Ev ağının parçaları

Açılış

Ece üniversitenin son yılında Mersin'den İzmir'e, iki arkadaşıyla paylaşacağı bir eve taşındı. İnternet şirketinin teknisyeni geldi, duvardaki prize bir kutu taktı, kutunun altındaki etiketi gösterdi: "Kablosuz ağın adı bu, parolası bu." Yarım saatte gitti. Ece kutunun "modem" olduğunu düşündü ve aklından çıkardı.

Birkaç hafta sonra, anneannesinin evindeki envanter çalışmasını hatırlayıp kendi evinde de aynısını yapmaya karar verdi. Kutunun yönetim sayfasına girdiğinde bir şey fark etti: o tek kutu aslında beş ayrı işi birden yapıyordu. İnternet hattına bağlanıyordu, evin içindeki trafiği yönlendiriyordu, arka tarafındaki dört kablo girişini birbirine bağlıyordu, kablosuz yayın yapıyordu ve evdeki her yeni cihaza kendiliğinden bir adres veriyordu. Yönetim sayfasının parolası ise hâlâ kutunun altındaki etikette yazandı ve ayarlar arasında "uzaktan yönetim" adlı bir seçenek açık duruyordu.

Ece o gün evin bütün cihazlarının bu kutudan geçtiğini ve kutunun kendisinin envanterdeki en önemli cihaz olduğunu anladı. Bu ders o kutunun içindeki parçaları tek tek adlandırıyor.

Tek fikir

Ev ağı, çoğu zaman tek bir kutuda birleşmiş beş ayrı işten oluşur: dış hatta bağlanmak, yönlendirmek, kablolu cihazları bağlamak, kablosuz yayın yapmak ve adres dağıtmak. Bu kutu evin bütün trafiğinin kapısıdır; ele geçirilirse arkasındaki her cihaz etkilenir.

Nasıl çalışır

Katman haritasının alt basamakları evde somut bir donanıma karşılık gelir ve bugün çoğu evde o donanım tek bir cihazdır; ama her işin adını bilmek, hangi ayarın neyi koruduğunu anlamayı sağlar.

Modem, evin dışındaki hatla konuşan parçadır. Telefon hattı, fiber ya da kablo üzerinden gelen sinyali, evin ağının anlayacağı dijital veriye çevirir ve tersini yapar. İnternet servis sağlayıcısının ağı ile ev arasındaki fiziksel kapıdır.

Kablosuz erişim noktası, kablosuz cihazları aynı yerel ağa bağlayan parçadır; havadaki bağlantıyı kablolu ağa çevirir. Kablosuz ağın adını yayınlar ve bağlanmak isteyen cihazlardan parolayı ister. Büyük evlerde ve ofislerde yönlendiriciden ayrı, birden fazla erişim noktası kullanılabilir.

Beşinci iş en görünmeyenidir: ağa yeni bağlanan her cihaza otomatik olarak bir adres vermek.

DHCP'nin dağıttığı bilgiler basit görünür ama çok güçlüdür. Bir cihaza hangi ağ geçidini kullanacağını söylemek, bütün trafiğinin nereden geçeceğini söylemektir. Hangi alan adı sunucusunu kullanacağını söylemek, bir site adını hangi adrese çevireceğini söylemektir. Bu güç, protokolün kendi belgesinde açıkça kabul edilmiş bir zayıflıkla birleşir.

Ev kutusu bu beş işi birleştirdiği için, onun güvenliği evin bütün cihazlarının güvenliğidir. Kutunun yönetim sayfasına giren biri, DHCP ayarlarını değiştirerek evdeki her cihaza sahte bir alan adı sunucusu verebilir, kablosuz ağın parolasını görebilir, dışarıya port açabilir. Bu yüzden ev yönlendiricileri saldırganlar için çekici hedeflerdir ve otomatik tarayıcılar internetteki yönetim sayfalarını sürekli arar.

Sahada

Savunma

Ev ağının parçalarını korumak, aslında tek bir kutuyu doğru yönetmektir ve dört alışkanlığa dayanır.

Yönetim sayfasının parolası değiştirilir. Kutunun altındaki etikette yazan parola, kutuyu eline alan herkesin bildiği parolasıdır; bazı eski cihazlarda aynı modelin bütün kutularında aynıdır. Yönetim parolası kablosuz ağın parolasından da farklı olmalıdır, çünkü kablosuz parolası misafirlerle paylaşılır.

Uzaktan yönetim kapatılır. Yönetim sayfası yalnız evin içinden açılabilmelidir; internetten erişilebilir bir yönetim sayfası, port ve servis dersindeki otomatik tarayıcıların ilk aradığı şeylerden biridir. Servis sağlayıcının kendi bakımı için kullandığı bir uzaktan erişim varsa, bunun nasıl korunduğu sağlayıcıya sorulur.

Kutunun yazılımı güncel tutulur ve desteği izlenir. Yönlendiriciler de yazılım çalıştıran bilgisayarlardır ve zafiyetleri olur. Bazı kutular kendini otomatik günceller, bazıları elle güncellenmeyi bekler, bazılarını servis sağlayıcı günceller. Hangisinin geçerli olduğunu bilmek ve desteği biten bir kutuyu değiştirmek, evin bütün cihazlarını korur.

