LMS’inize yılda bir kez, bir uyum yenileme eğitimi için giriş yapan biri şifresini asla hatırlamayacaktır. Bu yüzden “şifremi unuttum” bağlantısına tıklar, bir e-postayı bekler, yine unutacağı yeni bir şifre uydurur ya da pes edip destek talebi açar. Şifresiz giriş, şifreyi tamamen ortadan kaldırır. Bu rehber, bunun nasıl çalıştığını, güvenlik ödünleşimlerinin gerçekte nerede olduğunu ve üzerine SAML çoklu oturum açma eklemenin ne zaman değerli olduğunu anlatıyor.
Şifreler, ara sıra giriş yapan öğrenenler için neden işe yaramaz
Şifreler, insanların her gün kullandığı sistemlerde en iyi sonucu verir. Bir eğitim platformu ise çoğunlukla bunun tersidir: kişiler kayıt olduklarında, bir hatırlatma geldiğinde ya da bir sertifikanın süresi dolmak üzereyken giriş yapar.
Bu, öngörülebilir bir dizi soruna yol açar:
- Unutulan şifreler. Girişler arasında aylar geçtiğinde birçok öğrenen işe bir sıfırlamayla başlar; üstelik bu çoğunlukla eğitimin son tarihinin geldiği gün olur.
- Yeniden kullanım. Bir şifre daha hatırlayamayan kişiler, başka yerden bir şifreyi yeniden kullanır. O başka site ihlal edilirse aynı e-posta ve şifre LMS’inizde de denenebilir.
- Geçici çözümler. Sıkı şifre kuralları, şifrelerin yapışkan notlara yazılmasına ya da her seferinde bir sayı eklemek gibi öngörülebilir varyasyonlara yol açar.
- Destek yükü. Her hesap kilitlenmesi ve sıfırlama, yardım masanız ya da L&D ekibiniz için bir destek talebidir.
Daha sessiz bir nokta da var. Şifre sistemlerinin çoğu, kişilerin şifrelerini e-postayla sıfırlamasına izin verir; yani hesabı zaten gelen kutusu denetler. İnsanların unuttuğu kısım şifredir, onları koruyan kısım değil. Şifresiz giriş bunu yalnızca açık hâle getirir.
Şifresiz giriş nasıl çalışır
E-posta ile tek kullanımlık kodlar
- Öğrenen e-posta adresini girer.
- LMS kısa, rastgele bir kod üretir ve ona e-postayla gönderir.
- Öğrenen kodu yazar ve LMS onu denetler.
İyi tasarlanmış bir kod yalnızca bir kez çalışır, birkaç dakika içinde süresi dolar ve birkaç yanlış denemeden sonra geçersiz olur. Hatırlanacak bir şey, başka bir siteden yeniden kullanılan bir şey ve sızdırılacak bir şifre yoktur.
Bazı sistemler kod yerine bir giriş bağlantısı gönderir. Biri e-postasını telefonunda okuyup iş bilgisayarında giriş yapıyorsa kodlar kullanışlıdır; çünkü kodu kolayca yazarak aktarabilir.
Google, Microsoft veya LinkedIn hesapları
“Google ile giriş yap” gibi düğmelerle LMS, oturum açmayı OAuth 2.0 ve OpenID Connect gibi standart protokoller üzerinden sağlayıcıya devreder. Sağlayıcı, hesaptaki iki adımlı doğrulama dahil kişinin kim olduğunu denetler ve LMS’e kişinin kimliğini ile doğrulanmış e-posta adresini bildirir. LMS şifresini asla görmez.
Bu, Microsoft 365 veya Google Workspace’e zaten her gün giriş yapan çalışanlar için uygundur: tek tıkla içeridedirler.
