Kimlik Doğrulama Yöntemleri: Doğru Yöntemi Seçmek

Bu rehber, müşterilerine çevrimiçi hizmetlere erişim için uygun bir kimlik doğrulama yöntemi seçmelerine yardımcı olmak amacıyla hazırlanmıştır. Bu yöntemler; perakendeciler, konaklama sağlayıcıları, finansal hizmetler ve kamu hizmetleri için özellikle önerilse de, çevrimiçi uygulama veya web sitelerine erişim sağlamak isteyen her türlü organizasyon tarafından kullanılabilir. Bu rehberde tanıtılan kimlik doğrulama yöntemlerinden herhangi birini parola doğrulamasına eklemek, müşteri hesaplarınızın güvenliğini çok önemli ölçüde artıracaktır. Aynı zamanda, müşterilerinizin güvenli ve sorunsuz bir kullanıcı deneyimi yaşamasını sağlamak için ek kimlik doğrulama katmanları sunmanız, şirketinizin itibarını ve güvenilirliğini artırabilir.

Parolaların ötesine geçen birkaç kimlik doğrulama yöntemi vardır. Bu rehber, her bir yöntemin faydalarını ve sınırlılıklarını özetleyerek kurumunuz ve müşterileriniz için en uygun olanı seçmenize yardımcı olur. Bu rehber, aynı zamanda bu yöntemlerin uygulanması sırasında karşılaşılabilecek zorluklar ve bu zorluklarla nasıl başa çıkılabileceği hakkında da bilgiler sunar.

Neden parolanın ötesine geçilmeli?

20 yıl önce Bill Gates, parolaların ölümünü öngörmüştü. Birçok kişi alternatif yöntemlerin yerlerini alacağını düşünse de, parolalar hem iş hayatında hem de ev kullanımında yaygın kimlik doğrulama yöntemi olarak kalmaya devam etti. Parola ile kimlik doğrulama ucuz, uygulanması kolay ve kullanıcılar tarafından anlaşılır. Çevrimiçi hizmetlerin benimsenmesi ve kişisel bilgisayarlar, akıllı telefonlar ve tabletlerin yaygınlaşmasıyla parola kullanımı artış göstermeye devam ediyor.

Ortalama bir kullanıcının bu kadar çok çevrimiçi hesaba sahip olması nedeniyle tümü için farklı parolalar oluşturmak (ve hatırlamak) zor olabiliyor. Bu da kullanıcıların ‘parola yükü’ ile başa çıkabilmek için kendi stratejilerini geliştirmelerine yol açar. Bu stratejiler, öngörülebilir kalıplar kullanarak parola oluşturmayı veya aynı parolayı farklı sistemlerde tekrar kullanmayı içerebilir. Saldırganlar bu bilinen yaklaşımları kullanarak kullanıcıları ve kurumları savunmasız bırakabilir.

Google tarafından yapılan araştırmalar, parolaların %52’sinin farklı hesaplarda tekrar kullanıldığını ortaya koymuştur. Parolaların tekrar kullanılması, veri ihlalleri ve kimlik hırsızlığı gibi güvenlik açıklarını büyük ölçüde artırmaktadır. FIDO verilerine göre parolalar, veri ihlallerinin %80’inden fazlasının temel nedenidir.

Ek kimlik doğrulama yöntemlerini sunmak aynı zamanda iş açısından da mantıklıdır. Bazı tahminlere göre çevrimiçi alışverişlerin 1/4’ü unutulan parolalar nedeniyle terk edilmektedir, çünkü parola kurtarma (veya yeni hesap oluşturma) zaman alıcı bir süreçtir ve birçok müşteriyi caydırır. Ek kimlik doğrulama yöntemleri, kullanıcıların bu süreçleri daha güvenli ve hızlı bir şekilde tamamlamalarını sağlayarak müşteri memnuniyetini artırır.

