Parola sıfırlama, çoğu erişim yığınının sessiz zayıf noktasıdır
Parola sıfırlama akışı, herhangi bir kimlik doğrulama sisteminin en hedef alınan yollarından biridir. Saldırganlar bilir ki; kontrol ettikleri bir adrese sıfırlama e-postası tetikleyebilirlerse, sızdırılmış bir sıfırlama linkini tekrar oynatabilirlerse veya çalınmış bir oturumla değişiklik formuna girebilirlerse, platformun sunduğu giriş anı savunmalarının tamamını atlatırlar.
Birçok gateway sıfırlamayı sonradan eklenen bir şey olarak görür: uzun ömürlü sıfırlama linkleri, UI'da açıkta görünen alıcı adresleri, CSRF olmayan parola değiştirme formları ve kimin neyi ne zaman sıfırladığına dair denetim eksikliği. Her biri küçük bir boşluktur; birlikte ön kapıdaki MFA duvarına paralel bir yan kapı oluştururlar.
Diğer uç — parola işlemlerini hantal ve sadece yöneticiye açık tutmak — destek hattı taşmaları, yapışkan-not üzerinde paylaşılan yönetici parolaları ve süreç zor olduğu için kimlik bilgilerini hiç değiştirmeyen kullanıcılar üretir.
Parola işlemleri self-servis, güvenli ve uçtan uca denetlenir olmalı — login'i savunan aynı motor, değiştirmeyi, unuttumu ve sıfırlamayı da savunmalıdır.
Yaklaşımımız
Üç koordineli akış, hepsi login ve MFA ile aynı gateway üzerinde çalışır.
Parolasını bilen kullanıcı için kimlik doğrulamalı değiştirme
Oturum açmış bir kullanıcı, mevcut parolasını ve yenisini girerek parolasını değiştirir. Action token'lar, CSRF koruması ve kısa tek kullanımlık pencereler, değiştirme formunu oturum tekrar oynatmasına ve cross-site istismarına karşı savunur; işlem, diğer her erişim kararıyla aynı denetim akışında yaşar.
Kimlik sızdırmayan parola unuttum talebi
Giriş yapamayan bir kullanıcı, unuttum formunda kullanıcı kimliğini girer. UI hesabın var olup olmadığını doğrulamaz — her zaman aynı nötr yanıtı gösterir — ve sıfırlama e-postası, yapılandırılmış kimlik sağlayıcı üzerinden teslim edilir; böylece adres talep edene asla geri açıklanmaz.
Tek kullanımlık e-posta token ile sıfırlama
Sıfırlama linki, Redis'te saklanan tek kullanımlık ve zaman sınırlı bir token taşır. Bir kez tüketildikten sonra token geçersizleşir; pencere dolduğunda ise link ölür. Sızdırılmış bir sıfırlama URL'sini yeniden oynatmak başarısız olur ve orijinal talep eden için baştan başlama yolu nettir.
Her işlem denetim log'undadır
Değiştirme denemeleri, unuttum talepleri, sıfırlama link tüketimleri ve policy redleri yapılandırılmış denetim girdileri yazar. Denetim akışı platformun SIEM hedefine beslenir; böylece destek hattı desenleri, anomali yoğunlaşmaları ve bireysel olaylar, login telemetrisi ile aynı zaman çizelgesinden görünür.
Yetenekler
Üç akış detayda.
Mevcut parolayı doğrulayan kimlik doğrulamalı değiştirme
Oturum açmış kullanıcı değiştirme formunu açar, mevcut parolasıyla birlikte yeni parolayı sağlar; ve gateway, yeni değeri uygulamadan önce yapılandırılmış kimlik sağlayıcı üzerinden mevcut değeri doğrular. CSRF token'ları, kısa TTL'li tek kullanımlık action token'ları ve denetim log'lama tüm işlemi korur.
Nötr yanıtlı parola unuttum talebi akışı
Anonim bir kullanıcı unuttum formunda kullanıcı kimliğini girer. Yanıt; hesabın var olup olmamasından bağımsız olarak aynıdır — hesap numaralandırma sızıntısı yok, farklı hata yolları yok. Kullanıcı kimliği gerçek bir hesapla eşleşirse, yapılandırılmış kimlik sağlayıcı bir sıfırlama token'ı üretir ve kullanıcının kayıtlı adresine gönderir.
Tek kullanımlık ve kısa pencereli e-posta sıfırlama linki
Sıfırlama linkleri, gateway tarafından link gelişinde doğrulanan Redis'te saklanan bir token taşır. Token'lar tek kullanımlık ve zaman sınırlıdır — bir kez tüketildikten sonra token geçersizleşir, ve yapılandırılmış pencere dolduğunda link çalışmayı durdurur. Sızdırılmış bir linki yeniden oynatmak veya pencere dolduktan sonra iletilmiş bir e-postayı kullanmak temiz şekilde başarısız olur.
Her UI yüzeyinde alıcı maskeleme
Unuttum ve sıfırlama akışlarında kullanıcıya geri gösterilen e-posta adresleri, telefon numaraları ve kullanıcı kimliği değerleri her zaman maskelenir. Parolayı bilen ama gelen kutusu olmayan bir saldırgan hedef adresi okuyamaz; başka birinin omzunun üstünden bakan biri iletişim detaylarını toplayamaz.
