Geçiş anahtarları, parolasız giriş ve oltalamaya dayanıklı MFA

1. Giriş#

Tüm dijital hizmetlerde kullanıcı kimlik doğrulaması, siber güvenliğin en önemli parçasıdır. İşletmeler müşterileriyle etkileşim kurmak için web ve mobil uygulamalara her zamankinden daha fazla güvendikçe, güvenli ve kullanıcı dostu giriş çözümlerine duyulan ihtiyaç katlanarak arttı. Geleneksel parolalar kolayca oltalama saldırılarına maruz kalabildiği, unutulabildiği veya farklı hizmetlerde tekrar kullanılabildiği için bir risk haline geldi. Bunun sonucunda kimlik bilgilerine dayalı saldırılar ve veri ihlalleri artıyor, tüketici güveni azalıyor.

Son yıllarda daha fazla güvenlik ve daha iyi bir kullanıcı deneyimi vadeden yeni kimlik doğrulama yöntemleri ortaya çıktı. Bu yazı, aralarındaki farkları, güçlü yönleri ve stratejik etkileri anlamak ve popüler terimlerin gerçek anlamını açıklamak için üç yaklaşımı karşılaştırıyor: geçiş anahtarları, daha genel anlamda parolasız kimlik doğrulama ve oltalamaya dayanıklı çok faktörlü kimlik doğrulama (MFA).

Bu yazı şu soruları yanıtlamayı amaçlıyor:

1. Geçiş anahtarları, parolasız kimlik doğrulama ve oltalamaya dayanıklı MFA arasındaki temel farklar nelerdir?
2. Bu yöntemler geleneksel parolalara kıyasla güvenliği nasıl artırır?
3. Parolasız kimlik doğrulama, oltalamaya dayanıklı MFA ve geçiş anahtarları kullanıcı deneyimini, benimsenmeyi ve operasyonel maliyetleri nasıl etkiler?
4. Bu yöntemleri başarıyla uygulayan kuruluşların pratik kullanım alanları ve gerçek örnekleri nelerdir?

2. Temel kavramlar#

Karşılaştırmaya geçmeden önce kullanacağımız terimleri tanımlamak önemli. Parolasız kimlik doğrulama, oltalamaya dayanıklı MFA ve geçiş anahtarlarının her biri eski yöntemlere göre önemli iyileştirmeler sunar. Ancak bu terimler birbirinin yerine kullanılamaz.

2.1 Parolasız kimlik doğrulama nedir?#

Parolasız kimlik doğrulama yöntemleri geleneksel parolayı tamamen ortadan kaldırır. Kullanıcılar bunun yerine kimliklerini şunlarla kanıtlar:

• Sahip oldukları bir şey (telefon veya güvenlik anahtarı gibi)
• Oldukları bir şey (biyometrik faktörler)
• E-posta veya SMS ile gönderilen tek kullanımlık kod (bu da sahip olunan bir şey sayılabilir; örneğin SMS almak için telefon gerekir)

Amaç, statik parola gibi kolayca ele geçirilebilen ve kullanımı zor bir şeye bağımlılığı azaltmaktır.

Yaygın parolasız yöntemler:

• E-posta ile gönderilen magic link'ler
• Kimlik doğrulayıcı uygulamalarla kullanılan zamana dayalı tek kullanımlık kodlar (TOTP) (ör. Google Authenticator, Authy, Microsoft Authenticator)
• Anlık bildirimler (ör. yerel iOS/Android uygulamalarında)
• Biyometri (ör. geçiş anahtarlarında)
• SMS ile gönderilen tek kullanımlık kodlar (OTP)
• E-posta ile gönderilen tek kullanımlık kodlar (OTP)
• Sosyal hesapla giriş (ör. “Google ile giriş yap”, “Facebook ile giriş yap”)

Parolasız yaklaşımlar kullanıcı deneyimini genellikle iyileştirse ve kaba kuvvet saldırısı riskini azaltsa da hepsi doğal olarak oltalamaya dayanıklı değildir. Örneğin kullanıcı bir kodu oltalama sayfasına girmesi için kandırılırsa magic link veya SMS OTP kötü amaçlı bir site tarafından ele geçirilebilir. Dolayısıyla parolasız yöntemler güvenlik ve kullanılabilirliği birçok açıdan iyileştirse de bazıları sosyal mühendisliğe karşı savunmasız kalır.

