İnternet tabanlı uygulamalara veya mobil uygulamalara giriş yaparken çoğu zaman sadece kullanıcı adı ve şifre ya da bunlara ek olarak anne kızlık soyadı, doğum tarihi ve TC Kimlik Numarası gibi bilgiler kullanılıyor. Ancak Komtera Teknoloji Genel Müdür Yardımcısı Ziya Gökalp’e göre sadece bu bilgilerle yapılan giriş işlemleri yeterince güvenli değil çünkü siber suçluların bu bilgileri ele geçirmesi oldukça kolay. Bu nedenle iki faktörlü doğrulama sistemlerine ihtiyaç duyulduğunu belirten Gökalp, bu teknolojinin günümüz siber saldırıları için en ciddi önlem olduğunun altını çiziyor.
Genellikle internet tabanlı uygulamalara, mobil uygulamalara veya Internet üzerinden erişim yaptığımız VPN ve SSL gibi sistemlere giriş yaparken kullanıcı adı ve şifre bilgileri ile doğrulama yapılıyor. Ancak bu bilgiler statik olmakla birlikte, kullanıcılar çoğu kez kolay hatırlanabilecek şifreler tercih ediyorlar. İnternet üzerinden finansal sistemlere erişim yaparken ise genellikle kullanıcı adı ve şifre ile birlikte bazı demografik bilgiler istenerek doğrulama yapılıyor. Ancak; TC Kimlik Numarası, anne kızlık soyadı, doğum tarihi ve ev/iş telefon numarası gibi demografik bilgiler de maalesef oldukça kolay ele geçebilecek bilgiler.
Öte yandan kullanıcı adları ve şifreler de genellikle kullanıcıların kolay hatırlayabilecekleri bilgilerden oluşmakta. Komtera Teknoloji Genel Müdür Yardımcısı Ziya Gökalp, bilgisayar korsanlarının, klavye veya ekran bilgilerini yakalayabilen araçlar ve programcıklar ile kişilerin bilgisayarlarına sızarak bu bilgileri kolaylıkla görüntüleyip ele geçirebildiklerini belirtiyor. Bu nedenle bilgi güvenliği açısından temel olarak iki faktörlü doğrulama teknolojilerine ihtiyaç duyuluyor. En bilindik iki faktörlü yöntem ise dinamik olarak tek kullanımlık şifre üreten (OTP - One Time Password) sistemler.
Tek kullanımlık şifre üreten (OTP) sistemler anahtarlık büyüklüğünde cihazlar olabilecekleri gibi akıllı cep telefonları üzerinde çalışabilen uygulamalar aracılığıyla da kullanılabiliyor. Günümüzde OTP sistemlerinde özellikle zaman tabanlı teknolojilerin tercih edildiğini ifaden eden Ziya Gökalp, “Bunun en büyük sebebi, bilgi güvenliği ve standartları açısından; üretilen tek kullanımlık şifrenin bir zaman dilimi içinde kullanılması ve kullanılmadığı takdirde zaman aşımına maruz kalarak kullanılamaz hale gelmesidir.” diyor.
Zaman tabanlı teknolojiler için gündeme gelen ve tartışılan sorun ise senkronizasyonlar ile ilgili. Fakat sunucu uygulama tarafında çalışan yönetim uygulamalarında yapılan geliştirmeler ile senkronizasyon sorunu da neredeyse yaşanmıyor. Birçok finans kuruluşu 25 - 35 saniyelik zaman dilimi içinde OTP cihazları veya uygulamaları üzerinden üretilen şifrenin kullanılması zorunluluğunu getirmiş olmalarına rağmen çok nadir senkronizasyon sorunları yaşamaktalar. Yaşanan senkronizasyon sorunları ise; sorun yaşayan token’e ait zaman aralığını kısa süreli olarak genişletip, kullanıcının senkronize olması ile birlikte eski zaman dilimlerine çekmeleri ile ortadan kaldırılmaktadır.
OLTALAMA SALDIRILARINDAN ZAMAN TABANLI OTP KULLANIMI İLE KORUNMAK MÜMKÜN
İnternet üzerinde yaşanan en büyük risklerden biri oltalama (phishing) saldırılarıdır. Bu açıdan bakıldığında, kullanılan OTP teknolojilerinin zaman tabanlı olması, oltalama saldırıları için bir önlem olarak gösterilebilir. Aynı şekilde ileri seviyedeki OTP cihazları ve uygulamaları challenge-response özelliği taşıyabilmekteler. Bu özellik sayesinde, uygulamalara ve sistemlere erişim yapılırken önce erişim yapılmak istenen uygulamanın bir challenge yapması gerekir. Challenge ile üretilen kod, token üzerinden girilerek bir şifre, yani response üretimi yapacaktır. Bu karşılıklı kontrol mekanizması ile güvenlik seviyesi artırılır. Token’e ait PIN numarasını bilmeyen kişi gelen challenge bilgisini token üzerine giremez ve OTP yaratamaz.
