Çok faktörlü kimlik doğrulama, internet dünyasında var olan güvenlik tehdidi nedeniyle son zamanlarda çok tercih edilen bir güvenlik yöntemidir. Veri güvenliğini korumak adına çok faktörlü kimlik doğrulama oldukça etkilidir. Yazının devamından bu doğrulamayla alakalı daha fazla bilgiye ulaşabilirsiniz.
Çok Faktörlü Kimlik Doğrulama (MFA) Nedir?
MFA yani çok faktörlü kimlik doğrulama, VPN ya da çevrimiçi hesaplar gibi kaynaklara erişim elde etmek için birden fazla doğrulama faktörü gerektiren bir kimlik doğrulama yöntemidir. Güçlü kimlik erişim yönetiminin temel bileşeni bu kimlik doğrulamadır. Siber saldırı olasılığını en aza indirgemek için yalnızca kullanıcı adı ya da parola kullanmak yerine ek bir doğrulama faktörü istenmesine dayanan bir kimlik doğrulama yöntemidir.
MFA ve İki Faktörlü Kimlik Doğrulama Arasındaki Farklar
İki faktörlü kimlik doğrulama 2FA olarak da bilinir. MFA ile 2FA genellikle birbirinin yerine kullanılsa da temelde 2FA MFA’nın bir alt kümesidir. 2FA için gerekli olan faktörler iki ile sınırlıyken, MFA’da bu sayı ikinin üzerine çıkabilir. Aralarındaki en temel fark budur.
Çok Faktörlü Kimlik Doğrulama Neden Önemlidir?
Çok faktörlü kimlik doğrulamanın sağladığı en temel avantaj güvenlik riskini azaltmasıdır. Bu kimlik doğrulamasının kullanılmadığı durumlarda çalınan kimlik bilgileri dolandırıcılık amaçlı veya mahremiyeti ihlal için kullanılabilir. Bu doğrulama ile hesap saldırılarının %99,9’u engellenebilir ve böylece siber suçluların sistemden uzak durulması başarıyla sağlanır.
Diğer bir avantajı da kullanım kolaylığı sağlamasıdır. Sadece kullanıcı adı ve parola kullanılan kimlik doğrulama yöntemleri yetersizdir ve güvenilir değildir. Kullanıcılar birden fazla hesabı hatırlama ve yönetme konusunda sorun yaşayabileceğinden genellikle tüm hesapları için karmaşık olmayan aynı şifreyi kullanmayı tercih ederler. Bunun aksine bu kimlik doğrulaması, çok katmanlı bir savunma sistemi geliştirdiğinden hedefe ulaşmayı zorlaştırır. MFA ile bu süreci yönetmek daha kolaydır ve kullanıcılara çevrimdışı erişim seçeneği de sunar.
Nasıl Çalışır?
Geleneksel kimlik doğrulamada kullanıcıdan bir kullanıcı adı ve parola istenir. MFA’da buna ek olarak kullanıcıya birden çok kimlik doğrulama seçeneği sunulur. Çekirdek Kimlik Sağlayıcı ya da dizin hizmetleri platformu tarafından kimlik bilgileri doğrulanır. Kullanıcının kullanıcı adı ve parolanın yanı sıra ikinci doğrulama yöntemini de başarıyla geçmesi halinde kaynağa erişilebilir. MFA sistemlerinde oturum açma denemelerinin her biri için birbirinden farklı tek kullanımlık parolalar üretilir. Böylelikle parolanın doğru girilmesi durumunda güvenlikten başarıyla geçilmiş olur.
Çok Faktörlü Kimlik Doğrulama Türleri
Çok faktörlü kimlik doğrulamasının uygulanmasında bir dizi farklı kontrol vardır. Bu var olan liste sürekli olarak büyür. Bu kimlik doğrulamasında en yaygın kullanılan türler aşağıdaki gibidir:
1. SMS
Genellikle tüketiciler ve toplumun geneli için uygulaması daha kolay olan bir kontrol yoludur. Bu mesaj genellikle bir PIN numarası içerir. Kullanıcı adı ve parola doğrulamasından sonra SMS’te belirtilen tek kullanımlık şifre kullanılarak doğrulama işlemi tamamlanır. Müşteriler hizmetlere erişmek için genellikle mobil cihazlar kullanıyorlarsa, tüketici memnuniyetini ve işlerini kolaylaştırmak adına bu veya farklı bir mobil cihaz tabanlı kimlik doğrulama yöntemi de sunulabilir.