2.2 Oltalamaya dayanıklı MFA nedir?#

FIDO2 tabanlı donanım güvenlik anahtarları (YubiKey gibi), oltalamaya dayanıklı MFA'ya örnektir. Bu anahtarlar, kimlik doğrulama sürecini meşru kaynağa (gerçek web sitesinin alan adına) bağlayarak kullanıcının kimlik doğrulamasının sahte bir siteye yönlendirilmesini veya orada yeniden kullanılmasını engeller. Saldırgan özel anahtarı veya yeniden kullanılabilir bir gizli kodu hiçbir zaman ele geçirmez. Aynısı geçiş anahtarları için de geçerlidir.

Bununla birlikte donanım güvenlik anahtarlarının öncelikle çalışanlar için pratik olduğunu belirtmek gerekir. Kuruluşlar bu seçeneği müşterilere sunabilir, ancak çoğunlukla yalnızca teknolojiye aşina kullanıcılar bu çözümleri tanıdığından bunu zorunlu tutmak genellikle gerçekçi değildir. Ortalama bir kullanıcı donanım anahtarlarının mantığını ve kullanımını anlamakta zorlanabilir.

Oltalamaya dayanıklı MFA, kullanıcı sahte bir siteyle etkileşime girse bile yanlışlıkla geçerli bir kimlik bilgisini teslim etmesini önler. Yöntemin güvenlik tasarımı, çalınan bilgileri saldırganlar için işe yaramaz hale getirir veya bu bilgilerin çalınmasını en baştan imkânsız kılar. Yalnızca kullanıcının kimliğini değil, sitenin gerçekliğini de doğrulayan kriptografik kontrollere dayanır.

CISA ve ACSC gibi düzenleyici kurumlar, hassas hesapları korumak için oltalamaya dayanıklı MFA kullanımını giderek daha fazla kabul ediyor ve öneriyor. Bu standartların uygulanması kuruluşların yasal yükümlülükleri karşılamasına, sorumluluk riskini azaltmasına ve siber güvenlik denetimlerinde gerekli özeni gösterdiğini kanıtlamasına yardımcı olabilir.

2.3 Geçiş anahtarları nedir?#

Geçiş anahtarları, FIDO2 ve WebAuthn gibi açık standartlara dayanan modern kimlik bilgileridir. Parola gibi paylaşılan bir sır yerine asimetrik kriptografi kullanırlar:

• Açık anahtar (kimlik doğrulama sırasında sunucuya gönderilir)
• Özel anahtar (kullanıcının cihazından hiç ayrılmaz; yazılması veya hatırlanması gerekmez)

Bir kullanıcı geçiş anahtarıyla hesap oluşturduğunda cihazı benzersiz bir anahtar çifti üretir. Açık anahtar sunucuya gönderilir ve kullanıcının hesabıyla ilişkilendirilirken özel anahtar kullanıcının cihazında güvende kalır. Kimlik doğrulama için sunucu bir sınama gönderir ve cihaz bu sınamayı özel anahtarla imzalayarak çalınabilecek bir sırrı açığa çıkarmadan kullanıcının kimliğini kanıtlar.

Geçiş anahtarları kullanıcıları zahmetli parolaları hatırlama veya yönetme yükünden kurtarır. Kimlik doğrulama çoğu zaman kullanıcıların telefonlarının kilidini açarken zaten bildikleri biyometrik doğrulamadan (ör. yüz taraması, parmak izi) ibarettir. Her geçiş anahtarı belirli bir alan adına bağlı olduğu için oltalama girişimleri başarısız olur: Saldırgan kullanıcıyı yeniden kullanılabilir bir kimlik bilgisi vermeye ikna edemez. Yüksek güvenlik ve düşük sürtünmenin birleşimi, geçiş anahtarlarını Google, PayPal, TikTok ve KAYAK dahil birçok işletme için öne çıkan bir seçenek haline getirir.

2.4 Temel farklara genel bakış#

• Parolasız kimlik doğrulama (kapsayıcı terim): Parolaları tamamen kaldırır ancak kullanılan yönteme bağlı olarak her zaman oltalamaya dayanıklı olmayabilir.
• Oltalamaya dayanıklı MFA (kapsayıcı terim): Genellikle kaynak bağlama sağlar, ancak bazen çok faktörlü süreçte parola da kullanılabilir (ör. parola ve donanım güvenlik anahtarı).
• Geçiş anahtarları: Hem parolasızdır hem de oltalamaya dayanıklıdır. Meşru kaynağa bağlı asimetrik kriptografiye dayanır.

