Çevrimiçi hesaplarınıza giriş yaptığınızda, iddia ettiğiniz kişi olduğunuzu kimlik doğrulama ile kanıtlamış olursunuz. Bu genellikle kullanıcı adınızı ve şifrenizi girmek anlamına gelir. Bununla birlikte, bu yöntem güvenlik açısından çok güçlü değildir. Kullanıcı adınız, özellikle e-posta adresinizle aynı ise bilgisayar korsanlarının bunu keşfetmesi kolay olabilir.
Şifre seçimine gelince…
Şifreleri hatırlamak zor olabileceğinden, birçok kişi çok basit şifreler seçer veya birden fazla web sitesi için aynı şifreyi kullanır. Bu riskli olabilir, çünkü bilgisayar korsanları hesabınızın şifresini tahmin ederse veya öğrenirse diğer hesaplarınıza da girebilir. Bu sorunu çözmek için ek bir güvenlik katmanı sağlayan Multi-Factor Authentication (MFA) kullanabilirsiniz.
İlgili İçerik: İki Faktörlü ya da İki Adımlı Kimlik Doğrulama Nedir?
MFA (Multi Factor Authentication) Nedir?
Çok faktörlü kimlik doğrulama yani multi-factor authentication (MFA), kullanıcıların bir uygulamaya, VPN’e, hesaba vb. erişmek için parola dışında iki veya daha fazla farklı kimlik biçimi sağlamasını gerektiren çok adımlı bir hesap oturum açma işlemidir.
Daha basit bir ifadeyle, MFA iki veya daha fazla ayrı kimlik bilgisinin kullanılmasını içerir. Örneğin, bir kullanıcıdan hizmete veya platforma erişmek için parolanın yanı sıra bir OTP girmesi, bir güvenlik sorusunu yanıtlaması veya parmak izini taraması istenebilir. Birden fazla faktör kullanıldığında, bir kimlik bilgisi tehlikeye girse bile, bilgisayar korsanları sistemi başarıyla ihlal etmeden önce bir veya daha fazla engelle karşılaşır.
Çoğu MFA kimlik doğrulama yönteminde bu üç tür ekstra bilgi kullanılır:
- Bildiğiniz bir şey (örneğin, bir şifre veya PIN).
- Sahip olduğunuz bir şey (örneğin, bir akıllı telefon veya güvenlik belirteci).
- Olduğunuz bir şey (örneğin, parmak izi gibi biyometrik veriler)
Çok Faktörlü Kimlik Doğrulama Nasıl Çalışır?
Çok Faktörlü Kimlik Doğrulama (MFA) yapılandırılmış ve çok katmanlı bir doğrulama süreci aracılığıyla çalışır. Süreç temel olarak aşağıdaki aşamaları içerir:
- Kayıt Aşaması: Başlangıçta, bir kullanıcı hesabını bir kullanıcı adı ve şifre ile kurar. Daha sonra mobil cihaz, e-posta adresi veya bir kimlik doğrulama uygulamasından alınan kodlar gibi ek tanımlayıcıları alır. Bu tanımlayıcılar kullanıcı için benzersizdir.
- Kimlik Doğrulama Aşaması: MFA korumalı bir siteye giriş yaptıktan sonra kullanıcı önce kullanıcı adını ve şifresini verir. Parola doğrulanırsa, sistem kayıtlı bir MFA cihazından bir yanıt ister. Örneğin, kullanıcının mobil cihazına SMS veya bir donanım cihazı aracılığıyla sayısal bir kod gönderebilir.
- Tepki Aşaması: Kullanıcı, ikinci faktörü doğrulamak için alınan kodu girer veya donanım cihazıyla etkileşime girer. Sisteme erişim yalnızca tüm ayrıntılar doğrulandığında verilir.
Çok Faktörlü Kimlik Doğrulama Nasıl Uygulanabilir?
Çok faktörlü kimlik doğrulama çeşitli şekillerde uygulanabilir. Bunlar aşağıdaki şekildedir:
- İki Faktörlü Kimlik Doğrulama: Bu daha basit bir formdur, yalnızca parola ve bir ek kimlik biçimini içerir.
