Bir uygulamanın giriş ekranı kullanıcı açısından oldukça basit görünür: e-posta adresi yazılır, şifre girilir ve sisteme giriş yapılır.

Ancak özellikle kurumsal sistemlerde bu işlemin arkasında çok daha geniş bir güvenlik mimarisi bulunması gerekir.

Son dönemde üzerinde çalıştığım bir kurumsal yönetim sistemi içerisinde giriş ve e-posta altyapısını yeniden ele alırken, klasik kullanıcı adı–şifre yapısından çok faktörlü doğrulamaya uzanan kapsamlı bir geliştirme süreci yürüttüm.

Bu süreç bana bir kez daha gösterdi ki güvenlik yalnızca “bir özellik eklemek” değil; birbiriyle bağlantılı katmanları doğru biçimde tasarlamak anlamına geliyor.

E-Posta OTP Tek Başına Yeterli mi?

İlk aşamada sistemde ikinci doğrulama yöntemi olarak e-posta üzerinden gönderilen tek kullanımlık doğrulama kodları bulunuyordu.

Bu yöntem güvenlik açısından önemli bir katman sağlasa da farklı bir bağımlılık oluşturuyor:

E-posta altyapısı çalışmazsa kullanıcı sisteme nasıl girecek?

Bir SMTP servisinde kota oluşması, geçici bağlantı problemi yaşanması veya mesaj teslimatının gecikmesi, güvenlik sistemi doğru çalışıyor olsa bile kullanıcının giriş yapamamasına neden olabilir.

Buradaki temel çıkarımım şu oldu:

Güvenlik mekanizması, başka bir servisin kullanılabilirliğine tamamen bağımlı olmamalıdır.

TOTP ve Authenticator Uygulamalarına Geçiş

Bu nedenle sisteme standart TOTP tabanlı Authenticator desteği ekledik.

TOTP — Time-based One-Time Password — yaklaşımında kullanıcının telefonundaki uygulama belirli aralıklarla yeni bir doğrulama kodu üretir.

Google Authenticator, Microsoft Authenticator ve benzeri RFC 6238 uyumlu uygulamalar bu yöntemi destekler.

Bu yapının önemli avantajlarından biri, giriş sırasında e-posta gönderilmesine ihtiyaç duyulmamasıdır.

Yeni giriş akışı şu hale geldi:

E-posta + Şifre → Authenticator → 6 Haneli Kod → Giriş

Böylece e-posta servisinde geçici bir problem olsa bile Authenticator kullanan kullanıcı sisteme güvenli şekilde giriş yapabiliyor.

Birden Fazla Doğrulama Yöntemi

Sistemde tek bir yöntemi zorunlu kılmak yerine birden fazla doğrulama yöntemini desteklemek daha esnek bir yapı oluşturdu.

Authenticator'ı etkinleştirmiş kullanıcılar giriş sırasında:

• Authenticator uygulamasını,
• veya gerektiğinde e-posta doğrulamasını

kullanabiliyor.

Authenticator kurulmamış kullanıcılar ise mevcut e-posta doğrulama yöntemini kullanmaya devam ediyor.

Böylece yeni güvenlik altyapısı devreye alınırken mevcut kullanıcı deneyimi de bozulmamış oluyor.

TOTP Secret Nasıl Korunmalı?

TOTP tarafındaki önemli konulardan biri de kullanıcıya ait Authenticator secret bilgisinin saklanmasıdır.

Bu değer doğrudan veritabanında açık biçimde tutulmamalıdır.

Bu nedenle sistem tasarımında secret değerlerini uygulama seviyesinde güçlü şifreleme ile korumak ve şifreleme anahtarını veritabanından ayrı bir ortam değişkeninde tutmak temel güvenlik prensiplerinden biri oldu.

Burada önemli olan yalnızca algoritmanın kullanılması değil; anahtar yönetiminin de doğru yapılmasıdır.

Replay Attack Konusu

TOTP kodlarının kısa süreli olması tek başına yeterli değildir.

Geçerli bir kodun aynı zaman dilimi içerisinde ikinci kez kullanılmasının da engellenmesi gerekir.

