Parola riskleri artarken geçiş anahtarları yaygınlaşıyor

Kurumlar, otomatik siber saldırılar ve özerk yapay zekâ sistemlerinin yükselişi karşısında parolaları yeniden değerlendirirken geçiş anahtarları daha fazla ilgi görüyor. Ping Identity'de GTM CTO'su olan Alex Laurie, sabit parolaların bu tehditlere giderek daha az uygun olduğunu savunuyor. Laurie, Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin (NCSC) bu değişimi “onlarca yıllık güvenlik uygulamasını baştan şekillendirmek” olarak tanımladığını belirtiyor.

Laurie, yapay zekâ araçlarının suçluların makine hızında kimlik bilgisi doldurma saldırıları ve gerçekçi oltalama kampanyaları yürütmesine yardımcı olabildiğini söylüyor. Ancak geçiş anahtarlarının ve diğer parola alternatiflerinin benimsenmesi, kısmen kurumların kimlik ve erişim yönetimi (IAM) sistemlerine bağlı: IAM stratejisi daha az gelişmiş olan veya hiç olmayan işletmelerin yalnızca %30'u parola alternatiflerine yöneliyor.

Geçiş anahtarları kriptografik kimlik doğrulaması kullanıyor. Özel anahtarları merkezi bir sunucu veya uygulamayla paylaşılmak yerine kullanıcının cihazında kalıyor; ayrıca geçiş anahtarları doğrulanmış bir alan adına bağlanıyor. Laurie, bu özelliklerin oltalamaya karşı koymaya ve merkezi bir parola veritabanı ihtiyacını ortadan kaldırmaya yardımcı olabileceğini söylüyor. Laurie ayrıca bir güven açığına dikkat çekiyor: Britanya halkının yalnızca %17'si kimlik verilerini yöneten kurumlara tamamen güveniyor.

Özerk yapay zekâ ajanları insan kimlik bilgilerine dayanırsa ek bir sorun yaratıyor; bu bilgiler kötüye kullanılır veya ele geçirilirse hassas veriler açığa çıkabilir. Laurie, ajanların kendilerine ait kimlikleri ve göreve özel, süreyle sınırlı izinleri olması gerektiğini savunuyor.

Eski sistemler parolaları kaldırmayı zorlaştırabiliyor. Laurie, düşük kodlu veya kodsuz kimlik platformlarının kurumlara tüm sistemleri değiştirmeden ya da kullanıcı iş akışlarını kesintiye uğratmadan geçiş anahtarlarını veya biyometrik istemleri aşamalı olarak sunma olanağı verdiğini söylüyor. Makaleye göre Google ve Amazon, geçiş anahtarlarını varsayılan kimlik doğrulama seçenekleri olarak konumlandırdı. Bu yazı TechRadar Pro Perspectives kapsamında yayımlanan bir görüş yazısıdır; görüşler yazara aittir ve TechRadar Pro veya Future plc'nin görüşlerini yansıtmayabilir.