Sağlayıcı soyutlaması — parolalar ait oldukları yerde kalır
AAM parolaları doğrudan saklamaz. Değiştirme, unuttum ve sıfırlama eylemleri, kimlik bilgisinin sahibi olan kimlik sağlayıcıya devreder — LDAP/AD, local veritabanı, OIDC pass-through veya başka yapılandırılmış bir sağlayıcı. Akış aynı kalır; depolama, zaten güvendiğiniz sağlayıcıda kalır.
Her form gönderiminde CSRF koruması
Her parola formu — değiştirme, unuttum, sıfırlama — kullanıcının oturumuna veya eylem bağlamına bağlı geçerli bir CSRF token gerektirir. Oturum açmış kullanıcının parola sayfasını istismar etmeye çalışan cross-site istekler, kimlik sağlayıcıya ulaşmadan gateway'de başarısız olur.
Operasyonel derinlik
Self-servis parola akışlarını erişim katmanında güvenli tutan mekanik.
Kısa TTL ile tek kullanımlık action token'lar
Parola işlemleri, bilinçli olarak kısa zaman pencereli tek kullanımlık action token'lar kullanır. Değiştirme formu action token'ı açık durumunda 30 saniye yaşar; sıfırlama linki token'ı yalnızca yapılandırılmış pencere boyunca yaşar. Tekrar oynatma, link iletme ve oturum token istismarı önce bu kısa pencerelere çarpar.
Gateway pod'ları arasında Redis üzerinden koordine token durumu
Token üretimi ve tüketimi Redis'te yaşar; böylece herhangi bir gateway pod'u herhangi bir token'ı doğrulayabilir. Yatay ölçeklendirilmiş dağıtımlar koordinasyon yükü olmadan tutarlı kalır; bir pod'da tüketilen token diğer her pod'da anında geçersiz olur.
Servis bazlı kimlik sağlayıcı yönlendirmesi
Her servis parola işlemlerini farklı bir kimlik sağlayıcıya eşleyebilir — çalışanlar için LDAP/AD, yükleniciler için local veritabanı, federe kimlikler için OIDC pass-through. Akış yüzeyi aynı kalır; kullanıcılar her zaman tutarlı bir parola deneyimi görür.
Aktarım ve depoda şifreli işleme
Parola değerleri yalnızca TLS üzerinden taşınır ve log'a asla yazılmaz, hata mesajlarında asla yansıtılmaz, yönetici konsolunda asla gösterilmez. Operatör metadata'sı (son değişiklik zamanı, kilitli durum, sıfırlama denemeleri) görünür; parolanın kendisi değildir.
login-attack-protection sayaçlarıyla koordineli
Başarısız değiştirme denemeleri, süresi dolmuş sıfırlama linkleri ve istismarcı unuttum formu gönderimleri, platformun login-attack-protection katmanının kullandığı aynı deneme sayaçlarını besler. Bir saldırgan, login sayfasında paralel bir deneme beklerken değiştirme formunu brute edemez.
Hangi senaryolarda kullanılır
Rutin self-servis rotasyon
Kullanıcılar profil sayfasından parolalarını destek hattı talebi açmadan döndürür. Onlara giriş yapma izni veren aynı gateway, kimlik bilgilerini değiştirme izni de verir, ve işlem oturum aktivitelerinin geri kalanıyla aynı denetim akışına düşer.
Parola unuttum kurtarması
Giriş yapamayan bir kullanıcı sıfırlama talep eder, yapılandırılmış pencere içinde tek kullanımlık bir e-posta linki ile tamamlar ve çalışmaya geri döner. Destek hattı katılımı yok, paylaşılan geçici parola yok, yan kapı gibi sıkışıp kalan açık metin kurtarma e-postası yok.
Yüklenici onboarding ve offboarding
Yükleniciler ilk girişte zorunlu değiştirme akışıyla katılır ve yönetici tarafından tetiklenen bir sıfırlamayla ayrılır; sıfırlama tüm aktif oturumları anında geçersiz kılar. Yaşam döngüsü anları, güvenlik ekibine görünür birer denetim girdisi üretir.
Kimlik bilgisi işleme üzerinde uyumluluk kanıtı
PCI-DSS, HIPAA, KVKK ve ISO 27001 denetimleri, parola işlemlerinin loglandığına, kapsamlı tutulduğuna ve düz metin olarak açığa çıkmadığına dair kanıt arar. Deneme başına denetim akışı ve maskelenmiş alıcı UI'sı bu kanıtı normal operasyonun yan ürünü olarak üretir.
Sık sorulanlar
Parola sıfırlama e-posta linki ne kadar süre geçerli kalır?
Parola unuttum formu bir hesabın var olup olmadığını sızdırıyor mu?
Karmaşıklık kuralları — uzunluk, karakter sınıfları, geçmiş — bugün nerede yaşıyor?
Bir kullanıcı oturum açıkken parolasını değiştirebilir mi?
Bir kullanıcı hem parolasını hem de kurtarma e-postasına erişimini kaybederse ne olur?
Parola işlemlerini login ile aynı motora taşıyın
Değiştirme, unuttum ve sıfırlama — üç güvenli akış, tek denetim, düz metin yan kapısı yok. Kendi uygulamalarınız üzerinde canlı bir kurulumda gezdirelim.