Güvenlikteki ödünleşimler, dürüstçe
Şifresiz giriş sihir değildir. Güveni başka bir yere taşır ve bunun nereye olduğunu bilmelisiniz.
| Yöntem | Hesabı ne korur | Nelere dikkat edilmeli |
|---|---|---|
| Şifre | Öğrenenin hatırladığı bir şey | Yeniden kullanım, zayıf seçimler ve zaten e-postayla yapılan sıfırlamalar |
| E-posta kodu | Öğrenenin gelen kutusuna erişim | Ele geçirilmiş bir posta kutusu, ele geçirilmiş bir LMS hesabı demektir |
| Google, Microsoft veya LinkedIn | Sağlayıcı hesabı ve iki adımlı doğrulaması | Kişisel hesaplar sizin denetiminizin dışında kalır |
| SAML çoklu oturum açma | Kimlik sağlayıcınız ve politikaları | Kurulum çabası ve sağlayıcının erişilebilir olmasına bağımlılık |
Anlamaya değer birkaç ayrıntı:
- En önemlisi e-posta hesabıdır. Bir öğrenenin e-postasını okuyabilen herkes o öğrenen olarak giriş yapabilir. İş posta kutularındaki çok faktörlü kimlik doğrulama, LMS güvenliği için herhangi bir şifre kuralından daha fazlasını sağlar.
- Süre sınırı ve sınırlı deneme sayısı tahmini engeller. Altı haneli bir kodun yaklaşık bir milyon olası değeri vardır; bu nedenle üç deneme, tahmin yürüten birine yalnızca milyonda birkaç şans tanır ve her kod birkaç dakika geçerlidir. Kodların ne sıklıkla istenebileceğine getirilen sınırlar işleri daha da yavaşlatır.
- Kodlar yine de oltalanabilir. Sahte bir giriş sayfası bir kod isteyip onu hemen kullanabilir. İnsanlara kodları yalnızca LMS’inizin gerçek adresine girmelerini ve destek dahil hiç kimsenin onlardan asla kod istemeyeceğini öğretin.
- Paylaşılan posta kutuları kayıtlarınızı zayıflatır. Birkaç kişi tek bir gelen kutusunu okuyabiliyorsa bunlardan herhangi biri sahibi olarak giriş yapabilir. Eğitim kayıtlarının anlam taşıması için her öğrenenin kendi adresi olmalıdır.
- İşten ayrılanlar her yerden çıkarılmalıdır. Kişisel bir Google ya da LinkedIn hesabı, kişi ayrıldığında ortadan kalkmaz. Onları yalnızca dizininizde değil, işten ayrılma sürecinin bir parçası olarak LMS’te de askıya alın veya arşivleyin.
- E-posta teslimi sistemin bir parçasıdır. Spam’e düşen ya da geç gelen kodlar başarısız girişlere yol açar. BT ekibinden LMS’in e-postalarını posta filtrelerinizden geçirmesini isteyin.
Gerek duymadan önce kurtarmayı planlayın
Şifresiz girişte “şifremi unuttum” talepleri büyük ölçüde ortadan kalkar. Olağan destek sorusu “kodum gelmedi” olur ve yanıt neredeyse her zaman aynıdır: spam klasörünü kontrol edin, adresi doğrulayın ve yeni bir kod isteyin.
Yöneticiler daha fazla düşünmeyi gerektirir. Çoklu oturum açmaya güveniyorsanız ve kimlik sağlayıcınızda kesinti yaşanırsa ya da bir ayar yanlışlıkla değiştirilirse, bozulan şeye bağlı olmayan bir giriş yoluna ihtiyacınız vardır. İyi uygulama:
- En az iki yönetici bulundurun; böylece bir kişinin erişimini kaybetmesi kuruluşu dışarıda bırakmaz.
- Yöneticilerin, kimlik sağlayıcınıza bağlı olmayan bir kurtarma yolu olduğundan emin olun.
- Bu kurtarma yolunu, kötü bir günde gerek duymadan önce sakin bir zamanda bir kez deneyin.
- Yöneticileri ofis IP aralıklarıyla sınırlandırırsanız uzaktan çalışan yöneticilerin nasıl giriş yapacağını kontrol edin.
SAML çoklu oturum açma ne zaman eklenmeli
E-posta kodları ve sosyal hesapla giriş çoğu öğrenen için uygundur. SAML çoklu oturum açma şu durumlarda eklemeye değer:
- Çalışanlarınız zaten Microsoft Entra ID, Okta veya Google Workspace’te yönetiliyorsa.
- Kimlik sağlayıcınızın çok faktörlü ve erişim politikalarının eğitime de uygulanmasını istiyorsanız.
