Çok faktörlü doğrulama, hesap güvenliğinde atılabilecek en etkili adımlardan biri olarak kabul edilir. Ancak her doğrulama yöntemi aynı seviyede koruma sağlamaz. Telefona gelen tek kullanımlık bir kod ya da doğrulama uygulamasında üretilen altı haneli bir sayı, parolanın tek başına kullanılmasına göre çok daha güvenlidir; yine de iyi hazırlanmış bir oltalama sayfası karşısında bu kodlar da ele geçirilebilir. Kullanıcı sahte sayfaya parolasını yazdığında, aynı sayfa ondan kodu da ister ve saldırgan bu kodu gerçek sisteme anında aktarabilir.
Kimlik avına dayanıklı (phishing-resistant) doğrulama yöntemleri tam olarak bu senaryoyu hedef alır. Bu yazıda passkey ve donanım güvenlik anahtarlarının nasıl çalıştığını, kod tabanlı yöntemlerden farkını ve bir sigorta acentesinde bu yöntemlere nasıl kademeli geçilebileceğini anlatıyoruz.
Kod tabanlı doğrulamanın kör noktası
SMS kodu, e-posta kodu ve doğrulama uygulaması kodlarının ortak özelliği, kullanıcının bir değeri okuyup bir forma yazmasıdır. Form gerçek siteye mi yoksa birebir kopyalanmış bir sahte siteye mi ait, kod bunu bilmez. Bu nedenle bu yöntemler parola hırsızlığını büyük ölçüde zorlaştırsa da gerçek zamanlı aracılık yapan oltalama saldırılarına karşı tam koruma sağlamaz.
Sigorta acenteleri bu tür saldırılar için cazip hedeflerdir. Sigorta şirketi, yazılım sağlayıcısı ya da bir kamu kurumu görünümündeki e-postalar, "oturumunuzun süresi doldu" ya da "poliçe belgeniz hazır" gibi gündelik iş akışına benzeyen mesajlarla çalışanı sahte giriş sayfasına yönlendirebilir.
Kimlik avına dayanıklı yöntemler nasıl çalışır?
Passkey ve donanım anahtarları, açık anahtarlı şifreleme temelli standartlara dayanır. Kayıt sırasında cihazda bir anahtar çifti oluşturulur; gizli anahtar cihazdan hiç çıkmaz, sunucuya yalnızca açık anahtar iletilir. Giriş sırasında sunucu bir doğrulama isteği gönderir ve cihaz bu isteği gizli anahtarla imzalar.
Belirleyici nokta şudur: İmza, isteğin geldiği alan adına bağlıdır. Kullanıcı sahte bir siteye yönlendirilmiş olsa bile cihaz o alan adı için kayıtlı bir anahtar bulamaz ve imza üretmez. Kullanıcının dikkatsizliği bile saldırının başarılı olması için yeterli değildir; çünkü ortada kopyalanıp başka yere yapıştırılabilecek bir kod yoktur.
Passkey
Passkey, telefonun veya bilgisayarın yerleşik güvenlik bileşeninde saklanan ve parmak izi, yüz tanıma ya da cihaz PIN'i ile açılan bir kimlik bilgisidir. Kullanıcı için deneyim oldukça sadedir: Giriş ekranında cihazın kilidini açmak yeterlidir. Bazı platformlarda passkey'ler kullanıcının hesabına bağlı olarak cihazlar arasında eşitlenebilir; bu da kullanım kolaylığı sağlarken eşitleme hesabının güvenliğini de önemli hale getirir.
Donanım güvenlik anahtarı
USB, NFC veya Bluetooth ile bağlanan küçük fiziksel cihazlardır. Gizli anahtar bu donanımın içinde kalır ve dışarı aktarılamaz. Fiziksel bir nesne olduğu için kaybedilebilir; bu nedenle genellikle her kullanıcı için bir yedek anahtar kaydedilmesi önerilir. Yönetici ve geniş yetkili hesaplar için en güçlü seçeneklerden biri olarak değerlendirilir.
Yöntemleri yan yana düşünmek
- SMS kodu: Kurulumu kolaydır, ancak hem oltalamaya hem de hat devralma gibi operatör kaynaklı risklere açıktır.
- Doğrulama uygulaması: SMS'e göre daha güçlüdür, çevrimdışı çalışır; gerçek zamanlı oltalamaya karşı ise sınırlı koruma sağlar.
