Kimlik Doğrulama Süreci Madenciliği: Yeni CIAM Disiplini

1. Giriş#

Geçiş anahtarları CIAM'ı ileriye taşıyor. Sınıfının en iyisi olan ekipler, giriş yolculuğunu uçtan uca ölçmeye, daha önce hiç kaydetmedikleri hataları sınıflandırmaya ve istemci tarafı telemetrisine ilk kez bakmaya başlıyor. Kimlik ekiplerinin büyük çoğunluğu henüz bu noktada değil: gerçek bir kimlik doğrulama gözlemlenebilirlik katmanı, oturum başına etkinlik grafiği, istemci tarafı tören verisi yok. Sunucu tarafındaki deneme, başarı ve başarısızlık verileri hala tablonun tamamı olarak görülüyor.

Kimlik doğrulama süreci madenciliği, ancak altta yatan etkinlik verileri var olduğunda atılacak bir sonraki mantıklı adımdır. Gözlemlenebilirlik katmanı olmadan madenciliği yapılacak hiçbir şey yoktur. Bu katmanla birlikte yeni bir disiplin ortaya çıkar. Bu disiplin, 2010'larda ham ERP etkinlik günlüklerini optimize edilmiş iş akışlarına dönüştüren iş süreci madenciliğinden doğrudan ilham alır. Kimliğe uygulandığında, tasarlanan giriş yolculuğunu yaşanan yolculukla karşılaştırır, sapma yollarını ortaya çıkarır ve ardından ince taneli adım adım kimlik doğrulama (step-up authentication), gizleme kuralları veya uçtan uca ölçülen UX değişiklikleri ile aradaki boşluğu kapatır.

Bu makale, CIAM ekiplerinin kimlik doğrulama gözlemlenebilirliği katmanının üzerine neleri inşa etmeleri gerektiğini yeniden çerçeveliyor.

1.1 Bu Makale hangi Soruları yanıtlıyor#

Bu makalede aşağıdaki soruları ele alıyoruz:

1. Süreç madenciliği İş Süreçleri Yönetimi (BPM) için ne yaptı ve kimlik doğrulama için bunun doğrudan paraleli nedir?
2. Neden geçiş anahtarı sunumları bu boşluğu ortaya çıkardı ve neden kimlik doğrulama günlükleri tek başına hiçbir zaman yeterli olmadı?
3. Bir kimlik doğrulama süreci madenciliği etkinlik modeli uçtan uca gerçekte neye benzer?
4. Süreç madenciliği ince taneli adım adım kimlik doğrulama ve yetkilendirme ile nasıl bağlantı kurar?
5. Bu, CIAM satıcı ortamı ve halihazırda bir IDP'ye sahip olan kimlik ekipleri için ne anlama geliyor?

2. Süreç Madenciliği BPM için ne yaptı#

2.1 Etkinlik Günlüklerinden optimize edilmiş Süreçlere#

İş süreci madenciliği, her ERP, CRM veya biletleme sisteminin etkinlik günlükleri yazdığı ve bunların yeniden oluşturulduğunda wiki'deki değil, gerçek iş akışını ortaya çıkardığı gerçeğinden doğdu. Üç onaylayıcıdan geçmesi gereken bir satın alma siparişinin %40 oranında ikisinin etrafından dolaştığı ortaya çıktı. Düz bir çizgi olarak belgelenen bir talep akışı, taleplerin %18'i için beş kez kendi üzerine döndü. Celonis tarafından popülerleştirilen süreç madenciliği araçları, bu grafikleri zaman damgalı olaylardan yeniden oluşturdu ve operatörlerin yeni bir soru sormasına olanak tanıdı: yaşanan süreç tasarlanan süreçten nerede ayrılıyor ve bu ayrışmanın maliyeti nedir?

