Parolasız Bir Gelecek Mümkün mü? Şifrelere Ne Vakit Veda Edebiliriz?
Mayıs ayının ilk perşembe günü kutlanan Dünya Gizyazı Günü, bu yıl da kimlik doğrulama uygulamalarının gücünün incelenmesi gerektiği mevzusunda alışıldık bir hatırlatma görevi görmüş oldu. Şurası bir gerçek: Oturum açma esnasında girilen parolalar sistemlere, uygulamalara ve cihazlara erişimi korumak için artık tek seçenek değil. Parolalar naturel zayıflıklarına karşın her yerde, herhangi bir cihazda, herhangi bir zamanda kullanılabilmeleri sebebiyle varlıklarını sürdürüyorlar. Fakat daha iyi koruma ve gelişmiş kullanıcı deneyimi sözü ile parolasız bir geleceği gerçeğe dönüştürmek için, önde gelen tüm işletim sistemi / tarayıcı geliştiricileri, daha doğrusu yazılım dünyasının derhal her adı, büyük ölçekte uygulanan yeni bir küresel kimlik doğrulama standardını hayata geçirmek için uğraşıyor.
Her ne kadar parolasız bir gelecek için sektördeki pek oldukca ismin oldukca fazla emek vermesi gerekecek olsa da, “parolasızlığın” firmalar için ilk sıralarda yer aldığını görmeye başlıyoruz. Hatta Gartner’ın tahminlerine bakılırsa 2022 yılına kadar büyük ve küresel işletmelerin yüzde 60’ı, şifresiz sistemlere geçiş yapmayı planlıyor. Orta ölçekli işletmeler için ise bu oran yüzde 90’a yükseliyor. Bu da şifresiz bir geleceğin ehemmiyet sıralamasında yerini kanıtlıyor. Fakat organizasyonların buna hakikaten hazır olup olmadığı sorusu da baş köşede duruyor.
Oldukca faktörlü kimlik doğrulama yükseliyor
Oldukca faktörlü kimlik doğrulamayı (MFA) kullanmanın birinci sebebi güvenliği çoğaltmak ve geçtiğimiz yıl karma emek verme ortamlarında yaşanmış olan artış da buna katkıda bulunmuş oldu. Yakın tarihindeki bir çalışmada ankete katılanların ortalama yarısı (yüzde 49) da, güvenlik nedenleriyle 2FA/MFA kullanımlarını artırma ihtimallerinin daha yüksek olacağını belirtti.
Daha çok cihazın daha çok yerden sistemlere ve uygulamalara erişmesi ile birlikte, potansiyel hücum alanları da genişliyor. Firmalar bunun yarattığı risklerin bilincinde olmalarına karşın, şifreler uzaktan çalışmanın artmasından oldukca daha ilkin de sorunlara niçin oluyordu. Bu genişleyen hücum alanı, şirketlerin yalnız ayrıcalıklı kullanıcıları değil, tüm kullanıcıları koruma ihtiyacına da dikkat çekiyor. Onlarca defa yaşanmış olan ihlaller, alt düzey çalışanların fena amaçlı kişiler için bir “giriş yolu” olarak kuruluşu savunmasız bırakabileceğini kanıtlıyor.
Kimlik avı, kimlik detayları doldurma ve öteki siber tehditler, senelerdir kurumlar için büyük bir veri ihlali riski oluşturuyor. Parolaları erişim için tek anahtar haline getiren firmalar, bu parolaların ele geçirilmesi durumunda pek oldukca fena sonuçla karşı karşıya kalıyor.
Buna karşın, başlarken de söylediğimiz benzer biçimde, şifreler varlıklarını sürdürmeye devam ediyor. Bunun sebebine yönelik bir ipucu ise kullanıcı davranışlarında ortaya çıkıyor. Kuvvetli iki faktörlü kimlik doğrulama (2FA) kullanmak için zorlayıcı güvenlik sebepleri olsa da, genel kullanımda benimsenmesi için kolay olması gerekiyor. Mobil tabanlı kimlik doğrulayıcılar ve SMS tabanlı MFA en oldukca benimsenen MFA teknolojileri içinde içeriyor sadece bunlar, kayıtlı kişinin mobil kapsama alanında cep telefonunun ücretlendirilmesine ve tek seferlik bir kodun doğru bir halde kopyalanmasına dayanıyor. Bu durum da SMS kodlarının yada tek seferlik ‘kopyalanıp yapıştırılan’ şifrelerin benimsenmesinde bir engel olduğu görülüyor.
