Kablosuz Güvenlik Protokolleri

Önceki dersler boyunca kimin geçtiğine tek bir şey karar verdi: ortam. İşaret gücü eşiğin üstündeyse istemci ilişkilenir, altındaysa ilişkilenemez. Sınırı çizen uzaklık, girişim ve erişim noktasının gücüydü; hiçbiri istemcinin kim olduğunu sormadı.

Bu dersin sorusu şudur: geçişe bir kimlik koşulu eklenirse sınır ne olur? Kablosuz güvenlik kuşakları tam olarak bunu yapar — ilişkilenmeyi ortamın yanına ikinci bir şarta bağlarlar. Kuşakların güvenlik özellikleri, kimlik doğrulama yöntemleri ve bu düzeneklere yönelen saldırılar Siber Güvenlik müfredatının Ağ Güvenliği kursunda ölçüldü ve burada tekrarlanmaz. Burada ölçülen şey başkadır: kuşak koşulunun ilişkilenmeye ve kapsamaya ne yaptığı.

İlişkilenmenin İkinci Koşulu

Bir istemcinin bir erişim noktasıyla ilişkilenmesi (association) iki ayrı sınavdan geçmektir. Birincisi ortamındır ve önceki derslerde ölçüldü: işaret gücü ilişkilendirme eşiğinin üstünde olmalıdır. İkincisi kimliğindir: istemci, erişim noktasının sunduğu kuşaklardan en az birini uygulayabilmelidir.

İki koşulun mantığı vedir. Ortam yeterli ama kuşak desteklenmiyorsa ilişkilenme olmaz; kuşak destekleniyor ama işaret zayıfsa yine olmaz. Bu, sınırın ikinci kez daralması demektir. Birinci daralma süreklidir — işaret uzaklıkla düşer. İkincisi kesiktir: istemci ya destekler ya desteklemez, aradaki bir değer yoktur.

Bu ayrım ölçünün tamamını belirler. Ortam koşulu değiştiğinde sınır kayar; kuşak koşulu değiştiğinde sınır delinir — hücrenin tam ortasındaki bir istemci, en güçlü işareti almasına karşın dışarıda kalabilir.

Kuşağın Paketlediği Şey

Bir kuşak tek bir ayar değil, birlikte değişen bir demettir. Demetin içinde dört şey durur: istemcinin kendini nasıl tanıttığı (kimlik doğrulama kipi), taşınan çerçevelerin hangi şifre takımıyla korunduğu, oturum anahtarlarının nasıl türetildiği, ve yönetim çerçevelerinin bütünlük koruması alıp almadığı.

Kimlik doğrulama kipi iki sınıfa ayrılır. Ortak anahtar kipinde ağa girecek herkes aynı kimlik bilgisini taşır; erişim noktası kimin geldiğini değil, doğru anahtarın geldiğini bilir. Kurumsal kipte her istemcinin kendi kimlik bilgisi vardır ve doğrulama ayrı bir kimlik doğrulama sunucusuna sorulur; erişim noktası kararı kendi vermez, taşır. İkincisi ilişkilenmeye bir gidiş–dönüş ekler ve sunucu erişilemezse ilişkilenme hiç olmaz.

Erişim noktası neyi sunduğunu duyurur; istemci duyurudan kendine uyan kuşağı seçer.

# ogretilen dokum , calistirilmamistir
# kusak numaralari, takim adlari ve alan degerleri kurgudur

erişim noktası duyurusu
  ağ adı                     : hucre-b.ornek
  sunulan kuşak              : 2, 3
  kimlik kipi                : kuşak 2 ortak anahtar, kuşak 3 kurumsal
  şifre takımı               : kuşak 2 takim-b, kuşak 3 takim-c
  yönetim çerçevesi koruması : kuşak 3 zorunlu, kuşak 2 isteğe bağlı

istemci -> erişim noktası
  ilişkilenme isteği
    seçilen kuşak            : 2
    şifre takımı             : takim-b

Bu döküm öğretilen bir yerleşimdir ve çalıştırılmamıştır; ölçümün sayıları buradan değil, aşağıdaki koşumdan gelir.

