Şifre ölmüyor

Giriş#

Geçen yıl, büyük teknoloji firmaları gibi Apple, Google ve Microsoft'un şifreleri ortadan kaldırmak üzere birleşme güçleri olduğunu iddia eden haber makaleleri internette dolaşıyordu. Bazı start-up firmaları şifrelerin modası geçmiş ve eski olduğunu bile ilan etmişti. Kimlik yönetimi alanında aylarca emek verdikten sonra, bu iddiaların geçerliliğini ve uygulanabilirliğini sorgulamaya başladım.

Bir şifre ne yapar?#

İlk bakışta, cevap bariz gibi görünüyor: Şifreler oturum açmak ve kimlikleri doğrulamak için kullanılır. Ancak, şu gerçeği göz önünde bulundurursanız, şifreler gerçekte kim olduğunuzu doğrulayamaz:

• Bir kullanıcı bir web sitesine e-posta ve şifre ile giriş yaptığında, web sitesinin bu kimlik bilgilerinin arkasındaki gerçek kişiyi onaylama yolu yoktur. Bu bir insan ya da bir kedi bile olabilir.
• Doğru bir PIN ile bir iPhone'u herkes açabilir.

Gerçekte, bir şifrenin amacı, bir kullanıcı hesabı, bir cihaz veya bir kapıya erişimin anonim bir şekilde sahipliğini kanıtlamaktır.

Mevcut “şifre katilleri”#

Daha önce bahsedilen şirketler çeşitli "şifre katilleri" önerdi. Birçokları, kullanıcıların kimlik doğrulaması sırasında karmaşık, statik şifreleri hatırlama ihtiyacını ortadan kaldıran daha güvenli alternatifler olduklarını iddia ediyor. Ancak, bu alternatiflerin çoğu tamamen şifrelerin kaldırılması için tamamen pratik değil.

FIDO kimlik doğrulama#

FIDO (Hızlı Kimlik Doğrulama Online) kimlik doğrulama, resmi belgelerde açıklandığı gibi kayıt ve oturum açma için genel anahtar şifreleme tekniklerini kullanır ( WebAuthn'ın FIDO2 özelliklerinin temel bileşen olduğunu belirtmek gerekir). Yüzeyde işlem cazip görünüyor:

Basit, değil mi? Maalesef, yolda önemli bir engel var: uyumluluk. Geleneksel "tanımlayıcı ve şifre" kombinasyonuna kıyasla, FIDO kimlik doğrulaması gerektirir:

• Web sitelerinin veya uygulamaların FIDO'yu desteklemesi.
• Tarayıcıların ve/veya işletim sistemlerinin FIDO'yu desteklemesi.
• Kullanıcı cihazlarının kullanıcı dostu bir doğrulama mekanizması olması.

Bu gereksinimlerden herhangi birine uyulmaması durumunda FIDO kimlik doğrulaması kullanılamaz hale gelir, bu da diğer yöntemlere geçişe neden olur.

Dahası, tüm şartlar yerine getirilse bile, bir cihazda bir "kullanıcı dostu doğrulama mekanizması" neye denk gelir? Şu anda, bu parmak izi veya yüz tanıma gibi biyometrik yöntemleri içerebilir, yanında bir yedek seçenek olarak bir PIN kodu, yani bir şifre bulunur. Sonuçta, başladığımız yere geri döndük.

Teknik olarak, bu bir "şifre katili" değil, şifrelerle korunan daha güvenli ve kullanıcı dostu bir kimlik doğrulama veya doğrulama sürecidir.

Tek seferlik şifre#

Adında “şifre” kelimesini içermesine rağmen, tek seferlik şifreler (OTP'ler) geleneksel şifreler değildir, çünkü bunlar dinamiktir. İki popüler OTP türü vardır:

• Zaman Esaslı Tek Seferlik Şifre (TOTP): Eşsiz bir kaynak olarak mevcut zamanı kullanarak algoritma ile oluşturulur. Genellikle Çok Faktörlü Kimlik Doğrulaması (MFA) veya 2FA'da kullanılır.
• SMS/E-posta Tek Seferlik Şifre: Sunucuda rastgele algoritmalar kullanılarak oluşturulur. Bazı ülkelerde, birincil oturum açma yöntemi olarak yaygın bir şekilde kullanılmıştır.