Parolalar çeşitli yöntemlerle çalınabilir, ancak en yaygın yöntem, bir kurumun hesap bilgilerini içeren bir veri ihlali yaşamasıdır. Suçlular, bu ihlalde çalınan parolaları kullanarak diğer hesaplara erişmeye çalışabilir; bu tekniğe ‘kimlik bilgisi doldurma’ (credential stuffing) denir. Bu yöntem, birçok kişinin aynı parolayı farklı hesaplar için kullanması nedeniyle etkili olur.

Ek kimlik doğrulama nasıl yardımcı olur?

Suçlular ayrıca kimlik avı tekniklerini kullanarak (e-posta, SMS veya doğrudan mesaj/görüşme yoluyla) hesaplara erişmeye çalışabilir veya milyonlarca kişinin hala kullandığı basit parolalar deneme yoluna gidebilir. Kimlik avı saldırıları, kullanıcıların güvenliğini tehdit eden en yaygın yöntemlerden biridir ve bu tür saldırılara karşı ek kimlik doğrulama katmanları, kullanıcıların bilgilerini koruma altına alabilir.

Parolalar nasıl ele geçirilirse geçirilsin, ek kimlik doğrulama yöntemi uygulamıyorsanız, suçlular çalınmış kimlik bilgilerini kullanarak kullanıcı hesaplarına yasa dışı erişim sağlayabilir. Bu, onlara hassas kişisel verilere (finansal veriler gibi) erişim sağlayabilir veya kullanıcıyı taklit ederek zararlı eylemler gerçekleştirmelerine izin verebilir. Müşteri hesaplarına ek bir kimlik doğrulama yöntemi eklemek, suçluların zararlı eylemlerini gerçekleştirmesini çok daha zor hale getirir. Ek kimlik doğrulama katmanları, kullanıcılara ek güvenlik sağlarken aynı zamanda kullanıcıların hesaplarının ele geçirilme riskini de büyük ölçüde azaltır.

Modelinizi Seçin

Bu rehberde dört kimlik doğrulama modeli ele alınmıştır:

• Çok Faktörlü Kimlik Doğrulama (MFA)
• OAuth 2.0
• FIDO2
• Tek Kullanımlık Parolalar ve Büyülü Bağlantılar

Her bir kimlik doğrulama yöntemi için hem güvenlik hem de kullanılabilirlik gibi faktörleri ve en önemlisi, müşteri profilinizi dikkate almalısınız. Örneğin, bazı müşteriler, çevrimiçi alışveriş için ek cihazlar almak konusunda isteksiz olabilir. Kullanıcıların ihtiyaçlarına uygun bir doğrulama yöntemi seçmek, onların hizmetlerinizi tercih etme oranını artırabilir.

Parolaların zayıflıkları olsa da, kullanıcılar tarafından hem anlaşılan hem de kabul edilen bir yöntemdir. Ek kimlik doğrulama modeli uygularsanız, hesap kurulumu ve sonraki süreçlerde kullanıcılara ek destek sağlamanız gerekecektir. Ancak:

• Farklı yöntemlerin sunulması daha fazla sayıda kullanıcıyı çekmenizi sağlayacaktır.
• Bu seçeneklerin hesap kurulumu sırasında sunulması, ek kimlik doğrulamanın faydalarını açıklamak ve nasıl çalıştığını anlatmak için bir fırsat sağlar.
• Kullanıcıların bu yöntemleri anlaması ve benimsemesi, onların güvenlik konusunda daha bilinçli olmasını sağlar. Bu da kullanıcı farkındalığını artırır.

Çok Faktörlü Kimlik Doğrulama (MFA)

Parolaların ötesine geçen en yaygın kimlik doğrulama yöntemi çok faktörlü kimlik doğrulamadır (MFA). Bu yöntem, kullanıcıdan ikinci bir faktör sağlamasını ister; bu, yalnızca kullanıcının erişimi olan bir şeydir. Bu ikinci faktör aşağıdakileri içerebilir:

• Kullanıcıya SMS veya e-posta yoluyla gönderilen PIN kodu veya karakter dizisi
• Kullanıcının cihazına fiziksel olarak bağlaması gereken bir güvenlik anahtarı (USB gibi)
• Biyometrik detaylar (parmak izi taraması veya yüz tanıma)
• Güvenilir bir cihazdaki uygulama (Microsoft veya Google tarafından sağlanan authenticator uygulamaları gibi)

