İki Faktörlü Doğrulama (2FA) Nedir? Kurumsal Yazılımda Neden Şart?

İki faktörlü doğrulama, kısaca 2FA, bugün bankacılık uygulamalarından e-posta hesaplarına kadar pek çok yerde karşımıza çıkan ama kurumsal yazılımlarda hâlâ istenen ölçüde yaygınlaşmamış bir güvenlik önlemidir. Oysa çalınan bir parolanın tek başına hesaba girmeye yetmediği bir sistem, saldırganların önündeki en büyük engellerden biridir.

Bu yazıda 2FA'nın ne olduğunu, nasıl çalıştığını, kurumsal yazılımda neden şart sayılması gerektiğini ve hangi durumlarda daha da önemli hale geldiğini anlatıyoruz. Rezon olarak geliştirdiğimiz sistemlerde iki faktörlü doğrulamayı plan özelliği olarak sunduğumuz için hem teknik hem de kullanım tarafını sahadan biliyoruz.

İki faktörlü doğrulama nedir?

İki faktörlü doğrulama, bir hesaba giriş yaparken parolanın yanına ikinci ve farklı türde bir kanıt daha eklenmesidir; genellikle telefona gelen bir kod, bir doğrulama uygulamasında üretilen kod ya da parmak izi gibi biyometrik bir doğrulama bu ikinci katmanı oluşturur. Amaç, yalnızca parolayı bilmenin artık hesaba girmeye yetmemesidir.

Güvenlik dünyasında doğrulama üç kategoriye ayrılır: bildiğiniz bir şey, örneğin parola; sahip olduğunuz bir şey, örneğin telefonunuz; ve olduğunuz bir şey, örneğin parmak iziniz. Tek faktörlü giriş yalnızca birinci kategoriye dayanır. İki faktörlü doğrulama, bu üç kategoriden farklı ikisini birleştirerek, tek bir bilginin ele geçirilmesinin yeterli olmadığı bir sistem kurar.

Günlük hayattan bir örnek vermek gerekirse: bankamatik kartınız çalınsa bile şifresini bilmeyen biri parayı çekemez; şifreniz bir şekilde öğrenilse bile kart elinde olmayan biri işlem yapamaz. İki faktörlü doğrulama, dijital hesaplarda aynı mantığı kurar. Parola çalınsa bile, saldırganın ikinci faktöre de erişmesi gerekir; bu da saldırıyı büyük ölçüde zorlaştırır.

2FA nasıl çalışır?

2FA, kullanıcı doğru parolayı girdikten sonra sistemin ikinci bir doğrulama adımı daha istemesiyle çalışır: bu genellikle kullanıcının telefonuna gönderilen tek kullanımlık bir kod, bir doğrulama uygulamasında birkaç saniyede bir değişen bir kod ya da fiziksel bir güvenlik anahtarıdır. Kullanıcı bu ikinci kodu da doğru girdiğinde giriş tamamlanır.

Doğrulama uygulaması tabanlı yöntem, SMS tabanlı yönteme göre genellikle daha güvenli kabul edilir; çünkü SMS mesajları belirli tekniklerle ele geçirilebilirken, doğrulama uygulaması cihazın kendisine bağlıdır ve internet bağlantısı olmadan da çalışır. Yine de SMS tabanlı 2FA, hiç 2FA olmamasına göre çok daha güvenlidir ve kurumsal kullanıcılar için genellikle yeterli bir denge sunar.

Sistem tarafında ise 2FA secret'ı, yani doğrulama kodunun üretildiği gizli anahtar, veritabanında düz metin olarak değil şifrelenmiş biçimde saklanmalıdır. Bu, veritabanına bir şekilde erişim sağlayan bir saldırganın bile doğrulama kodlarını üretebilecek bilgiye ulaşamamasını sağlar. İyi kurulmuş bir 2FA sistemi, hem kullanıcı deneyiminde hem de arka planda bu titizliği taşır.

2FA parolayı neden yeterli görmez?