2.2 Kimlik Doğrulamada Paralel#

Kimlik doğrulama da aynı yapıya sahiptir. Her giriş, zaman damgalı bir olay dizisidir: sayfa yüklendi, tanımlayıcı girildi, zorluk seçildi, biyometrik istendi, onay (assertion) döndürüldü. Yapısal paralellik birebirdir. Pratik fark ise, ERP veya CRM'den farklı olarak, bu etkinlik verilerinin IDP günlüklerinizde henüz -en azından süreç madenciliğinin ihtiyaç duyduğu ayrıntılı biçimde- bulunmamasıdır. IDP'ler oturum açma sonuçlarını ve kullanılan yöntemi kaydeder. Alttaki istemci tarafı törenini kaydetmezler: Conditional UI çağrısı, biyometrik istemler, kimlik bilgisi yöneticisi seçimi, bir istek henüz sunucuya ulaşmadan sessizce vazgeçme. Bu onay öncesi katmanın, süreç madenciliği üzerinde çalışabilmesi için ön uç SDK katmanında araçlarla donatılması ve oturum başına bir grafik halinde yeniden bir araya getirilmesi gerekir.

Veriler oraya ulaştığında aynı teknikler uygulanır: tasarlanan geçiş anahtarı yolculuğu ile yaşanan geçiş anahtarı yolculuğu, tasarlanan kurtarma akışı ile yaşanan kurtarma akışı, tasarlanan adım adım kimlik doğrulama ile yaşanan adım adım kimlik doğrulama. Bu çalışma etrafındaki akademik disiplin olgunlaşıyor. Uygunluk kontrolü, varyant analizi ve geliştirmeyi üç temel teknik olarak ortaya koyan IEEE Süreç Madenciliği Görev Gücü'nün Process Mining Manifesto adlı belgesi faydalı bir başlangıç noktasıdır. Bunların her biri kimlik doğrulama ile birebir örtüşür.

3. Geçiş Anahtarı Sunumları Neden Boşluğu Ortaya Çıkardı#

3.1 Geçiş Anahtarları, Ekipleri Ön Uç Günlüğünü Yeniden Düşünmeye Zorlar#

Klasik parola kimlik doğrulaması sunucu tarafında üç şeyi günlüğe kaydetti: deneme, başarı, başarısızlık. Bu, bir parola sistemini çalıştırmak için yeterlidir, çünkü hata modu basittir: kullanıcı bir dizeyi yanlış yazmıştır ve bir sonraki deneme ya işe yaramıştır ya da yaramamıştır. Geçiş anahtarlarıyla kritik anlar ön uca taşınır: Conditional UI tetiklenmesi, tarayıcının bir istem çıkarıp çıkarmamaya karar vermesi, kimlik bilgisi yöneticisinin bir seçenek sunması, biyometrik zorluğun başarılı olması veya reddedilmesi. Tüm bunlar, onay (assertion) arka uca ulaşmadan önce tüketicinin cihazında gerçekleşir.

Bu değişim nedeniyle birçok ekip artık istemci tarafı davranışlarını nasıl günlüğe kaydettiklerini yeniden düşünüyor. Ön uç enstrümantasyonu olmadan kullanıcıların neden ayrıldığını, girişten önce hangi adımları attıklarını veya bir giriş denemesi tamamlanmadığında gerçekte ne olduğunu göremezler. Sunucu günlükleri yalnızca eksikliği gösterir, nedeni göstermez. Tüm etkinlik sınıflandırması için kimlik doğrulama gözlemlenebilirliği derinlememize bakın.

3.2 Tasarlanan Yolculuk ile Yaşanan Yolculuk Arasındaki Boşluk#

Ekipler istemci tarafı etkinliklerini elde ettiklerinde yeni bir şey görebildiler: tasarlanan geçiş anahtarı yolculuğu (giriş sayfasına gelin, geçiş anahtarı düğmesini görün, dokunun, kimlik doğrulaması yapın, bitirin) uygun kullanıcıların belki de %30'u tarafından kullanıldı. Diğer %70'i ise parola alanlarında, sosyal giriş seçeneklerinde, sihirli bağlantılarda dolandı veya tamamen vazgeçti. Bu bir günlük kaydı sorunu değil, süreç madenciliği sorunudur. Eklenen hiçbir WebAuthn hata kodu miktarı bu boşluğu tek başına kapatamazdı.

