Çok Faktörlü Kimlik Doğrulama (MFA) ve Şifre Güvenliği

Hesap ele geçirme saldırılarının büyük kısmı karmaşık teknik açıklarla değil; çalınan, tahmin edilen ya da başka bir sitede sızdırılmış parolalarla başlar. Tek başına parola, kurumsal hesapları korumak için artık yeterli değildir. Bu yazıda MFA'nın ne olduğunu, yöntemler arasındaki güvenlik farklarını, çalışanların gerçekten uyabileceği bir şifre politikasının nasıl kurulacağını ve Microsoft 365, VPN ile kritik sistemlerde MFA'nın adım adım nasıl devreye alınacağını anlatıyoruz.

MFA Nedir? 2FA ve İki Adımlı Doğrulamadan Farkı

Çok faktörlü kimlik doğrulama (MFA), kullanıcının kimliğini birbirinden bağımsız en az iki farklı kategoriden kanıtla doğrulamasıdır. Bu kategoriler şunlardır:

• Bildiğiniz bir şey: Parola veya PIN
• Sahip olduğunuz bir şey: Telefon, doğrulayıcı uygulama, donanım güvenlik anahtarı veya akıllı kart
• Olduğunuz bir şey: Parmak izi ya da yüz tanıma gibi biyometrik özellikler

2FA (iki faktörlü doğrulama), MFA'nın tam olarak iki faktör kullanan halidir ve günlük kullanımda iki terim çoğunlukla birbirinin yerine kullanılır. İki adımlı doğrulama ise bazen aynı kategoriden iki kanıt istenmesini de kapsar; örneğin parolanın ardından bir güvenlik sorusu sorulması. Güvenlik sorusu da bilinen bir şey olduğu için bu gerçek anlamda çok faktörlü değildir. Önemli olan, faktörlerin farklı kategorilerden gelmesi ve birinin ele geçirilmesinin diğerini otomatik olarak ele geçirmemesidir.

Zayıf ve Tekrar Kullanılan Şifrelerin Gerçek Riskleri

Parola riskleri genellikle dört senaryoda somutlaşır:

• Parola tekrar kullanımı: Çalışanın kişisel bir alışveriş sitesinde kullandığı parola, o sitenin veritabanı sızdırıldığında kurumsal hesapları için de denenir. Kimlik bilgisi doldurma (credential stuffing) adı verilen bu yöntem tamamen otomatiktir.
• Parola püskürtme (password spraying): Saldırgan çok sayıda hesapta az sayıda yaygın parolayı dener ve hesap kilitleme eşiklerine takılmadan zayıf parolaları bulur.
• Tahmin edilebilir kalıplar: Şirket adı, mevsim, yıl ve sonuna eklenen bir ünlem işaretinden oluşan parolalar karmaşıklık kurallarını geçer, ancak saldırı listelerinde ilk denenenler arasındadır.
• Kimlik avı ve bilgi çalan zararlılar: En güçlü parola bile sahte bir oturum açma sayfasına yazıldığında ya da tarayıcıda kayıtlıyken zararlı yazılımla çalındığında koruma sağlamaz.

Bir e-posta hesabının ele geçirilmesi yalnızca e-postaların okunması anlamına gelmez. Saldırgan bu hesap üzerinden diğer sistemler için parola sıfırlama bağlantıları alabilir, müşterilere sahte fatura gönderebilir ve bulut dosyalarına erişebilir. MFA, bu senaryoların büyük kısmında çalınan parolayı tek başına işe yaramaz hale getirir.

MFA Yöntemleri Karşılaştırması: SMS, Doğrulayıcı Uygulama, FIDO2 Anahtarı

Tüm MFA yöntemleri aynı güvenlik seviyesini sunmaz. En zayıftan en güçlüye doğru sıralayalım.

SMS ve sesli arama kodları

Hiç MFA olmamasından çok daha iyidir ve kurulumu kolaydır. Ancak SIM kartın kopyalanması veya numaranın başka bir SIM karta taşınması (SIM swap) yoluyla kodlar ele geçirilebilir; kullanıcı kodu sahte bir sayfaya yazarsa saldırgan onu anında kullanabilir. Kritik hesaplar için birincil yöntem olarak önerilmez.

