Güzel bir espressosu ve şüpheli bir Wi-Fi'si olan bir kafedesiniz ve evdeki masaüstüne ihtiyacınız var. Bağlanmak güvenli mi? Tamamen taşıma şifrelemesine bağlı — uçtan uca şifreli bir oturum şehrin en şüpheli ağında bile güvenlidir, şifresiz eski bir protokol ise en iyi ağda bile güvenli değildir. İşte düz bir dille tehdit modeli, neyi sızdırdıklarına göre sıralanmış protokoller ve kontrol etmediğiniz bir yerden bağlandığınız bir sonraki sefer için kontrol listesi.
Genel Wi-Fi gerçekte neyi görebilir
Kontrol etmediğiniz bir ağda iki taraf trafiğinizi gözlemleyebilecek konumdadır. Birincisi işletmecidir — erişim noktasını ve arkasındaki yönlendiriciyi çalıştıran kişi; genel Wi-Fi'de bu mekân, ağ yüklenicisi ya da mekânın adıyla sessizce bir erişim noktası kurmuş herhangi biri demektir. İkincisi yakındaki diğer cihazlardır: istemci yalıtımı olmayan ağlarda iki masa ötedeki bir dizüstü, çevresinde dolaşan trafiği yakalayabilir. "Gözlemlemek", gönderdiğiniz ve aldığınız paketleri kaydetmek demektir. Bütün soru, bu paketlerin ne içerdiğidir.
- Protokol şifresizse paketler içerik taşır. Uzak masaüstü için bu, kulağa geldiği kadar kötüdür: ekran kareleri, gönderdiğiniz her tuş vuruşu — uzak makineye yazdığınız parolalar dahil — ve en kötü eski durumlarda bağlantı sırasında değiş tokuş edilen kimlik bilgileri.
- Protokol düzgün şifrelenmişse paketler şifreli metin taşır. Gözlem, üst verilere iner: hangi uç noktalarla, ne zaman ve ne kadar trafik alışverişi yaptığınız. Bir uzak masaüstü uygulaması kullandığınızı çıkarmaya yeter; oturumun içinde ne olduğunu kurtarmak için işe yaramaz.
2010'lardaki korku hikâyeleri yerine günümüzün gerçekliğine göre ayar yapmakta fayda var. Bugün bir dizüstünün ürettiği trafiğin çoğu zaten şifreli — HTTPS, bir kafeyi rastgele dinlemenin dramını ortadan kaldırdı. Gerçekçi kalan tehditler üst veri gözlemi ve sahte erişim noktalarıdır: kendini yolun üzerine koymak için mekânın ağ adını yayınlayan, zayıf müzakere eden her şeyi yakalamayı uman bir saldırgan — eski protokoller, özensiz sertifika uyarıları, tanıdık adlara otomatik katılan cihazlar. Bu, ağdan korkmak için bir sebep değil. Ağa hangi araçlarla gidileceğinin kesin bir tarifi: zayıf müzakere etmeyenlerle.
Protokoller, neyi sızdırdıklarına göre sıralı
Burada ürün adlarından çok yapılandırmalar önemli — aynı yazılım sürüme ve ayarlara bağlı olarak sorunsuz da endişe verici de olabilir; bu yüzden aşağıdaki sıralama yapılandırmaya göre, en kötüden başlayarak.
- TLS ya da NLA olmadan düz RDP (eski). RDP'nin özgün güvenlik katmanı modern taşıma güvenliğinden önce gelir ve onu müzakere etmeye istekli bir istemci, ortadaki bir adam tarafından oraya indirilebilir. Güncel Windows sürümleri varsayılan olarak Ağ Düzeyi Kimlik Doğrulamalı TLS kullanır; yani bu çoğunlukla eski ana makineleri, eski istemcileri ve uyumluluk için gevşetilmiş grup ilkelerini anlatır — ama düşmanca bir ağda, düşürülebilen bir oturum okunabilir sayılmalıdır.
- Şifrelemesiz VNC. Klasik VNC protokolü kare tamponunu — gerçek ekranınızı — açık metin olarak gönderir ve geleneksel meydan okuma-yanıt girişi modern standartlara göre zayıftır; parolalar yaygın olarak sekiz karakterle sınırlıdır. Bazı sunucular ve istemciler üstüne TLS koyar ya da SSH üzerinden çalışır; birçok hızlı kurulum yapmaz. Paylaşılan Wi-Fi'de şifresiz VNC, ekrandakileri paket kaydeden herkese sızdırır.
