WPA3’e Geçiş: Transition Mode, PMF ve Eski İstemci Uyumluluğu

Kontrolcüde güvenlik modunu WPA3’e çevirdiğiniz sabah yazıcılar, el terminalleri ve birkaç eski dizüstü ağdan düşer; yardım masası telefonları susmaz. WPA3’e geçiş bir onay kutusu değildir. Asıl iş, eski istemcileri bağlantısız bırakmadan, transition mode’un güvenlik sınırlarını bilerek ve PMF ile 802.11r gibi ayarların etkileşimini önceden test ederek ilerlemektir. Aşağıda WPA2’den WPA3-Personal ve WPA3-Enterprise’a geçişin yapılandırma tarafını, istemci envanterine göre SSID stratejisini ve aşamalı geçiş planını veriyoruz.

WPA2’den WPA3’e ne değişti?

WPA3, Wi-Fi Alliance’ın sertifikasyon programıdır; altındaki mekanizmalar IEEE 802.11 standardında tanımlıdır. Pratikte değişen noktalar:

WPA3’ün çalışması; AP/kontrolcü firmware’i, istemci işletim sistemi, kablosuz sürücü ve kimlik doğrulama altyapısının birlikte desteğine bağlıdır. Zincirin bir halkası eksikse bağlantı kurulmaz. İlk adım bu yüzden her zaman envanterdir.

WPA3-Personal: SAE ile PSK farkı

WPA2-PSK’da paylaşılan parolanın türevi doğrudan 4-yönlü el sıkışmada kullanılır. El sıkışmayı havadan yakalayan saldırgan, parolayı çevrimdışı deneme yoluyla bulmaya çalışabilir; parola zayıfsa bulur. WPA3-Personal’daki SAE (Simultaneous Authentication of Equals), Dragonfly anahtar değişimine dayanır (RFC 7664). SAE’de her parola denemesi aktif etkileşim ister; yakalanan trafikten çevrimdışı deneme yapılamaz ve her oturum ayrı anahtar üretir.

SAE’de parola öğesini türetmenin iki yolu var: eski “hunting-and-pecking” ve sonradan eklenen, yan kanal saldırılarına daha dayanıklı hash-to-element (H2E). 6 GHz bandında yalnız H2E kullanılabilir. Eski istemciler H2E desteklemeyebileceğinden, geçiş döneminde 2,4/5 GHz SSID’lerinde iki yöntemi birlikte açık tutmak yaygın bir tercihtir.

WPA3-Enterprise ve 192-bit mod

WPA3-Enterprise 802.1X/EAP mimarisini değiştirmez: RADIUS sunucusu, EAP yöntemleri (EAP-TLS, PEAP vb.) ve sertifika altyapısı yerinde kalır. Fark, PMF’nin zorunlu hale gelmesi ve istemci tarafında sunucu sertifikası doğrulamasının doğru yapılandırılmasının öne çıkmasıdır. Çoğu ortamda WPA3-Enterprise’a geçiş, pratikte “PMF’yi zorunlu kıl, istemci profillerini düzelt” demektir. Sahada en sık bulduğumuz açık da burada: sunucu sertifikasını hiç doğrulamayan PEAP profilleri.

192-bit mod, yüksek güvenlik gereksinimi olan ortamlar için tanımlanmış ayrı bir profildir: GCMP-256 şifreleme, HMAC-SHA-384 tabanlı anahtar türetme ve yönetim çerçeveleri için BIP-GMAC-256 kullanılır; EAP yöntemi olarak belirli şifre takımlarıyla (P-384 eğrisi veya en az 3072 bit RSA) EAP-TLS gerektirir. RADIUS sunucusu, sertifika altyapısı ve bütün istemcilerin aynı şifre takımlarını desteklemesi gerektiğinden genel kurumsal SSID için değil, sınırlı ve kontrollü cihaz grupları için düşünülür. 802.1X ve NAC politika tasarımı için 802.1X ve NAC geçiş planı yazısına bakın.

PMF (802.11w) ve istemci uyumluluğu

Korumalı yönetim çerçeveleri (PMF), bağlantı kesme (deauthentication) ve ilişki sonlandırma (disassociation) gibi yönetim çerçevelerini kriptografik olarak korur. PMF yoksa sahte deauth çerçeveleriyle istemcileri ağdan düşürmek basittir. AP tarafında PMF üç durumda olabilir:

• Devre dışı: Yönetim çerçeveleri korunmaz.
• İsteğe bağlı (capable): PMF destekleyen istemci kullanır, desteklemeyen PMF’siz bağlanır. Transition mode’un ayarıdır.
• Zorunlu (required): PMF desteklemeyen istemci bağlanamaz. WPA3-only SSID’nin gereğidir.