Eskimiş Kuşak Neden Bırakıldı

Bir kuşağın bırakılması bir moda değişimi değildir. Bırakılan kuşak, verdiği sözü tutamadığı için bırakılır. En eski kuşakların sözü şuydu: kablosuz ortamda taşınan çerçeve, kabloda taşınan çerçeve kadar korunaklı olacak. Söz iki yerden çatladı. Anahtar malzemesi kısaydı ve çerçeveden çerçeveye yeterince tazelenmiyordu, bu yüzden yeterince trafik biriktiğinde koruma istatistiksel olarak zayıflıyordu. İkincisi, bütünlük denetimi çerçevenin içeriğine sıkı bağlanmamıştı; değişmiş bir çerçevenin fark edilmesi garantilenmiyordu.

Bu iki kusurun nasıl istismar edildiği bu kursun konusu değildir ve yazılmaz; anahtar ele geçirme, el sıkışma yakalama ve deneme yordamları Siber Güvenlik müfredatının Ağ Güvenliği kursunda, yetkilendirilmiş test bağlamında durur. Buradaki tek çıkarım şudur: kuşak, sözünü tutamadığı anda bırakılır ve bırakılması ilişkilenme koşulunu sertleştirmek demektir. Bu dersin ölçtüğü bedel de tam olarak budur.

Karma Kip

Eski istemcileri ağda tutmak isteyen kurulumlar iki kuşağı aynı anda sunar. Buna geçiş kipi ya da karma kip denir. Sezgi şudur: yeni istemci yeni kuşağı seçer, eski istemci eskiyi, kimse dışarıda kalmaz.

Sezginin ölçülmesi gereken yeri şurasıdır. Karma kipte ilişkilenebilen istemci kümesi, sunulan kuşaklardan en düşüğünün kümesidir — çünkü en düşüğü destekleyen herkes içeri girer. Bu, kapsamanın da en düşük kuşağın kapsaması olduğu anlamına gelir. Karma kip iki kuşağın kapsamasını toplamaz; alt kuşağınkini verir.

Ölçümün varsayımları:

• KB51 — Kırk istemci ortak kurgudan üretilir; uzaklık ve girişim değerleri değiştirilmez. Kâhin niyetin kendisidir: otuz metrelik hücrenin içindeki istemci hizmet almalıdır.
• KB52 — Erişim noktasının gücü ölçüm boyunca 58’de sabittir. Dersin değiştirdiği tek şey kuşak koşuludur; güç, yarıçap ve girişim sabit tutulur.
• KB53 — Üç kuşak vardır ve kurgudur. Her istemcinin bir tavanı vardır: tavanı 3 olan istemci üç kuşağı da uygular, tavanı 1 olan yalnız birinciyi. Tavanlar ayrı bir tohumla üretilir ve uzaklıktan bağımsızdır.
• KB54 — İlişkilenme koşulu vedir: ortam yeterli olacak ve istemcinin tavanı, sunulan kuşakların en düşüğüne yetecek.
• KB55 — Karma kip, sunulan kuşak kümesinin birden çok üyeli olması demektir. İlişkilenebilmek için tavanın kümenin en düşüğüne yetmesi yeterlidir; ilişkilendikten sonra istemci tavanının yettiği en yüksek sunulan kuşağı kullanır.
• KB56 — Kullanılan kuşağın sayımı ilişkilenen istemciler üzerinden yapılır; ilişkilenemeyen istemci hiçbir kuşağı kullanmaz ve bu sayıma girmez.
• KB57 — Kümenin çözünürlüğü kırk istemcidir; ölçülebilen en küçük fark 1/40 = 0,025’tir. Bundan küçük bir fark iddia edilmez.

Ölçüm

"""Kusak secimi: iliskilenme ve kapsama uzerindeki etkisi.

Bolum 1 - dort kusak rejiminde iliskilenen, tam hiz, fazla gecen, fazla duran.
Bolum 2 - karma kipten tek kusaga gecince dusen istemciler iki yone ayrilir.
"""
TOHUM = 20260811
KADEMELER = ((34, 6), (28, 4), (22, 2), (18, 1))
GUC = 58
TAVANLAR = (1, 1, 1, 2, 2, 2, 2, 3, 3, 3)
REJIMLER = (("yalnız kuşak 1", (1,)), ("yalnız kuşak 2", (2,)),
            ("yalnız kuşak 3", (3,)), ("karma 2+3", (2, 3)))


