İki Faktörlü Doğrulama (2FA) Nedir, Nasıl Açılır?

2FA nedir, nasıl çalışır?

Bir hesaba girerken kim olduğunuzu kanıtlamanın üç temel yolu vardır. Bunlara "faktör" denir:

• Bildiğiniz bir şey: şifre, PIN, güvenlik sorusunun cevabı.
• Sahip olduğunuz bir şey: telefonunuz, telefondaki authenticator uygulaması, USB veya NFC güvenlik anahtarı.
• Olduğunuz bir şey: parmak izi, yüz tanıma gibi biyometrik özellikler.

İki faktörlü doğrulamada bu gruplardan ikisi birlikte istenir. En yaygın biçimi şudur: önce kullanıcı adınızı ve şifrenizi girersiniz, ardından hesap sizden telefonunuzdaki bir kodu ya da bir onayı ister. İkisi de doğruysa giriş tamamlanır.

Önemli nokta, iki kanıtın farklı türden olmasıdır. İki ayrı şifre sormak 2FA değildir; ikisi de "bildiğiniz bir şey" olduğu için aynı yöntemle çalınabilir.

2FA, MFA ve iki adımlı doğrulama farkı

Bu terimler çoğu zaman birbirinin yerine kullanılır. MFA (çok faktörlü kimlik doğrulama), NIST'in tanımıyla iki veya daha fazla farklı faktörün birlikte kullanıldığı doğrulamadır. 2FA bunun iki faktörlü, en yaygın biçimidir. İki adımlı doğrulama ise Google ve WhatsApp gibi hizmetlerin özelliğe verdiği addır; "çift faktörlü doğrulama" da aynı anlamda kullanılır. Kullanıcı açısından hepsinin amacı aynıdır: şifreye ek bir kanıt istemek.

2FA'nın amacı nedir, sizi neye karşı korur?

Şifreler pek çok yoldan ele geçirilebilir: bir sitenin veri sızıntısı, sahte giriş sayfaları, cihazdaki zararlı yazılım ya da başka sitede kullandığınız şifrenin denenmesi. Bu yöntemlerin ayrıntısını şifre kırma ve şifre saldırıları yazısında anlattık.

2FA açıkken şifrenizi bilen biri, ikinci faktöre de sahip olmadıkça hesabınıza giremez. Kodlar genellikle kısa süre geçerlidir ve bir kez kullanılır; bu yüzden eski bir kodu ele geçirmek de işe yaramaz. Elbette 2FA güçlü şifrenin yerini tutmaz. İkisi birlikte kullanıldığında anlamlıdır: her hesaba ayrı, uzun ve rastgele bir şifre (bunu şifre üreticiyle oluşturabilirsiniz) ve üstüne ikinci bir faktör.

2FA yöntemleri: en güvenliden en zayıfa

Her 2FA yöntemi aynı korumayı sağlamaz. Aşağıdaki sıralama, yaygın güvenlik önerileriyle uyumlu genel bir karşılaştırmadır. Authenticator kodları ve bildirimler oltalamaya karşı dayanıklı sayılmaz; bu özellik yalnızca güvenlik anahtarı ve passkey gibi FIDO/WebAuthn tabanlı yöntemlerde bulunur.

Güvenlik anahtarı ve passkey

Güvenlik anahtarları ve geçiş anahtarları (passkey) FIDO2/WebAuthn standardına dayanır. Giriş sırasında cihazınız, sitenin gerçek adresini kontrol ederek imza üretir. Sahte bir sayfa bu imzayı alamadığı için oltalamaya karşı en dayanıklı seçenektir. Passkey'in nasıl çalıştığını passkey nedir yazısında ayrıntılı anlatıyoruz.

Authenticator uygulaması

Google Authenticator, Microsoft Authenticator gibi uygulamalar, hesabı eklerken taradığınız QR koddaki gizli anahtarla her 30 saniyede yeni bir kod üretir. Kodlar telefonunuzda oluşturulduğu için SMS'e göre daha güvenlidir. Kurulumu authenticator uygulaması nedir yazısında adım adım bulabilirsiniz.

Uygulamayı seçerken telefon değiştirdiğinizde kodları nasıl taşıyacağınızı da kontrol edin. Örneğin Google Authenticator, Google hesabınızla oturum açtığınızda kodları cihazlarınız arasında eşitleyebilir; Microsoft Authenticator'ın bulut yedeği ise yalnızca aynı tür cihaza (iPhone'dan iPhone'a, Android'den Android'e) geri yüklenebilir. Yedekleme özelliği olmayan veya kapalı olan bir uygulamada eski telefonu sıfırlarsanız kodlar kaybolur.