TOTP'ler isim olarak genellikle tanınmayabilir. Örneğin, bir web sitesi size MFA kurmanızı ve bir QR kodu taramanız için Google Authenticator veya Duo gibi bir uygulama kullanmanızı istediğinde, muhtemelen TOTP kullanıyorsunuzdur. Ayrıca web sitesinin genellikle uzun bir "kurtarma kodu" gösterdiğini ve bunun sadece bir kez gösterileceği konusunda sizi uyardığını da fark etmiş olabilirsiniz. Bazı web siteleri kullanıcılarına bunu kağıda basmalarını bile teşvik eder. Özünde, bu kurtarma kodu, uzun bir şifre gibi işlev görür.

SMS/E-posta OTP'leri söz konusu olduğunda, bunlar pahalı ve güvenilmez olabilir:

• Scratch'dan bir SMS veya e-posta gönderici oluşturmak kurulumu gerektirir.

• E-posta göndericilerin teslimatı iyileştirmek için olumlu bir "itibar" oluşturması gerekiyor, aksi takdirde gönderici spam olarak işaretlenebilir.

• Her ülkenin kendine ait mobil ağ operatörleri vardır, bu da SMS gönderiminde tahmin edilemez teslimat süreleri ve özellikle start-up'lar için önemli maliyetler anlamına gelir.

Biyometrikler#

"Biyometrik" terimi, çevrimiçi kimlik doğrulama için yalnızca biyometrik yöntemlerin kullanılmasını ifade eder. Ancak diğer yöntemlerle karşılaştırıldığında temel bir fark vardır: biyometrik kimlik doğrulama, orijinal "bir şeye sahip olma" kanıtlama görevini "kim olduğunuzu" kanıtlama görevine taşır. Gizlilik endişeleri nedeniyle, biyometrik yöntemler öncelikle yerel kimlik doğrulama için kullanılır.

Ancak şifre mükemmel değil#

Görüldüğü gibi, "şifre katilleri" temelde şifreleri gizler veya şifreleri yedek seçenek olarak kullanır. Tartışmamız temelinde, şifrelerin avantajlarının bir özeti:

• Erişilebilirlik ve uyumluluk: Şifreler çeşitli sistemlerde kullanılabilir ve geniş bir kullanıcı yelpazesine ulaşabilir.

• Maliyet etkinliği ve çok yönlülük: Şifre tabanlı kimlik doğrulama genellikle diğer yöntemlere göre daha maliyet etkili ve farklı senaryolara uyarlanabilir.

• Anonimlik ve gizlilik: Şifreler anonim kullanıma izin verir ve kullanıcı gizliliğini korur.

Ancak her madalyonun iki yüzü vardır. Şifrelerin avantajları olsa da, kimlik doğrulama için yalnızca bunlara güvenmek önemli zafiyetlere neden olabilir. Kullanıcıların yönetmekte zorluk çektiği ve web sitesi sahipleri uygun güvenlik uygulamalarını izlemezse kolayca tehlikeye girebilir. Tehlikeli güvenlik uygulamaları şunları içerir, ancak bunlarla sınırlı değildir:

• Zayıf veya sızdırılmış şifrelere izin vermek.

• Bağlantılar için HTTPS kullanımını zorunlu hale getirmemek.

• Güvensiz hash algoritmalarının kullanılması.

• OAuth veya OpenID Connect (OIDC) gibi sıkı savaş testli standartlara sıkı bir şekilde uyulmaması.

• Veritabanının genel kullanıma açılması.

Sonuç#

Yukarıda bahsedilen hiçbir kimlik doğrulama yöntemini küçümsemeyi amaçlamıyorum. Aksine, Logto üzerinde çalışırken, bu olağanüstü kimlik doğrulama yöntemleri ve onların arkasındaki kişilere derin bir saygı duydum.

Ancak, %100 güvenliği elde etme hedefi ulaşılamaz bir hedeftir. Yapabileceğimiz şey, saldırı olasılığını azaltmaktır. Etkili bir yaklaşım, şifre tabanlı kimlik doğrulama ile mevcut cihaza veya ortama dayalı tek seferlik şifrenin birleştirilmesi, bu da ek bir doğrulama katmanı ekler ve yaygın olarak kabul görür. Farklı kimlik doğrulama tekniklerinin güçlü yanlarını kullanarak, daha güçlü koruma sağlayan katmanlı bir yaklaşım oluşturabiliriz.

Sonuç olarak, şifreler gerçekte ortadan kaldırılmadığında "şifre katili" gibi anahtar kelimelere odaklanmak yerine, güvenlik ve kullanıcı deneyimi arasında denge bulmak üzerine yoğunlaşılması daha değerli olacaktır. Bu, çeşitli kimlik doğrulama yöntemlerinin güçlü ve zayıf yönlerini anlamayı ve bunları hem kullanıcı verilerinin güvenliğini hem de sorunsuz bir kullanıcı deneyimini garanti edecek şekilde uygulamayı gerektirir.