Geçiş anahtarı

Açılış

Duru, hesabının ele geçirildiği alışveriş sitesine yeniden girdiğinde ekranın üstünde bir öneri gördü: "Bir dahaki sefere parolasız girin, geçiş anahtarı oluşturun." Bir düğmeye bastı, telefonu parmak izini istedi, Duru parmağını okuyucuya koydu. İşlem iki saniye sürdü. Ertesi gün siteye girerken parola alanı hiç gelmedi; telefon yine parmak izini istedi ve kapı açıldı.

Akşam Ece'ye anlatırken bir şey içini rahatsız ediyordu. "Parmak izim o siteye mi gitti şimdi?" Haftalar önce parolası sızdığı için bu hesabı kaybetmişti. Parmak izi sızarsa onu değiştiremezdi.

Ece başını iki yana salladı ama hemen cevap vermedi; önce Duru'ya başka bir soru sordu: "O site şimdi senin hakkında ne biliyor, hiç düşündün mü?" Cevap, geçiş anahtarının nasıl çalıştığında saklıydı: sitenin elinde ne parmak izi vardı ne de bir parola. Bu ders parolasız girişin mekanizmasını, neden oltalamaya ve sızıntılara dayanıklı olduğunu ve parolalardan bu yeni düzene geçerken nelere dikkat etmek gerektiğini anlatıyor.

Tek fikir

Geçiş anahtarı, parolanın yerine, gizli yarısı cihazdan çıkmayan ve yalnız kendi sitesine imza atan bir anahtar çifti koyar. Site paylaşılacak bir sır saklamadığı için sızdıracak bir şeyi yoktur; ama anahtarların eşitlendiği hesap, yeni ve korunması gereken kapı olur.

Nasıl çalışır

Önceki derste Gülay Hanım'ın donanım anahtarının sahte sayfaya imza vermediğini gördük. Geçiş anahtarı aynı mekanizmayı ayrı bir anahtarlık cihazından alıp telefonun, bilgisayarın ya da parola yöneticisinin içine taşır.

Mekanizmayı iki aşamada görmek kolaydır. Kayıt aşamasında Duru'nun telefonu yalnız o alışveriş sitesi için yeni bir anahtar çifti üretti. Gizli yarısı telefonda kaldı; açık yarısı siteye gönderildi ve site onu Duru'nun hesabına bağladı. Giriş aşamasında site telefona, her seferinde farklı bir soru gönderdi; telefon Duru'dan parmak izini istedi ve soruyu gizli anahtarla imzaladı; site imzayı elindeki açık anahtarla doğruladı. Parmak izi bu süreçte telefondan hiç çıkmadı: yalnız telefona "imzalamaya izin ver" demek için kullanıldı. Duru'nun sorusunun cevabı buydu.

Bu düzen geçen derste konuştuğumuz iki zayıflığı birden kapatır. Birincisi oltalamadır.

İkincisi sızıntıdır. Parola neden zayıflar dersinde, bir sitenin veritabanı sızdığında parolaların ya da onlardan türetilen değerlerin dışarı çıktığını görmüştük. Geçiş anahtarı kullanan bir sitenin veritabanı sızarsa dışarı çıkan şey açık anahtarlardır; açık anahtar, adından da anlaşıldığı gibi, gizli değildir ve onunla imza atılamaz. Kimlik bilgisi doldurmanın deneyeceği bir şey de yoktur, çünkü her siteye ayrı bir anahtar çifti düşer.

Peki Duru telefonunu kaybederse? Burada geçiş anahtarlarının iki türü ayrılır.

Eşitleme büyük bir kolaylıktır ama bir bedeli vardır: gizli anahtar artık tek bir cihazda kapalı değildir, dışa aktarılabilir ve kopyalanabilir bir değerdir. Parola kurallarını dayandırdığımız Amerikan standartlar rehberi bu yüzden eşitlenen doğrulayıcıları ayrı bir ekte ele alır ve gizli anahtarın dışa aktarılabilir olması gerektiği için onları en yüksek güvence düzeyinde kullanılamaz sayar. Gündelik hesaplar için eşitlenen geçiş anahtarı, parolaya göre büyük bir ilerlemedir; ama artık bütün anahtarlar, eşitlemenin yapıldığı bulut hesabının güvenliğine bağlıdır.

Sahada

Savunma

Geçiş anahtarına geçmek bir güvenlik kazancıdır, ama geçiş sürecinin kendi tuzakları vardır.

Birinci tuzak, eski kapının açık kalmasıdır. Selin'in müşterisinin başına gelen budur: geçiş anahtarı en güçlü kapıdır, ama hesapta parola ve zayıf bir sıfırlama yolu hâlâ duruyorsa saldırgan oradan girer. Bir hesaba geçiş anahtarı ekledikten sonra parolanın hâlâ gerekli olup olmadığına bak; hizmet izin veriyorsa kaldır, vermiyorsa en azından parolanın yöneticinin ürettiği, başka hiçbir hesapta geçmeyen bir dizi olmasını sağla.

İkinci tuzak, eşitleme hesabının korumasız kalmasıdır. Eşitlenen geçiş anahtarları bir bulut hesabında durur; o hesabı ele geçiren, bütün anahtarlara ulaşabilir. Bu hesap, parola yöneticisi dersinde ana parola için söylediklerimizin aynısını hak eder: başka hiçbir yerde geçmeyen uzun bir parola, güçlü bir ikinci adım ve güvenli bir kurtarma yolu.

