Tek işaret (SSO) başlangıçta hem kullanıcı rahatlığı hem de gelişmiş güvenlik için bir araç olarak tanıtıldı. Fikir, kullanıcıların bir kullanıcının bir kez oturum açabileceği ve tüm kaynaklarına tek bir kimlik bilgileri aracılığıyla erişebileceği çok sayıda, karmaşık ve sık sık değişen şifreleri ezberlemesini istemek yerine.
Kullanıcının yalnızca tek bir şifreyi hatırlaması gerektiğinden, bir kuruluş ek şifre karmaşıklığı gerektirebilir, böylece genel şifre güvenliğini geliştirebilir.
Sonuçta, SSO çift ucu keskin bir kılıç haline geldi. SSO kullanımı gerçekten de bazı kuruluşların daha güçlü şifre politikaları benimsemesine neden olsa da, ek güvenlik riskleri de yarattı. Sonuçta, bir kullanıcının ana şifresine erişim kazanan bir saldırgan, bu kullanıcının tüm SSO etkin kaynaklarına da erişim kazanır. Bu, kullanıcının uygulamalarını ve bu uygulamalarla ilişkili verileri içerir.
Bazı açılardan, SSO iyi kurulmuş güvenlik en iyi uygulamalarını tamamen zayıflatır. Kullanıcıların uzun zamandır aynı şifreyi birden çok sitede kullanmaları, kullanıcının kimlik bilgileri yerleşirse, siber suçluların bunları kullanan herhangi bir kaynağa erişmek için bu kimlik bilgilerini kullanabileceği basit bir nedenle cesaretini kırmıştır.
SSO'nun kimlik bilgisi doldurma saldırısı riskini artırmak için hiçbir şey yapmadığı doğru olsa da, sonuç esasen aynıdır.
Bu tür senaryoları teorik olarak düşünmek kolay olsa da, geçen yıl bir saldırganın SSO'daki zayıflıklardan yararlanmasına ve kullanıcı hesaplarına erişmesine izin verecek bir SAML enjeksiyon saldırısının keşfedildiğini hatırlamak önemlidir.
Bir kuruluşun SSO uygulamasını daha güvenli hale getirmek için yapabileceği birkaç şey vardır.
İlk olarak, Zero Güven ilkelerine uymak ve en az kullanıcı erişimini kullanmak son derece önemlidir. En az kullanıcı erişimi, kullanıcıların işlerini yapabilmeleri için özel olarak gerekli olmayan herhangi bir kaynağa erişmediğinden emin olma uygulamasıdır.
Kullanıcı izinlerini bu şekilde sınırlamak, bir kullanıcının kimlik bilgilerinin tehlikeye atılması durumunda meydana gelebilecek hasar miktarının azaltılmasına yardımcı olabilir.
SSO'yu daha güvenli hale getirmenin bir diğer önemli adımı, çok faktörlü kimlik doğrulamasının kullanılmasını gerektirir.
Çok faktörlü kimlik doğrulama, bir saldırganın çalınan bir dizi kimlik bilgisi kullanarak giriş yapabilmesini önlemeye yardımcı olur. Kullanıcı adı ve şifreyi girdikten sonra, saldırganın kimliklerini ikincil bir kimlik doğrulama yoluyla kanıtlaması gerekir.
Çok faktörlü kimlik doğrulaması çeşitli şekillerde uygulanabilir, ancak yaygın bir örnek, kullanıcının akıllı telefonuna sayısal bir kod gönderilmesini içerir. Kullanıcı, bu kodu girene kadar kimlik doğrulama işlemini tamamlayamaz. Bu tekniği kullanmanın arkasındaki fikir, bir kullanıcının kimlik bilgilerini çalmış bir saldırganın bir kullanıcının akıllı telefonuna sahip olması muhtemel olmamasıdır.
SSO'yu daha güvenli hale getirmek için yapabileceğiniz başka bir şey, ilk kimlik doğrulama işleminin güçlü bir kimlik sağlayıcısı tarafından kontrol edildiğinden emin olmaktır. İdeal olarak bu, kullanıcıların Microsoft Active Directory'ye karşı kimlik doğrulaması yapmasını gerektiren anlamına gelir.
Active Directory, kuruluşların kendi güvenlik gereksinimlerine dayalı güçlü bir şifre politikası oluşturmasına olanak tanır. Daha da iyisi, Microsoft Active Directory'yi genişletilebilir olacak şekilde tasarladı, bu da şifre güvenliğini büyük ölçüde artırmak için SpecOps şifre politikası gibi bir üçüncü taraf ürünleri kullanabileceğiniz anlamına geliyor.
SPECOPS parola politikasının SSO'yu daha güvenli hale getirmek için kullanılabilmesinin iki ana yolu vardır. İlk olarak, SpecOps parola ilkesi, Active Directory'de yerleşik olan şifre ilkesi ayarlarında iyileştirilir.
Windows Server, uzunluk, karmaşıklık ve yaş gereksinimleri etrafında oluşturulmuş şifre politikaları oluşturmanıza izin verse de, yerel grup politika ayarlarını kullanarak neler yapabileceğinizin sınırları vardır.
SpecOps Parola Politikası, artımlı şifrelerin kullanımını engelleme veya belirli şifrelerin kullanılmasını önleme (kuruluşun adını içeren şifreler gibi) gibi diğer temel kontrolleri ekleyerek yerel şifre ayarlarını artırır.
Parola politikasının SSO güvenliğini artırabilmesinin bir başka yolu da, tehlikeye girmediklerinden emin olmak için şifreleri izlemektir. SpecOps, sızdırıldığı bilinen milyarlarca şifre veritabanını tutar. SpecOps Parola Politikası, bu veritabanında görünmediklerinden emin olmak için bir kullanıcının kimlik bilgilerini izleyebilir. Bir kullanıcının parolasının sızdırıldığı tespit edilirse, hesap tehlikeye girmeden önce bu parola hemen süresi dolabilir.
Active Directory'deki SpecOps parola politikasını istediğiniz zaman ücretsiz olarak test edebilirsiniz.
Sponsu sponsorluğunda
Bu Sınav Hazırlık Paketi ile Siber Güvenlik Eğitiminize Devam Edin
Mobil mağaza sahibi, telefonların kilidini açmak için T-Mobile çalışanlarını hackledi
CISA, saldırılarda sömürülen kritik birleşme hatası konusunda uyarıyor
Hackerlar, açıklamadan sonraki 15 dakika içinde güvenlik açıkları için tarama
Atlassian: Confluence sert kodlanmış şifre sızdırıldı, şimdi yama!
Kaynak: Bleeping Computer