Kimlik doğrulama

Kimlik doğrulama birçok alan ile ilgilidir. Sanatta, antika eserlerde ve antropolojide, genel problem eserin kim tarafından, nerede ve ne zaman yapıldığının doğrulanmasıdır. Bilgisayar biliminde ise, gizli bilgi ya da sistemlere erişirken kişinin kimliğinin doğrulanması gerekir.

Kimlik doğrulama üç çeşide ayrılır:

İlk çeşit kimlik doğrulama türü, kimliğin orijinal olduğuna dair ilk elden kanıtlara sahip güvenilir bir kişi tarafından verilen kimlik kanıtını kabul etmektir. Sanatsal veya fiziki nesnelerin kimlik doğrulaması gerektiğinde, bu kanıt, arkadaş, aile üyesi ya da meslektaşın onaylaması ya da nesnenin yaratıcısının mülkiyetine şahitlik etmesidir. İmzalı spor hatıralarıyla, bu, imzalanan nesnenin imzalanmasına şahitlik edenlerin doğrulamasını içerebilir. Markalı ürünler satan bir satıcı, tedarik zincirinin her aşamasını doğrulamadan da ürünlerin gerçekliğini ifade eder. Merkezi otorite temelli güven ilişkileri açık olarak bilinen sertifika yetkilileri aracılığıyla en güvenli internet iletişimini desteklemektedir. Örneğin, merkeziyetsiz eş-bazlı(peer-based) güven, web of trust olarak da bilinen, dosya veya mail(PGP, GNU Privacy Guard) gibi kişisel servisler için kullanılan ve güven birbirini bilenler tarafından birbirinin kriptografik anahtarlarından açık anahtarının imzalanmasıyla kurulur.

İkinci çeşit kimlik doğrulama, nesnenin niteliklerini, nesnenin kökeni hakkında bilinenler ile karşılaştırmadır. Örneğin, sanat uzmanı boyama şekli, imzanın yapısı ve yeri veya objeyi eski bir fotoğrafla karşılaştırarak benzerliklerine bakabilir. Diğer bir taraftan arkeolog, yapının yaşını Radyokarbon tarihleme yöntemiyle belirleyebilir ya da yapım tarzını veya dekorasyonunu aynı kökene sahip yapılarla karşılaştırabilir. Bilinen fiziksel bir çevredeki sesin ve ışığın fiziği, ses kayıtlarının, fotoğrafların veya videoların gerçekliğini incelemek için kullanılabilir. Dokümanlar mürekkep ile hazırlanmış olması veya hazırlandığı tarihten itibaren ulaşılabilir olmasıyla doğrulanabilir.

Öznitelik karşılaştırması sahteciliğe karşı savunmasız olabilir. Genel olarak, gerçeğinden ayırt edilemeyecek sahtesinin yapılması, uzman bilgisi gerektirir. Bundan dolayı kolaylıkla hata yapılır ve sahtecilikten elde edilecek kardan çok daha fazla emek gerektirir.

Sanat ve antikalarda, sertifikalar objelerin değerini ve önemini belirlemede büyük önem taşır. Yine de sertifikaların sahtesi yapılabilir. Örneğin, ünlü sanat taklitçisi Han van Meegeren'in oğlu, babasının çalışmaları ve kaynağı için sertifikasında sahtecilik yapmıştır. 

Dolandırıcılık, sahtecilik ve taklit etme, yakallanma riskine bağlı olarak caydırıcı suç ve cezai yaptırımlarla azaltılabilir.

Döviz ve diğer finansal araçlarda genellikle ikinci çeşit kimlik doğrulama yöntemi kullanılır. Senet, madeni para ve çeklerin sahtesinin üretilmesi oyma baskı veya dipnot, kendine özgü dokusu, filigran ve holografik resim gibi fiziksel özelliklerinden dolayı sahtesinin yapılması zordur ve kullanıcıların doğrulaması kolaydır.

