🛡️ AiTM Saldırıları #13: Evilginx ve AiTM’i Yerle Bir Eden Tek Zırh: FIDO2 & Passkeys Serimizin önceki yazılarında gördük ki; AiTM (Adversary-in-the-Middle) saldırıları, Evilginx gibi araçlarla SMS kodlarını, Authenticator (OTP) şifrelerini ve hatta mobil onay (Push) bildirimlerini bile kolayca bypass edip oturum çerezlerini (Session Tokens) ele geçirebiliyor. Peki, "MFA bile AiTM karşısında çaresiz kalıyorsa, bu felaketi tamamen durdurmanın bir yolu yok mu?" Cevap: EVET, VAR! Ve çözüm siber güvenlikte "Phishing-Resistant MFA" (Oltalama Dirençli Kimlik Doğrulama) olarak adlandırılan FIDO2 / Passkey / Donanım Anahtarları (YubiKey vb.) altyapısında saklı. Peki Geleneksel MFA Elenirken FIDO2 Nasıl Kazanıyor? Geleneksel MFA yöntemlerinde (SMS, TOTP uygulamaları) kod veya onay insan kontrolündedir. Kullanıcı sahte sitenin farkına varmayıp kodu girerse, AiTM proxy'si o kodu anında gerçek siteye iletir ve oturum çalınır. FIDO2 ve Passkey teknolojisinde ise insan dikkatsizliğini denklemden çıkaran "Domain Binding" (Alan Adı Bağlama) mekanizması çalışır: 📌 Domain Binding Nasıl Çalışır? Siz bir Passkey veya Donanım Anahtarı (YubiKey, TouchID, FaceID vb.) kullandığınızda, tarayıcınız bağlandığınız sitenin gerçek alan adını (URL) doğrular. Eğer siz gercek-banka.com yerine Evilginx’in oluşturduğu sahte gercek-bankaa-login.com adresindeyseniz, tarayıcı ve güvenlik anahtarı bunu anında fark eder. Kriptografik imza sahte domain (gercek-bankaa-login.com) için üretilir. Saldırgan arada durup bu veriyi alsa ve gerçek siteye (gercek-banka.com) iletmeye çalışsa bile, gerçek sunucu "Bu imza benim domain adresime ait değil!" diyerek isteği anında reddeder. Yani saldırgan arada trafiği dinlese bile, çerezi veya kimlik bilginizi şifreleme matematiği gereği asla ele geçiremez! 💡 Ana Ders: AiTM ve gelişmiş oltalama saldırılarına karşı %100’e yakın koruma sağlayan tek yöntem; insan kararına dayanmayan, doğrulamayı doğrudan domain adresiyle kriptografik olarak eşleyen FIDO2 / Passkey mimarisidir. O zaman Mustafa soruyor: Kurumunuzda veya kişisel hesaplarınızda geleneksel OTP/SMS yöntemlerinden Passkey ve FIDO2 (YubiKey vb.) mimarisine geçiş yapmaya başladınız mı? Karşılaştığınız engeller veya tecrübeleriniz neler? Yorumlarda buluşalım! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