Hardware Hacking Notları #1: ESP32 ile 802.11 Protokolünü İncelemek

Q: Protokol state machine’i nasıl bozuluyor?

Normal bir istemci akışını sadeleştirirsek: Scanning ↓ Beacon/probe ile ağ seçimi ↓ Authentication ↓ Association ↓ Key establishment / 4-way handshake ↓ Encrypted data ↓ Roaming veya kontrollü disconnect Beacon spoofing, “ağ seçimi” state’ini etkiler. Deauthentication, “encrypted data” state’ini keserek istemciyi yeniden scanning/authentication döngüsüne iter. Saldırganın başarısı, çerçevenin cryptographic data yolunu kırmasından değil, protokolün geçiş mesajına güvenilmesinden kaynaklanabilir. Bu model, Wi-Fi güvenlik testlerinin neden yalnızca parola denemesinden ibaret olmadığını gösterir. Her state için şu sorular sorulmalı: Bu geçişi kim başlatabilir? Mesaj authenticated mı? Replay veya flood davranışı sınırlı mı? İstemci yanlış state’ten güvenli şekilde çıkabiliyor mu? Kullanıcı veya SOC ne zaman alarm görüyor?

Wi-Fi, uygulamadan önce havada başlar

Kablosuz ağ güvenliği çoğu zaman WPA2/WPA3 parolası ve modem arayüzü üzerinden tartışılıyor. Oysa bir cihaz ağa bağlanmadan önce bile radyo ortamında sürekli sinyal alışverişi var: beacon’lar, probe istekleri, probe yanıtları, authentication ve association çerçeveleri. Bunların bir kısmı ağın kimliğini ve yeteneklerini duyurmak zorunda; bir kısmı ise istemci ile erişim noktası arasındaki durum geçişlerini yönetiyor.

MUCAHIC’in Dossier-01 çalışması, Black Hat Asia’daki “Protocol State Machine Manipulation” fikrinden yola çıkarak ESP32 ile 2.4 GHz 802.11 trafiğini laboratuvar ortamında gözlemleyen bir donanım araştırması. Çalışmada pasif dinleme, beacon spoofing ve deauthentication davranışları inceleniyor. Ana fikir şu: saldırı yüzeyi yalnızca şifreli data frame’lerde değil, cihazların bağlantı kurmasını ve sürdürmesini sağlayan yönetim düzleminde de bulunuyor.

Bu metin gerçek ağlarda paket enjeksiyonu için kullanım kılavuzu değildir. Tüm testler araştırmacının sahip olduğu izole AP, istemci ve ESP32 üzerinde yürütülmeli; kampüs, komşu ağ, kurumsal WLAN veya kamu spektrumunda izinsiz deneme yapılmamalıdır.

802.11 çerçevelerini doğru ayırmak

IEEE 802.11 MAC katmanındaki çerçeveleri üç ana grupta okumak faydalı:

Management frames: Ağın bulunması, kimlik doğrulama, association, roaming ve bağlantının sonlandırılması için kullanılır.
Control frames: Ortam erişimini ve iletim koordinasyonunu düzenler; ACK, RTS ve CTS gibi örnekler bu gruptadır.
Data frames: Kullanıcı veya uygulama verisini taşır. WPA2/WPA3, veri yolundaki gizlilik ve bütünlük kontrollerini burada sağlar.

Beacon frame bir management frame’dir. Erişim noktası SSID, BSSID, supported rates, channel bilgisi, capability bitleri ve çeşitli information element’leri periyodik olarak duyurur. Bu duyuruların tamamını şifrelemek mümkün değildir; istemci, ağa katılmadan önce hangi ağın var olduğunu ve hangi özellikleri sunduğunu görebilmelidir.

Bu nedenle “WPA3 kullanıyorum, beacon’ı kimse göremez” ifadesi doğru değildir. WPA3 veri ve kimlik doğrulama zincirini güçlendirir; ağın varlığını duyuran management trafiğinin tümünü görünmez yapmaz.

