Şifreniz çalındı diyelim. Güçlü bir şifreydi, ama bir yolunu bulup ele geçirdiler; bir veri sızıntısından, bir sahte siteden, fark etmez. Saldırgan şimdi kullanıcı adınızı ve şifrenizi biliyor.
Hesabınıza girebilir mi?
İki faktörlü doğrulama açıksa, hayır. Şifreyi bilmek yetmez; ikinci bir kapı daha var ve onun anahtarı saldırganda değil, sizde. İşte bu yüzden iki faktörlü doğrulama, bir insanın dijital güvenliği için atabileceği en etkili tek adım.
Ama bir incelik var, ve çoğu rehber bundan hiç söz etmez: iki faktörlü doğrulamanın her türü aynı korumayı vermez. Bazısı sizi gerçekten korur, bazısı ise koruyor gibi yapar. Aşağıda ikisinin farkını, hangisini seçmeniz gerektiğini ve nasıl kuracağınızı adım adım göreceğiz.
İki faktör ne demek?
Güvenlikte kimliğinizi üç şekilde kanıtlarsınız: bildiğiniz bir şeyle (şifre), sahip olduğunuz bir şeyle (telefonunuz, bir anahtar) ya da olduğunuz bir şeyle (parmak izi, yüz).
Tek faktör, yalnızca şifre demek. Sorun şu ki şifre kopyalanabilir bir bilgidir; çalınırsa, çalan kişi tıpkı siz olur. İki faktörlü doğrulama buna ikinci bir kanıt ekler: şifreyi bilmek artık yetmez, o ikinci şeye de sahip olmak gerekir.
Mantık basit. Saldırgan şifrenizi Almanya'dan çalabilir, ama cebinizdeki telefonu çalamaz. İki faktör, uzaktan yapılan saldırıların çoğunu tam da bu yüzden durdurur.
Ne var ki "ikinci şey"in ne olduğu her şeyi değiştiriyor.
En yaygın yöntem, en zayıf olanı
Çoğumuz iki faktörlü doğrulamayı SMS ile tanıdık. Giriş yaparsınız, telefonunuza bir kod gelir, girersiniz. Basit, tanıdık, her yerde var.
Ve maalesef en zayıfı.
Sebebi SIM swap denen bir saldırı. Şöyle işliyor: saldırgan sizinle ilgili birkaç bilgi topluyor (çoğu zaten sosyal medyada), sonra operatörünüzü arayıp sizmiş gibi davranıyor. "Telefonumu kaybettim, numaramı yeni SIM karta taşır mısınız?" O taşıma gerçekleştiği anda numaranız artık saldırganın telefonunda. Ve SMS ile gelen bütün kodlar da öyle.
Dikkat edin, saldırgan burada telefonunuza hiç dokunmadı, bir şey hacklemedi. Sadece operatörü ikna etti. Saldırı, SMS'in bir alt katmanında, sizin göremeyeceğiniz bir yerde gerçekleşti.
Bunun teorik bir tehdit olmadığını rakamlar gösteriyor. FBI'ın verilerine göre bir yılda bine yakın SIM swap şikâyeti kaydedildi ve doğrudan zarar 26 milyon doları buldu. İngiltere'de dolandırıcılık önleme kuruluşu Cifas, SIM swap vakalarında bir yılda dört haneli bir artış bildirdi.
SMS'in ikinci bir zayıflığı daha var: gerçek zamanlı oltalama. Sahte bir giriş sayfası, girdiğiniz kodu anında gerçek siteye iletir ve oturumunuzu çalar. Kod doğru, ama araya giren biri onu tam zamanında yakalar.
Peki SMS'i kapatmalı mıyız?
Hayır. Ve bu kısım önemli.
SMS ile iki faktör, en zayıf yöntem olabilir; ama hiç iki faktör olmamasından kat kat iyidir. Rastgele bir saldırgan şifrenizi ele geçirdiğinde, SMS kodu bile onu durdurur. SIM swap hedefli bir saldırıdır, herkesin başına gelmez.