3.3 Kimlik Doğrulama Günlükleri Neden Asla Yeterli Olmadı?#

Kimlik doğrulama günlükleri tek başlarına size sonuçları söyler. Yolları söylemezler. Tüm yöntemlerdeki %92'lik giriş başarı oranı, geçiş anahtarı yolundaki %40'lık terk edilme oranını ve parola yolundaki %15'lik terk edilme oranını gizleyerek "iyi" gibi görünebilir. Süreç madenciliği bu ortalamayı reddeder. Her varyanta ayrı ayrı bakılması konusunda ısrar eder ve ardından varyantları sıklık, maliyet ve hata oranına göre sıralar.

4. Kimlik Doğrulama Süreci Madenciliği Gerçekte Neye Benzer#

4.1 Etkinlik Modeli: Süreçler, Etkinlikler ve Sonuç Sınıflandırması#

Analiz birimi tek bir olay değil, bir süreçtir: kimlik doğrulama yüzeyinin yüklendiği andan oturumun tamamlandığı veya terk edildiği ana kadar, tüketicinin cihazında gerçekleşen tam bir giriş veya kimlik bilgisi ekleme denemesi. Her süreç ayrıntılı etkinliklerden oluşan bir akış içerir, tanımlayıcı meta veriler taşır ve ikili "başarı veya başarısızlık"tan daha zengin bir sonuç sınıflandırmasıyla sona erer.

Süreç meta verileri. Her sürecin bir süreç kimliği ve zaman damgası vardır. Bir uygulamaya, işletim sistemine, tarayıcıya ve cihaz markasına bağlıdır. Herhangi bir metrik hesaplanmadan önce otomasyon ve bot trafiğinin bölümlere ayrılabilmesi için bir ziyaretçi kategorisiyle (gerçek kullanıcı, manuel testçi, otomatik testçi, henüz sınıflandırılmamış) etiketlenir. Ayrıca, "bu belirli oturum ne kadar karmaşıktı" sorusunun en basit iki sinyali olan bir süreç puanı ve etkinlik sayısı da taşır.

Giriş başlatma. Her süreç, akışın nasıl başlatıldığını kaydeder. Ana başlatma türleri text-field (kullanıcı tanımlayıcısını yazdı), one-tap (depolanan bir tanımlayıcı yeniden kullanıldı) ve cui (Conditional UI, açık bir düğme tıklaması olmadan bir kimlik bilgisi sundu) şeklindedir. Başlatma bir metrik değil, bir boyuttur: aynı dağıtım cui kohortunda text-field kohortundan çok farklı görünebilir ve bunlar arasındaki ortalamayı almak, süreç madenciliğinin ortaya çıkarmayı amaçladığı davranışı gizler.

Sonuç sınıflandırması. Sonuç, "başarı" veya "başarısızlık" yerine, farklı bir davranışla eşleşen birkaç sınıftan biridir. Geçiş anahtarları için bir örnek şöyledir:

• completed - tören tamamlandı ve kullanıcının kimliği doğrulandı.
• filtered-explicit-abort - kullanıcı bir istem gördü ve açıkça iptal etti.
• filtered-implicit-abort - kullanıcı uzaklaştı veya karar vermeden zaman aşımına uğradı.
• filtered-passkey-intel - istemci tarafındaki zeka katmanı, genellikle cihaz/OS kombinasyonunun bozuk olduğu bilindiği için geçiş anahtarı yolunu bilerek bastırdı.
• filtered-no-start - akış hiçbir zaman giriş adımını geçemedi.
• not-loaded - kimlik doğrulama yüzeyinin yüklenmesi hiçbir zaman tamamlanmadı.

Ekleme töreni (kimlik bilgisi oluşturma), kullanıcının halihazırda bir kimlik bilgisine sahip olduğu durumlar için paralel bir completed-exclude-credentials sınıflandırmasına sahiptir.

Huni ve envanter katmanları. Süreçlerin üzerinde iki toplu katman önemlidir. Bir huni katmanı (funnel layer), hem oturum açma hem de ekleme işlemleri için süreçleri zaman içinde sonuç, başlatma, tamamlanma durumu, işletim sistemi ve uygulamaya göre gruplandırır. Bir kimlik bilgisi envanter katmanı, mevcut geçiş anahtarlarını senkronizasyon durumuna (senkronize edilmiş veya edilmemiş), aktarıma (internal, hybrid, usb, nfc, ble, smart-card), doğrulayıcıya (Apple, Google Password Manager, iCloud Keychain, Windows Hello, 1Password, Bitwarden, Dashlane, YubiKey), işletim sistemine ve tarayıcıya göre gruplandırır. Envanter katmanı olmadan, belirli bir sapma varyantının belirli bir kimlik bilgisi yöneticisinde veya senkronizasyon durumunda yoğunlaşıp yoğunlaşmadığını sormak imkansızdır.

