WPA3'te Güvenlik Açıkları Tespit Edildi

Teknoloji gündemi son zamanlarda çeşitli güvenlik açıkları ile karşı karşıya. Birçok büyük teknoloji firması son günlerde ürettiği ürünlerin güvenlik açıkları ile karşı karşıya kalıyor. WPA3, güçlü bir Wİ-Fİ güvenlik standardı olarak çalışıyor. WPA3 ürünlerini ele alan araştırmacılar, ürünler hakkında birçok güvenlik sorununu ortaya çıkardı. Yapılan araştırmalar doğrultusunda, herhangi bir saldırganın WPA3 korumaları doğrultusunda güçlendirilmiş Wİ-Fİ bağlantılarını tehlikeye sokabilecek birçok yan kanalı açıklandı. Kablosuz ağ güvenliği standartlarını en son gelen sürümünde yer alan beş farklı açık, New York Üniversitesi Abu Dabi'den Mathy Vanhoef ve Tel Aviv Üniversitesi'nden Eyal Ronen tarafından açıklandı. Mathy ve Eyal Ronen, üretici şirketlerin sorunları çözmek için yeteri kadar süreye shaip olduklarından emin olmak adına Wi-Fi Alliance ve Cert - CC'ye mevcut olarak uzun zaman önce bildirmişti.

Araştırmanın içerisinde yer alan kişiler, herhangi bir saldırganın WPA3 desteği doğrultusunda güçlendirilen ağda yer alan aygıtları ele geçirmek için Dragonfly sistemi üzerinden erişim sağlayabilecekleri bir yol buldu. Bu erişimin kötüye kullanılması halinde, saldırgan kişinin parolayı bilmeden de ağa erişim sağlaması mümkün kılınacak. Vanhoef ve Ronen konu hakkında, "Saldırganlar bu yüzden WPA3'ün güvenli bir şekilde şifrelediği varsayılan bilgilere rahatlıkla erişebilir" ifadelerini kullanıyor. HTTPS gibi ekstra bir koruma kullanılmazsa, örneğin kredi kartları, şifreler, sohbet mesajları, e-postalar ve benzeri hassas bilgileri çalmak için kötüye kullanılabilir." şeklinde açıklamada bulundu.

Araştırmalar doğrultusunda açıklığa kavuşturulan sorunlardan ikisi, işlemcilere yönelik yapılan saldırılar esnasında sıça olarak adlandırılan bir yöntem olan yan kanal saldırıları olarak belirlenmişti. Bu iki açık ise CVE-2019-9494 olarak kategorilere ayrıldı. Bu iki yöntem de yönlendiricilerin işleme karelerine yanıt vermesinin ne kadar sürdüğünü temel alan zamanlamaya dayalı bir saldırı sistemi sunmaktadır. Bazı saldırı yöntemlerinde, teslim süreleri ağ için kullanılan parolanın güçlü olup olmadığı ile bağlantılı olarak değişkenlik göstermektedir. 

Vanhoef ve Ronen konu ile ilgili, "AP, tüm WPA3 cihazlarının desteklemesi gereken eliptik eğrilere dayalı güvenlik grupları kullandığında, zamanlama bilgisi sızdırmaz" dedi. Bununla birlikte aynı zamanda; "AP isteğe bağlı çarpım güvenlik gruplarını bir asal modül ile (MODP grupları) desteklediğinde, cevap süresi kullanılan şifreye bağlıdır." şeklinde devam etti. İkinci yan kanal saldırı yöntemi ise, şifrenin işleme esnasında şifreyi işlerken belleğe erişim kalıplarının izlenmesi durumunu içeriyor. 

Araştırmacılar bu güvenik açıkları ile ilgili; "Saldırgan, mağdurun cihazındaki herhangi bir uygulamayı kontrol edebilir. Hatta saldırganın mağdurun tarayıcısındaki JavaScript kodunu kontrol etmesi dahi mümkün olabilir." ifadelerini kullandı. İkinci yöntem de sahte ağ numarası sebebiyle kaynaklanıyor. Son zamanlarda yaşanan bu güvenlik açıkları kullanıcıları dehşete düşürürken konu hakkında yapılan açıklamalarda güvenlik açıklarını destekleyecek düzeydedir. Sağlıklı kullanım açısından güvenlik açıklarına karşı her zaman önlem almalı ve başarılı adımlarla gelişim göstermelisiniz. Saldırganların uğrak noktası olmamak adına kullanım alanlarınızı kesinlikle kontrollü bir şekilde yapacaksınız. Şifre kırma sorunu ile karşı karşıya kalmamak adına güvenli şifre kullandığınızdan emin olarak seçim yapın.