ESP32 neden ilginç bir araştırma kartı?

ESP32’nin değeri, düşük maliyetli olmasının yanında 2.4 GHz 802.11 radyosuna ve düşük seviyeli Wi-Fi API’lerine erişim sunmasıdır. Espressif’in ESP-IDF dokümantasyonu, promiscuous mode ile alıcı tarafında çerçeve gözlemi yapılabildiğini; esp_wifi_80211_tx() API’sinin ise belirli management ve non-QoS frame türlerini gönderebildiğini açıklıyor. API; beacon, probe request, probe response ve action frame gibi türleri desteklerken encrypted veya QoS frame’leri gönderemez. Espressif Wi-Fi vendor features

Bu yetenekler bir “Wi-Fi kartı her şeyi yapar” anlamına gelmez. Kullanılan ESP32 varyantı, firmware sürümü, kanal, PHY ayarı, sürücü kısıtları ve ülke/regülasyon ayarları sonucu değiştirir. Orijinal ESP32 ailesi ile ESP32-C, ESP32-S veya yeni varyantların radyo özellikleri aynı değildir. Test raporunda kart modeli ve ESP-IDF sürümü mutlaka yazılmalıdır.

Pasif gözlem: promiscuous mode

Promiscuous mode’da kart yalnızca kendisine adreslenmiş çerçeveleri değil, radyo üzerinden duyduğu daha geniş trafiği callback’e taşıyabilir. Bu, şifre kırmak demek değildir. Şifreli data frame’lerin payload’ı yine okunamaz; ancak frame type, subtype, kanal, RSSI, BSSID, kaynak/hedef adresleri ve bazı management alanları gözlemlenebilir.

Güvenli bir gözlem akışı:

ESP32 başlat
      ↓
Kanalı seç veya kontrollü tarama yap
      ↓
Promiscuous callback ile frame header al
      ↓
Type / subtype / BSSID / RSSI / timestamp ayır
      ↓
PCAP veya JSON gözlem kaydı üret
      ↓
Wireshark ve zaman serisi ile normal davranışı çıkar

Ham hex verisini okumak, araştırmanın yalnızca başlangıç noktasıdır. İlk iki byte’ın frame control alanı olması; adres alanlarının ToDS/FromDS bitlerine göre değişebilmesi; sequence control, duration ve FCS gibi alanların her frame’de aynı yerde yorumlanmaması gerekir. Parser, frame subtype ve direction bitlerini dikkate almalıdır.

Wireshark tarafında ilk filtreler şunlar olabilir:

wlan.fc.type == 0x00
wlan.fc.type_subtype == 0x08
wlan.fc.type_subtype == 0x0c

İlk satır management frame’leri, ikinci satır beacon’ları, üçüncü satır deauthentication frame’lerini ayırır. Filtreler yalnızca yetkili laboratuvar PCAP’lerinde kullanılmalıdır.

Beacon frame’i nasıl okumalı?

Bir beacon’da araştırmacı için özellikle şu alanlar önemlidir:

Frame control: Tür ve alt türün management/beacon olduğunu gösterir.
Destination: Beacon’lar çoğunlukla broadcast hedefe gider.
BSSID/source: Erişim noktasının MAC kimliği.
SSID information element: Yayınlanan ağ adı veya gizli SSID davranışı.
Supported rates ve channel bilgisi: İstemcinin ağ yeteneklerini anlaması için gerekli alanlar.
Capability ve security information element’leri: WPA/WPA2/WPA3, PMF ve diğer özelliklerin nasıl ilan edildiği.

Kaynak laboratuvar notunda bir beacon’ın hex dökümünden 80 00 frame control değeri, broadcast adresi ve SSID’nin ASCII karşılığı ayrıştırılıyor. Bu örnek, protokolün şeffaflığını gösteriyor; ancak hex değerlerini başka bir ağın kimliğini taklit etmek için kullanmak yetkisiz müdahale olur.

