Google, kurumsal hesap güvenliğini tehdit eden çerez ve kimlik doğrulama belirteci hırsızlığına karşı üç yeni önlem aldığını açıkladı. Şirket, hesap ele geçirme olaylarının yüzde 37’sinde bu tür verilerin çalındığını belirtti.
Passkey Desteği Tüm Workspace Müşterilerine Açıldı
Giderek artan e-posta kaynaklı bilgi hırsızları, oturum verilerini ele geçirerek çok faktörlü kimlik doğrulamayı bile geçersiz hâle getiriyor. Bu sayede saldırganlar, kullanıcı hesabına doğrudan erişim sağlayabiliyor. Google’ın duyurduğu yeni güvenlik adımları, bu tehdidin önüne geçmeyi hedefliyor.
Google, passkey desteğini dünya genelindeki 11 milyondan fazla Workspace müşterisinin kullanımına sundu. Şirket, bu özelliğin hem kullanıcı deneyimini kolaylaştırdığını hem de kimlik avı saldırılarına karşı daha güçlü bir koruma sunduğunu belirtti. Passkey sistemi, cihaza bağlı çalıştığı için kullanıcı bilgileri başka bir aygıta aktarılamıyor.
Yönetici düzeyinde denetim yetkileri de genişletildi. Artık yöneticiler, kullanıcıların passkey kayıtlarını denetleyebiliyor ve fiziksel güvenlik anahtarları dışında başka cihazlara izin verilip verilmeyeceğini belirleyebiliyor.
Google, “Cihaz Bağlantılı Oturum Kimlikleri” (DBSC) adını verdiği yeni güvenlik teknolojisini açık beta olarak tanıttı. Bu sistem, oturum açıldıktan sonra devreye giriyor. Kullanıcının tarayıcısı, oturum sırasında bir açık-özel anahtar çifti oluşturuyor. Özel anahtar cihazda kalıyor, sunucuya yalnızca açık anahtar gönderiliyor. Oturumun devamı için sunucu zaman zaman bir doğrulama isteği yolluyor. Yalnızca özel anahtarı barındıran cihaz bu isteği yanıtlayabiliyor.
Bu sistem sayesinde, çerez dosyasını ele geçiren bir saldırgan, kendi cihazında oturumu sürdüremiyor. Şu anda yalnızca Windows’ta Chrome tarayıcısı üzerinden kullanılabilen özellik, güvenliği ileri seviyeye taşıyor.
Geçmişte yaşanan bir saldırıya örnek olarak, 2023 yılında Linus Tech Tips kanalının maruz kaldığı olay gösterildi. Linus Sebastian’ın ekibindeki bir çalışan, sahte bir sponsorluk e-postasındaki dosyayı açınca oturum belirteçleri ele geçirilmişti. Bu saldırı, YouTube kanalının tamamen kontrol edilmesine yol açmıştı. DBSC teknolojisi, bu tür saldırıların etkisini en aza indirmeyi hedefliyor.
Google, yıl sonuna kadar “Paylaşımlı Sinyal Alıcısı” adı verilen bir sistemin devreye alınacağını da duyurdu. Bu sistem sayesinde farklı güvenlik hizmetleri, birbirleriyle standart bir yapıda iletişim kurabilecek. Örneğin, kimlik sağlayıcı bir hizmet kullanıcıda risk algılarsa, Google’a sinyal göndererek oturumu anında sonlandırabilecek.
Bu yaklaşım, kurumsal güvenliğin bütünleşik şekilde yönetilmesine katkı sağlayacak. Şirketler, sadece Google’ın araçlarıyla değil, üçüncü taraf kimlik ve güvenlik hizmetleriyle de daha etkili bir koordinasyon kurabilecek.
