Biyometri ve Belirteç Tabanlı Kimlik Doğrulama

Biyometrik kimlik doğrulama, kimliği benzersiz fiziksel veya davranışsal özelliklere — "olduğunuz bir şeye" — dayanarak doğrular. Parolaların aksine biyometrik veriler unutulamaz, kolayca paylaşılamaz veya kaybedilemez. Ancak ele geçirildiklerinde değiştirilemezler: yeni bir parmak izi edinemezsiniz. Biyometrik sistemler, kurulum sırasında kaydedilen bir şablona karşı biyolojik veya davranışsal bir özelliği ölçer ve karşılaştırır. Biyometrik sistemin kalitesi, hata oranları ve şablonların saklanma güvenliğiyle ölçülür. Biyometri, başka bir etkenle (örneğin parmak izi + PIN) birleştirildiğinde en güçlü hâline gelir.

Fizyolojik biyometri, vücudun fiziksel özelliklerine dayanır. Temel türler şunlardır: Parmak izi: düşük maliyeti ve kabul görmesi nedeniyle en yaygın kullanılan yöntemdir; telefonlarda, erişim kontrolünde ve sınır güvenliğinde kullanılır. Retina taraması: gözün arka bölümündeki kan damarı örüntülerini tarar — çok hassas ve taklit edilmesi zordur; ancak okuyucuyla yakın temas gerektirir. İris taraması: gözün renkli bölümündeki örüntüleri tarar — daha uzak mesafeden yapılabilir ve havaalanlarında kullanılır. Yüz tanıma: bir kameradan alınan yüz geometrisini analiz eder; giderek daha isabetli hâle gelmektedir, ancak aydınlatmadan, yaşlanmadan ve kılık değiştirmeden etkilenebilir. El geometrisi: elin şeklini ve parmak uzunluğunu ölçer.

Davranışsal biyometri, fiziksel özellikler yerine kişinin bir işi nasıl yaptığına ilişkin örüntüleri analiz eder. Örnekler şunlardır: Tuş vuruşu dinamikleri — yazma ritmini, hızını ve tuşlara basılı kalma süresini (her tuşun ne kadar süreyle basılı tutulduğunu) ölçer. Fare dinamikleri — fare kullanımının hızını, ivmesini ve hareket örüntülerini inceler. Ses tanıma — konuşma örüntülerini, perdeyi ve ritmi analiz eder (sesli komutlardan farklıdır). İmza dinamikleri — yalnızca şekli değil, el yazısıyla atılan imzanın basıncını, hızını ve ritmini inceler. Davranışsal biyometri, özellikle sürekli kimlik doğrulama için değerlidir — kimliği yalnızca oturum açarken değil, oturum boyunca doğrular.

İki hata oranı biyometrik sistem performansını tanımlar. Yanlış Kabul Oranı (FAR): sistemin bir sahtekârı yanlışlıkla meşru kullanıcı olarak kabul etme olasılığıdır — bu bir güvenlik riskidir. Yanlış Reddetme Oranı (FRR): sistemin meşru bir kullanıcıyı yanlışlıkla reddetme olasılığıdır — bu bir kullanılabilirlik sorunudur. Bu oranlar ters orantılıdır: hassasiyetin artırılması FAR'ı azaltır (daha az sahtekâr kabul edilir), ancak FRR'yi artırır (daha fazla meşru kullanıcı reddedilir). Kesişim Hata Oranı (CER) — FAR ile FRR'nin eşit olduğu nokta — biyometrik sistemlerin doğruluğunu karşılaştırmak için kullanılan tek sayıdır. Daha düşük CER = daha isabetli sistem.

Biyometrik sistemler saldırılara karşı bağışık değildir. Sahtecilik saldırıları, sensörü kandırmak için sahte bir biyometrik veri sunar: parmak izi sahteciliğinde gizli bir parmak izinin jelatin veya silikon kopyaları kullanılır; yüz tanıma, düşük kaliteli sistemlerde yüksek kaliteli 3B maskeler veya fotoğraflarla kandırılabilir. Şablon veritabanı saldırıları: saklanan biyometrik şablonlar çalınırsa parolalar gibi iptal edilemezler. Modern sistemler bunu şablon koruması (ham biyometrik veri yerine özetlenmiş veya dönüştürülmüş şablonları saklama) ve canlılık algılama (biyometrik verinin bir kopyadan değil, canlı bir kişiden geldiğini kanıtlama) yoluyla azaltır.

Donanım güvenlik anahtarları (YubiKey, Google Titan Anahtarı ve SoloKey gibi), kimlik avına dayanıklı kimlik doğrulama için FIDO2/WebAuthn standardını uygular. Anahtar, hiçbir zaman cihazdan ayrılmadan kriptografik işlemleri gerçekleştiren, donanım tarafından korunan bir özel anahtar içerir. Kimlik doğrulama sırasında web sitesinden gelen sorgulama, donanım anahtarının özel anahtarıyla imzalanır. İşlem belirli bir web sitesi kaynağına bağlı olduğundan, bir MITM kimlik avı sitesi kimlik doğrulamayı ele geçiremez veya aktaramaz. Donanım anahtarları, sertifikaya dayalı kimlik doğrulama gerektiren kurumsal ortamlarda PIV akıllı kartları olarak da kullanılabilir.

