Ev ağı güvenliği, çoğu kullanıcının ancak bir sorun yaşadıktan sonra düşündüğü bir konu. Oysa evdeki ağ, tek bir cihazın değil; telefonların, bilgisayarların, akıllı televizyonun, güvenlik kameralarının ve hatta robot süpürgenin ortak kapısıdır. Bu kapı zayıfsa, tek tek cihazlara kurulmuş antivirüsler pek işe yaramaz. İyi haber şu: ev ağı güvenliğinde en büyük kazanç, en zor işlerden değil, birkaç temel ayardan gelir. Aşağıda bu ayarları etki/çaba dengesine göre sıralayarak anlatıyoruz.
Önce mantığı kuralım. Ev ağına yönelen tehditleri kabaca üç gruba ayırabiliriz: (1) fiziksel yakınlıktan gelenler, yani kablosuz ağınıza bağlanmaya çalışan komşu ya da sokaktaki biri; (2) internet üzerinden gelen otomatik taramalar, yani modeminizin dış yüzünü sürekli yoklayan botlar; (3) ağın içinden yayılanlar, yani zaten bağlı olan zayıf bir cihazın diğerlerine sıçraması. Alacağınız her önlem bu üç gruptan en az birini hedefler; hangisini hedeflediğini bilmek, hangi ayarı önce yapacağınızı da netleştirir.
Ağınızın tamamı modem ya da yönlendirici üzerinden geçtiği için buradaki her ayar, bağlı tüm cihazları aynı anda etkiler. Modem ile yönlendirici arasındaki farkı ayrı bir yazıda ele alıyoruz; burada ikisini birlikte "ağ cihazı" olarak düşünmek yeterli.
Cihazın arkasındaki etikette yazan yönetim kullanıcı adı ve şifresi (klasik admin/admin ikilisi) marka ve model bazında herkesin bilebileceği bilgilerdir. Ağınıza bağlanan biri, tarayıcıdan yönetim adresine girip bu bilgilerle oturum açarsa DNS ayarlarınızı değiştirebilir, trafiğinizi yönlendirebilir veya port açabilir. İlk yapılacak iş: yönetim şifresini uzun ve size özgü bir şifreyle değiştirmek. Bunu Wi-Fi şifresiyle karıştırmayın; ikisi farklı kilitlerdir ve farklı olmaları gerekir.
Kablosuz ağın şifreleme standardı, komşudan gelen tehdide karşı asıl savunma hattıdır. Aradaki fark ciddidir:
| Standart | Durum | Pratik yorum |
|---|---|---|
| Açık / şifresiz | Kullanılmamalı | Trafik dinlemeye tamamen açık |
| WEP | Kırılmış | Modern araçlarla kısa sürede aşılır |
| WPA / TKIP | Eskimiş | Sadece çok eski cihazlar için geçici çözüm |
| WPA2-AES | Kabul edilebilir | Güçlü şifreyle birlikte hâlâ makul |
| WPA3 | Önerilen | Şifre tahmin saldırılarına karşı daha dayanıklı |
Cihazınız destekliyorsa WPA3, desteklemiyorsa WPA2-AES seçin. "WPA/WPA2 karışık" modu uyumluluk için vardır ama ağı en zayıf halkanın seviyesine çeker. Wi-Fi şifresi olarak da 12 karakterden uzun, sözlükte bulunmayan bir ifade tercih edin; kısa şifrelerde şifreleme standardının gücü büyük ölçüde boşa gider.
Üç ayar vardır ki kolaylık için tasarlanmış olsalar da güvenlik açısından maliyetlidir. WPS, düğmeye basarak bağlanmayı sağlar; PIN tabanlı sürümü bilinen saldırılara açıktır. UPnP, ağdaki uygulamaların dışa açık port açmasına izin verir; kötü niyetli bir yazılım bunu kendi lehine kullanabilir. Uzaktan yönetim (remote management) ise yönetim panelini internete açar, yani otomatik taramaların doğrudan hedefi yapar. Üçünü de kapatmak çoğu evde hiçbir işlevi bozmaz.
Ön kapıyı sağlamlaştırdıktan sonra sıra ağın içine gelir. Buradaki temel ilke basit: her cihaz kendi güvenlik seviyesinde kalsın.
Neredeyse tüm modern yönlendiriciler ikinci bir kablosuz ağ (misafir ağı) oluşturmanıza izin verir. Misafir ağındaki cihazlar internete çıkar ama ana ağdaki bilgisayara, NAS'a veya yazıcıya erişemez. Bunu iki grup için kullanın: eve gelen misafirler ve güncelleme desteği belirsiz akıllı ev cihazları. Kameralar, prizler, ampuller genellikle en az güncellenen cihazlardır; bunları ana ağdan ayırmak, üçüncü tehdit grubunu (içeriden yayılma) büyük ölçüde kapatır.
Yönlendirici yazılımı (firmware) sessizce eskir. Yılda birkaç kez yönetim panelinden güncelleme kontrolü yapmak, otomatik güncelleme seçeneği varsa açmak iyi bir alışkanlıktır. Yeni bir cihaz alırken de üreticinin güncelleme geçmişine bakmak, teknik özelliklerden daha belirleyici olabilir; modem seçimi rehberimizde bu kritere ayrıca değiniyoruz. Desteği tamamen bitmiş bir cihaz, ne kadar hızlı olursa olsun, ağın en zayıf noktasıd