SMS, uygulama, donanım anahtarı

Açılış

Şirketin yıllık oltalama tatbikatının hazırlık toplantısıydı. Gülay Hanım, güvenlik ekibinin eğitim ortamında kurduğu iki test hesabını Kaan'a gösterdi; ikisi de yalnız bu tatbikat için açılmıştı ve yönetimin yazılı onayı dosyadaydı. Birinci hesapta ikinci adım olarak telefondaki bir uygulamanın ürettiği altı haneli kod kullanılıyordu.

Gülay Hanım test hesabıyla, ekibin kendi hazırladığı sahte giriş sayfasına parolasını ve ardından uygulamadaki kodu yazdı. Ekranın öbür yarısında, sahte sayfanın arkasındaki kayıtta parola ile kod belirdi ve birkaç saniye içinde gerçek sisteme iletilip oturum açıldı. Kod otuz saniye geçerliydi; bu süre fazlasıyla yetmişti.

Sonra ikinci test hesabına geçti. Bu hesapta ikinci adım, Gülay Hanım'ın anahtarlığındaki küçük bir donanım anahtarıydı. Aynı sahte sayfaya parolayı yazdı ve anahtara dokundu. Hiçbir şey olmadı: anahtar, karşısındaki sitenin adını tanımadı ve imza vermedi. Kaan bir süre ekrana baktı. İki yöntem de "ikinci adım"dı; biri sahte sayfaya teslim olmuş, diğeri olmamıştı. Bu ders aradaki farkın nereden geldiğini anlatıyor.

Tek fikir

İkinci faktörler aynı güçte değildir. Kısa mesaj ve kod üreten uygulamalar, çalınmış bir parolayı durdurur ama sahte bir sayfaya kodu da yazdıran bir kullanıcıyı korumaz; donanım anahtarı ise sitenin adını kendisi denetlediği için kullanıcının dikkatine güvenmeden korur.

Nasıl çalışır

Çok faktörlü doğrulama dersinde ikinci adımın bir parolayı tek başına yetersiz kıldığını gördük. Şimdi o ikinci adımın biçimlerini sırayla açalım. En yaygın üç biçim kısa mesajla gelen kod, telefondaki bir uygulamanın ürettiği kod ve donanım anahtarıdır; bunların arasında bir de telefona gelen onay bildirimi vardır.

İlk ikisi aynı fikre dayanır.

Kısa mesajla uygulama arasındaki fark, kodun nereden geldiğindedir. Uygulama kodu senin cebindeki cihazın içinde üretilir; dışarıdan yolda yakalanacak bir şey yoktur. Kısa mesaj ise telefon şebekesi üzerinden gelir ve şebekede telefon numarasının kendisi ele geçirilebilir.

NIST'in kimlik doğrulama rehberi, kısa mesaj ve sesli aramayla telefon şebekesi üzerinden gelen kodu bu yüzden "kısıtlı" ilan eder; rehberin şu anki sürümünde bu statüdeki tek yöntem odur. Kısıtlı, yasak demek değildir: daha zayıf olduğu kabul edilir ve kullanan kurumdan riski değerlendirmesi, kullanıcıya daha güçlü bir seçenek sunması ve kod göndermeden önce yakın zamanda SIM değişikliği ya da numara taşıma olup olmadığına bakması beklenir.

Ama uygulama kodu da, kısa mesaj kodu da, Gülay Hanım'ın gösterdiği gibi, aynı zayıflığı paylaşır: kod bir insan tarafından okunup yazılır. İnsan kodu hangi sayfaya yazdığını denetlemezse, sahte sayfa onu alır ve otuz saniye dolmadan gerçek siteye iletir. Kodun kısa ömrü onu bu aktarmadan korumaz. Onay bildirimleri de, kullanıcı girişi kendisinin başlattığını sandığı sürece, aynı yoldan aşılabilir.

