ADNSU · İT və İdarəetmə fakültəsi
Mühazirə: Həsənli Xatirə
Autentifikasiya növləri
1FA · 2FA · MFA üçün risk ssenariləri və müqayisə
Hər növl nəyi qoruyur, hansı hücumu dayandırmır — və bir-birini necə əvəz edir.
Hər blok eyni quruluşdadır
Üç blokun birində növlü təqdim edirik, üç risk ssenarisi canlı göstəririk və qorunmadığı riskləri açıq deyirik.
1FA — birfaktorlu
Sistem istifadəçiyə yalnız bir şey soruşur: parol. Bu, bütün risk ssenarilərinin başlanğıc nöqtəsidir.
1FA yalnız bir risk qatıdır
NIST SP 800-63B-yə görə 1FA “Something you know”, yəni bilmək kategoriyasıdır. Bu, AAL1 səviyyəsidir — və risk analizi buradan başlayır.
Risk ssenarisi 1 · interaktiv
Brute-force: parol lüğəti ilə sındırma
Ssenari: hücumçu bir hesabda qeydiyyatdan keçir, sonra ayxan@asoiu.edu.az üçün real parol siyahısını yoxlayır. Ox düyməsi ilə izləyin.
Risk ssenarisi 2 · interaktiv
Credential stuffing: parolun təkrarı
Ssenari: hücumçu eyni e-poçt və parol cütini götürür və minlərlə xidmətə avtomatik göndərir. Bu, brute-force-dan fərqli olaraq kütləvi hücumdur.
Risk 3 — parol sızması və rainbow table
Ssenari: bir saytın bazası sındırılır. Parollar düz mətn saxlanıb? Hər hesab üçün fərqili salt varsa? Aşağıdakı çıxış real skriptdəndir.
Risk xülasəsi: 1FA nəyi dayandıra bilmir
Yuxarıdakı risklərin hamısı parol bilmək faktoruna hücum edir. 2FA isə hücumçunun “sahib olmaq” faktorunu da qazanmalıdır.
2FA — iki fərqli faktor
Two-Factor Authentication (2FA) — istifadəçinin kimliyini təsdiqləmək üçün iki fərqli autentifikasiya faktorunun tələb olunduğu təhlükəsizlik mexanizmidir.
Adi giriş sistemində istifadəçi yalnız parol daxil edir. Lakin parol oğurlanarsa, hücumçu həmin hesabı ələ keçirə bilər. 2FA isə paroldan əlavə ikinci faktor tələb etməklə bu riski azaldır. Məsələn, istifadəçi onlayn mağazanın hesabına daxil olarkən:
Beləliklə, hücumçu parolu bilsə belə, ikinci faktoru əldə etmədən hesaba daxil olmaqda çətinlik çəkir.
Praktiki nümunə: NovaMarket
Məsələn, NovaMarket adlı bir onlayn mağaza yaratmışıq. Alice adlı istifadəçi üçün əvvəlcə 2FA-ı aktiv edirik:
Buradan “İki faktorlu doğrulamanı (2FA) idarə et”-ə klikləyirik və bu pəncərə açılır:
2FA qeydiyyatı
Authenticator tətbiqində (Google Authenticator, Authy və s.) bu açarı əlavə edin. Açar yalnız bu səhifədə göstərilir, sonra bir daha göstərilmir.
Verilmiş kodu Authenticator tətbiqində daxil edirik və bizə ikinci bir doğrulama üçün kod verir.
Aktivləşdirmə və giriş
Alice hesab adı idi. İndi bu kodu saytda yazırıq və alice user-i üçün 2FA-ı aktiv edirik.
Bundan sonra hesaba hər girdiyimizdə ikinci bir doğrulama ilə qarşılaşırıq. Authenticator tətbiqindəki kodu daxil edərək hesaba giririk.
Autentifikasiya faktorlarının növləri
Autentifikasiya faktorları əsasən üç qrupa bölünür. 2FA istifadə edilərkən bu qruplardan iki fərqli kateqoriyaya aid faktor seçilir.
