WPA2, WPA3 ve Enterprise: Hangi Wi-Fi Güvenliği?

Bir SSID oluştururken seçilen güvenlik modu üç soruyu birden cevaplar: Ağa kim bağlanabilir? Havadaki trafik nasıl korunur? Bağlantıyı yöneten çerçeveler sahteciliğe karşı korunur mu? WPA2, WPA3, Personal, Enterprise ve Enhanced Open bu sorulara farklı cevaplar verir. Doğru seçim modun adından değil, ağa bağlanacak cihazlardan, kimliklerin nasıl yönetildiğinden ve korunan verinin değerinden çıkar.

Bağlantının adım adım nasıl kurulduğu (802.11 authentication, association, 4-way handshake) Wi-Fi’ye Bağlanırken Ne Olur? yazısında anlatıldı; bu yazı o adımları tekrar etmiyor, modlar arasındaki farka ve seçime odaklanıyor.

Üç aile: açık ağ, Personal ve Enterprise

Güvenlik modlarını önce kimliğin nasıl doğrulandığına göre ayırmak işi kolaylaştırır:

Açık ağ: Kimlik doğrulama yoktur, herkes bağlanır. Klasik Open ağda trafik şifrelenmez. Enhanced Open (OWE) ise kimlik sormadan trafiği şifreler.
Personal: Ağı kullanan herkes aynı parolayı bilir. WPA2’de bu yönteme PSK (pre-shared key), WPA3’te SAE (Simultaneous Authentication of Equals) denir.
Enterprise: Her kullanıcı ya da yönetilen cihaz kendi kimliğiyle doğrulanır: kullanıcı adı ve parola ya da cihaz sertifikası. Doğrulama 802.1X ile bir RADIUS sunucusunda yapılır. EAP yöntemleri, RADIUS ve sertifika zinciri NAC: 802.1X, RADIUS ve MAB yazısında.

Satır, kimin doğrulandığını; sütun, modun neslini gösterir. Personal ile Enterprise arasındaki fark parolanın gücü değil, kimliğin kişiye ya da cihaza ait olmasıdır.

Personal ile Enterprise arasındaki asıl fark parolanın uzunluğu değildir. Personal’da bir çalışan ayrıldığında ya da parola sızdığında herkesin parolası değişmek zorundadır; kimin bağlandığı da parola üzerinden ayırt edilemez. Meraki’nin temel bilgiler belgesi ortak anahtarın sosyal mühendisliğe açık olduğunu da not eder. Enterprise’da her kimlik ayrı yönetilir: tek bir hesap ya da sertifika iptal edilir, diğerleri etkilenmez. Bunun bedeli, bir kimlik altyapısı (dizin, RADIUS, sertifikalar) gerektirmesidir.

WPA2-Personal ve WPA3-Personal: aynı parola, farklı el sıkışma

İki mod da kullanıcıya aynı görünür: SSID seçilir, parola girilir. Fark, parolanın bağlantı sırasında nasıl kullanıldığındadır.

WPA2-Personal (PSK) ana anahtarı doğrudan paroladan türetir. HPE Aruba’nın WPA3 belgesi, WPA2-Personal’a karşı çevrimdışı sözlük saldırılarının yirmi yılı aşkın süredir bilindiğini belirtir. Parolanın bilinmesi tek başına kaydedilmiş trafiği açmaya yetmez: Cisco’nun kablosuz paket yakalama belgesine göre yakalanmış WPA2-PSK trafiği, PSK biliniyorsa ve o oturumun 4-way handshake çerçeveleri de kayda alınmışsa çözülebilir. Bu iki koşul bir aradaysa kayıttaki oturum okunabilir. Pratikte saldırgan, bir istemci bağlanırken havadan yakaladığı el sıkışma verisini alıp ağdan uzakta, istediği kadar parola deneyebilir. Kısa ya da tahmin edilebilir bir parola bu yüzden asıl risktir.

WPA3-Personal (SAE) bu yolu kapatır. Meraki’nin WPA3 belgesine göre SAE, her parola tahmininin ağla canlı bir etkileşim gerektirmesini sağlar; pasif olarak yakalanan veriyle çevrimdışı tahmin yapılamaz. Huawei ve Meraki belgeleri SAE’nin ileri gizlilik (forward secrecy) sağladığını da belirtir: parola sonradan öğrenilse bile daha önce kaydedilmiş trafik bu parolayla çözülemez.