def uretec(tohum):
    d = tohum % 2147483646 + 1

    def r(n):
        nonlocal d
        d = (d * 48271) % 2147483647
        return d % n
    return r


def fark(olaylar, niyet, duzenek):
    d = {"dogru_gecti": 0, "dogru_durdu": 0, "yanlis_gecti": 0, "yanlis_durdu": 0}
    for o in olaylar:
        n, g = niyet(o), duzenek(o)
        if n and g:
            d["dogru_gecti"] += 1
        elif not n and not g:
            d["dogru_durdu"] += 1
        elif g:
            d["yanlis_gecti"] += 1
        else:
            d["yanlis_durdu"] += 1
    return d


def istemciler(sayi=40, tohum=TOHUM):
    r, liste = uretec(tohum), []
    for i in range(sayi):
        liste.append({"no": i + 1, "uzaklik": 5 + r(41), "girisim": r(13)})
    return liste


def isaret(o, guc=52):
    return guc - o["uzaklik"] - o["girisim"]


def hiz(o, guc=52):
    for esik, kademe in KADEMELER:
        if isaret(o, guc) >= esik:
            return kademe
    return 0


def hucre_niyeti(o, yaricap=30):
    return o["uzaklik"] <= yaricap


def ortam(o, guc=52):
    return hiz(o, guc) > 0


def yetenek(ist, tohum=TOHUM + 7):
    r = uretec(tohum)
    for o in ist:
        o["tavan"] = TAVANLAR[r(10)]
    return ist


def ilisik(o, sunulan, guc=GUC):
    return ortam(o, guc) and o["tavan"] >= min(sunulan)


def kullanilan(o, sunulan):
    """Iliskilendikten sonra tavanin yettigi en yuksek sunulan kusak."""
    return max(k for k in sunulan if k <= o["tavan"])


ist = yetenek(istemciler())
print(f"istemci {len(ist)} | hücre içi {sum(hucre_niyeti(o) for o in ist)} | "
      f"tavanı 1 olan {sum(o['tavan'] == 1 for o in ist)} | "
      f"tavanı 2 olan {sum(o['tavan'] == 2 for o in ist)} | "
      f"tavanı 3 olan {sum(o['tavan'] == 3 for o in ist)}")
print()
print(f"{'rejim':<14s} {'ilişkilenen':>11s} {'tam hız':>8s} {'fazla geçen':>12s} "
      f"{'fazla duran':>12s}")
for ad, sunulan in REJIMLER:
    d = fark(ist, hucre_niyeti, lambda o, s=sunulan: ilisik(o, s))
    tam = sum(1 for o in ist if ilisik(o, sunulan) and hiz(o, GUC) == 6)
    print(f"{ad:<14s} {d['dogru_gecti'] + d['yanlis_gecti']:11d} {tam:8d} "
          f"{d['yanlis_gecti']:12d} {d['yanlis_durdu']:12d}")
print()
dusen = [o for o in ist if ilisik(o, (2, 3)) and not ilisik(o, (3,))]
print(f"karma 2+3 -> yalnız kuşak 3: düşen {len(dusen)}, "
      f"hücre içinde {sum(hucre_niyeti(o) for o in dusen)}, "
      f"hücre dışında {sum(not hucre_niyeti(o) for o in dusen)}")
ilisen = [o for o in ist if ilisik(o, (2, 3))]
print("karma 2+3 rejiminde fiilen kullanılan kuşak: " + ", ".join(
    f"kuşak {k}: {sum(1 for o in ilisen if kullanilan(o, (2, 3)) == k)}"
    for k in (2, 3)))

istemci 40 | hücre içi 27 | tavanı 1 olan 12 | tavanı 2 olan 17 | tavanı 3 olan 11

rejim          ilişkilenen  tam hız  fazla geçen  fazla duran
yalnız kuşak 1          31       13            5            1
yalnız kuşak 2          22        8            4            9
yalnız kuşak 3           9        3            2           20
karma 2+3               22        8            4            9

karma 2+3 -> yalnız kuşak 3: düşen 13, hücre içinde 11, hücre dışında 2
karma 2+3 rejiminde fiilen kullanılan kuşak: kuşak 2: 13, kuşak 3: 9

Kuşağı Yükseltmenin İki Yönü

İlk satır bir denetim noktasıdır: kuşak 1 herkesin tavanının altında kaldığı için kimlik koşulu hiç kimseyi elemez ve tablo ortak kurgunun 58 gücündeki satırını birebir üretir — 31 ilişkilenen, 13 tam hız, 5 fazla geçen, 1 fazla duran. Kuşak koşulu eklenmemiş hâl budur.