3. Parolasız kimlik doğrulama, oltalamaya dayanıklı MFA ve geçiş anahtarlarının karşılaştırılması#

Temel kavramları tanımladığımıza göre bu üç yaklaşımı daha ayrıntılı karşılaştıralım. Bu karşılaştırma, hangi yöntemin güvenlik gereksinimlerine, kullanıcı beklentilerine ve kuruluşun uzun vadeli hedeflerine daha uygun olduğunu anlamaya yardımcı olur. Şu temel faktörlere odaklanacağız:

• Güvenlik
• Kullanıcı deneyimi / benimsenme
• Uygulama / maliyetler
• Düzenlemeler / uyum

3.1 Güvenlik: Kimlik bilgisi hırsızlığı ve kaynak bağlama#

Güvenlik, geleneksel parolalardan vazgeçmenin başlıca nedenlerinden biridir. Ancak üç kavram, oltalama veya kaba kuvvet saldırıları gibi kimlik bilgilerine dayalı saldırılara karşı koruma biçimleri bakımından farklılık gösterir.

3.1.1 Kimlik bilgisi hırsızlığını önleme#

• Parolasız: Parolaların kaldırılması kaba kuvvet saldırısı veya parolanın yeniden kullanılması olasılığını önemli ölçüde azaltır. Ancak yönteme bağlı olarak (ör. SMS OTP, magic link), saldırgan kullanıcıyı bir OTP'yi oltalama sitesine girmesi veya iletmesi için kandırırsa belirli bir güvenlik açığı kalabilir.
• Oltalamaya dayanıklı MFA: Yeniden kullanılabilir bir sırrın paylaşılmamasını sağlamak için FIDO2 güvenlik anahtarları gibi yöntemler kullanır. Saldırganlar açık anahtar gibi kısmi bilgileri ele geçirse bile ilgili özel anahtar olmadan bunlar kriptografik açıdan değersizdir.
• Geçiş anahtarları: Asimetrik kriptografi kullandıkları için paylaşılan sırlar kullanıcının cihazından çıkmaz. Sunucudan veri çalan bir saldırgan yalnızca açık anahtarları elde eder; bunlar yerel olarak korunan özel anahtar olmadan işe yaramaz.

3.1.2 Oltalamayı önleme#

• Parolasız: Kapsayıcı bir terim olduğu için oltalamaya karşı koruma her zaman garanti değildir. Kullanıcı yanlışlıkla sahte bir siteye girerse magic link veya SMS OTP yine de ele geçirilebilir. Bu da bazı parolasız yöntemleri gelişmiş oltalama saldırılarına karşı daha az güvenilir kılar.
• Oltalamaya dayanıklı MFA: Temel işlevlerinden biri, kullanıcıların kimliğini doğrulamadan önce meşru alan adını doğrulamaktır. Donanım güvenlik anahtarları veya geçiş anahtarları sitenin gerçekliğini doğrular; bu yöntemler başlangıçta kullanıldıkları kaynağa bağlıdır. Böylece saldırganların geçerli bir sırrı ele geçirmesi önlenir.
• Geçiş anahtarları: FIDO2 / WebAuthn üzerine kurulu geçiş anahtarları doğal olarak kaynağa bağlıdır. Kullanıcı taklit edilmiş bir alan adında kimlik doğrulamaya çalışırsa geçiş anahtarı kriptografik kontrolü tamamlamaz. Bu da oltalama saldırılarını etkili biçimde engeller.

3.1.3 Güvenlik açısından sonuç#

Geçiş anahtarları ve oltalamaya dayanıklı MFA, güçlü kriptografik kaynak bağlama kullandıkları ve gizli sırları açığa çıkarmadıkları için kimlik bilgisi hırsızlığına ve oltalamaya karşı üstün koruma sunar.

Parolasız yöntemler yine de sıradan parolalara göre büyük bir ilerlemedir. Ancak ele geçirilebilir (T)OTP'lere veya magic link'lerdeki gibi sırlara dayanıyorlarsa oltalamaya karşı dayanıklılıkları farklılık gösterebilir.

