MFA (Çok Faktörlü Kimlik Doğrulama) Nedir? Hangi Yöntem Daha Güvenli?

MFA (Multi-Factor Authentication, çok faktörlü kimlik doğrulama), bir hesaba girerken parolaya ek olarak farklı türde en az bir kanıt daha isteyen kimlik doğrulama yöntemidir. Parolanız çalınsa veya tahmin edilse bile saldırgan ikinci faktöre sahip olmadığı için giriş yapamaz. En güçlü MFA seçenekleri, oltalamaya dirençli olan passkey'ler ve FIDO2 donanım güvenlik anahtarlarıdır.

Kimlik doğrulama faktörleri

MFA'nın temelinde, kimliğinizi kanıtlayan üç farklı faktör türü vardır:

Önemli olan faktörlerin farklı türlerden olmasıdır. Parola ve güvenlik sorusu birlikte istenirse ikisi de "bildiğiniz bir şey" olduğu için bu MFA sayılmaz.

MFA neden önemli?

Hesap ele geçirmenin en yaygın yolları çalınmış, sızdırılmış veya tahmin edilmiş parolalardır. MFA bu saldırıların büyük bölümünü etkisiz kılar:

• Başka bir sitede sızdırılan parolanız denense bile ikinci faktör olmadan giriş yapılamaz.
• Parola tahmin etme ve püskürtme saldırıları tek başına başarıya ulaşmaz.
• CISA, MFA'yı herkesin uygulaması gereken temel güvenlik önlemleri arasında sayar.

MFA yöntemleri ve güvenlik düzeyleri

Passkey ve FIDO2 güvenlik anahtarları

FIDO Alliance standartlarına dayanan passkey'ler ve donanım güvenlik anahtarları, açık anahtarlı kriptografi kullanır. Kimlik bilgisi yalnızca kayıtlı olduğu gerçek alan adında çalışır; bu yüzden sahte bir sitede kullanılamaz. Bu özellik onları oltalamaya dirençli kılar.

Kimlik doğrulama uygulamaları (TOTP)

Uygulama, her 30 saniyede bir değişen 6 haneli kodlar üretir. SMS'ten daha güvenlidir çünkü telefon şebekesine bağlı değildir. Ancak kullanıcı kodu sahte bir siteye yazarsa saldırgan bu kodu anlık olarak kullanabilir.

Anlık bildirim (push) onayı

Telefona gelen "Bu giriş siz misiniz?" bildirimi kullanışlıdır. Art arda gönderilen bildirimlerle kullanıcıyı yorup onaylatmaya dayanan MFA yorgunluğu saldırılarına karşı sayı eşleştirme özelliği açılmalıdır.

SMS ve sesli arama

Hiç MFA olmamasından iyidir; ancak SIM kartı değiştirme (SIM swap) dolandırıcılığına ve oltalama sayfalarına kod girilmesine açıktır. NIST, SMS'i kısıtlı bir doğrulayıcı olarak sınıflandırır.

MFA'yı nereden başlatmalı?

1. E-posta hesabı: Diğer hesapların parola sıfırlama bağlantıları buraya gelir.
2. Parola yöneticisi: Tüm parolalarınızı korur.
3. Bankacılık ve ödeme hesapları.
4. İş hesapları, VPN ve uzak erişim: Kurumlar için en kritik noktadır.
5. Sosyal medya ve bulut depolama hesapları.

Kurumlar için MFA uygulama ipuçları

Kurumsal ortamda MFA'yı yaygınlaştırırken şu noktalara dikkat edin:

1. Eski protokolleri kapatın: MFA desteklemeyen eski e-posta protokolleri ve temel kimlik doğrulama yöntemleri, MFA'nın tamamen atlatılmasına yol açabilir.
2. Önce ayrıcalıklı hesaplar: Yönetici, bulut konsolu ve uzak erişim hesaplarında oltalamaya dirençli yöntemlerle başlayın.
3. Acil durum hesapları: Kimlik sağlayıcıda bir arıza olursa kullanılmak üzere, güvenli saklanan ve kullanımı izlenen sınırlı sayıda acil durum hesabı tanımlayın.
4. Koşullu erişim: Yönetilmeyen cihazlardan veya olağan dışı konumlardan gelen girişlerde ek doğrulama isteyin.
5. Kayıt sürecini koruyun: Saldırganın kendi cihazını MFA yöntemi olarak eklemesini önlemek için yeni yöntem kaydını güvenilir koşullara bağlayın.
6. Kullanıcıyı bilgilendirin: Beklenmeyen onay isteklerinin reddedilip bildirilmesi gerektiğini düzenli olarak hatırlatın.

Sık yapılan hatalar

• MFA'yı yalnızca bazı hesaplarda açıp e-posta hesabını korumasız bırakmak.
• Beklenmeyen bir onay bildirimini "yanlışlıkla gelmiştir" diye onaylamak.
• Kurtarma kodlarını aynı telefonda veya e-posta kutusunda saklamak.
• Kurumlarda eski protokollerin (ör. temel kimlik doğrulama) MFA'yı atlamasına izin vermek.

Nasıl kontrol ederim?

Hesaplarınızın güvenlik ayarlarındaki "Oturum açma ve güvenlik" bölümünden etkin MFA yöntemlerini görebilirsiniz. Parolanızın sızıntılarda görünüp görünmediğini veri sızıntısı kontrolü, parola yapınızın gücünü ise parola güç testi aracıyla değerlendirebilirsiniz.

Sık sorulan sorular

2FA ile MFA aynı şey mi?

İki faktörlü kimlik doğrulama (2FA), MFA'nın tam olarak iki faktör kullanan özel bir hâlidir. Günlük kullanımda iki terim çoğu zaman birbirinin yerine kullanılır.

SMS ile doğrulama güvenli mi?

SMS hiç MFA kullanmamaktan iyidir, ancak SIM kartı değiştirme dolandırıcılığına ve oltalama sayfalarına kod girilmesine açıktır. Mümkün olduğunda kimlik doğrulama uygulaması, passkey veya donanım güvenlik anahtarı tercih edilmelidir.

Telefonumu kaybedersem hesabıma nasıl girerim?

MFA'yı etkinleştirirken verilen kurtarma kodlarını çevrimdışı ve güvenli bir yerde saklamanız gerekir. Ayrıca ikinci bir yöntem, örneğin yedek güvenlik anahtarı veya ikinci bir cihazda passkey tanımlamak erişim kaybını önler.

MFA yorgunluğu saldırısı nedir?

Saldırganın, parolayı ele geçirdiği hesap için kullanıcıya art arda anlık bildirim onayı göndererek kullanıcının bıkıp onaylamasını beklediği yöntemdir. Sayı eşleştirme özelliği ve beklemediğiniz onay isteklerini asla kabul etmemek bu riske karşı korur.

Sık sorulan sorular

Kaynaklar

1. CISA — More than a Password (MFA)
2. NIST SP 800-63B — Digital Identity Guidelines: Authentication
3. FIDO Alliance — Passkeys

#mfa #2fa #passkey #totp #kimlik