İki adımlı doğrulama türleri: SMS, uygulama, donanım anahtarı; hangisi ne kadar güvenli?

İki adımlı doğrulama (2FA), bir hesaba girerken şifrenin yanında ikinci bir kanıt istenmesidir. Şifre "bildiğiniz bir şey" ise, ikinci adım genellikle "sahip olduğunuz bir şey"dir: telefonunuz, bir uygulama ya da fiziksel bir anahtar.

Bu ikinci adım, şifreniz çalınsa ya da sızsa bile saldırganın hesaba girmesini engeller. Microsoft ve Google'ın yayımladığı veriler, iki adımlı doğrulamanın otomatik hesap ele geçirme saldırılarının çok büyük bölümünü durdurduğunu gösteriyor.

Ama yöntemler arasında ciddi farklar var.

1. SMS ile kod

Giriş yaparken telefonunuza kısa mesajla altı haneli bir kod gelir.

Artısı: Kurulum gerektirmez; herkesin telefonu SMS alır.

Eksileri:

• SIM kart değiştirme (SIM swap): Saldırgan operatörü kandırarak numaranızı kendi SIM kartına taşıtabilir. O andan itibaren kodlar ona gider.
• Oltalamaya açıktır: Sahte bir giriş sayfası şifrenizi ve ardından gelen SMS kodunu da isteyebilir. Saldırgan bu kodu anında gerçek sitede kullanır.
• Yurt dışındayken ya da kapsama alanı dışındayken kod gelmeyebilir.

Sonuç: Hiç 2FA olmamasından çok daha iyidir. Ama önemli hesaplarda daha güçlü bir yönteme geçmeye çalışın.

2. Doğrulama uygulaması (TOTP)

Google Authenticator, Microsoft Authenticator, Aegis, 2FAS ya da parola yöneticinizin kendi özelliği gibi uygulamalar, her 30 saniyede değişen altı haneli kodlar üretir.

Nasıl çalışır: Kurulum sırasında site ile uygulamanız bir gizli anahtarı paylaşır (taradığınız QR kod bu anahtarı taşır). Ardından her iki taraf da bu anahtardan ve o anki saatten aynı kodu hesaplar. Bu yöntemin adı TOTP'dir (Time-based One-Time Password). İnternet bağlantısı gerektirmez.

Artıları: SIM değiştirme saldırısından etkilenmez. Ücretsizdir ve hemen hemen her serviste desteklenir.

Eksileri: Oltalamaya karşı SMS gibi zayıftır; sahte bir site bu kodu da isteyip anında kullanabilir. Telefonu kaybettiğinizde, yedeğiniz yoksa bütün kodları da kaybedersiniz.

İpucu: Bulut yedeği ya da cihazlar arası senkronizasyon sunan bir uygulama seçin ya da kurulum sırasında gösterilen QR kodu ve kurtarma kodlarını güvenli bir yerde saklayın.

3. Bildirimle onay (push)

Telefonunuza "Giriş yapmaya mı çalışıyorsunuz?" bildirimi gelir, siz de "Evet" dersiniz.

Artısı: Çok kullanışlıdır.

Eksisi: Bildirim yorgunluğu (MFA fatigue) saldırısına açıktır. Saldırgan şifrenizi bildiği için arka arkaya onlarca bildirim gönderir. Kullanıcı da sonunda yanlışlıkla ya da bıkkınlıkla "Evet" der. Bu yöntem bazı büyük şirket ihlallerinde kullanıldı.

Bu yüzden modern uygulamalar numara eşleştirme kullanıyor: Giriş ekranında bir sayı gösteriliyor ve telefonda bu sayıyı seçmeniz isteniyor. Böylece giriş yapmayan biri yanlışlıkla onay veremiyor.

Kural: Siz giriş yapmıyorken gelen bir onay bildirimini asla onaylamayın. Böyle bir bildirim, şifrenizin başkasının elinde olduğu anlamına gelir. Hemen şifrenizi değiştirin.

4. Donanım güvenlik anahtarı ve passkey

YubiKey, Google Titan gibi USB ya da NFC anahtarları ve telefonunuzda ya da parola yöneticinizde saklanan passkey'ler aynı standardı kullanır: FIDO2 / WebAuthn.

Nasıl çalışır: Anahtar her site için ayrı bir kriptografik anahtar çifti üretir. Giriş yaparken site bir "meydan okuma" gönderir, anahtar da onu imzalar. İmza, sitenin gerçek alan adına bağlıdır.

En büyük artısı: Oltalamaya karşı dayanıklıdır. g00gle-giris.com adresindeki sahte bir sayfa, Google için kayıtlı anahtarınızdan geçerli bir imza alamaz. Kod girilmediği için çalınacak bir kod da yoktur.

Eksileri: Donanım anahtarları ücretlidir ve kaybolabilir. Bu yüzden en az iki anahtar kaydetmeniz ve birini güvenli bir yerde saklamanız önerilir. Passkey'lerde ise bu sorun büyük ölçüde parola yöneticisinin ya da işletim sisteminin senkronizasyonuyla çözülür.

Kısa karşılaştırma

Yöntem               SIM değiştirme   Oltalama    Kullanım kolaylığı
SMS                  Zayıf            Zayıf       Çok kolay
TOTP uygulaması      Güçlü            Zayıf       Kolay
Push (eşleştirmeli)  Güçlü            Orta        Çok kolay
Donanım / passkey    Güçlü            Güçlü       Kolay

Kurtarma planı: En çok ihmal edilen kısım

İki adımlı doğrulamanın en büyük riski, saldırgandan çok kendinizi kilitlemektir. Telefonunuz kaybolduğunda, bozulduğunda ya da numaranız değiştiğinde hesaplarınıza nasıl gireceksiniz?

• 2FA'yı açarken verilen kurtarma kodlarını indirin ve güvenli bir yerde saklayın: parola yöneticisinde ya da yazdırılmış hâlde çekmecede.
• Mümkünse birden fazla yöntem tanımlayın: örneğin bir passkey ve bir TOTP uygulaması.
• Telefon değiştirmeden önce doğrulama uygulamanızdaki hesapları yeni telefona taşıyın. Eski telefonu sıfırlamadan önce yenisinin çalıştığını kontrol edin.

Nereden başlamalı?

Önce e-posta hesabınızda açın. Diğer bütün hesapların şifre sıfırlama bağlantıları oraya gelir. Sonra sırasıyla bankacılık, parola yöneticisi, iş hesapları, hosting ve alan adı panelleri ile sosyal medya. Hangi yöntemi kullanacağınıza gelince: Destekleniyorsa passkey ya da donanım anahtarı, desteklenmiyorsa doğrulama uygulaması, o da yoksa SMS. Önemli olan hiç açmamak yerine bugün açmaktır.