- Üçüncü Taraf Kimlik Doğrulayıcı Uygulamaları: Ayrı bir uygulama kullanıcının kimliğini doğrular. Kullanıcı uygulamaya bir parola girerek kullanıcının kimliğini sisteme onaylatır.
- Biyometrik Doğrulama: Biyometrik doğrulama, parmak izi veya retina taramaları gibi benzersiz biyolojik özelliklerin bir kimlik doğrulama biçimi olarak kullanılmasını içerir.
- Cihaz Tanıma: Bazı durumlarda, sistem yalnızca yeni bir cihazdan ilk girişte tam kimlik doğrulaması gerektirir. Cihaz tanındıktan sonra sonraki girişler yalnızca bir parola gerektirebilir.
Çok Faktörlü Kimlik Doğrulama Neden Gereklidir?
Çok faktörlü kimlik doğrulama, ekstra bir güvenlik katmanı sağladığı için çok önemlidir. Yalnızca parolalar gibi geleneksel tek faktörlü yöntemler, kaba kuvvet saldırıları, sözlük saldırıları vb. gibi siber saldırılara karşı daha savunmasızdır. MFA, bilgisayar korsanlarının sisteme veya platforma girmek için birden fazla güvenlik katmanını geçmesini gerektirir. Böylece yetkisiz erişim riskini büyük ölçüde azaltır.
MFA Süreci Ne İçin Kullanılır?
İşletmeler MFA’yı çeşitli nedenlerle kullanır. MFA uygulamasının üç temel amacı aşağıdakileri içerir:
1. Güvenlik
İş bilgilerinin ve işlemlerinin güvenliğini ve emniyetini artırmak, çok faktörlü kimlik doğrulamanın başlıca amacıdır. Teknolojik bir güvenlik sisteminin gücü, yazılıma dahil edilen katmanların veya faktörlerin sayısına bağlıdır. İki veya daha fazla kimlik doğrulama faktörü kullanan sistemler diğerlerinden daha güvenli kabul edilir.
2. Kullanılabilirlik
MFA ile çalışmak parola kullanımını ortadan kaldırma fırsatı sağlar. Ortalama bir kullanıcının 40’tan fazla mobil uygulaması vardır ve her hesap için karmaşık şifreleri hatırlamak çoğu kullanıcı için bir zorluktur. Parola yöneticileri bu noktada size yardımcı olabilir, ancak çoğu kullanıcı için parolalarını sıfırlamak, çevrimiçi hesaplara erişime gereksiz ve istenmeyen sürtünmeler ekleyen yaygın bir olaydır.
3. Uyumluluk
MFA, belirli sektör düzenlemelerine uymak için temel bir gereklilik olabilir. Ayrıca birçok ülkede, işletmelerin bazı koşullar altında çok faktörlü kimlik doğrulama kullanması gerektiğini belirtmektedir. İşletmelerin olası para cezalarından kaçınmak ve denetim bulgularını en aza indirmek için bu düzenlemelere uymaları gerekmektedir.
Çok Faktörlü Kimlik Doğrulamanın Avantajları Nelerdir?
Çok faktörlü kimlik doğrulamanın avantajlarından bazıları aşağıdaki şekildedir:
- Çok faktörlü kimlik doğrulama, kullanıcıların hesaplarına erişmek için iki veya daha fazla kimlik biçimi sağlamasını gerektirir, bu da farklı türdeki bilgisayar korsanlarının içeri girmesini çok daha zor hale getirir.
- MFA, siber suçluların şifrenizi çalmış olsalar bile hesaplarınıza erişmelerini önlemeye yardımcı olabilir.
- MFA, kullanıcılara kısa mesajlar, telefon aramaları, akıllı kartlar ve biyometri gibi bir dizi seçenek sunar.
- Sağlık ve finans gibi birçok sektör, endüstri yönetmeliklerine ve standartlarına uymak için çok faktörlü kimlik doğrulama gerektirir.