Bildirimle onay

Telefonunuza gelen bildirime dokunarak giriş onaylamak pratiktir. Ancak saldırganlar, şifrenizi bildikleri durumda çok sayıda onay isteği göndererek sizi bıktırmaya ve yanlışlıkla onaylatmaya çalışabilir. Giriş ekranındaki sayıyı telefona girmenizi isteyen "sayı eşleştirmeli" bildirimler bu riski belirgin biçimde azaltır. Kendiniz giriş yapmıyorken gelen bir onay isteğini asla kabul etmeyin; bu, şifrenizin başkasının elinde olduğunun işaretidir ve şifrenizi hemen değiştirmelisiniz.

SMS kodu ve SIM kart riski

SMS en yaygın ama en zayıf yöntemdir. Dolandırıcılar sahte kimlikle operatöre başvurup numaranızı kendi SIM kartlarına taşıtabilirse (SIM swap), kodlar onlara gider. Ayrıca kodlar sahte "doğrulama" sayfalarına veya telefonla arayan dolandırıcılara kolayca verdirilebilir. Konuyu SMS ile doğrulama güvenli mi yazısında ele alıyoruz.

Yine de SMS, hiç 2FA olmamasından çok daha iyidir. Hesabınız yalnızca SMS sunuyorsa onu açın; daha güçlü bir seçenek geldiğinde geçin.

Hiçbir kurum, banka ya da destek ekibi sizden doğrulama kodunu telefonda, SMS'le veya mesajla istemez. Kodu isteyen kişi, hesabınızı ele geçirmeye çalışıyordur.

İki faktörlü doğrulama kodu nedir?

Giriş sırasında "iki faktörlü doğrulama kodunuzu girin" mesajını görüyorsanız hesap, şifrenizden sonra ikinci kanıtı istiyor demektir. Bu kod, 2FA'yı açarken seçtiğiniz yönteme göre farklı bir yerden gelir:

• Authenticator uygulaması: Kod SMS ile gelmez; telefonunuzdaki uygulamayı açıp o hesap için gösterilen 6 haneli kodu yazarsınız. Kod her 30 saniyede yenilenir.
• SMS: Kod, hesaba kayıtlı telefon numaranıza tek kullanımlık olarak gönderilir.
• Yedek kod: 2FA'yı açarken size verilen listedeki kodlardan biridir; her biri genellikle bir kez kullanılır.

Hangi yöntemi seçtiğinizi hatırlamıyorsanız birçok hizmetin giriş ekranında "başka bir yöntem dene" benzeri bir seçenek bulunur. Kodların nasıl üretildiğini tek kullanımlık şifre (OTP) nedir yazısında anlattık.

Yedek kodlar: 2FA'nın unutulan parçası

2FA'yı açarken pek çok hizmet size bir liste halinde yedek kodlar (kurtarma kodları) verir. Her kod genellikle bir kez kullanılabilir ve telefonunuz kaybolduğunda, bozulduğunda ya da numaranız değiştiğinde hesabınıza girmenizi sağlar.

• Kodları 2FA'yı açtığınız anda kaydedin; sonra "hallederim" demeyin.
• Bir şifre yöneticisine kaydedin ya da kağıda yazıp evde güvenli bir yerde saklayın.
• Kodları telefonunuzun galerisinde ekran görüntüsü olarak tutmayın; telefon kaybolduğunda onlar da kaybolur.
• Kodları kullandıkça ya da ele geçtiğinden şüphelendiğinizde yeni kod listesi oluşturun.

Mümkünse ikinci bir yöntem de ekleyin: örneğin iki ayrı güvenlik anahtarı ya da authenticator uygulamasına ek olarak bir passkey. Tek bir cihaza bağlı kalmamak, hesabın kilitlenme riskini azaltır.

İki faktörlü doğrulama nasıl açılır?

