Mobil personel takip sistemlerinin en önemli avantajlarından biri, çalışanların iş yerine giriş ve çıkış işlemlerini cep telefonları üzerinden gerçekleştirebilmesidir. Ancak mobil cihazların konum bilgisini kullanması beraberinde önemli bir güvenlik sorusunu getirir:
Çalışan telefonundaki konumu değiştirerek iş yerindeymiş gibi giriş yapabilir mi?
Teknik olarak bazı mobil cihazlarda sahte konum veya GPS manipülasyonu yapılabilir. Bu nedenle güvenli bir mobil PDKS sistemi yalnızca telefonun bildirdiği koordinata güvenmemeli, konum doğrulamayı farklı güvenlik kontrolleriyle desteklemelidir.
Sahte Konum Nedir?
Sahte konum, mobil cihazın gerçek fiziksel konumundan farklı bir koordinatı uygulamalara bildirmesi anlamına gelir.
Normal şartlarda bir PDKS uygulaması telefonun GPS ve konum servislerinden aldığı koordinatları kullanır. Örneğin çalışanın bulunduğu konum ile işletmenin tanımlanan lokasyonu arasındaki mesafe hesaplanabilir.
Ancak bazı yöntemlerle cihazın gerçek konumu yerine farklı koordinatlar bildirmesi mümkün olabilir.
Bu durum özellikle yalnızca GPS koordinatına güvenen personel takip sistemleri açısından güvenlik riski oluşturur.
Örneğin çalışan gerçekte evindeyken telefonunun konumunu iş yerinin koordinatlarına ayarlayabilirse, yeterli güvenlik kontrolü olmayan bir sistem çalışanı iş yerindeymiş gibi değerlendirebilir.
Mobil PDKS Sistemlerinde GPS Manipülasyonu Mümkün mü?
Mobil işletim sistemlerinde özellikle geliştirici araçları, değiştirilmiş cihazlar veya üçüncü parti uygulamalar kullanılarak konum bilgisinin manipüle edilmesine yönelik yöntemler bulunabilir.
Bu nedenle herhangi bir mobil uygulamanın telefondan gelen GPS bilgisini mutlak doğru kabul etmesi güvenli bir yaklaşım değildir.
Buradaki temel nokta şudur:
Konum doğrulama önemli bir güvenlik katmanıdır ancak tek başına yeterli değildir.
Güvenli bir mobil PDKS çözümünde konum doğrulama;
- kullanıcı doğrulama,
- kayıtlı cihaz kontrolü,
- QR kod doğrulama,
- zaman kontrolü,
- cihaz güvenliği kontrolleri
gibi farklı mekanizmalarla desteklenmelidir.
Bu yaklaşım, tek bir güvenlik mekanizmasının aşılması durumunda diğer kontrollerin devrede kalmasını sağlar.
Sahte GPS ile Personel Girişi Nasıl Önlenir?
PDKS sistemlerinde sahte konum riskini azaltmanın en etkili yöntemi katmanlı doğrulama kullanmaktır.
Çalışanın yalnızca belirlenen koordinat içerisinde olması giriş için yeterli kabul edilmemelidir.
Örneğin bir giriş işleminde sistem aynı anda şu kontrolleri gerçekleştirebilir:
Konum doğrulama:
Çalışanın telefonundan alınan koordinatın işletmenin belirlediği çalışma alanı içerisinde olup olmadığı kontrol edilir.
Kayıtlı cihaz doğrulama:
Giriş işleminin çalışanın daha önce yetkilendirilmiş mobil cihazından yapılıp yapılmadığı kontrol edilir.
QR kod doğrulama:
İş yerindeki geçerli QR kodun çalışan tarafından okutulması istenebilir.
Zaman doğrulama:
Kullanılan QR kodun veya giriş talebinin belirlenen zaman aralığında geçerli olup olmadığı kontrol edilebilir.