3.2 Kullanıcı deneyimi ve benimsenme#

Son kullanıcılar için çok zahmetli bir güvenlik yönteminin değeri azalır. Sorunsuz ve sezgisel bir giriş süreci, kullanıcıların yaşadığı zorlukları ve destek maliyetlerini azaltabilir, genel benimsenmeyi artırabilir. Ayrıca son kullanıcıların giriş yöntemini kullanmak için alternatif yollar araması gerekmez.

3.2.1 İlk katılım ve kurulum#

• Parolasız: Parolasız kayıt olmak genellikle yeni bir parola oluşturup ezberlemekten daha kolaydır. Örneğin e-posta ile magic link almak veya SMS OTP ile doğrulama yapmak tanıdık gelebilir, ancak kısa bir gecikmeye neden olur.
• Oltalamaya dayanıklı MFA: Donanım güvenlik anahtarları kullanılıyorsa kayıt süreci fiziksel anahtarların dağıtılmasını veya özel yazılım kurulmasını gerektirebilir. Ancak kurulumdan sonra günlük giriş, cihaza takılı veya yakında tutulan bir anahtara dokunmak kadar basit olabilir.
• Geçiş anahtarları: Kurulum genellikle kolaydır ve kullanıcılar çoğunlukla cihazlarında hızlı bir biyometrik doğrulamayla (ör. parmak izi veya yüz taraması) geçiş anahtarı kaydeder.

3.2.2 Günlük girişte yaşanan zorluklar#

• Parolasız: Kullanıcıların parolaları hatırlaması, parola yöneticisinden alması veya not kâğıtlarına yazması gerekmediğinden parolaları kaldırmak kullanılabilirlik açısından büyük bir kazanımdır. Ancak OTP veya magic link gibi yöntemlerde kodu ya da bağlantıyı almak için uygulamalar arasında geçiş yapmak zorluk yaratabilir.
• Oltalamaya dayanıklı MFA: Donanım güvenlik anahtarı cihaza takılıysa veya yakında tutuluyorsa işlem oldukça kolaydır. Yine de çoğu zaman bir düğmeye dokunmak ve/veya bir PIN kodunu hatırlayıp girmek gerekebilir. Oltalamaya dayanıklı MFA geçiş anahtarıysa deneyim daha sorunsuzdur.
• Geçiş anahtarları: Genellikle çok az sürtünme yaratır. Kullanıcılar cihazlarının kilidini Face ID, Touch ID veya Windows Hello gibi biyometrik yöntemlerle açar; geri kalanını geçiş anahtarı halleder. Giriş yapmanın bundan daha zahmetsiz olması zordur.

3.2.3 Algılanan karmaşıklık ve güven#

• Parolasız: Parola sıfırlamaktan bıkmış kullanıcılar, parolasız yönteme olumlu yaklaşır.
• Oltalamaya dayanıklı MFA: Çok güvenlidir ancak donanım güvenlik anahtarı gerektiğinde yeni kullanıcılara karmaşık görünebilir.
• Geçiş anahtarları: Telefonlarının kilidini biyometriyle açmaya alışkın kullanıcılar geçiş anahtarlarını genellikle tanıdık bir teknoloji olarak görür. Apple / Google / Microsoft ekosistemlerine duyulan güven de benimsenmeyi destekler.

3.2.4 Kullanıcı deneyimi ve benimsenme açısından sonuç#

Parolasız yöntemler, özellikle biyometri, kolay kullanılır. Oltalamaya dayanıklı MFA uygulandıktan sonra kullanıcı dostu olabilir, ancak donanım gereksinimi bazı durumlarda külfetli gelebilir. Geçiş anahtarları genellikle en yüksek kullanıcı kolaylığını sunar.

3.3 Uygulama ve maliyetler#

Güvenlik ve kullanıcı deneyiminin yanı sıra entegrasyon karmaşıklığı, destek yükü ve doğrudan maliyetler gibi pratik konular da bir çözümün büyük ölçekte uygulanabilir olup olmadığını etkiler.

