunucusu erişimi reddeder ve çalışanın Wi-Fi bağlantısı otomatik olarak kesilir.
- Dinamik VLAN Ataması (Dynamic VLAN Assignment): Tüm şirket tek bir kurumsal SSID (Örn:
MAYSA-CORP) yayınlar. Ancak RADIUS sunucusu bağlanan kullanıcının departman grubuna bakarak erişim noktasına özel bir etiket (Tunnel-PVT-Group-ID) gönderir; muhasebeci bağlandığında Muhasebe VLAN’ına, mühendis bağlandığında Ar-Ge VLAN’ına, üretimdeki el terminali bağlandığında ise sadece ERP sunucusunu gören Üretim VLAN’ına otomatik olarak yerleştirilir.
Sahte Erişim Noktası (Rogue AP / Evil Twin) Saldırısı ve WIPS Koruması
Kablosuz ağlarda en sinsi saldırı yöntemi Evil Twin (Şeytani İkiz) ve Rogue AP (Sahte Erişim Noktası) saldırılarıdır. İki farklı senaryoda gerçekleşir:
- İçeriden Kaynaklanan Rogue AP: Bir çalışanın “ofisin bu köşesinde internet az çekiyor” diyerek evinden getirdiği ucuz bir modemi masasının altındaki kurumsal Ethernet (LAN) prizine takmasıdır. Bu cihaz şirket güvenlik duvarının arkasındaki iç ağı kontrolsüz biçimde dış dünyaya yayınlar.
- Dışarıdan Yapılan Evil Twin Saldırısı: Bir siber saldırgan ofisin yakınında Wi-Fi Pineapple gibi özel donanımlarla şirket Wi-Fi ağıyla birebir aynı isimde (SSID) ve daha yüksek sinyal gücünde sahte bir yayın açar. Aynı anda kurumsal erişim noktalarına sahte koparma (De-authentication) paketleri göndererek personelin cihazlarını kendi sahte modemine düşürür ve sahte bir doğrulama ekranıyla (Captive Portal) kurumsal şifreleri çalar.
Bu saldırıları engellemek için 802.11w Protected Management Frames (PMF) özelliği mutlaka aktif edilmeli ve yönetim paketleri şifrelenmelidir. Ayrıca kurumsal erişim noktaları üzerinde bulunan WIPS (Wireless Intrusion Prevention System) radyo sensörleri 7/24 havadaki frekansları taramalı; yetkisiz bir MAC adresinden şirket SSID’sinin yayınlandığını tespit ettiği anda saldırganın sahte yayınını havada bastırarak (Containment) istemcilerin bağlanmasını engellemelidir.
Misafir Wi-Fi İzolasyonu ve 5651 Yasal Loglama Zorunluluğu
Şirketinize gelen tedarikçiler, denetçiler ve müşteriler için sunulan Misafir Wi-Fi ağı, kurumsal iç ağdan (LAN) fiziksel veya VLAN düzeyinde %100 izole edilmelidir. Misafir ağı üzerinde İstemci İzolasyonu (Client Isolation / L2 Isolation) aktif edilerek, misafir ağına bağlı iki cihazın birbirini görmesi veya ağ taraması yapması engellenmelidir.
Ayrıca Türkiye’deki 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun uyarınca, misafirlerin ve çalışanların kablosuz ağ üzerinden internete çıkarken kullandıkları IP kayıtlarının T.C. Kimlik Numarası veya SMS doğrulaması (Hotspot Captive Portal) ile eşleştirilerek zaman damgalı (TSE onaylı) biçimde 2 yıl boyunca saklanması yasal zorunluluktur. Bu altyapıyı doğru kurgulamak için 5651 Yasal Loglama ve Hotspot ile savunma sanayii imalat ağ ve siber güvenlik sayfalarımızı inceleyebilirsiniz. Kurumsal kablosuz ağ ve güvenlik duvarı altyapısı için Güvenlik Duvarı Çözümleri sayfamızı inceleyin.
Sıkça Sorulan Sorular
Fabrika sahasındaki eski barkod okuyucular ve el terminalleri WPA3 desteklemiyorsa ne yapılmalıdır?
Üretim sahalarındaki eski nesil endüstriyel el terminalleri, PLC Wi-Fi modülleri ve barkod yazıcılar genellikle WPA3 veya 802.1X sertifikalarını desteklemez. Bu cihazlar için ana kurumsal ağın güvenliğini düşürmek yerine, yalnızca üretim ekipmanlarına özel gizli bir IoT/OT SSID ve izole bir VLAN oluşturulmalı, PPSK (Private Pre-Shared Key) teknolojisi veya MAC tabanlı RADIUS doğrulaması kullanılarak bu VLAN’ın sadece ilgili ERP portuna erişmesine izin verilmelidir.
WPA3 Transition Mode (Geçiş Modu) güvenli midir?
WPA3 Transition Mode, aynı SSID üzerinde hem WPA2 hem de WPA3 cihazların bağlanabilmesini sağlar ancak geriye dönük uyumluluk nedeniyle sürüm düşürme (Downgrade) saldırılarına açık kapı bırakabilir. Bu nedenle kurumsal bilgisayarların tamamı güncelse saf WPA3-Enterprise Only modu tercih edilmeli; eski cihazlar varsa bunlar ayrı bir VLAN/SSID üzerinde izole edilmelidir.
Çalışanların kişisel cep telefonlarını kurumsal Wi-Fi ağına bağlamasına izin verilmeli midir?
Hayır, çalışanların kişisel mobil cihazları (BYOD) asla şirket sunucularının bulunduğu kurumsal VLAN’a dahil edilmemelidir. Kişisel telefonlar için ayrı bir “Personel-Mobil” VLAN’ı oluşturulmalı, bu ağ doğrudan güvenlik duvarı üzerinden internete çıkarılmalı ve şirket iç ağına (Dosya sunucusu, ERP, yazıcılar) erişimi tamamen kapatılmalıdır.