Bu nedenle sistemde son başarılı TOTP zaman sayacı takip edilerek daha önce kullanılan bir doğrulama kodunun tekrar kabul edilmemesi sağlandı.

Bu çalışma bana şu prensibi yeniden hatırlattı:

Güvenlikte “kod doğru mu?” sorusu kadar, “bu kod daha önce kullanıldı mı?” sorusu da önemlidir.

Rate Limiting Olmadan MFA Eksik Kalır

Bir diğer önemli nokta başarısız doğrulama denemeleridir.

Sınırsız sayıda OTP veya TOTP denenebilmesi saldırgan açısından ciddi bir avantaj oluşturur.

Bu nedenle;

• kullanıcı bazlı,
• IP bazlı,
• doğrulama denemesi bazlı

sınırlandırmaların birlikte uygulanması gerekir.

Aynı yaklaşım doğrulama kodunun tekrar tekrar e-posta ile gönderilmesini engellemek için de kullanılmalıdır.

E-Posta Altyapısında “Governor” Yaklaşımı

Çalışmanın en öğretici taraflarından biri de e-posta altyapısında servis sağlayıcı limitlerini yönetmek oldu.

Bir sağlayıcı kota sınırına ulaştığında uygulamanın sürekli yeniden bağlantı kurması ve başarısız gönderimler yapması problemi daha da büyütebilir.

Bu nedenle gönderim altyapısında merkezi bir provider governor yaklaşımı uygulamak önemli bir kazanım oldu.

Sistem bir kota problemi tespit ettiğinde ilgili gönderim kanalını kontrollü biçimde durdurabiliyor.

Böylece:

• gereksiz SMTP bağlantıları açılmıyor,
• başarısız deneme sayaçları tüketilmiyor,
• kuyruktaki mesajlar kaybolmuyor,
• sistem yöneticisi gerçek problemi görebiliyor.

AUTH_ONLY Modu

Bir başka önemli tasarım kararı da e-posta sistemini operasyonel modlara ayırmak oldu.

Örneğin sistem normal kampanya ve bilgilendirme mesajlarını durdururken yalnızca kritik kimlik doğrulama mesajlarına izin verebiliyor.

Bu yaklaşımı üç temel mod üzerinden kurgulamak mümkün:

NORMAL

Tüm izin verilen gönderimler çalışır.

AUTH_ONLY

Yalnızca giriş doğrulama, şifre sıfırlama gibi kritik güvenlik mesajlarına izin verilir.

HOLD_ALL

Tüm e-posta gönderimleri kontrollü biçimde durdurulur.

Bu yapı özellikle servis sağlayıcı kotasının sınırlı olduğu dönemlerde kritik mesajlara öncelik verilmesini sağlıyor.

Güvenlik Özelliğini Yapmak Yetmiyor, Kullanıcıya Anlatmak da Gerekiyor

Authenticator özelliğini geliştirdikten sonra fark edilen başka bir konu ise kullanıcıların bu özelliği nasıl bulacağıydı.

Teknik olarak çalışan bir güvenlik özelliğinin kullanıcı tarafından keşfedilemiyor olması pratikte eksik bir geliştirmedir.

Bu nedenle;

Profil → Güvenlik Ayarları → Authenticator Kur

şeklinde açık bir kullanıcı akışı oluşturuldu.

Ayrıca Authenticator uygulamasının telefona nasıl kurulacağı, QR kodun nasıl taranacağı ve giriş sırasında kodun nasıl kullanılacağı konusunda kullanıcı rehberi oluşturulması da sistemin önemli bir parçası haline geldi.

Yönetici İçin MFA Görünürlüğü

Sistemin yöneticileri açısından yalnızca MFA özelliğinin bulunması yeterli değildir.

Yönetici şu soruların cevabını görebilmelidir:

• Kaç kullanıcı Authenticator kullanıyor?
• Kaç kullanıcı yalnızca e-posta doğrulaması kullanıyor?
• Hangi yönetici hesaplarında MFA kurulmamış?
• Kaç kullanıcının kurulumu yarım kalmış?
• Authenticator kullanım oranı nedir?

Bu nedenle sistem yönetim tarafına MFA güvenlik göstergeleri eklemek, teknik özelliği kurumsal bir güvenlik yönetim aracına dönüştürüyor.

