İki Adımlı Doğrulama (2FA) Nedir? Authenticator, SMS ve Güvenlik Anahtarı

Kısa cevap: İki adımlı doğrulama (2FA), bir hesaba girerken şifrenin yanında ikinci bir kanıt istenmesidir: telefonundaki bir uygulamanın ürettiği 6 haneli kod, SMS ile gelen kod ya da bir güvenlik anahtarı gibi. Şifren sızsa bile saldırgan, bu ikinci adıma sahip olmadığı için hesabına giremez. E-posta, banka, sosyal medya ve sunucu panelleri gibi önemli hesaplarda mutlaka açılmalıdır.

Neden Önemli?

Şifreler veri sızıntılarıyla, oltalama (phishing) sayfalarıyla ya da tahmin edilerek ele geçirilebilir. 2FA açık bir hesapta saldırganın şifreye ek olarak senin telefonuna veya güvenlik anahtarına da erişmesi gerekir. Bu, hesap ele geçirme saldırılarının büyük çoğunluğunu durdurur.

2FA Yöntemleri: Hangisi Daha Güvenli?

Yöntem	Nasıl çalışır?	Güvenlik	Not
SMS kodu	Telefonuna kısa mesajla kod gelir	Temel	Hiç yoktan iyidir; SIM kartın başkası adına çıkarılması (SIM swap) gibi saldırılara açıktır
Authenticator uygulaması (TOTP)	Uygulama her 30 saniyede yeni bir 6 haneli kod üretir	İyi	Google Authenticator, Microsoft Authenticator, Aegis, 2FAS gibi uygulamalar; internet gerekmez
Uygulama bildirimi (push)	Telefona "giriş yapan sen misin?" bildirimi gelir	İyi	Bildirime düşünmeden "evet" demek risklidir; yalnızca kendi girişini onayla
Güvenlik anahtarı / passkey	Fiziksel anahtar (USB/NFC) veya cihazındaki passkey	En iyi	Oltalama sitelerine karşı dayanıklıdır; çünkü yalnızca gerçek sitenin adresinde çalışır

Öneri: Mümkün olan her yerde authenticator uygulaması veya passkey/güvenlik anahtarı kullan; SMS'i yalnızca başka seçenek yoksa tercih et.

Google Authenticator ve Benzerleri Nasıl Çalışır?

Authenticator uygulamaları TOTP (zamana dayalı tek kullanımlık şifre) standardını kullanır:

1. 2FA'yı açarken site sana bir QR kod gösterir; bu kod, sitenin ve uygulamanın paylaştığı gizli bir anahtardır.
2. Uygulama bu anahtar ve o anki saatle her 30 saniyede yeni bir 6 haneli kod hesaplar. Site de aynı hesabı yapar; kodlar eşleşirse giriş onaylanır.
3. Kod üretmek için internet bağlantısı gerekmez, ama telefonun saatinin doğru olması gerekir.

Bu yüzden QR kodu veya gizli anahtarı kimseyle paylaşma; ekran görüntüsünü de saklama.

Yedek Kodlar: En Çok Atlanan Adım

2FA'yı açarken çoğu site sana tek kullanımlık yedek (kurtarma) kodları verir. Telefonun kaybolur, bozulur ya da değişirse hesabına bu kodlarla girersin.

• Yedek kodları yazdır veya bir şifre yöneticisine kaydet; telefonun kendisinde tek kopya olarak tutma.
• Authenticator uygulamanın yedekleme/aktarma özelliğini (ör. hesaplarını yeni telefona taşıma) telefonu değiştirmeden önce kullan.
• Birden fazla güvenlik anahtarı destekleyen hesaplarda ikinci bir yedek anahtar tanımla.

Telefonum Kayboldu, Ne Yapmalıyım?

1. Yedek kodlarla önemli hesaplarına (önce e-posta) gir.
2. Eski telefonun oturumlarını kapat ve 2FA'yı yeni telefonda yeniden kur.
3. Yedek kodun yoksa her sitenin hesap kurtarma sürecini izle; bu süreç kimlik doğrulama gerektirebilir ve günler sürebilir. Bu yüzden yedek kodlar önemlidir.

Önce Hangi Hesaplarda Açmalıyım?

1. E-posta — diğer hesapların şifre sıfırlama bağlantıları buraya gelir.
2. Şifre yöneticisi (şifre yöneticisi nedir?)
3. Banka ve ödeme hesapları
4. Sosyal medya ve mesajlaşma (WhatsApp'ta "İki adımlı doğrulama" PIN'i)
5. Alan adı, hosting ve sunucu panelleri — bir saldırgan buradan siteni ve e-postalarını ele geçirebilir.

Sunucularda ise şifreyle girişi tamamen kapatıp SSH anahtarı kullanmak, 2FA'dan bile daha önemli ilk adımdır (SSH rehberi).

Güçlü Şifre + 2FA

2FA, zayıf şifrenin yerine geçmez; ikisi birlikte çalışır. Her hesap için benzersiz ve güçlü bir şifre kullan (şifre oluşturucu) ve önemli hesaplarda 2FA'yı aç.