Kimlik doğrulama nedir?
Kimlik doğrulama (authentication), bir kullanıcının, cihazın veya servisin iddia ettiği kişi ya da sistem olduğunu kanıtlama sürecidir. Parola, güvenlik anahtarı, kod veya sertifika gibi kanıtlar kullanılır. Doğrulama başarılı olursa sistem karşısındakinin kim olduğunu bilir.
Kimlik doğrulama, ‘kim olduğunuz’ sorusuna cevap verir; ‘neye erişebileceğiniz’ sorusu ise yetkilendirmenin konusudur. İkisi birlikte çalışır ama farklı adımlardır.
Neden önemlidir?
Sunucu paneli, SSH, FTP, e-posta ve veritabanı gibi hizmetlerin tamamı bir kimlik doğrulama adımıyla korunur. Bu adım zayıfsa saldırgan diğer tüm önlemleri atlayıp meşru kullanıcı gibi içeri girebilir. Çalınan ya da tahmin edilen parolalar, ele geçirilen hesapların en yaygın nedenlerindendir.
Doğrulama faktörleri üç ana gruba ayrılır:
- Bildiğiniz bir şey: parola, PIN.
- Sahip olduğunuz bir şey: telefon, güvenlik anahtarı, SSH özel anahtarı.
- Olduğunuz bir şey: parmak izi, yüz tanıma gibi biyometrik veri.
Sunucu ve hosting ortamında
cPanel, Plesk ve DirectAdmin gibi kontrol panelleri, SSH, FTP ve e-posta hizmetleri kendi kimlik doğrulama mekanizmalarına sahiptir. Sunucularda parola yerine SSH anahtarı kullanmak, panel girişlerinde iki adımlı doğrulamayı açmak ve başarısız girişleri sınırlamak temel iyileştirmelerdir.
WordPress gibi uygulamalarda ise yönetici hesapları en çok hedeflenen noktadır. Kurumsal ortamlarda tek oturum açma (SSO) ile kimlik doğrulama merkezileştirilebilir.