// SÖZLÜK

Koşullu Erişim (Conditional Access)

Kimlik doğrulandıktan sonra cihaz uyumu, konum, uygulama ve risk sinyallerine bakarak erişime izin veren, ek doğrulama isteyen ya da reddeden politika katmanıdır. Modern kimlik güvenliğinin en güçlü kontrollerinden biridir, ama gücü de zayıflığı da aynı yerde, kapsamında yatar: politika yalnızca değerlendirdiği istekleri yönetir; değerlendirmediği bir istemci, akış ya da protokol onu hiç devreye sokmadan ilerleyebilir. Saldırgan bu yüzden çoğu zaman politikayı kırmaya çalışmaz, politikanın görmediği patikayı arar. Tipik örnek, modern koşullu erişim denetimlerini atlayabilen eski kimlik doğrulama protokolleri ya da cihaz kodu akışı (device code flow) gibi beklenmedik giriş yüzeyleridir. Bu asimetri önemli bir sonucu zorunlu kılar: koşullu erişimin varlığı bir güvence değildir; sınanması gereken, politikanın tüm giriş yollarını kapsayıp kapsamadığı, yani kapsama bütünlüğüdür. Bu da bir yapılandırma listesi okunarak değil, kontrollü testle, gerçekten atlatılıp atlatılamadığı denenerek anlaşılır.