SMS OTP

SMS OTP, kullanıcıların cep telefonlarına gönderilen tek kullanımlık şifreler ile kimlik doğrulama yöntemidir. Yaygın kullanım ve kolay adaptasyon sağlar.

SMS OTP Nedir?

SMS OTP profilleri, kullanıcılara SMS ile 6 haneli tek kullanımlık şifreler gönderilerek ikinci faktör doğrulama sağlar. Telefon erişimi olan herhangi bir kullanıcı için evrensel bir çözümdür.

Sms Kimlik Doğrulama Yöntemi

Yapılandırma Bileşenleri

SMS OTP yapılandırması 3 ana bileşenden oluşur:

1. SMS Servisleri

SMS mesajlarını göndermek için kullanılan harici SMS sağlayıcı yapılandırmaları.

Yapılandırma Alanları:

• SMS Script Adı: Servis için tanımlayıcı isim
• URL: SMS sağlayıcı API endpoint'i
• İstek Metodu: HTTP metodu (GET, POST, Custom)
• Başarılı Gönderim Tespiti: API yanıtında başarıyı belirten değer
• Doğrulama: API key veya token bilgileri
• Parametreler: Telefon numarası, mesaj içeriği ve diğer parametreler

Desteklenen Yöntemler:

• HTTP GET/POST istekleri
• Custom script dosyaları
• Çoklu SMS sağlayıcı desteği
• Uluslararası numara formatları

2. SMS Profilleri

Kullanıcılara nasıl SMS OTP gönderileceğini tanımlar.

Profil Yapılandırma Alanları:

• Profil Adı: Profil için tanımlayıcı bir isim
• Yedek Doğrulama Profilleri: İlk faktör doğrulama için kullanılacak profiller (LDAP veya Local)
  • Kullanıcının telefon numarasını almak için kullanılır
• SMS Servisleri: Kullanılacak SMS servis/servisleri
  • Birden fazla servis tanımlanabilir (failover için)
• Doğrulama Süresi: OTP kodunun geçerli olacağı süre (dakika)

3. SMS Politikaları

Hangi kullanıcıların hangi SMS profili ile doğrulanacağını belirler.

Politika Yapılandırma Alanları:

• SMS Profili: Kullanılacak SMS profili
• Yedek Doğrulama Profili: Kullanıcı özniteliklerini almak için kullanılacak LDAP/Local profil
  • Bu profil, SMS profilinin yedek doğrulama profillerinden biri olmalıdır
  • Kullanıcının telefon numarasını bu profil üzerinden alır
• Öznitelik: Kullanıcı özniteliği
  • LDAP için: memberOf, department, title, mail, mobile vb.
  • Local için: username, group_name, email, mobile vb.
• Öznitelik Değeri: Eşleştirilecek değer veya değerler
  • Dropdown'dan seçim veya manuel giriş
  • Wildcard (*) ve regex desteği

Kullanıcı Kimlik Doğrulama Akışı

1. Kullanıcı Giriş Yapar: Kullanıcı adı ve şifre ile giriş yapar
2. Telefon Numarası Alınır: Sistem, kullanıcının LDAP/Local profılından telefon numarasını çeker
3. SMS Gönderimi: Yapılandırılmış SMS servisi üzerinden kullanıcıya 6 haneli OTP kodu gönderilir
4. Kod Girişi: Kullanıcı, telefonuna gelen kodu giriş ekranına yazar
5. Doğrulama: Sistem kodu doğrular (geçerlilik süresi içinde)
6. Erişim Kontrolü: Kod doğruysa kullanıcıya erişim izni verilir

Telefon Numarası Gereksinimleri

• LDAP Kullanıcıları: LDAP'te telefon özniteliği (genellikle mobile veya telephoneNumber) dolu olmalıdır
• Yerel Kullanıcılar: Local user kaydında mobil telefon alanı dolu olmalıdır
• Numara formatı: Uluslararası format önerilir (+90xxxxxxxxxx)

Politika Davranışı

Önemli

• Politika Yoksa: Tüm kullanıcılar varsayılan profile yönlendirilir
• Politika Varsa: Sadece politika kurallarına uyan kullanıcılar bu profil ile doğrulanabilir
• Öncelik Sırası: Politikalar yukarıdan aşağıya doğru değerlendirilir, ilk eşleşen politika kullanılır

Kullanım Senaryoları

Senaryo 1: Evrensel 2FA

Telefon erişimi olan tüm kullanıcılar için standart ikinci faktör doğrulama.

Senaryo 2: Dış Kullanıcılar

Mobil uygulama kurmak istemeyen misafir kullanıcılar için.

Senaryo 3: Hızlı Onboarding

Kullanıcıların ekstra uygulama indirmesine gerek kalmadan hızlı başlangıç.

Kurulum Adımları

1. SMS Sağlayıcı Seçimi: Bir SMS API sağlayıcısı seçin (Twilio, Vonage, yerli sağlayıcılar vb.)
2. SMS Servisi Oluşturma: SMS sağlayıcı bilgilerini yapılandırın
3. Test SMS Gönderimi: "Test SMS" butonunu kullanarak servisi test edin
4. Yedek Profil Hazırlama: LDAP veya Local kimlik doğrulama profili oluşturun
5. SMS Profili Oluşturma: SMS profili oluşturun ve SMS servisini + yedek doğrulama profili ekleyin
6. Politika Oluşturma: Kullanıcıları profillere yönlendirmek için politikalar oluşturun
7. Telefon Numaralarını Kontrol Edin: Kullanıcıların telefon numaralarının sistemde tanımlı olduğundan emin olun
8. Uygulama Entegrasyonu: Profili uygulama profillerine ekleyin

Avantajlar

• ✅ Evrensel Erişim: Telefon olan herkes kullanabilir
• ✅ Kolay Adaptasyon: Kullanıcıların ekstra uygulama indirmesine gerek yok
• ✅ Yaygın Kabul: Kullanıcılar SMS OTP'ye aşina
• ✅ Çoklu Sağlayıcı: Birden fazla SMS servisi ile failover desteği

Dikkat Edilmesi Gerekenler

• SMS maliyeti vardır (sağlayıcıya bağlı olarak)
• SMS teslim süreleri değişkenlik gösterebilir (1-30 saniye)
• Telefon numaralarının güncel ve doğru formatta olması kritiktir
• SMS intercept saldırılarına karşı alternatif yöntemler de sunulmalıdır
• Geçerlilik süresi çok uzun tutulmamalı (önerilen: 5-10 dakika)

Teknik Detaylar

• OTP Uzunluğu: 6 haneli sayısal kod
• Varsayılan Geçerlilik: 5 dakika (yapılandırılabilir)
• SMS Encoding: UTF-8 desteği (Türkçe karakterler)
• Rate Limiting: Spam koruması için otomatik rate limiting
• Tekrar Mekanizması: Failover için birden fazla SMS servisi