WPA3 her saldırıyı önlemez. Parolayı bilen biri, örneğin ayrılmış bir çalışan ya da parolayı başkasıyla paylaşan bir kullanıcı, ağa yine bağlanır. Zayıf bir parola çevrimiçi denemelerle hâlâ tahmin edilebilir; SAE bunu yalnızca yavaşlatır. Sahte AP’ler, AP ve istemci yazılımlarındaki açıklar ve yanlış yapılandırma ayrı risklerdir. Bu yüzden WPA3’te de uzun ve paylaşımı sınırlı bir parola ve güncel yazılım gerekir.

PMF: yönetim çerçevelerini korumak

Wi-Fi’de bağlantıyı kurmak ve koparmak için kullanılan yönetim çerçeveleri vardır. Cisco’nun 802.11w belgesine göre PMF (Protected Management Frames, 802.11w) bağlantı koparma (deauthentication), ayrılma (disassociation) ve bazı eylem çerçevelerini korur. PMF bu çerçeveleri şifrelemez; sahte olup olmadıklarının anlaşılmasını sağlar.

PMF’nin durumu moda göre değişir:

WPA3-only: PMF bütün istemciler için zorunludur. PMF desteklemeyen istemci bağlanamaz.
WPA2: PMF isteğe bağlıdır. HPE Aruba, istemci desteği eksik olduğu için WPA2 ağlarının genellikle PMF olmadan çalıştırıldığını not eder.
Geçiş modu: Cisco’nun belgesine göre WPA3 destekleyen istemciler bu modda varsayılan olarak PMF kullanır; yönetici, WPA2 istemciler için PMF’yi zorunlu ya da isteğe bağlı yapabilir. Fortinet’in kılavuzu da WPA3-Enterprise geçiş modunda PMF’nin isteğe bağlı olduğunu, ama WPA3-Enterprise istemcinin PMF’yi müzakere etmek zorunda olduğunu belirtir. Yani karma moddaki istemcilerin hepsi PMF’siz değildir; PMF’siz kalabilecek olanlar eski WPA2 istemcilerdir.

Geçiş modu: aynı SSID’de iki yöntem

Bütün cihazlar bir günde WPA3’e geçmez. WPA2/WPA3-Personal geçiş (transition) modu, PSK kullanan eski istemcilerle SAE kullanan yeni istemcilerin aynı SSID’ye bağlanmasını sağlar. HPE Aruba ve Huawei belgeleri bu modu tek SSID’de karma kimlik doğrulama olarak tanımlar.

Geçiş modu bir uyumluluk aracıdır: WPA3 istemcilerin oturumunu zayıflatmaz, ama ağın parolası WPA2'nin zayıflıklarına açık kalır.

Geçiş modunda iki şeyi ayırmak gerekir:

WPA3 istemcinin oturumu zayıflamaz. SAE ile bağlanan istemci SAE’nin korumasını ve PMF’yi kullanır; ağda WPA2 istemciler var diye bu oturum kendiliğinden WPA2 güvenliğine düşmez.
Ağın parolası WPA2’nin zayıflıklarına açık kalır. İki yöntem aynı parolayı kullanır. Bir WPA2 istemcinin el sıkışmasından çevrimdışı bulunan parola SAE ile bağlanmak için de geçerlidir. HPE Aruba bu modda WPA2 tarafının klasik sorunlara açık kaldığını, saldırganların SAE yerine PSK’yı hedefleyebileceğini ve WPA3’ten WPA2’ye düşürme (downgrade) saldırılarının mümkün olduğunu belirtir; geçiş modunu kapatmayı değerlendirmeyi önerir.

Geçiş modu bu yüzden kalıcı bir hedef değil, bir uyumluluk aracıdır. Bütün istemciler WPA3 desteklediğinde WPA3-only’ye geçilir. Cisco ise IoT cihazı olmayan ağlarda tek bir geçiş modu SSID’sinin, tek SSID yayınlandığı için daha verimli olabileceğini not eder. Karar, ağdaki eski istemcilerin sayısına ve parolanın koruduğu verinin değerine göre verilir.

