Halka Açık Wi-Fi Güvenli mi? Bugünkü Gerçek Riskler ve Nasıl Korunursunuz

Halka açık Wi-Fi kullanmak güvenli mi?

Günlük kullanımın çoğu için evet. ABD Federal Ticaret Komisyonu (FTC), web sitelerinin çoğu verileri şifrelemediği için halka açık Wi-Fi'nin eskiden riskli olduğunu, aynı ağdaki saldırganların verileri ele geçirebildiğini; artık web sitelerinin çoğu şifreleme kullandığından halka açık bir Wi-Fi ağı üzerinden bağlanmanın genellikle güvenli olduğunu söylüyor ^[1]. Şifreleme, cihazınız ile web sitesi arasındaki verileri ağdaki diğer kişilerin okuyamayacağı şekilde karıştırır.

Dijital haklar kuruluşu Electronic Frontier Foundation (EFF) da aynı sonuca varıyor: kafelerde veya havalimanlarında halka açık Wi-Fi'de VPN kullanmak eskiden standart bir tavsiyeydi, ancak web trafiğinin çoğunluğu artık HTTPS ile şifrelendiğinden bu herkes için eskisi kadar gerekli değil ^[2].

FTC, tarayıcıda bir bağlantıyı kontrol etmek için mobil tarayıcılar dahil web sitesi adresinin solunda bir kilit simgesi veya 'https' ibaresi aramanızı söylüyor ^[1]. Uygulamaları kontrol etmek daha zor, ancak FTC çoğunun şifreleme kullandığını belirtiyor ^[1].

Peki hâlâ riskli olan ne?

Şifreleme aktarım sırasındaki verileri korur, sizin muhakemenizi değil. Geriye kalan riskler sahte ağlar, şifrelemenin gizlemediği bilgiler, dosya paylaşan veya güncel olmayan cihazlar ve yine şifreleme kullanan sahte web siteleridir ^[1][2][3]. Aşağıdaki bölümler her birini açıklıyor.

Halka açık bir Wi-Fi ağında başkaları neleri görebilir?

HTTPS iletişimin içeriğini korur, üst verilerini korumaz ^[2]. EFF'e göre HTTPS siteleri ziyaret ettiğinizde, yol üzerindeki taraflar genellikle alan adlarını (örneğin wikipedia.org) ve bunları ne zaman ziyaret ettiğinizi, ayrıca yüklediğiniz veya gönderdiğiniz sayfa ve dosyaların boyutlarını görebilir ^[2]. Bu sitelerdeki belirli sayfaları, kullanıcı adınızı veya gönderdiğiniz mesajları göremezler ^[2].

Halka açık Wi-Fi'de ağın kapsama alanındaki kişiler, tıpkı evde internet sağlayıcınızın yapabileceği gibi, dinlemeyi seçip aynı üst verileri görebilir ^[2]. EFF'in görüşüne göre bu sizin için kabul edilebilir bir riskse halka açık Wi-Fi kullanmaktan endişe etmemelisiniz ^[2].

Ağ işletmecisi, cihazınızın MAC (Media Access Control) adresi olarak bilinen donanım adresini de görebilir. Apple, her zaman aynı Wi-Fi MAC adresini kullanan bir cihazın, ağ işletmecilerinin ve gözlemcilerin bu adresi zaman içinde cihazın etkinliği ve konumuyla ilişkilendirmesine imkân verdiğini açıklıyor ^[8]. Bu nedenle Apple cihazları her ağda farklı bir özel Wi-Fi adresi kullanır ve bu adresi değiştirebilir ^[8]; Android 10 ve sonrası da varsayılan olarak rastgele bir MAC adresi kullanır ^[9].

Kötü ikiz Wi-Fi saldırısı nedir?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) tarif ettiği kötü ikiz saldırısında saldırgan, halka açık bir erişim noktası hakkında bilgi toplar ve onu taklit edecek kendi sistemini kurar; durumdan habersiz kullanıcıların sahte olana bağlanması için daha güçlü bir yayın sinyali kullanır ^[3]. Kurbanın internet trafiği bu durumda saldırganın sisteminden geçtiği için saldırgan, kurbanın gönderdiği ve kart numaraları, kullanıcı adları ve parolaları içerebilecek verileri özel araçlarla okuyabilir ^[3].