- Onay bildirimi: Kullanımı rahattır; fakat art arda gönderilen onay istekleriyle kullanıcıyı yorma saldırılarına açık olabilir.
- Passkey: Alan adına bağlı olduğu için oltalamaya dayanıklıdır, kullanıcı deneyimi akıcıdır.
- Donanım anahtarı: Oltalamaya dayanıklıdır ve gizli anahtar fiziksel cihazdan çıkmaz; dağıtım ve yedekleme planlaması gerektirir.
Acentede kademeli geçiş planı
Tüm ekibi bir gecede yeni bir yönteme taşımak hem destek yükü hem de iş kesintisi riski yaratır. Risk seviyesine göre kademeli bir geçiş daha sağlıklıdır:
- Yetki sahiplerinden başlayın: Kullanıcı ekleyebilen, rol değiştirebilen ve şube ayarlarına erişebilen hesaplar ilk aşamada donanım anahtarı veya passkey'e geçirilir.
- Toplu veri erişimi olanları ekleyin: Raporlama ve dışa aktarma yetkisi bulunan kullanıcılar ikinci aşamayı oluşturur.
- Saha ekibine passkey önerin: Telefonla çalışan temsilciler için passkey, ek bir cihaz taşımadan güçlü koruma sağlar.
- Zayıf yöntemleri daraltın: Geçiş tamamlanan kullanıcılar için SMS kodu yalnızca kurtarma senaryolarında kullanılacak şekilde sınırlanabilir.
Kurtarma süreci de en az giriş kadar güçlü olmalı
Güçlü bir giriş yöntemi, zayıf bir kurtarma süreciyle birlikte kullanıldığında saldırgan doğrudan kurtarma yolunu dener. "Anahtarımı kaybettim" diyen birinin yalnızca bir e-posta ile yeni yöntem kaydedebilmesi, tüm yatırımı boşa çıkarabilir. Kurtarma talepleri yöneticinin kimlik teyidini gerektiren, kayıt altına alınan ve kullanıcının diğer cihazlarına bildirim gönderen bir akışla yürütülmelidir.
Ortak cihazlar ve şube bilgisayarları
Bazı şubelerde aynı bilgisayar vardiyalı olarak birden fazla çalışan tarafından kullanılır. Bu durumda cihaza bağlı passkey yerine kişiye ait donanım anahtarı daha uygun bir seçenek olabilir; çünkü kimlik bilgisi bilgisayarda değil, çalışanın yanında taşıdığı anahtarda durur. Ortak cihazlarda tarayıcının parolaları ve oturumları hatırlama özelliğinin kapalı tutulması, kullanıcı değişiminde oturumun mutlaka kapatılması ve ekran kilidinin kısa sürede devreye girmesi de bu yöntemi tamamlayan alışkanlıklardır. Böylece güçlü doğrulama, paylaşılan bir masada bile kişiye özgü kalır.
Çalışanlara anlatırken
Yeni bir doğrulama yöntemi teknik bir zorunluluk gibi sunulduğunda direnç görebilir. Passkey'in çoğu zaman parola yazmaktan daha hızlı olduğunu, telefon kilidini açmak kadar tanıdık bir hareket gerektirdiğini göstermek benimsemeyi kolaylaştırır. Kısa bir uygulamalı gösterim, uzun yazılı yönergelerden daha etkilidir.
- Kayıt işlemini birlikte, ofiste ve birkaç dakikalık oturumlarla yapın.
- Her kullanıcının en az iki yöntem kaydettiğini kontrol edin.
- Kayıp veya cihaz değişikliği durumunda kime başvurulacağını netleştirin.
Yazılım sağlayıcınıza sorabilecekleriniz
Kullandığınız ya da değerlendirdiğiniz acente yazılımı için şu sorular yol gösterici olabilir: Hangi doğrulama yöntemleri destekleniyor? Yöneticiler belirli roller için güçlü yöntemleri zorunlu tutabiliyor mu? Kurtarma süreci nasıl işliyor ve kayıt altına alınıyor mu? Mobil uygulama girişleri de aynı politikaya tabi mi?
Parolasız geleceğe hazırlık
Kimlik avına dayanıklı yöntemler, oltalama saldırılarının en etkili halkasını, yani kullanıcının bir değeri yanlış yere yazmasını devre dışı bırakır. Acentenizde kimlik doğrulama politikasını gözden geçirirken nereden başlamanız gerektiğini konuşmak için demo talebi oluşturabilirsiniz.