Halka Açık Wi-Fi Kullanırken Hesap Girişi Yapmak Güvenli mi?

Kafe masasında bilgisayarı açmak, havalimanı bekleme salonunda telefondan bir şeylere bakmak, alışveriş merkezinde oturarak Wi-Fi'ye bağlanmak — bunlar artık günlük hayatın sıradan parçaları. Halka açık Wi-Fi o kadar yaygın ve erişimi o kadar kolay ki bağlanırken fazladan düşünmeyi gerektiren bir şeymiş gibi hissettirmiyor. Bir ağ listesi açılıyor, en yakın sinyal seçiliyor, bağlanılıyor. Ardından e-posta kontrol ediliyor, bir hesaba giriş yapılıyor, belki bir ödeme sayfası açılıyor.

Ama bu ağlarda hesap girişi yapmanın, ev ya da iş ağındaki bağlantıdan çok daha farklı bir güvenlik profili taşıdığı çoğunlukla fark edilmiyor. Fark yalnızca hızda ya da sinyal gücünde değil; ağın kim tarafından kontrol edildiğinde ve oradan geçen verinin ne ölçüde izlenip izlenemeyeceğinde yatıyor. Halka açık bir ağa bağlandığınızda, o ağı kimin yönettiğini, aynı ağdaki diğer kullanıcıların neler yaptığını ve ağ trafiğinin nereye gittiğini doğrulama imkânınız yok.

Bu belirsizlik hesap girişleri için özellikle kritik. Kullanıcı adı ve şifre, oturum çerezi, iki aşamalı doğrulama kodu — bunların hepsi bir giriş anında ağ üzerinden geçiyor. Bu verinin nasıl korunduğu ve ne ölçüde açığa çıkabileceği, kullandığınız ağın yapısıyla doğrudan ilişkili.

Halka açık ağın kim tarafından işletildiğini doğrulamak mümkün değil

Bir kafenin Wi-Fi'sine bağlandığınızda, o ağın gerçekten o kafenin ağı olduğundan ne kadar eminsiniz? Ağ adı — "CafeWiFi" ya da "AirportFree" gibi bir isim — herhangi biri tarafından oluşturulabilir. Bu yöntemle kurulan sahte ağ, "evil twin" saldırısı olarak biliniyor: saldırgan, gerçek ağın adıyla ya da ona çok benzer bir adla kendi ağını yayınlıyor. Telefon ya da bilgisayar bu ağa bağlandığında, tüm internet trafiği saldırganın cihazından geçiyor.

Bu senaryoda saldırganın tüm ağ trafiğini gözlemleyebilmesi mümkün hale geliyor. Hangi sitelere bağlandığınız, bu sitelere ne gönderdiğiniz, açtığınız sayfaların içerikleri — bunların tamamı izlenebilir. Gerçek ağdan ayırt etmek için görsel bir ipucu yok; her ikisi de aynı görünüyor ve bağlantı tamamen aynı şekilde çalışıyor. Ağ listesinde iki benzer isim varsa hangisinin sahte olduğunu anlamak neredeyse imkânsız.

Şifreli ağlarda da durum tamamen güvenli sayılmaz. Kafenin tüm müşterilerine aynı şifreyi verdiği bir ağ, ağ trafiğini aynı ağa katılan diğer kullanıcılardan korumaz. Doğru araçlarla aynı ağdaki başka bir kullanıcı, diğer bağlantıların trafiğini izleyebilecek konumda olabilir. "Şifreli ağ" etiketi, o ağın güvenilir ya da izole olduğu anlamına gelmiyor.

HTTPS bağlantısı veriyi şifreler ama ağın kendisini güvenli kılmaz

Tarayıcının adres çubuğunda kilit simgesi görünmesi ve URL'nin "https://" ile başlaması, pek çok kişi için "bu site güvenli" sinyali olarak okunuyor. Bu değerlendirme kısmen doğru, ama tam değil. HTTPS, cihazınız ile o siteye ait sunucu arasındaki bağlantıyı şifreler. Bu, ağ trafiğinizi izleyen birinin şifreli veriyi okuyamayacağı anlamına gelir — standart bir HTTPS bağlantısında.