CISA'nın tavsiyesi, güvenilir bir erişim noktasına bağlandığınızdan emin olmak için halka açık bir erişim noktasını kullanmadan önce adını ve parolasını mutlaka teyit etmenizdir ^[3]. HTTPS, düzgün şifrelenmiş sitelerde bir kötü ikizin okuyabileceklerini yine de sınırlar ^[1][2]. Geriye kalan tehlike sahte bir siteye yönlendirilmektir; FTC, dolandırıcıların sahte web siteleri oluşturup güvenli görünsünler diye şifrelediği konusunda uyarıyor: verileriniz yolda şifreli olabilir, ancak siteyi işleten dolandırıcılardan güvende olmaz ^[1].

Aynı ağdaki biri trafiğimi yönlendirebilir mi?

Evet, bazı durumlarda. 2024'teki TunnelVision tekniği (CVE-2024-3661), aynı yerel ağdaki bir saldırganın ağ ayarlarını dağıtan protokol olan DHCP'nin bir özelliğini kullanarak VPN tarafından korunması beklenen trafiği okuyabileceğini, bozabileceğini veya muhtemelen değiştirebileceğini gösterdi ^[7]. Tekniği keşfeden araştırmacılar, VPN'lerin fiziksel yerel ağa yönelik saldırıları önlemek için tasarlanmadığı sonucuna vardı ^[10].

Açık ağlar parola korumalı ağlardan daha mı riskli?

CISA, birçok halka açık erişim noktasının güvenli olmadığını ve taşıdıkları trafiğin şifrelenmediğini, bu nedenle 'açık metin' olarak gönderilen verilerin dinleme (sniffing) araçlarıyla ele geçirilebileceğini belirtiyor; en az WPA2 şifrelemesine sahip erişim noktalarını kullanmanızı öneriyor ^[3]. WPA2 ve WPA3, cihazınız ile erişim noktası arasındaki trafiği şifreleyen Wi-Fi güvenlik protokolleridir ^[3].

Bir kafenin duvarında yazan ortak bir parola ağı özel kılmaz, çünkü onu bilen herkes ağa katılabilir; daha yeni Wi-Fi standartları bu riskin bir kısmını ele alıyor. Wi-Fi ürünlerini sertifikalandıran sektör kuruluşu Wi-Fi Alliance, WPA3'ün Wi-Fi CERTIFIED cihazlar için zorunlu olduğunu ve WPA3-Personal kullanıcılarına parola tahmin saldırılarına karşı daha fazla koruma sağladığını söylüyor ^[4]. Kuruluş ayrıca açık ağlarda kimlik doğrulamasız veri şifrelemesi sağlayan, hiçbir koruması olmayan geleneksel açık ağlara göre bir iyileştirme olan ve eski ağlarla, hatta bir giriş portalı (captive portal; birçok erişim noktasının gösterdiği oturum açma sayfası) kullananlarla bile birlikte çalışacak şekilde tasarlanan Wi-Fi Enhanced Open'ı sunuyor ^[4].

Wi-Fi şifrelemesi yararlı bir ek katmandır, ancak verilerinizi siteye kadar tüm yol boyunca koruyan şey web sitelerinin kendi HTTPS şifrelemesidir ^[1][6].

Wi-Fi'nin kendisi hacklenebilir mi?

Evet ve geçmiş, güncellemelerin neden önemli olduğunu gösteriyor. 2017'de araştırmacı Mathy Vanhoef, WPA2'de kapsama alanındaki bir saldırganın güvenli şekilde şifrelendiği varsayılan bilgileri okumasına ve yapılandırmaya bağlı olarak veri enjekte etmesine olanak tanıyan ciddi zayıflıklar olan KRACK'i (anahtar yeniden yükleme saldırıları) açıkladı ^[5]. Saldırıyı önlemek için kullanıcıların etkilenen ürünleri güvenlik güncellemeleri yayımlanır yayımlanmaz güncellemesi gerekiyordu ^[5].

