Parolalar bilgisayarlar kadar uzun müddettir var. Microsoft’un bu yılın Mart ayında kurumsal müşterileri için parolasız kimlik doğrulamasını tanıtması akıllara günler ‘123456’ için sayılı olabilir mi sorusunu getirdi. Siber güvenlik şirketi ESET, kurumların parolasızlığa yönelmeden evvel nelere dikkat etmeleri gerektiğine dikkat çekti.
Parolasız hayat hem kullanıcılar hem de güvenlik takımları için hayatı çok daha kolay hale getirmeyi vaat ediyor. Yönetici maliyetlerini düşürme, üretkenliği artırma ve siber riski azaltma üzere heyecan verici olasılıklar var. Bu avantajlara karşın, hem işletmeden tüketiciye (B2C) hem de işletmeden işletmeye (B2B) ortamların ahenk sağlaması beklendiği kadar çabuk olmadı. Lakin, dünyanın en büyük yazılım şirketi yeni bir teknoloji yaklaşımını desteklemeye karar verdiğinde, bunu dikkate almalıyız. Microsoft parolaları epeyce uzun bir mühlet evvel “uygunsuz, inançsız ve pahalı” olarak tanımladı. Bu yılın Mart ayında ise kurumsal müşterileri için parolasız kimlik doğrulaması tanıttı. Microsoft Eylül ayında, tüm kullanıcılar için takviyesini genişleteceğini açıkladı.
Kişi başına parola sayısı 100’e yaklaştı
Parolalar kurumsal uygulamalardan online bankacılık, e-posta ve e-ticaret hesaplarına kadar her şeyi garanti altına almak için hala kullanılıyor. Sorun şu ki, artık yönetmek ve hatırlamak için bu kimlik bilgilerinin hepsi artık çok fazla oldu. Bir varsayıma nazaran, ABD’li çalışanların yüzde 57’si kurumsal parolalarını yapışkan notlara yazıyor. Dijital ayak izimizi genişlettikçe bu sayı artıyor. Ekim 2020 iddialarına nazaran, ortalama bir kişinin pandemi başlamadan öncesine nazaran yaklaşık yüzde 25 daha fazla parolası var ve bu da kişi başı yaklaşık 100 parolaya denk geliyor. Siber güvenlik açısından bakıldığında, parolalarla ilgili zorluklar belirli. Saldırganların çalması, varsayım etmesi, kimlik avı yahut kaba kuvvet saldırısına maruz kalmaları. Saldırganlar parolanızı ele geçirdiklerinde legal kullanıcılar üzere davranabilirler, güvenlik savunmalarını geçebilir ve şirket ağlarının içinde çok daha uzun müddet saklı kalabilirler. Günümüzde bir data ihlalini tanımlamak ve bertaraf etmek için geçen mühlet 287 gündür.
Basit parola kullanımı devam ediyor
Parola yöneticileri ve tek seferde oturum açma, bu cins zorlukların üstesinden gelmek için her hesapta karmaşık parolaları depolar ve gerektiğinde otomatik olarak kullanırlar. Fakat tüketiciler ortasında hala tanınan değiller. Tüketici ve şirket hesaplarını kimlik hırsızlığı ve öteki kaba kuvvet tekniklerine maruz kalmamıza karşın kolay, iddia edilmesi kolay parolaları tekrar tekrar kullanarak “koruyoruz”. Bu yalnızca güvenlik riskiyle de ilgili değil. Parolalar, BT gruplarının yönetmesi için kıymetli vakit ve para gerektirir ve de müşteri seyahatini da kesintiye uğratır. İhlaller, B2B ve B2C ortamlarındaki kullanıcı tecrübesini kesintiye uğratabilecek büyük hacimli hesaplarda toplu sıfırlama gerektirebilir.
Parolasız hesap kullanımı işletmeye hangi yararları sağlayabilir?