Bu, süreç madenciliğini yönetilebilir kılan asgari yapıdır. Her etkinlik, gruplandırılacak, filtrelenecek ve sıralanacak kadar meta veri taşır. Her süreç ayrı ayrı izlenebilir ve bu da aşağıdaki işlenmiş örnekleri mümkün kılan şeydir.

4.2 Mutlu Yol ve Sapma Analizi#

Etkinlikler oturum başına yönlendirilmiş bir grafik olarak depolandığında, süreç madenciliği sorusunu sorabilirsiniz: oturumların yüzde kaçı mutlu yolu izliyor ve izlemeyenler için sıklığa göre sıralanmış en yaygın beş sapma varyantı nedir? Analitik verilerimizde, en sık karşılaşılan beş varyant tipik olarak tüm sapmaların %85'ini oluşturur. Bunlardan ikisini düzeltmek, genellikle sayıları mutlu yoldaki herhangi bir A/B testinden daha fazla hareket ettirir.

4.3 Kohort Kayması Algılama#

Varyantlar kayar. Bir tarayıcı güncellemesi, işletim sistemi sunumu, kimlik bilgisi yöneticisi değişikliği, daha önce önemsiz olan bir varyantı aniden baskın hale getirebilir. Kohort kayması algılama (cohort drift detection), yalnızca toplam başarı oranına bakmak yerine, zaman içinde cihaz/OS/tarayıcı kohortu başına varyant dağılımını izleme disiplinidir. Ekipler bu sayede sessiz gerilemeleri (silent regressions) üç aylık dönemler yerine saatler içinde yakalar.

5. Süreç Madenciliğinden ince taneli Adım Adım Kimlik Doğrulamaya#

5.1 Adım Adım Kimlik Doğrulama Neden Yetersiz Kullanılıyor?#

Adım adım kimlik doğrulama on yılı aşkın bir süredir var. Risk ne olursa olsun çoğu ekibin aynı yolu izlemesi nedeniyle yeterince kullanılmamaktadır: belirli bir eşiğin üzerindeki her işlemde bir OTP'yi zorunlu kılmak. Bu, risk puanlı bir karar değil, kör bir kuraldır. Şüpheli olan %5'i durdurmak için meşru, yüksek değerli işlemlerin %95'inde sürtünme yaratır.

5.2 Risk Puanlı Yolculuklar#

Süreç madenciliği verileriyle, bir oturumu sürekli olarak puanlayabilirsiniz. Cihaz itibarı, kohort taban çizgisi başarı oranı, günün saati anomalileri, kullanıcının kendi geçmiş yolundan sapması, kimlik bilgisi yöneticisi kimliği, IP itibarı. Risk puanı daha sonra ince taneli bir adım adım (step-up) kararını yönlendirir: yalnızca oturumun risk puanı işlem değeri eşiğini aştığında ikinci bir faktör isteyin. Yüksek değerli işlemler için düşük riskli oturumlar geçer. Düşük değerli işlemler için yüksek riskli oturumlarda adım adım doğrulama istenir.

6. Bu, CIAM Satıcı Ortamı için ne anlama geliyor?#

6.1 Uzmanlık Disiplini olarak Yolculuk Tasarımı#

Kimlik sektörü tarihsel olarak yolculuk tasarımını IDP içinde birleştirmiştir. Okta, Ping, ForgeRock, Auth0 ve diğerleri içindeki orkestrasyon motorları, akışları yapılandırmanıza olanak tanır. İyi yapmadıkları şey onları gözlemlemektir. Bu uyumsuzluk, uzman bir analitik katmanı için alan açan şeydir.

