İki Adımlı Doğrulama Yöntemleri: SMS, Uygulama, Passkey
İçindekiler
İki adımlı doğrulama, hesabınıza girmek için şifrenin yanında ikinci bir kanıt istenmesidir. Ancak "iki adımlı doğrulama" tek bir yöntem değildir: SMS kodu, doğrulayıcı uygulama ve güvenlik anahtarı/passkey birbirinden oldukça farklı güvenlik ve kolaylık düzeyleri sunar. Bu yazıda iki adımlı doğrulama yöntemlerini karşılaştırıyor ve hangi hesap için hangisinin mantıklı olduğunu anlatıyoruz.
İki adımlı doğrulama neden önemli?
Şifreler veri sızıntılarında, kimlik avı sayfalarında ya da başka sitelerde yeniden kullanıldığı için ele geçirilebilir. İkinci adım, şifre çalınsa bile hesabın tek başına açılmasını zorlaştırır. Yani iki adımlı doğrulama hiç olmamasından her zaman iyidir. Soru "açayım mı?" değil, "hangi yöntemi seçeyim?" sorusudur.
Yöntemleri değerlendirirken üç şeye bakın: kimliğe bürünmeye ve kimlik avına karşı dayanıklılık, günlük kullanım kolaylığı ve telefonunuzu kaybettiğinizde hesabınıza geri dönebilme.
Yöntem 1: SMS ile gelen kod
Telefon numaranıza altı haneli bir kod gelir ve siz onu girersiniz. Kurulumu en kolay yöntemdir; ek uygulama gerektirmez ve herkes nasıl çalıştığını bilir.
Artıları: Kurulumu çok basit, neredeyse her serviste var, teknik bilgi gerektirmiyor.
Eksileri: Güvenlik, numaranızın kimin elinde olduğuna dayanır. Numaranın operatörde başka bir karta taşınması (SIM swap), sahte kod isteyen mesajlar ve telefona gelen kodu birine söylemeye ikna edilmek bu yöntemin başlıca risklerindendir. Ayrıca yurt dışında ya da kapsama alanı dışında kod alamayabilirsiniz.
SMS, hiç olmamasından çok daha iyidir ve bazı hesaplarda tek seçenek olabilir. Ancak değerli hesaplarda ilk tercih olmamalıdır.
Yöntem 2: Doğrulayıcı uygulama (TOTP)
Telefonunuzdaki bir uygulama, her 30 saniyede bir değişen kısa süreli kodlar üretir. Kodlar cihazınızda üretilir; SMS ya da şebeke gerekmez.
Artıları: Telefon numarası ele geçirilse bile kodlar saldırgana gitmez. İnternet bağlantısı olmadan da çalışır. Birçok servis destekler.
Eksileri: Telefon kaybolursa ya da sıfırlanırsa kodlara erişim gider; bu yüzden yedek kodlar ya da uygulamanın yedekleme özelliği şarttır. Sahte bir giriş sayfasına kodu kendiniz yazarsanız yine de risk vardır; yani kimlik avına karşı tam bağışıklık sağlamaz.
Çoğu kullanıcı için güvenlik ve kolaylık dengesinin en iyi olduğu seçenek budur.
Yöntem 3: Güvenlik anahtarı ve passkey
Güvenlik anahtarı (USB/NFC ile çalışan fiziksel cihaz) ve passkey (telefonunuzda, bilgisayarınızda ya da parola yöneticinizde tutulan, parmak izi veya yüz ile açılan kimlik bilgisi) aynı ailenin üyeleridir. Kod yazmazsınız; cihaz, giriş yaptığınız gerçek adresle konuşur.
Artıları: Kimlik avına karşı en dayanıklı yöntemdir; çünkü sahte bir sitede çalışmaz. Kod yazmak gerekmediği için hızlıdır ve kullanımı rahattır.
Eksileri: Her servis desteklemez. Fiziksel anahtarı kaybederseniz ya da passkey'in saklandığı hesaba erişemezseniz geri dönüş planı gerekir. Fiziksel anahtarın bir maliyeti vardır ve yedek bir anahtar almanız önerilir.
Karşılaştırma tablosu
| Yöntem | Kimlik avına dayanıklılık | SIM swap riski | Kolaylık | Cihaz kaybında |
|---|---|---|---|---|
| SMS kodu | Düşük | Var | Çok yüksek | Numarayı geri alarak kurtarılabilir |
| Doğrulayıcı uygulama | Orta | Yok | Yüksek | Yedek kod veya uygulama yedeği gerekir |
| Güvenlik anahtarı | Çok yüksek | Yok | Orta-yüksek | Yedek anahtar şart |
| Passkey | Çok yüksek | Yok | Çok yüksek | Senkronize edildiği hesaba bağlı |
Tablodaki değerlendirmeler genel eğilimleri gösterir; servisten servise uygulama ayrıntıları değişebilir.