Ağa yeni bir yönlendirici ya da erişim noktası eklemek bir karar olur. Defne Hanım'ın bürosundaki gibi iyi niyetle eklenen bir cihaz, kendi DHCP hizmetiyle ve kendi güvenlik ayarlarıyla ağın içinde ikinci, yönetilmeyen bir ağ kurabilir. Kurumlarda ağ anahtarlarının yalnız yetkili DHCP sunucusuna izin veren korumaları bu riski teknik olarak kapatır; evde ise yeni cihazı eklemeden önce mevcut kutunun bu işi yapıp yapamayacağını sormak yeterlidir.

Bu alışkanlıklar, Seviye 3'teki kablosuz ağ modülünde ev yönlendiricisini adım adım sıkılaştıracağımız atölyenin temelidir.

Uygulama

Bu uygulamada kendi ev ağının kutusunu tanıyacak ve dört temel ayarına bakacaksın. Yalnız sahibi olduğun ya da yönetme yetkin olan bir cihazda yaparsın; bir ev arkadaşınla, ailenle ya da ev sahibinle paylaşıyorsan önce onlara söylersin.

Kutunun modelini öğrendikten sonra üreticinin sitesinde o modelin hâlâ güvenlik güncellemesi alıp almadığını kontrol et. Desteği biten bir kutu, envanterdeki en zayıf satırlardan biri olur.

Defter: Envanterde modem satırının yerine daha ayrıntılı bir satır: kutunun yaptığı işler, marka, model, yazılım sürümü, destek durumu, yönetim parolasının değiştirilip değiştirilmediği, uzaktan yönetimin durumu ve güncellemeyi kimin yaptığı. Yönetim parolasının kendisi değil, nerede saklandığı acil durum sayfasında.

Hata köşesi

Etik ve sınırlar

Yönetim sayfasına girmek, bir ağın bütün ayarlarına erişmek demektir ve bu yetki ağın sahibine aittir. Kendi evindeki kutuda bu senin hakkın; ortak bir evde ev arkadaşlarınla, bir aile evinde ailenle konuşarak yaparsın. Bir kafede, otelde, işyerinde ya da komşunun ağında yönetim sayfasının adresini bilmek ya da etiketteki fabrika parolasını tahmin etmek, oraya girme izni vermez; böyle bir girişim, ağın sahibinin rızası olmadan yapılan ve bilişim suçları kapsamında değerlendirilebilen bir eylemdir. Bir işyerinde ağa kendi yönlendiricini ya da erişim noktanı bağlamak da, Defne Hanım'ın bürosundaki örnekte görüldüğü gibi, ağı yöneten kişinin onayı olmadan yapılmaz.

Kapanış

1. Ev ağı beş işten oluşur: modem dış hatta bağlanır, yönlendirici ağlar arasında taşır ve korur, anahtar kablolu cihazları bağlar, erişim noktası kablosuz yayın yapar, DHCP de yeni cihazlara adres dağıtır; çoğu evde bunlar tek kutudadır.
2. DHCP cihazlara ağ geçidini ve alan adı sunucusunu söyler ve kendi standardının kabul ettiği gibi güvensizdir; yetkisiz bir DHCP sunucusu bütün trafiği yanlış yöne çevirebilir.
3. Ev kutusu evin bütün trafiğinin kapısıdır; yönetim parolasını değiştirmek, uzaktan yönetimi kapatmak, yazılımı güncel tutmak ve ağa yeni yönlendirici eklemeyi bir karar hâline getirmek arkasındaki her cihazı korur.

Üç soru

1. Defne Hanım'ın bürosuna getirilen eski kablosuz yönlendirici neden bazı bilgisayarların internete çıkamamasına yol açtı?
2. DHCP'nin cihazlara verdiği bilgilerden hangileri güvenlik açısından özellikle güçlüdür ve neden?
3. Ev kutusunun yönetim parolası ile kablosuz ağ parolası neden farklı olmalıdır?

Yanıtlar

1. Getirilen cihaz kendi DHCP hizmetini açık tutuyordu ve büroda iki ayrı DHCP sunucusu cihazlara farklı adresler ve farklı ağ geçitleri dağıtmaya başladı. Bazı bilgisayarlar yanlış sunucudan adres aldığı için internete çıkamadı. İyi niyetle eklenen cihaz, ağın içinde yönetilmeyen ikinci bir ağ kurmuştu.
2. Varsayılan ağ geçidi ve alan adı sunucusu bilgileri. Ağ geçidi bir cihazın bütün trafiğinin nereden geçeceğini belirler; alan adı sunucusu ise bir site adının hangi adrese çevrileceğini belirler. Bu bilgileri sahte değerlerle veren bir DHCP sunucusu, trafiği izlenebileceği ya da sahte sitelere yönlendirilebileceği bir yere çevirebilir.
3. Kablosuz parolası ağa katılmayı sağlar ve misafirlerle, ev arkadaşlarıyla paylaşılır; yönetim parolası ise kutunun bütün ayarlarını, DHCP'yi, port yönlendirmelerini ve kablosuz parolasının kendisini değiştirmeyi sağlar. İkisi aynı olursa, ağa katılmak için parolayı alan herkes kutunun yönetimini de ele geçirebilir.

Sonraki derse köprü

Bu derste DHCP'nin cihazlara bir alan adı sunucusu verdiğini ve bunun güçlü bir bilgi olduğunu söyledik. Peki o sunucu ne iş yapıyor? Tarayıcına bir site adı yazdığında o ad bir IP adresine nasıl dönüşüyor ve bu adımı kim kontrol ediyor? Sıradaki ders internetin rehberini, DNS'i ele alıyor ve bu adımın saldırganlar için neden bu kadar çekici bir hedef olduğunu anlatıyor.