Çok Faktörlü Kimlik Doğrulama Nedir?
Çok faktörlü kimlik doğrulama (MFA), bir hesaba erişim için tek bir parolanın ötesinde birden fazla kanıt talep eden güvenlik yöntemidir. Kullanıcı yalnızca bildiği bir bilgiyle değil; sahip olduğu bir cihaz veya biyometrik özelliğiyle de kimliğini kanıtlar. Bu katmanlı yaklaşım, çalınan parolaların tek başına işe yaramamasını sağlar.
Kimlik Doğrulama Faktörleri
MFA genellikle üç faktör kategorisinden en az ikisini bir araya getirir.
- Bildiğiniz bir şey: Parola veya PIN kodu.
- Sahip olduğunuz bir şey: Telefon uygulaması, donanım anahtarı veya tek kullanımlık kod.
- Olduğunuz bir şey: Parmak izi veya yüz tanıma gibi biyometrik veriler.
Neden Bu Kadar Önemli?
Veri ihlallerinin büyük bölümü, çalınan veya zayıf kimlik bilgileriyle başlar. Bir saldırgan parolayı ele geçirse bile, ikinci faktör olmadan hesaba giremez. Bu basit ama güçlü katman, hesap ele geçirme saldırılarının ezici çoğunluğunu engeller. MFA, düşük maliyetle en yüksek güvenlik kazancı sağlayan önlemlerden biridir.
Kurumsal Uygulama
MFA yalnızca e-posta için değil; VPN, bulut uygulamaları, yönetici panelleri ve uzak masaüstü erişimi gibi tüm kritik giriş noktaları için uygulanmalıdır. Özellikle ayrıcalıklı hesaplar, yani sistem yöneticileri, öncelikli olarak korunmalıdır çünkü bu hesapların ele geçirilmesi en büyük hasarı doğurur.
Kullanıcı Deneyimini Dengelemek
MFA’nın çok sık kod istemesi kullanıcıları yorabilir. Modern çözümler, riske dayalı doğrulama ile bu dengeyi kurar: tanıdık bir cihazdan ve konumdan gelen erişim daha az sürtünme yaşarken, şüpheli bir giriş ek doğrulama gerektirir. Bu yaklaşım hem güvenliği hem de verimliliği korur.
- Tüm kritik sistemlerde MFA’yı zorunlu kılın.
- Ayrıcalıklı hesaplara öncelik verin.
- SMS yerine uygulama tabanlı veya donanım anahtarlarını tercih edin.
- Riske dayalı doğrulama ile kullanıcı deneyimini iyileştirin.
Yaygın Yanılgılar
Bazı kurumlar MFA’yı yalnızca yöneticiler için gerekli görür. Oysa her hesap potansiyel bir giriş kapısıdır. Ayrıca SMS tabanlı kodlar, uygulama veya donanım tabanlı yöntemlere göre daha zayıftır. Doğru yöntemin seçilmesi, korumanın gücünü belirler.
MFA Yöntemleri: Hangisi Ne Kadar Güçlü?
Çok faktörlü kimlik doğrulama tek bir yöntem değildir. Kullanılan ikinci faktörün türü, korumanın gücünü ve kullanıcı deneyimini doğrudan belirler.
- SMS ile gelen kod: Kurulumu en kolay yöntemdir. Ancak SIM kartın saldırgan tarafından kopyalatılması veya mesajların yönlendirilmesi gibi risklere açıktır.
- Doğrulayıcı uygulama kodları (TOTP): Telefondaki uygulama, belirli aralıklarla değişen kodlar üretir. İnternet veya mobil şebeke gerektirmez, SMS’e göre daha güvenlidir.
- Anlık bildirim (push) onayı: Kullanıcı telefonundaki bildirime dokunarak girişi onaylar. Kullanımı rahattır, ancak arka arkaya gönderilen onay istekleriyle kullanıcıyı bıktırmaya dayanan saldırılara karşı ekranda gösterilen numaranın uygulamaya girilmesini isteyen numara eşleştirme özelliği açılmalıdır.
