Doğrulama uygulamaları ve uygulama şifreleri nasıl çalışır?

Doğrulama (authenticator) uygulaması, genellikle TOTP olarak anılan zamana dayalı tek kullanımlık şifreler üretir. Uygulama tabanlı iki faktörlü doğrulamayı açtığınızda hizmet size bir QR kodu gösterir. Bu kodun içinde gizli bir anahtar bulunur; kodu okuttuğunuzda anahtarın bir kopyası uygulamanıza kaydedilir. O andan itibaren hizmet ile telefonunuz aynı gizli anahtarı paylaşır ve bu anahtarın bir daha ağ üzerinden gönderilmesine gerek kalmaz.

Uygulama bir kod oluşturmak için bu gizli anahtarı o anki zamanla birleştirir; zaman, genellikle 30 saniyelik kısa aralıklara yuvarlanır. Sonuç standart bir kriptografik işlemden geçirilir ve çıktı kısaltılarak çoğunlukla altı haneli bir sayıya dönüştürülür. Sunucu da kendi tarafında aynı hesaplamayı yapar ve iki sonucu karşılaştırır. Her iki tarafın da yalnızca gizli anahtara ve bir saate ihtiyacı olduğu için uygulama mobil veri ya da Wi-Fi olmadan da çalışır.

Bu tasarım en sık karşılaşılan sorunu da açıklar: doğru yazdığınız hâlde reddedilen kodlar. Telefonunuzun saati geri kalır ya da ileri giderse uygulama kodları yanlış zaman aralığı için hesaplar. Tarih ve saati otomatik güncellenecek şekilde ayarlamak genellikle sorunu çözer; bazı uygulamalarda ayrıca bir saat düzeltme seçeneği de bulunur.

Standart TOTP yöntemini destekleyen her uygulama hizmetlerin çoğuyla çalışır; bu yüzden asıl tercih, uygulamanın gizli anahtarlarınızı nasıl sakladığına bağlıdır. Büyük platform şirketlerinin kendi uygulamaları vardır; Google Authenticator ve Microsoft Authenticator bunlar arasındadır. Birçok şifre yöneticisi de TOTP kodlarını saklayabilir.

Kodlarınızı yedeklemenin ya da dışa aktarmanın bir yolunu arayın; çünkü kodları yalnızca tek bir telefonda tutan bir uygulama, telefon kaybolduğunda sizi hesaplarınızın dışında bırakır. Uygulama bir bulut hesabıyla eşitleniyorsa o hesabın da iyi korunduğundan emin olun ve yedeği şifreleyen uygulamaları tercih edin. Parmak izi, yüz tanıma ya da PIN ile açılan bir uygulama kilidi, kilidi açık telefonunuzu eline alan birine karşı ek koruma sağlar.

Bazı doğrulama uygulamaları, kendi şirketlerinin hesapları için kod yazmak yerine tek dokunuşla girişi onayladığınız bildirim tabanlı onaylar da sunar. Bu pratiktir, ancak yalnızca o sağlayıcıyla çalışır. Diğer tüm hizmetler için uygulama standart bir kod üreticisi gibi davranır.

Hesabın güvenlik ayarlarında doğrulama uygulaması kurma seçeneğini seçin. QR kodunu uygulamayla okutun ya da okutamıyorsanız kurulum anahtarını elle yazın. Hizmet, kurulumun çalıştığını kanıtlamanız için o anki kodu ister. Bu adımı atlamayın ve kod kabul edilene kadar sayfayı kapatmayın.

Uygulama izin veriyorsa her kayda açık bir ad verin; bu, özellikle aynı hizmette birden fazla hesap yönetiyorsanız önemlidir. Yalnızca marka adını gösteren bir kaydı başka bir kayıtla karıştırmak kolaydır ve yanlış kaydı silmek sizi hesabın dışında bırakabilir.

Hizmetin sunduğu yedek ya da kurtarma kodlarını da aynı sırada kaydedin. Kodlarınızı yedeklemeden önce doğrulama uygulamasının bulunduğu telefon kaybolursa, hesaba geri dönmenin en basit yolu bunlardır.

En güvenli kural basittir: yeni telefonu, eskisi hâlâ çalışırken kurun. Her kod taşınıp denenene kadar eski cihazı sıfırlamayın, ikinci el olarak satmayın ya da bir yenileme kampanyasında takasa vermeyin.

Birçok doğrulama uygulamasında, eski telefonda yeni telefonun okutacağı bir ya da birkaç QR kodu gösteren bir aktarma veya dışa aktarma özelliği bulunur. Bazıları ise yeni cihazda oturum açtığınızda kayıtlarınızı şifreli bir bulut yedeğinden geri yükler. Taşıma bittikten sonra, kodların eşleştiğinden emin olmak için birkaç hesaba yeni kodlarla giriş yapın.

