Kimlik Doğrulama Güvence Seviyesi (AAL) Nedir?

Kimlik Doğrulama Güvence Seviyesi (AAL), kimlik doğrulama süreçlerinin gücünü ve güvenilirliğini tanımlamak için kullanılan bir sınıflandırmayı ifade eder. NIST'in Özel Yayını SP 800-63-3'te tanımlanan AAL, kuruluşların dijital etkileşimleri için uygun güvenlik seviyesini belirlemelerine yardımcı olur.

Üç seviyede AAL bulunur:

• Kullanıcı kimlik doğrulamasına yönelik bir miktar güven sunar.
• Genellikle parola veya OTP cihazı gibi tek faktörlü kimlik doğrulama içerir.

• Kimlik doğrulama için iki farklı faktör gerektirir.
• Bu seviye, yeniden oynatma saldırılarına karşı direnç ve daha kısa yeniden kimlik doğrulama süreleri gibi ek güvenlik önlemlerini ele alır.
• Senkronize edilmiş geçiş anahtarları AAL2 uyumludur.

• Donanım tabanlı bir kimlik doğrulayıcı kullanılarak çok faktörlü kimlik doğrulama içerir.
• Doğrulayıcı taklidine karşı direnç ve doğrulayıcı güvenliğinin ihlaline karşı direnç dahil olmak üzere sıkı güvenlik gereksinimleri içerir.
• Cihaza bağlı geçiş anahtarları AAL3 uyumludur.

Her seviye, AAL1'deki düşük riskli ortamlardan AAL3'teki yüksek güvenlik taleplerine kadar farklı güvenlik ihtiyaçlarına göre uyarlanmıştır.

---

İşte kimlik doğrulama güvence seviyeleri ve bunların etkilerine daha derinlemesine bir bakış:

• Kolaylığın öncelikli olduğu düşük güvenlikli uygulamalara yöneliktir.
• Parolalar gibi basit kimlik doğrulama biçimlerine dayanması nedeniyle yaygın güvenlik tehditlerine (ör. Phishing, Ortadaki Adam Saldırısı, Credential Stuffing, …) karşı savunmasızdır.

• Daha yüksek güvenlik gerektiren işlemler için uygundur.
• Güvenliği artırmak için fiziksel (ör. güvenlik anahtarları) ve bilgi tabanlı faktörleri (ör. parolalar) birleştirir.

• Maksimum güvenlik sağlayarak yüksek riskli ortamlar için tasarlanmıştır.
• Gelişmiş kriptografik önlemler ve fiziksel müdahaleye karşı donanım direnci kullanır.

• NIST, senkronize edilmiş geçiş anahtarlarını (ör. iCloud Keychain aracılığıyla) AAL2 uyumlu olarak onaylayarak dijital varlıklar için güvenlik çerçevesini geliştirir ve geçiş anahtarlarının daha geniş çapta benimsenmesinin önünü açar.
• Geçiş anahtarları, AAL2'de olduğu gibi cihazlar arasında geçiş anahtarı senkronizasyonuna izin vermeyen, cihaza bağlı geçiş anahtarları olmaları durumunda, AAL3 uyumlu kimlik doğrulama olarak daha yüksek riskli senaryolarda da kullanılabilir.

Geçiş anahtarlarının AAL uyumluluğu hakkında daha fazla bilgiyi bu blog yazısında okuyun.

---

AAL1, genellikle kullanıcı kolaylığının öncelikli olduğu düşük riskli ortamlarda kullanılan temel kimlik doğrulama güvenliği sağlar.

AAL2, iki farklı kimlik doğrulama faktörü gerektirir ve AAL1'e kıyasla yetkisiz erişim riskini önemli ölçüde azaltır.

AAL3, donanım tabanlı kimlik doğrulayıcılar ve doğrulayıcı taklidine karşı direnç gibi sıkı güvenlik önlemleri içeren en yüksek kimlik doğrulama güvence seviyesidir.

Senkronize edilmiş geçiş anahtarları (ör. iCloud Keychain aracılığıyla) AAL2 olarak sınıflandırılırken, cihaza bağlı geçiş anahtarları AAL3 uyumlu olarak sınıflandırılır. Bu konuda daha fazla bilgiyi bu blog yazısında okuyun.