İki adımlı doğrulama: SMS kodu mu, doğrulama uygulaması mı, güvenlik anahtarı mı?

Şifreler sızar, tahmin edilir ya da sahte sayfalara girilir. İki adımlı doğrulama, şifre ele geçirilse bile hesaba girişi engelleyen ikinci bir kilit ekler. E-posta, sosyal medya, bulut depolama ve iş hesapları için artık bir tercih değil, gereklilik. Ancak yöntemlerin güvenlik seviyesi farklıdır.

SMS kodu

En yaygın ve kurulumu en kolay yöntemdir. Zayıf yanları şunlardır: Dolandırıcılar kendini banka veya kargo görevlisi gibi tanıtıp kodu telefonla isteyebilir; sahte giriş sayfaları kodu da anında alıp kullanabilir; nadir de olsa hat kopyalama veya numara taşıma yoluyla SMS'ler ele geçirilebilir. Yine de hiç doğrulama olmamasına göre çok büyük bir iyileştirmedir.

Doğrulama uygulaması

Telefonunuzdaki bir uygulama her 30 saniyede bir değişen kod üretir. Kod telefon hattına bağlı olmadığı için SMS'e göre daha güvenlidir ve internet olmadan da çalışır. Sahte giriş sayfalarına karşı tam koruma sağlamaz; kullanıcı kodu sahte sayfaya yazarsa saldırgan onu da kullanabilir.

Bildirimle onay

Bazı hizmetler telefona "giriş yapan siz misiniz?" bildirimi gönderir. Kolaydır, ama kullanıcıların düşünmeden onaylaması riski vardır. Saldırganlar art arda bildirim göndererek kullanıcının bıkıp onaylamasını bekler. Bu yüzden ekranda görünen numarayı uygulamaya yazmayı isteyen eşleştirme yöntemi daha güvenlidir. Beklemediğiniz bir onay isteğini asla kabul etmeyin.

Güvenlik anahtarı ve geçiş anahtarı

Donanım güvenlik anahtarları ve geçiş anahtarları (passkey), girişin yalnızca gerçek siteye yapılmasını sağlar; sahte bir sayfa bu doğrulamayı kullanamaz. Bu yüzden oltalamaya karşı en dayanıklı yöntemlerdir. Geçiş anahtarları telefon veya bilgisayarın parmak izi, yüz tanıma ya da PIN'iyle çalışır ve giderek daha fazla hizmette desteklenir.

Yedek kodlar ve telefon değişimi

İki adımlı doğrulamayı açarken çoğu hizmet tek kullanımlık yedek kodlar verir. Bunları yazdırıp güvenli bir yerde saklayın. Telefon değiştirirken doğrulama uygulamasını yeni telefona aktarmayı unutmayın; eski telefonu sıfırlamadan önce aktarımın çalıştığından emin olun. Telefon kaybolursa yedek kodlar tek kurtuluş yolunuz olabilir.

Önce hangi hesaplar?

• E-posta hesabı: Diğer hesapların şifre sıfırlamaları buraya gelir.
• Kurumsal hesaplar: Microsoft 365, Google Workspace, muhasebe ve banka.
• Bulut depolama ve şifre yöneticisi.
• Sosyal medya ve mesajlaşma hesapları.

İşyerinde zorunlu hâle getirin

İşyerlerinde iki adımlı doğrulamayı kullanıcının tercihine bırakmak, en zayıf hesabın tüm şirketi riske atması demektir. Kurumsal e-posta ve uzaktan erişim sistemlerinde tüm kullanıcılar için zorunlu tutulması gerekir. Uzak masaüstü ve VPN erişimini de mutlaka ikinci doğrulamayla korumak gerekir; bu konuyu RDP ve VPN güvenliği yazımızda anlattık.

Sur Bilgisayar olarak işletmelerde kurumsal hesaplar, VPN ve uzak erişim için iki adımlı doğrulama kurulumunda destek veriyoruz. Ayrıntılar için network güvenliği sayfamıza bakabilirsiniz.