Uygulamanızda aktarma seçeneği yoksa hesapları tek tek taşıyın. Her hizmette oturum açın, iki faktörlü doğrulama ayarlarını açın, doğrulama uygulamasını ekleme ya da değiştirme seçeneğini seçin, yeni QR kodunu yeni telefonla okutun ve kodu onaylayın. Birçok hizmette gizli anahtar değiştirildiğinde eski kayıt çalışmayı bırakır; karışıklık olmaması için eski kaydı daha sonra silin. Taşıma sırasında bir şeyler ters giderse diye yedek kodlarınızı elinizin altında tutun.

Uygulama şifresi, belirli bir uygulamanın ya da cihazın iki faktörlü doğrulamadan geçmeden hesabınıza giriş yapmasını sağlayan, uzun ve rastgele oluşturulmuş bir şifredir. Yalnızca kullanıcı adı ve şifreden anlayan, kod isteği gösteremeyen ya da giriş sayfası açamayan eski yazılımlar için vardır.

Google, Microsoft ve Yahoo hesapları başta olmak üzere pek çok hesap, çoğu durumda ancak iki faktörlü doğrulama açıldıktan sonra, hesabın güvenlik ayarlarından uygulama şifresi oluşturmanıza izin verir. Belirli iş veya okul hesapları ya da en sıkı güvenlik programlarına kayıtlı hesaplar gibi bazı hesap türleri bu seçeneği hiç sunmayabilir. Her uygulama şifresini genellikle yalnızca oluşturulduğu sırada bir kez görürsünüz; bu yüzden hemen ilgili uygulamaya yapıştırın.

Uygulama şifresi ikinci faktörü atladığı için onu, koruduğu posta kutusunun tam şifresi gibi değerlendirin. Her uygulama ya da cihaz için ayrı bir şifre oluşturun, hizmet izin veriyorsa açıklayıcı bir ad verin ve hiçbir yerde tekrar kullanmayın.

Modern e-posta uygulamaları büyük sağlayıcılara, iki faktörlü doğrulamayı doğrudan yöneten tarayıcı benzeri bir giriş penceresi üzerinden bağlanır; dolayısıyla uygulama şifresine ihtiyaç duymazlar. Genellikle yalnızca bir program ya da cihaz düz IMAP, POP veya SMTP ayarlarıyla ve basit bir şifre alanıyla bağlandığında buna gerek duyarsınız: eski masaüstü e-posta programları, bazı mobil posta uygulamaları, e-posta gönderen yazıcılar ve doküman tarayıcıları, yedekleme araçları, betikler ve eski akıllı cihazlar.

İyi bir yöntem, önce normal girişi denemektir. Uygulama sağlayıcının kendi giriş sayfasını açıyorsa onu kullanın. Yalnızca sunucu ayarları sunuyor ve iki faktörlü doğrulamayı açtıktan sonra doğru şifrenizi reddedip duruyorsa, bu uygulama şifresi oluşturmanız gerektiğinin işaretidir: şifreyi oluşturun, normal şifrenizin yerine girin ve diğer ayarlara dokunmayın.

Sağlayıcılar, üçüncü taraf uygulamalarda düz şifreyle girişten kullanıcıları giderek uzaklaştırıyor; bu yüzden bugün çalışan bir uygulama şifresi ileride desteklenmeyebilir. Düzenli kullandığınız bir program bağlanmayı bıraktığında, yeni bir uygulama şifresi oluşturmadan önce programın yeni sürümünün modern giriş yöntemini destekleyip desteklemediğine bakın.

Hesabın güvenlik ayarlarından uygulama şifrelerinizi ara ara gözden geçirin ve artık kullanmadıklarınızı, özellikle sattığınız cihazlara ya da kaldırdığınız programlara ait olanları iptal edin. Bazı sağlayıcılar her uygulama şifresini ayrı ayrı listeler, bazıları ise yalnızca hepsini birden kaldırmanıza izin verir. Bazı hizmetlerde ana şifrenizi değiştirmek mevcut uygulama şifrelerini de iptal eder; bu yüzden ardından yenilerini oluşturmaya hazır olun.

Bir e-posta hesabını başkasından aldıysanız, örneğin rStock gibi bir dijital ürün pazar yeri üzerinden, sizin oluşturmadığınız tüm uygulama şifrelerini ve doğrulama uygulaması kayıtlarını kaldırın, ardından kendi doğrulama uygulamanızı kurup yeni yedek kodlar oluşturun. rStock'ta teslim edilen içerik, siparişinize bağlı bir teslimat kaydı olarak sipariş sayfanızda görünür; bilgileri değiştirmeye başlamadan önce şifre yöneticinize kopyalayın. Edindiğiniz her hesabı sağlayıcının kullanım koşullarına uygun şekilde kullanın.

Son olarak doğrulama uygulamanızı, yedek kodlarınızı ve uygulama şifrelerinizi mümkün olduğunca birbirinden ayrı tutun. Çalınan tek bir telefon ya da sızan tek bir not, birinin e-postanızın bütün anahtarlarını ele geçirmesine asla yetmemeli.