- Donanım anahtarları ve geçiş anahtarları (FIDO2): Doğrulama, giriş yapılan sitenin adresine bağlı olduğu için sahte sayfalarda çalışmaz. Oltalamaya en dayanıklı yöntem olarak kabul edilir.
Biyometrik doğrulama ise genellikle tek başına bir faktör olarak değil, telefondaki veya bilgisayardaki anahtarın kilidini açmak için kullanılır. Parmak izi ya da yüz verisi cihazdan çıkmaz; sunucuya yalnız doğrulamanın başarılı olduğu bilgisi iletilir. Kurumsal ortamda yöntem seçilirken çalışanların hangi cihazları kullandığı, saha personelinin akıllı telefonu olup olmadığı ve ortak kullanılan bilgisayarlar da dikkate alınmalıdır.
Kurumsal MFA Geçişi Nasıl Planlanır?
- Giriş noktalarının envanteri: E-posta, kurumsal VPN, uzak masaüstü, bulut uygulamaları ve yönetim panelleri listelenir.
- Yöntem seçimi: Ayrıcalıklı hesaplar için en güçlü yöntem, diğer kullanıcılar için kullanım kolaylığı ile güvenlik arasında dengeli bir yöntem belirlenir.
- Kayıt dönemi: Kullanıcılara cihazlarını tanımlamaları için süre ve kısa bir kılavuz verilir.
- Kurtarma süreci: Telefonunu kaybeden kullanıcının nasıl doğrulanıp yeni cihaz tanımlayacağı önceden yazılır. Bu süreç zayıf olursa saldırganlar MFA yerine yardım masasını hedef alır.
- Eski protokollerin kapatılması: MFA desteklemeyen eski e-posta erişim yöntemleri (örneğin temel kimlik doğrulamayla çalışan IMAP ve POP bağlantıları) açık kalırsa saldırganlar MFA’yı bu yoldan atlayabilir. E-posta tarafındaki yapılandırma için Kurumsal E-Posta ve Exchange Çözümleri yazımıza bakabilirsiniz.
- Acil durum hesabı: Kimlik sistemine erişim kaybedildiğinde kullanılmak üzere, güvenli yerde saklanan ve kullanımı izlenen bir acil durum yönetici hesabı tanımlanır.
MFA’yı Atlatmaya Yönelik Saldırılar
MFA güçlü bir koruma sağlar, ancak saldırganlar da yöntemlerini buna göre geliştirmiştir. Bu saldırıları bilmek, doğru önlemi seçmeyi kolaylaştırır.
- Onay bombardımanı: Parolayı ele geçiren saldırgan, kullanıcı yanlışlıkla onaylayana kadar bildirim gönderir. Numara eşleştirme ve kullanıcı eğitimi bu riski azaltır.
- Araya giren sahte sayfalar: Gerçek giriş sayfasını aracı olarak kullanan sahte siteler, kullanıcı kodu girdiğinde oturum bilgisini çalar. Bu tür saldırılarda en etkili koruma FIDO2 tabanlı yöntemlerdir. Saldırının e-posta tarafını Oltalama Saldırıları ve Çalışan Farkındalığı yazımızda ele aldık.
- SIM kartı ele geçirme: Operatörü kandırarak kullanıcının numarasını başka bir karta taşıyan saldırgan, SMS kodlarını alır. Kritik hesaplarda SMS’ten vazgeçilmesi bu yüzden önerilir.
Kurum genelinde MFA planlaması ve uzaktan erişim noktalarının korunması için Firewall ve Güvenlik Yönetimi hizmet sayfamızı inceleyebilirsiniz.
GelecekINT olarak kurumunuzun tüm sistemlerinde çok faktörlü kimlik doğrulamayı planlıyor ve devreye alıyoruz. Hesap güvenliğinizi bir üst seviyeye taşımak için WhatsApp üzerinden bize yazın veya teklif formunu doldurun.