6.2 Neden hiçbir IDP bunu yerel olarak sunmayacak?#

IDP satıcıları kontrol düzlemi için optimizasyon yapar: kimin, hangi kimlik bilgisiyle, hangi ilke kapsamında oturum açabileceği. Süreç madenciliği bir veri düzlemi disiplinidir: işletim sistemi/tarayıcı/kimlik bilgisi yöneticisi kombinasyonları arasında normalleştirilmiş, uygun ölçekte her olay. Etkinlik hacmi, kardinalite ve müşteriler arası temel verilerin tümü, yerel bir IDP derlemesine karşı çalışır. SDK katmanına uygulanan aynı model için geçiş anahtarları için satın al veya oluştur kılavuzumuzdaki saha notlarına bakın.

6.3 Yeni bir Kategori olarak Analitik Katmanı#

Ortaya çıkan şey, IDP'nin üzerinde yer alan, olayları ön uçtan alan, müşteriler arası dağıtım temel verilerine göre normalleştiren ve orkestrasyon kararlarına geri besleyen ince bir analitik ve benimseme katmanıdır. IDP'nin yerini almaz. IDP'yi ölçülebilir hale getirir.

7. Corbado Kimlik Doğrulama Süreci Madenciliğine nasıl yardımcı olur?#

Corbado mevcut IDP'lerin üzerinde yer alan ölçüm ve benimseme katmanı sağlar. Okta, Auth0, Ory, ForgeRock ve özel yığınlarla (stack) bunların yerini almadan entegre olur. Eklediği şey özellikle süreç madenciliği yeteneğidir:

• Uçtan Uca Etkinlik Sınıflandırması. İstemci tarafı SDK, sayfa yüklemesinden onaylamaya (assertion) kadar tam töreni yakalar, buna tanımlayıcı öncesi etkinlikler, Conditional UI çağrısı ve kimlik bilgisi yöneticisi seçimi dahildir.
• Kutudan Çıkan Varyant Analizi. Platform, kohort başına yolculuk grafiklerini yeniden oluşturur ve sapma varyantlarını sıklık, iyileşme fırsatı ve maliyete göre sıralar.
• Kohort Kayması Uyarısı. Belirli bir işletim sistemi, tarayıcı veya kimlik bilgisi yöneticisi için bir varyant dağıtımı değiştiğinde, platform bunu bir 2. gün sorunu (day-2 problem) haline gelmeden önce işaretler.
• Dağıtımlar Arası Temel Veriler. Corbado, müşteri ortamlarındaki anonimleştirilmiş verileri topladığı için, bir dağıtımda ortaya çıkan yeni hatalar veya gerilemeler (regressions), sizinkine ulaşmadan önce sınıflandırılır ve belgelenir. Tam yaklaşım için neden Corbado bölümüne bakın.
• Orkestrasyona Geri Bildirim. Risk puanlı adım adım kararlar ve gizleme kuralları, dinamik kapatma anahtarları (kill-switches) ve kohortlara özgü dürtme dahil olmak üzere IDP'ye geri itilebilir veya benimseme katmanında ele alınabilir.

8. Sonuç#

Geçiş anahtarları varış noktası değildi. Bunlar, CIAM ekiplerinin ilk dalgasını istemci tarafı olaylarını günlüğe kaydetmeye zorlayan bir araçtı. Bu gözlemlenebilirlik katmanı var olduğunda, onun üzerine yeni bir disiplin oturur: kimlik doğrulama süreci madenciliği. Kimlik ekipleri bu sayede "giriş başarılı oldu mu?" sorusundan, "bu kullanıcı yolculuğun hangi varyantını kullandı, bunun maliyeti ne oldu ve bir sonraki oturum nasıl farklı bir şekilde yönlendirilmeli?" sorusuna geçerler. Gözlemlenebilirlik katmanını ilk inşa eden ve süreç madenciliği katmanını hemen ardından kuran ekipler, kategori için bir ölçüt belirleyecektir. Yalnızca toplam başarı oranlarında kalan ekipler ise temelinde yatan sistemsel varyantları gözden kaçırmaya devam edeceklerdir.