- TLS ve NLA ile RDP. Modern varsayılan ve tel üzerinde sağlam: oturum istemcinizden ana makineye ya da ağ geçidine taşıma şifrelidir ve NLA, oturum oluşturulmadan önce kimlik doğrulama ister. Genel Wi-Fi'de pratik zayıf nokta insandır — kendinden imzalı sertifikalar uyarı ekranlarını olağan hale getirir ve onları geçmeye alışmış bir kullanıcı, sahte bir erişim noktasının tam umduğu şeydir. Taşıma şifrelemesi, maruziyet hakkında da bir şey söylemez: 3389 numaralı bağlantı noktasının internete açık olması, nereden bağlanırsanız bağlanın ayrı, iyi belgelenmiş bir hatadır.
- Modern uçtan uca şifreli uygulamalar. Oturumlar, hiçbir ağ onlara dokunmadan önce cihazdan cihaza şifrelenir. Otel ağı — ve ötesindeki her şey — bağlantı üst verilerini görür: uç noktalar arasında akan şifreli metin, zamanlama ve hacimle. Asla piksel, asla tuş vuruşu, asla kimlik bilgisi; çünkü çalınacak protokol kimlik bilgisi yoktur.
| Yapılandırma | Ağdaki bir gözlemcinin eline geçen | Genel Wi-Fi için hüküm |
|---|---|---|
| Düz RDP, TLS/NLA yok | Düşürmenin başarılı olduğu yerde oturum içeriği; kimlik bilgileri risk altında | Kullanmayın — okunabilir varsayın |
| Şifrelemesiz VNC | Açık metin ekran içeriği; zayıf giriş el sıkışması | Kullanmayın |
| TLS + NLA ile RDP | Yolda şifreli metin; sertifika uyarıları zayıf nokta | Bir tünel üzerinden kabul edilebilir; 3389'u asla açmayın |
| Modern uçtan uca şifreli uygulama | Yalnızca şifreli metin ve bağlantı üst verileri | Tam da bunun için yapıldı |
Uçtan uca şifreleme cevabı neden değiştiriyor
Taşıma şifrelemesi bir sıçramayı korur; uçtan uca şifreleme konuşmayı korur. Bu ayrım, bir kafe ile evdeki masaüstünüz arasında kimlerin durduğunu sıralayana kadar akademik görünür: mekânın erişim noktası, onun ISS'si, sizin ISS'niz, belki bir sağlayıcının aktarıcı sunucusu. Uçtan uca şifrelemede anahtarlar doğrudan iki cihazınız arasında kararlaştırılır ve kareler cihazdan çıkmadan şifrelenir. O listedeki her taraf — sağlayıcının kendi altyapısı dahil — anahtarını bilmediği şifreli metni iletir.
Remio tam da bu model üzerine kuruludur; bu yüzden uygulamalı örnek olarak hizmet eder. Güven, iki cihazı bir QR kodu ya da ana makinenin ekranından okunan bir Cihaz Kimliği ve PIN ile eşleştirdiğinizde kurulur — hesap yoktur; yani kafede oltalanacak bir parola ve herhangi bir yerde ihlal edilecek bir kimlik bilgisi veritabanı yoktur. Oturum anahtarları her bağlantı için eşleşmiş cihazlar arasında doğrudan müzakere edilir ve her kare, tuş vuruşu, pano eşzamanlaması ve dosya aktarımı uçtan uca şifrelidir. Katı bir ağ oturumu şifreli bir aktarıcıdan geçmeye zorladığında, aktarıcı okuyamadığı şifreli kareleri iletir — yol doğrudan da olsa aktarmalı da olsa güvenlik modeli aynıdır. Tam tasarım güvenlik sayfasındadır.
Amaç güvenilir Wi-Fi bulmak değil. Wi-Fi'nin güvenilirliğini önemsiz kılmaktır.
Dürüst bir sınır: uçtan uca şifreleme oturumu yolda korur, başka hiçbir şeyi değil. Kafedeki dizüstü ya da evdeki ana makine ele geçirilmişse, aralarındaki en güçlü şifre hiçbir şeyi değiştirmez — saldırgan bir uç noktanın içindedir ve sizin okuduğunuzu okur. Uç nokta hijyeni, sağlayıcı ihlal geçmişi ve sertleştirme tablosunun geri kalanı başka bir yazının konusu ve onu yazdık: uzak masaüstü güvenlik rehberi. Bu yazı ağda kalıyor.
Kafe kontrol listesi
Altı madde, karşılığını verme sırasına göre.