- Çevrimiçi hesaplarınızın çok faktörlü kimlik doğrulama ile korunduğunu bilmek size daha fazla huzur verebilir ve kimlik hırsızlığı ve finansal dolandırıcılık riskini azaltabilir.
Çok Faktörlü Kimlik Doğrulama Kullanmanın Dezavantajları
- Ek sürtüşme: İkinci faktörünüzü alacak cihaza veya sisteme erişiminiz yoksa ve kullanıcı erişimini doğrulamak için yedek kaynaklar ayarlamadıysanız, belirli bir uygulamaya veya sisteme erişim izni alamazsınız.
- Pahalı olabilir: Geleneksel olarak, bir işletme şirket içi donanım gerektiren ve mevcut kimlik çözümleriyle entegre olması gereken bir çözüm kullanıyorsa, çok faktörlü kimlik doğrulama oldukça pahalı olabilir.
- Zaman alıcıdır: Sisteminizde oturum açmak ve bir mobil cihaz ya da token kullanarak doğrulama yapmak için gereken süre zahmetli olabilir.
- Tutarsızlıklar: Çok faktörlü kimlik doğrulamayı tüm işletmede uygulamak zordur, çünkü bunu tam olarak uygulamak genellikle kullanıcılara bırakılır. BT yöneticileri, bir işletmenin çok faktörlü kimlik doğrulama kullanımına ilişkin her zaman bilgi sahibi olmayabilir.
Doğru şekilde uygulandığında, çok faktörlü kimlik doğrulamanın uygulanması, son kullanıcıya fazla yük getirmeden BT güvenliğine önemli ölçüde fayda sağlayabilir.
Uyarlanabilir Çok Faktörlü Kimlik Doğrulama Nedir?
Uyarlanabilir Çok Faktörlü Kimlik Doğrulama yani Adaptive Multi-Factor Authentication, bir kullanıcının oturum açma girişiminin bağlamına göre kimlik doğrulama sürecini değiştiren bir güvenlik yöntemidir. Riski değerlendirmek ve gereken doğrulama düzeyine karar vermek için kullanıcının konumu, cihazı ve oturum açma zamanı gibi gerçek zamanlı verileri kullanır.
Örneğin, normal iş saatleri içinde her zamanki konumunda tanınan bir cihazdan giriş yapan bir kullanıcı basit bir kimlik doğrulama süreciyle karşılaşabilir. Ancak, aynı kullanıcı farklı bir ülkeden veya gece geç saatlerde oturum açmaya çalışırsa, uyarlanabilir MFA muhtemelen ek doğrulama adımları gerektirerek güvenlik önlemlerini artıracaktır.
Uyarlanabilir MFA’nın Temel Özellikleri
- Bağlamsal Analiz: Kullanıcı konumu, kullanılan cihaz ve erişim zamanı gibi erişim taleplerinin bağlamını değerlendirir.
- Risk Tabanlı Kimlik Doğrulama: Algılanan risk seviyesine göre kimlik doğrulama gücünü uyarlar.
- Kullanıcı Kolaylığı: Düşük riskli durumlarda kimlik doğrulama adımlarını azaltarak güvenliği kullanıcı deneyimi ile dengeler.
MFA ve İki Faktörlü Kimlik Doğrulama Arasındaki Fark Nedir?
Çok faktörlü kimlik doğrulama (MFA) ve iki faktörlü kimlik doğrulama (2FA), kullanıcı hesaplarını yetkisiz erişime karşı koruyan güvenlik önlemleridir. MFA ve iki faktörlü kimlik doğrulama arasındaki temel fark, kimlik doğrulama faktörlerinin sayısında yatmaktadır.
2FA iki kimlik doğrulama yönteminin kullanılmasını gerektirirken (örneğin, şifre + OTP), MFA kimlik doğrulama için ikiden fazla faktör kullanarak bir adım daha ileri gider. Örneğin, MFA bir kullanıcının güvenli bir sisteme veya uygulamaya erişmek için bir parola, parmak izi taraması ve bir güvenlik belirteci sağlamasını gerektirebilir.