Beacon spoofing: kimlik sinyali ile oynama

Beacon spoofing’de saldırgan, ortamda var olmayan veya mevcut bir ağın özelliklerini taklit eden management frame’ler yayınlar. İstemcinin Wi-Fi listesinde sahte SSID görünebilir; kullanıcı, aynı ada sahip bir ağa bağlanmaya çalışabilir veya bir test aracının ağ keşfi yanıltılabilir.

Burada iki farklı hedefi ayırmak gerekir:

Görünürlük manipülasyonu: Kullanıcı arayüzündeki ağ listesine sahte kayıtlar eklemek.
Kimlik ve güvenlik politikasını taklit etme: Gerçek AP’nin BSSID’sini veya güvenlik özelliklerini taklit ederek istemciyi yanlış bağlantı akışına çekmek.

SSID aynı olsa bile gerçek erişim noktası aynı değildir. Kurumsal istemcilerde yalnızca SSID’ye güvenmek, roaming ve otomatik bağlanma politikalarını zayıflatır. BSSID, sertifika doğrulaması, 802.1X kimliği ve kanal davranışı birlikte değerlendirilmelidir.

Deauthentication neden çalışabiliyor?

Deauthentication, istemci ile erişim noktası arasındaki bağlantı durumunun sonlandırılmasını isteyen bir management frame’dir. Eski 802.11 tasarımında bu mesajların bir kısmı açık ve doğrulanmamış olduğundan, saldırgan bir istasyon veya AP kimliğini taklit ederek bağlantıyı koparmayı deneyebilir.

Kaynak Dossier-01 çalışmasında, hedef AP’nin kanalı belirlendikten sonra ESP32’nin aynı frekansa kilitlendiği ve reason code 0x07 içeren deauthentication davranışının laboratuvar istemcilerini bağlantıdan düşürdüğü aktarılıyor. 0x07, 802.11 reason code listesinde “Class 3 frame received from nonassociated STA” olarak tanımlanır. Buradaki teknik ders, saldırının yalnızca MAC adresini bilmekten ibaret olmadığıdır:

hedef ve saldırı cihazı aynı kanalda olmalı,
frame subtype ve adres yönleri doğru yorumlanmalı,
istemcinin state machine’i gelen çerçeveyi kabul etmeli,
Protected Management Frames zorunlu değilse sahte yönetim frame’i etkili olabilmeli.

Deauthentication davranışının nasıl paketleneceğine veya gerçek ağlara nasıl gönderileceğine dair adım adım talimat vermiyoruz. Yetkili test için aynı gözlem, AP üreticisinin test modu, RF izolatörü veya kontrollü yazılım tanımlı test yatağı ile yapılmalıdır.

802.11w / PMF neyi değiştiriyor?

IEEE 802.11w, Protected Management Frames (PMF) mekanizmasını tanımlar. IEEE, bu uzantının management frame’lerde veri bütünlüğü, kaynak doğrulaması ve replay protection gibi özellikler sağlamasını hedefler. Cisco’nun teknik kılavuzu; deauthentication, disassociation ve robust action frame’lerinin PMF kapsamında korunduğunu ve sahte disconnect frame’lerinin reddedilmesini amaçladığını açıklıyor. IEEE 802.11w · Cisco PMF guide

PMF için üç pratik durum vardır:

Disabled: Yönetim frame’leri korunmaz.
Capable/Optional: İstemci ve AP destekliyorsa kullanılabilir; legacy cihazlar için geçiş yolu bırakır.
Required: Ağa katılım için PMF gerekir.

WPA3 dağıtımlarında PMF gereksinimi daha güçlü şekilde karşımıza çıkar; ancak karma modlar, eski istemciler ve yanlış AP profili geçiş modunu açık bırakabilir. “WPA3 var” ifadesi yerine SSID profilinde PMF’nin gerçekten required olup olmadığı kontrol edilmelidir.

PMF klasik spoofed deauthentication riskini azaltır; radyo frekansı karıştırma, fiziksel engelleme, rogue AP veya istemci firmware açığını tek başına çözmez. Bir istemcinin bağlantı kurduğu sertifika, SSID ve BSSID doğrulaması da ayrıca ele alınmalıdır.

