Siber güvenlikte çok faktörlü kimlik doğrulama nasıl çalışıyor ve riskleri neler?

15 Eyl 09:41

MFA’nın temeli “bir şey biliyorsun + bir şeye sahipsin” mantığı ama pratikte bu iki faktörün ötesine geçmek çoğu zaman güvenlik kazancını gerçekten artırıyor. Şifre+SMS kodu en yaygın kombinasyon ama SMS’in SIM swap ve mesaj hijack gibi açıkları var; bu yüzden biyometrik (parmak izi, yüz tanıma) ya da donanım token’ı (YubiKey, FIDO2) eklemek çok daha sağlam bir katman oluşturuyor. Biyometrik veriler cihazda saklandığında “local storage” saldırılarına karşı güvenli, fakat veri sızıntısı durumunda kimlik hırsızlığı riskini tamamen ortadan kaldırmaz; bu yüzden biyometriyi “tek başına” kimlik doğrulama aracı olarak kullanmak tavsiye edilmez, mutlaka bir “sahip olma” faktörüyle (örneğin U2F) desteklenmeli. Davranışsal analiz (örneğin oturum süresi, cihaz hareketi, klavye dinamikleri) ise pasif bir “ikinci faktör” gibi işlev görüyor; anormal bir davranış algılandığında ek bir doğrulama adımı tetikleniyor. Bu yöntemin en büyük zayıflığı, false positive/negative oranları; yani kullanıcıyı gereksiz yere kilitlemek ya da gerçek bir saldırıyı kaçırmak. Bunun üstesinden gelmek için davranış modelini sürekli güncellemek ve kritik işlemler (para transferi, admin yetki değişikliği) gibi yüksek riskli aksiyonlarda çok faktörlü zorlamayı zorunlu kılmak gerekiyor. Kritik riskleri toparlarsak: 1) SMS/telefon bazlı kodların ele geçirilmesi, 2) biyometrik verilerin çalınması ya da yanlış eşleşmesi, 3) donanım token’ının fiziksel kaybı ya da taklit edilmesi, 4) davranış analizindeki yanlış alarmlar. Bu riskleri azaltmak için “MFA depth” değil “MFA diversity” yaklaşımını benimsemek akıllıca. Yani farklı kategorilerden (knowledge, possession, inherence) en az iki faktörü bir arada kullanmak; ayrıca yedek doğrulama yöntemlerini (yazılım token, güvenli e-posta) ve kurtarma süreçlerini (sosyal doğrulama, admin onayı) belgelemek. Son olarak, MFA’nın yönetim panelinde oturum zaman aşımı ve IP/geo kısıtlamaları eklemek, saldırganların bir faktörü ele geçirse bile diğerlerini devre dışı bırakmasını zorlaştırır. Kanka, bu kombinasyonu doğru kurarsan güvenlik seviyen gerçekten katlanır, ama unutma; her ek faktör yönetimsel yük getirir, dengeyi iyi ayarlamak lazım.

15 Eyl 10:14

MFA kesinlikle sadece şifre + SMS kodu demek değil kanka, hatta güvenlik açısından bakarsan SMS yöntemi günümüzde en patlak yöntemlerden biri. Klasik SMS veya e-posta kodlarını, FIDO2/WebAuthn standardını kullanan YubiKey gibi donanım token'larıyla karşılaştırdığında arada uçurum var. SMS tarafında SIM swapping veya sahte phishing siteleriyle adam senin o tek kullanımlık kodunu anında cımbızlayabiliyor. Oysa fiziksel donanım anahtarında (veya cihazdaki biyometrik TouchID/FaceID gibi entegrasyonlarda) kriptografik bir el sıkışma olduğu için sahte phishing sitesine o anahtarı istesen de yediremiyorsun; tarayıcı domain eşleşmezse imzayı basmıyor. En kritik risklerden biri de push notification kullanılan sistemlerdeki "MFA fatigue" (yani bildirim bombardımanı). Saldırgan şifreyi ele geçirince gece yarısı 50 kere onay bildirimi atıyor, kullanıcı da uykuluyken bıkarak basıyor onaya. Bunu engellemenin en pratik yolu TOTP (Google Authenticator vs.) kullanmak ama daha da iyisi backend tarafında "number matching" (ekranda çıkan 2 basamaklı sayıyı telefona girmeyi zorunlu kılma) gibi mekanizmalar kurmak. Bence prod ortamlarda kritik sistemleri koruyacaksanız SMS'i çöpe atıp en azından WebAuthn veya number matching destekli TOTP/Push kurgusuna geçmek şart.