Windows Hello for Business Hybrid Trust Mode ile Kurumsal MFA Güvenliği

Windows Hello for Business (WHfB), geleneksel parola tabanlı oturum açma yöntemlerinin yerini almak üzere tasarlanmış bir çok faktörlü kimlik doğrulama (MFA) çözümüdür. Parola yerine cihaz tabanlı anahtar çifti (public/private key) ve biyometrik doğrulama (PIN, yüz, parmak izi) kullanır. Bu mimari, özellikle Hybrid Azure AD Joined cihazlarda Hybrid Trust Mode ile merkezi kimlik altyapısına entegre biçimde çalışır. Bu rehber, WHfB’nin çalışma prensibini, Hybrid Trust modunun farklarını ve kurumsal MFA güvenliğine katkılarını detaylı biçimde ele alır.

1. Windows Hello for Business Nedir?

WHfB, kullanıcı parolası yerine iki faktörlü kimlik doğrulama (MFA) sağlar:

• Cihaz temelli güvenlik: Kullanıcının cihazına bağlı bir özel anahtar (private key).
• Kullanıcı doğrulaması: PIN, yüz tanıma veya parmak izi.

Böylece kimlik doğrulama fiziksel cihaza bağlı hale gelir, parolaların ağ üzerinde iletilmesi gerekmez.

2. Hybrid Trust Mode Nedir?

Hybrid Trust modu, hem on-premises Active Directory hem de Azure AD (Entra ID) ile entegre çalışır. Bu mod, şirket içi sertifika altyapısını (PKI) kullanarak cihaz ve kullanıcı kimliğini doğrular.

• Key Trust: Azure AD’ye public key gönderilir (sertifika gerekmez).
• Certificate Trust: PKI altyapısı gerekir, AD CS sertifikası kullanılır.
• Hybrid Trust: Her iki dünyayı birleştirir; Azure AD ve domain ortamında merkezi güven sağlar.

Hybrid Trust’ın Avantajları:

• Azure AD + On-Prem entegrasyonu sayesinde kesintisiz kimlik doğrulama.
• Parolasız oturum açma (passwordless) desteği.
• Smart Card seviyesinde güvenlik (FIDO2 ve TPM tabanlı anahtarlar).

3. Mimari Bileşenler

• Azure AD Connect: Dizin senkronizasyonunu sağlar.
• Certificate Authority (CA): Domain cihazları için sertifikalar üretir.
• AD FS (Active Directory Federation Services): Kimlik federasyonunu yönetir.
• TPM (Trusted Platform Module): Anahtar çiftlerini donanım tabanlı olarak saklar.

4. Hybrid Trust Mode Kurulum Adımları

Adım 1: Azure AD Connect Yapılandırması

# Azure AD Connect açılır ve “Federation with ADFS” seçilir.
# Kullanıcı oturum açma seçeneği: Federation (AD FS) veya Password Hash Sync

Adım 2: Sertifika Altyapısı (CA) Kurulumu

AD CS (Active Directory Certificate Services) üzerinde kullanıcı sertifikası şablonu oluşturulur:

certtmpl.msc → New Template → Smartcard Logon → WHfBAuth Template

Adım 3: GPO Ayarları (Group Policy)

GPO üzerinden Windows Hello for Business etkinleştirilir:

Computer Configuration → Administrative Templates → Windows Components → Windows Hello for Business
Enable: “Use Windows Hello for Business”
Set to: Enabled (Use hybrid deployment)

Adım 4: AD FS ve Azure AD Entegrasyonu

Set-AdfsGlobalAuthenticationPolicy -PrimaryIntranetAuthenticationProvider "WindowsHello"

Azure portalda cihazlar “Hybrid Azure AD Joined” olarak görünmelidir.

5. Kimlik Doğrulama Süreci

Hybrid Trust modunda kullanıcı oturum açtığında:

1. Kullanıcının cihazındaki TPM, özel anahtarı kullanarak bir imza üretir.
2. Bu imza, Azure AD ve Domain Controller tarafından doğrulanır.
3. Azure AD, PRT (Primary Refresh Token) üretir ve oturum açma tamamlanır.

Böylece ağ üzerinde parola aktarımı yapılmadan MFA tamamlanmış olur.

6. Güvenlik Katmanları

• TPM İzolasyonu: Anahtarlar donanım çipinde saklanır, dışarı çıkarılamaz.
• VBS (Virtualization-Based Security): LSASS ve Hello verilerini sanallaştırılmış ortamda korur.
• PIN Policy: Minimum uzunluk, karmaşık yapı, kilitleme denemesi.
• FIDO2 Desteği: Donanım token veya Hello biyometrisi ile birleşik güvenlik.

7. MFA Güvenliğine Katkısı

• Phishing Dayanıklılığı: Parola gönderilmez, kimlik doğrulama cihaz tabanlıdır.
• Replay Engelleme: Her oturumda benzersiz imza üretilir.
• Offline Güvenlik: Cihaz üzerinde doğrulama yapılabilir (cache destekli).

8. İzleme ve Denetim

Hybrid Trust olaylarını izlemek için Event Viewer kullanabilirsiniz:

Applications and Services Logs → Microsoft → Windows → HelloForBusiness → Operational

Ek olarak, Azure AD Sign-In Logs altında MFA, deviceID ve PRT durumu izlenebilir.

9. Sorun Giderme

• AD FS loglarında Event ID 342 ve Event ID 1202 hataları bağlantı sorunlarını gösterir.
• Azure AD Connect senkronizasyonu çalışmıyorsa, Start-ADSyncSyncCycle -PolicyType Delta.
• WHfB anahtarları yenilemek için certutil -pulse.

10. Sonuç

Windows Hello for Business Hybrid Trust Mode, parola bağımlılığını ortadan kaldırarak kurumsal MFA güvenliğini donanım tabanlı hale getirir. Azure AD, PKI ve AD FS entegrasyonu sayesinde kimlik doğrulama zinciri çok katmanlı hale gelir. Bu yapı, özellikle Zero Trust mimarisi uygulayan kurumlar için temel bileşenlerden biridir. Gelişmiş kimlik güvenliği altyapıları için HostLigo Windows Sunucu Hizmetleri ile WHfB kurulumu ve sertifika yönetimi profesyonel şekilde gerçekleştirilebilir.