Ama HTTPS'in sağlamadığı şeyler de var. Hangi alan adlarına bağlandığınız (DNS sorguları) çoğu durumda hâlâ görünür. Sahte bir giriş sayfası da HTTPS sertifikasıyla kurulabilir; kilit simgesi o sayfanın meşru olduğunu değil, yalnızca bağlantının şifreli olduğunu gösterir. Bunun ötesinde, bazı eski ya da dikkatsizce yapılandırılmış siteler HTTPS'ten HTTP'ye düşebilir; bu geçiş anında tarayıcı uyarı verse de uyarı her zaman fark edilmiyor ya da dikkate alınmıyor.

Bir de kimlik avı bağlamında halka açık ağların sunduğu özel bir risk var: saldırgan trafiği yönlendirerek bilinen bir sitenin adresini sahte bir sayfaya bağlayabilir. Bağlantı HTTPS görünüyor, URL tanıdık geliyor, ama sayfa saldırganın kontrolünde. HTTPS bu saldırı türüne karşı tam bir koruma sunmuyor çünkü sahtecilik ağ katmanında gerçekleşiyor.

Şifresiz ağlarda veri yakalama yöntemleri beklenenden daha az teknik bilgi gerektiriyor

Halka açık Wi-Fi'de ağ trafiğini yakalamak için on yıl önce ciddi teknik bilgi ve özel donanım gerekiyordu. Bugün bu tabloda değişen şeyler var; ağ trafiğini analiz etmek için kullanılan araçların bir kısmı ücretsiz ve yaygın. Bu araçların kötü niyetli kullanımı yasadışı olmakla birlikte, teknik bariyerin düşmesi halka açık ağlardaki riski somut biçimde artırdı.

Şifresiz ağlarda — yani bağlanmak için herhangi bir parola girilmeyen Wi-Fi noktalarında — "packet sniffing" adı verilen yöntemle ağ trafiği yakalanabilir. HTTP üzerinden iletilen veri bu yöntemle doğrudan okunabilir. Bir web formuna girilen kullanıcı adı ve şifre, HTTP bağlantısında düz metin olarak ağ üzerinden geçiyor. HTTPS bu riski büyük ölçüde ortadan kaldırıyor, ama tüm siteler HTTPS kullanmıyor ve kullandıklarında da geçiş aşamalarındaki açıklar var.

Bununla birlikte oturum çerezi saldırıları da bu bağlamda önem taşıyor. Bir siteye giriş yaptıktan sonra oturumu aktif tutmak için bir çerez kullanılıyor. Bu çerez ele geçirilirse, saldırgan hesabınıza şifrenize ihtiyaç duymadan girebilir — sizin açık oturumunuzu devralabilir. İki aşamalı doğrulama bu durumda bile tam bir güvence sağlamıyor; çünkü oturum zaten kimlik doğrulamasından geçmiş durumda. Tarayıcıda kayıtlı oturumların bu açıdan taşıdığı ek risk, tarayıcıya kaydedilen bilgilerin genel güvenlik profilini doğrudan etkiliyor.

Hesap girişi yapılan anda hangi veriler risk altına girebilir

Hesap girişi, bir ağda en hassas veri akışının yaşandığı andır. Kullanıcı adı ve şifre birlikte sunucuya gönderiliyor. Giriş başarılı olduğunda, oturumu tanımlayan çerezler cihaza aktarılıyor ve sonraki isteklerde bu çerezler kullanılıyor. Şifre tekrar girilmiyor ama çerez her sayfa yüklemesinde ağ üzerinden taşınıyor; bu da açık bir oturumun tüm ağ bağlantısı boyunca potansiyel bir hedef oluşturduğu anlamına geliyor.

Halka açık ağda bu sürecin hangi aşamasında risk taşındığı, kullanılan sitenin güvenlik yapısına ve ağın özelliklerine göre değişiyor. Düz HTTP kullanan bir sitede giriş bilgileri açık metin olarak geçiyor. HTTPS kullanan ama sitelerarası geçişlerde HTTP'ye düşen bir yapıda çerezler açığa çıkabiliyor. HSTS (HTTP Strict Transport Security) gibi ek güvenlik katmanları bu riskleri azaltıyor, ama bu katmanı her platform uygulamıyor.