Uyumluluk sorunu bazen “isteğe bağlı” ayarda bile çıkar: bazı eski sürücüler beacon’daki PMF ve çoklu AKM bilgisini doğru yorumlayamaz ve hiç bağlanmaz. Kâğıt üzerindeki uyumluluk yetmez. Geçişten önce envanterden örnek cihazlarla test şarttır. Windows istemcide sürücünün desteklediği kimlik doğrulama ve şifreleme yöntemleri ile aktif bağlantının kullandığı yöntem şu komutlarla görülür:

netsh wlan show drivers
  (“Authentication and cipher supported in infrastructure mode”
   listesinde WPA3-Personal / WPA3-Enterprise satırlarını arayın)

netsh wlan show interfaces
  (Authentication satırı: WPA2-Personal, WPA3-Personal vb.)

Transition mode’un sınırları

WPA3-Personal transition mode aynı SSID’de hem WPA2-PSK hem SAE sunar; PMF isteğe bağlı çalışır. WPA3 destekli istemci SAE ile, eski istemci WPA2-PSK ile bağlanır. Kolaylığın bedeli şunlar:

• Düşürme (downgrade) saldırısı: Saldırgan aynı SSID adıyla yalnız WPA2 sunan sahte bir AP kurarsa, WPA3 destekli istemci de ona WPA2 ile bağlanmayı deneyebilir. Yakalanan el sıkışma yine çevrimdışı parola denemesine açıktır. Parola iki modda aynı olduğundan WPA2 tarafının zayıflığı bütün SSID’nin zayıflığıdır.
• Transition Disable: WPA3’ün sonraki sürümlerinde tanımlanan bu gösterge, AP’nin WPA3 ile bağlanan istemciye “bu ağ için artık WPA2’ye düşme” bilgisini iletmesini sağlar. AP ve istemcinin ikisi de desteklemeli; destek durumu üretici dokümantasyonundan doğrulanmalı.
• Kurumsal tarafta: WPA3-Enterprise transition mode’da PMF isteğe bağlıdır; PMF’siz istemciler deauth saldırısına açık kalır.

Transition mode kalıcı hedef değil, geçiş aracıdır. Bitiş tarihi ve eski istemcilerin değişim planı baştan yazılmalı; tarihsiz geçiş dönemi kalıcı WPA2 demektir.

Aşağıdaki örnek, açık kaynak hostapd ile transition mode ve WPA3-only yapılandırmanın farkını gösterir. Kurumsal kontrolcülerde aynı kavramlar farklı adlarla karşınıza çıkar:

# Transition mode (WPA2-PSK + SAE, PMF isteğe bağlı)
wpa=2
wpa_key_mgmt=WPA-PSK SAE
rsn_pairwise=CCMP
wpa_passphrase=GucluVeUzunBirParola
# PMF isteğe bağlı; SAE ile bağlananlar için PMF zorunlu
ieee80211w=1
sae_require_mfp=1
# 0: hunting-and-pecking, 1: yalnız H2E, 2: ikisi birlikte
sae_pwe=2

# WPA3-Personal only
wpa=2
wpa_key_mgmt=SAE
rsn_pairwise=CCMP
sae_password=GucluVeUzunBirParola
# PMF zorunlu; 6 GHz radyosunda sae_pwe=1 (yalnız H2E) olmalı
ieee80211w=2
sae_pwe=2

hostapd yapılandırma dosyası satır sonu yorumlarını desteklemez; yorumlar ayrı satırda, # ile başlamalıdır. Satır sonuna yazılan yorum, değerin parçası sayılıp hataya yol açar.

802.11r ve 6 GHz ile etkileşim

802.11r (hızlı BSS geçişi): SAE ile hızlı geçiş için FT-SAE, PSK için FT-PSK anahtar yönetimi kullanılır. Aynı SSID’de WPA2-PSK, FT-PSK, SAE ve FT-SAE birlikte ilan edildiğinde beacon’daki AKM listesi uzar; bazı eski istemciler bu kombinasyonda hiç bağlanamaz. Ses veya el terminali gibi roaming’e duyarlı cihazlarda hangi AKM kombinasyonunun çalıştığı test edilmeli, gerekirse FT ayrı bir SSID’de açılmalı. Roaming mekanizmasının ayrıntıları 802.11k, 802.11v ve 802.11r ile Wi-Fi roaming yazısında.

