SMS Tabanlı Çok Faktörlü Kimlik Doğrulamanın En Önemli Beş (5) Riski

4 Nisan 2023 | Danışma, Blog, Yapışkan

Çok Faktörlü Kimlik Doğrulama

Siber Güvenlik alanında deneyimli CyberHoot vCISO'ları, yıllar içinde Çok Faktörlü Kimlik Doğrulama (MFA) tekniklerinin evrimine tanıklık etmiştir. SMS tabanlı MFA, kullanım kolaylığı ve pratikliği nedeniyle yaygın olarak kullanılsa da, saldırganlar tarafından istismar edilebilecek çeşitli güvenlik açıkları içermektedir. Bu blog yazısında, şifreleme eksikliği, ağ kesintileri, SS7 saldırıları, sosyal mühendislik ve SIM kart değişimi gibi SMS tabanlı MFA ile ilişkili riskleri ele alacağız. Ayrıca, daha iyi güvenlik sağlayan alternatif MFA çözümleri de önereceğiz.

SMS Tabanlı MFA ile İlişkili Riskler:

SMS tabanlı MFA, çeşitli saldırı türlerine karşı savunmasızdır ve bu da onu diğer MFA yöntemlerinden daha az güvenli hale getirir. SMS mesajlarında şifreleme eksikliği, SS7 saldırıları riski, sosyal mühendislik ve SIM kart değiştirme, SMS tabanlı MFA ile ilişkili önemli risklerdir.

Şifreleme Eksikliği:

SMS mesajları şifrelenmediğinden, saldırganlar tarafından ele geçirilip okunabilir. SMS mesajında altı haneli bir kimlik doğrulama kodu gibi hassas bilgiler varsa, saldırganlar hedeflenen hesaba erişmek için bunu kullanabilir.

Ağ Kesintileri

Mobil operatör ağları, SMS'i kullanılamaz hale getiren şebeke kesintilerine karşı bağışık değildir. Nadir de olsa bu tür kesintiler, internet açık ve çalışır durumdayken meydana gelebilir ve acil bir durumda kritik hesaplarınıza erişmenizi engelleyebilir.

Sinyalizasyon Sistemi 7 (SS7) Saldırısı:

SS7, ilk olarak 1988'de kullanıma sunulan ve en son 1993'te (30 yıl önce) güncellenen bir protokol olan Signaling System 7'nin kısaltmasıdır. Telekomünikasyon şirketleri tarafından mobil operatör ağları arasında bilgi alışverişi yapmak için kullanılır. Bilgisayar korsanları, SS7'deki güvenlik açıklarından yararlanarak hedef alıcıya gönderilen SMS mesajlarını ele geçirip yönlendirebilir. Bu saldırı, SS7 saldırısı olarak bilinir. Saldırganların MFA sürecini ele geçirerek hedeflenen hesapların ikinci faktör kimlik bilgilerine erişmesini sağlar. Tekrar kullanılan bir parola ile birleştiğinde, bilgisayar korsanları bu MFA koruma yöntemini kullanarak kritik hesaplara erişebilir.

Sosyal mühendislik:

Sosyal mühendislik, saldırganların kişileri gizli bilgilerini ifşa etmeleri için kandırmak amacıyla kullandıkları bir taktiktir. SMS tabanlı Çok Faktörlü Kimlik Doğrulama (MFA) durumunda, saldırganlar mağdurun mobil servis sağlayıcısıyla iletişime geçerek mağdurun kimliğine bürünebilir ve mağdurun telefon numarasıyla ilişkili SIM kartını ele geçirebilirler. Saldırgan, SIM kartıyla mağdura yönelik SMS mesajlarını alabilir, Çok Faktörlü Kimlik Doğrulama (MFA) sürecini atlayarak hedeflenen hesaba erişim sağlayabilir. Bir diğer SIM kart saldırısı türü ise, şimdi inceleyeceğimiz SIM Değiştirme'dir.

SIM Değiştirme:

SIM Değiştirme, saldırganların kurbanın telefon numarasını ele geçirmek için kullandıkları bir tekniktir. Saldırganlar, mobil servis sağlayıcısını kurbanın telefon numarasını kendi ellerindeki bir SIM karta aktarmaya ikna etmek için kurbanı taklit edebilirler. Kurbanın telefon numarasını ele geçiren saldırgan, ikinci faktör olan bir SMS koduna erişir ve ifşa edilmiş, tekrar kullanılmış veya kırılmış hesap şifresiyle hedeflenen hesaba erişim sağlar.

