Çok faktörlü doğrulama

Açılış

Saat on biri kırk geçiyordu. Mali müşavirlik bürosunun kıdemli çalışanı televizyon karşısında uyuklarken telefonuna bir kısa mesaj düştü: büronun e-posta hizmetinden altı haneli bir giriş kodu. Kendisi hiçbir yere girmeye çalışmıyordu. İki dakika sonra ikinci bir kod geldi.

Ertesi sabah mesajları teknisyene gösterdi. Teknisyen e-posta hesabının giriş kayıtlarını açtı: gece yarısına doğru, yurt dışındaki bir adresten iki giriş denemesi yapılmıştı. İkisinde de parola doğru girilmişti. İkisi de kod adımında durmuştu.

Kıdemli çalışan önce rahatladı, sonra asıl anlamı kavradı: parolası artık başkasının elindeydi. Kod onu korumuştu, ama gelen kodun kendisi de bir haberdi. Teknisyen e-posta parolasını hemen değiştirtti, parolanın başka nerede kullanıldığına baktı ve büronun geri kalan hesaplarında ikinci adımın açık olup olmadığını kontrol etmeye girişti. Bu ders o ikinci adımın neyi durdurduğunu, neyi durduramadığını ve beklenmedik bir kodun ne söylediğini anlatıyor.

Tek fikir

Çok faktörlü doğrulama, saldırganın tek bir şeyi çalmasını yetersiz kılar: parolayı bilse bile ikinci, farklı türden bir kanıta da sahip olması gerekir. Bu, parolanın düştüğü her durumu durdurmaz, ama en sık düştüğü durumların çoğunu durdurur.

Nasıl çalışır

Modülün açılışındaki üç ders parolanın kendisiyle uğraştı. Ama Parola neden zayıflar dersinde gördüğümüz gibi en güçlü parola bile bir sızıntıyla, sahte bir sayfayla ya da tuş vuruşlarını kaydeden bir programla ele geçirilebilir. Parola tek başına kaldığında, onu ele geçiren herkes sen olur. Çözüm, girişte senden farklı türden bir kanıt daha istemektir.

Neden farklı tür? Çünkü farklı türler farklı yollardan çalınır. Bir parola, binlerce kilometre öteden, bir veritabanı sızıntısıyla ya da bir oltalama sayfasıyla ele geçirilebilir; saldırganın senin yanında olması gerekmez. Ama senin cebindeki telefonu ya da anahtarlığındaki donanım anahtarını aynı anda ele geçirmek çok daha zordur. Kıdemli çalışanın parolası uzaklardan biri tarafından biliniyordu; telefonu ise onun yanındaydı.

Ölçülmüş etkisi büyüktür.

Ama çok faktörlü doğrulama her kapıyı kapatmaz. Üç sınırını bilmek gerekir.

Birinci sınır, saldırganın senden ikinci faktörü de istemesidir. Sahte bir giriş sayfası parolayı aldıktan sonra kodu da isteyebilir ve sen yazdığında onu anında gerçek siteye iletebilir. Bu, faktör türleri arasındaki güç farkının konusu ve bir sonraki dersin merkezidir.

İkinci sınır, saldırganın senin onayını istemesidir. Telefona gelen "giriş yapmaya mı çalışıyorsun?" bildirimine tek dokunuşla onay verilebilen düzenlerde, parolayı bilen saldırgan bildirimleri arka arkaya tetikleyebilir.

Üçüncü sınır, girişten sonrasıdır. Çerezler ve oturumlar dersinde Kaan'ın gördüğü gibi, giriş tamamlandıktan sonra tarayıcıda tutulan oturum çerezi ele geçirilirse saldırgan çok faktörlü doğrulamayı hiç görmeden hesaba girebilir. İkinci faktör kapıyı korur; içeride açık bırakılan oturumu korumaz.

Sahada

Savunma

Çok faktörlü doğrulamanın savunmadaki işi sade bir cümleyle özetlenebilir: çalınmış bir parolayı kullanılamaz hâle getirmek. Bunun için birkaç alışkanlık gerekir.

Önce açmak. En önemli hesaplardan başla: e-posta, parola yöneticisi, banka, telefon operatörü hesabı ve iş hesabı. E-posta ilk sıradadır, çünkü öteki hesapların sıfırlama bağlantıları oraya gelir; parola yöneticisi ikinci sıradadır, çünkü bütün parolalar oradadır.

Sonra beklenmeyen bir doğrulama isteğini doğru okumak. Senin başlatmadığın bir kod mesajı ya da onay bildirimi, kıdemli çalışanın o gece öğrendiği gibi, parolanın başkasının elinde olduğunu söyler. Doğru tepki üç adımdır: isteği onaylama, kodu kimseyle paylaşma ve parolayı hemen değiştir. Hiçbir banka, operatör ya da destek ekibi seni arayıp telefonuna gelen kodu istemez; isteyen biri varsa, o kodun koruduğu kapıyı açmaya çalışıyordur.

Sonra yorgunluğa karşı ayar. Hizmet izin veriyorsa, tek dokunuşla onay yerine ekranda gösterilen sayının yazıldığı ya da bildirimde girişin yerinin ve cihazının gösterildiği düzeni seç. Kurumlarda bu ayarı yöneticiler yapar; Gülay Hanım'ın önerdiği değişiklik bunun içindi.