Bu kontroller birlikte kullanıldığında yalnızca telefonun GPS koordinatını değiştirmek, personel adına geçerli bir giriş kaydı oluşturmak için yeterli olmaz.
Dinamik QR Kod Sahte Konuma Karşı Nasıl Koruma Sağlar?
Konum doğrulama ile birlikte kullanılabilecek en etkili yöntemlerden biri dinamik QR kod sistemidir.
Dinamik QR kod belirli aralıklarla otomatik olarak değişir ve eski kodlar geçerliliğini kaybeder.
Çalışanın giriş yapabilmesi için hem işletmenin belirlediği lokasyonda bulunması hem de o anda geçerli olan QR kodu okutması gerekebilir.
Bu yapı sahte konum kullanan bir çalışanın önüne ikinci bir fiziksel doğrulama katmanı çıkarır.
Örneğin çalışanın telefonunda iş yerinin koordinatı sahte olarak tanımlanmış olsa bile, iş yerindeki ekranda o anda gösterilen dinamik QR koda erişemiyorsa giriş işlemini tamamlayamaz.
Bu nedenle konum doğrulama + dinamik QR kod birlikte kullanıldığında yalnızca GPS tabanlı doğrulamaya göre daha güvenli bir yapı oluşur.
QR Kod Fotoğrafı Gönderilirse Ne Olur?
Sabit QR kod kullanılan sistemlerde QR kodun fotoğrafının başka bir çalışana gönderilmesi teorik olarak mümkündür.
Bu nedenle yüksek güvenlik gerektiren kullanım senaryolarında sabit QR yerine dinamik QR kod tercih edilebilir.
Dinamik QR kod kısa süre içerisinde değiştiği için çalışanın aldığı ekran görüntüsü veya fotoğraf kısa süre sonra kullanılamaz hale gelir.
Bunun yanında QR kodun okutulması tek başına giriş işlemini tamamlamamalıdır.
Sistem aynı anda çalışanın konumunu ve kayıtlı cihazını da doğrulayabilir.
Böylece bir çalışan güncel QR kodu başka bir kişiye gönderse bile diğer kişinin doğru konumda ve yetkilendirilmiş cihazda bulunması gerekir.
Her bir kontrol, sahte giriş ihtimalini biraz daha azaltır.
Kayıtlı Cihaz Kontrolü Neden Önemlidir?
Personel takip sistemlerindeki başka bir risk, çalışanların kullanıcı adı ve şifrelerini birbirleriyle paylaşmasıdır.
Örneğin bir çalışan işe gelmediği gün kullanıcı bilgilerini iş arkadaşına vererek kendi adına giriş yapılmasını isteyebilir.
Yalnızca kullanıcı adı ve parola kullanan sistemlerde bu durumun tespit edilmesi zor olabilir.
Kayıtlı cihaz kontrolü kullanıldığında ise çalışanın hesabı belirli bir mobil cihazla ilişkilendirilebilir.
Başka bir cihazdan hesap kullanılmaya çalışıldığında sistem giriş işlemine izin vermeyebilir veya yeniden cihaz doğrulaması isteyebilir.
Böylece kullanıcının parola bilgisini başka biriyle paylaşması tek başına yeterli olmaz.
PDKS'te Geofence Güvenliği Nasıl Çalışır?
Mobil PDKS sistemlerinde kullanılan yöntemlerden biri de geofence, yani sanal konum sınırı oluşturmaktır.
İşletme belirli bir koordinat ve bu koordinat çevresinde izin verilen bir mesafe tanımlayabilir.
Örneğin işletmenin konumu merkez kabul edilerek çevresinde belirli metre genişliğinde bir çalışma alanı oluşturulabilir.
Çalışanın konumu bu alanın dışındaysa giriş veya çıkış işlemi reddedilebilir.
Geofence kullanılırken dikkat edilmesi gereken önemli noktalardan biri GPS ölçümlerinin her zaman santimetre hassasiyetinde olmamasıdır.
