Kablosuz Ağlarda Adli Analiz

[KABLOSUZ AĞLARDA FORENSIC]
BGA Bilgi Güvenliği A.Ş. | www.bgasecurity.com | @BGASecurity
KABLOSUZ AĞLARDA
FORENSIC

- İstanbul Şehir Üniversitesi -
Bilgi GüvenliğiMühendisliği Yüksek Lisans
Programı BilgisayarAdli Analizi Dersi
NOT: Eğitmenlerimizden Huzeyfe Önal’ın İstanbul Şehir Üniversitesi
2016 bahar döneminde Yüksek Lisans Programı Adli Bilişim Dersi
öğrencileri tarafından hazırlanmıştır.
Hazırlayan: Gökhan Kuruçay
Tarih: 29.05.2016

Kablosuz Ağlarda Forensic
Son yıllardaki internet teknolojilerindeki gelişmelerle, veri iletişimi sosyal ve ekonomik
hayatımızın vazgeçilmez bir parçası haline gelmiştir. Tablet, Laptop ve akıllı telefonların
yaygınlaşmasıyla bu sistemlerin internete erişmesi için kablosuz çözümlere ihtiyaç artmıştır.
Günümüzde ev, iş yeri ve çoğu kamuya açık alanda internet erişimi kablosuz olarak
sağlanmaktadır. Bu haberleşme için IEEE WLAN 802.11 standartları kullanılmaktadır. Bu iletim
standartları, devletler tarafından izin verilen ücretsiz frekans bantlarını kullanmaktadır. Yeni
gelişenmikroişlemci ve anten teknolojileriyle yüksek hız ve uzak mesafeyeveri iletimikablosuz
ortamda sağlanmaktadır.
Şekil 1 : IEEE WLAN Standartları
Şekil 2 : IEEE WLAN Jenerasyonlar

Bu erişim sağlanırken güvenli bir şekilde haberleşme sağlanabilmesi için Access point cihazı ile
istemci arasında güvenliği kanıtlanmış protokollar kullanılmalıdır. Güvenlik için ilk WEP
protokolü kullanılmıştır. Bunlardan en yaygın olarak kullanılan protokoller WPA ve WPA2’ dir.
WPA ve WPA2 protokolleri WEP protokolündeki açıklıkları kapatmak için geliştirilmiş, access
point ve kullanıcı arasında çift taraflı kimlik doğrulama ve anahtar yönetimi sayesinde tercih
edilen bir kablosuz ağ güvenlik protokolleridir.
Şekil 3 : Kablosuz Ağ Güvenlik Protokolleri

Kablosuz Ağlarda Güvenlik Tedbirleri
Service Set Identifier (SSID) :
SSID, bir kablosuz ağı tanımlayan addır. Ağ üzerindeki tüm aygıtlar kablosuz ağ SSID'sini
bilmelidir, aksi takdirde birbirleriyle iletişim kuramazlar. Genellikle kablosuz ağ, bölgedeki
kablosuz aygıtların bağlanabilmesi için bir SSID yayınlar. Bazen SSID güvenlik nedenleriyle
yayınlanmaz. Bir SSID'de en fazla 32 alfasayısal karakter bulunabilir.
MAC Adres Kilitleme:
Her bir Erişim noktası (AP) giriş kontrol listesi (ACL) tutar. ACL MAC adresleri listeler. Sadece
AP ye ACL listesindeki cihazların bağlanması için sağlanmış olur. Fakat bu yöntem başarılı bir
güvenlik yöntemi değildir. MAC adresler ortamdan dinlemesi ile öğrenilebilir ve mesaj
üretirken kullanılabilir.
WEP – WiredEquivalent Privacy:
WEP şifreleme kablosuz ağ güvenlik standartı olarak 1999 yılında kabul görmüştür. WEP hiçbir
zaman güçlü bir güvenliği hedeflememiştir. En azından kablolu yerel ağ kadar güvenlik
sağlamak hedeflenmiştir. Mesaj gizliliği ve bütünlüğü sağlanması amaçlanmıştır.
Amerikanın kriptografik algoritmalarda ki kısıtlamarı nedeniyle 64 bit şifreleme ile pek güvenli
olmadan kullanılmaya başlanmıştır. Günümüzde 256 bit şifrelemeli WEP algoritmaları
olmasına rağmen hala güvenli bir şifreleme türü değildir. Gerçek bir anahtar yönetimi yoktur.
Kullanıcı ve EN arasında önceden bir anahtar paylaştırılır.
Kullanılan şifreleme algoritması RC4, anahtar uzunluğu 40 bit veya 104 bittir.
IV(initializationvector) uzunluğu 24 bit ve veri bütünlüğünü ICV (integrity check value) ile
sağlanmaktadır. Bu algoritma CRC 32’ dir. Kullanılan şifreleme algoritması RC4 (RivestCipher);
bir dizi şifreleyicisi olup simetrik anahtar kullanmaktadır.

