Şirket Genelinde Parolasız (Passwordless) Gelecek: FIDO2 Güvenlik Anahtarları ve Number Matching 2FA

Parolalar insan doğasına aykırıdır. Kullanıcılara "16 karakterli, büyük harfli, özel karakterli şifre koyun ve her 90 günde bir değiştirin" dediğinizde, personelin yaptığı tek şey şifrenin sonundaki rakamı 1 artırmak (Sirket2023! -> Sirket2024!) veya şifreyi monitörün altına post-it ile yapıştırmaktır. Üstelik kimlik avı (phishing) siteleri SMS şifrelerini saniyeler içinde araya girerek çalabilmektedir. Siber güvenliğin nihai hedefi Parolasız (Passwordless) kimlik doğrulama mimarisidir.

1. SMS MFA Neden Güvensizdir? (MFA Fatigue ve SIM Swapping)

Geleneksel SMS ve basit onay bildirimleri iki devasa açık barındırır:

SIM Swapping: Saldırgan sahte kimlikle GSM operatöründen personelin SIM kartını çıkartarak SMS kodlarını ele geçirir.
MFA Fatigue (Yorgunluk Saldırısı): Saldırgan gece yarısı personelin telefonuna art arda 50 kez onay bildirimi gönderir. Uykusu bölünen kullanıcı bildirimden kurtulmak için "Onayla"ya basar ve saldırgan içeri girer! (Uber ve EA Games bu şekilde hacklenmiştir).

2. Çözüm 1: Microsoft Authenticator ile Numara Eşleme (Number Matching)

Microsoft'un zorunlu kıldığı Number Matching mimarisinde:

Kullanıcı ekranda iki basamaklı rastgele bir sayı görür (Örn: 48).
Kullanıcının telefonuna gelen bildirimde "Onayla" butonu yoktur!
Kullanıcı bilgisayar ekranında gördüğü o 48 sayısını kendi telefonundaki Authenticator uygulamasına tuşlamak zorundadır.
Bu sayede kullanıcının bilgisayar başında olmadan yanlışlıkla oturumu onaylaması imkansız hale gelir!

3. Çözüm 2: FIDO2 Donanım Anahtarları (YubiKey) ve Passkeys

En üst düzey güvenlik gerektiren yöneticiler, sistem mühendisleri ve finans ekibi için FIDO2 Donanım Anahtarı:

Kullanıcının hiçbir şifresi yoktur!
USB portuna takılan YubiKey anahtarına parmağını dokundurur.
Cihaz public-key kriptografisiyle Microsoft Entra ID ile el sıkışır.
Phishing-Resistant (Oltalama Geçirmez): Saldırgan birebir aynı görünen sahte bir giriş sayfası hazırlasa bile FIDO2 anahtarı alan adı uyuşmadığı için asla kimlik bilgisini fırlatmaz!

Entra ID -> Authentication methods -> Policies:
1. Microsoft Authenticator:
   - Require number matching: Enabled
   - Show application name: Enabled
   - Show geographic location: Enabled
2. FIDO2 Security Key:
   - Allow self-service setup: Enabled
   - Enforce attestation: Enabled

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

FIDO2 Anahtarının Kaybolması: Personel anahtarını kaybettiğinde oturum açamaz. Çözüm: Her kullanıcıya en az 2 anahtar tanımlanmalı (1 Birincil anahtar + 1 Evdeki çekmecede yedek anahtar) veya sistem yöneticisi geçici bir Temporary Access Pass (TAP) kodu üretmelidir.
Eski İşletim Sistemleri: FIDO2 anahtarları Windows 10 (1909+) ve macOS üzerinde sorunsuz çalışır; eski terminallerde web tarayıcı güncellemeleri tamamlanmalıdır.

Mühendis Notu

Parolasız kimlik doğrulama yalnızca güvenliği artırmaz; kullanıcı deneyimini zirveye çıkarır. Her sabah karmaşık şifreler girmek ve 90 günde bir şifre değiştirmekle uğraşmayan bir personelin iş verimliliği ve bilişim ekibine duyduğu sempati katlanarak artar.