Rehberler
Klasik korku hikâyesi — kafede birinin şifrenizi havadan çalması — büyük ölçüde geçmişte kaldı; çünkü HTTPS neredeyse tüm bağlantılarınızın içeriğini zaten şifreliyor. Halka açık Wi-Fi'da geriye kalan daha sinsi: alan adları gibi görünür üstveri, sahte erişim noktaları, karşılama portalları ve ağı sizinle paylaşan diğer cihazlar.
Neredeyse her ciddi web sitesi ve uygulama trafiğini uçtan uca şifreler. Şifreler, mesajlar ve kart numaraları TLS'in içinde yol alır; kafe Wi-Fi'ındaki bir meraklı verinizi değil, şifreli metni görür. Eski tehdidin o kısmı büyük ölçüde bitti.
Şifreleme ne söylediğinizi gizler, kiminle konuştuğunuzu değil. DNS sorguları ve TLS el sıkışmalarındaki sunucu adları hangi siteleri ve servisleri kullandığınızı açık eder; ağın işletmecisi ya da ağda konumlanmış herhangi biri o listeyi toplayabilir.
Herkes, kafenin ya da havalimanının adını taşıyan bir hotspot yayınlayabilir. Cihazınız tanıdık görünen en güçlü sinyale katılır ve o andan itibaren saldırgan sizin ağ geçidinizdir. Gerçekçi modern saldırı budur — şifre koklamak değil.
Söylencelerin dediğinden az, sıfırdan çok. On yıl önce webin büyük kısmı şifresizdi ve köşedeki bir dizüstü, girişleri sahiden havadan yakalayabiliyordu. Bugün anlamlı trafiğin neredeyse tamamı TLS'e sarılı: bankacılık, e-posta, mesajlaşma uygulamaları ve mağazalar, hangi ağda oturursanız oturun içeriği cihazınızla sunucuları arasında şifreler.
Geriye farklı bir risk kümesi kalıyor: şifrelemenin kapsamadığı üstveri, iddia ettiği şey olmayan erişim noktaları, kişisel veri isteyen portal sayfaları ve yerel bir ağı yabancılarla paylaştığınız gibi basit bir gerçek.
TLS, trafiğinizin içeriğini gizler ama hedeflerini değil. Cihazınız bir alan adını çözerken o DNS sorgusu ağ tarafından çoğu zaman okunabilir; bir TLS bağlantısı açarken de sunucu adı genellikle el sıkışmada düz metin olarak görünür — SNI alanı. Hotspot'u işleten ya da izleyen kim varsa, dokunduğunuz her sitenin ve uygulamanın zaman damgalı, derli toplu bir listesini çıkarabilir.
Çoğu insan için bu bir acil durum değil, gizlilik meselesidir: girdiğiniz alan adlarının listesi hakkınızda çok şey söyler ve halka açık bir ağda onu kimin, neden topladığını bilemezsiniz. Şifreli DNS sızıntıyı daraltır ama SNI'yı ortadan kaldırmaz.
Düşmanca ağlarda VPN'in tamamen kapattığı boşluk tam da budur: tünelin içinde DNS ve el sıkışmalar hotspot'a görünmezdir; onun görebildiği tek şey bir VPN sunucusuna bağlı olduğunuzdur.
İçinde bulunduğunuz kafenin, otelin veya havalimanının adını taşıyan bir Wi-Fi ağı yayınlamanın önünde hiçbir engel yok. Cihazlar tanıdık adlı en güçlü sinyale seve seve katılır; eski ağları hatırlayan telefonlar da benzerine, siz hiçbir şeye dokunmadan otomatik olarak yeniden bağlanır.
Saldırganın erişim noktasına düştüğünüz anda o sizin ağ geçidinizdir: DNS'inizi o atar, her paketi o yönlendirir ve sizi inandırıcı sahte sayfalara göndermeyi deneyebilir. TLS düzgün korunan siteleri yine korur — biri onların kimliğine bürünürse tarayıcınız yüksek sesle uyarır — ama şifresiz olan her şey, sertifika hatalarını yok sayan her uygulama ve saldırganın sunduğu bir sayfaya yazdığınız her şey açıktadır.