Koşul sertleştikçe iki sütun ters yönlere gider. Fazla geçen 5’ten 4’e, oradan 2’ye iner: hücrenin dışında kalıp da ilişkilenen istemcilerin bir bölümü yeni kuşağı uygulayamadığı için düşer. Fazla duran ise 1’den 9’a, oradan 20’ye çıkar. Üç adımda kazanılan toplam 3 birim sızıntıya karşılık, kaybedilen 19 birim hizmet vardır. Her iki fark da 0,025’lik çözünürlüğün çok üstündedir.

Bu, ikinci iddianın kablosuz tarafta ikinci kez ödenmesidir. Kuşak koşulunu sertleştirmek bir güvenlik kararı gibi alınır ama sonucu bir kapsama kararıdır: yirmi yedi kişilik hücre içi nüfusun yirmisi kuşak 3 rejiminde hiç ilişkilenemez. Yalnız fazla geçeni sayan bir denetim bu rejimi bir iyileşme olarak raporlar ve öbür yönü hiç görmez.

Üçüncü sütun ayrı bir uyarı taşır. Kuşak 3 rejiminde ilişkilenen dokuz istemcinin yalnız 3’ü tam hız kademesindedir. İlişkilenmek çalışmak demek değildir; kuşak koşulu ilişkilenme kapısını daraltırken hız kademelerine hiç dokunmaz, çünkü kademeyi belirleyen şey hâlâ işaret gücüdür.

Son iki satır karma kipin ölçüsüdür. Karma 2+3 rejiminin dört sütunu da yalnız kuşak 2 ile aynıdır: 22, 8, 4, 9. Karma kip kapsamayı üst kuşağa değil, sunulan en düşük kuşağa bağlar. Karma kipi kapatıp yalnız kuşak 3’e geçmenin bedeli 13 istemcidir ve bu on üç iki yöne ayrılır: 11’i hücrenin içindedir ve fazla durana eklenir, 2’si dışındadır ve fazla geçenden düşer. Tek bir sayı olarak “13 istemci düştü” demek, bu iki yönü tek kefeye koymak olurdu.

Karma Kipte Fiilen Kullanılan Kuşak

İlişkilenme koşulu kümenin en düşüğüne bakar; kullanılan kuşak ise en yükseğine. İki soru ayrı olduğu için ayrı sayılır. Son satır bunu veriyor: karma rejimde ilişkilenen 22 istemcinin 13’ü kuşak 2 üzerinden, 9’u kuşak 3 üzerinden çalışıyor. İlişkilenen nüfusun yarıdan fazlası alt kuşaktadır ve bu sayı, karma kipi kapatınca düşecek olan on üç istemciyle aynı kümedir — aynı istemcileri iki farklı sorunun yanıtı olarak sayıyoruz.

Bu satırın önemi şudur: bir ağın “kuşak 3 destekliyor” olması, o ağdaki trafiğin kuşak 3 korumasında olduğunu göstermez. Duyuruda iki kuşak birden varsa, hangi istemcinin hangisini kullandığı tavan dağılımının sonucudur ve yalnız ilişkilenme kayıtlarından okunabilir. Ölçümde bu dağılım kendiliğinden çıkıyor: tavanı 2 olan 17 istemcinin ilişkilenebilen 13’ü alt kuşakta kalıyor, tavanı 3 olan 11 istemcinin ilişkilenebilen 9’u üst kuşağa çıkıyor.

Kimlik doğrulama kipinin turu da bu satırın arkasında durur. Ortak anahtar kipinde karar erişim noktasında biter. Kurumsal kipte erişim noktası kararı taşır ve bir kimlik doğrulama sunucusuna sorar; ilişkilenmeye fazladan bir gidiş–dönüş eklenir ve sunucu erişilemezse ilişkilenme hiç tamamlanmaz. Ortam koşulunun sağlanması bu durumda hiçbir şey kurtarmaz — işaret gücü tamdır, istemci içeridedir, ilişkilenme yine olmaz. Kuşak koşulunun sınırı “delmesi” bu demektir.

