İki faktörlü kimlik doğrulama (2FA) nedir ve nasıl kurulur?

Kısa yanıt

İki faktörlü kimlik doğrulama (2FA), hesaba girişte şifreye telefonunuzdaki bir kod, bildirim onayı veya fiziksel anahtar gibi ikinci, bağımsız bir kanıt isteyen güvenlik katmanıdır. Şifre sızsa veya tahmin edilse bile saldırgan bu ikinci kanıta erişemediği için hesap büyük ölçüde korunmuş kalır.

Peki, iki faktörlü kimlik doğrulama nedir ve nasıl çalışır?

Güvenlik dünyasında bir kimliği doğrulamanın üç klasik yolu vardır: bildiğiniz bir şey, sahip olduğunuz bir şey ve sizin bir parçanız olan bir şey. Şifre, bildiğiniz bir şey kategorisine girer ve tek başına kullanıldığında saldırganın tek yapması gereken onu öğrenmek veya tahmin etmektir. İki faktörlü kimlik doğrulama devreye girdiğinde sisteme ikinci bir kategoriden kanıt eklenir; genellikle sahip olduğunuz bir şey, yani telefonunuz, bir donanım anahtarı veya kayıtlı bir uygulamadır.

Giriş anında kullanıcı adı ve şifre doğrulandıktan sonra sistem ikinci bir doğrulama ister. Bu istek, telefonunuza gelen tek kullanımlık bir SMS kodu, bir doğrulama uygulamasının ürettiği altı haneli bir sayı veya USB girişine takılan bir güvenlik anahtarının onayı olabilir. İki adım da başarıyla tamamlanmadan oturum açılmaz; bu da saldırganın yalnızca şifreyi bilmesinin artık yeterli olmadığı anlamına gelir.

Neden sadece şifre güvenliği yetersiz kalıyor?

Kullanıcıların çoğu, hatırlaması kolay olsun diye kısa ve tahmin edilebilir şifreler seçer, aynı şifreyi onlarca farklı hesapta tekrar kullanır. Bir platformda yaşanan veri ihlali, saldırganların eline milyonlarca kullanıcı adı ve şifre çiftini içeren bir liste geçirdiğinde, bu liste credential stuffing denilen yöntemle bankalarda, kurumsal e-posta hesaplarında ve web sitesi yönetim panellerinde otomatik olarak denenir. Şifresini başka bir yerde de kullanan her kullanıcı, kendi hesabını bilmeden riske atmış olur.

Oltalama (phishing) saldırıları da benzer bir açığı hedefler. Sahte bir giriş sayfasına yönlendirilen bir çalışan, şifresini kendi elleriyle saldırgana teslim edebilir; bu noktada hesabı koruyan tek şey, şifrenin kendisi değil, saldırganın erişemediği ikinci bir doğrulama katmanıdır. WordPress tabanlı sitelerde yönetici paneli ele geçirilen vakaların büyük kısmı, zayıf veya tekrar kullanılan bir şifreyle başlar; bu konuyu kurtarma sürecine kadar ayrıntılı ele aldığımız WordPress sitesi hacklendi mi rehberimizde daha geniş inceleyebilirsiniz.

Hangi doğrulama yöntemleri kullanılır?

Piyasada kullanılan yöntemler güvenlik seviyesi açısından birbirinden ciddi şekilde ayrılır. SMS ile gönderilen tek kullanımlık kod en yaygın ve kurulumu en basit seçenektir, ancak operatör hattının SIM takas dolandırıcılığıyla başka bir cihaza taşınması riskine açıktır. Google Authenticator veya Microsoft Authenticator gibi bir doğrulama uygulaması, telefonun kendi içinde saniyeler içinde yenilenen bir kod üretir ve bu kod hiçbir ağ üzerinden iletilmediği için SIM takas riskini ortadan kaldırır.

Donanım güvenlik anahtarları ise fiziksel bir USB veya NFC cihazı gerektirir ve kriptografik olarak alan adına bağlıdır; bu sayede sahte bir giriş sayfası, anahtarın onayını hiçbir şekilde taklit edemez. Push bildirimi tabanlı yöntemler de benzer bir güvenlik düzeyi sunar: kullanıcı, telefonuna gelen “bu girişi siz mi yaptınız” bildirimine tek dokunuşla onay verir.

Yöntem	Güvenlik seviyesi	Ana risk
SMS kodu	Orta-düşük	SIM takas dolandırıcılığı
Doğrulama uygulaması (TOTP)	Yüksek	Telefon kaybı, yedek kod eksikliği
Push bildirimi	Yüksek	Dikkatsiz onay (bildirim yorgunluğu)
Donanım güvenlik anahtarı	En yüksek	Anahtarın fiziksel kaybı

SMS tabanlı doğrulama neden en zayıf halka sayılır?

SIM takas dolandırıcılığında saldırgan, kurbanın telefon numarasını operatöre sahte kimlik veya sosyal mühendislikle kendi SIM kartına taşıtır. Bu işlem başarılı olduğunda kurbanın telefon numarasına gelen tüm SMS kodları doğrudan saldırganın elindeki cihaza ulaşır; kurbanın bundan haberi bile olmayabilir. Bu yüzden yüksek değerli hesaplarda (e-posta, finans, yönetici paneli) SMS yerine bir doğrulama uygulaması veya donanım anahtarı kullanmak ciddi bir fark yaratır.