Mayıs 2021'de Vanhoef, WPA3 dahil tüm modern Wi-Fi güvenlik protokollerini, hatta orijinal WEP'i bile etkileyen bir dizi güvenlik açığı olan FragAttacks'i açıkladı ^[6]. Bunların üçü Wi-Fi standardındaki tasarım kusurlarıydı, ancak kullanıcı etkileşimi veya alışılmadık ayarlar gerektirdikleri için kötüye kullanılmaları zordu; Wi-Fi ürünlerindeki çeşitli programlama hataları ise bazılarının istismarı çok kolay olduğu için daha büyük endişe kaynağıydı ^[6]. Güncellemeler, Wi-Fi Alliance ve ICASI'nin gözetiminde yürütülen 9 aylık koordineli bir ifşa süreci boyunca hazırlandı ^[6].

Vanhoef, bir web sitesi HTTPS'yi zorunlu kılan bir ayar olan HSTS'yi kullandığında iletilen verilerin bu açıklar yoluyla çalınamayacağını ve yeni mobil uygulamaların varsayılan olarak HTTPS kullandığını belirtti ^[6]. Başka bir deyişle, katmanlı şifreleme, bir Wi-Fi açığının her şeyi otomatik olarak açığa çıkarmamasının nedenidir.

Halka açık Wi-Fi'de nasıl güvende kalırsınız?

1. Ağ adını teyit edin. Kötü ikizlerden kaçınmak için bağlanmadan önce çalışanlardan erişim noktasının tam adını ve parolasını isteyin ^[3].
2. HTTPS'yi kontrol edin. Hassas bir şey girmeden önce kilit simgesini veya 'https' ibaresini arayın ^[1].
3. Dosya paylaşımını kapatın. CISA, güvenli olmayan halka açık bir ağın dosya paylaşımıyla birleştiğinde kötü niyetli bir kullanıcının yanlışlıkla paylaştığınız dosyalara ulaşabileceğini söylüyor; paylaşıma yalnızca tanınan ev ağlarında izin verin ^[3].
4. Yazılımları güncel tutun. Güvenlik yazılımını, işletim sistemini ve tarayıcıyı güncelleyin, telefonunuzda otomatik güncellemeleri açın ^[1].
5. Güçlü parolalar ve iki faktörlü kimlik doğrulama kullanın. FTC, çalınan bir parolanın tek başına yetmemesi için ikisini de öneriyor ^[1].
6. Özel Wi-Fi adreslerini açık bırakın. Apple, bunu destekleyen tüm ağlarda özel adreslerin etkin tutulmasını öneriyor ^[8].
7. Çevrenize dikkat edin. CISA, insanların siz yazarken omzunuzun üzerinden kolayca bakabileceği konusunda uyarıyor ^[3].

Halka açık Wi-Fi'de VPN'e ihtiyacınız var mı?

Mutlaka değil. EFF, düzgün yapılandırılmış bir VPN'in şifrelenmemiş trafiği koruyabileceğini ve üst verilerinizi yerel ağı dinleyen birinden gizleyebileceğini, ancak bu kez VPN sağlayıcısının hepsini göreceğini söylüyor ^[2]. Kimin işlettiğini bilmediğiniz, güvenmediğiniz halka açık bir ağı kullanmak zorunda olduğunuzda ve güvendiğiniz bir VPN'iniz olduğunda VPN'in yararlı olabileceğini öne sürüyor ^[2].

• Fayda: hangi siteleri ziyaret ettiğinizi aynı Wi-Fi'deki kişilerden gizler ^[2].
• Bedel: bu görünürlüğü, politikası izin veriyorsa verileri kaydedebilecek veya satabilecek VPN şirketine aktarır ^[2].
• Sınır: güncel olmayan bir VPN sizi iyi koruyamayabilir; EFF buna örnek olarak TunnelVision'ı gösteriyor ^[2] ve testlerde trafik sızarken VPN bağlı olarak görünmeye devam etti ^[10].

Pratik engeller de var: Birleşik Krallık Ulusal Siber Güvenlik Merkezi, bazı üçüncü taraf ağların IPsec VPN trafiğini kısıtladığını veya engellediğini ve tüm trafiği VPN üzerinden geçmeye zorlamanın halka açık Wi-Fi'deki giriş portallarıyla çakışabileceğini belirtiyor ^[11]. Genel bir önlem olarak başka bir seçenek, bir erişim noktasına güvenmediğinizde kendi telefonunuzun mobil verisini kullanmaktır; çünkü bu, yerel bir ağı yabancılarla paylaşmaktan kaçınmanızı sağlar.