Kimlik ve Erişim Yönetimi Güvenliği
Siber güvenlik teknolojisindeki en yeni eğilimler hakkında haber, analiz ve yorum.
Yeni YubiID hizmeti, kimlik doğrulamayı mevcut kimlik platformları genelinde kimlik bilgisi kaydı ve kurtarmayla buluşturuyor; böylece kimlik avına dayanıklı kimlik doğrulamadaki boşluk kapanıyor. Ayrıca post-kuantum YubiKey beta programı duyuruldu.
Yubico, çalışanların giriş kimlik bilgilerini kaydetmeden önce kimliklerini doğrulamaya ve anahtar ya da mobil cihaz kaybedildiğinde erişimi yeniden kazanma anında tekrar doğrulamaya yardımcı olmak istiyor.
Salı günü YubiKey kimlik doğrulama cihazlarının üreticisi Yubico, kimlik doğrulamayı kimlik bilgisi kaydı ve hesap kurtarmayla ilişkilendiren ve sınırlı erken erişime giren abonelik hizmeti YubiID’yi duyurdu. Bu hafta San Francisco’da düzenlenen Yubico’nun ilk YubiNation kullanıcı konferansında açıklanan hizmet, Microsoft Entra, Okta ve Ping dahil büyük kimlik sağlayıcılarıyla entegre oluyor ve kimlik bilgilerinin YubiKey’ler ile mobil telefonlara kaydedilmesini destekliyor. Bu durum Yubico’nun donanım anahtarı dağıtımına karar vermeyen kuruluşlara da ulaşmasını sağlıyor.
Lansman, girişin kimlik avına dayanıklı şekilde korunmasının artık yeterli olmadığına dair artan farkındalığa yanıt veriyor. Bu yaklaşım, kimlik bilgisinin doğru kişiye ulaşıp ulaşmadığını ya da değiştirme talebinde bulunan kişinin meşru sahip olup olmadığını garanti etmiyor. Yubico saha CTO’su Derek Hanson, geçen ay FIDO Alliance’ın Authenticate konferansında bu değişimi anlattı; yardım masasının çoğu kurumda operasyonel bir kontrolden gerçek bir güvenlik kontrolüne dönüştüğünü söyledi.
Yubico, ismi açıklanmayan “büyük kuruluşlardan” oluşan bir grup ile tasarım ortağı olarak çalışıyor ve CEO Jerrod Chong’un Dark Reading’e verdiği bilgiye göre YubiID’yi 2027 yılının ilk yarısında genel kullanıma sunmayı hedefliyor. Şirket fiyatlandırmayı açıklamadı.
İK ile BT Arasındaki Boşluğu Kapatmak
Chong’a göre YubiID’nin ele aldığı sorun geçmişte ikinci plandaydı: anahtarın doğru kişiye ulaşmasının ve kaybolduğunu bildiren kişinin gerçekten o kişi olmasının doğrulanması. Yeni hizmet temel kimlik doğrulama yeteneği sunuyor; müşteriler kendi doğrulama süreçlerini kullanabiliyor ya da başka sağlayıcılara güvenebiliyor. Clear, Nametag ve HYPR ile planlanan entegrasyonlar, kuruluşların bölgesel kapsama göre farklılık gösteren sağlayıcıları birleştirmesine olanak tanıyacak.
Çoğu kurum için durum tanıdık: çalışanlar kimliklerini ofisin bir bölümünde İK’ya kanıtlıyor, ardından giriş kimlik bilgilerini başka bir bölümde BT’den alıyor. Bu adımları birbirine bağlamak, hem ilk kayıtta hem de yedek kimlik bilgisi kaydı sırasında kimlik doğrulaması gerektiği için kimlik sahteciliği fırsatlarını azaltıyor.
“Kurtarma, kimlik bilgisi yönetiminde çok zayıf bir nokta,” diye konuştu FIDO Alliance’ın icra direktörü ve CEO’su Andrew Shikiar.
Dijital kimlik bilgileri, kuruluşların kurtarma sırasında kullanıcı kimliğini bilgi tabanlı sırlara güvenmeden yeniden tesis etmesini sağlıyor; diye ekledi. Kurtarma sorununu çözmek yalnızca teknolojiden ibaret değil; politika, düzenleyici uyum, kullanıcı davranış değişikliği ve iş süreci tasarımı da gerekiyor.
Mevcut Kimlik Müşterilerinin Kazancı
Okta, Ping ya da Microsoft Entra’ya yatırım yapmış kuruluşlar için YubiID doğrulama ve kaydı koordine ediyor; bu kimlik platformlarının yerini almıyor. Yubico, söz konusu sağlayıcılardan kimlik bilgisi kaydetmek için bağlayıcılar geliştirdi ve yerleşik kimlik sistemlerini de destekliyor.
“Biz bir IDP olmuyoruz,” dedi Chong. “Bence iş birliği için rekabetten daha fazla fırsat var.”
Pratik fayda daha sıkı koordinasyon. Bir kuruluş, seçtiği doğrulama sürecini çalışanların zaten kullandığı kimlik sistemlerindeki kayda bağlayabiliyor; böylece adımlar birbirinden kopuk iş akışları olarak yönetilmiyor. Bu durum özellikle birden fazla kimlik sağlayıcısı kullanan kurumlar için önem kazanıyor; çalışan için asıl ihtiyaç, hesabı hangi platformun yönettiğine bakılmaksızın çalışan kimlik bilgilerini alabilmek.