2. E-posta
Bu yöntemi SMS yönteminden ayıran tek fark, kodun e-posta yoluyla iletilmesidir. Telefonlar her zaman kullanıcıların yanında olamayacağı gibi bir ihtimal de söz konusu olduğundan bu yöntem etkili olabilir. Buna ek olarak kullanıcının mobil cihazının kaybolması ya da çalınması durumunda bir yedekleme işlevi de görebilir. E-posta alabilen herhangi bir uygulamadan tek seferlik şifreye erişmek mümkündür.
3. Yazılım
Mobil cihazda bir kimlik doğrulama uygulaması kullanarak cihazı belirteç haline getirmek mümkün. Böylelikle bir donanım belirteciyle hemen hemen aynı seviyede güvenlik elde edilebilir. Kullanıcılara üçüncü taraf bir çözüm sunarak MFA’ya yönelmeleri sağlanabilir. Böylelikle genel güvenlik artmış olacaktır.
4. Telefon
SMS yoluyla kullanıcıya gönderilen her biri birbirinden farklı tek kullanımlık şifreler, genellikle kimlik doğrulamanın en yaygın yollarından biri olarak kullanılır. Buna ek olarak bir diğer seçenek ise otomatik telefon görüşmeleridir.
5. Biyometrik
Parmak izi veya yüz tanıma gibi biyometrik kimlik doğrulaması olan cihaz ya da telefon kullanıcıları, MFA için başka bir alternatif olarak bu kontrol yolunu tercih edebilirler. Biyometrik kimlik doğrulaması, tek kullanımlık şifre kullanımından daha az zahmetli olduğundan kullanıcıların daha çok tercih ettiği bir yöntemdir.
Çok Faktörlü Kimlik Doğrulama Ne Kadar Güvenli?
MFA kurulumu için aşağıda belirtilen birkaç güvenlik adımının izlendiğinden emin olunması gerekir:
- İlk kez oturum açan yeni kullanıcıların MFA’yı kuramayacak olmaları gerekir. Siber suçlunun geçerli bir parolaya sahip olması durumunda hesap çalınabilir ve MFA’yı kendi seçtikleri bir numaraya kurabilir.
- Otomatik telefon aramaları yöntemi ile yapılan kontrollerde, kullanıcının hesabında oturum açılmaya çalıştığından haberdar olması gerekir. Bunun için kullanıcıya bilgilendirici SMS’ler gönderilmelidir.
- Kullanıcılar seçtikleri MFA yöntemi hakkında bilgilendirilmelidirler. Böylelikle bir sorun olduğunda ne yapacaklarını ve kime danışabileceklerini biliyor olacaklar.
- Yüksek risk sahibi ve yüksek değerli kullanıcılar daha az güvenli olan sosyal doğrulama gibi MFA yöntemleri kullanılmamalıdır.
- 2FA’dan ziyade MFA kullanmak daha güvenlidir. 2FA’da kullanılan SMS kontrolü, SIM değişikliklerinde savunmasız bir hale geliyor.
İşletmeler Tüketicileri Korumak İçin Neden MFA Kullanılmalı?
Geleneksel olarak kullanılan kullanıcı adı ve parola yöntemi ile hesaba erişme durumunda kullanıcı adı da parola da kolaylıkla ele geçirilebilir. Dolayısıyla siber suçluların saldırılarına karşılık savunmasız durumdadırlar.
MFA günümüzde gelişmiş güvenlik sağlamak için oldukça etkili bir yöntem. Çoklu katmanlar ile kullanıcının iddia ettikleri kişi olduğuna yönelik kontrol sağlanır. Siber suçlular kimlik bilgisini ele geçirse dahi, çift katmanlı doğrulamayı aşamayacaklarından dolayı kimlikleri başka bir şekilde doğrulamak zorunda kalacaklardır.
Kazım Emre Akarsu, 2012 yılından beri Bilgisayar Mühendisi olarak çalışmaktadır. 2017 yılında Mesnet Bilişim Teknolojileri şirketini kurmuş ve Mespact Dijital İmza Uygulaması’nı geliştirmiştir.