Binalar, kapalı alanlar, çevredeki yapılar, cihaz modeli ve GPS sinyal kalitesi konum doğruluğunu etkileyebilir.
Bu nedenle konum toleransı belirlenirken hem güvenlik hem de kullanıcı deneyimi birlikte değerlendirilmelidir.
Çok geniş bir alan tanımlanması güvenliği azaltabilirken gereğinden küçük bir alan çalışanların gerçek konumdayken bile giriş yapamamasına neden olabilir.
PDKS Güvenliğinde Tek Bir Kontrole Güvenmek Doğru mu?
Hayır.
Modern bilgi güvenliği sistemlerinde olduğu gibi PDKS sistemlerinde de tek bir doğrulama yöntemine güvenmek yerine çok katmanlı güvenlik modeli uygulanması daha doğru bir yaklaşımdır.
Örneğin sadece QR kod kullanan sistemde QR kod paylaşılabilir.
Sadece konum kullanan sistemde GPS manipülasyonu riski bulunabilir.
Sadece kullanıcı adı ve şifre kullanan sistemde kullanıcı bilgileri başka biriyle paylaşılabilir.
Ancak bu kontroller birlikte kullanıldığında saldırganın veya kötü niyetli kullanıcının aynı anda birden fazla güvenlik mekanizmasını aşması gerekir.
Bu nedenle güvenli bir mobil PDKS sisteminde ideal kontrol zinciri şu şekilde düşünülebilir:
Kullanıcı hesabı + kayıtlı cihaz + konum + QR kod + zaman doğrulaması
Her bir doğrulama katmanı diğerini destekler.
SoftPDKS Sahte Personel Girişlerini Nasıl Azaltır?
SoftPDKS, mobil personel giriş-çıkış süreçlerinde farklı doğrulama yöntemlerinin birlikte kullanılmasına olanak sağlayan bir PDKS çözümüdür.
Çalışanların gerçekleştirdiği giriş ve çıkış işlemlerinde konum doğrulama kullanılabilir. Böylece personelin tanımlanan iş yeri lokasyonuna belirlenen mesafe içerisinde olup olmadığı kontrol edilebilir.
Dinamik QR kod kullanıldığında QR kodlar belirli sürelerde yenilenerek eski QR kodların tekrar kullanılmasının önüne geçilebilir.
Kayıtlı cihaz kontrolü sayesinde ise çalışan hesabının farklı mobil cihazlardan kullanılmasının sınırlandırılması mümkündür.
Bu kontroller birlikte değerlendirildiğinde sahte personel girişlerini önlemeye yönelik daha güçlü bir güvenlik yapısı ortaya çıkar.
Güvenli Mobil PDKS İçin Katmanlı Doğrulama
Mobil PDKS sistemlerinde konum doğrulama, personelin gerçekten çalışma alanında bulunup bulunmadığını kontrol etmek açısından önemli bir teknolojidir.
Ancak sahte GPS uygulamaları ve konum manipülasyonu ihtimali nedeniyle yalnızca GPS koordinatına güvenmek yeterli değildir.
Güvenli bir PDKS çözümünde konum doğrulamanın dinamik QR kod, kayıtlı cihaz kontrolü, kullanıcı doğrulaması ve zaman kontrolleriyle birlikte kullanılması gerekir.
Bu sayede sistem yalnızca telefonun bildirdiği konuma değil, giriş işlemini oluşturan kullanıcının, cihazın, lokasyonun ve doğrulama bilgisinin birlikte tutarlı olup olmadığına bakabilir.
Sonuç olarak PDKS güvenliğinin temelinde tek bir güvenlik özelliği değil, birbirini tamamlayan doğrulama katmanları bulunur.
PDKS sürecinizi birlikte değerlendirelim.
İşletmenizin şube, vardiya ve puantaj yapısına göre uygun kurguyu konuşabiliriz.