- Uçtan uca şifreli bir uzak masaüstü uygulamasını tercih edin. Genel Wi-Fi sorusunu disiplinle değil tasarımla çözer — bu listedeki başka bir şeyi doğru yapmış olsanız da olmasanız da ağ şifreli metin taşır.
- RDP'ye mahkûmsanız 3389 numaralı bağlantı noktasını asla açmayın. Ona yönlendirici bağlantı noktası yönlendirmesi yerine bir VPN ya da başka bir şifreli tünel üzerinden ulaşın; yönlendirici değişikliği gerektirmeyen yalnızca giden uygulamalar dahil alternatifler bağlantı noktası yönlendirmesiz uzak masaüstü rehberimizde.
- İşletim sistemi güvenlik duvarının ağı genel olarak ele almasına izin verin. macOS ya da Windows hangi tür ağa katıldığınızı sorduğunda genel profil doğru cevaptır — dosya paylaşımının, keşfin ve diğer dinleyen hizmetlerin aynı ağdaki yabancılara görünmesini engeller.
- İstemciyi güncel tutun. Bir uzak masaüstü istemcisi, güvenmemeye karar verdiğiniz bir ağdan gelen karmaşık veriyi ayrıştırır. Yamalar boşuna yok; seyahat eden bir makinede otomatik güncelleme doğru ayardır.
- Mekânın gerçek ağında olduğunuzu doğrulayın. Tam ağ adını sorun ve benzerlerini yok sayın — bir erişim noktası sahibinin yazdığı her adı yayınlayabilir. Ayrılırken dizüstünüze ağı unutturmak, önümüzdeki ay bir taklide otomatik katılmasını da önler.
- Oturumun kendisini hassas olan şey olarak görün. Evinizdeki ya da ofisinizdeki makineyi herkese açık bir odadan kullanıyorsunuz: ekranınızı kimin görebildiğine dikkat edin ve bağlantıyı keserken uzak ana makineyi kilitleyin ki arkanızda açık bir masaüstü bırakmayın.
Üstüne bir VPN eklemeye ne dersiniz?
VPN, cihazınız ile VPN sunucusu arasındaki her şeyi şifreler ve güvenilmeyen Wi-Fi'de bu gerçekten faydalıdır — DNS sorgularını, uygulamaların arka plan konuşmalarını ve yerel ağa sızabilecek şifresiz trafiği korur. Zaten havalimanında bir tane çalıştıracaksanız, uzak masaüstü hakkında buna karşı çıkacak hiçbir şey yok.
Ama uzak masaüstü oturumu özelinde mantık daha dar ve iki yönde de keser. Uçtan uca şifreli bir oturum için VPN gerekli değildir: trafik tünele ulaşmadan önce zaten şifreli metindir; bu yüzden VPN bir sıçrama (ve genellikle biraz gecikme) ekler ama oturumda olmayan gizliliği eklemez. Şifresiz bir oturum için ise yeterli değildir: ticari bir VPN, VPN'in çıkış sunucusuna giden yolu korur; sonrasında trafik ana makineye başladığı kadar açık şekilde devam eder. Kuralı kanıtlayan istisna, hedef ağın içinde sonlanan bir tüneldir — ev yönlendiricinizdeki bir WireGuard sunucusu, ofise kurumsal bir VPN — bu, tüm yolu kapsar ve RDP'yi uzaktan kullanmanın standart yoludur. VPN'i erişim yönteminin kendisi olarak bir uzak masaüstü uygulamasıyla tartıyorsanız bu farklı bir karşılaştırmadır ve kendi yazısı var: uzak masaüstü ve VPN.
Otel, havalimanı, kampüs: bağlantıları bozan ağ tuhaflıkları
Güvenliği bir kenara bırakırsak, genel ağların ikinci bir huyu var: ev ağlarının yapmadığı şekillerde bağlantıları bozarlar. Çoğunu üç tuhaflık açıklar.
- Yönlendirmeli portallar. Bir tarayıcı açıp koşulları kabul edene kadar ağ her şeyi boşluğa atar — bir uzak masaüstü uygulaması görünür bir sebep olmadan başarısız olarak bekler. Önce portalı tamamlayın; ve tüm öğleden sonra çalışan bir oturum üçüncü saatte ölürse, zamanlayıcıyla yeniden kimlik doğrulayan bir portaldan şüphelenin.
