Kimlik, yeni güvenlik sınırıdır

Önceki ders, bir bulut sağlayıcısının neyi güvenceye aldığı ile müşterinin neyi güvenceye alması gerektiği arasına bir çizgi çekti. Müşteri tarafında, hiçbir şey kimlik kadar iş görmez: kimin oturum açmasına izin verildiği ve ardından ne yapabildiği. Geleneksel bir ofis ağının bir duvarı ve kilitli bir kapısı vardı; bir bulut hesabının ise dünyanın her yerinden, her saatte ulaşılabilen bir oturum açma formu vardır. O oturum açma formunu güvenceye almak, pratikte “bulut içindeki güvenlik”in büyük kısmı demektir.

Hesaplar gerçekte nasıl ele geçirilir

Hesap ele geçirme, nadiren bir saldırganın bulut sağlayıcısının sistemlerini kırmasını içerir. Genellikle bu üniversitedeki tehdit modelleme kursundaki kimlik bilgisi hırsızlığı örüntüsünü izler: ihlal edilmiş, ilgisiz bir hizmetten tekrar kullanılan bir parola ya da doğrudan oturum bilgilerini isteyen ikna edici bir kimlik avı sayfası. Bir saldırgan geçerli kimlik bilgilerine sahip olduğunda, çoğu bulut hizmetinin onu gerçek hesap sahibinden ayırt etmesinin bir yolu yoktur — CISA’nın diğer her şeyin önüne koyduğu tek denetimin çok faktörlü kimlik doğrulama (MFA) olmasının tam nedeni de budur.

MFA ve neden tüm biçimleri eşit değildir

CISA açıkça “MFA’yı etkinleştiren kullanıcıların hacklenme olasılığı önemli ölçüde daha düşüktür” der, çünkü çalınmış bir parola tek başına artık yeterli olmaktan çıkar. Ama CISA, mevcut MFA biçimlerini kimlik avına ne kadar dirençli olduklarına göre de sıralar ve bu sıralama önemlidir: “yaygın olarak bulunan tek kimlik avına dirençli kimlik doğrulama, FIDO/WebAuthn kimlik doğrulamasıdır” — şifreleme kursunda ele alınan geçiş anahtarlarının (passkey) ve donanım güvenlik anahtarlarının arkasındaki standart. CISA’nın ifadesiyle bir SMS kodu, ikinci faktörün hiç olmamasından hâlâ çok daha iyidir, ama yeterince kararlı bir saldırgan tarafından ele geçirilebilir veya yönlendirilebilir; numara eşleştirmeli uygulama tabanlı anlık bildirimler ise ikisinin arasında yer alır. Hassas herhangi bir şey tutan bir bulut hesabı için, o hesabın sunduğu en güçlü MFA seçeneğini açmak bu dersteki en değerli tek adımdır.

OAuth: diğer uygulamalara verdiğiniz izinler

“Google ile devam et”e her tıkladığınızda veya bir planlama aracını takviminize bağladığınızda, standardın kendi belgelerinde “yetkilendirme için endüstri standardı protokol” olarak tanımlanan OAuth’u kullanıyorsunuzdur. Yararlı özelliği, üçüncü taraf uygulamanın parolanızı hiçbir zaman görmemesidir — doğrudan sağlayıcınızla oturum açarsınız, ardından o uygulama için kapsam (scope) adı verilen belirli, sınırlı bir izin kümesini onaylarsınız. Riski de tam olarak bu izin vermedir: takviminizin sadece müsait/meşgul zamanlarını okuması gereken bir planlama uygulaması, sizin adınıza e-posta okuma ve gönderme izni isteyebilir ve bu izin rutin olarak verilebilir. Bağlı her uygulama, biri iptal edene kadar süregelen bir erişim iznidir; bu yüzden bu kursun son dersi, bu listeyi sadece bir kez doğru kurmayı değil, düzenli olarak gözden geçirmeyi ele alır.

Sızdırılmış anahtarlar: OAuth’un daha az görünür kuzeni

Otomatik araçlar ve entegrasyonlar genellikle bir insan oturum açması yerine bir API anahtarıyla kimlik doğrular — bir parola gibi işlev gören ama bir kişi tarafından yazılmayan ve çoğu zaman MFA ile hiç korunmayan uzun bir dize. Bu anahtarlar çoğu insanın beklediğinden daha sık açığa çıkar: bir destek talebine yapıştırılır, yanlışlıkla bir kod deposuna işlenir, amaçlanandan daha geniş paylaşılan bir yapılandırma dosyasında bırakılır. Bir API anahtarına bir parola kadar dikkat göstermek — düz metin olarak asla paylaşmamak, açığa çıkmış olabileceği durumlarda değiştirmek ve neler yapabileceğini sınırlamak — insan oturum açmaları için tasarlanmış MFA’nın kapatmadığı bir boşluğu kapatır.