Yani kural şu: daha iyisini kuramıyorsanız SMS'i açın, sakın "nasılsa zayıf" diye tümden vazgeçmeyin. Ama daha iyisini kurabiliyorsanız, ki kurabilirsiniz, birkaç dakikanızı ayırın.
İşin yön değiştirdiğini kurumlar da gördü. Microsoft kişisel hesaplarda SMS kodlarını kaldırıp yerine daha güçlü yöntemler getireceğini duyurdu. ABD'de bazı resmi kurumlar SMS doğrulamayı çoktan durdurdu. NIST, güncel kimlik doğrulama kılavuzunda SMS'i "kısıtlı" bir yöntem olarak sınıflandırdı. Birkaç ülkenin merkez bankası, dijital ödemelerde tek başına SMS kullanımını yasakladı. Yön belli: SMS emekliye ayrılıyor.
Telefonunuz aniden sinyalini kaybederse, hiçbir sebep yokken "Şebeke Yok" ya da "Yalnızca Acil Aramalar" yazısı çıkarsa ve bu normalde olmuyorsa, dikkatli olun. Bir SIM swap tam da böyle başlar: sizin hattınız düşer, çünkü numara artık başka bir kartta. Böyle bir durumda vakit kaybetmeden operatörünüzü (başka bir telefondan) arayın ve hesaplarınızı kontrol edin.
Daha iyisi: Authenticator uygulaması
SMS'ten çok daha güçlü, kurulumu kolay ve ücretsiz bir yöntem var: authenticator uygulaması. Google Authenticator, Microsoft Authenticator ve benzerleri bu işi görür.
Nasıl çalıştığı zekice. Uygulama, hesabınızla bir kez gizli bir anahtar paylaşır, sonra bu anahtardan her 30 saniyede bir yeni bir kod üretir. Kod telefonunuzun içinde, o an, yerel olarak hesaplanır. Hiçbir yerden gelmez, hiçbir şebekeden geçmez.
Farkı burada. SMS kodu şebeke üzerinden size ulaşır, dolayısıyla o şebekeyi ele geçiren biri kodu da ele geçirir. Authenticator kodu ise hiç yola çıkmaz. SIM swap işe yaramaz, çünkü ortada taşınacak bir numara, dinlenecek bir hat yoktur. Numaranızı çalsalar bile kod hâlâ sizin telefonunuzda üretiliyor olur.
Tek dezavantajı, kodun hâlâ elle girilmesi. Yani çok dikkatli kurulmuş, gerçek zamanlı bir oltalama sahte sayfası, sizi kodu oraya yazmaya kandırabilir. Bu ihtimal SMS'e göre çok daha düşük ama sıfır değil. En güçlü yöntem başka.
En güçlüsü: Passkey ve donanım anahtarı
Oltalamanın bile işe yaramadığı bir yöntem var: kriptografik anahtarlar. İki biçimde karşınıza çıkar.
Passkey, son yılların en önemli gelişmesi. Cihazınız bir anahtar çifti üretir; yarısı sizde kalır, telefonunuzun ya da bilgisayarınızın güvenli bölmesinde, yarısı sitede durur. Giriş yaparken parmak izinizle ya da yüzünüzle cihazınızın kilidini açarsınız, o kadar. Girilecek bir kod yoktur, dolayısıyla çalınacak, iletilecek, oltalanacak bir kod da yoktur.
Passkey'in asıl gücü şu: yalnızca oluşturulduğu gerçek sitede çalışır. Sahte bir giriş sayfası passkey'inizi kullanamaz, çünkü adres tutmaz. Oltalama tasarımı gereği işlemez. Üstelik telefon numarasıyla da ilgisi yoktur, SIM swap konu dışıdır.
Donanım güvenlik anahtarı ise fiziksel bir cihazdır, USB bellek büyüklüğünde. Giriş yaparken bilgisayarınıza takar ya da telefonunuza dokundurursunuz. En yüksek güvenlik bunda, çünkü anahtar fiziksel olarak sizde ve kopyalanamaz. Bankacılık, kripto, ana e-posta gibi en kritik hesaplar için idealdir.