Sonra bütün kapıları görmek. Selin'in bulduğu gibi, çok faktörlü doğrulama açık bir hesabın bile onu sormayan eski bir giriş yolu olabilir. Hesabın güvenlik ayarlarında bağlı uygulamalar ve uygulama parolaları listesine bakmak, kullanılmayanları kaldırmak bu kapıları kapatır.

Son olarak kaybı planlamak. İkinci faktörünü taşıyan cihaz kaybolursa hesabına dönebilmen gerekir; yedek kodlar ve kurtarma yolları bunun içindir. Ama kurtarma yolu, saldırganın da kullanabileceği bir kapıdır; onu da korumak gerekir.

Uygulama

En önemli hesaplarında çok faktörlü doğrulamanın açık olup olmadığını kontrol edecek, açık olmayanlarda açacak ve yedek kodlarını güvenli bir yere koyacaksın.

Bu işin tamamı beş hesap için bir akşamı alır ve bir kez yapılır.

Defter: Hesap listene ikinci adımın yöntemini ve yedek kodların yerini gösteren iki yeni alan. Acil durum sayfasına bir satır: başlatmadığım bir kod ya da onay gelirse onaylama, kimseyle paylaşma, o hesabın parolasını hemen değiştir. Telefon kaybolursa hangi hesaplara yedek kodla girileceği.

Hata köşesi

Etik ve sınırlar

İkinci faktör, kimliğin kanıtıdır ve başkasıyla paylaşılmaz. Annenin, ev arkadaşının ya da masa komşunun hesabı için kendi telefonuna gelen bir kodu ona iletmek ya da onun yerine bir bildirimi onaylamak, başkasının senin kimliğinle ya da senin onun kimliğiyle giriş yapması demektir; birlikte karar verilmiş ve izin verilmiş bir düzen değilse yapılmaz. Kurumlar, çalışanların kişisel telefonlarına doğrulama uygulaması kurulmasını isteyebilir; bunun bir politikaya ve çalışanın onayına dayanması, istemeyen için kurumun sağladığı bir donanım anahtarı gibi bir seçeneğin olması gerekir. Telefonuna gelen kodu "doğrulama için" isteyen bir arayan ise, yetkisi ne olduğunu söylerse söylesin, o kodun koruduğu hesaba yetkisiz girmeye çalışıyordur.

Kapanış

1. Kimlik doğrulama faktörleri üç türdür: bilgi, sahiplik ve beden, yani parola, cihaz ve biyometri; çok faktörlü doğrulama en az iki farklı türden kanıt ister, çünkü farklı türler farklı yollardan çalınır.
2. Ölçülmüş etkisi büyüktür ve sızmış parolaların çoğunu kullanılamaz kılar; ama sahte sayfanın kodu da istemesi, onay yorgunluğu, girişten sonra çalınan oturum ve onu sormayan eski giriş yolları onun sınırlarıdır.
3. Başlatmadığın bir kod ya da onay, parolanın başkasının elinde olduğunu gösterir: onaylama, paylaşma, parolayı değiştir; ikinci adımı en önemli hesaplarda aç ve yedek kodları kilitli bir yerde sakla.

Üç soru

1. Kıdemli çalışana gece gelen iki kod neyi gösteriyordu ve neden parolanın değiştirilmesi gerekti?
2. Depo sorumlusu neden bir bildirimi onayladı ve Gülay Hanım bu yolu zorlaştırmak için ne önerdi?
3. Selin'in yönetim panelinde çok faktörlü doğrulama zorunlu olduğu hâlde neden bir açık vardı?

Yanıtlar

1. Kodlar, birinin e-posta hesabına doğru parolayla giriş yapmaya çalıştığını ve ikinci adımda durduğunu gösteriyordu. İkinci adım girişi engellemişti, ama parola artık saldırganın elindeydi; değiştirilmezse parolanın kullanıldığı başka hesaplar ya da ikinci adımı atlatan bir yol tehlikedeydi.
2. Saldırgan parolayı biliyordu ve telefona otuz dakikada kırktan fazla onay bildirimi gönderdi; sorumlu bildirimlerin durması için birini onayladı. Bu, doğrulama yorgunluğudur. Gülay Hanım tek dokunuşla onay yerine, giriş ekranında gösterilen sayının telefona yazılması gereken düzeni önerdi; böylece girişi başlatmayan biri onaylayamaz.
3. Eski bir raporlama aracının bağlandığı ayrı bir giriş yolu yalnız kullanıcı adı ve parola soruyordu. Çok faktörlü doğrulama yalnız onu soran kapıyı korur; parolayı bilen biri bu yan kapıdan ikinci adım olmadan girebilirdi. Selin yolu kapattı ve bütün giriş kapılarını listeledi.

Sonraki derse köprü

İkinci adımı açmak ilk karardı; ikincisi hangi yöntemle açılacağı. Kıdemli çalışanın aldığı kısa mesaj, Kaan'ın gördüğü onay bildirimi ve Selin'in ekibinin donanım anahtarları aynı işi görmüyor; özellikle sahte bir sayfanın kodu da istediği durumda aralarındaki fark büyüyor. Ders 6.5 kısa mesaj, uygulama ve donanım anahtarını yan yana koyuyor: güç sıralarını ve oltalamaya dayanıklılığın ne demek olduğunu.