Özellikle yönetici ve ayrıcalıklı hesapların MFA durumunun ayrıca izlenmesinin önemli olduğunu düşünüyorum.

Canlıya Geçişte En Önemli Ders

Bu çalışmada edindiğim en önemli tecrübelerden biri de güvenlik değişikliklerinin canlı ortama nasıl aktarılması gerektiği oldu.

Kimlik doğrulama sisteminde yapılan bir hata doğrudan tüm yöneticilerin sistem dışında kalmasına neden olabilir.

Bu nedenle kritik değişikliklerde şu yaklaşım oldukça önemli:

Yeni yöntemi önce mevcut açık yönetici oturumundan etkinleştir, ikinci bir tarayıcıdan başarıyla test et, ancak bundan sonra ilk oturumu kapat.

Böyle küçük görünen operasyonel önlemler, büyük erişim problemlerini önleyebiliyor.

Teknik Geliştirmenin Ötesinde

Bu çalışma yalnızca MFA eklemek veya e-posta sistemini değiştirmek değildi.

Aslında aşağıdaki konuların birlikte ele alınması gerektiğini gösteren güzel bir örnek oldu:

• Güvenli yazılım geliştirme
• Kimlik doğrulama mimarisi
• TOTP ve kriptografi
• E-posta servis yönetimi
• Rate limiting
• Audit ve izlenebilirlik
• Kullanıcı deneyimi
• Yetkilendirme
• Güvenli deployment
• Sistem yöneticisi görünürlüğü

Bir sistemin güvenliği tek bir teknolojiden oluşmuyor.

Asıl güvenlik, bu bileşenlerin birbirini tamamlayacak biçimde tasarlanmasıyla ortaya çıkıyor.

Sonuç

Bu geliştirme sürecinden çıkardığım en önemli sonuç şu oldu:

Güvenli bir sistem yalnızca saldırıları engelleyen değil, aynı zamanda hata durumlarında çalışmaya devam edebilen, yöneticisine ne olduğunu anlatabilen ve kullanıcısını çıkmaza sokmayan sistemdir.

Önümüzdeki dönemde bu alandaki çalışmalarımı; recovery code mekanizmaları, ayrıcalıklı hesaplar için zorunlu MFA politikaları ve daha gelişmiş güvenlik gözlemlenebilirliği konularında geliştirmeyi planlıyorum.

TÜGVA Genç Yönetici Okulu’nun 2018 yılı ilk dönem mezunlarından biri olarak, 2026 Zirve Programı’na yeniden katılmak benim için ayrı bir anlam ve büyük bir onur taşıdı.

İstanbul’da Zorlu PSM Turkcell Platinum Sahnesi’nde gerçekleştirilen TÜGVA Genç Yönetici Okulu 2026 Zirve Programı; iş dünyasından savunma sanayiine, teknolojiden ekonomiye, medyadan akademiye kadar birçok alanda önemli isimleri gençlerle buluşturdu.

Programa; Ticaret Bakanı Prof. Dr. Ömer Bolat, TÜGVA Genel Başkanı İbrahim Beşinci, TUSAŞ Genel Müdürü Mehmet Demiroğlu, ALTUR Turizm Yönetim Kurulu Başkanı Abdurrahim Albayrak, Erdemoğlu Yönetim Kurulu Başkanı İbrahim Erdemoğlu, Gürmen Group Yönetim Kurulu Başkanı Yasemin Gür Solmaz, DOF Robotics Yönetim Kurulu Başkanı Mustafa Mertcan, Miray Yapım Kurucusu Eyüp Gökhan Özekin, Prof. Dr. Oytun Erbaş, ekonomist Mert Başaran, TV sunucusu Cansu Canan Özgen, ShiftDelete.net Kurucusu Hakkı Alkan, gazeteci Türker Akıncı ve birçok değerli isim katılım sağladı.

Program boyunca liderlik, girişimcilik, yerli üretim, savunma sanayii, markalaşma, dijital dönüşüm, yapay zekâ, robotik teknolojiler, medya, ekonomi, çalışma ahlakı ve kişisel gelişim gibi birçok önemli başlık ele alındı. Her konuşma, gençlerin yalnızca kariyer hedefi olan bireyler değil; aynı zamanda ülkesine, toplumuna ve insanlığa değer üretme sorumluluğu taşıyan lider adayları olması gerektiğini bir kez daha hatırlattı.

