İki Faktörlü Doğrulama (2FA): Yöntemler, Riskler ve Kurulum

2FA’da iki kanıt neden aynı şey olmamalıdır?

Kimlik doğrulama faktörleri üç ana grupta açıklanır:

• Bildiğiniz bir şey: Parola, PIN veya yalnızca sizin bildiğiniz başka bir bilgi.
• Sahip olduğunuz bir şey: Telefon, doğrulama uygulamasının bulunduğu cihaz, fiziksel güvenlik anahtarı veya banka kartı gibi erişiminizde bulunan araç.
• Olduğunuz bir şey: Parmak izi, yüz tanıma, retina veya ses gibi biyometrik özellikler.

2FA’nın mantığı, bu gruplardan iki farklı kategori kullanmaktır. Örneğin parola ile SMS kodu iki farklı faktördür; parola ile güvenlik sorusunun cevabı ise çoğu durumda aynı kategoriye, yani bildiğiniz bilgilere dayanır. İki parola kullanılması da iki faktörlü doğrulama sayılmaz.

Bu ayrım karar verirken önemlidir: Parolanız sızdığında ikinci kanıtın da parola benzeri başka bir bilgi olması korumayı beklenen ölçüde artırmayabilir. Buna karşılık parola ile fiziksel anahtar veya parola ile cihazdaki biyometrik doğrulama farklı tehditlere karşı ayrı bir engel oluşturur. Ancak ikinci faktörün varlığı hesabı saldırılara karşı tamamen dokunulmaz yapmaz; kullanıcı kandırılırsa, cihaz ele geçirilirse veya kurtarma süreci zayıfsa risk devam eder.

Bir 2FA girişinde hangi adımlar gerçekleşir?

Tipik bir giriş süreci şu sırayla ilerler:

1. Kullanıcı hesap adını veya e-posta adresini girer.
2. Sistem ilk faktör olan parolayı ister ve doğrular.
3. Parola doğruysa sistem ikinci faktörün kullanılmasını talep eder.
4. Kullanıcı SMS ile gelen kodu, doğrulama uygulamasının ürettiği kodu, güvenlik anahtarını veya biyometrik doğrulamayı kullanır.
5. İki doğrulama da başarılı olursa oturum açılır.

Bu akışta ikinci adımın amacı parolanın doğruluğunu tekrar kontrol etmek değildir. Amaç, hesabı kullanmaya çalışan kişinin kayıtlı ikinci faktöre de erişebildiğine dair ek kanıt sunmasıdır. Örneğin parola başka bir veri ihlalinde açığa çıkmış olsa bile, saldırganın doğrudan giriş yapabilmesi için ikinci faktörle doğrulama sonucunu da elde etmesi veya atlatması gerekir; bunun için telefonun ya da anahtarın fiziksel olarak ele geçirilmesi şart değildir.

Bazı hizmetlerde güvenilir cihaz seçeneği bulunabilir. Kullanıcı, aynı cihazda tekrar tekrar kod girmemek için cihazı hatırlatabilir. Bu seçenek kolaylık sağlar; fakat ortak kullanılan veya başkasının erişebileceği cihazlarda tercih edilmesi hesabın korunma düzeyini azaltabilir. Bu nedenle güvenilir cihaz ayarı yalnızca gerçekten kişisel ve kilitli cihazlarda kullanılmalıdır.

SMS, uygulama kodu, biyometri ve güvenlik anahtarı nasıl karşılaştırılır?

SMS ile kod

SMS yöntemi kurulumu ve kullanımı kolaydır. Kullanıcının kayıtlı telefon numarasına tek kullanımlık bir kod gönderilir. Buna rağmen telefon numarasının ele geçirilmesi, SIM kartın kopyalanması veya telefon hattının kontrolünün başka birine geçmesi gibi riskler nedeniyle SMS, diğer seçeneklere göre daha zayıf kabul edilebilir. Daha güçlü bir yöntem bulunmuyorsa SMS kullanmak, yalnızca parola kullanmaktan daha fazla kontrol adımı ekler; fakat yüksek önem taşıyan hesaplarda tek seçenek olarak görülmemelidir.

Doğrulama uygulaması

Kod tabanlı doğrulama uygulamaları, genellikle TOTP gibi yöntemlerle belirli aralıklarla yeni kodlar üretir. Mevcut makalede bu aralıkların genellikle 30-60 saniye olduğu belirtilmektedir. Anlık bildirim kullanan uygulamalarda internet bağlantısı gerekebilir. Kodun üretilmesi için her zaman internet bağlantısı gerekmeyebilir. Bu özellik, SMS’in ulaşmadığı durumlarda yararlı olabilir. Ancak uygulamanın kurulu olduğu telefon kaybedilirse veya kurulum sırasında aktarım ve yedekleme yapılmazsa hesap kurtarma gerekebilir.