Not: Tüm 2FA sistemleri MFA’nın bir alt kümesidir, ancak tüm MFA sistemleri iki faktörle sınırlı değildir.
| Multi-Factor Authentication | Two-Factor Authentication |
| Kullanıcının kimliğini doğrulamak için birden fazla faktör kullanır. | Kullanıcının kimliğini doğrulamak için iki faktör kullanır. |
| Kullanıcının bildiği bir şey, kullanıcının sahip olduğu bir şey ve kullanıcının doğasında olan bir şeyin birleşimi. | Kullanıcının bildiği bir şey, kullanıcının sahip olduğu bir şey ve kullanıcının doğasında olan bir şey arasından seçilen iki faktör gerektirir. |
| Sadece kullanıcı adı ve parola kullanımına kıyasla, her bir ekstra faktörle ek koruma sağlayarak hileli girişlere karşı daha yüksek koruma sunar. | Sadece kullanıcı adı ve parola kullanımına kıyasla hileli girişlere karşı daha yüksek koruma sağlar. |
İlgili İçerik: 2FA ve MFA Arasındaki Fark Nedir?
MFA ve SSO
Single sign-on (SSO) yani çoklu oturum açma, kullanıcıların tek bir oturum açma kimlik bilgisi seti kullanarak birden fazla ilgili uygulama ve hizmete erişmesine olanak tanıyan bir kimlik doğrulama yöntemidir. Bir kullanıcı bir kez oturum açtığında, SSO çözümü kullanıcının kimliğini doğrular ve bir oturum kimlik doğrulama belirteci oluşturur. Bu belirteç, birden fazla uygulama veya veri tabanı için tek bir güvenlik anahtarı olarak kullanılır.
Birden fazla uygulama için tek bir oturum açma kimlik bilgisi setine güvenme riskini azaltmak için işletmeler genellikle SSO için uyarlanabilir kimlik doğrulama gerektirir. Bu, SSO senaryolarına uyarlamalı kimlik doğrulama özelliklerini uygular. Bir kullanıcı SSO aracılığıyla oturum açmaya çalışırsa veya bir SSO kimlik doğrulama oturumu sırasında olağandışı davranışlar sergilerse, ek bir kimlik doğrulama faktörü sağlaması istenir. Anormal davranış örnekleri arasında tanınmayan bir VPN üzerinden bağlanmak veya kullanıcının oturum kimlik doğrulama belirtecinin desteklemediği ek uygulamalara veya verilere erişmek sayılabilir.
Sıfır güven ağ güvenlik mimarisinde, bir kullanıcının kimliğine asla güvenilmez ve kimlik doğrulama için uyarlanabilir SSO ve MFA’nın bir kombinasyonu kullanılarak her zaman doğrulanır. Uyarlanabilir SSO ve MFA, oturumlar boyunca kullanıcı kimliğini sürekli olarak doğrulayarak ve ek bir risk tabanlı kimlik doğrulama faktörü gerektirerek kullanıcı deneyiminden ödün vermeden erişim yönetimini iyileştirir.
Yapay Zeka ve Diğer Teknolojiler Çok Faktörlü Kimlik Doğrulamayı Nasıl Geliştiriyor?
Yapay Zeka (AI), biyometri ve davranışsal analitik gibi diğer teknolojiler, MFA sistemlerinin güvenliğini önemli ölçüde artırmıştır. Yapay zeka algoritmaları, kullanıcı davranışlarındaki kalıpları analiz ederek ve anormallikleri belirleyerek dolandırıcılık faaliyetlerinin tespit edilmesine yardımcı olabilir.
Parmak izi ve yüz tanıma gibi biyometrik kimlik doğrulama, kopyalanması veya taklit edilmesi zor olduğu için ek bir güvenlik katmanı sağlar.
Davranışsal analitik, konum, cihaz ve günün saati gibi faktörlere dayalı olarak oturum açma girişiminin riskini değerlendirmeye yardımcı olarak daha güvenli ve kullanıcı dostu bir kimlik doğrulama süreci sağlayabilir.
Bu teknolojiler MFA sistemlerini geliştirerek kullanıcı hesaplarını ve hassas verileri korumada daha güvenilir ve etkili hale getirir.
