Parolasız Kimlik Doğrulama: WebAuthn ve FIDO2

FIDO2, W3C Web Kimlik Doğrulama belirtimi (WebAuthn) ile FIDO Alliance'ın İstemciden Doğrulayıcıya Protokol 2'sinin (CTAP2) birleşimini ifade eden şemsiye terimdir. Bu ikisi birlikte, güvenen tarafın kaynağına bağlı açık anahtarlı kriptografi kullanan eksiksiz bir parolasız kimlik doğrulama sistemi tanımlar.

FIDO2, iki doğrulayıcı kategorisini destekler. Platform doğrulayıcıları cihazın içine yerleşiktir: Apple cihazlarında Touch ID ve Face ID, Windows'ta Windows Hello. Dolaşım doğrulayıcıları harici donanım belirteçleridir: YubiKey, Google Titan Key ve Feitian anahtarları. Tümü açık anahtarlı kriptografi kullanır ve tasdik beyanları oluşturur.

WebAuthn kaydı sırasında doğrulayıcı, güvenen taraf için yeni bir asimetrik anahtar çifti oluşturur. Açık anahtar sunucuya gönderilir ve saklanır. Özel anahtar doğrulayıcıdan hiçbir zaman ayrılmaz. Bir tasdik beyanı, doğrulayıcının türünü ve anahtarın doğrulayıcı donanımının içinde oluşturulduğunu kanıtlar.

WebAuthn kimlik doğrulaması sırasında sunucu istemciye bir sınama gönderir. Doğrulayıcı, saklanan özel anahtarı kullanarak sınamayı güvenen taraf ID'si ve istemci verileriyle birlikte imzalar. Sunucu, imzayı saklanan açık anahtarla doğrular. Hiçbir noktada paylaşılan bir gizli bilgi iletilmez.

WebAuthn doğrulama bildirimindeki güvenen taraf ID'si, isteği yapan sayfanın kaynağına (etki alanına) kriptografik olarak bağlanır. Bir doğrulayıcı, kayıt sırasında kullanılan kaynaktan farklı bir kaynak için doğrulama bildirimi imzalamayı reddeder. Bu, WebAuthn'ı tasarımı gereği kimlik avına dayanıklı kılar: Sahte bir kimlik avı sitesi kimlik doğrulamayı tamamlayamaz.

Keşfedilebilir kimlik bilgileri (önceden yerleşik anahtarlar olarak adlandırılır), doğrulayıcının kendisinde saklanır ve güvenen taraf ID'sine göre dizinlenir. Bu, gerçek parolasız akışları mümkün kılar: Kullanıcı doğrulayıcısını sunar, cihazda saklanan kimlik bilgilerinden hesabını seçer ve kullanıcı adı veya parola girmeden kimlik doğrulaması yapar.

WebAuthn, kullanıcı doğrulaması (UV) ile kullanıcı varlığı (UP) arasında ayrım yapar. Kullanıcı varlığı, kullanıcının doğrulayıcıya dokunmasını veya hafifçe vurmasını gerektirir. Kullanıcı doğrulaması ise ek olarak bir PIN ya da biyometrik denetim gerektirir ve belirli kişinin orada olduğunu kanıtlar. Yüksek güvenlik gerektiren uygulamalar, kimlik doğrulama için UV gerektirmelidir.

CTAP2, istemci (tarayıcı veya OS) ile USB, NFC ya da BLE üzerinden bağlanan harici dolaşım doğrulayıcısı arasındaki protokolü tanımlar. Kimlik bilgisi oluşturma, doğrulama bildirimi üretme ve doğrulayıcı yönetimi için kullanılan komutları belirtir. CTAP2.1, kimlik bilgisi yönetimi ve her zaman UV politikaları gibi özellikler ekler.

Geçiş anahtarları, platform sağlayıcısının şifrelenmiş bulutu aracılığıyla kullanıcının cihazları arasında eşitlenen keşfedilebilir WebAuthn kimlik bilgileridir (Apple için iCloud Anahtar Zinciri, Google Password Manager ve Windows Hello for Business). Geçiş anahtarları, cihazlar arası kullanılabilirlikle parolasız kimlik doğrulaması sağlar ve güvenliği kullanıcıların parolalardan beklediği kolaylıkla birleştirir.

Tipik bir geçiş anahtarı kimlik doğrulama akışı şöyledir: Kullanıcı bir web sitesini ziyaret eder ve "Geçiş anahtarıyla oturum aç" seçeneğine tıklar. Tarayıcı, site için kullanılabilir geçiş anahtarlarını gösterir. Kullanıcı biyometriyle (Face ID, Touch ID veya Windows Hello) kimlik doğrulaması yapar. Tarayıcı sınamayı imzalar ve doğrulama bildirimini gönderir. Tüm akış, parola girilmeden birkaç saniye içinde tamamlanır.

Geleneksel parolalar: kimlik avına açıktır, yeniden kullanılabilir ve veritabanı ihlallerinden sonra kırılabilir. OTP kodları (TOTP): gerçek zamanlı kimlik avına açıktır. SMS kodları: SIM değişimine ve kimlik avına açıktır. WebAuthn/geçiş anahtarları: kaynağa bağlama sayesinde kimlik avına dayanıklıdır; çalınabilecek sunucu tarafı gizli bilgisi yoktur, her site için benzersizdir ve özel anahtarlar donanımla korunur. WebAuthn, bugün kullanıma sunulmuş en güçlü yaygın kimlik doğrulama mekanizmasıdır.

WebAuthn'ın, parolaların veya TOTP kodlarının aksine, onu kimlik avı saldırılarına temelden dayanıklı kılan özelliği nedir?

FIDO2, kimlik avına dayanıklı parolasız kimlik doğrulaması sağlamak için WebAuthn'ı (W3C) ve CTAP2'yi (FIDO Alliance) birleştirir. Platform doğrulayıcıları (Touch ID, Face ID) ve dolaşım doğrulayıcıları (YubiKey), güvenen tarafın kaynağına bağlı açık anahtarlı kriptografi kullanır. Geçiş anahtarları bunu cihazlar arası eşitlemeyle genişletir. WebAuthn, günümüzde yaygın olarak kullanılabilen en güçlü kimlik doğrulama güvenliğini sağlar.