İki faktörlü doğrulama (2FA): her hesap için neden şart?

Tek başına bir şifre, tek bir zayıf halka demektir. Tahmin edilirse, daha sonra veri sızıntısı yaşayan bir sitede de kullanılmışsa ya da inandırıcı bir sahte giriş sayfasına yazılırsa, onu ele geçiren herkes sizin yerinize oturum açabilir. Kısaca 2FA olarak bilinen iki faktörlü doğrulama, bildiğiniz şeyle hiçbir ilgisi olmayan ikinci bir kontrol ekler: telefonunuz ya da fiziksel bir anahtar gibi sahip olduğunuz bir şey veya parmak iziniz gibi doğrudan size ait bir özellik.

Böylece çalınan bir şifre tek başına yetmez hâle gelir. Şifrenizi ele geçiren saldırganın yine de doğrulama uygulamanızdaki koda, güvenlik anahtarınıza dokunulmasına ya da güvenilir cihazınızdaki onaya ihtiyacı vardır. Sıradan hesaplara yönelik saldırıların çoğu otomatik ve fırsatçıdır; bu ek adım sizi kolay hedefler arasından çıkarır ve hesabınızın ele geçirilme ihtimalini ciddi ölçüde düşürür.

2FA iyi bir şifrenin yerini tutmaz. En iyi sonucu, bir şifre yöneticisinde saklanan uzun ve benzersiz bir şifreyle birlikte kullanıldığında verir. İkisi birbirinin açığını kapatır: benzersiz şifre başka sitelerdeki sızıntıların zararını sınırlar, ikinci faktör ise şifre yine de sızdığında sizi korur.

Doğrulama uygulamaları, bir QR kodu okuttuğunuzda hizmetin uygulamayla paylaştığı gizli bir anahtardan her seferinde yeni ve kısa bir kod üretir; bu kod genellikle altı hanelidir ve çoğunlukla 30 saniyede bir yenilenir. İnternet bağlantısı olmadan çalışırlar, genellikle ücretsizdirler ve büyük platformların çoğunda desteklenirler. Bu yüzden çoğu kişi için mantıklı bir varsayılan tercihtir.

Donanım güvenlik anahtarları, oturum açarken taktığınız ya da dokunduğunuz küçük USB, NFC veya Bluetooth cihazlarıdır. Geçiş anahtarları (passkey) da benzer bir mantıkla çalışır, ancak telefonunuzda ya da bilgisayarınızda bulunur ve parmak iziniz, yüzünüz veya cihaz PIN'inizle açılır. Her ikisi de gerçek web sitesi adresine bağlıdır; bu nedenle birebir taklit edilmiş bir oltalama sayfasına yanıt vermezler. Bu da onları sıradan kullanıcıların erişebileceği en güçlü seçenekler yapar.

Bildirimle onay (push) yönteminde, zaten oturum açılmış bir cihazda girişi onaylamanız istenir. SMS ve sesli arama kodları telefon numaranıza tek kullanımlık bir kod gönderir. Yedek kodlar ise alışık olduğunuz yöntem kullanılamadığında acil durumlar için hazırlanmış, her biri bir kez geçerli kodlardan oluşan bir listedir. Çoğu hizmet birden fazla yöntemi etkinleştirmenize izin verir ve bunu mutlaka yapmalısınız: bir ana yöntem ve en az bir yedek.

Kısa mesajla gelen kodlar, hiç ikinci faktör olmamasından çok daha iyidir; ama telefon numaranıza bağlıdırlar ve telefon numaranız tamamen sizin kontrolünüzde değildir. SIM kart değiştirme (SIM swap) saldırısında dolandırıcı, bir mobil operatör çalışanını kandırarak ya da rüşvet vererek numaranızı kendi elindeki bir SIM karta taşıtır. O andan itibaren size gelmesi gereken her kod onun telefonuna düşer.

SMS kodları da tıpkı şifreler gibi oltalamayla ele geçirilebilir: sahte bir giriş sayfası kodu ister, saldırgan da saniyeler içinde bu kodu gerçek siteye aktarır. Erişimi çok daha sıradan nedenlerle de kaybedebilirsiniz; örneğin yurt dışına dolaşım açmadan çıktığınızda, operatör değiştirdiğinizde ya da kullanmadığınız faturasız bir hat kapanıp numara bir süre sonra başka birine verildiğinde.

Hizmet bir doğrulama uygulaması, güvenlik anahtarı ya da geçiş anahtarı sunuyorsa bunlardan birine geçin; SMS'i yalnızca yedek olarak tutun ya da hizmet izin veriyorsa tamamen kaldırın. SMS tek seçenekse numaranın kendisini koruyun: birçok operatör, izinsiz numara taşımayı zorlaştıran bir müşteri şifresi ya da taşıma kilidi tanımlamanıza olanak tanır.

İşe diğer her şeyin anahtarı olan hesaplardan başlayın. Şifre sıfırlama bağlantıları oraya geldiği için ilk sırada ana e-posta adresiniz olmalı; ardından Apple, Google ya da Microsoft hesabınız, şifre yöneticiniz ve para ya da değerli veri barındıran her hesap gelir. Bunlar korunduktan sonra sosyal ağlara, Telegram ve Discord gibi mesajlaşma uygulamalarına ve geri kalanlara geçin.