Açık ağlar ve Enhanced Open (OWE)

Klasik Open ağda trafik havada şifresizdir; yakındaki herkes dinleyebilir. OWE (Opportunistic Wireless Encryption), Wi-Fi Alliance’ın Enhanced Open adıyla sertifikalandırdığı yöntemdir. RFC 8110’a göre OWE kablosuz ortamı şifreler ama kimlik doğrulama sağlamaz: istemci parola girmeden bağlanır, her istemci kendi anahtarıyla şifrelenir ve pasif dinleme engellenir.

OWE’nin sınırları da aynı RFC’de açıkça yazılıdır:

AP’nin kimliği doğrulanmaz. Kendini AP gibi gösteren aktif bir saldırgan araya girip trafiği görebilir ve değiştirebilir.
Yalnızca havadaki trafiği korur; uçtan uca güvenlik sağlamaz. HTTPS gibi uygulama düzeyi şifreleme yine gerekir.
Gerçek kimlik doğrulaması sunan bir seçenek varsa onun yerine kullanılmaz.

OWE, WPA3-Personal ile aynı şey değildir. WPA3-Personal bir parola ve SAE el sıkışması ister; OWE parola istemez ve kimseyi doğrulamaz. OWE’nin geliştirilmesi Aralık 2024’te yayımlanan RFC 9672 ile IEEE 802.11 çalışma grubuna devredilmiştir.

Misafir ağında OWE, captive portal ile birlikte kullanılabilir: portal kullanım şartlarını ya da kaydı yönetir, OWE havadaki trafiği şifreler. Her istemci OWE desteklemez; Cisco bu yüzden desteklemeyen cihazlar için ayrı bir Open SSID ile OWE SSID’yi birlikte sunmayı önerir.

6 GHz: eski modlara yer yok

Wi-Fi 6E ve Wi-Fi 7 ile kullanılan 6 GHz bandı yalnızca yeni modları kabul eder. HPE Aruba’nın belgesine göre Wi-Fi Alliance bu bantta en az WPA3 ya da Enhanced Open şartı koymuştur; Open, WPA (ilk sürüm), TKIP ve WEP bu bantta kullanılamaz. Meraki’nin belgesi 6 GHz’te WPA2’ye izin verilmediğini ve PMF’nin zorunlu olduğunu belirtir.

Bunun pratik sonucu şudur: 6 GHz bağlantısı WPA3-only ya da OWE güvenliği ister; WPA2-only ya da WPA2/WPA3 geçiş modu 6 GHz’te kullanılamaz. Enterprise tarafında da Cisco, SHA-1 kullanan klasik 802.1X’in WPA2’ye ait olduğunu ve 6 GHz için uygun olmadığını not eder.

Bu, 6 GHz için mutlaka ayrı bir SSID gerektiği anlamına gelmez. HPE Aruba geçiş ayarının yalnızca 2,4 ve 5 GHz’te etkili olduğunu belirtir. Cisco’nun Catalyst 9166 kurulum kılavuzu da aynı SSID adının 2,4 ve 5 GHz’te WPA2+WPA3 geçiş modunda, 6 GHz’te ise WPA3-only ve PMF zorunlu olarak yayımlandığı bir seçenek tanımlar. Aynı kılavuz kurumsal ağlar için yeni bir WPA3 SSID eklemeyi önerilen seçenek olarak verir. Yani ayrı SSID bir tasarım tercihidir, zorunluluk değil; aynı SSID’nin bantlara göre farklı güvenlikle yayımlanıp yayımlanamayacağı kullanılan platformun belgesinden doğrulanır.

Eski IoT cihazları: uyum için güvenlikten vazgeçmeden

Barkod okuyucular, yazıcılar ve bazı sensörler WPA3’ü desteklemeyebilir. Bu cihazlar için güvenliği bütün ağda düşürmek yerine sınırları belli bir çözüm kurulur:

Ayrı bir SSID, WPA2-Personal ve AES (CCMP): WEP ve TKIP seçilmez. Meraki’nin belgesi WEP’i güvensiz ve kullanımdan kalkmış, TKIP’i de saldırılara açık olarak tanımlar.
Ağ ayrımı: Bu SSID ayrı bir VLAN’a bağlanır ve cihazlar yalnızca ihtiyaç duydukları sunuculara erişebilir (VLAN, Segmentasyon ve DMZ).
Parola: Uzun, rastgele ve yalnızca bu cihazlar için kullanılan bir parola. Kurumsal SSID’nin parolasıyla aynı olmaz.
Çıkış planı: Cihaz yenilendiğinde WPA3 ya da 802.1X destekli modele geçilir ve bu SSID kapatılır.

