Çok Faktörlü Kimlik Doğrulama

Çok Faktörlü Kimlik Doğrulama (MFA), kullanıcıların farklı kategorilerden iki veya daha fazla bağımsız faktör kullanarak kimliklerini kanıtlamasını gerektirir. Bir faktör ele geçirilse bile (ör. çalınmış parola), hesap korunmaya devam eder.

Kimlik doğrulama faktörleri:

• Bildiğiniz bir şey — parola, PIN, güvenlik sorusu
• Sahip olduğunuz bir şey — telefon, donanım belirteci, akıllı kart
• Olduğunuz bir şey — parmak izi, yüz, ses (biyometri)

Gerçek MFA en az iki farklı kategori kullanır — iki parola değil.

TOTP, paylaşılan bir gizli anahtarı ve geçerli zamanı kullanarak her 30 saniyede değişen 6 haneli bir kod üretir (RFC 6238). Uygulamalar: Google Authenticator, Authy, Microsoft Authenticator.

TOTP, yeniden oynatma saldırılarına karşı güvenlidir ancak gerçek zamanlı kimlik avına karşı savunmasızdır.

SMS tabanlı OTP kullanışlıdır ancak önemli zayıflıkları vardır:

• SIM kart değiştirme — saldırgan, operatörü sosyal mühendislikle kandırarak kurbanın numarasını aktarır
• SS7 saldırıları — devlet destekli aktörlerin SMS'leri telekomünikasyon düzeyinde ele geçirmesi
• Gerçek zamanlı kimlik avı — saldırgan OTP'yi kurbandan hedef siteye anında aktarır

SMS OTP hiç MFA kullanmamaktan iyidir ancak en zayıf biçimdir.

Donanım güvenlik anahtarları (YubiKey, Google Titan) açık anahtarlı kriptografi kullanır. Cihaz, belirli web sitesine bağlı bir sorguyu imzalar; bu da anahtarları kimlik avına dayanıklı hâle getirir — sahte sitelerde çalışmazlar.

Bu, MFA'nın altın standardıdır.

Kimlik doğrulama uygulaması bir anlık bildirim gönderir: "New York'tan giriş onaylansın mı?" Kullanıcı onayla veya reddet seçeneğine dokunur. Kullanışlıdır ancak MFA yorgunluğu saldırılarına karşı savunmasızdır — saldırganlar, yorgun bir kullanıcı yanlışlıkla onaylayana kadar onay isteklerini yağdırır.

Anlık bildirim bombardımanı olarak da adlandırılır: saldırgan parolayı ele geçirir ve kullanıcının hayal kırıklığı veya kafa karışıklığı nedeniyle isteklerden birini onaylamasını umarak onlarca MFA anlık bildirimi gönderir. Karşı önlem: anlık bildirimde sayı eşleştirmesi isteyin (kullanıcı, giriş ekranında gösterilen bir kodu girmelidir).

Geçiş anahtarları (FIDO2/WebAuthn), kimlik avına dayanıklı tek bir kimlik bilgisi oluşturmak için "sahip olduğunuz bir şeyi" (cihaz anahtarı) "olduğunuz bir şeyle" (biyometrik kilit açma) birleştirir. Parola gerekmez. Büyük platformlar tarafından desteklenir.

Modern kimlik platformları koşullu erişimi destekler: risk göstergeleri bunu gerektirdiğinde MFA isteyin (tanınmayan konum, yeni cihaz, hassas kaynak). Ek doğrulama, güvenliği korurken kullanıcı deneyimini iyileştirir.

Saldırganlar MFA'yı şu yollarla atlar:

• Gerçek zamanlı kimlik avı (AiTM) — vekil sunucu, MFA sonrasında oturum çerezini ele geçirir
• SIM kart değiştirme — SMS kodlarını ele geçirir
• MFA yorgunluğu — anlık bildirimleri spam olarak gönderir
• Destek masasına sosyal mühendislik uygulama — destek talebi üzerinden MFA'yı devre dışı bırakır

MFA uygularken:

• Varsayılan olarak tüm kullanıcılar için MFA zorunluluğu getirin
• Birden fazla MFA seçeneği sunun ancak donanım anahtarlarıyla TOTP'yi kullanılabilir kılın
• Kullanıcıları MFA yorgunluğu konusunda eğitin — bir girişi kendileri başlatmadıysa anlık bildirimi reddetmelidirler
• Kimlik doğrulama günlüklerinde MFA atlama örüntülerini izleyin

Kimlik doğrulamayı belirli bir web sitesine kriptografik olarak bağladığı için hangi MFA yöntemi kimlik avına dayanıklıdır?

MFA, farklı kategorilerden iki faktör gerektirir (bildiğiniz/sahip olduğunuz/olduğunuz). TOTP uygulamaları iyidir; donanım anahtarları (FIDO2) en iyisidir — kimlik avına dayanıklıdır. SMS OTP en zayıf seçenektir — SIM kart değiştirmeye karşı savunmasızdır. MFA yorgunluğu saldırıları anlık bildirimleri spam olarak gönderir; sayı eşleştirme bunu azaltır. Geçiş anahtarları, donanım ile biyometriyi tek ve sorunsuz bir kimlik bilgisinde birleştirir.