Şekil 4 : WEP Giriş Kontrol ve Doğrulama
Bağlantı kurulmadan önce İstasyon (istemci) kendisini erişim noktasına doğrulaması gerekir.
(Authentication). Kimlik doğrulama basit bir sorgu/cevap (challange/response) protokolüdür.
İstasyon kimlik doğrulama isteği gönderir. Erişim noktası, 128 bitlik bir rassal sayı gönderir.
İstemci rassal sayıyı şifreler. Algoritma olarak: RC4 dizi şifreleme algoritması kullanır. Erişim
noktası bu şifrelenmiş veriyi aynı anahtarla çözer ve ilk gönderdiği rassal sayı ile karşılaştır.
Eğer sonuç aynıysa erişime izin verir.
WEP algoritmasında zayıflıklar bulunmaktadır. Kimlik Doğrulama sadece tek taraflıdır bu
nedenle erişim Noktası kimliğini doğrulamaz. İstasyonun saldırgan bir erişim noktasına
bağlanma riski vardır.
WEP tekrar saldırılarını önleyemez. WEP RC4 algoritmasında zayıf anahtarlar kullanılması
şifreleme anahtarının ele geçmesine neden olabilir. WEP IV’leri 24 bit olduğu için tekrar
kullanır. Bazı kriptoanaliz yaklaşımlarıile şifreleme anahtarı bilinmeden veri çözülebilir. ICVnin
elde edilme yönteminin zayıflığı nedeni ile mesaj bütünlüğü araya giren tarafından bozulabilir.
Kimlik doğrulama sonucunda oturum anahtarı oluşturulmaz.

Şekil 5 : WEP Pasif Saldırı
Şekil 6 : WEP Aktif Saldırı
802.11i StandartlarınaGenel Bakış
Kablosuz ortamda güvenli veri iletimi için 802.11i kablosuz ağ güvenlik standartları
belirlenmiştir. Başlıca yenilikler aşağıdadır.
 802.1X tabanlı erişim denetim modeli
 EAP (Extensible Authentication Protocol) tabanlı esnek kimlik doğrulama
 Kimlik doğrulama sonucunda ortak oturum anahtarı üretme
 Farklı fonksiyonlar (şifreleme, bütünlük) için farklı anahtar üretme/kullanma
 Bütünlük ve şifreleme algoritmalarının güvenlik bakımından iyileştirilmesi
802.11i ile yeni bir güvenlik konsepti RSN (Robust Security Network) sunulmuştur. Bütünlük
koruma ve şifreleme için AES algoritması kullanılması önerilmiş fakat yeni donanım

gereksinimi olduğu için eski cihazlarda RC4 kullanılmaya devam edilmiştir. WEP’in güvenlik
açıklarını örtecek hem de 802.11i aynı zamanda uyumluluk için TKIP (Temporal Key Integrity
Protocol) seçeneğini sunmaktadır. TKIP protokolünde mesaj bütünlüğü korumak için MIC,
şifreleme için RC4 kullanılır. Fakat WEP’teki RC4 açıklar kapatılmaya çalışılmıştır. Endüstriyel
isimolarak TKIP için WPA, RSN (AES-CCMP) için WPA2 kabul görmektedir. Kimlik doğrulama,
erişim denetimi ve anahtar yönetimi protokolleri WPA ve WPA2’de aynıdır. Yalnızca şifreleme
ve bütünlük koruma mekanizmaları farklılık gösterir. Paroladan (password - passphrase) daha
güçlü anahtar üretme yöntemi getirilmiştir. Kurum ve kuruluşlar için merkezileştirilmiş kimlik
doğrulama mekanizması (EAP) seçeneği bulunmaktadır. WPA ve WPA2’nin standartlaşmasıyla
birlikte WLAN ağlarındaki basit güvenlik açıkları önemli ölçüde kapatılmıştır.
Şekil 6 : WEP Aktif Saldırı
WPA Saldırısı:
WPA’ya karşı yapılan en güncel ve pratik saldırı Erik Tews ve Martin Beck’e (2008) ait olan
orijinal saldırıyı önemli bir miktarda geliştiren Maty Vanhoef ve Frank Piessens’e aittir.
Maksimum 112 bayt yük taşıyan keyfi paketlerin, sisteme nasıl enjekte edileceğini
göstermişlerdir. Bunu kurbana karşı bir Port Scanner(Port Tarayıcı)kullanarak uygulamışlardır.
Aynı zamanda istemciye gönderilen keyfi paketlerin şifrelerinin nasıl çözüleceğini de
göstermişlerdir. Bu durumun, nasıl kurbanın TCP bağlantısının ele geçirilmesi için
kullanılabiliceğinden bahsetmişlerdir.

