Çok faktörlü kimlik doğrulama neden varsayılan olmalı?

Kurumsal hesapların ele geçirilmesinde en sık görülen yol, karmaşık saldırılar değil, bir şekilde öğrenilmiş şifrelerdir. Başka bir sitede sızdırılmış bir şifrenin tekrar kullanılması, sahte bir giriş sayfasına girilen bilgiler ya da tahmin edilebilir şifreler bu yolun en yaygın örnekleridir.

Çok faktörlü kimlik doğrulama (ÇFKD), şifreye ek olarak kullanıcının sahip olduğu bir şeyi de ister: telefondaki bir uygulama, bir güvenlik anahtarı ya da cihaza bağlı bir doğrulama. Böylece şifre ele geçirilse bile hesap tek başına açılamaz.

Neden “isteğe bağlı” yetmez?

ÇFKD’nin yalnızca isteyen kullanıcılar için açık olduğu bir düzende, saldırganın hedefi doğal olarak bu ayarı açmamış hesaplar olur. Yönetici hesapları, ortak kullanılan hesaplar ve uzun süredir kullanılmayan hesaplar çoğu zaman bu gruptadır. Güvenliğin en zayıf halkası, korumanın tümünü belirler.

Bu nedenle ÇFKD, kurum genelinde varsayılan olarak açık olmalı; istisnalar ise yazılı gerekçeyle ve sınırlı sayıda tanımlanmalıdır.

Hangi yöntem?

Tüm yöntemler aynı korumayı sağlamaz:

• SMS ile gelen kod, hiç yoktan iyidir; ancak numara taşıma ve mesaj yönlendirme saldırılarına açıktır.
• Doğrulama uygulaması daha güvenlidir ve çoğu kullanıcı için yeterli bir başlangıçtır.
• Bildirim onayı kullanımı kolaydır; tekrarlanan onay isteklerine karşı numara eşleştirme gibi ek kontrollerle birlikte kullanılmalıdır.
• Donanım güvenlik anahtarı ve parola gerektirmeyen giriş yöntemleri, sahte giriş sayfalarına karşı en güçlü korumayı sağlar ve yönetici hesapları için önerilir.

Kullanıcıyı yormadan uygulamak

ÇFKD’ye geçişin önündeki en büyük engel, kullanıcıların her girişte ek bir adım yapmaktan rahatsız olmasıdır. Bu yük şu yollarla azaltılabilir:

• Tanınan cihazlar ve kurum ağı için doğrulamanın daha seyrek istenmesi.
• Tek oturum açma ile tüm uygulamalara tek doğrulamayla girilmesi.
• Geçişin önceden duyurulması, kısa bir kılavuz hazırlanması ve ilk hafta destek verilmesi.

Kurtarma planı

Telefonunu kaybeden ya da değiştiren bir kullanıcının hesabına nasıl yeniden erişeceği baştan tanımlanmalıdır. Kurtarma süreci, saldırganların sosyal mühendislikle kullanabileceği bir kapıya dönüşmemesi için kimlik doğrulama adımları içermelidir.

Sonuç

ÇFKD bir güvenlik projesi değil, bir temel ayardır. Varsayılan olarak açık olduğunda, kurumun karşılaşabileceği en yaygın hesap ele geçirme senaryolarının büyük bölümünü baştan engeller.