Rogue Access Point Kurarken Yan Apartmandan Gelen Bağlantıları Engellemenin Yolu

Bir güvenlik testinde rogue access point (sahte erişim noktası) kurmak… yani cihazların bağlanacağı sahte bir Wi-Fi ağı oluşturmak… teknik bir analiz aracıdır. Ama sınırı aştığında, bir deney olmaktan çıkıp bir müdahaleye dönüşebilir.

Sen sadece simülasyon yapıyor olabilirsin. Ama yan apartmandaki bir cihaz, senin ağına bağlanırsa, artık test senin değil, onların güvenlik alanına girmiş olursun.

Rogue Access Point Nedir?

Bir bilgisayar, Wi-Fi adaptörünü AP (Access Point) moduna alarak sahte bir kablosuz ağ oluşturabilir. Amaç:

İstemcilerin bu ağa bağlanarak trafiğinin izlenmesi
SSID taklidi ile otomatik bağlantı sağlamak
MITM (Man-in-the-Middle) ortamı oluşturmak

Ancak bu teknik yalnızca izinli ortamda ve kontrollü cihazlarla yapılmalıdır.

Yan Apartmandan Bağlananları Neden Engellemelisin?

O cihazlar senin testin dışında ve rızaları yok
Bağlandıkları anda veri alışverişi başlayabilir
MAC adresleri, cihaz adları gibi kişisel veriler loglanabilir
Yasal olarak “veri toplamaya teşebbüs” suçu oluşabilir

Yani test ortamında çalışmayan her cihaz, risk demektir. Ve sistemde sen varsın. Bağlanan değil, dinleyen sorumlu tutulur.

Teknik Olarak Yan Apartmandan Gelen Bağlantıları Engellemenin Yolları

1. Fiziksel Sinyal Sınırlandırması

Wi-Fi adaptörünü düşük güçte yayın yapan modelle değiştir
Açık alanda değil, duvarla çevrili küçük bir odada test yap
Anten gücünü azaltan txpower parametresi kullan

iwconfig wlan0 txpower 5

Bu komutla yayın gücünü düşürerek, sinyali sadece yakın çevreye sınırlayabilirsin.

2. MAC Filtreleme (Allowlist)

Sadece test cihazlarının MAC adresini kabul eden yapılandırma yap
hostapd.conf dosyasına macaddr_acl=1 ve accept_mac_file ayarlarını ekle

macaddr_acl=1  
accept_mac_file=/etc/hostapd.accept

/etc/hostapd.accept dosyasına yalnızca senin test cihazlarının MAC adreslerini ekle. Böylece yabancı cihazlar bağlantıyı başlatsa bile reddedilir.

3. SSID Yayınını Karıştır

Sahte SSID’yi bilerek çirkin ve bağlantı çekici olmayan bir şekilde tanımla
Mesela: ssid="TEST_WIFI_DO_NOT_CONNECT"

İnsanlar genellikle otomatik bağlanmasa bile merak edip bu ağa tıklayabilir. Bu tür isimlendirmeyle ilgiyi azaltırsın.

4. Bağlantı Süresini Sınırla

hostapd ile yapılandırıldığında, istemcilerin IP almasını engelleyebilir veya DHCP sunucusunu devre dışı bırakabilirsin.

dhcp-range=10.0.0.10,10.0.0.20,12h  
lease-time=1m

İstemciler IP alamazsa, bağlantı kesilir. Sen de sadece trafiği değil, denemeyi gözlemlersin.

5. Bağlantı Algılandığında Otomatik Loglama ve Kapatma

Bağlantı geldiğinde tetiklenen betikler oluşturabilirsin. Örneğin:

if MAC not in allowlist:  
   log & alert  
   shutdown wlan0

Böylece izinsiz cihaz algılandığında otomatik olarak bağlantıyı kesebilirsin.

Etik Hacker Ne Yapar?

Test cihazlarının dışında hiçbir bağlantıyı kabul etmez
MAC filtreleme olmadan AP yayını yapmaz
Sinyali sadece test alanına sınırlı tutar
Log kaydı tutmaz, tutarsa da anonimleştirir
Testi kısa sürede tamamlayıp yayını sonlandırır

Gerçek Hikâye: Apartmandan Gelen Bağlantı, Apartmanda Sorun Çıkardı

Bir öğrenci, Kali Linux ile rogue AP kurdu. SSID aynıydı: TTNET_ZXY Komşu apartmandaki biri cihazını açtı ve otomatik olarak bu sahte ağa bağlandı. Cihazda otomatik eşitleme aktifti. Veriler trafiğe döküldü. Ve bir gün sonra cihaz sahibinden gelen mesaj: “İnternetime girerken garip bir şey oldu, modemim mi bozuldu?” O anda test artık kişisel sınıra dokunmuştu. Öğrenci “sadece deneme yapıyordum” dedi. Ama komşu bununla yetinmedi. Şikâyet etti. Siber suçlar birimi geldi. Test, rapor değil; ifade ile bitti.

Wi-Fi Sinyali Duvar Tanımaz, Ama Sen Sınırını Bilmelisin

Rogue Access Point kurmak teknik olarak basittir. Ama testin çevresi fiziksel değil etik sınırlarla çevrili olmalı. Yan apartmandaki bağlantı, senin denemenin dışındaysa… o kişi denek değildir, mağdurdur. Ve sistem seni test yapan olarak değil, dinleyen olarak algılar.

O yüzden sinyali değil, sorumluluğunu yay. Ağ senin olsa bile, bağlı olan herkes sana ait değildir.