- SMS kodu: Hiç yoktan iyidir, ama en zayıfı. SIM swap'e açık
- Authenticator uygulaması: Ücretsiz, güçlü, SIM swap'e kapalı. Çoğu insan için en doğru seçim
- Passkey: Oltalamaya dayanıklı, kod yok, giderek yaygınlaşıyor
- Donanım anahtarı: En güçlüsü. En kritik hesaplar için
Nereden başlamalı? Doğru sıra
Hepsini bugün kurmak zorunda değilsiniz. Ama doğru sırayla başlamak önemli, çünkü bir hesap diğerlerinin anahtarıdır.
Önce e-postanız. Bu tartışmasız birinci sıra. Düşünün: bir şifrenizi unuttuğunuzda "sıfırlama bağlantısı" nereye gelir? E-postanıza. Yani e-posta hesabınız, diğer bütün hesaplarınızın kurtarma noktasıdır. Saldırgan e-postanızı ele geçirirse, oradan tek tek hepsini sıfırlar. En güçlü korumayı önce oraya koyun.
Sonra para. İnternet bankacılığı, ödeme uygulamaları, varsa kripto hesapları. Buralarda mümkünse authenticator ya da donanım anahtarı kullanın, SMS'le yetinmeyin.
Sonra sosyal medya. Hesabınızın çalınması hem sizi hem de kandırılacak çevrenizi etkiler; klonlanan bir hesabın tanıdıklara nasıl zarar verdiğini biliyoruz.
Sonra gerisi. Alışveriş siteleri, bulut depolama, kayıtlı kartınızın olduğu her yer.
- Yedek kodları önce alın. Her hesap size bir dizi tek kullanımlık yedek kod verir. Bunları güvenli, çevrimdışı bir yere kaydedin — telefonunuzu kaybederseniz geri dönüş yolunuz bu
- E-postadan başlayın, sonra bankacılık, sonra sosyal medya
- Mümkünse authenticator ya da passkey seçin; sadece SMS varsa onu açın
- Yeni yöntemi test edin, çalıştığından emin olun
- Mümkün olan yerde SMS'i birincil yöntem olmaktan çıkarın
Telefonumu kaybedersem hesaplarımdan kilitlenir miyim?
En sık duyduğum çekince bu, ve 2FA kurmaktan kaçınmanın bir numaralı sebebi. Cevap: doğru hazırlanırsanız hayır.
İki basit önlem sizi bu korkudan kurtarır. Birincisi, az önce söylediğim yedek kodlar; kurulum anında alın ve güvenli bir yerde saklayın. İkincisi, ikinci bir yöntem ekleyin: örneğin hem authenticator kurun hem bir yedek donanım anahtarı edinin, ya da yedek kodlarınızı güvenli tutun. Böylece bir yöntemi kaybetseniz bile diğerinden girersiniz.
Kilitlenme korkusu gerçek, ama çözümü 2FA'yı kapatmak değil. Çözümü, kurarken beş dakika ayırıp yedeğinizi almak.
Son söz: Küçük zahmet, büyük kalkan
Dijital güvenlik denince akla hep karmaşık, teknik, zahmetli şeyler gelir. Oysa iki faktörlü doğrulama bunun tam tersi: bir kere kurarsınız, çoğu zaman farkında bile olmazsınız, ama arka planda sizi sürekli korur.
Şifreniz er ya da geç bir yerde açığa çıkabilir; bu artık "olur mu" değil, "ne zaman" meselesi. Milyarlarca şifre veri sızıntılarında dolaşıyor. İki faktörlü doğrulama, o gün geldiğinde şifrenizin çalınmasını bir felaket olmaktan çıkarıp önemsiz bir olaya çevirir. Saldırgan şifrenizi bilir, ama kapıdan giremez.
Bugün, şu yazıyı okuduktan sonra, e-posta hesabınızın güvenlik ayarlarına girin ve iki faktörlü doğrulamayı açın. On dakika sürer. Belki de dijital hayatınızı korumak için yapacağınız en değerli on dakika olur.
Dijital güvenlik, en çok da kapıya ikinci bir kilit taktığınızda işe yarar.