Bu faktor yalnız istifadəçinin bildiyi məlumatlara əsaslanır.
Nümunələr: Parol (Password) · PIN-kod · Təhlükəsizlik sualının cavabı
Buradaki risk, parolun phishing, brute-force hücumları, məlumat sızmaları və ya başqa hesabda istifadə edilmiş parolun təkrar istifadəsi nəticəsində ələ keçirilə bilməsidir. Buna görə parolun mürəkkəb olması və digər saytlarda təkrar istifadə edilməməsi vacibdir. Parol minimum 8 simvoldan ibarət olmalı və ola bildiyi qədər müxtəlif simvollardan ibarət olmalıdır; bu kombinasiyaların sayını artırır və BruteForce ehtimalını azaldır.
Bu faktor istifadəçinin sahib olduğu fiziki və ya rəqəmsal vasitəyə əsaslanır.
Nümunələr: Mobil telefon (SMS və ya authenticator tətbiqi) · Aparat tokeni · Ağıllı kart · E-poçt hesabı
Burada risk vasitənin itirilməsi, oğurlanması, SIM kartın dəyişdirilməsi (SIM-swapping) və ya cihazın zədələnməsi ilə bağlıdır.
Sənə məxsus xüsusiyyət
Bu faktor istifadəçinin bioloji və ya davranış xüsusiyyətlərinə əsaslanır.
Nümunələr: Barmaq izi · Üz tanıma · Səs tanıma · İmza
Bu üsulun üstünlüyü ondadır ki, onu unutmaq, itirmək və ya başqa şəxsə ötürmək çətindir. Lakin biometrik məlumatlar dəyişdirilə bilmədiyi üçün sızdıqda uzunmüddətli risk yaradır. Bundan əlavə, bəzi biometrik üsullar süni surətdə təqlid edilə bilər.
Barmaq izi və parol birlikdə istifadə edilərsə, bu, iki fərqli faktor kateqoriyasına aid olduğu üçün 2FA sayılır. Yalnız iki fərqli parol və ya eyni kateqoriyaya aid iki üsul isə 2FA deyil.
SMS vasitəsilə doğrulama
Bu üsulda sistem istifadəçinin qeydiyyatdan keçmiş telefon nömrəsinə birdəfəlik kod göndərir. İş prinsipi 4 mərhələdən ibarətdir:
Üstünlükləri: sadədir, geniş yayılıb və ayrıca tətbiq tələb etmir.
Çatışmazlıqları: SIM-swapping, phishing və kodun oğurlanması riskləri var; həmçinin telefon şəbəkəsindən asılıdır.
SMS əsaslı 2FA yalnız paroldan istifadə etməkdən daha yaxşı müdafiə təmin edə bilər, lakin daha güclü alternativlər mövcuddur.
Autentifikator tətbiqləri — TOTP
TOTP (Time-Based One-Time Password) müəyyən vaxt intervalına əsasən birdəfəlik kod yaradan mexanizmdir.
Məsələn, Google Authenticator və Microsoft Authenticator kimi tətbiqlər bu üsulu dəstəkləyir. İş prinsipi:
TOTP kodları adətən 30 saniyəlik interval üzrə dəyişir. Konkret interval sistemin konfiqurasiyasından asılıdır.
Üstünlükləri: internet bağlantısı tələb etmir, SMS-dən daha təhlükəsizdir və kod qısa müddət ərzində etibarlıdır.
Çatışmazlıqları: telefonun itirilməsi, tətbiqin silinməsi və ya cihazın dəyişdirilməsi çətinlik yarada bilər; kod yenə də phishing ilə ələ keçirilə bilər.
Təhlükəsizlik açarları — Security Keys
Təhlükəsizlik açarı autentifikasiya üçün istifadə edilən fiziki cihazdır. O, USB və ya NFC vasitəsilə kompüterə və ya telefona qoşula bilər.
FIDO2/WebAuthn standartlarını dəstəkləyən təhlükəsizlik açarları phishing-ə qarşı güclü müdafiə təmin edə bilər.