Hangi hesapta hangisini kullanmalı?
- E-posta, banka, kripto, parola yöneticisi: Mümkünse passkey ya da güvenlik anahtarı; olmazsa doğrulayıcı uygulama. E-posta hesabınız tüm diğerlerinin kurtarma anahtarı olduğu için en iyi korunan hesabınız olmalı.
- Sosyal medya ve mesajlaşma: Doğrulayıcı uygulama ya da passkey. SMS yalnızca başka seçenek yoksa.
- Alışveriş, abonelik, oyun: Doğrulayıcı uygulama yeterlidir; passkey sunuluyorsa kullanın.
- Önemsiz, tek seferlik hesaplar: SMS da kabul edilebilir; yeter ki aynı şifreyi başka yerde kullanmayın.
Birden fazla yöntemi aynı hesapta tanımlayabiliyorsanız birini ana yöntem, diğerini yedek olarak ayarlayın.
Sanal numara ve iki adımlı doğrulama
Doğrulama kodu almak için kullanılan tek kullanımlık sanal numaralar kalıcı sahiplik sunmaz. Bu yüzden numara, hesabınızın SMS ile iki adımlı doğrulamasının dayanağı olarak uygun değildir; çünkü numarayı ileride tekrar kullanamazsınız. Hesabı bir sanal numarayla açtıysanız, kurulumdan hemen sonra doğrulayıcı uygulama ya da passkey ekleyin ve bir kurtarma e-postası tanımlayın.
Bazı platformlar sanal numaraları kabul etmeyebilir; bu durumda servisin kullanım koşullarına uymak gerekir. Kod ulaşmazsa nedenleri için SMS kodu gelmiyor yazımızı inceleyebilirsiniz. Güncel servis ve ülke seçenekleri için fiyatlar sayfasına bakabilirsiniz.
Kurulum için kısa kontrol listesi
- Önce e-posta hesabınızda en güçlü yöntemi açın.
- Ardından banka, sosyal medya ve parola yöneticinizde açın.
- Her hesap için en az bir yedek yöntem tanımlayın.
- Yedek kodları yazdırıp ya da çevrimdışı güvenli yerde saklayın; ekran görüntüsünü bulutta bırakmayın.
- Telefon değiştirirken doğrulayıcı uygulamayı yeni cihaza taşıdığınızdan emin olmadan eski telefonu sıfırlamayın.
- Hesap ayarlarındaki "güvenli cihazlar" ve "aktif oturumlar" listesini ara sıra kontrol edin.
Sık yapılan hatalar
İyi bir yöntem seçseniz bile bazı alışkanlıklar korumayı zayıflatır:
- Yedek planı olmamak: Telefonu kaybedince hesabından kalıcı olarak çıkılmış olmak en sık yaşanan sorundur.
- Yedek kodları ekran görüntüsü olarak bulutta bırakmak: Hesap ele geçirilirse kodlar da gider.
- Kodu başka birine söylemek: Hangi yöntem olursa olsun, gelen kodu paylaşmak korumayı ortadan kaldırır.
- Her hesapta aynı şifreyi kullanmak: İkinci adım yardımcı olur ama şifre hijyeninin yerini tutmaz.
- Onay isteklerine alışkanlıkla "evet" demek: Siz giriş yapmadığınız halde gelen bir onay bildirimini asla kabul etmeyin.
Sık sorulan sorular
SMS ile iki adımlı doğrulama hiç kullanılmamalı mı?
Hayır. SMS, hiç ikinci adım olmamasından çok daha güvenlidir. Tek seçenek olduğunda açın; daha güçlü bir seçenek sunulduğunda ona geçin.
Passkey şifrenin yerini mi alıyor?
Birçok serviste passkey şifre yerine giriş yapmanızı sağlar ve aynı zamanda ikinci adım işlevi görür. Servis desteğine göre şifreyle birlikte de kalabilir; ayarlara bakın.
Telefonumu kaybedersem hesabıma nasıl girerim?
Önceden kaydettiğiniz yedek kodlar, ikinci bir kayıtlı cihaz veya yedek güvenlik anahtarı sayesinde. Bunları kurulum sırasında hazırlamak en önemli adımdır.
Doğrulayıcı uygulama ile SMS aynı anda açık kalabilir mi?
Çoğu serviste evet. Ancak SMS seçeneği açık kaldığı sürece saldırganlar o yolu deneyebilir; mümkünse SMS'i yalnızca son çare olarak bırakın.