3.3.1 Mevcut sistemlerle entegrasyon#

• Parolasız: SMS OTP veya magic link gibi yöntemlerin uygulanması nispeten kolaydır, ancak her yaklaşım özel bir mantık gerektirir (ör. token oluşturma ve doğrulama, e-posta/SMS gönderme).
• Oltalamaya dayanıklı MFA: YubiKey gibi donanım güvenlik anahtarlarının kullanıma sunulması daha zahmetli olabilir. Kuruluşların anahtar dağıtımını, kurtarma süreçlerini ve kullanıcı eğitimini planlaması gerekir. Bununla birlikte FIDO tabanlı genel teknoloji altyapısı oturmuştur.
• Geçiş anahtarları: Cihaz uyumluluğu, tarayıcı entegrasyonu ve kullanıcı eğitimi dahil geniş ekosistem desteği gerektiğinden geçiş anahtarlarının kullanıma sunulması zor olabilir.

3.3.2 Maliyetler ve yatırım getirisi (ROI)#

• Parolasız: Parolaları kaldırmak yardım masası operasyonlarında tasarruf sağlayabilir, ancak bazı yöntemler, özellikle SMS, işlem başına ücret doğurabilir. Magic link tabanlı akışlar sağlam bir e-posta altyapısı gerektirir. Kimlik doğrulayıcı uygulamalar (TOTP) ve anlık bildirimler, özel uygulamaların kurulmasını ve geliştirilmesini gerektirir.
• Oltalamaya dayanıklı MFA: Donanım söz konusuysa genellikle en yüksek başlangıç maliyetine sahiptir, ancak oltalamaya karşı güçlü koruma sağlar. Değeri yüksek hesaplarda tek bir veri ihlalinin maliyeti, donanım güvenlik anahtarlarının maliyetini çok aşabilir.
• Geçiş anahtarları: İlk geliştirmeden sonra geçiş anahtarları, BT desteğinin en büyük gizli maliyetlerinden biri olan parola sıfırlama taleplerini azaltabilir. Ayrıca hesap ele geçirme olaylarını en aza indirerek finansal sonuçları doğrudan iyileştirir. Dahası, maliyetli SMS OTP'lerinin büyük çoğunluğunun yerini alabilir.

3.3.3 Uygulama ve maliyetler açısından sonuç#

Parolasız yöntemler genellikle parolalardan daha basittir, ancak devam eden maliyetleri büyük farklılık gösterir. Oltalamaya dayanıklı MFA, özellikle özel donanımın satın alınıp dağıtılmasını gerektiren güvenlik anahtarları kullanıldığında büyük ölçekte daha maliyetli ve karmaşık olabilir. Geçiş anahtarlarının uygulanması, karmaşık teknik gereksinimler ve platformlar arası uyumluluk ihtiyacı nedeniyle zordur.

3.4 Düzenlemeler ve uyum#

Avrupa finans sektöründeki PSD2 ve sağlık sektöründeki HIPAA gibi birçok düzenleme artık güçlü, oltalamaya dayanıklı kimlik doğrulamayı açıkça öneriyor veya zorunlu tutuyor.

• Parolasız: “2FA veya MFA gerekli” gibi bazı uyum gereksinimlerini karşılayabilir, ancak kullanılan yönteme bağlı olarak oltalamaya dayanıklı olmayabilir.
• Oltalamaya dayanıklı MFA: Güvenli girişe ilişkin katı gereksinimleri karşılayarak denetçilere ve düzenleyicilere genellikle en yüksek güvenceyi sağlar.
• Geçiş anahtarları: Düzenlemeye tabi sektörlerin çoğundaki güvenlik gereksinimlerini karşılayan veya aşan FIDO2 standartlarıyla zaten uyumludur.

3.5 Karşılaştırma tablosu#

4. Pratik örnekler ve kullanım alanları#

4.1 E-ticaret şirketi Mercari, SMS OTP yerine geçiş anahtarlarıyla giriş başarısını artırıyor#

Mercari geçmişte kullanıcı girişlerini güvence altına almak ve işlemleri doğrulamak için SMS tabanlı tek kullanımlık kodlara (OTP) güveniyordu. Bu yaklaşım dünya genelinde mesaj göndermek için önemli ücretler doğuruyor ve zaman zaman geciken veya ulaşmayan kodlarla ilgili kullanıcı şikâyetlerine yol açıyordu.