- İstemci yalıtımı. Oteller ve kampüsler ağ içindeki cihazdan cihaza trafiği yaygın olarak engeller; bu yüzden aynı odadaki kendi iki cihazınız LAN'da birbirini göremeyebilir. Yalnızca giden P2P uygulamaları yine bağlanır — iki cihaz da dışarı arar ve internet üzerinde buluşur — ama yol, oturduğunuz odadan daha uzun olabilir.
- UDP engelleme. Katı misafir ağları bazen web bağlantı noktalarındaki TCP dışında pek bir şeye izin vermez. Gerçek zamanlı protokoller UDP'yi tercih eder; uygulamaların ayrıştığı yer burasıdır: TCP ve aktarıcı yedeği olan biri biraz gecikme pahasına bağlanmaya devam ederken yalnızca UDP yapılandırması takılır. Mekanik — adres keşfi, delik açma ve ne zaman neye düşüldüğü — NAT geçişi açıklamamızda, bir oturumun kullandığı tam bağlantı noktaları ve protokoller ise güvenlik duvarı ve NAT dokümanlarında.
SSS
Otel Wi-Fi'sinde uzak masaüstü kullanmak güvenli mi?
Evet, oturum uçtan uca şifreliyse. Modern bir uçtan uca şifreli uzak masaüstü uygulamasıyla otel ağı yalnızca şifreli metin taşır; bu yüzden ne işletmeci ne de diğer konuklar ekranınızı, tuş vuruşlarınızı ya da dosyalarınızı kurtarabilir. Riskli durum eski kurulumlardır: TLS ve NLA olmadan RDP ya da şifrelemesiz VNC, oturum içeriğini ve kimlik bilgilerini ağa açabilir ve şifreli bir tünel olmadan otel Wi-Fi'sinde kullanılmamalıdır.
Aynı Wi-Fi'deki biri uzak ekranımı görebilir mi?
Oturum uçtan uca şifreliyse hayır. Aynı ağdaki biri paketlerinizi yakalayabilir, ama uçtan uca şifrelemeyle bu paketler şifreli metindir ve anahtarlar yalnızca iki cihazınızda bulunur; bu yüzden ekran içeriği yakalamadan kurtarılamaz. Aynı ağdaki bir gözlemcinin yine görebildiği üst verilerdir — bir bağlantının var olduğu, ne zaman etkin olduğu ve kabaca ne kadar veri taşıdığı.
Genel Wi-Fi'de Remio kullanmak için VPN'e ihtiyacım var mı?
Hayır. Remio oturumları zaten uçtan uca şifreli — anahtarlar her oturum için doğrudan cihazlarınız arasında müzakere edilir — bu yüzden oturum ağın güvenilir olmasına bağlı değildir. VPN, DNS sorguları ve diğer uygulamalar gibi trafiğinizin geri kalanına yine de gizlilik ekler ve Remio'yu onun üzerinden çalıştırmak sorun değildir. Bu, diğer trafiğiniz hakkında bir tercih; oturum için bir gereklilik değil.
RDP genel Wi-Fi'de güvenli mi?
TLS ve Ağ Düzeyi Kimlik Doğrulama ile — modern Windows varsayılanı — oturum taşıma şifrelidir; bu yüzden kafe ağındaki bir dinleyici şifreli metin görür. Kalıcı kural mekânla değil maruziyetle ilgilidir: 3389 numaralı bağlantı noktasını asla doğrudan internete açmayın; RDP'ye bunun yerine bir VPN ya da başka bir şifreli tünel üzerinden ulaşın. TLS'siz eski RDP güvenliğine indirgenebilen eski yapılandırmalar, güvenilmeyen her ağda güvensiz sayılmalıdır.
Wi-Fi işletmecisi yine de neyi öğrenir?
Bağlantı üst verilerini. Tamamen uçtan uca şifreli bir oturumda bile ağ işletmecisi zamanlamayı, trafik hacmini ve paket alışverişi yaptığınız uç noktaları gözlemleyebilir — bir uzak masaüstü oturumunun olduğunu ve ne kadar sürdüğünü çıkarmaya yeter. Kurtaramadığı şey içeriktir: ekran karesi yok, tuş vuruşu yok, dosya yok, pano yok.
Hepsinin ortak ipi: oturumunuzun güvenli olup olmadığına mekân değil, şifreleme karar verir. Hiç kontrol listesi gerektirmeyen sürümü istiyorsanız her iki makineye Remio'yu kurun, bir QR kodu ya da Cihaz Kimliği ve PIN ile eşleştirin ve günün size verdiği her ağdan bağlanın; oturum her iki durumda da uçtan uca şifrelidir. Nasıl çalışır sayfası kaputun altında neler olduğunu gösteriyor.