Doğrulayıcı uygulamalar

Microsoft Authenticator ve Google Authenticator gibi uygulamalar, zamana dayalı tek kullanımlık kodlar veya onay bildirimleri üretir ve SMS'e göre daha güvenlidir. Bildirim onayında numara eşleştirme, yani ekranda görünen sayının uygulamaya girilmesi ve bildirimde konum bilgisinin gösterilmesi, yanlışlıkla onay verme riskini belirgin biçimde azaltır.

FIDO2 güvenlik anahtarları ve passkey

Donanım güvenlik anahtarları ve cihaza bağlı passkey'ler, kimlik doğrulamayı yalnızca gerçek alan adıyla gerçekleştirir. Kullanıcı sahte bir siteye yönlendirilse bile anahtar o siteye kimlik bilgisi vermez. Bu nedenle oltalamaya dayanıklı MFA olarak anılırlar ve yönetici hesapları ile finans ve üst yönetim gibi yüksek riskli kullanıcılar için en doğru seçimdir. Windows Hello for Business da benzer, cihaza bağlı bir yaklaşım sunar.

Seçim yaparken güvenlik seviyesi, kullanıcı deneyimi, cihaz kaybı durumundaki kurtarma süreci ve maliyet birlikte değerlendirilmelidir. Pratik bir yaklaşım; tüm kullanıcılar için doğrulayıcı uygulama, yöneticiler ve yüksek riskli roller için FIDO2 anahtarı veya passkey kullanmaktır.

Kurumsal Şifre Politikası ve Parola Yöneticisi Kullanımı

MFA parolayı gereksiz kılmaz; parola hâlâ ilk faktördür. Ancak parola politikalarına yaklaşım değişti. NIST gibi kurumların güncel kimlik doğrulama rehberleri, sık aralıklarla zorunlu parola değişikliği ve karmaşık kompozisyon kuralları yerine uzunluğa ve sızdırılmış parola kontrolüne odaklanmayı önerir. Takvime bağlı zorunlu değişiklik, kullanıcıları sonuna yalnızca bir rakam ekledikleri tahmin edilebilir kalıplara iter.

Uygulanabilir bir kurumsal parola politikası şu unsurları içermelidir:

• Uzunluk öncelikli: Birkaç kelimeden oluşan uzun parola cümleleri (passphrase), kısa ve karmaşık parolalardan hem daha güçlü hem de daha akılda kalıcıdır.
• Yasaklı parola listesi: Şirket adı, yaygın parolalar ve sızdırılmış parola listelerinde yer alan parolalar reddedilmeli.
• Değişiklik yalnızca gerektiğinde: Parola, ele geçirilme şüphesi olduğunda değiştirilmeli; takvime bağlı zorunluluk yerine ele geçirme belirtileri izlenmeli.
• Tekrar kullanım yasağı: Kurumsal parolalar hiçbir kişisel hizmette kullanılmamalı.
• Hesap kilitleme ve izleme: Başarısız deneme eşikleri ve olağan dışı oturum açma uyarıları tanımlanmalı.

Her sistem için farklı ve güçlü parola kullanmanın gerçekçi tek yolu kurumsal bir parola yöneticisidir. Kurumsal parola yöneticileri; merkezi yönetim, ekip bazında paylaşılan kasalar, işten ayrılan kullanıcının erişiminin tek noktadan kapatılması ve erişim kayıtlarının tutulması gibi imkânlar sunar. Paylaşılan hesap parolalarının e-postada, mesajlaşma uygulamasında veya bir Excel dosyasında tutulması, sık gördüğümüz ama kolayca giderilebilecek bir risktir. Parola yöneticisinin kendisi de mutlaka MFA ile korunmalıdır.

