İki Adımlı Doğrulama (2FA) Nedir? Hesaplarınızı Nasıl Korur?
Parolalar sızar. Veri ihlallerinde ortaya çıkar, tahmin edilir, oltalama (phishing) ile çalınır ya da birden fazla sitede kullanıldığı için bir sızıntı, zincirleme olarak onlarca hesabı tehlikeye atar. İki adımlı doğrulama (2FA), çalınan bir parolanın başkası için işe yaramasını önlemek adına atabileceğiniz en etkili tek adımdır.
2FA Tam Olarak Ne Yapar?
İki adımlı doğrulama, hesaba girmeden önce iki farklı tür kanıt ister: bildiğiniz bir şey (parolanız) ve sahip olduğunuz bir şey (telefonunuz, bir güvenlik anahtarı) veya sizi tanımlayan bir şey (parmak iziniz). Bir saldırgan parolanızı öğrense bile, bu ikinci kanıt olmadan içeri giremez.
Bu, güvenlik sorusuyla aynı şey değildir. Güvenlik sorusu da aslında "bildiğiniz bir şey" kategorisindedir, yani gerçek bir koruma eklemez; parolanızı tahmin edebilen biri genellikle "annenizin kızlık soyadı" gibi soruları da bulabilir. Gerçek bir ikinci faktör, ayrı bir cihazda veya ayrı bir uygulamada yaşar.
En Yaygın Türler, Zayıftan Güçlüye
- SMS kodu: Tek kullanımlık kodun mesajla gelmesi. Hiç yoktan iyidir, ama "SIM takası" (SIM swap) saldırılarına karşı zayıftır; saldırgan operatörü ikna ederek numaranızı kendi cihazına taşıtabilir.
- Doğrulayıcı uygulamalar: Google Authenticator veya benzeri uygulamalar, kuruluşta paylaşılan gizli bir anahtara dayanarak her 30 saniyede yeni bir altı haneli kod üretir. Operatör ya da sinyal devreye girmediği için araya girmek çok daha zordur.
- Anlık bildirim (push): Hizmet, telefonunuzdaki uygulamaya "Bu siz misiniz?" sorusu gönderir, siz de onaylar ya da reddedersiniz. Pratiktir, ama "MFA yorgunluğu" saldırılarına dikkat edin: biri art arda onay isteği göndererek yanlışlıkla veya can sıkıntısıyla onaylamanızı umabilir.
- Donanım güvenlik anahtarı: Takıp kullandığınız küçük fiziksel cihazlar (YubiKey gibi). Şu an en güçlü seçenektir, çünkü anahtar, bir saldırganın oltalayabileceği veya tekrar oynatabileceği hiçbir şey iletmez.
Çoğu kullanıcı için doğrulayıcı uygulama en iyi dengeyi sunar: SMS'ten çok daha güçlüdür ve ek bir donanım almanıza gerek kalmaz.
Önce Hangi Hesaplarda Açmalısınız?
Her şeyi aynı anda açmak zorunda değilsiniz. Ele geçirilmesi en çok zarar verecek hesaplara öncelik verin:
- Ana e-posta adresiniz — genellikle diğer tüm hesapların parola sıfırlama kapısıdır.
- Kullanıyorsanız parola yöneticiniz.
- Bankacılık ve finansal hesaplar.
- Kimliğinizle ilişkili hesaplar: sosyal medya, bulut depolama, iş hesapları.
Çoğu büyük hizmette hesap ayarlarında "Güvenlik" veya "İki Adımlı Doğrulama" bölümü bulunur. Kurulum genellikle aynıdır: doğrulayıcı uygulamayla bir QR kod taratırsınız, uygulamanın ürettiği altı haneli kodu girerek onaylarsınız ve hizmetin verdiği yedek kurtarma kodlarını güvenli bir yerde saklarsınız — bir parola yöneticisinde ya da yazdırıp çevrimdışı bir yerde. Doğrulayıcı uygulamanın bulunduğu cihazı kaybederseniz, bu kurtarma kodları can simidiniz olur.
İkinci Faktör, İyi Bir Parolanın Yerini Tutmaz
2FA ek bir katmandır, ilk katmanın (parolanın) yerine geçmez. Zayıf veya tekrar kullanılan bir parola hâlâ kolay bir hedeftir; ayrıca oturum çalma gibi bazı saldırılar, parolanız başka bir yerden ele geçmişse 2FA'yı tamamen atlayabilir. İkisi birlikte en iyi sonucu verir: her site için uzun ve benzersiz bir parola, artı önemli hesaplarda ikinci bir faktör.
Hâlâ akılda tutabildiğiniz parolalar kullanıyorsanız — bu genellikle kısa veya tekrar eden parolalar demektir — tarayıcınızda çalışan Şifre Üretici aracımızla, sunucuya hiçbir şey göndermeden uzun ve rastgele parolalar oluşturabilirsiniz. Böyle bir parolayı önemli hesaplarınızda iki adımlı doğrulamayla birleştirdiğinizde, sızan bir parola artık içeri girmek için yeterli olmaz.