Corbado Hakkında

Corbado, büyük ölçekte tüketici kimlik doğrulaması yöneten CIAM ekipleri için Passkey Intelligence Platform'tur. IDP loglarının ve genel analytics araçlarının göremediğini görmenizi sağlarız: hangi cihazların, OS sürümlerinin, tarayıcıların ve credential manager'ların passkey desteklediğini; kayıtların neden girişe dönüşmediğini; WebAuthn akışının nerede başarısız olduğunu; bir OS ya da tarayıcı güncellemesinin girişi sessizce ne zaman bozduğunu — hem de Okta, Auth0, Ping, Cognito veya kendi IDP'nizi değiştirmeden. İki ürün: Corbado Observe, passkey'ler ve diğer tüm giriş yöntemleri için observability sağlar. Corbado Connect, analytics entegre managed passkey'ler sunar (IDP'nizin yanında). VicRoads, Corbado ile 5M+ kullanıcı için passkey çalıştırıyor (%80+ passkey aktivasyonu). Bir Passkey uzmanıyla görüşün →

SSS#

Kimlik Doğrulama Süreci Madenciliği (Authentication Process Mining) nedir?#

Kimlik doğrulama süreci madenciliği, iş süreci madenciliği tekniklerinin oturum açma etkinlik günlüklerine uygulanmasıdır. Oturum başına yönlendirilmiş olaylar grafiğini yeniden oluşturur, yaşanan kimlik doğrulama yolculuğunu tasarlanan yolculukla karşılaştırır ve sapma varyantlarını sıklık ve maliyete göre sıralar. Kimlik doğrulama gözlemlenebilirliğinin üzerinde ve orkestrasyonun altında yer alır.

Kimlik Doğrulama Analitiğinden farkı nedir?#

Kimlik doğrulama analitiği, giriş başarı oranı, terk etme oranı ve geçiş anahtarı kullanım oranı gibi metrikleri raporlar. Süreç madenciliği ise, oturum başına tam olay dizisini yeniden oluşturarak ve yolculuğun hangi varyantlarının var olduğunu, her birinin ne sıklıkla meydana geldiğini ve her birinin tasarlanan mutlu yoldan nerede saptığını sorarak daha da ileri gider. Analitik sonuçları raporlar. Süreç madenciliği ise yolları açıklar.

Geçiş Anahtarının Benimsenmesi neden bu Disiplini gerekli kılıyor?#

Geçiş anahtarı sunumları, CIAM ekiplerinin istemci tarafı etkinliklerini enstrümante etmelerinin ilk nedenidir. Bu etkinlikler var olduktan sonra, toplu metrikler çok fazla şeyi gizler: %92'lik bir başarı oranı, geçiş anahtarı yolundaki %40'lık bir terk edilme oranını maskeleyebilir. Süreç madenciliği bu ortalamayı reddeder ve ekipleri varyantlara ayrı ayrı bakmaya zorlar.

Süreç Madenciliği Adım Adım Kimlik Doğrulama ile nasıl bağlantılıdır?#

Adım adım (step-up) kimlik doğrulama, kural tabanlı olmaktan ziyade risk puanlı olduğunda en iyi sonucu verir. Süreç madenciliği, bir adım adım motorunun kör bir eşik kararı yerine ince taneli bir karar vermesini sağlayan oturum düzeyinde kanıtı (kohort temeli, kullanıcının geçmiş yolundan sapma, cihaz itibarı) sağlar.

IDP'm bunu yerel olarak sunacak mı?#

Kısa vadede olası değil. IDP'ler kontrol düzlemi için optimize edilmiştir. Süreç madenciliği, işletim sistemi, tarayıcı ve kimlik bilgisi yöneticisi kombinasyonlarında yüksek olay hacmi ve yüksek kardinaliteye sahip bir veri düzlemi disiplinidir. Bu durum, satın al veya oluştur kılavuzumuzda ele alınan, bugün SDK katmanında gördüğümüz desenle uyuşmaktadır.

Bir CIAM Ekibinin ölçmesi gereken ilk Şey nedir?#

Geçiş anahtarı yolundaki varyant sıklığı ile başlayın: oturumların yüzde kaçı mutlu yolu izliyor ve sıklığa göre sıralanmış en yaygın beş sapma varyantı neler? Bu tek çizelge, genellikle genel geçiş anahtarı benimsemesini en çok etkileyen iki veya üç düzeltmeyi ortaya çıkarmak için yeterlidir.