Yazılımda İki Adımlı Doğrulama ve Oturum Güvenliği

İki adımlı doğrulama, şifreyi bilen birinin tek başına oturum açmasını engelleyen ikinci bir kanıt ister. İş yazılımında kurulumu üç karardan oluşur: ikinci adımın yöntemi, oturumun ne kadar açık kalacağı ve bir kullanıcı ayrıldığında erişiminin nasıl kapandığı.

Bu konu rol ve yetki yönetiminden ayrı bir başlıktır. Yetki, giriş yapmış kullanıcının ne yapabileceğini belirler; oturum güvenliği ise o kullanıcının gerçekten o kişi olup olmadığını ve oturumun ne zaman biteceğini belirler. Yetki ne kadar iyi kurulsa da, ortak kullanılan bir şifre bütün yetki yapısını devre dışı bırakır.

Şifre kuralı değil, şifre politikası

Şifre politikasının amacı kullanıcıyı zorlamak değil, tahmin edilebilir şifreyi engellemektir. İş yazılımında işe yarayan birkaç kural vardır ve bunların hepsi karmaşıklık dayatmakla ilgili değildir.

• Uzunluk, karmaşıklıktan önce gelir: Uzun ve akılda kalan bir ifade, kısa ve sembollü bir şifreden daha dayanıklıdır.
• Bilinen sızmış şifre listesine karşı kontrol: Yeni şifre bu listede varsa kabul edilmez.
• Zorunlu süreli değiştirme genellikle zarar verir: Kullanıcı sonuna sayı ekleyerek aynı şifreyi döndürür. Değiştirme, şüphe durumunda zorunlu tutulur.
• İlk giriş şifresi tek kullanımlıktır: Yönetici tarafından verilen şifre ilk girişte değiştirilmeye zorlanır.
• Şifre sıfırlama kanalı doğrulanmış olmalıdır: Sıfırlama bağlantısı kullanıcının kayıtlı kurumsal adresine gider, sözlü talebe göre elle verilmez.

Şifrelerin veri tabanında geri döndürülemez biçimde saklanması ise tartışma konusu değildir. Bir yazılımda şifre "hatırlatılabiliyorsa" şifreler açık ya da çözülebilir biçimde tutuluyor demektir.

İkinci adım: hangi yöntem nerede işe yarar

İkinci adımın yöntemi kullanıcı grubuna göre seçilir. Depoda ortak terminal kullanan bir ekip ile panelden fiyat değiştiren bir yöneticinin ihtiyacı aynı değildir.

İkinci adımı herkese aynı anda zorunlu kılmak yerine kademeli uygulamak işe yarar: ilk olarak yönetici, mali ve entegrasyon yetkisi olan hesaplarda zorunlu tutulur, sonra kapsam genişletilir. Her yöntemin yanında bir kurtarma yolu bulunmalıdır; kurtarma yolu olmayan ikinci adım, telefon kaybolduğunda şirketi kendi yazılımından kilitler.

Oturum süresi, cihaz hatırlama ve eş zamanlı oturum

Oturum süresi tek bir sayıyla çözülmez. Üç ayrı süre tanımlanır: hareketsizlik süresi, azami oturum süresi ve hatırlanan cihazın geçerlilik süresi. Depoda açık kalan bir ekranda hareketsizlik süresi kısa olmalıdır; muhasebe tarafında gün boyu çalışan bir kullanıcıyı her yarım saatte çıkarmak ise şifrenin ekrana yazılmasıyla sonuçlanır.

Cihaz hatırlama, ikinci adımı her girişte sormamayı sağlar ve kullanımı kolaylaştırır. Koşulu şudur: hatırlanan cihaz listesi kullanıcıya görünür olmalı ve kullanıcı tek tuşla bütün cihazları düşürebilmelidir. Ortak kullanılan bilgisayarlarda cihaz hatırlama kapatılır.

Eş zamanlı oturum konusunda iki seçenek vardır. Tek oturum kuralı, aynı hesabın iki yerde açık olmasını engeller ve hesap paylaşımını görünür kılar; sahada tablet ve masada bilgisayar kullanan kişiyi ise zorlar. Çoklu oturuma izin verilecekse açık oturumların listesi ve son erişim bilgisi kullanıcıya gösterilmelidir.

Giriş denemeleri, kilitleme ve giriş kaydı

Art arda yanlış şifre denemesi sınırlanmalıdır, ancak hesabı kalıcı kilitlemek kullanıcıyı değil saldırganı memnun eder: bir hesabı kilitlemek için yanlış şifre denemek yeterli hâle gelir. İşe yarayan yaklaşım kademeli gecikmedir; her yanlış denemeden sonra bekleme süresi artar ve belirli eşikten sonra yönetici bilgilendirilir.

Giriş kaydı ayrı bir tablodur ve iz kaydıyla karıştırılmamalıdır. İz kaydı veride ne değiştiğini, giriş kaydı kimin nereden ve ne zaman giriş yaptığını tutar. Giriş kaydında tutulması anlamlı alanlar şunlardır: kullanıcı, tarih ve saat, bağlantı adresi, cihaz bilgisi, sonuç ve ikinci adımın kullanılıp kullanılmadığı. Başarısız denemeler de aynı tabloda durur; yalnızca başarılı girişleri tutan kayıt, saldırı denemesini görünmez yapar.

Kullanıcı ayrıldığında erişim nasıl kapanır

Oturum güvenliğinin en çok ihmal edilen yanı çıkış tarafıdır. Bir kullanıcı ayrıldığında yapılması gerekenler listesi yazılı olmalı ve tek ekrandan uygulanabilmelidir:

1. Hesap kapatılır, silinmez; silinen hesap geçmiş kayıtlardaki kullanıcı adını da götürür.
2. Açık oturumlar ve hatırlanan cihazlar düşürülür.
3. Kişiye bağlı onay yetkileri ve vekâletler devredilir.
4. Kişinin oluşturduğu entegrasyon anahtarları ve zamanlanmış işler sahiplendirilir.
5. Paylaşılmış ortak hesap varsa şifresi değiştirilir.

Ortak hesap konusu ayrıca ele alınmayı hak eder. "Depo" ya da "muhasebe" adlı tek bir hesabı birkaç kişinin kullanması, iz kaydını işe yaramaz hâle getirir ve kimse ayrıldığında erişim kapatılamaz. Vardiyalı çalışmada bile her kişinin kendi hesabı olması, aynı ekrana aynı yetkiyle girmelerine engel değildir.

Kısa kontrol listesi

1. Yönetici ve mali yetkili hesaplarda ikinci adım zorunlu mu?
2. Her ikinci adım yöntemi için kurtarma yolu tanımlı mı?
3. Hareketsizlik, azami oturum ve cihaz hatırlama süreleri ayrı ayrı tanımlı mı?
4. Kullanıcı kendi açık oturumlarını ve cihazlarını görüp düşürebiliyor mu?
5. Yanlış denemede kademeli gecikme mi var, kalıcı kilit mi?
6. Giriş kaydı başarısız denemeleri de tutuyor mu?
7. Ayrılan kullanıcı için kapatma adımları yazılı mı, ortak hesap var mı?

KAV Yazılım, geliştirdiği panellerde kimlik doğrulama ve oturum yönetimini bu başlıklar üzerinden kurar; süre ve zorunluluk tanımları şirketin kendi yönetim ekranından düzenlenir.