2FA nedir?
2FA, İngilizce “two-factor authentication” ifadesinin kısaltmasıdır; Türkçede iki adımlı doğrulama, iki faktörlü kimlik doğrulama veya iki aşamalı doğrulama olarak geçer. Birden fazla adım kullanıldığında çok faktörlü doğrulama (MFA) da denir.
Doğrulama faktörleri üç gruba ayrılır:
- Bildiğiniz bir şey: şifre, PIN.
- Sahip olduğunuz bir şey: telefon, authenticator uygulaması, güvenlik anahtarı.
- Olduğunuz bir şey: parmak izi, yüz tanıma.
2FA, bu gruplardan en az ikisini birleştirir. En yaygın örnek; şifrenin ardından telefondaki bir uygulamanın ürettiği 6 haneli kodu girmektir.
2FA neden bu kadar önemli?
Şifreler sızıntılarla, kimlik avı sayfalarıyla veya tahminle ele geçirilebilir. 2FA açık olan bir hesapta saldırganın şifreyi bilmesi tek başına yetmez; ikinci faktöre de ihtiyacı vardır. Bu yüzden e-posta, banka, bulut depolama ve şifre yöneticisi gibi kritik hesaplarda 2FA'yı mutlaka açmanızı öneririz.
2FA, güçlü ve benzersiz şifrelerin yerini almaz; onları tamamlar. En iyi sonuç, her hesap için ayrı bir şifreyi bir şifre yöneticisinde tutmak ve destekleyen her hesapta ikinci adımı açmakla elde edilir.
2FA yöntemleri nelerdir ve hangisi daha güvenli?
Her 2FA yöntemi aynı güvenceyi sağlamaz. Genel olarak, kodu yakalamak veya kandırarak almak zorlaştıkça yöntem güçlenir:
- SMS veya e-posta kodu: Kullanımı kolaydır, hiç olmamasından iyidir. Ancak SIM kart değiştirme dolandırıcılığına ve kimlik avına karşı en zayıf seçenektir.
- Authenticator uygulaması (TOTP): Telefonunuzdaki uygulama her 30 saniyede bir yeni kod üretir. İnternet veya şebeke gerektirmez, SMS'ten daha güvenlidir. En yaygın kullanılan yöntemdir.
- Anlık bildirim (push): Telefonunuza gelen “Giriş yapan siz misiniz?” sorusunu onaylarsınız. Pratiktir; ancak düşünmeden onaylanan bildirimler risk oluşturur.
- Donanım güvenlik anahtarı: USB veya NFC ile çalışan fiziksel bir anahtar. Alan adına bağlı olduğu için kimlik avına karşı çok dayanıklıdır.
- Passkey: Şifrenin ve ikinci adımın yerini tek başına alabilir; cihazınızdaki anahtar ve biyometrik doğrulama birlikte çalışır. Ayrıntılar passkey rehberinde.
Authenticator uygulaması nasıl çalışır?
Authenticator uygulamaları çoğunlukla TOTP (Time-based One-Time Password, RFC 6238) standardını kullanır:
- Bir sitede 2FA'yı açtığınızda site size bir QR kod gösterir. Bu kodun içinde, siteyle authenticator uygulamanız arasında paylaşılan gizli bir anahtar vardır.
- Uygulama bu gizli anahtarı ve o anki saati kullanarak her 30 saniyede bir 6 haneli bir kod hesaplar. Site de aynı hesabı yapar; kodlar eşleşirse giriş onaylanır.
- Kodlar cihazda üretildiği için internet bağlantısı gerekmez; yalnızca cihaz saatinin doğru olması yeterlidir.
Gizli anahtar (QR kodun içeriği) hesabınızın ikinci anahtarıdır; onu ekran görüntüsü olarak bir yerde bırakmayın. Bir gizli anahtardan nasıl kod üretildiğini 2FA kod oluşturucu aracıyla tarayıcınızda deneyebilirsiniz.
Kurtarma kodlarını neden saklamalısınız?