MFA’nın uygulanması sırasında en uygun ikinci faktör, kurumunuzun sunduğu hizmetlere ve müşteri profilinize bağlı olarak değişebilir. Örneğin, SMS ile gönderilen bir PIN kodu, en yaygın ve anlaşılır ikinci faktör olsa da, en güvenli seçenek değildir. Kullanıcılarınıza bir seçenek sunmanız, en geniş müşteri tabanını kapsamanızı sağlar. Aynı zamanda, kullanıcıların güvenlik seviyesini artıracak alternatif yöntemler sunmak, hizmetlerinizin daha esnek olmasını sağlar.

MFA’nın her hizmet kullanıldığında zorunlu tutulmaması gerektiğini unutmayın; bu, kullanıcılar için can sıkıcı hale gelebilir. Yalnızca yüksek etkili bir faaliyet tespit edildiğinde, örneğin:

• Büyük meblağlarda para transferi
• Parola değişikliği
• Hesap detaylarının değiştirilmesi (kredi kartı detaylarının güncellenmesi/eklenmesi dahil)

Bu gibi durumlarda ikinci faktör talep edilmelidir. Ayrıca, hesabın şüpheli etkinliğini tespit ettiğinizde, örneğin farklı bir cihazdan veya kullanıcı için normal olmayan bir konumdan bir giriş yapıldığında da uygulanmalıdır. Bu tür durumlar, kullanıcının hesabının güvenliğini sağlamak adına kritik önem taşır ve kullanıcıların bu konuda bilgilendirilmesi gerekir.

MFA uygulamanın kullanıcılarınıza ek destek sağlamanızı gerektireceğini unutmayın; hesap kurulumu sırasında ve uzun vadede (kullanıcılar ikinci faktöre erişimi kaybederse ne yapacakları gibi) bu destek önemlidir. Altta paylaşılan yazıda MFA ile ilgili detaylı bilgiyi ve bunları nasıl aktif edeceğiniz konusunda detaylı bilgiler bulabilirsiniz. Gerektiğinde bu rehberi kendi destek materyallerinize dahil edebilirsiniz. Kullanıcılarınızın MFA’ya alışmasını sağlamak, onların hesap güvenliğini artıracak ve kullanıcı deneyimini iyileştirecektir. MFA sadece iki faktörlü olmak zorunda değildir, güvenliği arttırmak amacıyla üçüncü veya dördüncü faktörler de eklenebilir. Bu genellikle askeri ve/veya gizli proje geliştirilen şirketler veya kurumlar için önem arz eder.

OAuth 2.0

OAuth 2.0, kullanıcıların mevcut bir hesap (Apple, Facebook veya Google gibi) ile yeni bir hizmete giriş yapmasına izin verir. Bu yöntem genellikle Tek Giriş (SSO) olarak adlandırılır. “Google ile Giriş Yap” gibi seçenekler, yeni bir web sitesine giriş yaparken yeni bir hesap oluşturma yükünü ortadan kaldırır. Bu yöntem, kullanıcıların daha hızlı ve güvenli bir şekilde hizmetlerinize erişmesini sağlayarak müşteri deneyimini iyileştirir.

OAuth sağlayıcıları zaten güvenlik önlemleri (MFA gibi) uygulamışsa, yeni hizmet bu önlemleri içten uygulama riskini (ve maliyetini) ortadan kaldırır. Ayrıca, OAuth kullanarak kullanıcıların hesap oluşturma sürecini basitleştirmek, müşteri memnuniyetini artırabilir ve hizmetlerinize olan güveni pekiştirebilir.