Protokol state machine’i nasıl bozuluyor?

Normal bir istemci akışını sadeleştirirsek:

Scanning
   ↓
Beacon/probe ile ağ seçimi
   ↓
Authentication
   ↓
Association
   ↓
Key establishment / 4-way handshake
   ↓
Encrypted data
   ↓
Roaming veya kontrollü disconnect

Beacon spoofing, “ağ seçimi” state’ini etkiler. Deauthentication, “encrypted data” state’ini keserek istemciyi yeniden scanning/authentication döngüsüne iter. Saldırganın başarısı, çerçevenin cryptographic data yolunu kırmasından değil, protokolün geçiş mesajına güvenilmesinden kaynaklanabilir.

Bu model, Wi-Fi güvenlik testlerinin neden yalnızca parola denemesinden ibaret olmadığını gösterir. Her state için şu sorular sorulmalı:

Bu geçişi kim başlatabilir?
Mesaj authenticated mı?
Replay veya flood davranışı sınırlı mı?
İstemci yanlış state’ten güvenli şekilde çıkabiliyor mu?
Kullanıcı veya SOC ne zaman alarm görüyor?

Kontrollü laboratuvar tasarımı

Güvenli bir test yatağı için minimum bileşenler:

yalnızca araştırmacının sahip olduğu 2.4 GHz AP,
test istemcisi; kurumsal veya komşu cihaz olmamalı,
ESP32 ve bilinen ESP-IDF sürümü,
RF izolasyonu veya fiziksel olarak kontrol edilen düşük güçlü ortam,
ayrı bir pasif capture cihazı,
test öncesi ve sonrası bağlantı/PMF konfigürasyon çıktısı.

Ölçülecek değerler:

beacon görünürlük süresi,
istemcinin yeniden bağlanma süresi,
PMF disabled/optional/required modlarındaki fark,
sahte frame oranı ile gerçek bağlantı düşme oranı,
AP ve istemci loglarının olayla ne kadar hızlı eşleştiği.

Test sonunda gerçek WLAN ayarları, yakalanan kişisel veriler ve MAC adresleri temizlenmeli veya anonimleştirilmelidir.

Frame control alanını byte seviyesinde okumak

802.11 incelemesinde ilk iki byte çoğu zaman frame control alanıdır. Bu alanı yalnızca 80 00 veya c0 00 gibi bir imza olarak görmek eksik kalır; bitlerin anlamı, frame’in hangi state geçişini tetikleyebileceğini belirler.

Frame control alanında şu bilgiler bulunur:

Protocol version: Çerçevenin 802.11 sürüm alanı.
Type ve subtype: Management, control veya data grubunu ve beacon/deauthentication gibi alt türü belirtir.
To DS / From DS: Adres alanlarının nasıl yorumlanacağını değiştirir.
Retry: Yeniden gönderim işaretidir; anormal tekrar oranlarını incelerken önemlidir.
Protected: Çerçevenin korumalı olup olmadığını gösterir. Bu bit tek başına içeriğin güvenilir olduğunu kanıtlamaz; kullanılan güvenlik bağlamı ve anahtar durumu ayrıca doğrulanmalıdır.

Kaynak notlarda görülen beacon başlangıcı 80 00, management grubundaki beacon alt türüne karşılık gelir. Deauthentication için sık görülen c0 00 değeri ise aynı alanın farklı bir management alt türünü gösterir. Döküm aracının byte sırasını nasıl sunduğu kontrol edilmeden bu değerleri doğrudan “kablodaki sıra” gibi yorumlamak doğru değildir; Wireshark veya üretici capture formatı ile ham kayıt karşılaştırılmalıdır.