Bu seçenek genellikle hesabın güvenlik ayarlarında, iki adımlı doğrulama, iki faktörlü doğrulama ya da giriş doğrulaması gibi bir adla yer alır. Doğrulama uygulaması veya güvenlik anahtarı seçeneğini seçin, QR kodunu uygulamanızla okutun ve her şeyin çalıştığını teyit etmek için uygulamanın gösterdiği kodu girin. Hizmet geçiş anahtarlarını destekliyorsa telefonunuza ve bilgisayarınıza birer tane eklemek, hem pratik hem de oltalamaya karşı dayanıklı bir giriş yöntemi sağlar.

Ayarlar sayfasını kapatmadan önce yedek kodları kaydedin, mümkünse ikinci bir yöntem ekleyin ve kurtarma e-postası ile telefon numarasının güncel olduğunu ve size ait olduğunu kontrol edin. Ardından bir kez çıkış yapıp yeniden giriş yapın; böylece gerçekten ihtiyaç duymadan önce doğrulama isteğinin nasıl göründüğünü öğrenmiş olursunuz.

Yedek kodlar, telefonunuz kaybolduğunda, bozulduğunda ya da sıfırlandığında hesabınıza geri dönmenin yoludur. Her kod yalnızca bir kez çalışır ve birçok hizmette yeni bir set oluşturmak eskisini geçersiz kılar. Onlara yedek ev anahtarı gibi davranın: ihtiyaç duyduğunuzda vazgeçilmezdir, bulamazsanız işe yaramaz, bir yabancının eline geçerse tehlikelidir.

Saklamak için iyi yerler arasında önemli evraklarınızla birlikte duran basılı bir kopya ya da doğrulama uygulamanızın bulunduğu telefona ihtiyaç duymadan açabileceğiniz bir şifre yöneticisindeki şifreli bir not sayılabilir. E-posta gelen kutunuz, kilitsiz bir not uygulaması, galerinizdeki bir ekran görüntüsü ya da kodlarınızı üreten cihazın kendisindeki bir dosya ise kötü tercihlerdir; çünkü o tek cihazı kaybettiğinizde hesabın tamamen dışında kalırsınız.

Kullandığınız her kodun üzerini çizin ve azaldıklarında yeni bir set oluşturun. Kodlarınızı birinin gördüğünden şüpheleniyorsanız eski listenin geçersiz olması için hemen yenilerini oluşturun.

Bir hesabı başkasından devraldıysanız, ister bir iş arkadaşınızın size bıraktığı proje hesabı olsun ister dijital ürün pazar yerinden yapılmış bir satın alma, önceki sahibin hâlâ erişimi olabileceğini varsayın. Amaç, oturum açabilen tek kişinin siz olmanızı sağlamaktır. Hesabı her zaman markanın kullanım koşullarına uygun şekilde kullanın.

Şu sırayla ilerleyin: şifreyi yeni ve benzersiz bir şifreyle değiştirin, kurtarma e-postasını ve telefonunu kendi kontrolünüzdekilerle güncelleyin, sizin eklemediğiniz doğrulama uygulamalarını, güvenlik anahtarlarını ya da güvenilir cihazları kaldırın, ardından kendi uygulamanızla 2FA'yı açıp yeni yedek kodlar oluşturun. Son olarak etkin oturumları gözden geçirin ve kendi cihazınız dışındaki tüm cihazlardan çıkış yapın.

rStock'ta teslim edilen içerik, siparişinize bağlı bir teslimat kaydı olarak sipariş sayfanızda görünür; böylece bilgileri oradan doğrudan şifre yöneticinize kopyalayabilirsiniz. Ödemeniz mağazaya hemen aktarılmaz, bekletilir; teslim edilen hesap açıklandığı gibi çalışmıyorsa teslimattan sonraki sınırlı süre içinde anlaşmazlık açabilirsiniz. İlk yanıtı mağaza verir; anlaşamazsanız bir moderatör çağrılabilir. Hesabı vakit kaybetmeden güvenli hâle getirip kontrol etmek, olası bir sorunu bu süre dolmadan fark etmenize yardımcı olur.

Sizin başlatmadığınız bir giriş bildirimini onaylamak, 2FA'nın boşa çıkmasının en yaygın yollarından biridir. Siz oturum açmıyorken böyle bir istek gelirse reddedin ve şifrenizi değiştirin; çünkü birinin elinde şifreniz zaten var demektir. Kendini banka çalışanı, kargo görevlisi ya da destek ekibi olarak tanıtıp sizi arayan veya size yazan ve gelen kodu okumanızı isteyen herkes için de aynısı geçerlidir: meşru hizmetlerin tek kullanımlık bir kodu kimseyle paylaşmanıza ihtiyacı yoktur.

Bir diğer hata da hesabı 2FA ile korurken eski ve zayıf bir kurtarma yolunu açık bırakmaktır; örneğin artık bakmadığınız bir e-posta adresi ya da kullanmadığınız bir telefon numarası. Daha zayıf bir kapı açıksa saldırganlar en sağlam kapıyla uğraşmaz, oradan girer; bu yüzden telefon ya da e-posta sağlayıcısı değiştirdiğinizde kurtarma seçeneklerinizi mutlaka gözden geçirin.

Son olarak, kodları nasıl taşıyacağınızı planlamak için yeni telefonun gelmesini beklemeyin. Bir cihazı değiştirmeden ya da sıfırlamadan önce doğrulama kodlarınızı taşıyın, yeni cihazda çalıştıklarını teyit edin ve eski cihazı ancak bundan sonra silin. Birkaç dakikalık hazırlık, saatler sürebilecek bir hesap kurtarma uğraşının önüne geçer.