Çok faktörlü kimlik doğrulama (MFA, Multi-Factor Authentication), bir sisteme giriş yapılırken kullanıcının kimliğini birbirinden bağımsız en az iki farklı yöntemle kanıtlamasını isteyen güvenlik yöntemidir. Parolanın yanına, örneğin kullanıcının telefonuna gelen bir onay ya da tek kullanımlık bir kod eklenir. Böylece parola çalınsa bile, saldırgan ikinci adımı geçemediği için hesaba giremez.
Bu yazıda MFA’nın nasıl çalıştığını, doğrulama yöntemleri arasındaki farkları, kurumlarda MFA’nın öncelikle nerelerde uygulanması gerektiğini ve kurulumda dikkat edilmesi gerekenleri bulacaksınız.
Parola neden tek başına yetmez?
Parolalar birçok yoldan ele geçirilebilir: oltalama (kimlik avı) e-postalarıyla kullanıcıya doğrudan yazdırılabilir, başka bir sitedeki veri sızıntısından elde edilip farklı sistemlerde denenebilir, kaba kuvvet saldırılarıyla tahmin edilebilir ya da bilgisayara bulaşan zararlı yazılımlarla kaydedilebilir. Kullanıcıların aynı parolayı birden fazla yerde kullanması bu riskleri katlar.
Güçlü parola kullanmak tahmin edilmeyi zorlaştırır, ancak oltalama ya da sızıntı yoluyla çalınan bir parolaya karşı koruma sağlamaz. MFA tam bu noktada devreye girer: parola artık tek başına bir anahtar değildir.
MFA nasıl çalışır?
Kimlik doğrulama faktörleri üç gruba ayrılır. MFA’da bu gruplardan en az ikisinden birer kanıt istenir:
- Bildiğiniz bir şey: Parola, PIN ya da güvenlik sorusunun cevabı.
- Sahip olduğunuz bir şey: Telefonunuz, üzerindeki doğrulama uygulaması, bir donanım güvenlik anahtarı ya da akıllı kart.
- Olduğunuz bir şey: Parmak izi, yüz tanıma gibi biyometrik özellikler.
Tipik bir MFA girişinde kullanıcı önce kullanıcı adı ve parolasını girer. Parola doğruysa sistem ikinci faktörü ister; örneğin telefona bir onay bildirimi gönderir. Kullanıcı onayladığında giriş tamamlanır. İki faktörün farklı gruplardan olması önemlidir: iki ayrı parola istemek MFA sayılmaz, çünkü ikisi de aynı yolla çalınabilir.
MFA ile 2FA arasındaki fark
İki faktörlü doğrulama (2FA), MFA’nın tam olarak iki faktör kullanan halidir. Her 2FA bir MFA’dır; MFA ise iki ya da daha fazla faktörü kapsayan genel addır. Günlük kullanımda iki terim çoğunlukla aynı anlamda kullanılır.
MFA yöntemleri karşılaştırması
İkinci faktör farklı yöntemlerle sağlanabilir. Yöntemler hem güvenlik düzeyi hem de kullanım kolaylığı bakımından farklıdır:
| Yöntem | Nasıl çalışır? | Güçlü yanı | Zayıf yanı |
|---|---|---|---|
| SMS ile kod | Telefona tek kullanımlık kod gönderilir | Ek uygulama gerektirmez | SIM kartın başka birine geçirilmesi ve mesajların ele geçirilmesi riski |
| Doğrulama uygulaması (TOTP) | Uygulama 30 saniyede bir değişen kod üretir | İnternet ya da şebeke gerektirmez | Kod oltalama sayfasına yazdırılabilir |
| Push bildirimi | Telefondaki uygulamaya onay isteği gelir | Hızlı ve kullanımı kolay; tek dokunuşla onaylanır | Kullanıcı dikkatsizce onaylarsa işe yaramaz |
| Donanım anahtarı (FIDO2) | USB ya da NFC anahtar takılır veya dokundurulur | Oltalamaya karşı en dayanıklı yöntem | Anahtarın dağıtılması ve kaybedilmesi yönetim yükü getirir |
Kurumsal kullanımda push bildirimi, güvenlik ile kullanım kolaylığı arasında iyi bir denge sunduğu için en yaygın tercihtir. Kullanıcıya yalnızca kendisinin başlattığı girişleri onaylaması ve beklemediği bir bildirimi reddedip bilgi işlem ekibine haber vermesi öğretilmelidir. Saldırganlar, parolayı ele geçirdikten sonra kullanıcıyı arka arkaya bildirimlerle bunaltıp yanlışlıkla onaylamasını bekleyebilir.
