İki aşamalı doğrulama (2FA) parolanın çalınması hâlinde hesabı ayakta tutar. Ama “2FA açtım” cümlesi tek bir güvenlik seviyesi anlatmıyor: seçtiğiniz yönteme göre korunduğunuz saldırı türü değişiyor. Üç yaygın yöntemi, hangi saldırıyı durdurup hangisini durdurmadığıyla karşılaştıralım.
1. SMS ile gelen kod
En yaygın ve en zayıf yöntem. Parolası çalınmış bir hesabı rastgele saldırgandan korur, iki senaryoda korumaz:
- SIM takası: Saldırgan operatörü ikna ederek numaranızı kendi SIM’ine taşır; kodlar artık ona gider. Hesabınıza girmeden, telefonunuza dokunmadan.
- Oltalama: Sahte giriş sayfası parolayı ve ardından SMS kodunu ister; siz girdiğiniz anda saldırgan gerçek siteye aynı kodu iletir.
Yine de hiç yoktan iyidir: başka seçenek sunulmuyorsa SMS’i açın. Ama banka ve e-posta gibi kritik hesaplarda daha iyisine geçin.
2. Kimlik doğrulama uygulaması (TOTP)
Telefonunuzdaki uygulamanın 30 saniyede bir ürettiği altı haneli kodlar. Kod, kurulum sırasında paylaşılan bir gizli anahtar ile saat kullanılarak cihazda üretilir; internet bağlantısı gerekmez, operatör devrede değildir. Bu, SIM takasını tamamen devre dışı bırakır.
Durdurmadığı saldırı: oltalama. Sahte sayfa kodu isterse, kodun nereden geldiğini bilmez; 30 saniye içinde kullanılabilir. Gerçek zamanlı çalışan oltalama kitleri bunu rutin olarak yapıyor.
Pratik notlar: kurulum sırasındaki QR kodunu veya yedek kodları güvenli bir yere kaydedin; telefon kaybında hesaba dönüş yolunuz bu. Bazı uygulamalar bulutta yedek tutuyor — kolaylık ile risk arasındaki dengeyi bilerek seçin.
3. Donanım güvenlik anahtarı ve passkey
FIDO2/WebAuthn tabanlı yöntem, işi kökten değiştirir: ortada paylaşılan bir kod yoktur. Cihazınızda bir özel anahtar durur, siteye yalnızca imza gönderilir ve imza, giriş yaptığınız alan adına bağlıdır. Sahte bir sitede aynı imza üretilemez — yani oltalamaya karşı tasarım gereği dayanıklıdır.
İki biçimi var: USB/NFC ile taşınan fiziksel anahtarlar ve telefona ya da bilgisayara gömülü passkey. Passkey, aynı korumayı ayrı bir cihaz almadan verir ve parola yöneticisi üzerinden cihazlar arası eşitlenebilir.
Zayıf noktası güvenlik değil, pratik ayrıntılar: anahtarı kaybetme, bazı hizmetlerin desteklememesi ve ikinci bir yedek anahtar maliyeti.
Hangisi, hangi hesapta
- E-posta ve parola yöneticisi: en güçlü yöntemi burada kullanın. E-posta, diğer tüm hesapların sıfırlama kapısıdır.
- Banka ve kamu hesapları: kurumun sunduğu en iyi seçenek — çoğu hâlâ SMS veya kendi uygulaması.
- Sosyal medya, alışveriş: uygulama kodu yeterli; passkey destekliyorsa daha iyisi.
Asıl zayıf halka: hesap kurtarma
En güçlü ikinci adımı açsanız bile, hesabı kurtarma yolu SMS veya tek bir e-posta adresiyse zincir oradan kopar. Açtıktan sonra şu üç şeyi kontrol edin:
- Yedek kodları indirip çevrimdışı saklayın.
- Kurtarma telefonu ve kurtarma e-postasını güncel tutun; kullanmadığınız eski numaraları kaldırın.
- İkinci bir doğrulama yöntemi ekleyin — tek yöntemle kalmak, telefon kaybında hesabı kaybetmek demek.
2FA’nın soru cümlesi “açtım mı” değil: “oltalama sayfası bu adımı da geçebilir mi”.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.