Neler değişti

Her içerik güncellemesi sürümlenir. Bir sürümü seçerek öncekiyle karşılaştırın.

Sürüm 7 → 8

Güncelleme

İki yeni bölüm: MFA yorgunluğu ve aktarılan kodların nasıl işlediği ile passkey'lerin ikisine de neden dayandığı; bir hesabı ayrıcalıklı yapan şey ve kalıcı ayrıcalığın tam zamanında erişimle karşılaştırması.

3 ders güncellendisüre

İçerik güncellemesi. Kayıtlı öğrenciler bilgilendirildi.

Süre 17 dakikadan 21 dakikaya değişti.

Kimlik doğrulama ile yetkilendirme ve MFA faktörleri

Her erişim kararının merkezinde iki soru vardır: 1. **Kimlik doğrulama (AuthN)**: *Siz kimsiniz?* Sistem, kişinin veya servisin hesabı gerçekten kontrol ettiğini doğrular. 2. **Yetkilendirme (AuthZ)**: *Neyi yapmaya yetkilisiniz?* Kimlik kanıtlandıktan sonra politikalar, roller ve izinler hangi uygulama, veri ve işlemlere izin verildiğine karar verir. Bir kullanıcının kimliği kusursuz biçimde doğrulanmış olabilir ama yine de bordro sistemine erişim yetkisi olmayabilir. Bu iki adımı zihninizde ayrı tutun. ::diagram isf-authn-authz ### Çok faktörlü kimlik doğrulama MFA, farklı kategorilerdeki faktörleri birleştirir; böylece çalınan tek bir sır yeterli olmaz: - **Bildiğiniz bir şey**: parola, PIN, güvenlik sorusu. - **Sahip olduğunuz bir şey**: push bildirimi alan bir telefon, TOTP kodu üreten bir doğrulayıcı uygulama, FIDO2 güvenlik anahtarı. - **Olduğunuz bir şey**: parmak izi veya yüz tarama; genellikle bir cihazın ya da passkey'in kilidini açar. Her faktör aynı güçte değildir. SMS ve e-posta kodları ele geçirilebilir veya oltalama ile çalınabilir. Push onayları "MFA yorgunluğu" saldırılarıyla kötüye kullanılabilir. **Passkey'ler (FIDO2/WebAuthn)** gerçek web sitesine bağlıdır ve oltalamaya karşı dirençlidir; bu yüzden birçok kurum onları tercih edilen faktör olarak görür. ### İkinci faktöre yönelik iki saldırı ve passkey'lerin neden dayandığı **MFA yorgunluğu.** Saldırgan parolayı zaten ele geçirmiştir, örneğin bir oltalama sayfasından. Her oturum açma denemesi kurbanın telefonuna bir push bildirimi gönderir. Saldırgan bunu, çoğu zaman gece geç saatte, yorulan kullanıcı yalnızca bildirimler dursun diye Approve'a basana kadar tekrarlar. Teknik olarak hiçbir şey kırılmamıştır: kullanıcı yıpratılmıştır. **Aktarılan kodlar.** Sahte bir oturum açma sayfası parolayı ve tek kullanımlık kodu ister, ikisini de saniyeler içinde gerçek siteye iletir. Bu, SMS, e-posta ve kimlik doğrulayıcı uygulama kodlarının hepsinde işe yarar, çünkü bir kod nereye yazılırsa yazılsın geçerlidir. **Passkey** iki açığı da kapatır. Passkey bir anahtar çiftidir: özel anahtar kullanıcının cihazından hiç çıkmaz ve cihaz, oturum açma sorgusunu yalnızca passkey'in kaydedildiği web sitesi adresi (origin) için yanıtlar. Benzer görünen bir sitenin adresi farklıdır, bu yüzden yeniden kullanabileceği hiçbir şey alamaz. Refleksle onaylanacak bir bildirim de, aktarılacak bir kod da yoktur. Passkey aynı zamanda **parolasızdır**: kullanıcı onu parmak izi, yüz tanıma ya da cihaz PIN'i ile açar; parola yazılmaz ve sunucuda tutulmaz. | Faktör | Çalınan parola tek başına yetmez | Sahte oturum açma sayfasına dayanır | | --- | --- | --- | | SMS veya e-posta kodu | Evet | Hayır, kod aktarılabilir | | Kimlik doğrulayıcı uygulama kodu | Evet | Hayır, kod aktarılabilir | | Push onayı | Evet | Hayır, ayrıca tekrarlanan bildirimler kullanıcıyı yıpratabilir | | Passkey (FIDO2/WebAuthn) | Evet | Evet, gerçek siteye bağlıdır | > İpucu: Yalnızca MFA'nın "açık" olup olmadığını değil, faktörün oltalamaya dirençli olup olmadığını da sorun.

