Router’ında iki şifre var, ve neredeyse kimse bunu bilmiyor.
Biri wi-fi şifresi: telefonda dikte ettiğin, mutfakta bir kâğıda yazılı duran, tesisatçıya okuduğun şifre. Diğeri cihazın kendi yönetim şifresi; her şeyin ayarlandığı paneli açan şifre. İkincisine neredeyse hiç dokunulmaz, ve sen dokunmadıysan hâlâ tam olarak altındaki etikete basılmış olan şifredir.
İkisi farklı şeyleri korur ve farklı biçimlerde çöker. Ayırmaya değer, çünkü “wi-fi şifresi” üzerine yapılan yirmi yıllık konuşma, başka işlerin yanı sıra, diğerinin üstünü örtmeye yaradı.
Ezbere bildiğin şifre ve hiç bakmadığın şifre
Wi-fi şifresi ağa kimin bağlanabileceğine karar verir. Bir giriş izni: onunla bir cihaz yerel ağına girer ve oradaki her şeyin yanında yaşar.
Yönetim şifresi ise ağın nasıl çalıştığını kimin değiştirebileceğine karar verir. O panelden ağın adına, şifreleme türüne, bütün evinin hangi DNS sunucularını kullandığına, dışarıya hangi portların açık olduğuna ve router’ın internet üzerinden yönetilip yönetilemeyeceğine dokunulur. Bir kapı daha değil: diğer kapıların ayarlandığı kapı.
Rahatsız edici asimetri burada. Birinde wi-fi şifren varsa, o kişi ağındadır. Birinde yönetim şifren varsa, ağ artık onundur: wi-fi şifresini değiştirebilir, şifrelemeyi zayıflatabilir veya trafiğinin nereden çıktığını saptırabilir, ve sen bunu etkisinden anlarsın, asla bir bildirimden değil.
CISA’nın buradaki tavsiyesinin tonu hiç yumuşak değil: router’ın kullanıcı adını ve giriş şifresini değiştir, çünkü fabrikadan gelen bilgiler herkesin bulabileceği şekilde kamuya açık olabilir; yenisini uzun, rastgele ve benzersiz yap. Bir de neredeyse herkesin farkında olmadan çiğnediği bir kural ekle: wi-fi şifresiyle aynı olmasın. Bunlar iki ayrı şey ve çok farklı biçimlerde paylaşılıyor — birini yarım mahalle biliyor, diğerini kimse bilmemeli.
2011 kullanışlı görünen düğme
Router’ında neredeyse hiç konuşulmayan üçüncü bir sır daha var: WPS PIN’i. Cihazın üzerinde bir düğme, etikette sekiz haneli bir sayı olarak duran hızlı eşleştirme sistemi.
Aralık 2011’de CERT/CC, Stefan Viehböck’ün çalışmasına dayanan VU#723755 numaralı güvenlik açığı notunu yayımladı: o PIN’in doğrulanma biçimindeki bir tasarım zayıflığı. Senin için önemli olan teknik ayrıntı değil, resmî cevap — ve o cevap on beş yıl sonra hâlâ aynı. Yama yoktu; bir düğme vardı. Tavsiye, ayarlara girip WPS’i kapatmaktı; hâlâ da o. CISA bunu bugün ev ağları rehberinde tekrarlıyor, uzaktan yönetimi kapatmanı istediği listenin tam içinde.
Bütün bu yazının en kârlı kısmı bu: bir kez kaldırdığın ve bir daha seni rahatsız etmeyen iki kutucuk.
2015 fabrika anahtarının hesaplanmış geldiği zamanlar
Fabrika şifresi senin sırrın değildir. Üreticinin seçtiği, cihazın üstüne basılmış, kılavuzda yazan ve çoğu zaman bir modelin bütün birimlerinde tekrar eden bir değerdir.