2FA'yı açtığınızda çoğu site size bir dizi tek kullanımlık kurtarma kodu verir. Telefonunuzu kaybederseniz veya authenticator uygulamasına erişemezseniz hesabınıza bu kodlarla girersiniz. Kurtarma kodlarını, ilgili hesabın kaydına güvenli not olarak ekleyebilir veya çevrimdışı güvenli bir yerde saklayabilirsiniz.
2FA kodlarını şifre yöneticisinde saklamak doğru mu?
Bu konuda iki yaklaşım vardır ve ikisi de makuldür:
- Ayrı tutmak: Şifreler bir yerde, 2FA kodları başka bir uygulamada. Biri ele geçirilse bile diğeri korur. En yüksek güvenceyi isteyen hesaplar için tercih edilebilir.
- Birlikte tutmak: Kodlar şifrelerinizle aynı uçtan uca şifreli kasada durur, tüm cihazlarınıza eşitlenir ve otomatik doldurulur. Telefon kaybında kodlarınızı kaybetmezsiniz ve 2FA'yı daha çok hesapta açmanız kolaylaşır.
Pratikte birçok kullanıcı için en büyük risk 2FA'yı hiç açmamaktır. Kodları şifre yöneticisinde tutuyorsanız şifre yöneticisi hesabınızın kendisini güçlü bir ana parola ve ayrı bir ikinci faktörle koruyun.
KeyZula ile 2FA nasıl kullanılır?
KeyZula'nın dahili 2FA doğrulayıcısı ücretsizdir ve ayrı bir authenticator uygulamasına ihtiyaç bırakmaz:
- Sitedeki QR kodu tarayıcı eklentisiyle doğrudan sayfadan tarayın veya QR kod görselini yükleyip yapıştırın.
- Google Authenticator'daki tüm hesaplarınızı “Hesapları aktar” QR kodlarıyla tek seferde taşıyın.
- Kodu tek tıkla doldurun; bölünmüş kutulu kod alanlarında da çalışır. Şifreyi doldurduktan sonra 2FA kodu panoya kendiliğinden kopyalanır (ayarlardan kapatılabilir).
- iOS ve Android'de sistemin otomatik doldurmasıyla 2FA kodlarına uygulamalar içinden de ulaşın.
- SHA-1, SHA-256, SHA-512 ve Steam Guard kodları desteklenir; tüm kodlar cihazlarınız arasında şifreli eşitlenir.
KeyZula hesabınızın kendisi için de bir authenticator uygulamasıyla iki adımlı girişi açabilir ve bir kurtarma kodu alabilirsiniz.
Sık sorulan sorular
2FA ile 2 adımlı doğrulama aynı şey mi?
Günlük kullanımda evet. İki adımlı doğrulama, iki faktörlü kimlik doğrulama ve 2FA aynı amaca hizmet eder: şifrenin yanında ikinci bir kanıt istemek.
Telefonumu kaybedersem 2FA kodlarıma nasıl ulaşırım?
Kodlarınız yalnızca telefondaki bir uygulamadaysa sitelerin verdiği kurtarma kodlarını kullanmanız gerekir. KeyZula'da 2FA kodları şifreli olarak eşitlendiği için yeni cihazınızda hesabınıza girdiğinizde kodlarınız da gelir.
Google Authenticator'dan KeyZula'ya geçebilir miyim?
Evet. Google Authenticator'da “Hesapları aktar” ile oluşan QR kodların ekran görüntüsünü KeyZula'ya yükleyin; görsel tarayıcınızda çözülür ve hesaplarınız tek seferde aktarılır.
2FA'yı önce hangi hesaplarda açmalıyım?
Önce e-posta hesabınızda açın; çünkü diğer hesapların şifre sıfırlama bağlantıları oraya gelir. Ardından şifre yöneticiniz, banka ve ödeme hesaplarınız, bulut depolama ve sosyal medya hesaplarınız gelir. KeyZula'nın güvenlik raporu, 2FA'sı eklenmemiş hesaplarınızı listeler.
SMS ile 2FA güvenli mi?
Hiç 2FA kullanmamaktan iyidir; ancak SIM değiştirme dolandırıcılığı ve kimlik avına karşı authenticator uygulaması, güvenlik anahtarı veya passkey daha güçlü seçeneklerdir.