İş prinsipi
- Phishing-ə qarşı yüksək davamlılıq.
- Birdəfəlik kodu yadda saxlamaq lazım deyil.
- Kriptoqrafik doğrulama istifadə olunur.
- Fiziki açarın alınması əlavə xərc yarada bilər.
- Açar itirilərsə, alternativ giriş və bərpa üsulu tələb oluna bilər.
- Bütün saytlar bu üsulu dəstəkləmir.
2FA ilə əlaqəli əsas təhlükəsizlik riskləri
2FA hesab təhlükəsizliyini artırsa da, onun tətbiqi və istifadəsi ilə bağlı bəzi risklər qalır.
2FA-nın əsas üstünlüyü ondan ibarətdir ki, hücumçu yalnız parolu deyil, həm də ikinci faktoru ələ keçirməlidir. Ancaq bu o demək deyil ki, 2FA bütün hücumların qarşısını alır. Aşağıdakı risklər xüsusilə diqqət tələb edir:
- SIM-swapping — hücumçu telefon nömrəsini öz nəzarətinə keçirir.
- Phishing — saxta sayt parolu və 2FA kodunu ələ keçirir.
- OTP oğurlanması — birdəfəlik kod ələ keçirilir.
- Brute-force — kodun bütün variantları avtomatik sınanır.
- 2FA-nın yan keçilməsi — qorunan səhifəyə birbaşa müraciət edilir.
2FA-nın yan keçilməsi
2FA-nın bypass edilməsi ilə bağlı əvvəldə yaratdığımız NovaMarket saytında hücumlar reallaşdırırıq. Məsələn, istifadəçi parolu daxil edir və server onu /2fa səhifəsinə yönləndirir. Hücumçu həmin səhifəni tamamilə yan keçib birbaşa /profile-ə müraciət edir və profil açılır. Heç bir kod daxil edilmir.
Bunun səbəbi zəif login funksiyasında parol düzgün olan kimi session["user"] təyin olunur, 2FA isə yalnız yönləndirmə ilə həyata keçirilir. login_required kimi qoruma isə yalnız session["user"]-in mövcudluğuna baxır. Yəni server 2FA-nın tamamlandığını deyil, parolun keçildiyini qeyd edir.
6 rəqəmli kodun brute-forceu
İkinci bir hücum, 6 rəqəmli kod yalnız 1 000 000 variantdır. Hücumçu parolu bilib və /2fa-ya dəfələrlə kod göndərə bilirsə, bütün variantları sınaya bilər. Burp Intruder ilə kodu payload olaraq verib (Numbers, 000000–999999) sorğuları göndərmək olar.
Hücumun səbəbi /2fa marşrutu səhv kodları saymır və istifadəçini heç vaxt bloklamır. Yalnız “kod yanlışdır” mesajı qaytarır.
Hücumlara qarşı müdafiə 01–03
Müdafiə tədbirləri — davam 04–05
Nəticə
Two-Factor Authentication (2FA) hesab təhlükəsizliyini artıran vacib müdafiə mexanizmidir. O, istifadəçinin kimliyini iki fərqli autentifikasiya faktoru ilə təsdiqləyir və yalnız paroldan asılılığı azaldır.
Lakin SMS, OTP və digər 2FA üsullarının özünəməxsus riskləri var. SIM-swapping, phishing və OTP oğurlanması göstərir ki, ikinci faktorun mövcudluğu bütün təhlükələri aradan qaldırmır.
autentifikasiya mexanizmi server tərəfində düzgün tətbiq edilməli, giriş cəhdləri məhdudlaşdırılmalı, sessiyalar təhlükəsiz idarə olunmalı və mümkün olduqda phishing-ə davamlı üsullara üstünlük verilməlidir.
MFA — çoxfaktorlu autentifikasiya
2FA-dan fərqi faktorun sayında deyil, qatların müstəqilliyindədir. MFA bir neçə fərqli sübutu birləşdirir: bilik, cihaz, biometriya, yer və davranış.