Parolasız kimlik doğrulama ileriye yanlışsız büyük bir sıçrama sağlar. Yüz tanıma, güvenlik anahtarı ve hatta e-posta/SMS yoluyla gönderilen eşsiz bir kod üzere biyometrik güvenliğe sahip bir kimlik doğrulayıcı uygulaması kullanarak, kuruluşlar tek bir atılımda statik kimlik bilgileriyle bağlı güvenlik meselelerini ortadan kaldırabilir. B2B ve B2C operasyonları için bu yaklaşımı benimseyerek, kuruluşlar şunları yapabilir:
- Kullanıcı tecrübesini geliştirir: Oturum açma süreçlerini daha meselesiz hale getirir ve kullanıcıların parolalarını hatırlama gereksinimini ortadan kaldırır. Bu, oturum açma sıkıntıları nedeniyle daha az alışveriş sepeti terk edilirse satışların artmasına bile neden olabilir.
- Güvenliği artırır: Çalınacak parola yoksa, büyük bir sorun daha ortadan kalkar. Geçen yılki ihlallerin 84’ünün sorumlusunun parolalar olduğu tez ediliyor. En azından berbat adamların istediklerini elde etmek için daha çok çalışmasını sağlamış oluyorsunuz. Şu anda her yıl milyarlarca denenen kimlik bilgisi doldurma akınları geçmişte kalacak.
- Maliyetleri ve prestij ziyanlarını azaltır: Fidye yazılımlarına ve bilgi ihlallerine finansal olarak ziyan verme fırsatlarını en aza indirin. Ayrıyeten, parola sıfırlama ve olay araştırması ile alakalı BT yöneticisi maliyetlerini de azaltmış olacaksınız. Bir rapor, şifre sıfırlama başına 200 kadar maliyet çıkabileceğini ve yılda 30.000 saat randıman kaybına neden olabileceğini argüman ediyor. BT takımlarının daha yüksek kıymetli misyonlara vakit harcayabilmesini de sağlamış olacaksınız.
Parolasız hesap kullanımının önündeki pürüz nedir?
Parolasızlık her sıkıntıya deva değil. Uygulamanın önünde çeşitli maniler var:
- Güvenlik 100 garanti edilmez: SIM değiştirme hücumları, örneğin, tehdit aktörlerinin SMS ile gönderilen tek seferlik şifreleri (OTP’ler) atlatmalarına yardımcı olabilir. Bilgisayar korsanları aygıtlara, makinelere erişebilirse, örneğin casus yazılımlar aracılığıyla , OTP’leri de ele geçirebilirler.
- Biyometri gümüş kurşun değildir: Kullanıcının değiştiremeyeceği yahut sıfırlanamayan fizikî bir öznitelikle kimlik doğrulaması yapıyor olacağız. Saldırganlar sistemi hacklemenin bir yolunu bulursa ziyan çok daha yüksek hale gelir. Ses ve yüz/görüntü tanıma teknolojilerinin üstesinden gelmek için makine tahsili teknikleri geliştirilmeye devam ediliyor.
- Yüksek maliyetler: Büyük bir kullanıcı yahut müşteri tabanına sahip KOBİ’ler, varsa aygıtlarının yahut belirteçlerinin değiştirilmesi sürecinde önemli maliyetle karşılaşacaklar. Birtakım parolasız teknolojilerin kullanıma sunulması hayli değerli olabilir. Microsoft üzere yerleşik bir sağlayıcıyı kullanmak daha mantıklı olacaktır, fakat yeniden de bir iç geliştirme maliyeti olacaktır.
- Kullanıcı isteksizliği: Parolaların, büyük güvenlik eksikliklerine karşın uzun vakittir kullanılıyor olmalarının bir nedeni var – kullanıcılar içgüdüsel olarak bunları nasıl kullanacaklarını bilirler. Bilinmeyenin korkusunu aşmak, kullanıcıların kurallara uymaktan öteki seçeneği olmayacağı kurumsal bir ortamda daha kolay olabilir. Lakin B2C dünyasında müşterileri alıştırmak epeyce sıkıntı olacaktır. Bu nedenle, oturum açma sürecini mümkün olduğunca meselesiz ve sezgisel hale getirmeye ihtimam göstermelisiniz.
Salgın sonrası periyot başlarken, iki eğilim parolasız oturum açmayı benimsemenin geleceğini şekillendirecektir: tüketici çevrimiçi hizmetlerinin kullanımında bir artış ve hibrit işyerininortaya çıkması. Her ikisinin de merkezinde taşınabilir aygıtlar yer aldığına nazaran kurumsal parolasız stratejinin burada başlaması mantıklı görünüyor.
Kaynak: (BHA) – Beyaz Haber Ajansı
