Problem Kimlik Doğrulama

• Günümüzde kurumların ağ güvenliği konusunda kaşılaştıkları en önemli sorun, ister kurumun kendi çalışanı isterse kurumum müşterisi olsun, söz konusu ağ üzerinden verilen hizmetlere doğru kişinin ulaşıp ulaşamadığından kesin olarak emin olamamalarıdır.

• Bu problemin kaynağı ağ üzerinden erişimlerde kullanılan muvcut tek faktör kullanıcı doğrulama yönteminin (Sabit Şifreler) açıklarından dolayı karşımıza çıkmaktadır.

• Tek faktör kullanıcı doğrulama yöntemi güvenlik zincirinin en zayıf halkasını teşkil etmekte, alınmış olan diğer güvenlik önlemlerini etkisiz kılmakta, kurum ve kullanıcılar açısından sanal ortamda ihtiyaç duyulan GÜVEN ortamını ortadan kaldırmaktadır.

• Sanal ortamda GÜVEN altyapısını iki faktör kullanıcı doğrulaması ile sağlamlaştırarak daha fazla hizmetin verilmesine olanak tanıyacak One Time Password (OTP) ve Public Key Infrastructure (PKI) çözümleri artık her kurumun ihtiyacı konumuna gelmiştir.
  
  
  

  One Time Password (OTP) : Tek Kullanımlık Şifre

  Public Key Infrastructure (PKI) : Açık Anahtar Altyapısı

• Tek Kullanımlık Şifre çözümünde kullanıcılara dağıtılan "OTP Token" adlı cihazlar ile dinamik şifreler üretilebilmektedir.

• Kullanıcılar, doğrulama aşamasında bildikleri kullanıcı adı, parola ve statik şifre bilgilerine ek olarak sahip oldukları token ile üretilecek dinamik şifreleri girmek suretiyle ağa erişim hakkını eldeetmektedirler.

• Günümüzde kişilerin kimlik bilgilerini ve sabit şifrelerini ele geçirmek için en sık başvurulan yöntem "Screen-Capture" ve Key-Logger tarzında "Trojan-Horse" ların kullanımıdır. Bu yöntemle ele geçirilen bilgiler ve şifreler başka bi adrese gönderilmekte ve bu bilgiler tekrar kullanılarak o kişi adına işlem gerçekleştirilmektedir. OTP kullanıcıları için bu risk ortadan kalkmaktadır.

• Kullanıcı bilgisayarına yüklenebilecek virüsler vasıtasıyla token tarafından üretilen şifre ele geçirilse bile, bir sonraki ağa erişim aşamasında farklı bir şifre üreteceği için ele geçirilmiş olan ilk şifre, değerini kaybetmiş olacaktır.

• Kullanıcı bilgisayarına kurulum gerektirmeyen anahtarlık büyüklüğündeki token'ler sağladıkları kolay kullanım ve taşınabilirlik özellikleriyle kullanıcılar tarafından tercih edilen güvenlik üniteleri olarak karşımıza çıkacaklardır.

• Kullanıcı Doğrulama Faktörleri

        Sahip Olduğum Faktör :  YOK!!

        Bildiğim Faktörler         :  Kullanıcı Kodu, Statik Şifre, veya Parola

        Sahip Olduğum Faktör : OTP Token

        Bildiğim Faktörler         : Kullanıcı Kodu, Statik Şifre, veya Parola

• Çözüm :                                             
  

Bildiğim Faktör		Sahip Olduğum Faktör
	+		=	Güvenli İki Faktör Kullanıcı Doğrulaması
- Kullanıcı Kodu - Parola - Statik Şifre		- Her seferinde    Değişen Şifre

Neden KOBIL OTP Çözümleri

• Dünyada OTP konusunda bir standart bulunmamaktadır. Open Authentication (OATH) adı altında kurulan organizasyon OTP çözümlerinde en uygun ve kullanılabilir altyapının belirlenmesi için Internet Engineering Task Force (IETF) raporunu yayımlamıştır. Bu raporda OTP sistem altyapısının içermesi gereken özellikler aşağıdaki gibidir.
  