Bu blokda MFA-nın nə olduğunu, hansı üsullarla işlədiyini və hansı hallarda yenə də yan keçilə bildiyini ardıcıl göstərəcəyik.
2FA ⊂ MFA — fərq faktor sayında
2FA dəqiq iki fərqli faktor tələb edir. MFA isə iki və daha çox — praktikada üç və ya dörd müstəqil qat. Yəni hər 2FA bir MFA-dır, amma hər MFA 2FA deyil.
2FA
Parol + SMS = klassik 2FA.
MFA
Hər əlavə qat müstəqil olmalıdır.
Üç klassik faktor — bilik, cihaz, bədən
2FA və MFA-nın təməli budur: hər faktor fərqli kateqoriyadan seçilməlidir. İki parol və ya iki eyni tipli kod 2FA sayılmır.
Parol · PIN · təhlükəsizlik sualının cavabı.
Risk: phishing, brute-force, təkrar istifadə.
Telefon · authenticator · FIDO2 açarı · smart kart.
Risk: itirmə, oğurluq, SIM-swap.
Barmaq izi · üz · iris · səs.
Risk: təqlid, dəyişdirilə bilməz, məxfilik.
MFA əlavə siqnallar da qatır
NIST rəsmi olaraq üç kateqoriya tanıyır. Risk əsaslı MFA isə bunların üzərinə yer, davranış və kontekst əlavə edir — çox vaxt istifadəçidən heç nə soruşmadan.
GPS koordinatları · IP ünvanı · WiFi şəbəkəsi · ofis/VPN.
Risk: VPN/proxy, GPS saxtalaşdırma.
Yazma ritmi · siçan trayektoriyası · toxunma təzyiqi.
Risk: profil dəyişməsi, yanlış pozitiv, məxfilik.
Vaxt · cihaz · brauzer · sessiya sayı · risk balı.
Risk: məlumat toplanması, yanlış bloklama.
SMS və TOTP — qısa xatırlatma
2FA blokunda bunları gördük. MFA-da bunlar bir qatdır, yeganə qat deyil — və tək başına phishing-resistant sayılmır.
SMS kodu
Kodu heç kimlə paylaşmayın.
TOTP kodu
Push: Təsdiqlə/Rədd et və ya rəqəm uyğunluğu
Push rahatdır — bir toxunuşla giriş. Amma istifadəçi konteksti görmürsə, kor təsdiq riski yaranır. Number matching bu riski azaldır.
Push bombing — MFA fatigue
Hücumçu parolu bilir, ikinci faktor yoxdur. O, telefonu onlarla bildirişlə doldurur və istifadəçi yorulub təsdiqləyir.
Real nümunə: Uber, 2022
Bir podratçı, bir təsdiq və hardcoded sirr — kiçik giriş böyük ekosistemə çevrildi.
MFA var idi — amma insan amili və hardcoded sirr onu yan keçdi. Tək təsdiq bütün şəbəkəyə açılan qapı oldu.
Fiziki açar — SecureKey / FIDO2
Açar sizin cibinizdədir. Şəbəkədə sirr yoxdur — yalnız imza gedir. Açar olmadan giriş mümkün deyil.
Passkeys — cihaza bağlı açarsız giriş
Passkey FIDO2 credential-dır: özəl açar cihazın təhlükəsiz çipində qalır, kilidi biometriya və ya PIN açır.
Biometriya — 2D-dən 3D-yə
Barmaq izi, üz, iris, səs. Köhnə üsullar foto ilə aldanırdı; yeni sensorlar dərinlik və canlılıq yoxlayır.
Biz daxil etmədən işləyən yoxlamalar
GPS, IP, WiFi, cihaz və brauzer fingerprint-i arxa planda yoxlanılır. Sistem risk balı çıxarır: icazə, əlavə doğrulama və ya blok.
Davranış — klaviatura və siçan
Eyni kompüter, fərqli insan: yazma ritmi və siçan trayektoriyası profilə uyğun gəlmirsə, sistem sessiyanı bağlaya bilər.