Adres alanları da sabit bir şablon değildir. Üç adresli ve dört adresli frame’lerde kaynak, hedef, transmitter, receiver ve BSSID rolleri ToDS/FromDS bitlerine göre değişebilir. Bu nedenle yalnızca “ikinci MAC adresi AP’dir” gibi basit bir parser, bridge veya mesh ortamında yanlış sonuç üretebilir. Araştırma kaydında en azından frame subtype, BSSID, transmitter, receiver, kanal, RSSI ve sequence numarası birlikte tutulmalıdır.

Information Element zinciri: SSID’den RSN’e

Beacon ve probe response gövdeleri, sabit uzunluklu tek bir yapıdan çok Information Element (IE) zinciridir. Her IE, bir kimlik, uzunluk ve gövde içerir. Bu yapı protokolü genişletilebilir kılar; aynı zamanda parser hatalarının ve tutarsız ilanların incelenmesi gereken bir alan oluşturur.

Laboratuvar analizinde aşağıdaki IE’ler genellikle ilk duraktır:

IE	Alan	Araştırma açısından anlamı
0	SSID	Ağ adının nasıl yayınlandığı; boş veya gizli SSID davranışı
1	Supported Rates	İstemcinin beklediği temel hız yetenekleri
3	DS Parameter Set	2.4 GHz kanal bilgisinin ilanı
48	RSN	WPA2/WPA3, cipher suite ve AKM seçenekleri
221	Vendor Specific	Üreticiye veya ürün ailesine özgü uzantılar

IE zincirinde ilan edilen bilgi ile gerçek AP davranışı aynı değilse bu fark başlı başına bir bulgudur. Örneğin beacon RSN IE’sinde bir güvenlik profili duyurulurken association akışında farklı bir profil görülebilir. Benzer biçimde SSID aynı kalıp BSSID, kanal veya vendor IE’leri değişebilir. Bu karşılaştırma, sahte beacon’i tek bir paket üzerinden değil, zaman içinde oluşan davranış serisi olarak değerlendirmeyi sağlar.

Parser tarafında iki kontrol özellikle önemlidir: IE uzunluğunun capture sınırını aşmaması ve aynı IE’nin tekrarlı/çelişkili görünmesi. Bozuk bir uzunluk alanı sadece “paket okunamadı” hatası değildir; farklı sürücüler veya WIDS ürünleri aynı frame’i farklı yorumlayabilir. Üretim izleme sistemi, parse edemediği frame’leri sessizce düşürmek yerine ham paket özeti ve hata nedenini kayıt altına almalıdır.

Kanal, zamanlama ve ESP32 sürücü sınırları

ESP32 ile yapılan ölçümlerde “cihaz frame’i gördü” sonucu, “radyo ortamının tamamını gördü” anlamına gelmez. 2.4 GHz tarafında kanal seçimi, kanal genişliği, yakın ağların yoğunluğu ve anten konumu gözlemi doğrudan etkiler. Kart tek kanalda dinliyorsa başka kanaldaki beacon veya disconnect olayını kaçırabilir; kanal taraması ise aynı anda tek bir kanalı yakalayabildiği için kısa süreli olaylarda örnekleme boşluğu yaratır.

Capture raporuna şu deney değişkenlerini yazmak gerekir:

ESP32 modeli ve anten tipi,
ESP-IDF ve firmware sürümü,
sabit kanal ve kanal genişliği,
AP ile kart arasındaki yaklaşık mesafe,
ölçüm anındaki RSSI ve kanal doluluk durumu,
callback filtreleri ve kaybedilen paket sayısı.

Espressif’in esp_wifi_80211_tx() dokümantasyonu, gönderim tarafında desteklenen frame türlerinin sınırlı olduğunu açıklar. Management ve non-QoS frame’ler için sağlanan bu arayüz encrypted data veya QoS data frame’lerin yerine geçmez. API’nin bir frame’i kabul etmesi, karşı taraftaki istemcinin onu state machine’e geçerli bir olay olarak kabul edeceği anlamına da gelmez. Varyant, sürücü ve regülasyon farkları nedeniyle aynı testin iki ESP32 kartında aynı sonucu vermemesi mümkündür.