FIDO2

FIDO2, kimlik doğrulama sürecinde kullanıcıya fiziksel bir cihaz kullanarak kimliğini doğrulama imkanı sunar. Bu yöntem, parola kullanımını tamamen ortadan kaldırarak daha güvenli bir kimlik doğrulama sağlar. FIDO2, kullanıcıların özel bir güvenlik anahtarı veya biyometrik verileri kullanarak kimlik doğrulamasını mümkün kılar. Bu yöntem, hem kullanıcıların hem de hizmet sağlayıcılarının güvenlik açısından fayda sağlayabileceği bir modeldir. FIDO2, kullanıcının kimlik bilgilerini fiziksel cihazda sakladığı için, çevrimiçi veri ihlalleri sonucunda çalınan parolaların kullanılmasını engeller. Bu, kimlik avı gibi saldırılara karşı da güçlü bir koruma sağlar.

FIDO2’nin avantajlarından biri, kullanıcının başka bir ek cihaz veya parolaya ihtiyaç duymadan kimliğini doğrulayabilmesidir. Bu yöntem, kullanıcıların deneyimini iyileştirir ve onları parola karmaşıklığı ve unutma problemlerinden kurtarır. Ayrıca FIDO2, kullanıcının kimlik doğrulama sürecinde sadece biyometrik verilerini veya güvenlik anahtarını kullanmasını sağlayarak, parolalara dayalı güvenlik açıklarını büyük ölçüde azaltır. FIDO2, özellikle güvenlik düzeyi yüksek olan ve kullanıcılarının hassas verilere eriştiği hizmetler için uygun bir çözüm sunar.

Tek Kullanımlık Parolalar ve Büyülü Bağlantılar (Parolasız Girişler)

Tek kullanımlık parolalar (OTP) ve büyülü bağlantılar(parolasız girişler), kullanıcının kimliğini doğrulamak için yaygın olarak kullanılan diğer yöntemlerdir. OTP, kullanıcının belirli bir süre için geçerli olan tek kullanımlık bir kod almasını içerir. Bu kod genellikle SMS, e-posta veya özel bir uygulama üzerinden gönderilir ve kullanıcının kimliğini doğrulamak için kullanılır. Tek kullanımlık parolalar, kullanıcının parolasını ele geçiren bir saldırganın, tek kullanımlık parola olmadan hesaba erişememesini sağlayarak ek bir güvenlik katmanı sunar.

Büyülü bağlantılar yani parolasız girişler ise kullanıcının e-posta adresine gönderilen ve kimliğini doğrulayan özel bir bağlantıdır. Kullanıcı, bu bağlantıya tıklayarak hesabına giriş yapabilir. Bu yöntem, kullanıcının bir parola hatırlamak zorunda kalmamasını sağladığı için kullanıcı deneyimini iyileştirir. Büyülü bağlantılar, özellikle basit ve hızlı erişim gerektiren hizmetler için uygundur. Ancak bu yöntemin güvenliği, kullanıcının e-posta hesabının güvenliğine bağlıdır. Bu nedenle, büyülü bağlantı kullanımı sırasında kullanıcıların e-posta hesaplarının güvenliğini sağlamak önemlidir.

Tek kullanımlık parolalar ve büyülü bağlantılar, kullanıcılara kolaylık sağlarken, aynı zamanda kimlik avı ve parolaların ele geçirilmesi gibi tehditlere karşı da ek bir koruma sağlar. Bu yöntemler, kullanıcıların hizmetlerinize güvenli bir şekilde erişmesini sağlarken, aynı zamanda kullanıcı deneyimini de olumlu yönde etkiler.

Farklı Doğrulama Yöntemleri Arasında Geçiş Yapmanın Yolları

Farklı doğrulama yöntemleri arasında geçiş yapmak, kullanıcılara esneklik sağlamak ve güvenlik gereksinimlerine uyum sağlamak açısından önemlidir. Kullanıcıların ihtiyaçları ve alışkanlıkları zamanla değişebilir, bu nedenle kimlik doğrulama yöntemlerini değiştirme esnekliği sunmak büyük avantaj sağlar. Örneğin, bir kullanıcı başlangıçta SMS tabanlı bir doğrulama yöntemini tercih edebilirken, daha sonra biyometrik bir yönteme geçmek isteyebilir. Bu nedenle, kullanıcıların mevcut doğrulama yöntemlerini kolayca değiştirmesine olanak tanıyacak bir sistem tasarlamak önemlidir.