Kontekst: vaxt, yer, cihaz
Risk yalnız kimliyə deyil, harada və nə vaxt girdiyinizə də baxır. Qeyri-adi vaxt və “impossible travel” güclü siqnaldır.
Aşağı risk → parol; orta → OTP; yüksək → blok / step-up.
MFA bir divar deyil — qat-qat divardır
Hacker bir divarı qırıb keçsə, digərinə çırpılır. Amma insan divarı həmişə ən zəif halqadır.
Cookie oğurlansa, MFA yan keçilir
MFA girişi qoruyur. Sessiya cookie-si oğurlanıbsa, hücumçu artıq içəridədir — və heç bir kod soruşulmur.
MFA — qat-qat müdafiə, sehrli həll deyil
MFA hesab kompromisinin böyük hissəsini bloklayır. Amma o, insanı, sessiyanı və bərpa yolunu avtomatik qorumur.
Gülşən üç ölçülü balansı — ehtimal, təsir və insan amilini — göstərəcək. MFA güclüdür, amma hər üsul hər riski eyni cür dayandırmır.
1FA → 2FA → MFA
Risk Analizi: ehtimal × təsir
Müqayisəni düzgün aparmaq üçün NIST resurslarındakı rəsmi risk analizi metodologiyasına baxmalıyıq. Risk iki hissədən ibarətdir: ehtimal və təsir. Biz faktorların sayını artırmaqla yalnız hücumun uğur qazanma ehtimalını aşağı salırıq. Lakin həmin hesabın daxili şəbəkədə kritik bir serverə giriş icazəsi varsa, onun sındırılması halında dəyəcək ziyan, yəni təsir dəyişmir. Deməli, effektiv müqayisə apararkən təkcə faktorun gücünü deyil, qorunan hesabın real dəyərini və səlahiyyətlərini də mütləq nəzərə almalıyıq.
Risk = Ehtimal (Hadisənin baş vermə şansı) × Təsir (Hadisə baş verərsə, dəyən ziyan).
Ogurlanma ehtimalı
Qat-qat Müdafiə və Faktor Müstəqilliyi
Modellərin təhlükəsizlik arxitekturasındakı fundamental fərq faktorların sayında deyil, sistemin necə uğursuz olmasındadır. 1FA modeli kiberbəhlükəsizlikdə tək nöqtə uğursuzluğu yaradır: parol sızsa, başqa heç bir maneə qalmır. 2FA və MFA isə NIST-in qat-qat müdafiə prinsipinə əsaslanır. Lakin burada əsas şərt faktorların müstəqilliyidir. Əgər hücumçu hər iki faktoru eyni kanaldan ələ keçirə bilirsə – məsələn, fişinq səhifəsi istifadəçidən həm parolu, həm də OTP kodunu eyni ekranda alırsa – bu faktorlar artıq asılıdır.
Əgər hücumçu hər iki faktoru eyni kanaldan ələ keçirə bilirsə – məsələn, fişinq səhifəsi istifadəçidən həm parolu, həm də OTP kodunu eyni ekranda alırsa – bu faktorlar artıq asılıdır. Riyazi olaraq müstəqil faktorlarda risk 1%-ə düşdüyü halda, asılı faktorlarda təhlükə səviyyəsi yenidən 10%-ə, yəni faktiki olaraq 1FA səviyyəsinə qalxır.
İnsan Amili
Nəzəriyyənin ən mühüm qanunauyğunluğu insan amili və sistemin yaratdığı çətinlik dərəcəsidir. Kağız üzərində mükəmməl görünən bir sistem, istifadəçi onun yaratdığı çətinliklərdən bezib qaydalardan yan keçərsə, praktikada ən zəif sistemə çevrilir
Yekun tövsiyəsi
Mənbələr
NIST SP 800-63B-4 · RFC 4226 (HOTP) · RFC 6238 (TOTP) · W3C Web Authentication Level 3 (FIDO2) · OWASP Password Storage & Credential Stuffing Cheat Sheets · Microsoft Security Blog (2019) — MFA 99.9%, parol təkrarı ~73%, gündəlik 300M+ saxta giriş cəhdi.