Sonuçlar:

• Maliyetlerde büyük düşüş: Mercari, SMS trafiğinin büyük bölümünü ortadan kaldırarak OTP mesajlaşma maliyetlerini ciddi ölçüde azalttı.
• Artan güvenlik: Geçiş anahtarları, havayolu şirketinin meşru alan adına bağlı asimetrik kriptografi kullandıkları için SIM değiştirme ve oltalama saldırılarına dayanıklıdır.
• Daha başarılı girişler: Geçiş anahtarlarıyla giriş başarı oranı %82,5'e ulaşırken SMS OTP için bu oran %67,7 oldu.

Temel çıkarım:
Geçiş anahtarlarına geçmek, yüksek hacimde kullanıcı girişi olan kuruluşlar için önemli bir değişim yaratabilir. Güvenlik iyileşmesinin yanı sıra SMS OTP tasarrufu da finansal sonuçları önemli ölçüde etkileyebilir.

4.2 SaaS girişimleri kolay ve parolasız kullanıcı katılımı için magic link kullanıyor#

SaaS girişimleri, kullanıcıların hızlı katılımını sağladığı ve unutulan parolalara ilişkin destek taleplerini büyük ölçüde azalttığı için sıkça magic link'lere başvurur.

Sonuçlar:

• Kayıtta daha az zorluk: Kayıt sırasında süreci terk eden kullanıcıların oranı %30'dan fazla düştü ve dönüşümler arttı.
• Daha az destek talebi: Parola sıfırlama talepleri keskin biçimde azaldı ve girişimin küçük destek ekibi ürünle ilgili sorulara odaklanabildi.
• Çevik iyileştirmeler: Magic link'leri uygulamak ve geliştirmek nispeten kolay olduğundan akış kolayca değiştirilebiliyor ve genel kullanıcı katılımı memnuniyeti iyileşiyor.

Temel çıkarım:
SaaS girişimleri için magic link gibi parolasız çözümler yalnızca kullanıcı katılımını kolaylaştırmakla kalmaz, parola yönetiminin operasyonel yükünü de azaltır. Bu, büyümenin ilk aşamalarında önemli bir avantajdır.

4.3 MyGov vatandaş hesaplarında güvenliği artırıyor ve oltalamayı önlüyor#

Avustralya'nın çevrim içi devlet portalı MyGov, Medicare, Centrelink ve Avustralya Vergi Dairesi gibi çeşitli devlet hizmetlerine erişim sağlar. Hassas kişisel verileri işlemesi, MyGov'u sıkı düzenlemelere ve kamuoyunun daha yoğun denetimine tabi tutar.

Sonuçlar:

• Artan kullanıcı benimsemesi: Geçiş anahtarları 3 ayda 200.000 kullanıcıya sunuldu.
• Güçlü uyum: MyGov, donanım token'ları ve güvenli uygulama tabanlı çözümler aracılığıyla kriptografik kaynak bağlama kullanarak ASD'nin Essential Eight ve diğer ulusal siber güvenlik direktiflerini karşıladı.
• Daha az oltalama olayı: Meşru donanım token'ı veya cihaza bağlı anahtar olmadan çalıntı kimlik bilgilerinin yeniden kullanılması çok daha zor hale geldi.
• Daha fazla kamu güveni: Güçlü MFA çözümlerinin öne çıkarılması, veri ihlallerine ilişkin endişelerin arttığı bir dönemde kullanıcı güveninin pekiştirilmesine yardımcı oldu.

Temel çıkarım:
Devlet kurumları ve kamu sektörü şirketleri veya sıkı düzenlemelere tabi sektörlerdeki kuruluşlar için oltalamaya dayanıklı MFA uygulamak yalnızca güvenlik açısından değil, gelişen standartlara uyum sağlamak açısından da kritik önem taşır.

5. Corbado nasıl yardımcı olabilir?#

3.5 bölümündeki tablo üç seçeneği soyut olarak puanlıyor. Karar vermeyi sağlayan sürüm ise kendi giriş sürecinizden oluşturulur: Satırlarda kullanıcılarınızın gerçekten kullandığı yöntemler, beş puanlık ölçek yerine de tamamlama oranları yer alır. Kimlik doğrulama gözlemlenebilirliği katmanı olan Corbado Observe bu sürümü oluşturur.