Donanım anahtarı bunu bir şifreleme mekanizmasıyla sağlar. Anahtar, kaydedildiği her site için ayrı bir anahtar çifti üretir ve gizli yarısını kendi içinde tutar; o yarıyı hiç dışarı vermez. Giriş sırasında site anahtara bir soru gönderir, anahtar da cevabı imzalar. İmzanın içine tarayıcının bildirdiği sitenin adı da girer. Gülay Hanım'ın sahte sayfasının adı gerçek sitenin adı olmadığı için, anahtar o ad için kayıtlı bir anahtar bulamadı ve imza vermedi. Kullanıcının fark etmesi gerekmedi; anahtar fark etti.

Bu tabloyu bir güç sırası olarak okumak mümkündür: hiç ikinci adım olmaması en zayıfıdır; telefon şebekesi üzerinden gelen kod bir basamak yukarıdadır; uygulama kodu ve sayı eşleştirmeli onay bildirimi SIM değiştirmeye karşı korur; donanım anahtarı ve bir sonraki dersin konusu olan geçiş anahtarları oltalamaya karşı da korur. Ama sıranın en önemli satırı ilkidir: en zayıf ikinci adım bile hiç yoktan çok daha iyidir.

Sahada

Savunma

İkinci faktörü seçmek, hesabın değeriyle yöntemin gücünü eşleştirmektir.

Kullanıcı için ilk kural, her hesapta sunulan en güçlü yöntemi seçmektir. Hizmet donanım anahtarını ya da geçiş anahtarını destekliyorsa onu, desteklemiyorsa doğrulama uygulamasını, o da yoksa kısa mesajı kullan. Kısa mesaj kullanmak zorundaysan operatörüne, hattında numara taşıma ya da yeni SIM kart çıkarma işlemleri için ek bir doğrulama tanımlanıp tanımlanamayacağını sor ve telefonun beklenmedik biçimde şebekeden düştüğünde bunu bir alarm olarak oku.

İkinci kural, kod yazdığın sayfayı denetlemektir. Kod tabanlı yöntemlerde son savunma hattı yine sensin: kodu yalnız kendi başlattığın bir girişte, adresini kontrol ettiğin bir sayfaya yaz. Parola yöneticisinin o sayfada doldurmaması burada da bir uyarıdır; parola yöneticisi dersindeki Tolga'nın adres çubuğu sahnesini hatırla.

Üçüncü kural, donanım anahtarını iki tane almaktır. Tek anahtar kaybolursa hesap kilitlenir; yedeği evde kilitli bir yerde bekler ve her hesaba ikisi birden kaydedilir. Bora'nın kasadaki anahtarları bunun içindir.

Kurumlar için kural, en çok zarar verebilecek hesaplardan başlamaktır. Yöneticilerin, finans yetkililerinin ve uzaktan erişim hesaplarının oltalamaya dayanıklı bir yönteme geçmesi, bütçenin ilk kullanılacağı yerdir. Bir yöntemi zorunlu kılarken, daha zayıf bir yedek yolun açık kalıp kalmadığına da bakılır; zayıf yedek yol, güçlü yöntemin bütün değerini götürebilir. Bu, hesap kurtarma dersinin konusu olacak.

Uygulama

En önemli beş hesabında kullandığın ikinci adım yöntemini görecek ve her birini sunulan en güçlü yönteme yükselteceksin.

Beş hesabın hepsinde en güçlü yöntem aynı olmayacak; amaç her hesapta kendi en iyisine ulaşmak.

Defter: Hesap listesinde ikinci adım alanını yöntemin adıyla güncelle ve sunulan en güçlü yöntemi yanına yaz. Donanım anahtarların varsa kaç tane olduğu ve ikincisinin nerede durduğu. Operatörden öğrendiğin hat koruma seçeneği. Acil durum sayfasına: telefon birden şebekeden düşerse önce operatörü başka bir telefondan ara, sonra bankayı.