Pratik savunmalar gösterişsizdir: halka açık ağlarda otomatik katılmayı kapatın, artık kullanmadığınız hotspot'ları unutturun ve öyle bir ağdayken sertifika uyarısını asla yok saymayın.
Otel veya havalimanı Wi-Fi'ında sizi karşılayan sayfa — oda numarası, e-posta adresi ya da sosyal medya girişi isteyen — başlı başına şüpheyle karşılanmayı hak eder. Ağ işletmecisinin yetkileriyle çalışır ve sahte bir hotspot'ta taklit etmesi çocuk oyuncağıdır.
Portallara asgariyi verin: alan zorunluysa harcanabilir bir e-posta; başka yerde kullandığınız bir şifreyi asla; kart bilgilerini asla. Bir portalın size ücretsiz Wi-Fi vermek için ödeme bilgisi istemesinin meşru bir nedeni olamaz.
Pratik bir not: VPN uygulamaları portal tamamlanana kadar genellikle bağlanamaz, çünkü ağ diğer her şeyi engeller. Portalı bitirin, sonra hassas bir şey yapmadan önce tünelin ayakta olduğunu doğrulayın. Aurora'nın uygulamaları, ağ trafiği geçirmeye başlar başlamaz otomatik olarak yeniden bağlanır.
Halka açık Wi-Fi'da VPN tek bir işi olağanüstü iyi yapar: yerel ağı önemsiz kılar. Hotspot, işletmecisi ve ağdaki diğer herkes bir VPN sunucusuna giden tek bir şifreli akış görür — DNS sorgusu yok, SNI yok, hedef yok, yönlendirecek şey yok. WireGuard gibi protokoller bunu az pil ve hız maliyetiyle yapar; açık bırakmak gerçekçidir.
VPN'in yapmadıkları da önemlidir. İçine yazı yazdığınız portal sayfasını denetlemez, dosya paylaşımı yerel alt ağa açık bir cihazı korumaz ve bir oltalama sitesini meşru kılmaz. Güveninizi kimliği belirsiz bir hotspot'tan sizin seçtiğiniz sağlayıcıya taşır — iyi bir takas, ama sihirli değil.
Gerçek korumanın çoğu, bir kez yaptığınız birkaç ayardan ve sürdürdüğünüz iki alışkanlıktan gelir. Hiçbiri uzmanlık gerektirmez.
Ayarlar önemlidir, çünkü halka açık Wi-Fi saldırıları fırsatçıdır: dikkatsiz çoğunluğun açıkta bıraktığını toplarlar. Hiçbir ağa otomatik katılmayan, yerelde hiçbir şey paylaşmayan ve trafiğini tünelleyen yamalı bir cihaz, uğraşmaya değer bir hedef değildir.
IP adresinizi gizlemek için trafiğinizi başka bir sunucudan geçirirsiniz; web siteleri de sizinkinin yerine onun adresini görür. VPN bunu cihazdaki her şey için, proxy tek bir uygulama için, Tor ise hız pahasına azami gizleme için yapar. IP'nizi gizlemek sitelerin gördüğünü değiştirir — kim olduğunuzu değil.
"Kayıt tutmuyoruz" (no logs) neredeyse hiçbir zaman hiçbir şey kaydedilmiyor demek değildir. Genellikle etkinlik kaydı yok demektir: girdiğiniz sitelerin ve aktardığınız verinin kaydı tutulmaz. Bağlantı üstverisi, tanılama verileri ve ödeme kayıtları ayrı kategorilerdir ve her sağlayıcı bunları farklı tanımlar. Hangilerinin saklandığını slogan değil, gizlilik politikası söyler.
VPN protokolü, cihazınızla sunucunun şifreli tüneli nasıl kuracağını tanımlar. WireGuard en hızlı ve en yalın olanı; OpenVPN en olgun ve en esnek; IKEv2/IPsec mobilde ağ geçişlerini en iyi atlatan; TLS üzerinden Xray/VLESS ise tünel trafiğini sıradan HTTPS gibi gösterir. Her biri gücünün karşılığında bir şeyden vazgeçer.