Bu geçişlerin sorunsuz olabilmesi için şu adımlar izlenebilir:

• Kullanıcı Eğitimi: Kullanıcılara, farklı kimlik doğrulama yöntemlerinin avantajlarını ve bunlar arasındaki geçiş sürecini açık bir şekilde anlatan rehberler sunulmalıdır. Kullanıcılar, geçiş yapmanın faydalarını ve bu sürecin basitliğini anlamalıdır.
• Kolay Geçiş Süreçleri: Kullanıcılara, mevcut kimlik doğrulama yöntemlerini değiştirme konusunda kolay ve kullanıcı dostu bir yol sunulmalıdır. Örneğin, uygulama veya web sitesi üzerinden birkaç adımda geçiş yapabilecekleri bir arayüz sağlanmalıdır.
• Destek Hizmetleri: Kullanıcıların geçiş sırasında karşılaşabilecekleri sorunlara hızlı çözümler sunmak için destek hizmetleri devreye alınmalıdır. Bu sayede kullanıcılar herhangi bir sorunla karşılaştıklarında hızla destek alabilirler.
• Kullanıcı Seçeneklerini Artırmak: Kullanıcıların tercih edebileceği çeşitli doğrulama yöntemleri sunmak, onların ihtiyaçlarına en uygun çözümü seçmelerini sağlar. Bu, kullanıcı memnuniyetini artırırken aynı zamanda güvenliği de güçlendirir.

Kullanıcı Güvenliğini Artırmanın Önemi

Kullanıcı güvenliğini artırmak, sadece şirketlerin ve kurumların itibarı için değil, aynı zamanda kullanıcıların dijital varlıklarını koruma altına almak için de kritik bir gerekliliktir. Kullanıcılar, çevrimiçi hizmetlere güven duyduklarında, bu hizmetleri kullanma olasılıkları daha yüksektir. Güvenlik ihlalleri, yalnızca kullanıcıların kişisel ve finansal bilgilerini tehlikeye atmakla kalmaz, aynı zamanda şirketlerin itibarına da ciddi zararlar verir.

Kullanıcı güvenliğini artırmanın bazı önemli yönleri şunlardır:

• Güven Oluşturma: Kullanıcıların hesaplarının güvenli olduğunu bilmeleri, onlara hizmetlerinizi daha fazla kullanma konusunda güven verir. Bu güven, müşteri sadakatini artırır ve uzun vadede müşteri tabanınızı genişletir.
• Veri İhlallerini Önleme: Güçlü kimlik doğrulama yöntemleri, suçluların kullanıcı hesaplarına yetkisiz erişimini zorlaştırarak veri ihlallerini önler. Bu, kullanıcıların kişisel verilerinin güvenliğini sağlar ve hukuki sorumlulukları azaltır.
• Kullanıcı Deneyimini İyileştirme: Kullanıcı güvenliği artırıldığında, kullanıcılar daha az güvenlik endişesi yaşar ve bu da genel kullanıcı deneyimini iyileştirir. Ek güvenlik katmanları, kullanıcıların hesaplarına olan güvenini pekiştirir ve onları daha rahat hissettirir.
• Yasal Uyumluluk: Birçok ülke ve sektör, güçlü kimlik doğrulama yöntemlerini zorunlu kılmaktadır. Kullanıcı güvenliğini artırmak, şirketlerin bu yasal gerekliliklere uyum sağlamasına yardımcı olur ve olası cezaların önüne geçer.

Kullanıcı güvenliğini artırmak, hem müşterilerinizi korumak hem de şirketinizin büyümesini desteklemek için atılacak en önemli adımlardan biridir. Bu nedenle, kimlik doğrulama yöntemlerinizi sürekli olarak değerlendirmek ve her geçen gün değişen teknolojik gelişmeler doğrultusunda güncel tutarak geliştirmek, kullanıcılarınızın güvenliğini sağlamak için büyük önem taşır.