Hata köşesi

Etik ve sınırlar

Gülay Hanım'ın tatbikatı, yönetimin yazılı onayıyla, yalnız bu iş için açılmış test hesaplarında ve ekibin kendi eğitim ortamında yapıldı; gerçek bir çalışanın hesabı ya da gerçek bir dış site kullanılmadı. Kurumlarda oltalama tatbikatı ancak böyle bir yetkiyle ve kapsamı önceden yazılmış olarak yapılır; bir iş arkadaşını "denemek" için sahte bir sayfa hazırlamak, onun kimlik bilgilerini izinsiz toplamaktır. Bir başkasının telefon numarası üzerinde operatöre işlem yaptırmaya çalışmak ise, aile içinde bile, o kişinin kimliğine bürünmektir.

Kapanış

1. Kısa mesaj ve uygulama kodları tek kullanımlık parolalardır; uygulama kodu cihazda üretildiği için SIM değiştirmeye karşı korur, kısa mesaj ise telefon şebekesine bağlı olduğundan NIST tarafından kısıtlı sayılır.
2. Bir insanın okuyup yazdığı her kod, sahte bir sayfaya yazıldığında anında gerçek siteye iletilebilir; oltalamaya dayanıklı doğrulama, sitenin adını kullanıcının dikkatine bırakmadan araç kendisi denetlediği için bu aktarmayı engeller.
3. Her hesapta sunulan en güçlü yöntem seçilir, donanım anahtarı iki tane alınır, kurumlar en çok zarar verebilecek hesaplardan başlar ve en zayıf ikinci adım bile hiç yoktan iyidir.

Üç soru

1. Gülay Hanım'ın tatbikatında uygulama kodu neden sahte sayfaya karşı korumadı, donanım anahtarı neden korudu?
2. Kuyumcunun telefonu neden şebekeden düştü ve bu, kısa mesaj kodlarının hangi zayıflığını gösterir?
3. Bora neden donanım anahtarlarını yalnız dört kişilik ekibe verdi ve her birine neden iki anahtar düştü?

Yanıtlar

1. Uygulama kodu bir insan tarafından okunup yazılır; Gülay Hanım kodu sahte sayfaya yazdığında sayfa onu saniyeler içinde gerçek sisteme iletti ve otuz saniyelik ömür bu aktarmaya yetti. Donanım anahtarı ise imzasına tarayıcının bildirdiği sitenin adını katar; sahte sayfanın adı için kayıtlı bir anahtar bulamadığı için hiç imza vermedi.
2. Biri onun adına operatöre başvurup numarasını başka bir SIM karta taşıttı; bu, SIM değiştirmedir. Kısa mesaj kodları numaraya gönderildiği için, numarayı ele geçiren kişi kodları da alır. Uygulama kodları ve donanım anahtarları numaraya bağlı olmadığı için bu yoldan etkilenmez.
3. Bütçe sınırlıydı ve ele geçirildiğinde en büyük zarara yol açabilecek hesaplar, sunucuları ve kimlik sistemini yöneten ekibin hesaplarıydı; korumaya oradan başladı. İki anahtar, birinin kaybolması ya da bozulması durumunda hesabın kilitlenmemesi içindi; ikinci anahtar kasada duruyor.

Sonraki derse köprü

Donanım anahtarı oltalamaya dayanıklılığın nasıl mümkün olduğunu gösterdi: bir anahtar çifti, gizli yarısı cihazdan hiç çıkmayan ve sitenin adını kendisi denetleyen bir imza. Aynı mekanizma artık ayrı bir anahtarlık cihazına gerek kalmadan telefonların ve bilgisayarların içinde de çalışıyor ve parolanın yerini tamamen almaya aday. Ders 6.6 geçiş anahtarını ele alıyor: parolasız girişin mekanizmasını ve bu geçiş sürecinde nelere dikkat etmek gerektiğini.