Tatil sezonu öncesinde 10 bin geçici çalışanı işe alan bir şirket için YubiID, yönetici destekli yüz yüze kayıt ile uzaktan kayıt ve doğrulamayı destekleyebiliyor. Chong’a göre şirkete kimlik kontrollerini erişim kurulumuna bağlamak için birden fazla yol sunmanın faydası güvenlik kadar operasyonel; çalışanı doğrulamak ile o kişiyi kimlik doğrulamaya hazır hale getirmek arasındaki kopuk adımlar azalıyor. Potansiyel zaman tasarrufu ya da yardım masası iş yükündeki düşüş rakamlarını paylaşmadı. İlgi, özellikle ulaşım, perakende, sağlık, danışmanlık ve küresel hizmet şirketleri gibi büyük, dağıtık ya da mevsimsel iş gücüne sahip kuruluşlarda güçlü.
Üst Üste Gelen Ürünlere Sahip Ortaklar
Yubico, kimlik sağlayıcılarının ve doğrulama uzmanlarının zaten örtüşen karşılama ve kurtarma yetenekleri sunduğu bir pazara giriyor. Microsoft Entra’nın doğrulanmış hesap kurtarması mayısta genel kullanıma sunuldu; kimlik doğrulaması kullanarak kullanıcıların geleneksel manuel yardım masası sürecine güvenmeden erişimlerini yeniden kazanmalarını ve kimlik doğrulama yöntemlerini kaydetmelerini sağlıyor. YubiID entegrasyon ortağı olması planlanan Nametag ve HYPR da iş gücü doğrulama ve kurtarma yetenekleri satıyor. Beyond Identity, Nametag’ın kimlik kontrollerini geçici parola kaydına ve kurtarmaya bağlıyor; 1Kosmos ise kimlik doğrulamasını parolasız kimlik doğrulama ile birleştiriyor.
Chong’a göre YubiID’nin farkı, doğrulama ve kaydı tek bir kimlik sağlayıcısına bağlamak yerine platformlar arasında ilişkilendirmesi. Yubico ayrıca donanım işini bu ilişkilere taşıyor: birçok müşterinin kimlik doğrulama kimlik bilgilerinin bulunduğu cihazları üretiyor. Chong, bu deneyimi küresel bir iş gücünde anahtar dağıtma, alıcıları doğrulama ve yedekleri kaydetme zorluğu ile ilişkilendiriyor.
Donanım zorunlu değil. Mobil cihazlarda kimlik bilgisi desteği, donanım anahtarı dağıtımını çok zor bulan müşterilere hitap edebilir. Bu müşteriler anahtarların güvenlik yararlarını reddetmiyor; lojistik “bazen oldukça zorlayıcı” oluyor, diyor Chong.
Federal kurumlar, YubiKey’lere ya da mobil doğrulayıcılara FIDO kimlik bilgileri kaydederken çalışanların mevcut PIV kimlik bilgilerini kimliklerini tesis etmek için kullanabilir; Chong, bu iş akışlarının gelecekte potansiyel yetenekler olduğunu ve lansmanda tam olarak mevcut olmadığını belirtiyor.
Post-Kuantum Bir Anahtar, Ama Sadece Beta
Ayrıca Yubico, post-kuantum hazır YubiKey için açık beta programı duyurdu. Beta YubiKey, hangi algoritmalar olduğunu belirtmese de NIST tarafından standardize edilmiş post-kuantum algoritmalarını destekleyecek. Yubico, Chrome ve Firefox ile erken uygulamaları test etti; erken anahtarlar federal laboratuvarlara ve hiperskalerlere gönderildi. Şirket, beta testine ve müşteri geri bildirimine bağlı olarak anahtarı yaklaşık bir yıl içinde FIPS doğrulamasına sunmayı bekliyor; tamamlanma garanti değil.
“Kripto çevik” olmasına rağmen Chong, beta cihazların yazılım güncellemesi alamadığını doğruluyor; bu da kuruluşların farklı algoritmalar gerekirse bu anahtarları daha sonra değiştirmesi anlamına geliyor.
“Web genelinde yazılım güncellemelerini güvenli şekilde yapmak hiç de basit değil,” dedi.
Haziran ayında yayımlanan bir başkanlık kararnamesi, kurumların yüksek değerli varlıkları ve yüksek etkili sistemleri 2030 sonuna kadar anahtar oluşturma için, dijital imzalar için ise 2031 sonuna kadar post-kuantum kriptografiye geçmelerini yönlendiriyor. Beta anahtarları değerlendiren kuruluşların hem yeni kriptografiyi hem de cihazların değiştirilmesi ve kaydedilmesi sürecini test etmesi gerekecek.
Yapay Zeka Ajanlarını Yetkilendirme: Gelecek Yönü
Yubico nihayetinde bir kişinin belirli bir yapay zeka ajanı eylemini yetkilendirdiğine dair doğrulanabilir kanıt sunmayı öngörüyor; ancak Chong, ajan yetkilendirme yeteneklerinin bu lansmanın parçası olmadığını doğruluyor. Yubico’nun arka uç hizmetleri, uygulamaları ve donanım anahtarlarının birleşimi ek kullanım durumları için temel oluştururken, şimdilik YubiID hizmeti insanları doğrulamaya, kimlik bilgileri kaydetmeye ve kurtarmayı yönetmeye odaklanıyor.
“Basit bir şekilde bakarsak, sadece bir YubiKey çözümü değil, uçtan uca bir çözüm sunuyoruz,” dedi Chong.
YubiID hizmeti, kimlik doğrulamayı kimlik bilgisi kaydı ve kurtarmayla birleştirerek kimlik avına dayanıklı kimlik doğrulamadaki boşluğu kapatmayı hedefliyor. Post-kuantum YubiKey beta programı ise şirketin kuantum sonrası geçişe yönelik hazırlığını gösteriyor.