Menü adları hizmetten hizmete değişse de süreç hemen her yerde aynıdır:

1. Hesabınızda oturum açın ve Ayarlar bölümünde "Güvenlik", "Giriş ve güvenlik" ya da "Hesap Merkezi" benzeri bir başlık arayın.
2. "İki faktörlü doğrulama", "İki adımlı doğrulama" veya "Çok faktörlü kimlik doğrulama" seçeneğini bulun.
3. Hizmetin sunduğu en güçlü yöntemi seçin: güvenlik anahtarı veya passkey varsa onu, yoksa authenticator uygulamasını, o da yoksa SMS'i.
4. Authenticator için ekrandaki QR kodu uygulamayla tarayın ve uygulamanın ürettiği kodu girerek kurulumu onaylayın.
5. Size verilen yedek kodları kaydedin.
6. Oturumu kapatıp yeniden açarak 2FA'nın çalıştığını test edin.

Sık kullanılan hizmetler için adım adım rehberlerimiz: Google hesabında iki adımlı doğrulama, Instagram iki faktörlü doğrulama ve WhatsApp iki adımlı doğrulama. e-Devlet'te ise bu özellik "İki Aşamalı Giriş" adını taşır ve "Şifre ve Güvenlik Ayarlarım" sayfasındaki "İki Aşamalı Giriş İşlemleri" menüsünden yönetilir.

Yalnızca resmi uygulamayı ya da hizmetin kendi sitesini kullanın. "2FA'nızı etkinleştirin" diyen bir e-postadaki bağlantıya tıklamak yerine ayarlara kendiniz gidin; bu tür mesajlar oltalama için sıkça taklit edilir. Oltalamanın nasıl işlediğini sosyal mühendislik ve şifre güvenliği yazısında anlattık.

İki faktörlü doğrulama nasıl kapatılır?

2FA, açıldığı ayar sayfasından kapatılır: hesabın güvenlik ayarlarına girip iki faktörlü veya iki adımlı doğrulama seçeneğini devre dışı bırakırsınız. Çoğu hizmet bu adımda kimliğinizi yeniden doğrulamanızı ister. Örneğin e-Devlet, iki aşamalı girişi kapattığınızda kayıtlı cihazınızın otomatik olarak silineceğini belirtir.

Kapatmadan önce iki kez düşünün: 2FA kapandığında hesabınız yeniden yalnızca şifreye bağlı kalır. Kapatma isteğinin sebebi genellikle kodların gelmemesi ya da telefon değişikliğidir; bu durumda özelliği kapatmak yerine yöntemi değiştirin (örneğin SMS yerine authenticator uygulaması) veya kayıtlı telefon numaranızı güncelleyin. Hesabınıza hiç giremiyorsanız yedek kodlarınızı veya hizmetin resmi kurtarma sürecini kullanın.

2FA hakkında sık yapılan hatalar

• Kodu SMS'le aldığınız numarayı güncel tutmamak: Numaranızı değiştirdiğinizde 2FA ayarlarını da güncellemezseniz hesabınıza giremeyebilirsiniz.
• Tek cihaza bağlı kalmak: Authenticator uygulaması yalnızca bir telefondaysa ve yedek kod yoksa, telefonun kaybolması hesabı kilitler.
• Tanımadığınız onay isteğini kabul etmek: "Yanlışlıkla geldi herhalde" diye onaylanan her istek, saldırgana kapıyı açar.
• 2FA'yı güçlü şifrenin yerine koymak: 2FA ek bir katmandır; zayıf veya tekrar kullanılan bir şifreyi telafi etmez.

Hangi hesaplardan başlamalı?

Önceliği, ele geçirildiğinde en çok zarar verecek hesaplara verin:

1. E-posta hesabınız: Diğer tüm hesapların şifre sıfırlama bağlantıları buraya gelir.
2. Şifre yöneticiniz: Bütün şifreleriniz buradadır; yönetimini şifre yönetimi yazısında anlattık.
3. Bankacılık ve ödeme hesapları.
4. Mesajlaşma ve sosyal medya: WhatsApp, Instagram, Facebook, X gibi hesaplar ele geçirildiğinde tanıdıklarınıza dolandırıcılık mesajı atmak için kullanılır.
5. Bulut depolama ve alışveriş hesapları.

2FA'yı açtıktan sonra ara ara güvenlik ayarlarınızı gözden geçirin: tanımadığınız cihaz veya oturum var mı, kayıtlı telefon numaranız güncel mi, yedek kodlarınız yerinde mi? Birkaç dakikalık bu kontrol, hesabınızı kaybettikten sonraki uzun kurtarma sürecinden çok daha kolaydır.