Üçüncü tuzak, cihazın kilidinin zayıf olmasıdır. Geçiş anahtarını açan şey cihazın kilididir. Kilidi bilinen ortak bir cihaz ya da tahmin edilebilir bir açılış kodu, Nilüfer Hanım'ın tabletindeki gibi, anahtarı da paylaşır.

Dördüncü tuzak, hepsinin aynı anda kaybolmasıdır. Tek bir telefona bağlı ve eşitlenmeyen geçiş anahtarları, telefon kaybolunca gider. Ya eşitlenen anahtar kullan, ya da önemli hesaplara ikinci bir cihazda ya da bir donanım anahtarında ikinci bir geçiş anahtarı ekle; yedek kodlarını da yerinde tut.

Kurumlar için kural, hesabın değerine göre tür seçmektir: en yüksek yetkili hesaplar için cihaza bağlı anahtarlar, geniş kullanıcı kitlesi için eşitlenen anahtarlar.

Uygulama

En önemli hesaplarından hangilerinin geçiş anahtarını desteklediğini bulacak, destekleyenlerden birine kendi cihazında bir geçiş anahtarı ekleyecek ve anahtarların eşitlendiği hesabın korumasını kontrol edeceksin.

Bir hesapta geçiş anahtarı bulamazsan bu bir eksiklik değil; destek her hizmette aynı hızda gelmiyor.

Defter: Hesap listesinde yeni bir alan: geçiş anahtarı var mı ve nerede saklanıyor. Eşitleme hesabının adı ve ikinci adım yöntemi. Ortak cihazlarda geçiş anahtarı tutulmayacağı kuralı.

Hata köşesi

Etik ve sınırlar

Bir cihaza başka birinin parmak izini ya da yüzünü eklemek, o kişiye cihazdaki bütün geçiş anahtarlarını kullanma yetkisi vermektir. Aile içinde bile bu, ne verildiğinin bilinerek ve açıkça onaylanarak yapılmalıdır; Nilüfer Hanım'ın tabletinde olduğu gibi kilidi birkaç kişinin bildiği bir cihaz, kimsenin kişisel hesabına anahtar olmamalıdır. İş hesaplarının geçiş anahtarlarını kişisel bulut hesabına eşitlemek de kurumun izni olmadan yapılmaz; kurum, kendi hesaplarının anahtarlarının hangi hesaplarda durduğunu bilmek zorundadır. Bir başkasının cihazında, onun kilidini bildiğin için onun hesabına girmek ise, teknik olarak bir parola yazmamış olsan bile, yetkisiz bir giriştir.

Kapanış

1. Geçiş anahtarı, gizli yarısı cihazda kalan ve açık yarısı siteye verilen bir anahtar çiftidir; giriş, cihazın kilidiyle onaylanan bir imzadır ve biyometrik bilgi cihazdan çıkmaz.
2. Anahtar bağlı tarafın alan adına bağlı olduğu için sahte sayfaya imza vermez ve site yalnız açık anahtar sakladığı için sızıntıda çalınacak bir sır yoktur.
3. Eşitlenen anahtarlar kolaylık getirir ama gücü eşitleme hesabına bağlıdır; geçişte eski parolalar ve zayıf sıfırlama yolları kapatılır, ortak cihazlara anahtar kaydedilmez ve en yüksek yetkili hesaplarda cihaza bağlı anahtar tercih edilir.

Üç soru

1. Duru'nun parmak izi alışveriş sitesine gitti mi ve site onun hakkında ne saklıyor?
2. Selin'in müşterisinin hesabı geçiş anahtarına rağmen nasıl ele geçirildi ve ekip ne değiştirdi?
3. Bora neden yönetici hesaplarında eşitlenen geçiş anahtarları yerine cihaza bağlı anahtarları seçti?

Yanıtlar

1. Gitmedi. Parmak izi yalnız telefonun gizli anahtarla imza atmasına izin vermek için kullanıldı ve telefondan çıkmadı. Site yalnız kayıt sırasında aldığı açık anahtarı saklıyor ve her girişte telefonun imzasını onunla doğruluyor; açık anahtar gizli değildir ve ondan ne parmak izi ne de imza atacak bir sır elde edilebilir.
2. Hesapta eski parola duruyordu ve parola sıfırlama yalnız kısa mesajla yapılabiliyordu; saldırgan geçiş anahtarını atlayıp bu zayıf yolu kullandı. Ekip, geçiş anahtarı olan hesaplarda sıfırlamanın tek başına kısa mesajla yapılamayacağı bir akış kurdu ve müşterilere parolalarını kaldırma seçeneği sundu.
3. Eşitlenen geçiş anahtarlarında gizli anahtar bir bulut hesabına kopyalanabilir ve gücü o hesabın korumasına bağlıdır; NIST bu yüzden onları en yüksek güvence düzeyinde kullanılamaz sayar. Hastanenin yönetici hesapları en yüksek güvenceyi gerektirdiği için Bora, gizli anahtarı donanım anahtarından hiç çıkmayan cihaza bağlı anahtarları sürdürdü.

Sonraki derse köprü

Bu modül boyunca kapıları birer birer güçlendirdik: hesap başına ayrı uzun parolalar, ikinci adım, oltalamaya dayanıklı anahtarlar. Ama her hesabın bir de "kapıyı kaybettim" düğmesi var ve Selin'in müşterisinin hikâyesi, saldırganın tam o düğmeyi seçebildiğini gösterdi. Ders 6.7 hesap kurtarmayı ele alıyor: yedek kodları, kurtarma e-postasını ve kurtarma yolunun neden çoğu zaman en zayıf halka olduğunu.