6 GHz bandı: 6 GHz’de WPA2 ve transition mode kullanılamaz; yalnız WPA3-Personal (H2E ile), WPA3-Enterprise veya OWE desteklenir ve PMF zorunludur. Mevcut WPA2 SSID’sini 6 GHz radyolarına da yayınlamak isteyen ortam ya o SSID’yi WPA3’e taşır ya da 6 GHz için ayrı bir WPA3 SSID’si açar. Üçüncü yol yok. 6 GHz’in diğer nesil farkları için Wi-Fi 6, 6E ve Wi-Fi 7 karşılaştırması yazısına bakın.

SSID stratejisi: karar tablosu

Misafir ağlarında OWE (RFC 8110), parolasız açık ağda bile her istemcinin trafiğini ayrı anahtarla şifreler. Kimliği doğrulamaz ama dinlemeyi zorlaştırır. Misafir ağı mimarisi için misafir Wi-Fi ağı mimarisi yazısına bakın.

Geçiş planı ve test adımları

1. Envanter: Kontrolcüden ilişkili istemci listesini işletim sistemi ve sürücü bilgisiyle dışa aktarın. Yazıcı, el terminali, IP telefon, IoT ve üretim cihazlarını ayrıca listeleyin; sorun çıkaracak olanlar genellikle bunlardır.
2. Altyapı hazırlığı: AP ve kontrolcü firmware’inin WPA3, H2E ve (planlanıyorsa) Transition Disable desteğini doğrulayın. Kurumsal ağda RADIUS sunucu sertifikasının geçerlilik süresini ve istemci profillerindeki sunucu doğrulama ayarını kontrol edin.
3. Pilot SSID: Hedef yapılandırmayla ayrı bir test SSID’si açın; her cihaz sınıfından örneklerle bağlantı, roaming, uyku sonrası yeniden bağlanma ve 802.11r davranışını test edin.
4. Kademeli yayılım: Önce bir bina ya da kat, sonra bütün ağ. Değişikliği bakım penceresinde yapın; geri dönüş için önceki SSID ayarlarını kaydedin.
5. İzleme: Geçişten sonraki birkaç gün kimlik doğrulama hatalarını, ilişkilendirme reddi kayıtlarını ve yardım masası çağrılarını izleyin. Konsolda ilk bakılacak yer, aynı MAC adresinden tekrarlayan ilişkilendirme reddi kayıtlarıdır.
6. Kapanış: Transition mode veya ek WPA2 SSID’si için belirlenen tarihte eski yapılandırmayı kaldırın.

WPA3 geçişinin envanter, pilot ve yayılım adımlarını kablosuz ağ kurulumu ve optimizasyonu hizmetimiz kapsamında birlikte planlayabiliriz.

Sık sorulan sorular

WPA3 transition mode güvenli midir?

WPA3 destekli istemciler SAE ile bağlanır; ama aynı parola WPA2 tarafında da kullanıldığından düşürme saldırısı ve çevrimdışı parola denemesi riski sürer. Transition mode, bitiş tarihi belirlenmiş bir geçiş aracı olarak kullanılmalıdır.

6 GHz bandında WPA2 kullanılabilir mi?

Hayır. 6 GHz bandında yalnız WPA3-Personal (H2E ile), WPA3-Enterprise veya OWE desteklenir ve PMF zorunludur. WPA2 ve transition mode bu bantta kullanılamaz.

PMF’yi zorunlu yapınca hangi cihazlar etkilenir?

802.11w desteklemeyen eski sürücülü dizüstü bilgisayarlar, bazı yazıcılar, el terminalleri ve gömülü IoT cihazları bağlanamayabilir. Geçişten önce envanterden örnek cihazlarla pilot SSID üzerinde test yapın.

WPA3-Enterprise için RADIUS altyapısını değiştirmek gerekir mi?

Standart WPA3-Enterprise modunda 802.1X ve EAP mimarisi aynı kalır; temel değişiklik PMF zorunluluğudur. 192-bit mod ise belirli şifre takımlarıyla EAP-TLS gerektirdiğinden sertifika ve RADIUS tarafında ek hazırlık ister.