MFA, passkey ve step-up authentication

Kavramı anlayalım

Birden fazla faktör, farklı kanıt kategorilerini birleştirir; iki şifre iki bağımsız faktör sayılmaz. SMS, TOTP, push ve passkey farklı saldırı ve kullanıcı deneyimi özelliklerine sahiptir. WebAuthn/passkey public-key credential ve origin bağlama ile phishing direnci sağlayabilir; cihaz, senkronizasyon ve recovery modelini ayrıca değerlendirmek gerekir.

Step-up, sıradan bir session’dan daha yüksek güven isteyen işlem için ek doğrulamadır: ödeme hesabı değiştirmek veya yönetici anahtarı oluşturmak buna örnek olabilir. Yalnız “MFA yapıldı” boolean’ına sonsuza kadar güvenme. Auth_time, sağlayıcının assurance claim’leri ve zaman penceresi policy’ye göre doğrulanır; client’ın gönderdiği mfa=true güvenilir kanıt değildir.

Kurtarma kodları, kayıp cihaz, factor reset ve destek ekibi süreçleri en az giriş kadar önemlidir. Güçlü factor’ü zayıf recovery ile kolayca bypass edilebilir hale getirme. HTTP katmanı bu akışların taşıma ve session davranışını gösterir; WebAuthn protokolünü elle üretmek yerine uygun kütüphane ve identity sağlayıcı kullanılır. Hassas action için kimlik yeniden doğrulansa bile kaynak yetkisi ayrıca denetlenir.