Bunların ötesinde, giriş bilgilerinin ele geçirilmesi her zaman anında fark edilmiyor. Saldırgan oturum çerezini kullanarak hesaba sessizce erişiyor, veri topluyor ve çıkıyor; siz hâlâ hesabınıza giriş yapmış durumdasınız. Bu gecikme, ne zaman bir sorun yaşandığını belirlemeyi güçleştiriyor. Hesabın ele geçirildiği fark edildiğinde atılması gereken adımlar bu nedenle önem kazanıyor; ama önce bu farkındalığa ulaşmak gerekiyor.

Halka açık Wi-Fi'de hesap güvenliğini korumak için uygulanabilir adımlar

Halka açık Wi-Fi kullanmaktan tamamen kaçınmak çoğu durumda pratik değil. Ama bu ağlarda hesap güvenliğini anlamlı ölçüde artıran birkaç somut adım var ve bunlar büyük çaba gerektirmiyor.

En kapsamlı koruma katmanı VPN kullanımı. VPN, tüm internet trafiğinizi şifreli bir tünel üzerinden yönlendiriyor; ağ trafiğinizi izleyen biri yalnızca şifreli veri görüyor. Halka açık ağın hangi güvenlik özelliklerini taşıdığından bağımsız olarak, VPN bu ağın üstüne ek bir şifreleme katmanı koyuyor. Bir dikkat noktası var: VPN sağlayıcısı trafiğinizi görüyor. Şeffaflık politikası açık, güvenilir bir sağlayıcı seçmek bu nedenle önemli.

Hesap girişi yapılan platformlarda iki aşamalı doğrulamanın etkin olması bu ortamda da kritik. Giriş bilgileri ele geçirilse bile ikinci adım olmadan hesaba erişim sağlanamıyor. Oturum çerezi saldırılarına karşı tam bir güvence vermese de başlangıç girişini koruyor ve saldırganın hesabı farklı bir cihazdan sıfırdan açmasını engelliyor. Hangi hesaplarda iki aşamalı doğrulamanın etkin olduğunu kontrol etmek, bu ağları kullanmadan önce yapılabilecek en etkili hazırlıklardan biri.

Son olarak, hangi hesaplara nerede giriş yapıldığı konusunda seçici olmak anlamlı bir fark yaratıyor. E-posta, bankacılık ve iş araçları gibi yüksek değerli hesaplara giriş, mümkünse daha güvenilir bir ağa ertelenebilir. Halka açık ağda düşük riskli sayfalarda gezinmek ya da giriş gerektirmeyen içerikleri okumak, risk yüzeyini önemli ölçüde daraltıyor. Bu ayrımı yapmak, ağ bağlantısının getirdiği riski tamamen ortadan kaldırmıyor ama en hassas verilerin açığa çıkma olasılığını ciddi biçimde azaltıyor.

Halka açık Wi-Fi kullanımı büyük ölçüde riski fark etmeden gerçekleşiyor. Bağlantı hızlı ve sorunsuz çalıştığında, arka planda ne olduğu görünmüyor. Ama halka açık bir ağ, ev ağından yapısal olarak farklı: kim yönetiyor, kim dinliyor, hangi araçların devrede olduğu bilinmiyor. Bu fark, hesap girişi yapılan her anda var olmaya devam ediyor.

Bu risklerin farkında olmak, her halka açık Wi-Fi bağlantısını tehlikeli ilan etmek anlamına gelmiyor. Bir haberi okumak, hava durumunu kontrol etmek ya da giriş gerektirmeyen sayfalarda gezinmek bu ağlarda sorunsuz yapılabilir. Risk, özellikle hassas hesaplara giriş yapıldığında ve bu girişin nasıl gerçekleştiğine dikkat edilmediğinde artıyor. VPN, iki aşamalı doğrulama ve hesap önceliklendirmesi bir arada uygulandığında, halka açık ağ kaynaklı riskleri yönetilebilir bir düzeye çekiyor.