Üçüncü çeşit kimlik doğrulama belgelere veya dış onaylara dayanır. Ceza mahkemelerinde, kanıt kuralları genellikle delil zinciri(chain of custody) oluşturmayı gerektirir. Bu zincir, yazılı kanıt kaydı veya polis ve adli tıp çalışanlarının ifadeleriyle kurulur. Bazı antikaların orijinalliklerini doğrulayan belgeleri bulunur. Bunun gibi dışarıdan gelen kayıtlarda yalan beyan veya sahtecilik problemi bulunur ve kayıtların objeden ayrılması ve kaybolmasına karşı savunmasızdır.

Bilgisayar bilimlerinde, kullanıcıya kullanıcı bilgilerinin doğruluğuna göre güvenli sistemlere erişim izni verilir. Ağ yöneticisi, kullanıcıya şifre, anahtar ya da cihaz vererek sisteme erişmesini sağlar. Bu durumda kimlik doğrulama kesin olmamakla beraber yapılır. 

Tıbbi ürünler, parfüm, giysi gibi tüketici ürünlerin sahtesi üretilerek markanın itibarı kullanılarak avantaj elde edilmesinin önüne geçmek için üç kimlik doğrulama yöntemi de kullanılabilir. Yukarıda belirtildiği gibi, saygın bir mağazada satışa yönelik bir ürüne sahip olmak, ilk kimlik doğrulama türü olan orijinal olma özelliğini doğrular. İkinci tip doğrulama, pahalı bir çantanın kalitesini ve işçiliğini orijinal ürünlerle karşılaştırmayı kapsar. Üçüncü kimlik doğrulama türü, yasal olarak korunan ticari marka isminin ürünün üzerinde bulunması ya da ürünün gerçekten o markanın ürünü olduğunu tanımlayacak işaretlerin bulunmasıdır. Yazılımla birlikte şirketler sahtecilikten korunmak için hologram, güvenlik şeridi ve renk kaydırmalı mürekkep ekleyerek büyük ilerleme kaydetmiştir.

Kimlik doğrulamanın yöntemleri kimlik doğrulama faktörleri olarak bilinen üç kategoriye ayrılır: kullanıcının bildiği bir şey, kullanıcının sahip olduğu bir şey ve kullanıcının kalıtsal özellikleri. Her bir kimlik doğrulama faktörü, kullanıcıya erişim izni vermeden, işlem isteğini onaylamadan, dokümanı veya diğer çalışma ürününü imzalamadan, diğerlerine yetki vermeden ve yetki zinciri kurmadan önce kimlik doğrulamak veya kimliği onaylamak için kullanılan birçok öğeyi kapsar.

Güvenlik araştırması pozitif bir kimlik doğrulaması için en az iki ve tercihen üç faktörün de doğrulanması gerektiğini belirtmiştir. Üç faktör(sınıf) ve bazı örnekleri şunlardır:

• Bilgi faktörü: Kullanıcını bildiği bir şeydir. Örneğin; şifre, şifrenin bir bölümü, pass phrase(parola), kişisel kimlik numarası(PIN), meydan okuma karşılık verme temelli kimlik doğrulama(challenge response), kullanıcının cevap vermek zorunda olduğu soru ya da örüntüden oluşan güvenlik sorusu.
• Sahip olunan faktörler: Kullanıcının sahip olduğu bir şeydir. Örneğin; bileklik, Kimlik kartı, akıllı anahtar(security token), implant araçlar, cep telefonunda bulunan donanımsal anahtar, yazılımsal anahtar( software token) ya da telefonda tutulan yazılımsal anahtar
• Kalıtsal(Öznitelik) faktörler: Kullanıcını yaptığı ya da biyometrik özellikleri. Örneğin; parmak izi, retinası, DNA dizilimi, imzası, yüzü, ses, kendine has bio-elektirk sinyalleri ve diğer biyometrik tanımlayıcılar.

Bilgilerin doğrulanması, elektronik iletişimde, aradaki adam saldırısı(man in the middle) gibi zayıflıklara açıktır. Bu saldırıda üçüncü kişi araya girerek iki tarafada kendi bilgilerini gönderir. İki tarafında kimliği doğrulanırken ekstra kimlik faktörü gerekebilir.

