Kimlik yönetimi

Vikipedi, özgür ansiklopedi
Gezinti kısmına atla Arama kısmına atla

Kimlik Yönetimi (Identity Management, IdM), Kimlik ve Erişim Yönetimi (Identity and Access Management, IAM) olarak da bilinir, bilgisayar güvenliğinde, “doğru kişilerin, doğru zamanda, doğru amaçlarla, doğru kaynaklara erişimini sağlayan” güvenlik ve işletme disiplinidir. Giderek daha da çok unsurlu hale gelen teknoloji ortamında uygun kaynaklara erişim ihtiyacını ve yine gittikçe titiz hale gelen uyumluluk gerekliliklerini hedefler.[1]

“Kimlik Yönetimi ” ve “Kimlik ve Erişim Yönetimi” terimleri, kimlik erişim yönetimi alanında birbirlerinin yerine kullanılır.[2] “Kimlik Yönetimi”, bilgi teknolojileri güvenliği çatısı altındadır.[3]

Kimlik yönetimi sistemleri, ürünleri, uygulamaları ve platformları; bireyleri, bilgisayar ile ilişkili donanımları ve yazılım uygulamalarını içeren öğelerle ilgili tanımlayıcı ve bağımlı veriyi yönetir.

IdM; kullanıcıların nasıl kimlik kazandığını, bu kimliğin korunmasını ve bu korumayı destekleyen teknolojileri kapsar (ağ protokolleri, sayısal sertifikalar, şifreler gibi).

Tanım[değiştir | kaynağı değiştir]

Kimlik yönetimi (IdM), bilgisayarlardaki kullanıcılarla ilgili bilgilerin kontrolü işidir. Bu tür bilgiler; kullanıcının kimliğinin onaylanmasını, erişime (access) ve/veya yürütmeye (perform) yetkili olduğu eylemleri ve bilgiyi içerir. Ayrıca, kullanıcı ile ilgili tanımlayıcı bilgiyi ve bu bilgiye kimin, nasıl erişebileceğini ve bilgiyi değiştirebileceğini de barındırır. Yönetilen öğeler (entities), genellikle, kullanıcıları, donanımı ve ağ kaynaklarını, hatta uygulamaları kapsar.

Dijital kimlik, bir öğenin kimlik bilgilerini (personal identifying information, PII) ve buna bağlı bilgiyi kapsayan çevrimiçi varlığıdır. PII korunması ile ilgili OECD[4] ve NIST[5] kılavuzlarına bakınız.[6] İşlemeyi kolaylaştırmak adına kimlik isimlerinin ve özelliklerinin kodlanması olarak yorumlanabilir.

Fonksiyon[değiştir | kaynağı değiştir]

Çevrimiçi mühendislik sistemlerinin gerçek dünya şartlarında, kimlik yönetimi 4 temel fonksiyonu barındırır:

  1. Salt Kimlik (Pure Identity) Fonksiyonu: Kimliklerin erişim ya da yetki verme gözetmeksizin oluşturulması, yönetimi ve silinmesi
  2. Kullanıcı Erişimi (Log-on) Fonksiyonu: Örneğin; bir servise ya da servislere erişim için bir kullanıcı tarafından kullanılan bir akıllı kart ve bununla ilişkili veri
  3. Servis Fonksiyonu: Kullanıcıya ve cihazlarına kişiselleşmiş, rol tabanlı, çevrimiçi, talebe bağlı ve oluşum bazlı servisler sunan bir sistem
  4. Kimlik Birliği (Identity Federation): Kullanıcının şifresini bilmeden kullanıcıyı onaylamak için bütünleşik kimliğe (federated identity) güvenen bir sistem

Salt kimlik[değiştir | kaynağı değiştir]

Kimliğin genel bir modeli küçük bir aksiyom (belit, postulat) kümesinden elde edilebilir. Örneğin; bir isim uzayındaki tüm kimlikler eşsizdir ya da bu tür kimlikler, gerçek dünyada, karşılık gelen öğelerle belirli ilişkiler taşır. Böylesi belitsel bir model, modelin belirli bir uygulama içeriğine kısıtlanmaması açısından “salt kimliği” ifade eder.

Genel olarak, bir öğe (gerçek ya da sanal) çok sayıda kimliğe sahip olabilir ve her bir kimlik çok sayıda özelliği kapsayabilir ki bunların bazıları verilen isim uzayında eşsizdir. Aşağıdaki şema, kimlikler ve özellikleri arasındaki kavramsal ilişkilerin yanı sıra kimlikler ve öğeler arasındaki ilişkileri de göstermektedir.