• Algoritma: Event Based
  
• Re-senkronizasyon olanağı
• Kolay kullanılabilirlik
• Kolay taşınabilirlik
• Büyük ve okunabilir ekran
• Pilin değiştirilebilmesi
  

• Bu rapora göre OTP üretim algoritmasının event based tercih edilmesinin sebepleri ise aşağıdaki gibi özetlenmiştir;

• Farklı kanallar üzerinde OTP üretim imkanı
•  Fiziksel token ile OTP üretimi
• Java uyumlu cep telefonları veya PDA'ler ile OTP üretimi
• Yongalı Kredi Kartları (EMV-CAP) ile OTP üretimi
• USB token ile OTP üretimi
  

• KOBIL SecOVID (Secure one Time Verification & Identification) OTP çözümü OATH organizasyonu tarafından tarif edilen özelliklere sahiptir.
• Event Based algoritma
• Re-senkronizasyon olanağı
• Tek Tuşla Kolay kullanım
• En küçük fiziksel token
• En büyük ve okunabilir ekran
• Değiştirilebilen pil
  

Neden KOBIL SecOVID

• SecOVID çözümü "Event-based" bir OTP çözümü olması nedeniyle senkronizasyon problemleri çok sık yaşanmaz ve tekrar senkronizasyon mümkündür.

• Token içerisinde "Clock" bulunmadığından; cihaz manyetik alandan, X-Ray cihazlarından, nem ve ısıdan etkilenmez. "Time-based" cihazlarda bu tip dış etkenler "Clock" un şaşmasına ve senkronizasyonunun bozulmasına sebep vermektedir.
  
  
• Pili değiştirilebildiğinden; aynı cihaz pili değiştirilerek çok uzun yıllar kullanılabilir. Bu özellik yatırımlarınızı koruyacağı gibi, pili biten cihazların yenileriyle değiştirilmesi operasyonunu da ortadan kaldırır. "Time-based"  OTP'lerde pil değiştirilemediğinden, cihaz ömrü pil ömrü ile sınırlıdır ve hiç bitmeyen bir OTP token dağıtım süreci mevcuttur.

• KOBIL Token'lar kullanılmadıkları müddetçe (kapalı iken) pil tüketimi yapmazlar, bu nedenle pil ömürleri token kullanım sıklığına bağlı olarak oldukça uzundur. Yeni bir pil ile 8.000 adet OTP üretebilirsiniz. Kullanım süresini tahmini olarak hesaplar isek; hergün ortalama 5 OTP üretildiğinde (1 yıl = 365 gün) yaklaşık pil ömrü 5 yıl üzerinde olacaktır. "Time-based" OTP'lerde cihaz kullanılmadığı durumlarda bile "Clock" pili kullanmaya devam edecektir.

• Senkronizasyon bozlduğunda veya pil bittiğinde token değişimi gibi nedenlerle oluşan "Help-desk" tarzı işletme giderlerini düşündüğümüzde "Event-based" SecOVID OTP çözümünün  "Toplam Sahip Olma Maliyeti" olarak yatırımlarınızı koruduğu ve sisteminizi kesintisiz olarak çalıştırabildiğinizi göeceksiniz.

• SecOVID OTP sunucu kendi "Internal" şifreli kullanıcı veritabanı sayesinde "External " veri tabanı lisansları gerektirmez.

• Standart RADIUS ve TACACS+ arayüzü ile mevcut sistemlerinize entegrasyonu kolaydır.

Farklı Token Tipleri Mevcuttur ;

• Anahtarlı Tipi OTP Token
• Java destekli Cep Telefonları ve PDA lerde Soft-OTP
• Akıllı Kart ile OTP Üreten Offline Kart Okuyucu
  (Bu çözüm ilave bir kablo ile PKI uygulamalarına hazırdır.)
• USB Token
  (Bu çözüm PKI uygulamalarına hazırdır.)
  

Bizi Arayın; Uzman kadromuz güvenlik taraması yapsın. Güvenlik konusunda risklerinizi belirlesin. Daha iyi bir güvenlik politikası için önerilerde bulunsun. Bize; +90 (216) 550 80 20 - 21 nolu telefondan arayarak yada, guvenlik@vedius.com adresine mail atarak ulaşabilirsiniz.

yada; Formu doldurun biz sizi arayalım Ad Soyad :   Firma/Görev :   Telefon :   E-posta :