• Gerçek yöntem dağılımınız: Her giriş; parola, geçiş anahtarı, sosyal hesapla giriş, SMS tek kullanımlık kodu, e-posta tek kullanımlık kodu, TOTP ve uygulama onayı gibi alt akışlara ayrılır. Her yöntemin girişlerdeki payı ve başarı oranı, bu yazıdaki üç kategori arasında seçim yapmak için gerçekçi bir başlangıç noktasıdır.
• Her yöntemde kullanıcıların nerede ayrıldığı: Login Friction, başlatılan her giriş sürecini kurtarma, başka bir yönteme geçiş, vazgeçme, hata, sıfırlama ve sorunsuz tamamlama kategorilerine ayırır ve bunları yönteme göre gösterir. Böylece “parolasız yöntem sürtünmeyi azaltır” ifadesi kendi trafiğinizde ölçülebilir hale gelir.
• Oltalamaya dayanıklı bir seçeneğin diğerlerine göre değeri: Method Uplift, giriş akışlarını her birinde erişilebilir olan yöntemlere göre (yalnızca parola, parola ve geçiş anahtarı, parola ve sosyal giriş, üçü birlikte) gruplandırır ve her grubu yalnızca parola kullanılan referansa göre puanlar. Tüm gruplar aynı dönemde değerlendirildiğinden, 3.2 bölümündeki benimsenme konusu ürününüz için karşılaştırma yapacak bir geçiş tarihini beklemeden netleşir.
• Geçiş anahtarı programı gerekmez: Observe mevcut giriş süreciniz üzerinde çalışır. Bu süreç parola ve SMS kodundan oluşuyorsa parolayı ve SMS kodunu ölçer. Bu yazıdaki kararların çoğu da tam olarak buradan başlar.

See Login Methods in Corbado Observe →

Geçiş anahtarlarına karar verildiğinde uygulama tarafını Corbado Connect üstlenir. Koşullu istemler ve Passkey Intelligence, hangi kullanıcıların teklifi ne zaman göreceğini kontrol ederek 3.2 bölümünde açıklanan kullanıcı deneyimi avantajını geçiş anahtarlarının 10 kata kadar daha fazla benimsenmesine dönüştürür.

6. Sonuç#

Geleneksel parolaları, geçiş anahtarlarını, parolasız seçenekleri ve oltalamaya dayanıklı MFA'yı inceledikten sonra bulguları toparlayalım.

Her yöntem kendine özgü avantajlar sunar:

• Parolasız: Parolalara göre önemli bir iyileşmedir; kullanıcıların yaşadığı zorlukları ve destek maliyetlerini azaltır, ancak her zaman oltalamaya karşı güvenli değildir.
• Oltalamaya dayanıklı MFA: Yüksek riskli ortamlar için üst düzey güvenlik sunar ve saldırganların insan hatasından yararlanmasını önler.
• Geçiş anahtarları: Parolasız ve doğal olarak oltalamaya dayanıklı MFA sunarak ideal dengeyi kurar; sektörün öncüleri tarafından desteklenir. Kullanıcı deneyiminden ödün vermeden üst düzey güvenlik sağlar.

Kimlik doğrulamayı şimdi iyileştirmek yalnızca güvenliği artırmaz; şirketinizi dijital ekonomide başarılı olmaya hazır, ileri görüşlü ve kullanıcı odaklı bir kuruluş olarak konumlandırır.

Corbado Hakkında

Corbado, büyük ölçekte tüketici kimlik doğrulaması yöneten CIAM ekipleri için Passkey Intelligence Platform'tur. IDP loglarının ve genel analytics araçlarının göremediğini görmenizi sağlarız: hangi cihazların, OS sürümlerinin, tarayıcıların ve credential manager'ların passkey desteklediğini; kayıtların neden girişe dönüşmediğini; WebAuthn akışının nerede başarısız olduğunu; bir OS ya da tarayıcı güncellemesinin girişi sessizce ne zaman bozduğunu, hem de Okta, Auth0, Ping, Cognito veya kendi IDP'nizi değiştirmeden. İki ürün: Corbado Observe, passkey'ler ve diğer tüm giriş yöntemleri için observability sağlar. Corbado Connect, analytics entegre managed passkey'ler sunar (IDP'nizin yanında). VicRoads, Corbado ile 5M+ kullanıcı için passkey çalıştırıyor (%80+ passkey aktivasyonu). Bir Passkey uzmanıyla görüşün →