Donanım güvenlik anahtarı

USB veya NFC ile kullanılan fiziksel anahtarlar, kullanıcının yanında bulunması gereken ayrı bir cihazdır. Bu yöntem, fiziksel sahiplik koşulunu doğrudan kullanır ve kimlik avı sayfalarına karşı diğer yöntemlerden daha dayanıklı olabilir. Buna karşılık anahtarın kaybedilmesi durumunda yedek anahtar veya hizmetin sunduğu kurtarma yöntemi önceden hazır değilse erişim sorunu yaşanabilir.

Biyometrik doğrulama

Parmak izi ve yüz tanıma gibi yöntemler giriş işlemini kolaylaştırabilir. Biyometri, kullanıcının sahip olduğu fiziksel veya davranışsal özelliklerden yararlanır. Bununla birlikte biyometrik veri parola gibi kolayca değiştirilemez; bu yüzden cihazın güvenliği ve hizmetin biyometrik veriyi nasıl işlediği önemlidir. Biyometrik doğrulama çoğu zaman cihazın kilidini açma veya güvenlik anahtarını etkinleştirme adımı olarak çalışır; her platformdaki uygulaması aynı değildir.

2FA’yı etkinleştirirken kurtarma planı nasıl kurulur?

2FA’yı açmak yalnızca bir kod yöntemini seçmekten ibaret değildir. Telefon kaybı, numara değişikliği veya cihaz arızası gibi durumlar için şu sırayla hazırlık yapılabilir:

1. Hesabın önemini belirleyin. E-posta, bankacılık, bulut depolama ve sosyal medya hesapları; başka hesapların parola sıfırlamasında kullanılabildiği için öncelikli olmalıdır.
2. Parolanızı benzersiz tutun. 2FA, tekrar kullanılan veya zayıf parolayı güvenli hâle getirmez; ikinci katmandır.
3. Hizmetin sunduğu yöntemleri karşılaştırın. SMS, doğrulama uygulaması, güvenlik anahtarı ve biyometrik seçeneklerin risklerini ve erişilebilirliğini değerlendirin.
4. İkinci faktörü kaydedin. Uygulama kullanılıyorsa kurulum aktarımının nasıl yapılacağını, anahtar kullanılıyorsa yedek anahtar seçeneğini kontrol edin.
5. Kurtarma kodlarını oluşturun. Hizmet sunuyorsa tek kullanımlık kurtarma kodlarını güvenli ve çevrim dışı bir yerde saklayın. Bu kodları herkese açık bir notta veya hesabın parolasıyla birlikte korumasız bir dosyada tutmayın.
6. Kurtarmayı test edin. Hesaptan çıkış yapmadan, alternatif giriş veya kurtarma seçeneklerinin gerçekten çalıştığını ve hangi bilgilerin istendiğini kontrol edin.
7. Eski cihaz ve numaraları kaldırın. Telefon veya numara değiştiğinde eski doğrulama yöntemleri hesapta kayıtlı bırakılmamalıdır.

Kurtarma yöntemi, 2FA’nın arkasından açılmış gizli bir arka kapı gibi düşünülmemelidir. E-posta, güvenlik sorusu veya destek talebiyle yapılan kurtarma süreci zayıfsa saldırgan bu yolu hedefleyebilir. Bu nedenle kurtarma seçenekleri de en az ana giriş yöntemi kadar korunmalıdır.

Parola çalındığında 2FA tehdidi nasıl değiştirir?

2FA’nın sağladığı korumayı doğru anlamak için tehdit senaryosunu ayırmak gerekir. Saldırgan yalnızca parolayı biliyor, fakat ikinci faktöre erişemiyorsa hesapta oturum açması zorlaşır. Saldırgan aynı zamanda telefon numarasını, doğrulama uygulamasını veya güvenlik anahtarını da ele geçirirse ikinci katmanın koruması azalır.

Oltalama saldırılarında kullanıcı sahte bir giriş sayfasına yönlendirilip parolasını ve o anda gelen ikinci kodu paylaşmaya ikna edilebilir. Bu nedenle doğrulama kodu kısa süre geçerli veya tek kullanımlık olsa da gizli tutulmalıdır; güvenliği yönteme göre değişir ve kod tabanlı yöntemler oltalamaya karşı tamamen dayanıklı değildir. Bir hizmet görevlisi gibi davranan kişi kod isterse bu istek, hesabın ele geçirilmeye çalışıldığını gösterebilir.