Yüzeyler ve Daraltmalar

Kuşak seçiminin açtığı yüzeyler bir saldırı anlatısı değil, birer yapılandırma sonucudur. Sayılan her yüzeyin yanında onu daraltan ayar durur.

Birinci yüzey — karma kipin taban etkisi. Karma kipte ağın kapsaması alt kuşağınkidir; alt kuşağın taşıdığı koruma da ağda fiilen kullanılan korumadır. Ölçümde bu, karma satırının kuşak 2 satırıyla birebir aynı çıkması olarak görünür. Daraltma: iki kuşak aynı ağ adında sunulmaz; alt kuşağı gerektiren istemciler ayrı bir ağ adına ve ayrı bir bölüte alınır, böylece taban etkisi ağın tamamına değil o bölüte kalır. İkinci daraltma alt kuşağı tümüyle kapatmaktır ve bedeli ölçülmüştür: 13 istemci, 11’i hücre içinden.

İkinci yüzey — ortak kimlik bilgisi. Ortak anahtar kipinde tek bir kimlik bilgisini herkes taşır; ayrılan bir istemcinin erişimi ancak anahtar bütün ağda değiştirilerek kesilir. Daraltma: kurumsal kip, kimlik bilgisini istemci başına ayırır ve tek bir istemcinin erişimi ağın geri kalanına dokunmadan kesilir. Bedeli ilişkilenmeye eklenen gidiş–dönüş ve kimlik doğrulama sunucusuna doğan bağımlılıktır.

Üçüncü yüzey — korunmasız yönetim çerçeveleri. İlişkilenmeyi başlatan ve sonlandıran çerçeveler eski kuşaklarda bütünlük koruması almaz; bu çerçevelerin doğruluğunu denetleyen bir düzenek yoktur. Daraltma: yönetim çerçevesi koruması, bu çerçeveleri de bütünlük denetimine bağlar ve üst kuşakta zorunludur. Ölçümde bu, ancak kuşak koşulu yükseltildiğinde elde edilir; yani daraltmanın bedeli yine fazla duran sütunudur.

Dördüncü yüzey — kuşak seçiminin görünmezliği. İstemcinin hangi kuşağı seçtiği duyuruya ve istemcinin tavanına bağlıdır; ağ yöneticisi kaç istemcinin alt kuşaktan girdiğini varsaymaz. Daraltma: ilişkilenme kayıtlarında seçilen kuşağın sayılması — ölçümdeki tavan dağılımının karşılığı budur: 12 istemcinin tavanı 1, 17’sinin 2, 11’inin 3.

Özet

• İlişkilenme iki koşulun vesidir: ortam koşulu sınırı kaydırır, kuşak koşulu sınırı deler; hücrenin ortasındaki bir istemci güçlü işaretle dışarıda kalabilir.
• Kuşak tek bir ayar değil bir demettir: kimlik doğrulama kipi, şifre takımı, anahtar türetme ve yönetim çerçevesi koruması birlikte değişir.
• Kuşak koşulu sertleştikçe fazla geçen 5 → 4 → 2, fazla duran 1 → 9 → 20 olur; üç birim sızıntı kazancı on dokuz birim hizmet kaybıyla ödenir.
• Karma kip kapsamayı sunulan en düşük kuşağa bağlar; dört sütunu da o kuşağınkiyle aynıdır ve karma kipi kapatmanın bedeli 13 istemcidir — 11’i hücre içinden, 2’si dışından.
• Kuşak 3 rejiminde ilişkilenen dokuz istemcinin yalnız üçü tam hız kademesindedir; kuşak koşulu kapıyı daraltır, kademeyi değiştirmez.

Sonraki Adım

Buraya kadar ölçülen her şey tek bir menzil sınıfının içindeydi: otuz metrelik bir hücre, onlarca metrelik uzaklıklar, kademe kademe inen bir hız. Oysa aynı niyet — “sınırın içindeki istemci hizmet alır” — birkaç metrelik bir eşleşme bağında da, kilometrelerce uzanan bir düşük güçlü bağda da kurulur. Sonraki ders aynı kırk istemciyi üç ayrı menzil sınıfında ölçer: menzil büyüdükçe hız kademesi nereye iner, fazla duran nereye çıkar ve niyetin “hizmet” sözü her sınıfta neye karşılık gelir.