İki Adımlı Doğrulama: Hangi Yöntem Güvenli, Nereden Açılır?
İki adımlı doğrulama, hesabınıza giriş için iki ayrı kanıt ister: parolanız ve telefonunuzdaki tek kullanımlık kod. Parolanız çalınsa bile hesaba girilmesi bu ikinci adım sayesinde engellenir. Güvenlik gücü, seçtiğiniz yönteme göre büyük fark gösterir. Bu yazıda yöntemleri güvenliğe göre sıralıyor, nereden açılacağını ve hangi hataların yapıldığını anlatıyorum.
Doğrulama nedir
Güvenlikte üç temel faktör vardır ve iyi bir sistem bunların ikisini birlikte ister.
| Faktör | Örnek |
|---|---|
| Bildiğiniz bir şey | Parola, PIN, güvenlik sorusu |
| Sahip olduğunuz bir şey | Telefon, donanım anahtarı, kart |
| Olduğunuz bir şey | Parmak izi, yüz tanıma, göz bebeği |
Parola tek başına zayıftır. Sızan parola listeleri büyük olduğu için çoğu hesap bilinçli denemelerle ele geçirilebilir. İkinci adım bu kırılma noktasını kapatır.
Yöntemler ve güvenlik sıralaması
| Yöntem | Güvenlik | Nasıl çalışır |
|---|---|---|
| Donanım anahtarı (FIDO2) | En güçlü | USB veya NFC anahtarı; parola bile çalınsa işe yaramaz |
| Uygulama kodu (TOTP) | Güçlü | Telefonda 30 saniyede bir değişen 6 haneli kod |
| Yedek kodlar | Güçlü ama sınırlı | Tek kullanımlık kod listesi |
| Onay bildirimi | Orta | Telefona bildirim gider, onaylarsınız |
| SMS | En zayıf | Telefona mesajla kod gelir |
SMS neden zayıftır? Mesajlar operatör üzerinden taşınır ve SIM kart kopyalama, çağrı yönlendirme veya sosyal mühendislikle ele geçirilebilir. Yine de hiç doğrulama kullanmamaktan çok daha iyidir.
Uygulama kodu, SMS’den belirgin biçimde güçlüdür. İnternete bağlı değildir, üretilen kod tahmin edilemez ve 30 saniyede bir geçersiz olur.
Hangi yöntemi seçmeli
| Durumunuz | Önerilen yöntem |
|---|---|
| Hesap kritik (e-posta, banka) | Donanım anahtarı veya uygulama kodu |
| Yalnızca telefonunuz var | Uygulama kodu |
| Telefonunuz sürekli yanınızda değil | Donanım anahtarı en pratiği |
| İlk adım olarak açıyorsanız | Uygulama kodu ile başlayın |
| Kurumsal hesaplarda | Kurumun belirlediği yöntem |
En iyi uygulama iki yöntemi birlikte kullanmaktır: birincil olarak donanım anahtarı, yedek olarak uygulama kodu. Böylece anahtarı kaybettiğinizde hesabınıza girilemez.
Nereden açılır
| Hesap | Yer |
|---|---|
| e-Devlet | Profil ayarları — güvenlik bölümü |
| e-posta | Hesap güvenliği ayarları |
| Banka | İnternet bankacılığı güvenlik ayarları |
| Sosyal medya | Güvenlik ve oturum yönetimi |
| WordPress | Kullanıcı profilinden uygulama doğrulama eklenebilir |
Öncelik e-posta olmalıdır. E-posta hesabı ele geçirilirse diğer tüm hesapların kurtarılması zorlaşır; çünkü parola sıfırlama bağlantıları oraya gider.
Adım adım açma
- Hesabın güvenlik ayarlarına girin
- İki adımlı doğrulamayı etkinleştirin
- Yöntemi seçin: uygulama, SMS veya anahtar
- Uygulamanın gösterdiği kodu girin ile doğrulayın
- Yedek kodları indirin ve güvenli bir yerde saklayın
- Doğrulama tamamlandığını test edin
|
|
li>Uygulamayı seçtiyseniz QR kodu okutun
|
|
|
Yedek kodları indirmeyi atlamak en yaygın hatadır. Telefonu kaybettiğinizde veya uygulamayı silerseniz hesabınıza giremezsiniz. Yedek kodlar bu durumda tek çıkış yolunuzdur.
Sık yapılan 7 hata
- SMS’i tek yöntem olarak seçmek
- Yedek kodları saklamamak
- Telefon numarasını değiştirdikten sonra güncellememek
- Tüm hesaplarda aynı parolayı kullanmak
- 2FA’yı açıp unutmak
- Sahte 2FA uyarılarına güvenmek
- Yedek kodları telefonda fotoğraf olarak saklamak
|
|
|
|
|
En tehlikeli hata sahte uyarılara güvenmektir. Dolandırıcılar sizin hesabınızda bir giriş denemesi yapıldığını iddia ederek onay isteyen mesajlar gönderebilir. Böyle bir isteği asla onaylamayın; doğrudan hesabınıza girip güvenlik kayıtlarını kontrol edin.
Telefon kaybolursa
| Sıra | Ne yapılır |
|---|---|
| 1 | Yedek kodu ile girin |
| 2 | Yedek kodunuz yoksa kurtarma kodunu kullanın |
| 3 | O da yoksa destek hattından kimlik doğrulaması isteyin |
| 4 | Hesabı kilitleyin ve yöntemi değiştirin |
Sıralama önemlidir. Destek hattını aramadan önce yedek kodu denemek gerekir; aksi hâlde destek talebiniz sonuçsuz kalabilir.
Parola yöneticisiyle birlikte kullanım
- Uzun ve benzersiz parolalar üretin
- Parolaları tek yerde saklayın
- Kullanılabilir bir ana parola ile kilitleyin
- Karma şifre üretim özelliğini kullanın
- 2FA’yı da parola yöneticisine not olarak ekleyebilirsiniz
- Tüm hesaplarda aynı parolayı yeniden kullanmayın
|
|
Parola yöneticisi kullanıyorsanız her hesap için uzun ve benzersiz parola üretmek kolaylaşır. Bu, 2FA’dan daha önce gelen bir katmandır: parolanız ele geçse bile diğer hesaplarınız korunur.
Kontrol listesi
| Adım | Yapıldı mı |
|---|---|
| E-posta hesabında 2FA açıldı | ☐ |
| En kritik 3 hesap korundu | ☐ |
| Yedek kodlar indirildi | ☐ |
| Yedek kodlar fiziksel olarak saklandı | ☐ |
| Parola yöneticisi kullanılıyor | ☐ |
| Sahte uyarılara güvenilmiyor | ☐ |
Kısaca
İki adımlı doğrulama, hesaba giriş için parolanın yanı sıra ikinci bir kanıt ister; böylece parola ele geçirilse bile hesaba girilmesi engellenir. Yöntemler güvenlik açısından belirgin biçimde farklıdır: donanım anahtarı en güçlüsü, uygulama üzerinden alınan zaman kodu güçlü ve pratik, SMS ise operatör ağından taşındığı için en zayıfıdır. İki adımlı doğrulama öncelikle e-posta hesabında açılmalı, ardından banka ve sosyal medya gibi kritik hesaplara uygulanmalıdır. Açılırken alınan yedek kodlar indirilmeli ve hesabın kaybı hâlinde tek çıkış yolu olduğu unutulmamalıdır. Dolandırıcıların gönderdiği sahte giriş denemesi uyarılarına asla onay verilmemeli, güvenlik durumu doğrudan hesap içinden kontrol edilmelidir.
Yorum gönder