Çok Faktörlü Kimlik Doğrulama Ne Tür Saldırıları Önler?
MFA, bir dizi siber dolandırıcılık saldırısını önlemeye yardımcı olur ve aşağıdakilere karşı koruma sağlayabilir:
- Hesap ele geçirme
- Kaba kuvvet ve ters kaba kuvvet saldırıları
- Kimlik bilgisi doldurma
- Yasadışı oturum açma ile etkinleştirilen kart dolandırıcılığı
- Ortadaki adam (MitM) saldırıları
- Çalıntı hesapları kullanarak kara para aklama planları
Elbette çok faktörlü kimlik doğrulama, şirketleri bir kullanıcının hesabının ele geçirilmesiyle başlayan tüm siber saldırılardan da koruyabilir.
MFA Siber Güvenliği Nasıl Güçlendirir?
MFA ile kullanıcı kimlikleri, farklı bir cihazdan her oturum açtıklarında kontrol edilir. Bu, parola gibi bir yetkilendirme kontrolünün bir e-posta hesabına veya bir kullanıcıyla ilişkili bir akıllı telefona gönderildiği anlamına gelir. Erişim izni verilmeden önce parola girilmelidir. Evden çalışan ve potansiyel olarak farklı cihazlar kullanan daha fazla insanla birlikte, MFA bir bilgisayar korsanının erişim kazanmamasını sağlayabilir.
MFA ayrıca bot saldırılarını da engelleyebilir. Botlar kodlara müdahale edemez ve MFA istemlerini atlamak için yapılan manuel girişimler başarısız olmuştur. Yalnızca son derece karmaşık teknikler veya kaba kuvvet saldırıları MFA ile etkinleştirilen hesapları tehlikeye atma potansiyeline sahiptir. Bir bilgisayar korsanının erişim sağlamak için ikinci bir faktöre ihtiyacı olduğundan, çalınan bir parola veya PIN MFA ile işe yaramaz hale getirilebilir.
Bir MFA Çözümü Nasıl Seçilir?
Çok veya iki faktörlü kimlik doğrulama (sırasıyla MFA ve 2FA) çözümleri, verileri yetkisiz kullanıcılardan korumak için tasarlanmıştır. Ancak, tüm çözümler eşit yaratılmamıştır. Şirketiniz için en iyi MFA sağlayıcısını ararken, şirketinizin aşağıdaki gibi ihtiyaçlarını göz önünde bulundurmanız gerekir:
- Çalışanlarınız veya müşterileriniz için çok faktörlü kimlik doğrulama çözümleri mi arıyorsunuz?
- Hangi uç noktaları ve hesapları korumak istiyorsunuz?
- Ne kadar güvenliğe ihtiyacınız var?
- Kısa ve uzun vadede kaç kullanıcıyı kapsamak istiyorsunuz?
- Karşılanması gereken herhangi bir uyumluluk gereksiniminiz var mı?
Çok faktörlü kimlik doğrulamanın şirketiniz için nasıl çalışmasını istediğinize dair net bir vizyona sahip olmanız önemlidir. Bu, sizin için en uygun tedarikçilerin listesini daraltmanıza yardımcı olacaktır.
Dikkate almak isteyebileceğiniz ek sorular ise aşağıdakileri içerir:
- Tek seferlik parola oluşturmak için hangi seçenekler sunuluyor?
- Bir kullanıcı kilitlenirse, telefonunu kaybederse vb. ne gibi acil durum planları mevcut?
- Kullanıcı erişimi üzerinde kimin kontrolü var?
- Erişim ne kadar hızlı iptal edilebilir (işe alım, satıcılar, müşteriler vb. için)?
- Belirteçlerin süresi ne sıklıkla dolar veya yeniden satın alınması gerekir?
İki faktörlü kimlik doğrulama çözümleri işletmenizin güvenliğini artırmak için tasarlanmış olsa da, ekibinizin geri kalanının da aynı fikirde olması için kullanıcı deneyimini göz önünde bulundurmak da önemlidir.