2FA, parolayı tek başına yeterli görmez; çünkü parolalar pek çok yolla ele geçirilebilir: kimlik avı e-postasıyla doğrudan çalınabilir, başka bir sitede yaşanan bir sızıntıdan aynı parolanın kullanıldığı diğer hesaplara sıçrayabilir, zayıf bir parola kaba kuvvet yöntemiyle denenerek bulunabilir ya da bir çalışan parolasını bir kağıda yazıp unutabilir. Parolanın kendisi, güçlü olsa bile tek katmanlı bir savunmadır.

Kaba kuvvet saldırısı, bir sistemin aynı hesaba kısa sürede binlerce farklı parola denemesidir. Rate limiter dediğimiz önlem, belirli bir sürede yapılabilecek deneme sayısını sınırlayarak bu saldırıyı yavaşlatır; ama parolanın kendisi bir şekilde doğru tahmin edilir ya da başka bir yerden çalınırsa, rate limiter tek başına yetmez. İşte tam bu noktada 2FA devreye girer ve çalınan ya da tahmin edilen parolayı işe yaramaz hale getirir.

Gerçek dünyada yaşanan büyük veri sızıntılarının önemli bir kısmı, aslında çalınan bir parolayla başka bir sistemde yapılan girişle büyümüştür. Kullanıcılar aynı parolayı birden fazla yerde kullandığı için, bir sitedeki sızıntı, hiç ilgisi olmayan bir kurumsal sistemde de hesap ele geçirmeye dönüşebilir. 2FA, bu zincirin en kritik halkasını keser.

Kurumsal yazılımda 2FA neden şart olmalı?

Kurumsal yazılımda 2FA şart olmalıdır; çünkü buradaki hesaplar genellikle müşteri verisi, finansal kayıt ve iş süreçlerine erişim taşır ve bir hesabın ele geçirilmesi kişisel bir e-posta hesabının ele geçirilmesinden çok daha geniş bir hasar yaratır. Bir satış temsilcisinin hesabı ele geçirildiğinde, o hesabın erişebildiği tüm müşteri verisi de tehlikeye girer.

Kurumsal ortamda risk yalnızca dışarıdan gelen saldırganla sınırlı değildir. Paylaşılan bilgisayarlar, ortak alanda bırakılmış oturum açık ekranlar ve bazen çalışanlar arasında bilinçsizce paylaşılan parolalar, kurumsal hesapları kişisel hesaplardan daha savunmasız hale getirebilir. 2FA, bu iç risklere karşı da ek bir güvenlik katmanı sağlar; çünkü parola bilinse bile ikinci faktöre sahip olmayan biri girişi tamamlayamaz.

Ayrıca kurumsal yazılımlar genellikle yönetici seviyesinde geniş yetkiler barındırır. Bir yönetici hesabının ele geçirilmesi, yalnızca o kişinin verisini değil, sistemdeki tüm kullanıcıların ve müşterilerin verisini riske atabilir. Yönetici hesaplarında 2FA'nın zorunlu tutulması, bu geniş yetkiye orantılı bir savunma sağlar.

Hangi kullanıcılar için 2FA daha da kritik?

2FA, özellikle yönetici hesapları, finansal işlemlere erişimi olan kullanıcılar, uzaktan çalışan personel ve müşteri verisine geniş erişimi olan roller için daha da kritiktir. Bu grupların hesapları ele geçirildiğinde ortaya çıkan hasar, sıradan bir kullanıcı hesabına göre çok daha büyük ve geri döndürülmesi çok daha zordur.

Uzaktan çalışan personel özel bir risk kategorisidir; çünkü ofis ağının sağladığı ek güvenlik katmanları olmadan, evden ya da genel bir Wi-Fi ağından sisteme bağlanır. Bu bağlantı noktalarının çeşitliliği, saldırı yüzeyini genişletir. 2FA, hangi ağdan bağlanılırsa bağlanılsın, hesabın yalnızca doğru cihaza sahip kişi tarafından açılabilmesini sağlar.

Bayi portalı ya da B2C portal gibi dışarıya açık sistemlerde de 2FA'nın en azından isteğe bağlı olarak sunulması değerlidir. Yüzlerce bayinin ya da binlerce müşterinin giriş yaptığı bir portalda, tek bir zayıf hesabın ele geçirilmesi bile itibar kaybına yol açabilir; 2FA, bu geniş kullanıcı tabanında riski dağıtılmış biçimde azaltır.