Ve daha kötüsünün yayımlanmış örnekleri var: hiç rastgele olmayan, router’ın kendisinin havaya yaydığı verilerden hesaplanan fabrika anahtarları. NIST’in kataloğunda CVE-2015-0558 duruyor: WPA anahtarını sabit bir karakter dizisi ile kendi MAC adresinden üreten bir ev router’ı hakkında. Kısa süre sonra SEARCH-LAB’in Avrupa’da çok yaygın bir kablo modemi hakkındaki kamuya açık uyarısı bunu tek cümlede özetledi: “Varsayılan SSID ve parola yalnızca MAC adresinden türetiliyor. Cihazın MAC adresi wi-fi üzerinden yayınlandığı için, varsayılan parola kolayca hesaplanabiliyor.” Operatör sonunda müşterilerine şifreyi değiştirmelerini isteyen bir yazı göndermek zorunda kaldı.
Bunun nasıl yapıldığını bilmeye gerek yok — ve burada anlatılmayacak — çünkü önemli olan tek şey şu: üreticinin üretebildiği bir anahtarı, bir başkası yeniden üretebildi. Fabrika anahtarın uzun ve çirkin olduğu için rastgele değildir. Çirkindir çünkü bir yordamdan çıkmıştır, ve yordamlar çalışılır.
Uzun yapması en kolay şifre
Şimdi iyi haber — ve nadirdir, çünkü güvenlik tavsiyeleri neredeyse hiçbir zaman bedava değildir.
Hayatındaki her şifre aynı gizli düşmanı sürükler: onu yazman gerekir. Çoğu zaman elle, telefonda, aceleyle. İnsanlar bu yüzden şifreleri kısa tutar, ve “otuz karakter koy” bu yüzden ceza gibi duyulur.
Wi-fi şifresinde bu sorun yok. Cihaz başına bir kez yazarsın ve bir daha görmezsin: telefon, dizüstü ve televizyon onu sonsuza kadar hatırlar. Birine vermen gerektiğinde de telefonların neredeyse hepsi ve modern router’ların iyi bir kısmı onu QR koduyla paylaşıyor — kimse bir şey yazmıyor.
Yani: uzunluk burada neredeyse bedava, ve bu yüzden kısa olmasının hiçbir mazereti yok. Bunu 2004’ten beri tanımlayan IEEE 802.11i standardı 63 karaktere kadar parolalara izin veriyor. Neredeyse kimse yarısına bile gelmiyor.
Peki ne koymalı? CISA çok somut ve uygulaması çok kolay bir şey öneriyor: birbiriyle ilgisiz beş ila yedi kelimeden oluşan, toplamda en az on altı karakterlik, akılda kalan bir parola; ve bunu başka hiçbir hesapta kullanma. Bu, diceware mantığının evinin salonuna uygulanmış hâli. Rastgele bir dizi tercih edip işi QR koduna bırakmak istersen daha da iyi: onu üreticiden al ve bir daha ona bakma. Şu an kullandığın seni şüphelendiriyorsa, bir şeye karar vermeden önce şifre kontrolünden geçir.
2018 WPA3 nedir ve hesabı neden değiştirir
2018’de Wi-Fi Alliance, WPA2’nin devamı olan WPA3’ü tanıttı. Bugün Wi-Fi CERTIFIED rozetini taşımak isteyen her cihaz için zorunlu.
Temeldeki değişikliğin çirkin bir adı — SAE — ve anlaması çok kolay bir sonucu var. WPA2’de yakınlarda duran biri telefonunla router arasındaki ilk selamlaşmayı yakalayıp evine gidebilir ve o dosyaya karşı saniyede milyonlarca anahtarı, deneme sınırı olmadan ve kimsenin haberi olmadan sınayabilirdi. Bu tam olarak bir şifre sızıntısındaki sorundur: malzeme saldırganın diskindeyse, öbür uçta “hayır” diyecek kimse yoktur.
WPA3 bunu kırıyor. Wi-Fi Alliance’ın kendi ifadesiyle: “WPA3-Personal, WPA2’nin önceden paylaşılan anahtarını (WPA2-PSK) Simultaneous Authentication of Equals (SAE) ile değiştirir. WPA2-PSK’nın aksine SAE, çevrimdışı sözlük saldırılarına dirençlidir.” Her deneme yeniden router’la konuşmayı gerektirir, ve binlerce başarısız deneme alan bir router bunu fark edip yavaşlatabilir.