Bu SSID 6 GHz’te yayınlanamaz; eski cihazlar zaten çoğu zaman 6 GHz desteklemez.

Hangi SSID için hangi mod?

Aşağıdaki tablo bir başlangıç noktasıdır; her satır, solundaki koşul sağlandığında geçerlidir.

SSID	Koşul	İlk tercih	Dikkat
Kurumsal (yönetilen dizüstü ve telefonlar)	Dizin ve RADIUS altyapısı var, istemciler WPA3 destekliyor	WPA3-Enterprise	Eski istemciler varsa geçiş dönemi planlanır. 192-bit profil isteğe bağlıdır; yalnızca politika gerektiriyorsa ve istemciler destekliyorsa seçilir
Küçük ofis	Kimlik altyapısı yok	WPA3-Personal	Uzun parola; eski istemciler varsa geçiş modu geçici olarak
Misafir	Kimlik gerekmiyor, trafik yalnızca internete çıkıyor	Enhanced Open (OWE), gerekirse captive portal ile	Desteklemeyen istemciler için ayrı Open SSID; misafir trafiği iç ağdan ayrılır
Eski IoT	Cihaz yalnızca WPA2 destekliyor	WPA2-Personal, AES (CCMP), ayrı SSID ve VLAN	WEP ve TKIP yok; erişim yalnızca gerekli hedeflere; yenileme planı

Meraki’nin belgesine göre WPA3-Enterprise’ın 192-bit modu isteğe bağlı, yüksek güvenlik gerektiren ağlar için bir profildir ve yalnızca EAP-TLS ile çalışır. Her Enterprise kurulumunda gerekmez.

Kendinizi deneyin

Alıştırma 1: Bir şirket üç SSID planlıyor. (a) Şirkete ait dizüstüler: Active Directory ve RADIUS sunucusu var, bütün dizüstüler WPA3 destekliyor. (b) Ziyaretçiler: yalnızca internete çıkacaklar; telefonların çoğu yeni, birkaç eski cihaz da var. (c) Depodaki barkod okuyucular: yalnızca WPA2-Personal (AES) destekliyorlar ve tek bir uygulama sunucusuna bağlanıyorlar. Her SSID için hangi modu seçersiniz, neden?

Cevap ve açıklama

(a) WPA3-Enterprise. Kimlik altyapısı hazır ve istemciler destekliyor. Her kullanıcı ya da cihaz ayrı doğrulanır; ayrılan bir çalışanın erişimi yalnızca onun hesabı kapatılarak kesilir. PMF zorunludur ve SSID 6 GHz’te de yayınlanabilir. 192-bit profil ancak bir güvenlik politikası gerektiriyorsa düşünülür.
(b) Enhanced Open (OWE), eski cihazlar için ayrı bir Open SSID. Misafirden kimlik beklenmiyor; OWE havadaki trafiği parola olmadan şifreler. OWE AP’nin kimliğini doğrulamadığı için misafir trafiği iç ağdan ayrılmalı ve uygulamalar HTTPS gibi uçtan uca korumaya dayanmalıdır. OWE desteklemeyen birkaç eski cihaz Open SSID’ye bağlanır; iki SSID de aynı captive portalı kullanabilir.
(c) Ayrı bir SSID’de WPA2-Personal, AES (CCMP). Cihazlar WPA3 desteklemediği için tek seçenek bu; WEP ya da TKIP’e inilmez. SSID ayrı bir VLAN’a bağlanır ve cihazlar yalnızca uygulama sunucusuna erişebilir. Parola uzun, rastgele ve yalnızca bu SSID’ye özeldir. Cihazlar yenilenene kadar geçerli bir çözümdür.

Alıştırma 2: Bir ofiste “Ofis” SSID’si WPA2/WPA3-Personal geçiş modunda çalışıyor. Yeni telefonlar SAE ile bağlanıyor, birkaç eski dizüstü PSK ile. Yönetici iki şey söylüyor: “Yeni cihazlar zaten WPA3 kullanıyor, bu yüzden risk yok” ve “Yeni AP’lerle bu SSID’yi 6 GHz’te de yayınlayalım.” İki ifadeyi değerlendirin.