🐹 Mustafa ile Öğreniyorum #13: Papatya Çayından Bir Yudum Al ve…

🐹 Mustafa ile Öğreniyorum #13: Papatya Çayından Bir Yudum Al ve Dinle (AiTM Belasını Yerle Bir Eden Tek Güç: FIDO2, Passkeys ve WebAuthn Anatomisi) Selamlar değerli topluluk üyeleri ve siber güvenlik meraklıları! Bir önceki bölümde Evilginx2 ve AiTM (Adversary-in-the-Middle) saldırılarının, geleneksel SMS, OTP ve hatta Push bildirimlerini bypass ederek oturum çerezlerini (Session Cookie) nasıl çaldığını incelemiştik. Peki, "MFA bile AiTM karşısında çaresiz kalıyorsa, bu felaketi tamamen imkansız kılan bir yöntem yok mu?" Cevap: EVET, VAR! Ve çözüm siber güvenlikte "Phishing-Resistant MFA" (Oltalama Dirençli Kimlik Doğrulama) olarak adlandırılan FIDO2 / Passkeys / WebAuthn altyapısında saklı. 🧠 1. FIDO2 ve Passkey Saldırıyı Nasıl İmkansız Kılar? (Domain Binding Mucizesi) Geleneksel MFA yöntemlerinde (SMS, TOTP) doğrulama kodunu insan kontrol eder. Kullanıcı sahte sitenin farkına varmayıp kodu girerse, Evilginx proxy'si o kodu anında gerçek siteye iletir ve oturum çalınır. FIDO2 ve Passkey teknolojisinde ise insan dikkatsizliğini denklemden çıkaran Domain Binding (Alan Adı Bağlama) mekanizması çalışır: Adım 1: Siz bir Passkey veya Donanım Anahtarı (YubiKey, TouchID, FaceID vb.) kullandığınızda, işletim sisteminiz ve tarayıcınız arka planda bağlandığınız sitenin gerçek alan adını (URL) doğrular. Adım 2: Eğer siz login.microsoft.com yerine Evilginx’in oluşturduğu sahte login.microsofft-login.com adresindeyseniz, tarayıcı bunu anında fark eder. Adım 3: Kriptografik imza sahte domain (microsofft-login.com) için üretilir. Adım 4: Evilginx arada durup bu imzayı gerçek sunucuya (login.microsoft.com) iletse bile, gerçek sunucu "Bu imza benim domain adresime ait değil!" diyerek isteği anında reddeder. 💡 Sonuç: Saldırgan arada trafiği dinlese bile, çerezi veya kimlik bilginizi şifreleme matematiği gereği asla ele geçiremez! 🛡️ 2. Mavi Takım (Blue Team) Ne Yapmalı? Wazuh SIEM & Entra ID Tedbirleri Kurum genelinde FIDO2/Passkey kullanımını zorunlu kılmak (Phishing-Resistant Conditional Access) ilk adımdır. Ancak geçiş sürecinde kullanıcıların zayıf yöntemlere geri dönmesini (Fallback) izlemek kritiktir. Wazuh SIEM üzerinde Zayıf MFA Kullanımı ve FIDO2 Bypass Denemesi Tespiti: XML <rule id="100260" level="10"> <if_sid>60106</if_sid>  <field name="win.eventdata.authenticationMethod">SMS|TOTP|Password</field> <description>Uyarı: Phishing-Resistant Zorunlu Hesapta Zayıf MFA Yöntemi Kullanıldı!</description> <mitre> <id>T1556</id>  <id>T1110</id> </mitre> <options>no_full_log</options> </rule> --- 📊 Hızlı Karşılaştırma: Kimlik Doğrulama Yöntemleri Geleneksel SMS / OTP -AiTM Direnci: ❌ Yok (Tamamen Savunmasız) -Güvenlik Kaynağı: İnsan Dikkati -Maliyet: Düşük -Mobil Onay (Push Notification) -AiTM Direnci: ⚠️ Zayıf (MFA Fatigue & Proxy Risk) -Güvenlik Kaynağı: Mobil Uygulama / İnsan -Maliyet: Orta -FIDO2 / Passkey / YubiKey -AiTM Direnci: ✅ %100 Koruma (Phishing-Resistant) -Güvenlik Kaynağı: Kriptografik Domain Binding -Maliyet: Donanım / Altyapı Yatırımı --- O zaman Mustafa soruyor: Kurumunuzda veya kişisel hesaplarınızda geleneksel OTP/SMS yöntemlerinden Passkey ve FIDO2 (YubiKey, TouchID vb.) mimarisine geçiş yapmaya başladınız mı? Karşılaştığınız en büyük adaptasyon engeli nedir? Düşüncelerinizi yorumlarda paylaşın! 👇 Okuduğunuz için teşekkürler! Kendinize, verilerinize ve dijital zırhınıza çok iyi bakın! 🌼