Sonra da aynı belgenin özellikle söylemeyi üstlendiği dürüst kısım var. Bu direnç şu anlama geliyor: “şifre güvenliğinin yükü artık kullanıcıların üzerine bırakılmıyor”, ve büyük harf ile özel karakter dayatmak SAE ile birlikte geçerli bir gereklilik olmaktan çıktı. Ama bu, kötü bir şifre koymanın izni değil: aktif saldırı hâlâ duruyor, ve şartname bunu lafı dolandırmadan bitiriyor — SAE ile kullanılan şifrelerin tahmin edilmesi son derece zor olmalı. NIST’in yıllardır diğer şifrelerin için söylediğinin aynısı: uzunluk, kıvırtmaya üstün gelir.
İki pratik uyarı. Router’ın WPA3’e ulaşmıyorsa CISA yalnızca ikisini kabul ediyor: WPA3 Personal ve AES’li WPA2. Açık bir ağ, WEP veya TKIP zayıf şifre değildir, hiç şifre olmamasıdır. Bir de geçiş modunu açarsan ağın eski cihazlar girebilsin diye WPA3 ile WPA2’yi aynı anda kabul eder: 2013 model bir yazıcısı olan bir evde makul bir karar, ama ne olduğunu bilmekte fayda var — açık kaldığı sürece ağında bir WPA2 kapısı durur. Sahip olduğun her şey WPA3’ten giriyorsa, kapat.
2024 kanun etiketin altına uzanıyor
Onlarca yıl boyunca bu bir tavsiye meselesiydi. Artık bir mevzuat meselesi de.
29 Nisan 2024’te Birleşik Krallık’ta bağlantılı ürünlerin güvenliğine dair PSTI rejimi yürürlüğe girdi ve tüketici cihazlarında evrensel varsayılan şifreleri yasakladı: bir ürünün bütün birimlerinin fabrikadan aynı anahtarla çıktığı model bitti. Kanun, birim başına benzersiz bir varsayılan şifreye ise izin veriyor — yani her router’da farklı bir dizinin yazdığı etiket durumuna. Avrupa Birliği’nde Telsiz Ekipmanları Direktifi’nin siber güvenlik gereklilikleri — 2022/30 sayılı Yetki Devrine Dayanan Tüzük — 1 Ağustos 2025’ten beri zorunlu.
Buradan iki şey çıkıyor, ve ikisi aynı şey değil. Birincisi: yeni router’lar fabrikadan daha iyi durumda gelecek. İkincisi, seni ilgilendiren: bunların hiçbiri salonunda hâlihazırda duran cihaza geriye dönük uygulanmıyor. O cihaz orada altı yıldır duruyorsa, senin evinde hâlâ eski dünyanın kuralları geçerli.
Misafir ağı, yani şifreni dikte etmeyi bırakmak
Wi-fi şifreni kaç kişinin bildiğini bir düşün. Eniştenle, bakıcıyla, 2022’de yemeğe gelen ve telefonu hâlâ ayarlı duran arkadaşınla, bir şey kurmaya gelen teknisyenle.
Hiçbiri yalnızca internete çıkma izni almadı: her birinin yerel ağının içinde bir cihazı var — ağ diskinin, yazıcının ve kameralarının yanında. Ve o cihazın hangi hâlde olduğuna dair hiçbir fikrin yok.
Cevap misafir ağı, ve bu zaten sahip olduğun ama kullanmadığın bir özellik. CISA bunu açıkça söylüyor: router’ında misafir ağı varsa etkinleştir, ona kendi şifresini ver — uzun, rastgele ve benzersiz — ve evinin wi-fi’sine düzenli olarak bağlanmayan herkes onu kullansın. Sonra da neredeyse kimsenin yapmadığı şeyi ekle: bağlantılı cihazları da oraya gönder — akıllı priz, televizyon, robot süpürge — tek ihtiyaçları internete çıkmaksa, evdeki diğer cihazları keşfedemesinler diye.
