Jason: Bu derste, MFA olarak
da bilinen çok faktörlü kimlik doğrulamayı ele alacağız.
Şimdi, bir mobil cihaz kullanırken, kilidini
açabilmek ve kullanmaya başlayabilmek
için bu cihaza kimlik doğrulaması yapacaksınız.
Akıllı telefonunuzu düşünürseniz, yukarı kaydırdığınızda,
cihazın kilidini açmak ve kullanmaya başlamak için başlangıçta
ya yüzünüzü, ya parmağınızı, ya bir PIN kodunu ya da bir şifreyi
kullanırsınız.
Bunu yaptığınızda, cihazın kilidini açmak
için kullandığınız şey bir kimlik doğrulama faktörü olarak bilinir.
Şimdi, siber güvenlik dünyasında,
kullanabileceğiniz beş farklı kimlik doğrulama
faktörümüz var.
Bunlar bilgi faktörü, sahiplik
faktörü, kalıcılık faktörü, davranış faktörü
ve konum faktörü olarak bilinmektedir.
Şimdi, bilgi faktörüne baktığımızda,
bu en basit kimlik doğrulama şeklidir ve biz
buna bildiğiniz bir şey diyoruz.
Kullanıcı adınız, PIN kodunuz, parolanız
gibi bir şey düşünüyorsanız, bunların hepsi bilgi faktörleridir
çünkü "Parolanız nedir?" gibi bir soruya
yanıt veriyorsunuz. ve bildiğiniz için kullanıcı
adı bu parola ile ilişkilendirilen
kişi olduğunuzu doğrulayabilmek.
Şimdi, bilgi faktörleriyle ilgili en büyük sorun,
kırılması en kolay şey olmalarıdır çünkü bunlar
sadece bir klavye veya son kullanıcı tarafından
girilen kelimeler veya sayılardır.
Yani akıllı telefonunuzu dört haneli
bir PIN numarasıyla koruyorsanız, aslında
orada oturup bunu tahmin etmeye çalışabilirim
ve dört haneli bir numarayla yalnızca 10.000 olası kombinasyon
vardır.
Sonunda numarayı tahmin edebilirim
ve cihazınıza girebilirim.
Bilgi faktörü ile ilgili zayıflık budur.
Elimizdeki ikinci faktör ise sahiplik
faktörü olarak bilinen faktördür.
Bu sizin sahip olduğunuz bir şey.
Şimdi, büyük bir kurumsal ortamda çalışıyorsanız,
size RSA anahtarlığı adı verilen bir şey verilmiş olabilir.
Bu, üzerinde altı sayı bulunan ve her 30 ila 60 saniyede
bir bu sayıların değiştiği küçük bir LCD ekrana sahip
küçük bir cihazdır.
Şimdi, bununla senkronize edilmiş bir cihazda
oturum açmaya çalışırsanız, bu altı rakamı gireceksiniz.
Ve bu altı rakam her 30 ila 60 saniyede bir değişiyor.
Dolayısıyla, doğru rakamları bilmek,
anahtarlığa sahip olduğunuzu kanıtlar ve bu yüzden
buna sahip olma faktörü diyoruz.
Bunun diğer yöntemleri, fiziksel bir token gibi şeyler
kullandığınızda ortaya çıkar.
Örneğin, ABD hükümetinde, bilgisayarlarına
giriş yapmaya çalıştıklarında, içine
gömülü küçük bir mikroçip bulunan kimlik
kartlarını kullanırlar.
Bu kartı bilgisayarlarına yerleştirdiklerinde,
bu onların kimlik kartlarına sahip olduklarını ve söyledikleri
kişi olduklarını gösterir.
Elimizdeki üçüncü faktör ise kalıtım faktörü
olarak bilinen faktördür.
Şimdi, içkinlik faktörü sizin olduğunuz bir şeydir.
Bunu vücudunuzun parçaları olarak düşünmeyi seviyorum.
Yani bir kalıtım faktörü ya da başka bir
şey düşündüğünüzde, gerçekten biyometriden bahsediyoruz.