Bunlar, SMS tabanlı çok faktörlü kimlik doğrulamanın en büyük beş riskini temsil ediyor. CyberHoot artık kullanmamanızı önerse de SMS Çok Faktörlü Kimlik Doğrulama (MFA) kullanmak zorundaysanız, izlemeniz gereken en iyi uygulamalara odaklanalım. Ardından, SMS tabanlı çok faktörlü kimlik doğrulamadan çok daha güvenli alternatif çok faktörlü kimlik doğrulama yöntemleri sunacağız.

SMS Tabanlı MFA için En İyi Uygulamalar:

SMS tabanlı MFA, güvenlik açıklarına rağmen doğru kullanıldığında ek bir güvenlik katmanı sağlayabilir. SMS tabanlı MFA ile ilişkili riskleri azaltmaya yardımcı olabilecek bazı en iyi uygulamalar şunlardır:

Benzersiz, yayınlanmamış bir telefon numarası kullanın: Sosyal mühendislik saldırıları ve SIM kart değiştirme riskini azaltmak için, mümkünse başka hiçbir hesap veya hizmetle ilişkili olmayan ve yayınlanmamış bir telefon numarası kullanın.
Yüksek riskli hesaplar için SMS tabanlı MFA kullanmaktan kaçının: Hassas bilgilere veya finansal varlıklara erişimi olan hesaplar için SMS tabanlı MFA kullanmaktan kaçının.
Hesap etkinliğini izleyin: Hesap hareketlerini düzenli olarak izleyin ve şüpheli herhangi bir aktiviteyi derhal servis sağlayıcınıza bildirin.

SMS MFA'ya Daha İyi Alternatif MFA Çözümleri:

Çok faktörlü kimlik doğrulamanın (MFA) güvenliğini artırmak için, SMS tabanlı çok faktörlü kimlik doğrulamadan (MFA) daha güvenli olan çeşitli alternatif çözümler mevcuttur. İşte bazı örnekler:

Mobil Kimlik Doğrulayıcı UygulamalarıGoogle Authenticator, Microsoft Authenticator ve Authy gibi kimlik doğrulama uygulamaları, her 30 saniyede bir değişen zamana dayalı tek seferlik bir parola (TOTP) oluşturur. TOTP, kimlik doğrulama sürecinde ikinci faktör olarak kullanılır ve ek bir güvenlik katmanı sağlar.
Donanım Tokenları: YubiKey ve RSA SecurID gibi donanım belirteçleri, kimlik doğrulama sürecinde ikinci faktör olarak kullanılan benzersiz bir kod üretir. Bu belirteçler, SMS tabanlı MFA'dan daha güvenlidir ve SS7 saldırılarına, sosyal mühendisliğe, SIM kart değiştirmeye veya şifreleme eksikliğine karşı savunmasız değildir.
Biyometrik Kimlik DoğrulamaBiyometrik kimlik doğrulama, kimlik doğrulama sürecinde ikinci faktör olarak parmak izi, yüz tanıma veya ses tanıma gibi fiziksel özellikleri kullanır. Bu yöntem, biyometrik veriler her bireye özgü olduğundan ve kolayca kopyalanamadığı veya çalınamadığından oldukça güvenlidir. Biyometrik kimlik doğrulama, kullanıcıların parolaları hatırlama veya belirteç taşıma ihtiyacını ortadan kaldırdığı için de kullanışlıdır.

CyberHoot'ta Çok Faktörlü Kimlik Doğrulama (Görsel Kaynağı: Kasaya)

Çok Faktörlü Kimlik Doğrulama Sonuçları:

SMS tabanlı MFA, ek bir güvenlik katmanı sağlamak için yaygın olarak kullanılan bir yöntemdir, ancak saldırganlar tarafından istismar edilebilecek önemli güvenlik açıkları içerir. Şifreleme eksikliği, ağ kesintileri, SS7 saldırıları, sosyal mühendislik ve SIM kart değiştirme, SMS tabanlı MFA ile ilişkili risklerdir. Bu riskleri azaltmaya yardımcı olabilecek en iyi uygulamalar mevcut olsa da, mobil kimlik doğrulayıcı uygulamaları, donanım belirteçleri ve biyometrik kimlik doğrulama gibi daha iyi güvenlik sağlayan alternatif MFA çözümleri mevcuttur.

Siber güvenlik alanında uzman olan CyberHoot, bireylerin ve kuruluşların güvenlik duruşlarını iyileştirmek ve hassas bilgilerini ve varlıklarını korumak için bu alternatif çözümleri değerlendirmelerini öneriyor.