Bir ileri seviye koruma metodolojisi ise “transaction signing” özelliğidir. Transaction signing özelliği, ileri seviye koruma sağladığı gibi aradaki adam saldırıları (man in the middle) için başvurulan en güçlü güvenlik önlemlerinden biridir. Ziya Gökalp bu sistemi şu şekilde özetliyor: “PIN Pad’e sahip hard ve soft token üzerinden transaction signing özelliği seçilir ve kullanıcının karşısına 3 adet boş alan (field) gelir. Bu alanlara sunucu uygulama tarafından daha önce belirlenmiş olan bilgiler girilmelidir. Bu bilgiler; 1. alan için EFT hesap numarası veya IBAN, 2. alan için EFT yapılacak miktar/para tutarı ve 3. alan için referans numarası veya uygulamayı kullanan firmanın belirlemiş olduğu bir başka bilgi olabilir. Girilen bu bilgiler bir algoritmadan geçerek hashlenir ve bir şifre üretilir. Kullanıcı işlem yaparken bu şifreyi kullanır. Bu şifre sunucu uygulama tarafında da aynı algoritma ile kontrol edilerek doğrulama yapılır.”
En yalın hali ile kullanılan OTP teknolojilerinin zaman tabanlı, challenge-response ve transaction signing özellikleri taşıması günümüz siber saldırıları için ciddi önlemler olarak gösterilebilir.
BİOMETRİK FONKSİYONLAR DAHA GÜVENLİ KİMLİK DOĞRULAMASI SAĞLIYOR
Günümüzde Vasco Data Security’nin geliştirdiği ve patenti altına aldığı CrontoSign teknolojisi ile kullanıcılar sistemlere giriş yaparken, kendi hesapları için oluşturulmuş, renkli şekilleri içeren bir etiketi telefonları üzerindeki uygulamaya okutarak doğrulama yapabilmektedir. Bu teknoloji hem işlemi onaylama hem de erişim doğrulama için kullanımı kolay ve güvenli bir mekanizma sağlamaktadır. 2016 yılı itibari ile Vasco yüz tanıma gibi biometrik fonksiyonları da uygulama içine eklemiş ve kimlik doğrulama pazarında fark yaratan bir döneme imza atmıştır.
Mobil cihazların üzerindeki işletim sistemlerinden kaynaklanan güvenlik zafiyetleri de önemli bir diğer konu olarak öne çıkıyor. Mobil cihazlar üzerinde çalışan uygulamalar ne kadar güvenli olurlarsa olsunlar, cihazın işletim sisteminden kaynaklı risklere maruz kalabilirler. Bu noktada iki faktörlü doğrulama yazılımları içinde gerçek zamanlı kötü amaçlı yazılım taraması yapabilen RASP (Runtime Application Self Protection) gibi fonksiyonlar da sağlanabilir. Türkiye’de birçok şirket web uygulamalarına erişirken iki faktörlü doğrulama çözümleri kullandıkları gibi, mobil uygulamalarının içine de iki faktörlü kimlik doğrulama çözümlerini entegre ederek hem kimlik doğrulama hem de işlem onaylama yapmaktadırlar. /EGE BASIN GRUBU
GAZETELERİMİZ
GÜNAYDIN EGE GAZETESİ www.gunaydinege.net
BAKIRÇAY GAZETESİ www.bakircay.com
EGE HÂKİMİYET GAZETESİ www.egehakimiyet.com
FOTO HABER GAZETESİ www.fotohaber.com.tr
VAZİYET GAZETESİ www.yenivaziyet.com
YENİ VİZYON GAZETESİ www.yenivizyon.net
ARASTA GAZETESİ www.arastahaber.com
ALİAĞASPOR GAZETESİ www.aliagaspor.com
SAZAN MİZAH GAZETESİ www.yenisazan.com
İNTERNET SİTELERİ İÇİN TIKLAYINIZ
ALİAĞA HABER www.aliagahaber.com
ARASTA HABER www.arastahaber.com
YENİ SAZAN www.yenisazan.com
YENİ VAZİYET www.yenivaziyet.com
YENİVİZYON www.yenivizyon.net
ALİAĞA TARİHİ www.aliagatarihi.com
GÜNAYDIN ALİAĞA www.gunaydinaliaga.com
ALİAĞASPOR www.aliagasport.com
ALİAĞAMIZ www.aliagamiz.com
BAKIRÇAY www.bakircay.com
EGE HÂKİMİYET www.egehakimiyet.com
GÜNAYDIN İZMİR www.gunaydinizmir.com
AZİZ İZMİR www.azizizmir.com
EGE RAPOR www.egerapor.com
EGE İLAN www.egeilan.net
EGE İHALE www.egeihale.com
ALFA TİVİ www.alfativi.com
EGE VİDEO www.egevideo.com
EGEPLAY www.egeplay.com
Türkçe karakter kullanılmayan ve büyük harflerle yazılmış yorumlar onaylanmamaktadır.