Dolayısıyla, mobil cihazınız kilidini açmak için parmak izi kullanıyorsa,
bu bir kalıtım faktörü olacaktır.
Benzer şekilde, Face ID gibi yüzünüzün yapısına bakacak
ve bunu kullanarak telefonunuzun kilidini
açmanıza izin verecek bir şey kullanıyorsanız,
bu da biyometrik bir faktördür.
Bu yüzden biz buna içkinlik faktörü ya
da sizin gibi bir şey diyebiliriz.
Dördüncü faktör davranış faktörü dediğimiz şeydir ve ben bunu
yaptığınız bir şey olarak adlandırmayı seviyorum.
Şimdi, bir davranış faktörüne baktığınızda,
bu belirli şeyleri yapma şeklinize dayanacaktır.
Şimdi, bunlar mobil cihazlarda çok yaygın değil, ancak
diğer alanlarda kullanılıyorlar.
Örneğin, eskiden çalıştığım bir tesiste, siz
binaya girerken sizi algılayan
bir kamera sistemi kurmuşlardı.
Bunu yapmalarının nedeni de aslında
çalışanların kapıya doğru yürürkenki yürüyüşlerini
ölçüyor olmalarıydı.
Ve bunu, kişinin söylediği kişi olduğunu
doğrulamak için faktörlerden biri olarak kullanıyorlardı
çünkü bu davranış her kişi için benzersizdi.
Davranışın kullanıldığını gördüğümüz
bir başka alan da ses tanıma sistemidir.
Şimdi, ses tanımanın bir miras faktörü olacağını
düşünebilirsiniz ve kimlik doğrulama sisteminin
nasıl kurulduğuna bağlı olarak bu olabilir.
Ama aslında çoğu ses tanıma sistemi ne
söylediğinize değil, nasıl
söylediğinize bakıyor.
Bunun nedeni herkesin farklı şeyler söylemesidir.
Sesimizin ve bazı kelimeleri söyleme şeklimizin
kendine özgü tonları vardır.
Dolayısıyla bu da bir davranış faktörü olabilir.
Beşinci kimlik doğrulama faktörü
konum faktörü olarak bilinen faktördür ve ben
buna bulunduğunuz yer demekten hoşlanıyorum.
Şimdi, cihazınızın içinde aslında bir GPS alıcısı var, bu yüzden
cihazınız her zaman bu dünya üzerinde nerede
olduğunu biliyor.
Böylece bu konumu kimlik doğrulama sürecinizin
bir parçası olarak kullanabilir ve yalnızca belirli alanlarda
bulunduğunuzda bu telefona giriş yapabileceğinizi
ve onu kullanabileceğinizi söyleyebiliriz.
Bu bir ülke olabilir, bir eyalet olabilir ya da bir
şehir olabilir, hatta binanızın etrafındaki bir
şehir bloğu bile olabilir.
Bu, kullanım durumunuza bağlı olacaktır,
ancak şirket merkezimizden yalnızca
bir blok ötede çalışabilen ve kullanılabilen mobil
cihazlara sahip olduğumuz kuruluşlarda bulundum.
Ve bundan daha ileri giderseniz,
bu cihazlar gerçekten kapanır ve siz çevreye geri
dönene kadar sizi dışarıda bırakır.
Bu da konum faktörü olarak bilinir.
Şimdi, bu beş faktörden herhangi birini kullanırsak,
bilgi faktörü, sahip olma faktörü, kalıtım faktörü, davranış
faktörü veya konum faktörü, buna tek faktörlü
kimlik doğrulama diyoruz.
Yani mobil cihazımı elime alır, yukarı kaydırır
ve dört haneli bir PIN girersem,
bu sunulan tek bir bilgi faktörüdür.
Ancak bu faktörlerden iki veya daha fazlasını bir araya getirirsem,
çok faktörlü kimlik doğrulama olarak bilinen şeyi elde ederim.
İki faktör kullanıyorsanız,
buna bazen iki faktörlü kimlik doğrulama veya 2FA diyoruz.