Aynı zamanda Beck-Tews saldırısı Quality of Service(802.11e’de bahsedildiği gibi)'ın açık
olmasını gerektirirken, Vanhoef-Piessens saldırısı buna ihtiyaç duymaz. İki saldırı da istemci ve
erişim noktası arasında yer alan paylaşımlı anahtarın kurtarılmasına engel olmaktadır.
Eğer paket türü biliniyorsa (genellikle ARP - Address Resolution Protocol), CRC32 checksum
size paketin bazı bayt’larını tahmin edilmesine yardımcı olur.
Bir tahmin yaptıktan sonra, paket AP’ye iletilir. Eğer AP paketi kabul ederse, tahmin edilen
byte’ların doğru olduğu anlaşılır. Elde edilen paketler üzerinde tahminlere devam edilir. Bu
saldırı için QoS kanalının aktif olması gerekir. Kısa bir rekeying interval kullanmanın bazı
saldırıları önlese de TKIP yerine AES-CCMP kullanılmasını şiddetle tavsiye etmişlerdir.
WPA Saldırı Gerçekleştirilmesi:
Bu kısımda WPA protokolüne saldırı anlatılacaktır. Access point ve yetkili kullanıcı arasındaki
haberleşme dinlenerek, kablosuz ağ cihazına bağlanmak için WPA şifresinde var olan
zafiyetlerin kullanılması amaçlanmaktadır.
Kali Linux Debian tabanlı özelleştirilmiş bir saldırı yazılımıdır. Sistemlerdeki güvenlik
zafiyetlerini test etmek için bir çok forensics, hacking, reverse engineering ve sızma test
programın yüklü olduğu bu açık kaynak kodlu işletim sistemiinternet üzerinden ücretsiz olarak
indirilebilmektedir. Kali isimolarak Hint kökenli olup kötü, ölümcül anlamları vardır. Kali Linux
işletim sisteminin değişik çalışma modları olup, en popüler olarak sanallaştırma yazılımları
üzerinden ikinci işletim sistemi olarak kullanılmaktadır. Türkçe dil desteğinide barındıran bu
saldırı işletim sistemi kötü niyetler kadar bir çok güvenlik personeli tarafından savunma
amaçlıda kullanılmaktadır.
Bu çalışmadaWPA güvenlik protokolü bulunan bir kablosuz ağ cihazına saldırıdüzenlenecektir.
Saldırı, sanallaştırma ortamına kurulmuş kali linux işletim sistemi üzerinde hazır olarak gelen
air-mon uygulaması kullanılarak gerçekleşecektir. Kali linux cihazı sanal ortamda bulunduğu
için bilgisayarımızın dahili kablosuz ağ adaptörünü bu saldırı için kullanamıyoruz. Bu nedenle
harici bir USB kablosuz ağ adaptörü kullanılması gerekmektedir. Bu saldırı testi mevcut
kablosuz ağ cihazlarında sorun yaratabileceği için test amaçlı ortama konulan TP-Link marka
modemle gerçekleştirilecektir.

İlk aşama kablosuz ağ cihazının ayarlanmasıdır. Fabrika ayarlarıyla gelen bir cihazda kablosuz
ağ ayarları ya kapalı yada tamamen güvensiz şekilde yapılandırılmış olarak gelir. Bu cihazların
kullanıma başlamadan önce uygun şekilde yapılandırılması kritik öneme sahiptir.
Default şifresi ile bağlandığımız cihaza erişim için bir browser uygulamasını kullanabiliriz.
Kullandığımız cihazın default ip adresi 192.168.0.1 olduğu için bu ip adresi ve defaul kullanıcı
adı ve şifresiyle cihaza bağlandık. Wireless -> Wireless Security sekmesi altında cihazımızın
kablosuz ağ güvenlik ayarlarını versiyon WPA-PSK, Encrytion TKIP ve kullanacağımız anahtar
olarakta 62785177 değerini seçiyoruz. Save butonuna bastığımızda cihaz yeni ayarlarıyla
başlamak için reboot olacaktır.
Şekil 7 : Kablosuz Ağ Cihazı Yapılandırması
WPA şifre kırma işlemi için kurulumunu yaptığımız kablosuz ağ cihazı ile bu cihaza bağlanacak
bir clientın oturum kurma safhasını kayıt etmemiz gerekiyor. Bu kayıt işlemini AP, PTK
(Pairwise Transient Key) adı verilen bir anahtar oluşturup aralarındaki tüm trafiği bu anahtar
ileşifreler. PTK, SSID ANounce (AP’den gelen bir kerelik rastgelebir sayı),SNounce (istemciden
gelen bir kerelik rastgele bir sayı), AP MAC adresi, istemci MAC adresi ve ağ parolası