Doğrulama uygulamaları ile donanım anahtarları arasındaki fark nedir?

Doğrulama uygulamaları, TOTP (zaman tabanlı tek kullanımlık şifre) standardına göre çalışır: hesap kaydı sırasında paylaşılan gizli bir anahtardan, telefonunuzdaki saat ile senkron şekilde her otuz saniyede yeni bir kod türetilir. Kod hiçbir ağ üzerinden gönderilmediği için SMS’i hedef alan saldırı yöntemleri burada işe yaramaz; tek risk, telefonun kaybolması veya uygulamanın yedeklenmeden sıfırlanmasıdır.

Donanım anahtarları bu riski de büyük ölçüde azaltır, çünkü anahtar fiziksel olarak elinizde olmadan hiçbir doğrulama mümkün değildir ve anahtar belirli bir alan adına kriptografik olarak bağlıdır. Bu bağ sayesinde, bir çalışan sahte bir giriş sayfasına tıklasa dahi anahtar o sahte adres için onay vermeyi reddeder; bu özellik, geçiş anahtarı (passkey) teknolojisinin de temelini oluşturur. Passkey ile 2FA arasındaki mimari farkı geçiş anahtarı rehberimizde daha ayrıntılı bulabilirsiniz.

İşletmeler 2FA’yı öncelikle nerede devreye almalı?

Bir işletmenin bütün hesaplarını aynı anda dönüştürmesi gerekmez; öncelik sırası, bir hesabın ele geçirilmesi durumunda yaratacağı zarara göre belirlenmelidir. E-posta hesabı bu sıralamanın başında gelir, çünkü şifre sıfırlama bağlantılarının çoğu e-postaya gider ve e-posta ele geçirilince diğer hesaplara zincirleme erişim mümkün hâle gelir. Web sitesi veya CMS yönetici paneli de aynı önceliğe sahiptir; bir saldırgan panele girdiğinde içerik, müşteri verisi ve sunucu kaynakları doğrudan tehlikeye girer.

Bulut depolama, muhasebe yazılımı ve ödeme/finans araçları da bu ilk dalgada yer almalıdır, çünkü bu sistemlerdeki bir ihlal doğrudan maddi kayba dönüşebilir. Kurumsal projelerde bu önceliklendirmeyi doğru kurgulamak ve mevcut yazılım altyapısına uygun bir kimlik doğrulama katmanı eklemek için özel yazılım geliştirme hizmetimiz kapsamında güvenlik mimarisini projenize göre tasarlıyoruz.

2FA adım adım nasıl etkinleştirilir?

Bir hesapta 2FA’yı açmak genellikle beş dakikadan kısa sürer ve çoğu platformda aynı akışı izler. Önce hesabın güvenlik ayarları bölümüne girilir ve “iki aşamalı doğrulama” veya “2FA” seçeneği bulunur. Ardından bir doğrulama uygulaması (TOTP) seçilirse ekrana bir QR kod gelir; bu kod telefondaki uygulamayla taratıldığında hesap ile uygulama arasında kalıcı bir eşleşme kurulur. Kurulumun hemen ardından sunulan yedek kurtarma kodları, telefonun kaybolması ihtimaline karşı ayrı ve güvenli bir yerde (örneğin şifrelenmiş bir not veya kasa) saklanmalıdır. Son olarak, bir kere deneme girişi yapılarak sistemin gerçekten çalıştığı doğrulanır ve mümkünse SMS, yedek yöntem olarak değil, yalnızca son çare olarak bırakılır.

Sık yapılan hatalar

En yaygın hata, kurulum sırasında verilen yedek kurtarma kodlarını kaydetmeden geçmektir; telefon kaybolduğunda bu kodlar olmadan hesaba erişmek günler sürebilen bir destek sürecine dönüşür. Birden fazla kişinin aynı hesabı paylaştığı küçük işletmelerde, doğrulama kodunun tek bir kişinin telefonuna bağlanması da operasyonel bir soruna yol açabilir; bu durumda ekip içinde erişimi paylaşan bir donanım anahtarı veya uygulama ayarı daha pratiktir. Son olarak, yalnızca en kritik bir veya iki hesapta 2FA açıp e-posta gibi zincirleme erişim sağlayan hesapları atlamak, güvenliği görünüşte sağlamış ama fiilen eksik bırakmış olur.

Sonraki adım

İki faktörlü kimlik doğrulama, tek başına mükemmel bir savunma değildir, ama şifreye dayalı saldırıların büyük çoğunluğunu etkisiz hâle getiren, kurulumu ucuz ve hızlı bir güvenlik katmanıdır. Önceliği e-posta, yönetici paneli ve finans araçlarına vererek başlamak, sınırlı zamanla en büyük riski kapatmanın en pratik yoludur. Web sitenizin veya kurumsal yazılımınızın kimlik doğrulama mimarisini uçtan uca güvenli kurmak isterseniz grup şirketimiz Web Tasarım Ofisi, yönetici paneli ve müşteri girişi güvenliği konusunda teknik destek sağlıyor.

Projelerinizde 2FA, oturum yönetimi ve genel erişim güvenliğini baştan doğru kurmak için özel yazılım hizmetimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz.

Kaynaklar

• Microsoft Security, What Is Multifactor Authentication (MFA)?, çok faktörlü kimlik doğrulamanın tanımı, çalışma mantığı ve 2FA ile farkını anlatan resmî kaynak