Bu faktörlerden iki, üç, dört veya beşinin bir karışımına
sahipseniz, bu aynı zamanda çok faktörlü kimlik
doğrulama olarak da bilinir, çünkü iki veya daha fazlasına sahipsiniz,
bu da birden fazla kimlik doğrulama faktörü yapar.
Şimdi, kurumunuz tarafından verilen
bir cihazınız olduğunda, bu cihaza erişebilmeniz için tam
olarak hangi gereksinimlere sahip olacağınıza karar vermek için
MDM veya mobil cihaz yönetimi yazılımlarını
kullanabilirler.
Bu, bir PIN veya belirli sayıda karakter
uzunluğunda uzun bir parola belirlemek
kadar basit olabilir veya parmak izi veya yüz
taraması gibi bir kalıtım faktörü veya biyometrik kimlik doğrulama
kullanmanızı gerektirebilir.
Bu, kurumsal politikanıza, kullandığınız sistem
ve cihazlara ve bunların neyi desteklediğine
göre belirlenecektir.
Günümüzde çoğu akıllı telefon en az bir biyometrik
faktörü veya kalıtım faktörünü desteklemektedir.
Bu da kullandığınız modele bağlı olarak ya parmak
izi ya da yüz taraması olacaktır.
Bugünlerde akıllı telefonlarımızın bir başka kullanım alanı
da iki faktörlü kimlik doğrulama sistemimizin bir parçası olması.
Bir web sitesine girdiğinizde,
web sitesi birçok kez kullanıcı adınızı ve şifrenizi
kullanarak giriş yapmanızı ister; bu bir
bilgi faktörüdür veya bildiğiniz bir şeydir.
Ardından akıllı telefonunuza benzersiz
bir kod içeren bir kısa mesaj gönderecekler.
Burada yaptıkları şey aslında MFA veya 2FA oluşturmaktır çünkü artık
iki faktör kullanmaktadırlar: kullanıcı
adınız ve şifrenizin bilgi faktörü ve akıllı telefonunuza
sahip olduğunuz ve bu kısa mesajı
aldığınız gerçeğinin sahiplik faktörü.
Bugünlerde, kullanıcılarınız için çok
daha güvenli bir ortam sağladığı için iki faktörlü veya
çok faktörlü kimlik doğrulama kullanan çok daha fazla
web sitesi görüyoruz.
Buna yardımcı olmak için Authenticator adında indirebileceğiniz
bir uygulama da var ve bu, mobil cihazınızın içinde bir sahiplik faktörü
görevi görüyor.
Authenticator, 2FA veya MFA'yı destekleyen
web sitenize kaydetmenize olanak tanır.
Ve bu rastgele kodları oluşturmak için fiziksel bir anahtarlık
cihazına sahip olmak zorunda kalmadan kullanılacaktır çünkü
akıllı telefonunuz bu anahtarlık görevi görür ve kimlik
doğrulaması yapmaya çalıştığınız web
sitesiyle senkronize kalır.
Bu nedenle, çok faktörlü kimlik doğrulama
hakkında düşünürken bunu aklınızda bulundurun.
Çok faktörlü, bu faktörlerden iki veya daha fazlasına sahip olmanız
gerektiği anlamına gelir.
Şimdi, çok faktörlü kimlik
doğrulama konusunda bahsetmek istediğim
son şey ve bu genellikle öğrencileri şaşırtan
bir şey, iki faktörünüzün olması henüz çok faktörlü
olduğunuz anlamına gelmiyor.
Eğer bir kullanıcı adı, bir şifre ve bir PIN ile giriş yapmanızı
isteseydim, bu iki bilgi faktörü anlamına gelirdi.
Ancak iki faktörlü kimlik doğrulama veya çok
faktörlü kimlik doğrulama değildir çünkü bu faktörlerin
her ikisi de aynı kategoriden gelmektedir.
Her ikisi de bildiğiniz bir şeydir,
bu da bir bilgi faktörüdür.
İki faktörlü kimlik doğrulama veya çok
faktörlü kimlik doğrulamaya sahip olabilmek için bilgi, sahip
olma, miras, davranış ve konum olmak üzere beş faktörden temsil
edilen kategorilerden iki veya daha fazlasına sahip olmanız gerekir.