"Şifreli ağ güvenli, şifresiz ağ tehlikeli"
Ağ şifresi yalnızca kimin bağlanabileceğini belirler. Şifreyi duvara asılmış bir kafede o şifreyi bilen herkes ağdadır. Asıl koruma ağ şifresinden değil, sitelerle kurduğunuz HTTPS bağlantısından gelir.
Halka açık Wi-Fi hakkındaki iki uç görüş de yanlıştır. "Her şey şifreli, sorun yok" demek eksiktir; "asla bağlanmayın" demek gereksiz katıdır. Doğrusu şudur: <strong>HTTPS gönderdiğiniz içeriği korur</strong>, ama <strong>hangi sitelere girdiğinizi, kime bağlandığınızı ve ağın kim tarafından kurulduğunu korumaz</strong>. Gerçek risk, kablosuz sinyalin dinlenmesinden çok <strong>tanıdık isimle kurulmuş sahte bir erişim noktasına</strong> kendi elinizle bağlanmanızdır. Bu sayfa neyin korunduğunu, neyin korunmadığını ve hangi önlemin gerçekten fark yarattığını ayırır.
Güncellendi:
Aşağıdaki ayrım, halka açık ağ tartışmasının tamamını açıklar. Sol sütundakiler için endişelenmeye gerek yoktur; sağ sütundakiler ise ağdaki herkesin görebildiği bilgilerdir.
| Bilgi | Şifreli mi | Ağdaki biri görebilir mi |
|---|---|---|
| Yazdığınız şifre | Evet | Hayır |
| Sayfa içeriği ve form verisi | Evet | Hayır |
| Girdiğiniz alan adı | Kısmen | Çoğu durumda evet |
| Bağlandığınız sunucunun IP adresi | Hayır | Evet |
| Trafiğin miktarı ve zamanlaması | Hayır | Evet |
| Cihazınızın ağ kimliği | Hayır | Evet |
Yani içerik gizlidir, ilişki gizli değildir. Bir ağ yöneticisi ne yazdığınızı okuyamaz ama hangi siteye ne zaman ve ne kadar süre bağlandığınızı görebilir.
Kablosuz ağların adı özgürce seçilir ve hiçbir doğrulamaya tabi değildir. Bir kafenin ağı "Kafe-Misafir" adını taşıyorsa, aynı adı taşıyan ikinci bir ağ kurmak dakikalar alır ve telefonunuz ikisini ayırt edemez. Cihazlar genellikle sinyali daha güçlü olana bağlanır; saldırganın yapması gereken tek şey daha yakında durmaktır.
Sahte noktaya bağlandığınızda tüm trafiğiniz onun üzerinden geçer. HTTPS bu durumda bile içeriği korur, ancak saldırgan artık trafiğin yönlendirilmesini kontrol eder. Sizi taklit bir giriş sayfasına götürebilir, sertifika uyarısı çıkararak devam etmenizi umabilir ya da şifresiz açılan sayfalarda içerik değiştirebilir.
Buradan çıkan sonuç şu: halka açık ağdaki en önemli savunma teknik değil davranışsaldır. Bir sertifika uyarısı gördüğünüzde durmak, adres çubuğunu okumak ve giriş bilgisi istendiğinde iki kez düşünmek, kurulabilecek her şifreleme katmanından daha fazla iş görür.
Halka açık ağ riskleri sık sık abartılır veya yanlış sıralanır. Aşağıdaki tablo olasılığı ve etkiyi ayrı ayrı gösterir.
| Risk | Olasılık | Etkisi | Gerçek savunma |
|---|---|---|---|
| Sahte erişim noktası | Orta | Yüksek — yönlendirme kontrolü | Uyarıları ciddiye almak, ağ adını doğrulamak |
| Sertifika uyarısını geçmek | Yüksek (kullanıcı hatası) | Çok yüksek — bilgi doğrudan gider | Uyarıda kesinlikle durmak |
| Portal sayfasına bilgi girmek | Orta | Yüksek — kimlik bilgisi sızar | Portala asla hesap bilgisi yazmamak |
| Şifreli trafiğin çözülmesi | Çok düşük | Yüksek olurdu | Modern HTTPS zaten koruyor |
| Cihazın ağ üzerinden taranması | Düşük | Orta | Dosya paylaşımını kapatmak |
En yüksek olasılıklı satır ikinci sıradadır ve tamamen kullanıcı davranışına bağlıdır. Şifrelemenin kırılması ise pratikte listenin en düşük olasılıklı maddesidir.
Otel ve havaalanı ağları sizi bir karşılama sayfasına yönlendirir. Bu sayfa şifresiz açılan tek sayfadır ve tam olarak bu yüzden taklit için elverişlidir.
Portalın hiçbir meşru sebebi yoktur e-posta şifrenizi, banka bilgilerinizi veya bir hesabın giriş bilgisini istemek için. Böyle bir alan gördüğünüz anda ağdan çıkın ve mobil veriye geçin.
Aşağıdakiler etkisi ölçülebilir önlemlerdir; listede yer almayan pek çok tavsiye pratikte fark yaratmaz.