Kurumlarda MFA öncelikle nerelerde kullanılmalı?
MFA’nın her sisteme aynı anda uygulanması gerekmez. Önce bir saldırganın en çok işine yarayacak girişlerden başlamak gerekir:
- VPN ve uzaktan erişim: İnternetten kurum ağına açılan kapıdır; ele geçirilen bir VPN parolası saldırganı doğrudan iç ağa sokar. Uzaktan güvenli erişim sayfamızda VPN seçeneklerini bulabilirsiniz.
- Uzak masaüstü (RDP) ve sunucu girişleri: Fidye yazılımı saldırılarının sık başladığı noktadır. Ayrıntılar için RDP güvenliği yazımıza bakabilirsiniz.
- Yönetici hesapları: Güvenlik duvarı, sanallaştırma (VMware ESXi gibi), etki alanı denetleyicisi ve ağ cihazlarının yönetim panelleri. Bu hesaplardan biri tüm altyapıyı yönetir.
- E-posta ve bulut uygulamaları: Oltalama saldırılarının ilk hedefi e-posta hesaplarıdır; ele geçirilen bir e-posta hesabı diğer hesapların parolalarını sıfırlamak için kullanılabilir.
- Windows oturum açma: Kritik verilere erişen bilgisayarlarda yerel oturum açmaya da ikinci faktör eklenebilir.
MFA ve yasal gereklilikler
KVKK, veri sorumlularından kişisel verilere hukuka aykırı erişimi önleyecek uygun teknik tedbirleri almasını ister; güçlü kimlik doğrulama bu tedbirlerin başında gelir. Kart verisi işleyen kuruluşların uyması gereken PCI DSS standardı ise kart verisi ortamına uzaktan erişimde ve yönetici erişimlerinde MFA kullanılmasını açıkça şart koşar. Siber sigorta poliçelerinde de uzaktan erişim ve yönetici hesaplarında MFA kullanımı giderek daha sık bir koşul olarak aranıyor.
MFA’ya geçerken dikkat edilmesi gerekenler
- Mevcut altyapıyla uyum: Seçtiğiniz çözüm Windows oturumları, RDP, VPN, RADIUS ve LDAP gibi kullandığınız sistemlere ek kurulum ya da yeniden yapılandırma gerektirmeden eklenebilmeli.
- Kademeli geçiş: Önce yönetici hesapları ve uzaktan erişimle başlayın, ardından diğer kullanıcılara yayın. Kullanıcı, grup ya da departman bazlı kural tanımlayabilmek geçişi kolaylaştırır.
- Kullanıcı deneyimi: Her girişte uzun kodlar yazdırmak çalışanları yorar ve kural dışı yollara iter. Push bildirimi gibi tek dokunuşla onaylanan yöntemler benimsenmeyi artırır.
- Bağlama göre kurallar: IP adresi, coğrafi konum ve çalışma saatine göre erişim kuralları, şüpheli girişleri ikinci adıma bile gelmeden engeller.
- Telefon kaybı ve yedek erişim: Telefonunu kaybeden ya da değiştiren kullanıcının erişimini yeniden sağlamak için önceden belirlenmiş bir süreç olmalıdır.
- İzleme: Tüm giriş denemelerini, reddedilen onayları ve olağandışı konumlardan gelen istekleri tek bir panelden görebilmek gerekir.
Sectify: yerli MFA ve SSO platformu
Sectify, PONA Teknoloji tarafından Türkiye’de geliştirilen çok faktörlü kimlik doğrulama (MFA) ve tek oturum açma (SSO) platformudur. Windows yerel oturum açma ve uzak masaüstü (RDP), Fortinet FortiGate VPN ve yönetici girişleri, VMware ESXi ile RADIUS ve LDAP destekleyen ağ cihazlarına mevcut sistemleri yeniden kurmadan ikinci faktör ekler.
- iOS ve Android için Sectify uygulamasıyla push bildirimi üzerinden onay
- Kullanıcı, grup ya da departman bazlı MFA kuralları ve istisnalar
- Çalışma saati, IP adresi ve coğrafi konum kısıtlamaları
- Tüm giriş denemelerinin tek panelden gerçek zamanlı izlenmesi
PONIVA Firewall kullanıyorsanız SSL VPN girişlerine ikinci faktör eklemek için çok faktörlü kimlik doğrulama sayfamıza da göz atabilirsiniz. Sectify hakkında daha fazla bilgi alın ya da kendi ortamınızda denemek için demo talep edin.