Zirvede öne çıkan en güçlü mesajlardan biri, başarının yalnızca bilgiyle değil; emek, sabır, ahlak, tecrübe ve istikrarlı çalışmayla mümkün olduğuydu. Konuşmacıların özellikle vurguladığı “işin mutfağını öğrenmek” anlayışı, genç yöneticiler için çok kıymetli bir yol haritası sundu.

Savunma sanayii üzerine yapılan değerlendirmelerde, Türkiye’nin yerli ve millî üretim alanında ortaya koyduğu iradenin yalnızca teknolojik bir başarı değil, aynı zamanda stratejik bağımsızlık meselesi olduğu ifade edildi. Bir ürünü sıfırdan tasarlamanın, geliştirmenin ve üretmenin zorluğu anlatılırken; bu sürecin ülkeye kazandırdığı özgüvenin paha biçilemez olduğu vurgulandı.

İş dünyasından gelen konuşmacılar ise başarı hikâyeleri üzerinden gençlere sabır, azim ve istikrarın önemini aktardı. Anadolu’dan başlayıp küresel ölçekte değer üreten markaların arkasında; yıllarca süren emek, güvene dayalı ilişkiler, dürüstlük, sözünde durmak ve çalışan hakkını gözetmek gibi temel değerlerin bulunduğu ifade edildi.

Programın dikkat çeken başlıklarından biri de dijital dönüşüm, yapay zekâ ve robotik teknolojiler oldu. Yapay zekânın artık yalnızca teknoloji şirketlerini değil, üretimden hizmet sektörüne, medyadan insan kaynaklarına kadar birçok alanı dönüştürdüğü belirtildi. Ancak bu dönüşümün yalnızca teknik bir mesele olmadığı; etik, veri güvenliği, insan emeği ve yerli teknoloji geliştirme açısından da ele alınması gerektiği vurgulandı.

Ekonomi, kişisel gelişim ve çalışma disiplini üzerine yapılan oturumlarda ise gençlere önemli tavsiyeler verildi. Gençlerin moralini bozan “başaramazsın”, “bu ülkede olmaz”, “hiçbir şey yapılamaz” gibi söylemlere karşı dirençli olmaları gerektiği ifade edildi. Günümüz gençlerinin bilgiye, teknolojiye ve fırsatlara erişim açısından tarihin en avantajlı dönemlerinden birinde yaşadığı; bu nedenle şikâyet etmek yerine üretmeye, öğrenmeye ve kendini geliştirmeye odaklanması gerektiği belirtildi.

Ticaret Bakanı Prof. Dr. Ömer Bolat’ın konuşmasında ise gençlerin Türkiye’nin geleceğindeki kritik rolüne dikkat çekildi. Gençlerin iyi eğitimli, ahlaklı, çalışkan, üretken ve topluma faydalı bireyler olarak yetişmesinin önemine vurgu yapıldı. Yabancı dil, dijital yetkinlik, iletişim becerisi, gönüllü çalışmalar ve güçlü karakterin gençleri geleceğe hazırlayan temel unsurlar olduğu ifade edildi.

Benim açımdan bu program, yalnızca bir zirve ya da konferans değil; geçmişten bugüne uzanan bir aidiyetin, kişisel gelişim yolculuğunun ve geleceğe dair güçlü bir motivasyonun yeniden hatırlanmasıydı. 2018 yılında bu okulun ilk mezunlarından biri olmak nasıl kıymetli bir tecrübeyse, 2026 yılında aynı ruhun daha geniş bir vizyonla gençlerle buluştuğunu görmek de ayrıca anlamlıydı.

Programdan aldığım en güçlü mesajı şu şekilde özetleyebilirim:

Geleceği; sadece bekleyen değil, çalışan, üreten, değerlerine sahip çıkan, teknolojiyi doğru okuyan ve işin mutfağını öğrenmekten kaçınmayan gençler inşa edecek.

Bu güzel organizasyonda emeği geçen TÜGVA ailesine, değerli konuşmacılara ve programa katkı sunan herkese teşekkür ederim.