Telefonlar daha önce bağlandıkları ağ adlarına otomatik bağlanır. Aynı adı taşıyan sahte bir ağ menzile girdiğinde cihaz siz farkında olmadan ona bağlanabilir. Kayıtlı halka açık ağları silmek bu kapıyı kapatır.
Halka açık ağda beliren sertifika uyarısı, araya giren bir sistemin en net işaretidir. "Yine de devam et" seçeneği burada bir kolaylık değil, korumanın elle kaldırılmasıdır. Aynı adres mobil veride sorunsuz açılıyorsa şüphe kesinleşmiştir.
Şifreniz bir şekilde ele geçse bile ikinci adım olmadan giriş tamamlanamaz. Bu, halka açık ağ riskini tek başına en çok azaltan önlemdir ve SMS yerine kimlik doğrulayıcı uygulama kullanıldığında etkisi daha da artar.
Şifre değiştirme, para işlemi ve hesap ayarları gibi işler için birkaç megabaytlık mobil veri harcamak, halka açık ağda aynı işi yapmaktan çok daha ucuzdur. Ağı sadece içerik okumak için kullanmak makul bir denge kurar.
İşletim sistemleri yeni bir ağa bağlanırken "genel ağ" seçeneğini sunar; bu seçildiğinde cihaz ağdaki diğer cihazlara görünmez olur. Ev ağı ayarıyla halka açık ağa bağlanmak, gereksiz bir yüzey açar.
Halka açık ağ tavsiyelerinin bir kısmı eskimiştir ve bugün yanlış güven ya da gereksiz korku üretir.
Ağ şifresi yalnızca kimin bağlanabileceğini belirler. Şifreyi duvara asılmış bir kafede o şifreyi bilen herkes ağdadır. Asıl koruma ağ şifresinden değil, sitelerle kurduğunuz HTTPS bağlantısından gelir.
VPN trafiği ağdan çıkarır ve yerel dinlemeyi anlamsızlaştırır, bu gerçek bir faydadır. Ama sahte bir giriş sayfasına şifrenizi yazmanızı engellemez ve güveni ağ sahibinden VPN sağlayıcısına taşımaktan başka bir şey yapmaz.
Göz atmak düşük risklidir ama tarayıcıda açık kalmış oturumlar sizinle birlikte gelir. Bir sekmede oturumunuz açıkken tıkladığınız bağlantı, göz atma niyetini işlem yapmaya çevirebilir. Oturumları kapatmak ucuz bir önlemdir.
İçerik açısından büyük ölçüde güvenlidir: HTTPS sayesinde yazdığınız şifreyi ve form verisini ağdaki kimse okuyamaz. Güvenli olmayan kısım, hangi sitelere bağlandığınızın görünmesi ve ağın kim tarafından kurulduğunun belirsizliğidir. Asıl risk dinleme değil, tanıdık isimle kurulmuş sahte bir erişim noktasına bağlanmaktır.
İki adımlı doğrulama açıksa risk belirgin biçimde düşer, çünkü şifre tek başına yeterli olmaz. Riskli olan giriş yapmak değil, bir sertifika uyarısını geçerek ya da adresini doğrulamadığınız bir sayfada giriş yapmaktır. Şifre değişikliği ve para işlemleri gibi kritik adımları mobil veriye bırakmak makul bir denge kurar.
Değil. Ağ şifresi kimin bağlanabileceğini belirler, bağlananlar arasında koruma sağlamaz. Şifresi tabelada yazan bir kafede o ağdaki herkes aynı konumdadır. Koruma ağ şifresinden değil, sitelerle kurduğunuz uçtan uca şifreli bağlantıdan gelir.
Kesin bir yol yoktur, çünkü ağ adı serbestçe seçilir. Pratik işaretler şunlardır: aynı adın iki kez listelenmesi, beklenmedik bir giriş sayfasının açılması, sertifika uyarılarının belirmesi ve daha önce sorunsuz açılan sitelerin farklı davranması. Şüphede kalırsanız ağın gerçek adını işletmeye sormak en kesin yöntemdir.
Ağa erişim için oda numarası veya adres istenmesi olağandır. Ancak portal hiçbir zaman bir hesabın şifresini, kart bilgisini veya doğrulama kodunu istemez. Böyle bir alan görürseniz o sayfa portal değil taklittir; ağdan çıkıp mobil veriye geçin.
Yerel ağdaki gözlemi anlamsızlaştırır ve hangi sitelere girdiğinizi ağ sahibinden gizler; bu gerçek bir kazançtır. Ama güveni ortadan kaldırmaz, yalnızca ağ sahibinden VPN sağlayıcısına taşır. Ayrıca sahte bir giriş sayfasına bilgi yazmanızı engellemez; davranışsal önlemlerin yerine geçmez.
Kayıtlı ağlar listesinden o ağı silin ki cihazınız aynı adı taşıyan başka bir ağa otomatik bağlanmasın. Ortak bir cihaz kullandıysanız oturumları kapatın. Şüphelendiğiniz bir durum yaşandıysa, güvendiğiniz bir bağlantıdan şifrenizi değiştirmek ve etkin oturumları sonlandırmak makul bir kapanış adımıdır.