Bu ayrım raporlama için önemlidir: “ESP32 deauthentication gönderdi” cümlesi tek başına yeterli değildir. Hangi kanal, hangi istemci, kaç frame, hangi RSSI, hangi PMF modu ve hangi yeniden bağlanma sonucu gözlendiği belirtilmelidir.

Beacon spoofing ile rogue AP aynı şey değil

Sahte beacon görmek, otomatik olarak sahte erişim noktasına bağlanıldığı anlamına gelmez. Beacon spoofing yalnızca kablosuz keşif katmanını etkileyebilir. Rogue AP veya evil twin senaryosunda ise saldırganın association, DHCP/DNS, captive portal ve çoğu zaman kimlik bilgisi toplama gibi ek işlevleri de yürütmesi gerekir.

Bu farkı testte ayırmazsak bulgunun etkisini abartırız. Aşağıdaki üç soru her zaman ayrı cevaplanmalı:

İstemci sahte SSID’yi listesinde gösterdi mi?
Otomatik bağlanma politikası sahte BSSID’yi kabul etti mi?
Bağlantı kurulsa bile sertifika, 802.1X sunucu adı ve güvenlik profili doğrulaması başarısız oldu mu?

Kurumsal Wi-Fi’da SSID tek başına kimlik değildir. Sertifika doğrulaması devre dışı bırakılmış bir 802.1X istemcisi, güçlü bir WPA3 parolasına sahip AP’den daha zayıf bir güven sınırı yaratabilir. Bu nedenle kablosuz değerlendirme yalnızca “hangi şifre kullanılıyor?” sorusuyla bitmemeli; istemci profilinin hangi koşulda ağa güveneceği de incelenmelidir.

Deauthentication, disassociation ve jamming’i ayırmak

Üç davranış saha raporlarında sıkça birbirine karıştırılıyor:

Deauthentication: İstemcinin authentication durumunu sonlandırır; istemci yeniden authentication ve association akışına dönmek zorunda kalabilir.
Disassociation: Mevcut association ilişkisini keser; authentication bağlamı her uygulamada aynı şekilde ele alınmayabilir.
Jamming: Protokol mesajı göndermez; radyo ortamını gürültüyle kullanılmaz hâle getirmeye çalışır.

İlk ikisi management frame tabanlı protokol etkisidir. Jamming ise farklı bir fiziksel katman problemidir. PMF, koruma kapsamındaki management frame’lerin sahte kaynakla kabul edilmesini azaltır; RF gürültüsünü, zayıf sinyali veya fiziksel engellemeyi ortadan kaldırmaz. Olay kayıtlarında “disconnect” sayısını vermek yerine hangi frame türünün, hangi reason code ile ve hangi kanal koşulunda görüldüğü yazılmalıdır.

PMF’nin geçiş modu riski

PMF’nin disabled, optional ve required durumları aynı güvenlik sonucunu üretmez. Optional profil legacy istemcilerin bağlanmasına izin verirken korumanın devreye girmediği bir bağlantı yolu bırakabilir. Required profilde ise istemci ve AP, PMF yeteneği olmadan association’ı tamamlamamalıdır.

Karma WPA2/WPA3 profilleri, eski istemciler için pratik bir geçiş çözümü olabilir; fakat bu tercih mutlaka envantere bağlanmalıdır. “Eski cihaz var” gerekçesi süresiz bir istisnaya dönüşürse, en zayıf istemci tüm SSID’nin yönetim düzlemi korumasını belirler. Her SSID için şu durumlar ayrı test edilmelidir:

Test	PMF	Beklenen gözlem
A	Disabled	Sahte disconnect girişimiyle bağlantı davranışını ve alarmı ölç
B	Optional	Legacy ve PMF destekli istemcinin farklı akışını karşılaştır
C	Required	PMF’siz association reddi ve olay kaydını doğrula

Sonuçta yalnızca “disconnect olmadı” yazmak yerine, AP’nin frame’i reddetmesi, istemcinin yeniden bağlanma davranışı ve WIDS alarmının oluşup oluşmadığı birlikte kaydedilmelidir.