Identity conceptual view

Bütün pratik ve çoğu teorik sayısal kimlik modellerinde, verilen bir kimlik nesnesi sınırlı sayıda özellik kümesinden oluşur. Bu özellikler nesne ilgili bilgileri tutar, sınıflandırma ve bilgi çekmede olduğu gibi. “Salt Kimlik” model, kesin bir şekilde bu özelliklerin harici anlamlarıyla ilgilenmez.

O halde, kimlik yönetimi, verilen bir kimlik modelindeki işlemlerin bir kümesi ya da daha genel haliyle yeteneklerin bir kümesi olarak tanımlanabilir.

Pratikte, kimlik yönetimi, sıkça, model içeriğinin nasıl tedarikli ve çok sayıda kimlik modeliyle uyumlu olacağını ifade etmek için genişler.

Kullanıcı erişimi[değiştir | kaynağı değiştir]

Kullanıcı erişimi, kullanıcıların uygulama boyunca sayısal bir kimliği varsaymalarını sağlar. Belli bir kullanıcı için, çok sayıda sistemde, tek bir kimliğin kullanımı yöneticilerin ve kullanıcıların işlerini kolaylaştırır. Erişim izleme ve onaylamayı basitleştirir ve organizasyona, bir kişiye verilen aşırı yetkiyi sınırlamasında yardımcı olur. Kullanıcı erişimi başlangıcından sonlandırılışına kadar izlenebilir.

Organizasyonlar, kimlik yönetimi süreçlerini ya da sistemlerini uyguladıklarında; amaçları, genellikle, bir kimlik kümesinin yönetimi değildir, başlangıçta. Bunun yerine, kimlikleriyle, bu öğelere uygun erişimi sağlamaktır.

Servisler[değiştir | kaynağı değiştir]

Organizasyonlar, hem içerideki kullanıcılar hem de müşterileri için servis eklemeye devam etmektedir. Bu servislerin çoğu kimlik yönetimini gerektirir. Giderek artan seviyede, kimlik yönetimi, tek bir kimlik birçok serviste hizmet edebilsin diye bölünmüştür.

Dahili kullanımda, kimlik yönetimi, tüm dijital varlıklara, araçlar, ağ ekipmanları, portallar, sunucular, içerikler dahil olmak üzere erişimi kontrol edebilme yönünde gelişmektedir.

Servisler, genellikle, kullanıcı ile ilgili aşırı bilgiye erişilmesini gerektirir. Bunlara adres defterleri, tercihler, iletişim bilgileri de dahildir. Bu bilgilerin çoğu kişisel mahremiyete dahil olduğundan, bunlara erişimin denetlenmesi de hayatidir.

Kimlik birliği[değiştir | kaynağı değiştir]

Başlıktan da anlaşılacağı gibi, kimlik birliği bir sisteme dahil olarak diğer sistemlere de erişiminin açıldığı bütünleşik sistemleri ifade eder. Çok sayıda sistem arasındaki bu güven sıkça “Güven Çemberi” olarak bilinir. Bu kurguda, bir sistem Kimlik Sağlayıcı (Identity Provider,IdP) olarak ve diğer sistem(ler) de Servis Sağlayıcılar (Service Provider, SP) olarak rol alır. Bir kullanıcı SP’nin servisine ihtiyaç duyduğunda, önce IdP üzerinden kimliğini doğrulatmalıdır. Başarılı kimlik doğrulama sonrası, IdP, SP’ye güvenli bir beyan gönderir. SAML beyanları bu amaçla kullanılabilir.[7]

Sistem yetenekleri[değiştir | kaynağı değiştir]

Kullanıcı kimlik verisinin oluşturulması, silinmesi ve değiştirilmesine ek olarak, Kimlik Yönetimi iletişim bilgisi ve konum gibi uygulamaların kullanımı için bulunan bağlı öğelerin verilerinin kontrolünü de yapar.

Kimlik Doğrulama (Authentication): Bir öğenin iddia ettiği kişi/şey olduğunu doğrulama. Doğrulama için parola ya da parmak izi gibi biyokimlik (biometric) özellikler kullanılabilir.

