Microsoft Entra ID, SMS ile Çok Faktörlü Kimlik Doğrulamayı Sonlandırıyor
Microsoft, Entra ID üzerinden kendi sunduğu SMS ve sesli arama tabanlı çok faktörlü kimlik doğrulama desteğini 1 Şubat 2027 itibarıyla çoğu kullanıcı için sonlandıracak. Şirket, 30 Ekim 2026 tarihinde üçüncü taraf telekomünikasyon sağlayıcısı seçme özelliğini genel kullanıma açarak kuruluşlara SMS ve sesli doğrulamayı sürdürmek için alternatif bir yol sunacak. Microsoft, oltalama saldırılarına karşı daha güçlü koruma sağlayan geçiş anahtarlarını (passkey) önerirken yalnızca SMS veya sesli doğrulama kullanan çalışanların yeni bir yöntem kaydetmesini gerektirecek.
Microsoft Entra ID İçin Yeni Kimlik Doğrulama Takvimi Açıklandı
Microsoft Entra ID, kurumsal kullanıcıların kimliklerini doğrulamak ve uygulamalara erişimlerini yönetmek için kullanılan bir kimlik ve erişim yönetimi platformudur. Microsoft’un açıkladığı takvime göre şirketin kendi sağladığı SMS ve sesli arama doğrulaması, 1 Şubat 2027 tarihinde çoğu kullanıcı için kullanımdan kaldırılacak. Global Administrator rolündeki kullanıcılar ile harici kullanıcılar için son tarih ise 1 Temmuz 2027 olarak belirlendi.
Microsoft, 30 Ekim 2026 itibarıyla Choose Your Own Telephony Provider (CYOT) özelliğini genel kullanıma sunmayı planlıyor. Kuruluşlar, Microsoft Security Store üzerinden desteklenen üçüncü taraf telekomünikasyon sağlayıcılarından birini seçerek SMS veya sesli arama tabanlı doğrulamayı sürdürebilecek. Seçilen sağlayıcıyla ticari ilişkiyi doğrudan yönetecek olan kuruluşların satın alma, faturalandırma ve hizmet koşullarını ayrıca değerlendirmesi gerekecek.
Microsoft’un SMS ve sesli arama doğrulamasını bırakma kararının temelinde, bu yöntemlerin oltalamaya karşı dayanıklı olmaması yer alıyor. Saldırganlar sahte giriş sayfaları veya sosyal mühendislik yöntemleriyle kullanıcıları tek kullanımlık doğrulama kodlarını paylaşmaya ikna edebiliyor. Telefon numarasının başka bir SIM karta taşınması ya da mesajların ele geçirilmesi gibi riskler de SMS tabanlı kimlik doğrulamanın güvenlik sınırlarını ortaya koyuyor.
Şirket, kuruluşlara daha güçlü kimlik doğrulama seçeneklerine geçmelerini öneriyor. Geçiş anahtarları, desteklenen cihazlarda biyometrik doğrulama veya cihaz PIN’i gibi yöntemlerle kullanılabiliyor ve kimlik doğrulama işlemini belirli bir hizmetin alan adına bağlayarak sahte giriş sayfalarına karşı koruma sağlayabiliyor. Microsoft, SMS veya sesli arama yöntemlerinin yalnızca iş gereksinimi, mevzuat ya da teknik kısıtlamalar nedeniyle zorunlu olduğu durumlarda kullanılmasını tavsiye ediyor.
Microsoft’un belirlediği geçiş tarihinden sonra yalnızca SMS veya sesli aramayı çok faktörlü kimlik doğrulama yöntemi olarak kullanan kişiler, kuruluşları desteklenen bir üçüncü taraf telekomünikasyon sağlayıcısı yapılandırmadığı takdirde oturum açarken geçiş anahtarı kaydetmek zorunda kalacak. Microsoft’un açıklamasına göre kayıt ekranı zorunlu olacak ve kullanıcılar kurulumu tamamlamadan oturum açma işlemine devam edemeyecek.
BT yöneticilerinin ilk aşamada hangi çalışanların değişiklikten etkileneceğini belirlemesi gerekiyor. Kuruluşların SMS veya sesli arama kullanımı için belgelenmiş bir iş, mevzuat ya da teknik gereksinim bulunup bulunmadığını değerlendirmesi, ardından oltalamaya dayanıklı alternatiflerin ilgili ihtiyaçları karşılayıp karşılamadığını incelemesi öneriliyor. Böylece yöneticiler, yalnızca mevcut yöntemi kullanan hesapları değil, istisna gerektiren kullanıcı gruplarını da geçiş planına dahil edebilecek.
Microsoft Security Store üzerinden telekomünikasyon sağlayıcısı seçmek isteyen kuruluşların bazı teknik ve ticari gereklilikleri karşılaması gerekecek. Satın alma işlemi için bir Azure faturalandırma aboneliği ile kaynak grubu bulunması, ayrıca işlemi gerçekleştiren yöneticinin uygun Azure abonelik rolüne sahip olması gerekiyor. Kuruluşların satın alma öncesinde sağlayıcıların coğrafi kapsama alanını, SMS ve sesli arama desteğini, fiyatlandırmasını, teknik desteğini ve uyumluluk özelliklerini karşılaştırması önem taşıyor.
Üçüncü taraf hizmet kullanımında telekomünikasyon sağlayıcısının ücretlerine ek olarak Azure altyapısıyla ilişkili maliyetler de ortaya çıkabilir. Microsoft, yöneticilerin geçiş planını hazırlarken beklenen toplam harcamayı hesaplamasını ve satın alma süreçlerini gizlilik ile mevzuat gerekliliklerine göre değerlendirmesini öneriyor. Özellikle birden fazla ülkede faaliyet gösteren işletmelerin, çalışanların bulunduğu bölgelerde hizmet desteğini ve ilgili veri işleme koşullarını doğrulaması gerekiyor.
Microsoft, yöneticilerin geçiş sürecini planlarken Message Center üzerinden yayımlanan MC1519855 numaralı duyuruyu inceleyebileceğini belirtiyor. Kuruluşların ilgili kullanıcı gruplarını tespit etmesi, geçiş anahtarlarının kullanımını değerlendirmesi, alternatif telekomünikasyon sağlayıcılarını karşılaştırması ve satın alma gerekliliklerini önceden doğrulaması gerekiyor. Kullanıcıların son tarihte oturum açma sorunu yaşamaması için yeni kimlik doğrulama yöntemlerinin yürürlüğe girmeden önce test edilmesi de önem taşıyor.
Türkiye’de Microsoft Entra ID kullanan işletmeler açısından değişiklik, özellikle kurumsal hesap güvenliği ve BT operasyonlarının planlanması bakımından önem taşıyor. Kuruluşların çalışanların kullandığı doğrulama yöntemlerini envanter üzerinden kontrol etmesi, gerekli kullanıcıları geçiş anahtarlarına yönlendirmesi ve SMS kullanımının zorunlu olduğu durumlar için alternatif sağlayıcı maliyetlerini hesaplaması gerekecek. Microsoft’un belirlediği tarihler yaklaşırken geçişi son ana bırakan işletmeler, zorunlu kayıt ekranları ve satın alma süreçleri nedeniyle kullanıcı erişiminde kesintilerle karşılaşabilir.