kullanılarak oluşturulur. Bu ortak anahtar oluşturma safhasınıdinleyip, elde ettiğimiz paketleri
makul bir anahtar uzayı ile tek tek karşılaştırarak otorum anahtarını bulmak istiyoruz. Bundan
sonrası işlemler kali linux işletim sistemi üzerinden anlatılacaktır.
Vmware sanallaştırma sisteminde üzerine kurulu Kali linux cihazına tanıttığımız harici
modemimizin aktif olup olmadığını anlamak için ilk olarak test etmek gerekir.
Şekildende görüldüğü gibi wlan0 interface adıyla kablosuz ağ adaptörümüz sorunsuz şekilde
sisteme bağlandı.
Bu işlemleri eğer çalışansistemlere yapıyorsanız öncelikli olarak yakalanmamak içincihaz MAC
adresi değiştirilmelidir. Bu işlem kali linux üzerinde hazır gelen macchanger programı ile kolay
bir şekilde yapılmaktadır. Fakat öncesinde değişiklik yapacağımız interface kapatılmalıdır.
Aşağıdaki şekilde görüldüğü gibi USB kablosuz ağ adaptörünün MAC adresi değiştirilir.
Interfacelerin durumu aşağıdaki komutla görülebilir.

Ağ adaptörü ortamı dinlemesi için monitor modda çalışması gerekmektedir.
Daha sonra airmon uygulamasının düzgün bir şekilde monior modda çalışması için wlan0
interface’inde çalışan diğer uygulamalar kontrol edilir, eğer varsa durdurulur.

Daha sonra monitor moda başlatılır.
İşlemlere geçmeden önce kullanabileceğimiz bazı programlar şu şekildedir:
 airodump: 802.11 için Paket Yakalama
 aireplay: 802.11 için Paket Enjeksiyonu
 aircrack: static WEP ve WPA Anahtar Kırma
Airodump ile paket yakalamaya başlanır ve saldırmak istediğimiz cihaz belirlenir.

Saldırmak istediğimiz cihazın MAC adres bilgileri ve hangi kanalda yayın yaptığı tespit edilir.
Bağlanmak istediğimiz TP-LINK_677F5E cihazı Mac adresi: E8:DE:27:67:7F:5E ve 7. Kanaldan
servis veriyor. Airodump komutuyla monitor ettiğimiz cihazın bilgilerini /root/wpa altındaki
saldiri_log dosyasına yazıyoruz.
İstediğimiz authentication paketlerini yakalamak için başka bir cli penceresinden aynı
zamanda aşağıdaki aireplay-ng komut ile bağlantı koparma istekleri yolluyoruz. Bu sayede o
an access pointe bağlı olan cihazlar düşüyor. Bu cihazlar tekrar bağlantı isteği uygulayınca
kimlik doğrulama paketlerini elde ediyoruz.

Yaklaşık 2-3 dakika kadar bu işlemi gerçekleştirip tekrar kimlik doğrulama paketini
yakaladığımızda paket toplamayı durdurabiliriz. Kaydettiğimiz saldiri_log.cap filenı wireshark
gibi paket inceleme toolu ile açtığımızda kaydettiğimiz trafiği görebiliriz. İnterface kartı
monitor modunda olduğu için normal kablosuz ethernet adaptorü ile göremeyeceğimiz daha
detaylı logları elde ederiz.
Wireshark çıktısında görülüğü gibi de Deauthentication ve Authentication paketleri
görülebilir. Şifre kırma işleminde kullanacağımız EAPOL Authentication paketlerini, eapol
protokolünü filtreleyerek kolay bir şekilde wireshark içinde görebiliriz. Burada WPA
şifrelemede kullanılan anahtar, bütünlük ve şifreleme ile ilgili daha detaylı bilgi edilebilir.