Politika ve araçlar ancak çalışanlar nedenini anladığında işe yarar. Parola cümlesinin nasıl oluşturulacağını, parola yöneticisinin nasıl kullanılacağını ve parolanın ya da doğrulama kodunun telefonda, e-postada veya mesajla hiç kimseyle, BT ekibiyle bile paylaşılmayacağını anlatan kısa bir eğitim, işe giriş sürecinin standart bir parçası olmalıdır.

Microsoft 365, VPN ve Kritik Sistemlerde MFA'yı Devreye Alma

MFA'yı devreye alırken öncelik, ele geçirildiğinde en çok zarar verecek sistemlerdir.

Microsoft 365

Küçük ortamlarda Microsoft Entra ID'deki güvenlik varsayılanları (security defaults), tüm kullanıcılar için MFA kaydını zorunlu kılan ve eski kimlik doğrulama protokollerini engelleyen hızlı bir başlangıç sağlar. Daha esnek senaryolar için koşullu erişim politikaları kullanılır; bu özellik Entra ID P1 lisansı gerektirir ve Microsoft 365 Business Premium gibi paketlere dahildir. Koşullu erişimle yönetilen cihazlardan gelen oturumlara ve riskli oturumlara farklı kurallar uygulanabilir. Lisans seçimi ve geçiş adımları için Microsoft 365'e geçiş rehberimize göz atabilirsiniz.

VPN ve uzaktan erişim

VPN, firewall yönetim arayüzü ve uzak masaüstü ağ geçitleri MFA'sız bırakılmamalıdır. Kurumsal firewall ve VPN çözümlerinin çoğu, RADIUS veya SAML üzerinden kurumsal kimlik sağlayıcısıyla entegre MFA desteği sunar.

Kritik sistemler

Etki alanı yönetici hesapları, sanallaştırma ve yedekleme konsolları, ERP ve muhasebe sistemleri, alan adı ve DNS yönetim paneli ile bankacılık ve ödeme sistemleri öncelik listesinde yer almalıdır. Sektöre özgü sistemler de unutulmamalıdır: sağlık kuruluşlarında hasta kayıtlarına erişilen uygulamalar, finans ve sigorta şirketlerinde müşteri portalları, e-ticaret işletmelerinde ise mağaza yönetim paneli ve ödeme altyapısı hesapları bu listenin başında gelir.

MFA uygulanamayan hesaplar

Uygulamaların veya zamanlanmış görevlerin kullandığı servis hesapları, yazıcı ve tarayıcıların e-posta gönderimi için kullandığı hesaplar ve eski protokollere bağımlı sistemler çoğu zaman etkileşimli MFA'yı desteklemez. Bu hesaplar kapsam dışında unutulmamalı, farklı yöntemlerle korunmalıdır: mümkünse yönetilen kimlikler veya sertifika tabanlı kimlik doğrulama kullanılmalı, oturum açma yalnızca belirli IP adresleri ve sistemlerle sınırlanmalı, uzun ve rastgele parolalar parola kasasında saklanmalı, etkileşimli oturum açma yetkisi kaldırılmalı ve bu hesaplardaki her olağan dışı etkinlik uyarı üretmelidir.

Devreye alma adımları

1. Tüm kullanıcı ve servis hesaplarının envanterini çıkarın.
2. Acil durumlar için MFA kapsamı dışında tutulan, çok güçlü parolalı, güvenli saklanan ve kullanıldığında uyarı üreten bir veya iki yönetici hesabı (break-glass) tanımlayın.
3. BT ekibi ve küçük bir pilot grupla başlayın, kayıt ve kurtarma sürecini test edin.
4. Kullanıcılara kısa ve görsel bir kayıt rehberi ile destek kanalı sağlayın.
5. Departman departman yaygınlaştırın ve eski kimlik doğrulama protokollerini kapatın.
6. Telefon değişikliği ve cihaz kaybı için kimlik doğrulamalı bir yeniden kayıt süreci tanımlayın.