Zararlı yazılım bulaşmış bir cihaz da ayrı bir risktir. Kötü amaçlı yazılım, giriş bilgilerini veya açık oturumları hedefleyebilir. 2FA bu riski azaltmaya yardımcı olabilir, fakat cihazın kendisi kontrol altındaysa yalnızca ikinci faktöre güvenmek yeterli değildir. Hesap güvenliği; benzersiz parola, güncel cihaz, dikkatli bağlantı kontrolü ve 2FA’nın birlikte kullanılmasına dayanır.

Çözümlü örnek: SMS’ten doğrulama uygulamasına geçiş

Verilenler:

• Bir kullanıcı e-posta hesabında yalnızca parola ve SMS tabanlı 2FA kullanıyor.
• Telefon numarasının SIM kart kopyalama gibi risklere açık olabileceğini düşünüyor.
• Hizmet, doğrulama uygulaması ve kurtarma kodları seçeneklerini sunuyor.

Çözüm adımları:

1. Kullanıcı önce mevcut hesabın güvenlik ayarlarına girer ve 2FA bölümünü açar.
2. Doğrulama uygulaması seçeneğini belirler; hizmetin gösterdiği kurulum bilgisiyle uygulamayı hesaba bağlar.
3. Uygulamanın ürettiği güncel kodu hizmetteki doğrulama alanına girer. Kodlar genellikle 30-60 saniyelik aralıklarla değişebildiği için ekrandaki geçerli kod kullanılmalıdır.
4. Hizmet kurtarma kodları oluşturuyorsa bunları güvenli bir yere kaydeder. Kodların her biri tek kullanımlık olabileceğinden listeyi kaybetmemelidir.
5. Kullanıcı, uygulama doğrulamasının çalıştığını kontrol ettikten sonra SMS yöntemini kaldırıp kaldırmayacağına karar verir. Daha güçlü seçeneğe geçiş tamamlanmadan eski yöntemi silmek hesabı kilitleyebilir.
6. Telefon kaybı senaryosunu düşünerek kurtarma kodlarının ve varsa yedek cihazın erişilebilir olduğundan emin olur.

Sonuç: Kullanıcı, SMS’e bağımlı olmayan bir ikinci doğrulama seçeneğine geçmiştir. Ancak bu geçiş, telefonun ve doğrulama uygulamasının korunmasını; ayrıca kurtarma kodlarının kaybedilmemesini gerektirir. Yalnızca yöntemi değiştirmek, kurtarma planı oluşturulmadığında yeni bir erişim riski doğurabilir.

Sık yapılan hatalar ve karıştırılan kavramlar

• İki parola kullanmayı 2FA sanmak: İki giriş bilgisinin de 'bildiğiniz bir şey' kategorisinde olması, farklı iki faktör kullanıldığı anlamına gelmez.
• SMS kodunu herkese iletmek: Kodun kısa süre geçerli veya tek kullanımlık olması, onu paylaşılabilir yapmaz. Gerçek destek ekipleri adına gelen taleplerde bile kod başka biriyle paylaşılmamalıdır.
• Kurtarma kodlarını ekran görüntüsü olarak herkese açık yerde tutmak: Kodlar hesaba erişim sağlayabildiği için parola kadar dikkatli korunmalıdır.
• Telefon kaybı planı yapmamak: Telefon, SMS veya doğrulama uygulaması için kritikse yedek yöntem oluşturulmadan 2FA etkinleştirmek erişim sorununa yol açabilir.
• 2FA’yı hesap güvenliğinin tamamı sanmak: 2FA, parola çalındığında yetkisiz hesap erişimi riskini azaltan ek bir katmandır; parola hırsızlığını önlemek için ayrıca güvenli parola kullanımı ve oltalama farkındalığı gerekir. Oltalama, zararlı yazılım, açık oturum ve güvensiz cihaz risklerini ortadan kaldırmaz.
• Çok faktörlü doğrulama ile 2FA’yı eş anlamlı kullanmak: 2FA tam olarak iki faktör ister. Çok faktörlü doğrulama genel bir ifadedir; ikiden fazla faktör içeren yapılandırmaları da kapsayabilir.
• Biyometriyi her koşulda ayrı ve bağımsız bir faktör saymak: Biyometrinin sistemde nasıl kullanıldığı önemlidir. Bazı hizmetlerde biyometri doğrudan sunucuya gönderilmek yerine cihazın kilidini açarak başka bir kimlik doğrulama aracını etkinleştirir.
• Güvenilir cihazı ortak bilgisayarda etkinleştirmek: Bu ayar ikinci adımı azaltabileceği için paylaşılan veya başkasının erişebileceği cihazlarda kullanılmamalıdır.