Yetkilendirme (Authorization): Bir öğenin belirli bir uygulamanın içeriğinde hangi işlemleri yapabileceğini tanımlayan yetkilendirme bilgisinin yönetilmesidir. Örneğin; bir kullanıcı satış emri girmek için yetkilendirilmişken, bir diğer kullanıcı bu emir için kredi talebini onaylamakla yetkilendirilmiş olabilir.

Roller (Roles): Roller işlemlerin gruplarıdır. Kullanıcılara genellikle belli bir iş ya da iş fonksiyonuyla bağlantılı olarak roller tanımlanır. Örneğin; bir kullanıcı yöneticisinin rolü bir kullanıcının parolasının sıfırlanması olabilirken, sistem yöneticisinin rolü bir kullanıcıyı belirli bir sunucuya atamak olabilir.

Yetki Devri (Delegation): Yetki devri yerel bir yönetici ya da gözlemcinin, genel yöneticinin iznine gerek duymadan da sistem değişiklikleri yapabilmesine imkan verir. Örneğin; bir kullanıcı ofisle alakalı bilgileri yönetme yetkisini devredebilir.

Takas (Interchange): SAML protokolü, iki kimlik tanım kümesi arasında kimlik bilgisi değiştirmenin önde gelen yollarından biridir.[8]

Gizlilik[değiştir | kaynağı değiştir]

Kişisel bilgileri bilgisayar ağlarına koymak gizlilik endişelerini de artırmaktadır. Uygun korumaların yokluğunda, veriler toplumun gözlenmesinde kullanılabilir.

Sosyal ağ ve çevrimiçi sosyal ağ servisleri kimlik yönetimini yoğun bir şekilde kullanır. Kullanıcıların, kişisel bilgilerini nasıl yöneteceklerinin kararını vermelerine yardım etmek geniş çaplı bir konu haline gelmiştir.

Kimlik hırsızlığı[değiştir | kaynağı değiştir]

Kimlik hırsızlığı, hırsızlar, bankamatik şifresi gibi hesaba erişimi sağlayan kişisel bilgilere ulaşabildiklerinde gerçekleşir.

Ayrıca bakınız[değiştir | kaynağı değiştir]

Kaynakça[değiştir | kaynağı değiştir]

  1. ^ Compare: "Gartner IT Glossary > Identity and Access Management (IAM)". Gartner. 23 Ekim 2016 tarihinde kaynağından arşivlendi. http://web.archive.org/web/20161023003603/http://blogs.gartner.com:80/it-glossary/identity-and-access-management-iam/. Erişim tarihi: 2016-09-02. "Identity and access management (IAM) is the security discipline that enables the right individuals to access the right resources at the right times for the right reasons. [...] IAM addresses the mission-critical need to ensure appropriate access to resources across increasingly heterogeneous technology environments, and to meet increasingly rigorous compliance requirements." 
  2. ^ "identity management (ID management)". SearchSecurity. 2013-10-01. http://searchsecurity.techtarget.com/definition/identity-management-ID-management. Erişim tarihi: 2017-03-02. 
  3. ^ Staff (2012). "Identity and access management products". ComputerWeekly.com. TechTarget. 2 Mayıs 2017 tarihinde kaynağından arşivlendi. http://web.archive.org/web/20170502115724/http://www.computerweekly.com/resources/Identity-and-access-management-products. Erişim tarihi: 23 May 2012. 
  4. ^ Functional requirements for privacy enhancing systems Fred Carter, OECD Workshop on Digital Identity Management, Trondheim, Norway, 9 May 2007 (PPT presentation)
  5. ^ Guide to Protecting the Confidentiality of Personally Identifiable Information (PII), Recommendations of the National Institute of Standards and Technology, January 2009
  6. ^ PII (Personally Identifiable Information), The Center For Democracy & Technology, September 14, 2007
  7. ^ Burr, Donaldson, Polk. "Information Security". 8 Şubat 2017 tarihinde kaynağından arşivlendi. http://web.archive.org/web/20170208003154/http://csrc.nist.gov/publications/nistpubs/800-63/SP800-63V1_0_2.pdf. Erişim tarihi: 2015-10-10. 
  8. ^ "Working Groups | Identity Commons". Idcommons.org. 24 Eylül 2015 tarihinde kaynağından arşivlendi. http://web.archive.org/web/20150924032713/http://www.idcommons.org/working-groups/. Erişim tarihi: 2013-01-12. 

Dış bağlantılar[değiştir | kaynağı değiştir]