2FA kullanıcı deneyimini zorlaştırır mı?

2FA, doğru tasarlandığında kullanıcı deneyimini önemli ölçüde zorlaştırmaz; çoğu sistem, güvenilen bir cihazda belirli bir süre boyunca ikinci doğrulamayı tekrar sormayarak bu sürtünmeyi azaltır. Günlük girişte birkaç saniyelik bir ek adım, hesabın taşıdığı riskle karşılaştırıldığında oldukça küçük bir bedeldir.

Kullanıcı direnci genellikle alışkanlık meselesidir. İlk kurulumda birkaç dakikalık bir yönlendirme ve neden gerekli olduğunun kısaca anlatılması, direnci büyük ölçüde azaltır. Çalışanlar 2FA'yı bir engel değil, kendi hesaplarını ve şirketin verisini koruyan bir önlem olarak gördüğünde benimseme çok daha hızlı olur.

İyi bir uygulamada 2FA'nın kaybolan ya da değişen telefon gibi durumlar için de bir kurtarma yolu bulunmalıdır; aksi halde kullanıcı kendi hesabından tamamen kilitlenebilir. Bu kurtarma sürecinin de güvenli tasarlanması, örneğin yalnızca bir yöneticinin onayıyla sıfırlanabilmesi, hem kullanılabilirliği hem güvenliği bir arada korur.

2FA hangi plan ve sistemlerde sunulmalı?

2FA, mümkün olduğunca tüm kurumsal sistemlerde sunulmalı, ancak özellikle hassas veri işleyen ve daha büyük ölçekte çalışan işletmelerin kullandığı üst seviye planlarda zorunlu tutulmalıdır. Küçük ölçekli bir kullanım için isteğe bağlı sunulması, büyüyen ve daha fazla veri taşıyan bir işletme için zorunlu hale gelmesi, riskle orantılı bir yaklaşımdır.

Sistem tasarımında 2FA'nın bir eklenti değil, kimlik doğrulama akışının doğal bir parçası olması önemlidir. Sonradan eklenen bir 2FA, genellikle akışın bir yerinde atlanabilir bir adım olarak kalır; baştan tasarlanan bir 2FA ise giriş sürecinin ayrılmaz bir parçası olur ve atlatılması çok daha zordur.

Rezon'un geliştirdiği sistemlerde 2FA, plan özellikleri arasında yer alır ve kritik roller için zorunlu tutulabilir. Bu yaklaşım, her şirketin kendi risk seviyesine göre doğru dengeyi kurmasına imkan tanır; küçük bir ekip esnek başlarken, büyüyen ve daha fazla veri taşıyan bir şirket bu koruma katmanını sıkılaştırabilir.

Güvenliği katman katman kurmak

İki faktörlü doğrulama tek başına bir mucize çözüm değildir; güçlü parola politikası, düzenli yedekleme, çalışan farkındalığı ve rol bazlı erişimle birlikte katmanlı bir savunmanın parçası olduğunda gerçek değerini gösterir. Ama bu katmanlar arasında, çalınan bir parolayı tek başına işe yaramaz hale getirdiği için özel bir yeri vardır.

Rezon, şirketlere özel CRM, ERP ve bayi portalı sistemleri kuran, kendi SaaS ürünlerini canlıda işleten İstanbul merkezli bir yazılım çözümleri şirketidir. Geliştirdiğimiz sistemlerde 2FA secret'ları şifrelenmiş biçimde saklanır, giriş denemeleri kaba kuvvet saldırılarına karşı sınırlanır ve iki faktörlü doğrulama kritik roller için zorunlu tutulabilir. Kurumsal yazılımınızın güvenlik katmanlarını birlikte gözden geçirmek için İletişim sayfamızdan ücretsiz keşif görüşmesi talep edebilir, yaklaşımımızı Çözümler sayfamızdaki Özel Yazılım bölümünde inceleyebilirsiniz.