MFA Yorgunluğu Saldırıları, Kullanıcı Direnci ve Sık Yapılan Hatalar

MFA güçlü bir önlemdir ama aşılmaz değildir. MFA yorgunluğu (push bombing) saldırısında parolayı ele geçiren saldırgan, kullanıcının telefonuna art arda onay bildirimi gönderir; bıkan veya yanlışlıkla dokunan kullanıcı erişimi onaylar. Numara eşleştirme, bildirimde konum ve uygulama bilgisinin gösterilmesi ve kullanıcılara beklemedikleri bir onay isteğini asla onaylamamaları, hemen bildirmeleri gerektiğinin öğretilmesi bu riski büyük ölçüde azaltır.

Bir diğer yöntem, kullanıcı ile gerçek site arasına giren ortadaki saldırgan (AiTM) oltalama kitleridir. Kullanıcı sahte sayfaya hem parolasını hem MFA kodunu girer, saldırgan da oturum çerezini ele geçirir. Buna karşı en etkili önlemler oltalamaya dayanıklı yöntemler ve yönetilen cihaz şartı arayan koşullu erişim politikalarıdır. Bu saldırıların nasıl tanınacağını kimlik avı rehberimizde anlattık.

Kullanıcı direnci çoğunlukla iletişim eksikliğinden kaynaklanır. Neden yapıldığını anlatan kısa bir açıklama, kayıt günü için erişilebilir destek ve güvenilir cihazlarda gereksiz tekrar sorgulamayı azaltan akıllı politikalar direnci belirgin biçimde düşürür.

Sık yapılan hatalar:

• MFA'yı yalnızca yöneticilere uygulayıp standart kullanıcıları dışarıda bırakmak
• Eski kimlik doğrulama protokollerini açık bırakarak MFA'nın atlanmasına izin vermek
• Paylaşılan hesapları ve servis hesaplarını unutmak
• Telefon kaybında kimlik doğrulaması yapmadan MFA'yı sıfırlamak; saldırganlar yardım masasını da hedef alır
• VPN, firewall yönetimi ve yedekleme konsolu gibi sistemleri MFA kapsamı dışında bırakmak

Kimlik Güvenliği Kontrol Listesi ve Profesyonel Destek

Kimlik güvenliğinizi hızlıca değerlendirmek için şu kontrol listesini kullanabilirsiniz:

• Tüm kullanıcı hesaplarında MFA zorunlu mu?
• Yönetici hesapları günlük hesaplardan ayrı ve oltalamaya dayanıklı MFA ile korunuyor mu?
• Eski kimlik doğrulama protokolleri kapatıldı mı?
• VPN, uzak masaüstü ve yönetim arayüzleri MFA korumalı mı?
• Kurumsal bir parola yöneticisi kullanılıyor ve paylaşılan parolalar orada mı tutuluyor?
• Sızdırılmış ve yaygın parolalar engelleniyor mu?
• Riskli oturum açmalar ve olağan dışı konumlar için uyarı mekanizması var mı?
• İşten ayrılan kullanıcıların hesapları ve MFA kayıtları aynı gün kapatılıyor mu?

Bu sorulardan birkaçına hayır ya da emin değilim yanıtı veriyorsanız, kimlik altyapınızın gözden geçirilmesi faydalı olacaktır. MFA ve koşullu erişim, aynı zamanda sıfır güven mimarisinin de ilk adımıdır. Siber güvenlik hizmetlerimiz kapsamında MFA yaygınlaştırma, koşullu erişim tasarımı ve parola yöneticisine geçişi kullanıcılarınızın iş akışını aksatmadan planlıyoruz.

Sonuç

Parolalar çalınır, tahmin edilir ve tekrar kullanılır; MFA ise çalınan bir parolanın değerini büyük ölçüde ortadan kaldırır. Uzunluk odaklı ve uygulanabilir bir parola politikası, kurumsal parola yöneticisi ve doğru seçilmiş MFA yöntemleri birlikte, hesap ele geçirme riskini en düşük maliyetle azaltan önlemlerdir. Kimlik güvenliğinizi birlikte değerlendirmek için ücretsiz ön görüşme talep edebilirsiniz.