Ayrıca kaydettiğimiz şifreli paketleri eğer WPA oturum anahtarını bilirsek wireshark üzerinden
inceleyebiliriz. Wireshark Edit > Preferences sekmesinde Protokol kısmından WPA
protokolünün dahil olduğu IEEE 802.11 seçilip, Decrytion Key kısmında oturum anahtarı
girebiliriz. Böylece wireshark otomatik olarak şifreli mesajları açacaktır.

Kimlik doğrulama paketleri elde edildikten sonra aircrack toolu yardımıyla içersindeki kimlik
doğrulama şifresi elde edilir. Bu anahtara kali linux içinde bulunan crunch uygulaması
sayesinde kaba kuvvet saldırısı yapılır. Aşağıda gösterilen crunch uygulaması 8 ve 9 karakter
uzunluğunda ve 1,2,3,4,5,6,7,8,9 rakamlarını içeren anahtarları sıraylaüretecek ve Aircrack-ng
uygulaması sayesinde başarılı olan anahtar bulana kadar devam edecektir. Aşağıda görüldüğü
gibi bunu yapmak için saniyede yaklaşık 1633 tane anahtar deneyerek 4 saat 21 dk sonrasında
anahtar elde edilmiştir. Anahtar uzayına harf ve özel karakterleri eklediğimizde bu işlem daha
uzun sürmektedir.

BGA Bilgi Güvenliği A.Ş. Hakkında
BGA Bilgi Güvenliği A.Ş. 2008 yılından bu yana siber güvenlik alanında faaliyet göstermektedir.
Ülkemizdeki bilgi güvenliği sektörüne profesyonel anlamda destek olmak amacı ile kurulan BGA Bilgi
Güvenliği,stratejik siber güvenlik danışmanlığı ve güvenlik eğitimleri konularında kurumlara hizmet
vermektedir.
Uluslararası geçerliliğe sahip sertifikalı 50 kişilikteknik ekibi ile,faaliyetlerini Ankara ve İstanbul ve
USA’da sürdüren BGA Bilgi Güvenliği’ninilgi alanlarını “Sızma Testleri, Güvenlik Denetimi, SOME, SOC
Danışmanlığı, Açık Kaynak Siber Güvenlik Çözümleri, Büyük Veri Güvenlik Analizi ve Yeni Nesil
Güvenlik Çözümleri”oluşturmaktadır.
Gerçekleştirdiği başarılı danışmanlık projeleri ve eğitimlerle sektörde saygın bir yer edinen BGA Bilgi
Güvenliği, kurulduğu günden bugüne alanında lider finans, enerji, telekom ve kamu kuruluşlarına
1.000'den fazlaeğitimve danışmanlıkprojelerigerçekleştirmiştir.
BGA Bilgi Güvenliği, kurulduğu 2008 yılından beri ülkemizde bilgi güvenliği konusundaki bilgi ve
paylaşımlarınartmasıamacı ile güvenlike-postalisteleri oluşturulması,seminerler,güvenliketkinlikleri
düzenlenmesi, üniversite öğrencilerine kariyer ve bilgi sağlamak için siber güvenlik kampları
düzenlenmesi ve sosyal sorumlulukprojeleri gibi birçokkonudagönüllüfaaliyetlerde bulunmuştur.
BGA Bilgi Güvenliği AKADEMİSİ Hakkında
BGA Bilgi Güvenliği A.Ş.’nin eğitim ve sosyal sorumluluk markası olarak çalışan Bilgi Güvenliği
AKADEMİSİ, siber güvenlik konusunda ticari, gönüllü eğitimlerin düzenlenmesi ve siber güvenlik
farkındalığını arttırıcı gönüllü faaliyetleri yürütülmesinden sorumludur. Bilgi Güvenliği AKADEMİSİ
markasıyla bugüne kadar “Siber Güvenlik Kampları”, “Siber Güvenlik Staj Okulu”, “Siber Güvenlik Ar-
Ge Destek Bursu” , ”Ethical Hacking yarışmaları” ve “SiberGüvenlikKütüphanesi” gibi birçok gönüllü
faaliyetindestekleyici olmuştur.

Kablosuz Ağlarda Adli Analiz

More Related Content

What's hot (20)

Viewers also liked (18)

Similar to Kablosuz Ağlarda Adli Analiz (20)

More from BGA Cyber Security (20)

Kablosuz Ağlarda Adli Analiz