Buna karşın parolalara olan bağımlılığımızdaki herhangi bir azalma, ileriye doğru atılmış bir adım olarak görülebilir. Güvenlik, kullanıcının bilmiş olduğu ek bir şey (bir probleminin yanıtı benzer biçimde) yada haiz olduğu bir şey (tek kullanımlık parola yada OTP benzer biçimde) sunularak güçlendirilir. Sadece bu önlemler tüm riskleri ortadan kaldırmaz.
Unutulmaz bir kelime/cevap, bir parola benzer biçimde çalınabilirken, SMS kullanılarak gönderilen bir OTP, ‘SIM-swap’ dolandırıcılığının kurbanı olabilir yada bir kullanıcı, bu ek bilgiye yetişmesi için meşru bir sebebi olduğuna inanılmış olduğu birine bu bilgiyi sağlaması için kandırılabilir. Hatta mobil push uygulamaları bile çalınabilir.
Bir kişinin kim olduğuna bağlı (parmak izi yada yüz anatomisi benzer biçimde biyometrik bir tanımlayıcı) yada donanım tabanlı bir güvenlik anahtarı benzer biçimde ek faktörler kullanılabilir. Bu ek faktörler, bir saldırganın uzaktan erişimini oldukca daha zor hale getirir. Son yıllardaki gelişmeler, MFA’nın kurumsal olarak benimsenmesini ve uygulanmasını kolaylaştırıyor ve FIDO2 ve WebAuthn benzer biçimde güvenlik standartları, şu anda önde gelen işletim sistemi platformları ve tarayıcıları tarafınca destekleniyor.
Açık bir kimlik doğrulama standardı olan FIDO2, FIDO U2F’nin bir uzantısı ve ortak anahtar şifrelemesine dayalı olarak aynı düzeyde yüksek güvenlik ve kimlik avına karşı yüksek düzeyde dirençli bir protokol sunuyor. WebAuthn, FIDO2’nin temel bir bileşeni ve web kimlik doğrulaması için küresel olarak kabul edilen ilk standart. Beraber, erişilebilir entegrasyon yöntemiyle MFA’nın amacını desteklerler.
Parolalar tamamen yok olur mu?
Nereden başlayacağını düşünen kuruluşlar, parolasız kimlik doğrulama amacına yönelik mevcut altyapılarını tamamen elden geçirmelerini gerektirmeyecek karma bir yaklaşıma öncelik vermek zorunda. Birçok kurumsal altyapı, eski şirket içi sistemlerin ve hususi yada genel bulutta barındırılan hizmetlerin bir karışımını içerdiğinden, bu bilhassa mühim oluyor. Kısaca parolalardan kurtulmanın yolu her şeyi tepe taklak etmek değil.
Birden oldukca kimlik doğrulama protokolünü destekleyen donanım tabanlı güvenlik anahtarları, parolasız geleceğe seyahat için bir köprü sağlayabilir. Yöneticiler self servis kaydına izin verebilir. Güvenlik anahtarları, uzak çalışanlara dağıtılmadan ilkin kullanıcılar için evvelinde kaydedilebilir. Çalışanların, kullanımı kolay ve çeşitli ek yazılımlar yada uygulamalar yüklemeden kullanıma hazır yeni bir güvenlik yaklaşımını benimseme olasılığı daha yüksektir. Ek olarak, self servis ve kendi kendine kurtarma seçeneklerinin kolay etkinleştirilmesi, daha azca BT desteği talep edilmesine destek verir.
Peki tüm bunlardan ne anlıyoruz? Ilk olarak artık kolay parolalardan kurtulmak zorundayız; orası kati. Fakat bunun için sistemlerin uygun hale getirilmesi koşul. Parolaların ölümünün ne süre olacağı, şimdilik dev şirketlerin bu mevzuda ne kadar süratli davranacağına bağlı. Şu an için her şeyin aniden olup biteceğini beklemeyin. Fakat atılan her adımın, parolasız bir gelecek için mühim bulunduğunu da kabul etmek zorundayız…