Ölçüm metodolojisi: gözlemden bulguya

Tek seferlik ekran görüntüsü, protokol araştırması için zayıf kanıttır. Dossier-01’deki davranışları tekrar edilebilir bir test planına çevirmek için her test üç aşamaya ayrılabilir.

Baseline

İzolasyon kurulmadan önce AP’nin SSID, BSSID, kanal, PMF, beacon aralığı ve istemci bağlantı süresi kaydedilir. En az birkaç dakikalık normal trafik örneği alınır. Beacon sayısı, RSSI dağılımı, retry oranı ve istemcinin normal reconnect davranışı referans kabul edilir.

Kontrollü müdahale

Müdahalenin başlangıç zamanı, kullanılan kart/firmware, kanal ve müdahale süresi kayıt altına alınır. Aynı test farklı RSSI değerlerinde ve PMF modlarında tekrar edilir. Gerçek kullanıcı cihazı veya üretim SSID’si test kapsamına sokulmaz.

Kurtarma ve karşılaştırma

Müdahale kesildikten sonra istemcinin kaç saniyede yeniden bağlandığı, AP loglarının ne zaman olay ürettiği ve WIDS’in ne kadar sürede alarm verdiği ölçülür. Test öncesi ve sonrası bağlantı profili hash’i veya yapılandırma çıktısı karşılaştırılarak kalıcı değişiklik oluşmadığı doğrulanır.

Önerilen ölçüm tablosu:

Metrik	Neyi gösterir?
Disconnect success rate	Yönetim frame’inin istemci state machine’i üzerindeki etkisi
Time to reconnect	Operasyonel kesintinin süresi
Detection latency	AP/WIDS/SIEM zincirinin gecikmesi
False positive rate	Normal roaming ile saldırı örüntüsünü ayırabilme
Packet loss in capture	ESP32 gözleminin güvenilirlik sınırı

WIDS için tespit mühendisliği

Kablosuz tespit, tek bir deauthentication paketini “saldırı” diye işaretlemekten ibaret olmamalı. Roaming, AP yeniden başlatma, kanal değişimi ve kapsama alanı değişimi de benzer tekil olaylar üretir. Daha güvenilir bir alarm için sinyaller korele edilmelidir:

Aynı istemci grubunda kısa aralıkta artan deauthentication ve disassociation sayısı,
tek bir BSSID için farklı kanallardan gelen çelişkili beacon’lar,
aynı SSID ile yeni BSSID veya beklenmeyen vendor IE’si,
istemcilerin art arda authentication/association döngüsüne girmesi,
RSSI ve retry oranında aynı anda görülen sıçrama,
PMF Required SSID’de korumasız management frame denemeleri.

Örnek bir savunma kuralı, tek paketi değil zaman penceresini kullanır:

IF
  deauth_or_disassoc_count(client_group, 60s) > baseline * 5
  AND reconnect_loop_count(client_group, 60s) >= 3
  AND no_planned_roaming_event == true
THEN
  raise wireless-management-plane alert
  attach: channel, BSSID set, reason codes, PMF state, RSSI trend

Bu bir ürün kuralı değil, tespit tasarımının nasıl düşünülmesi gerektiğini gösteren bir örnektir. Eşikler her ortamın normal roaming ve yoğunluk davranışına göre kalibre edilmelidir.

Bulguyu raporlama formatı

Araştırma notlarının operasyonel değere dönüşmesi için bulgu ile gözlemi ayırmak gerekir. ESP32 testleri için aşağıdaki format yeterlidir:

Finding: Unprotected management-plane transition
Scope: İzole 2.4 GHz test SSID'si
Observed: PMF optional modunda istemci reconnect döngüsü
Evidence: PCAP, AP event log, ESP32 capture, timestamp
Impact: Bağlantı sürekliliği ve kullanıcı deneyimi
Confidence: Tekrarlanabilir / kısmi / doğrulanamadı
Mitigation: PMF required, sertifika doğrulaması, WIDS korelasyonu
Validation: Aynı testte alarm ve güvenli recovery doğrulandı mı?