Bu bütün bu blogun ilkesinin oturma odasına uygulanmış hâli: her yere bir kimlik. Ana wi-fi’n bir yer. Misafirler başka bir yer.
Ne yapmalı, sırasıyla
- Router panelına gir ve yönetim şifresini değiştir. Bu listede muhtemelen hiç dokunmadığın tek madde, ve sözü en çok geçen o. Uzun, rastgele ve wi-fi şifresinden farklı.
- Uzun bir wi-fi şifresi koy. Birbiriyle ilgisiz beş ila yedi kelime, ya da üreticiden bir dizi. Bir kez yazarsın, sonra QR ile paylaşırsın.
- Router’ın izin veriyorsa WPA3’e geç. Değilse, AES’li WPA2.
- WPS’i ve uzaktan yönetimi kapat. İki kutucuk, tek seferde.
- Misafir ağını aç ve misafirleri de cihazları da oraya yönlendir.
- Yazılımı güncelle ve varsa otomatik güncellemeleri açık bırak.
- İkisini de başka hiçbir yerde tekrar kullanma. Kullandıklarından biri hakkında şüphen varsa, şifre kontrolünden geçir.
Bunların hiçbiri yirmi dakikadan fazla sürmez, ve o yirmi dakika bir kereye mahsustur.
Router evindeki en önemli cihaz, ve kimse onu yönetmediği sürece kendini yöneten tek cihaz. Yıllardır bir köşede açık duruyor, işini şikâyet etmeden yapıyor — ve tam da bu yüzden ona bakmanın zamanı hiçbir zaman gelmiş gibi görünmüyor.
Fabrika şifresi kısa ya da çirkin olduğu için kötü değil. Senin olmadığı için kötü. Onu bir başkası seçti, bir etikete bastı ve seninkine benzeyen binlerce eve gönderdi. Onu değiştirmek, ev bilişiminde taşınırken kilit değiştirmeye en yakın şeydir.
Kaynaklar: CISA, Joint Cyber Defense Collaborative’in “Project Upskill · Module 5: Securing Your Home Wi-Fi” belgesi — fabrikadan gelen router bilgileri kamuya açık olabileceği için router kullanıcı adının ve giriş şifresinin değiştirilmesi, birbiriyle ilgisiz beş ila yedi kelimeden ve en az on altı karakterden oluşan bir parola, güvenli sayılan tek şifrelemeler olarak WPA3 Personal veya WPA2 AES, WPS’in ve uzaktan yönetimin kapatılması, ve IoT cihazları için de misafir ağının etkinleştirilmesi · Wi-Fi Alliance, “WPA3 Security Considerations Overview” (Nisan 2019), WPA2-PSK’nın SAE ile değiştirilmesi, SAE’nin çevrimdışı sözlük saldırılarına direnci ve şifrelerin yine de tahmin edilmesi son derece zor olması gerekliliği üzerine · CERT/CC, VU#723755 numaralı güvenlik açığı notu (27 Aralık 2011), Stefan Viehböck tarafından bildirildi, önerilen çözümü WPS’i kapatmak · NVD (NIST), CVE-2015-0558, WPA anahtarını sabit bir karakter dizisi ile MAC adresinden üreten bir ev router’ı hakkında · SEARCH-LAB’in (Gergely Eberhardt) Ubee EVW3226 modemi hakkında Temmuz 2016’da Full Disclosure’da yayımlanan kamuya açık uyarısı · parolayı 8 ila 63 karakter olarak tanımlayan IEEE 802.11i · Birleşik Krallık, 29 Nisan 2024’ten beri yürürlükte olan Product Security and Telecommunications Infrastructure Act rejimi · Avrupa Birliği, Telsiz Ekipmanları Direktifi’nin 2022/30 sayılı Yetki Devrine Dayanan Tüzüğü, 1 Ağustos 2025’ten beri zorunlu · NIST SP 800-63B, karmaşıklık karşısında uzunluk üzerine.
Fotoğraf: Jakub Zerdzicki · Pexels