Kimlik sözlüğü

Metin yalnızca diğer dillerde değişti.

IAM, PAM ve IGA

Kimlik güvenliği genellikle üç disipline ayrılır. Bu disiplinler örtüşür ve olgun programlar onları birlikte yürütür. - **IAM (Kimlik ve Erişim Yönetimi)** günlük erişimi kontrol eder: tek oturum açma (SSO), MFA, dizinler, kullanıcı yaşam döngüsü ve erişim politikaları. Amacı, doğru kişilerin doğru uygulamalara en az sürtünmeyle ulaşmasıdır. - **PAM (Ayrıcalıklı Erişim Yönetimi)** en çok zarar verebilecek az sayıdaki hesabı korur: domain yöneticileri, root, veritabanı sahipleri, bulut yöneticileri. Tipik kontroller kasa (vault), parola rotasyonu, onaylı oturumlar ve oturum kaydıdır. - **IGA (Kimlik Yönetişimi ve Yönetimi)** bu erişimin var *olması gerekip gerekmediğini* sorar. Erişim talepleri ve onayları, periyodik erişim gözden geçirmeleri (sertifikasyon), görevler ayrılığı ve denetim kanıtlarını kapsar. Kolay bir hatırlatma: IAM kapıyı açar, PAM kasa odasını korur, IGA ise davetli listesini düzenli olarak kontrol eder. Monofor ailesinde **Monosign** erişim yönetimini ve yönetişimi tek platformda birleştirir, **Monopam** ayrıcalıklı erişime odaklanır, **Monosync** ise kimlik verisini kaynaklar ve hedefler arasında senkronize eder. Monopam ve Monosync kullanıcıları normalde Monosign üzerinden oturum açar; böylece Monosign merkezi kimlik görevi görür. ::diagram isf-iam-pam-iga ### Bir hesabı ayrıcalıklı yapan nedir Bir hesap, onu kimin kullandığı için değil, **neyi değiştirebildiği** için ayrıcalıklıdır. Domain yöneticisi en bilinen örnektir. Bir yedekleme aracının tüm sunucularda yönetici haklarıyla kullandığı servis hesabı da aynı ölçüde güçlüdür ve gözden kaçması daha kolaydır: onunla hiç kimse oturum açmaz, parolası nadiren değişir ve kimse kendini ondan sorumlu hissetmez. Bir müşteriyle ayrıcalıklı hesapları listelerken iki türü de sorun: insanların kullandıkları ve makinelerin kullandıkları. ### Kalıcı ayrıcalık ve tam zamanında erişim **Kalıcı ayrıcalık (standing privilege)**, güçlü erişimin kullanılsın ya da kullanılmasın her zaman yerinde durması demektir. Var olduğu her saat, bir saldırganın onu kullanabileceği bir saattir. **Tam zamanında erişim (just-in-time)** bunu ortadan kaldırır: kişi erişimi bir iş gerektirdiğinde ister, erişim sınırlı bir zaman aralığı için verilir ve sonrasında kendiliğinden sona erer. Örnek: bir veritabanı yöneticisinin perşembe akşamı bir şema değişikliği için üretim erişimine ihtiyacı var. | | Kalıcı ayrıcalık | Tam zamanında erişim | | --- | --- | --- | | Erişimi ne zaman taşıyor | Bütün yıl | Perşembe 20:00 ile 22:00 arası | | Kim karar verdi | Yıllar önce ayarlayan kişi | Bu isteği onaylayan bir iş arkadaşı | | Saldırgan cuma günü ne bulur | Çalışan bir yönetici hesabı | Kullanabileceği hiçbir şey | > İpucu: Önce IAM kapsamını sağlayın, ardından ayrıcalıklı hesapları koruyun, sonra yönetişimi ekleyin. Üçünden birindeki boşluk bir saldırı yoluna dönüşür.