Dijital kimlik doğrulama terimi, kullanıcı kimliğine olan güvenin elektronik bir yöntemle bir bilgi sistemine kurulup, sunulması sırasındaki süreçleri içerir. Ayrıca e-kimlik doğrulaması olarak da adlandırılır. Dijital kimlik doğrulama, kişilerin ya da varlıkların bir ağ üzerinden doğrulama işlemi gerektirdiğinden beraberinde teknik zorluklar getirir. Amerikan Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), güvenli kimlik doğrulamayı gerçekleştirmek için kullanılan işlemleri tanımlayan genel bir model oluşturmuştur:

1. Kaydolma– kişiler, credential servis sağlayıcılara(CSP) başvurarak kaydolma sürecini başlatır. Başvuranın kimliği başarılı şekilde doğrulandıktan sonra, CPS başvuranın katılımcı olmasına izin verir. 
2. Kimlik doğrulama– Katılımcı olduktan sonra, kullanıcı kimlik belirleyiciyi(authenticator), örneğin token ve bilgiler, alır. Daha sonra, kulanıcıya güvenli tarafla iletişim kurarken bir ya da daha fazla authenticator kullanarak kimliğini kanıtladıktan sonra  işlem yapması için izin verilir.
3. Yaşam-döngüsünün devamlılığı- CSP, yaşam süresi boyunca katılımcının bilgilerinin devamlılığını sağlamakla, katılımcıda kendi kimlik bilgilerinin(authenticators) devamlılığını sağlamakla yükümlüdür.

Elektronik kutunun üzerinde kimlik doğrulama için bulunan güvenlik hologramı

Taklit ürünler genellikle tüketicilere gerçekmiş gibi sunulmaktadır.  Elektronik, müzik, giyim ve sahte ilaçlar gibi taklit tüketim malları ürünleri meşru olarak satıldı. Tedarik zincirini kontrol etmek ve tüketicileri eğitmek gerçek ürün satılmasında ve kullanılmasında yardımcı olmuştur. Fakat, Paketler, etiketler ve isim levhaları üzerindeki güvenlik baskısı olmasına rağmen bunlar da sahteciliğe maruz kalabilir.

Tüketici elektroniğinde, ağ kimlik doğrulamasında, lisans yönetiminde, tedarik zinciri yönetiminde vb. kimlik doğrulama için güvenli biranahtar depolama aygıtı kullanılabilir. Genel olarak, doğrulanması gereken cihaz, bir ana sisteme veya bir ağa bir çeşit kablosuz veya kablolu dijital bağlantıya ihtiyaç duyar. Yine de, kimlik doğrulaması yapılan bileşenin, bir doğrulama çipinin konektör aracılığıyla mekanik olarak bağlanması ve bir sistem tarafından okunması gerekmez. Örneğin, bir yazıcıda kullanmak için kimliği doğrulanmış bir mürekkep tankı. Bu güvenli işlemcilerin uygulanabileceği ürün ve hizmetler için, diğer birçok seçeneğe göre taklit edilmesi daha zor bir çözüm sunarken aynı zamanda daha kolay doğrulanabilir.

Edebi sahtecilik, ünlü bir yazarın tarzının taklit edilmesidir. Eğer orijinal el yazması belge ya da kayıtlar ulaşılabilir durumda ise, eserin kendisi belgenin orijinalliğini kanıtlamaya veya çürütmeye yardımcı olabilir. Bununla birlikte, metin, ses ve video yeni medya dosyasına kopyalanabilir, yalnızca kimlik doğrulamasında kullanmak için yalnızca bilgi içeriği kullanılır. Okuyucuların mesajların yazarların kendisinden veya yazarlar tarafından aktarıldığını doğrulayan birçok sistem icat edilmiştir. Bu durum şu kimlik doğrulama faktörlerini içerir:

• Tekrar üretilmesi zor olan fiziksel eserler, mühür, imza, filigran, özel dosya veya parmak izi.
• Paylaşılmız gizli şifreler, mesaj içeriğindeki passphrase.
• Elektronik imza; açık anahtar altyapısı genellikle mesajın belirli bir gizli anahtar ile imzalanmış olması kriptografik olarak garanti edilir.