Beacon spoofing için etki “kimlik bilgisi çalındı” diye yazılmamalıdır; testte gerçekten association ve credential flow gözlenmediyse bulgu, ağ keşfinin yanıltılması olarak sınırlanır. Deauthentication için de “ağ ele geçirildi” yerine bağlantı sürekliliği, PMF yapılandırması ve tespit gecikmesi raporlanır.

Savunmayı doğrulama

Yapılandırma ekranında PMF’nin required görünmesi başlangıçtır, kanıt değildir. Doğrulama şu dört çıktıyı birlikte aramalıdır:

AP profili PMF’yi gerçekten zorunlu kılıyor mu?
İstemci, sertifika ve sunucu adı doğrulamasını yapıyor mu?
Kontrollü management-plane testinde sahte frame reddediliyor mu?
AP, WIDS ve SIEM aynı olayı tutarlı zaman damgalarıyla gösterebiliyor mu?

Bu zincirin herhangi bir halkası eksikse, ağın “korumalı” olarak etiketlenmesi gerçek dayanıklılığı olduğundan yüksek gösterebilir.

Savunma kontrol listesi

WLAN yapılandırması

PMF’yi mümkün olan SSID’lerde required yap.
WPA3 veya WPA2-Enterprise kullan; karma modların legacy istemci gerekçesini belgeleyin.
Otomatik bağlanma ve roaming politikasını yalnızca SSID’ye dayandırmayın.
Kurumsal istemcilerde sunucu sertifikası doğrulamasını zorunlu kılın.
WPS, kullanılmayan açık SSID ve yönetim arayüzlerini kapatın.

İzleme

Aynı BSSID için çelişkili beacon’ları,
kısa sürede artan deauthentication/disassociation olaylarını,
kanal değişimini, RSSI sıçramalarını ve yeni rogue AP’leri,
istemcilerin toplu reconnect davranışını,
PMF negotiation failure olaylarını izleyin.

NIST’in WLAN güvenlik rehberi; varlık envanteri, güvenli yapılandırma, izleme ve düzenli değerlendirmeyi birlikte ele alır. Kablosuz ağ güvenliği bir kez yapılan “şifre kontrolü” değil, sürekli yapılandırma ve olay yönetimi işidir. NIST SP 800-153

Sonuç

ESP32 ile yapılan bu tür bir araştırmanın değeri, ucuz bir kartın ne kadar “saldırgan” olmasından çok, 802.11’in hangi mesajları güvenmek zorunda bıraktığını görünür kılmasında. Beacon’lar ağın varlığını duyurur. Association ve authentication state’i değiştirir. Deauthentication ise güvenli şekilde doğrulanmadığında istemcinin bağlantı döngüsünü dışarıdan etkileyebilir.

WPA2 veya WPA3 seçimi önemli, fakat tek başına yeterli değil. PMF’nin etkinlik durumu, istemci sertifika doğrulaması, rogue AP izleme, kanal davranışı ve olay korelasyonu birlikte değerlendirilmeden gerçek WLAN riskini anlayamayız.

Sık sorulan sorular

Beacon frame şifrelenebilir mi?

Beacon’ların ağ keşfi için görünür olması gerekir. WPA2/WPA3 veri trafiğini korur; beacon içeriğini tamamen gizlemez.

PMF her kablosuz saldırıyı engeller mi?

Hayır. PMF özellikle sahte robust management frame’lerine karşı koruma sağlar. Jamming, rogue AP, kimlik avı, cihaz firmware açığı ve yanlış istemci politikası ayrı risklerdir.

ESP32 ile kurumsal Wi-Fi test edilebilir mi?

Yalnızca yazılı izin, izole test SSID’si ve RF kapsamı belirlenmiş kontrollü laboratuvarda. Gerçek çalışan WLAN’da paket enjeksiyonu hizmet kesintisine ve hukuki sorumluluğa yol açabilir.