Akıllı kartlar, kriptografik anahtarları ve sertifikaları depolayan, içine mikroçip yerleştirilmiş kredi kartı boyutunda cihazlardır. PIV (Kişisel Kimlik Doğrulama) kartları, US federal hükümeti çalışanları için zorunlu kılınan akıllı kart standardıdır (FIPS 201). PIV kartları şunları içerir: kart sahibinin X.509 sertifikası, karttan hiçbir zaman ayrılmayan özel anahtarı, dijital fotoğrafı ve biyometrik verileri. Kimlik doğrulama için hem fiziksel kart ('sahip olduğunuz bir şey') hem de PIN ('bildiğiniz bir şey') gerekir; böylece iki faktörlü kimlik doğrulama sağlanır. Akıllı kartlar, temaslı veya temassız (NFC) okuyucular tarafından okunur.

Tek Kullanımlık Parolalar (OTP), yalnızca bir kez kullanılabilen kimlik doğrulama kodlarıdır. İki standart vardır. HOTP (RFC 4226): her kullanımda bir sayacı artıran, HMAC tabanlı OTP'dir. Kimlik doğrulayıcı ile sunucunun eşzamanlı kalması gerekir; kodlar üretilip kullanılmazsa aralarındaki eşzaman bozulabilir ve yeniden eşzamanlama gerekir. TOTP (RFC 6238): geçerli zamanı sayaç olarak kullanan ve her 30 saniyede bir değişen, zaman tabanlı OTP'dir. TOTP, zaman aracılığıyla kendiliğinden eşzamanlandığı için daha yaygındır; kimlik doğrulayıcı ile sunucunun yalnızca geçerli zaman üzerinde anlaşması gerekir (NTP yardımcı olur). Kullanılmayan TOTP kodlarının süresi basitçe dolar.

Anlık bildirimle kimlik doğrulama (Duo Security, Microsoft Authenticator ve Okta Verify tarafından kullanılır), bir oturum açma girişimi algılandığında kullanıcının akıllı telefonuna anlık bildirim gönderir. Kullanıcı, 6 haneli bir kod girmekten çok daha kolay bir şekilde isteği tek dokunuşla onaylar veya reddeder. Bazı uygulamalar, kullanıcının bilinçli bir karar verebilmesi için oturum açma bağlamını (IP adresi, konum, uygulama) görüntüler. Güvenlik zayıflığı şudur: MFA yorgunluğu saldırıları. Saldırganlar, kullanıcının yanlışlıkla bir isteği onaylamasını veya yalnızca bildirimleri durdurmak için onay vermesini umarak art arda çok sayıda anlık istek gönderir. Karşı önlemler arasında sayı eşleştirme (kullanıcının oturum açma sayfasında gösterilen bir kodu girmesi) ve anlık bildirime ek bağlam eklenmesi bulunur.

Uyarlanabilir kimlik doğrulama, gereken kimlik doğrulama gücünü bağlam sinyallerine göre ayarlar. Bir kullanıcı her zamanki cihazından, kurumsal ağda ve mesai saatleri içinde oturum açarsa risk düşüktür ve yalnızca parola yeterli olabilir. Aynı kullanıcı yeni bir cihazdan, bilinmeyen bir ülkede sabah 3'te oturum açarsa risk yüksektir ve daha güçlü kimlik doğrulama tetiklenir (MFA veya yönetici onayı gerekir). Bağlam sinyalleri şunları içerir: cihaz parmak izi (bilinen/bilinmeyen), IP konum bilgisi, günün saati, imkânsız seyahat (geçen sürede iki konum arasında seyahat edilmesi mümkün olmadığı hâlde bu konumlardan yapılan oturum açmalar) ve davranış kalıpları. Bu yaklaşım, düşük riskli oturum açmalarda MFA kaynaklı zorluğu azaltırken en önemli olduğu yerlere ek zorluk getirir.

Parolasız kimlik doğrulama, parolayı tamamen ortadan kaldırır ve bunun yerine kimlik avına dayanıklı faktörler kullanır. Yaygın yaklaşımlar şunlardır: biyometri (Windows Hello, Touch ID) veya donanım anahtarlarıyla FIDO2/WebAuthn; sihirli bağlantılar (kullanıcının e-postasına veya telefonuna gönderilen tek kullanımlık URL; e-posta erişimine güvenildiğinde etkilidir); ve geçiş anahtarları (Apple, Google ve Microsoft tarafından benimsenen FIDO Alliance standardı; özel anahtar cihazın güvenli bölümünde depolanır ve sağlayıcının hesabı aracılığıyla bulutla eşzamanlanır). Geçiş anahtarları kullanım kolaylığını kimlik avına dayanıklılıkla birleştirir ve parolaların halefi olarak hızla benimsenmektedir.

Bu derste işlenen CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: biyometrik kimlik doğrulama, fizyolojik (parmak izi, iris) veya davranışsal (tuş vuruşu, ses) özellikleri kullanır; FAR ve FRR, biyometrik sistem doğruluğunu CER'yi denge noktası olarak kullanarak ölçer; donanım güvenlik anahtarları (FIDO2/WebAuthn), kimlik avına dayanıklı belirteç tabanlı kimlik doğrulama sağlar; uyarlanabilir kimlik doğrulama ise bağlam riskine göre ek zorluğu ayarlar. Sıradaki derste Yetkilendirme Modelleri: RBAC, MAC ve DAC konusunu inceleyeceğiz.