Şirketinizin Kablosuz Ağını Birebir Kopyalayan Sahte Baz İstasyonları
Havalimanlarında, kafelerde, otellerde ve kurumsal şirket plazalarında kablosuz ağ güvenliğini hedef alan en sinsi siber saldırı türlerinden biri Evil Twin (İkiz Şeytan) atağıdır. Bu saldırıda bilgisayar korsanı, kurumsal ağın şifresini kırmaya çalışmaz; şirketin meşru kablosuz ağının adıyla (SSID – Örn: SIRKET_OFFICE_WIFI) ve aynı MAC adresiyle (BSSID Spoofing) çalışan sahte ve çok güçlü bir Access Point yayını açar. Ardından personele deauthentication paketleri fırlatarak orijinal ağdan koparır ve kendi sahte baz istasyonuna bağlar. Personelin karşısına sahte bir ‘Router Firmware Güncellemesi / Parola Doğrulama’ karşılama ekranı (Captive Portal) çıkararak şirket Wi-Fi şifresini veya kurumsal giriş bilgilerini personelin kendi elleriyle girmesini sağlar.
Evil Twin Saldırısı Üç Aşamada Nasıl Gerçekleştirilir?
Saldırgan açık kaynaklı araçlarla (Aircrack-ng, Airgeddon, WiFi Pineapple) şu aşamaları işletir:
- Keşif ve Klonlama: Hedef şirketin kablosuz ağ adı, şifreleme türü ve yayın kanalı taranarak sahte cihazda birebir kopyalanır.
- Yönetim Çerçevesi Kesintisi (Deauth Attack): Saldırgan şirketin personeline yönelik havadan sahte ‘Ağdan Ayrılma’ (Deauthentication) paketleri yollar. WPA2 ağlarında bu yönetim paketleri şifresiz olduğu için personelin bilgisayarı veya telefonu meşru ağdan zorla koparılır.
- Korsan Ağa Bağlama ve Sahte DNS Yönlendirmesi: Cihaz yeniden bağlanırken sinyali daha güçlü olan sahte AP’ye bağlanır. Saldırgan DNS trafiğini kendi yerel web sunucusuna yönlendirir; personel hangi siteyi açarsa açsın karşısına kurumsal logolarla hazırlanmış şifre çalma ekranı düşer.
1. Kesin Çözüm: 802.11w Korumalı Yönetim Çerçeveleri (Protected Management Frames – PMF)
Evil Twin saldırısının bel kemiği personeli ağdan zorla koparan Deauth paketleridir. IEEE 802.11w standardı bu yönetim paketlerini kriptografik olarak şifreleyerek sahteciliği tamamen imkansız kılar:
Access Point / Router Yönetim Paneli:
Kablosuz Ağ Güvenlik Ayarları:
1. Şifreleme Modu: WPA2-PSK / WPA3-Personal (veya WPA3-Enterprise)
2. PMF (Protected Management Frames / 802.11w): 'Capable' yerine 'REQUIRED' (Zorunlu) olarak seçilmelidir.PMF = Required yapıldığında, erişim noktası ile istemci arasındaki tüm bağlantı kesme ve yönetim paketleri AES-128-CMAC ile şifrelenir. Saldırgan dışarıdan deauth paketi fırlatsa dahi istemcinin işletim sistemi kriptografik imza taşımayan bu sahte paketi çöpe atar; personel ağdan asla koparılamaz ve saldırı ilk saniyesinde çöker.
2. Adım: WPA3-Personal (SAE) Şifrelemesine Geçiş
Eski WPA2 standardı Evil Twin karşısında kırılgandır. WPA3 ile gelen Simultaneous Authentication of Equals (SAE) protokolü, istemci ile AP arasında parola transferi yapmadan el sıkışır. Sahte bir AP kurulsa dahi, saldırgan gerçek şifreyi önceden bilmediği sürece istemciyle hiçbir şekilde kriptografik el sıkışmayı tamamlayamaz.
3. Adım: Kablosuz Saldırı Tespit Sistemi (WIPS) Devreye Alma
Kurumsal ağ kontrolcülerinde (Aruba, FortiAP, Cisco Meraki) WIPS (Wireless Intrusion Prevention System) aktif edilmelidir. WIPS sensörleri havada aynı SSID ile yayın yapan yabancı bir MAC adresi veya yetkisiz baz istasyonu (Rogue AP) algıladığı anda o sahte AP’ye karşı otomatik RF bastırma uygulayarak personelin bağlanmasını engeller ve ağ yöneticisine SMS alarmı fırlatır.
Kurumsal kablosuz ağ güvenlik testleri, WIPS/WIDS kurulumu, 802.11w PMF optimizasyonu ve Wi-Fi sızma testlerinde BaykalSoft Ağ Güvenlik Danışmanlığı uzmanlarımızdan profesyonel destek alabilirsiniz.