- İnsanların dizininizde devre dışı bırakıldıkları anda erişimi kaybetmesini istiyorsanız.
- Güvenlik incelemeleri veya müşteri anketleri çoklu oturum açma istiyorsa.
Birçok öğrenen dizininizin dışındaysa (örneğin taşeron çalışanlar, gönüllüler, müşteriler ya da başka kuruluşların çalışanları) bu tek başına yeterli çözüm değildir. Bu durumda SSO’yu kendi çalışanlarınız için kullanın ve diğer herkes için e-posta kodlarını koruyun. Kurulumu daha ayrıntılı olarak LMS’iniz için çoklu oturum açma yazımızda ele alıyoruz.
Acadenix bunu nasıl yapar
Acadenix’te hiç şifre yoktur. Kişiler şu yollardan biriyle giriş yapar:
- E-posta kodları. Kişiler e-postalarını girer ve altı haneli bir kod alır. Kod bir kez, beş dakika boyunca çalışır ve üç yanlış denemeden sonra geçersiz olur. Kodları çok sık isterseniz beklemeniz istenir.
- Google, Microsoft ve LinkedIn. Her yöntem Settings → Authentication (Ayarlar → Kimlik doğrulama) bölümünden açılıp kapatılır ve belirli doğrulanmış e-posta alan adlarıyla sınırlandırılabilir. Bir değişiklik kaydedilmeden önce kaç kişiyi ve oturumu etkilediğini görürsünüz.
- Kendi oturum açma uygulamalarınız. Kuruluşlar kendi Google, Microsoft veya LinkedIn uygulamalarını kullanabilir. Kendi Microsoft uygulamanızla yalnızca kiracınızdaki (tenant) hesaplar onu kullanabilir.
- Gold’da SAML çoklu oturum açma. Microsoft Entra ID, Okta veya Google Workspace’i bağlayın. Öğrenen hesapları ilk girişte oluşturulabilir, ancak yalnızca kuruluşunuzun e-posta alan adlarındaki adresler için. Biri SAML üzerinden ilk kez giriş yaptığında bağlantıyı onaylamak için e-postayla bir kod gönderilir; bu, kişi başına bir kez olur. Açtığınız diğer yöntemler yedek olarak kalır. Bkz. planlar ve fiyatlandırma.
Yöneticiler için ek güvenceler vardır. Yöneticiler, öğrenenleri etkilemeden IP aralıklarınızla sınırlandırılabilir ve boşta kalan oturumlar kapatılır. Olağan giriş yolunuz çalışmazsa bir yönetici yine de e-postasına gönderilen bir kurtarma koduyla giriş yapabilir ve bu yol kapatılamaz. Bir kişinin hesabını askıya almak, onun hemen giriş yapmasını durdurur; Email History (E-posta geçmişi) ise son 30 günde hangi e-postaların gönderildiğini ya da başarısız olduğunu, ileti içeriklerini veya kodları saklamadan gösterir. Daha fazla ayrıntı güvenlik sayfamızda yer alıyor.
Önemli çıkarımlar
- Ara sıra giriş yapan öğrenenler için şifreler, çok az koruma katarken sıfırlama, yeniden kullanım ve destek talebi yaratır.
- E-posta kodları ve iş hesabıyla giriş şifreyi ortadan kaldırır; anahtar gelen kutusu ya da sağlayıcı hesabı olur, bu yüzden onu çok faktörlü kimlik doğrulamayla koruyun.
- Hızla süresi dolan ve az sayıda denemeye izin veren tek kullanımlık kodlar tahmin yürütmeyi pratikte imkânsız kılar, ancak insanların yine de bir kodu asla paylaşmamayı bilmesi gerekir.
- Yöntemleri açmadan önce yönetici kurtarmasını ve işten ayrılma sürecini planlayın.
- Çalışanlarınız merkezi bir kimlik sağlayıcıda yaşıyorsa SAML çoklu oturum açmayı ekleyin ve diğer herkes için e-posta kodlarını koruyun.
Şifreler eğitim destek taleplerinizin en büyük kaynağıysa şifresiz girişin kendi ekibinizle nasıl çalıştığını görün. Değerlendirme talep edin ve kuruluşunuza uygun oturum açma yöntemlerini kurun.