Karşı problem ise, farklı bir yazardan alınan bilginin kişinin kendi işi olarak geçtiği intihal tespitidir. İntihali ispatlamada genellikle başka bir yazara ait aynı ya da benzer yazıların bulunması kullanılmaktadır. Bazı durumlarda, aşırı yüksek kalite veya stil uyuşmazlığı, intihal şüphesi doğurabilir.

Kimlik doğrulaması ve yetkilendirmenin bilinen bir kullanımı erişim kontrolüdür. Sadece yetkili kişiler tarafından kullanılması gereken bir bilgisayar sistemi, yetkisiz kişilerin tespit edilmesi ve sistem dışında tutulması için çaba göstermelidir. Bu nedenle erişim, genellikle, kullanıcının kimliğine belirli bir derecede güvenin sağlanması ve bu kimlik için ayrıcalıkların tanınması için bir kimlik doğrulama prosedürüyle kontrol edilir. Böyle bir prosedür, BT yöneticilerinin kullanıcıları tanımlamasına, ağdaki kullanıcıların İnternet faaliyetlerini kontrol etmesine, kullanıcı temelli politikaları belirlemesine ve kullanıcı adına göre raporlar oluşturmasına olanak sağlayan Katman 8'in kullanımını içerir. Giriş kontrolü için kimlik doğrulama içeren örnekler:

• Bir çalışan ilk önce iş yapmak için geldiğinde fotoğraflı kimlik sormak.
• Captcha'nın, bir kullanıcının insan olduğunu ve bilgisayar programı olmadığını doğrulamak için kullanımı.
• Cep telefonu gibi tele-ağ özellikli bir cihazda alınanbir kerelik bir şifre (OTP), bir doğrulama şifresi veya PIN kodu olarak
• Bir başkasına doğrulamak için kör kimlik bilgisi(blind credential) kullanan bir bilgisayar programı 
• Bir ülkeye pasaport ile girmek
• Bilgisayarda oturum açmak
• Bir mail adresinin sahibinin doğrulanması için doğrulama maili gindermek
• İnternet bankacılığı kullnamak
• ATM'den nakit para çekmek

Bazı durumlarda, erişim kolaylığı, erişim kontrollerinin sıkılığına karşı dengelenir. Örneğin, kredi kartı ağı talep edilen kimliğin doğrulanması için kişisel kimlik numarası gerektirmez ve küçük bir işlem genellikle işlemin geçerliliği için onaylanmış kişinin imzasını gerektirmez. Sistemin güvenliği, kredi kartı numaralarının dağıtımını sınırlandırarak ve dolandırıcılık cezası tehdidiyle korunur.

Bilgisayar güvenliği uzmanları, bir bilgisayar kullanıcısının kimliğini kesin olarak kanıtlamanın imkânsız olduğunu iddia ediyorlar. Sadece geçmesi halinde ilerlemek için yeterli olduğu beyan edilen, bir veya daha fazla testi uygulamak mümkündür. Sorun hangi testlerin yeterli olduğunu ve bunların birçoğunun yetersiz olduğunu belirlemektir. Verilen herhangi bir test, farklı derecelerde zorluklarla, bir şekilde taklit edilebilir.

Bilgisayar güvenliği uzmanları, iş, araştırma ve ağ topluluklarında çok fazla emek harcanmasına rağmen, belirli durumlarda kimlik doğrulama için gerekliliklerin güvenliliğini anlayamıyoruz. Bu anlayışın eksik olması, en iyi kimlik doğrulama yöntemlerinin belirlenmesinde önemli bir engeldir. önemli sorular şunlardır:

• Kimlik doğrulaması ne için?
• Kimlik doğrulamasından kim yararlanır/kimlik doğrulama hataları nedeniyle dezavantajlı olan kimdir?
• Etkin bir kimlik doğrulaması hangi dezavantajlara sahip olabilir?

• Genişletilebilir Kimlik Doğrulama Protokolü
• Özet tabanlı mesaj doğrulama kodu
• Kerberos
• Needham–Schroeder protokolü
• OAuth
• OpenID
• Açık anahtarlı şifreleme
• RADIUS
• Güvenli kabuk
• TCP Wrapper