Passwordless Kimlik Doğrulamanın Güvenlik Açıkları

Passwordless Kimlik Doğrulama Nedir?

Passwordless authentication, kullanıcının kimliğini doğrulamak için sabit bir parola yerine alternatif doğrulama faktörleri kullanır:

1. 1. Tek kullanımlık kod (OTP)
   2. E-posta magic link
   3. Push notification onayı
   4. Donanım güvenlik anahtarı
   5. Biyometrik doğrulama

En yaygın standartlardan biri:

FIDO2

Bu standart genellikle:

WebAuthn protokolü ile uygulanır.

Ama hiçbir sistem mutlak güvenli değildir.

1. Magic Link Güvenlik Riskleri

Magic link sistemleri kullanıcının e-posta adresine tek kullanımlık giriş bağlantısı gönderir.

Riskler:

1. 1. E-posta hesabı ele geçirilmişse login doğrudan saldırgana gider.
   2. Link forward edilebilir.
   3. Tarayıcı geçmişinde kalabilir.
   4. Referrer header üzerinden sızabilir.
   5. Aynı cihazda başka kullanıcı tarafından tıklanabilir.

Ayrıca link süresi uzun tutulursa replay saldırıları mümkün hale gelir.

2. OTP ve SMS Tabanlı Doğrulama Açıkları

SMS OTP sistemleri hala yaygın. Ancak:

1. 1. SIM swap saldırıları
   2. SS7 protokol zafiyetleri
   3. Telefon zararlı yazılımları
   4. SMS yönlendirme servisleri

OTP’yi güvenli olmaktan çıkarır.

Push tabanlı sistemlerde ise “push fatigue attack” görülür. Kullanıcıya arka arkaya onay isteği gönderilir, kullanıcı sonunda yanlışlıkla onaylar.

3. Biyometrik Doğrulama Riskleri

Parmak izi, yüz tanıma veya retina doğrulama güvenli görünür. Ancak:

1. 1. Biyometrik veri sızarsa değiştirilemez.
   2. Sahte parmak izi üretimi mümkündür.
   3. 3D yüz maskeleri ile bypass senaryoları vardır.
   4. Sensör kalitesi düşük cihazlarda false acceptance rate artar.

Biyometri cihaz tarafında güvenliyse sorun yoktur. Ancak backend tasarımı zayıfsa risk oluşur.

4. WebAuthn ve Donanım Anahtarı Riskleri

WebAuthn güçlü kriptografi kullanır. Private key cihazdan çıkmaz.

Ancak riskler tamamen bitmez:

1. 1. Kullanıcı phishing sayfasına yönlendirilirse?
   2. Domain binding yanlış yapılandırılmışsa?
   3. Attestation doğrulaması atlanmışsa?
   4. Fallback olarak şifre açık bırakılmışsa?

Ayrıca cihaz kaybı durumunda recovery mekanizması en zayıf halka olabilir.

5. Recovery Mekanizması Zafiyetleri

Çoğu passwordless sistem, “hesabı kurtarma” adımında zayıflar.

Örnek hatalar:

1. 1. E-posta ile kolay reset
   2. Zayıf güvenlik soruları
   3. Destek hattı üzerinden sosyal mühendislik
   4. Kimlik doğrulama yapılmadan cihaz ekleme

Saldırgan doğrudan ana sisteme değil, recovery akışına saldırır.

6. Device Binding ve Token Sabitleme

Bazı sistemler cihazı güvenilir kabul eder. Ancak:

1. 1. Çalınan cihazlarda session devam edebilir.
   2. Token revocation mekanizması yoksa kalıcı erişim oluşur.
   3. Local storage’da saklanan tokenlar XSS ile çalınabilir.

Passwordless, session güvenliğini ortadan kaldırmaz.

7. Phishing Direnci Gerçekten Var mı?

FIDO2 tabanlı sistemler phishing’e dirençlidir çünkü:

1. 1. Domain’e kriptografik olarak bağlıdır.
   2. Private key dışarı çıkmaz.

Ancak:

1. 1. Kullanıcı fake domain ile kandırılırsa?
   2. Reverse proxy phishing kit kullanılırsa?
   3. Kullanıcı fallback yöntemi seçerse?

Phishing riski sıfırlanmaz, sadece zorlaşır.

8. Kurumsal Ortamlarda Yanlış Yapılandırma

Passwordless sistemler genelde hibrit kurulur:

1. 1. Eski sistemler şifreli kalır.
   2. Yeni sistemler passwordless olur.
   3. SSO entegrasyonları eksik yapılır.

Bu hibrit mimari, saldırgan için geçiş noktası oluşturur.

Örneğin:

Microsoft Entra ID veya

Okta

gibi platformlar passwordless destekler. Ancak yanlış conditional access politikaları güvenliği düşürebilir.

9. MFA Bypass Senaryoları

Passwordless çoğu zaman MFA yerine geçer. Ancak:

1. 1. Backup code zafiyeti
   2. Rate limiting eksikliği
   3. Brute force koruması olmaması
   4. Device enrollment sürecinde doğrulama eksikliği

sistemi kırılgan hale getirir.

10. Passwordless = Zero Trust mı?

Hayır.

Passwordless sadece kimlik doğrulama yöntemidir.

Yetkilendirme, oturum yönetimi ve davranış analizi hala kritik önemdedir.

Zero Trust mimaride:

1. 1. Continuous authentication
   2. Risk tabanlı erişim
   3. Davranış analizi

gerekir.

Güvenlik İçin Öneriler​

1. 1. Recovery akışını en az login kadar güçlü tasarlayın.
2. 1. SMS OTP yerine donanım tabanlı doğrulama tercih edin.
3. 1. Token rotation ve kısa oturum süresi uygulayın.
4. 1. Fallback yöntemleri minimuma indirin.
5. 1. Device attestation doğrulamasını aktif edin.
6. 1. Phishing simülasyonları yapın.
7. 1. Rate limiting ve anomali tespiti ekleyin.

Sonuç

Passwordless, şifreyi ortadan kaldırır.

Ama kimlik doğrulama riskini ortadan kaldırmaz.

Saldırgan artık parolayı tahmin etmez.

Recovery akışını hedefler.

Cihazı ele geçirir.

Push onayını manipüle eder.

Güvenlik bir yönteme bağlı değildir.

Bir zincirdir.

Ve passwordless zincirin sadece bir halkasıdır.