İki Adımlı Doğrulama (2FA) Nedir ve Nasıl Kurulur?

İki adımlı doğrulama nedir?#

Klasik girişte tek kanıtınız vardır: şifre. Şifre bildiğiniz bir şeydir ve onu bilen herkes sizin yerinize girebilir. İki adımlı doğrulamada şifreye ikinci bir kanıt eklenir; bu genellikle sahip olduğunuz bir şeydir: telefonunuz, bir uygulama ya da fiziksel bir anahtar.

Bunun işe yaradığı tipik durumlar şunlardır:

• Aynı şifreyi birden çok sitede kullandınız ve bunlardan biri sızdı. Saldırgan şifreyi bilse de ikinci adımı geçemez.
• Şifreniz sahte bir sayfaya yazıldı ya da tahmin edildi. İkinci kanıt olmadan giriş tamamlanmaz.

Bir sınırı baştan söyleyelim: 2FA oltalamaya karşı mutlak bir kalkan değildir. Gerçek zamanlı çalışan sahte sayfalar, girdiğiniz 6 haneli kodu da anında gerçek siteye iletebilir. Bu yüzden kod isteyen bir sayfada adres çubuğunu kontrol etmek ve kritik hesaplarda güvenlik anahtarı ya da passkey tercih etmek önemlidir.

Yöntemler: SMS, kimlik doğrulayıcı, güvenlik anahtarı#

Bir hizmet birden fazla seçenek sunuyorsa genel sıralama şöyledir: güvenlik anahtarı ya da passkey, ardından kimlik doğrulayıcı uygulama, en sonda SMS. SMS bile hiç olmamasından iyidir.

TOTP nasıl çalışır?#

Kimlik doğrulayıcı uygulamaların kullandığı yöntemin adı TOTP’tur (zamana dayalı tek kullanımlık parola) ve RFC 6238 ile standartlaştırılmıştır. Mantığı basittir:

• Kurulum sırasında hizmet size bir gizli anahtar verir. QR kod aslında bu anahtarı taşıyan bir bağlantıdır (otpauth://).
• Hem hizmet hem uygulama aynı anahtarı ve o anki saati alıp kodu birbirinden bağımsız hesaplar. Bu yüzden ikisi aynı kodu görür.
• Kod genellikle 30 saniye geçerlidir, sonra yenilenir. Telefonunuzun saati çok kayıksa kodlar tutmaz.

Buradan iki sonuç çıkar. Gizli anahtar şifre kadar değerlidir ve kimseyle paylaşılmamalıdır. Öte yandan aynı anahtar birden çok uygulamaya yüklenebilir; hizmetler QR kodu genellikle yalnızca kurulum anında gösterdiği için bunu o sırada yapmanız gerekir.

Adım adım kurulum#

Menü adları hizmetten hizmete değişir, ama akış hemen her yerde aynıdır.

1. Güvenlik ayarlarını açın. Hizmette hesap ayarlarına girin ve “Güvenlik”, “İki adımlı doğrulama” ya da “2 aşamalı doğrulama” başlığını bulun.
2. Yöntemi seçin. Mümkünse SMS yerine “Kimlik doğrulayıcı uygulama” (bazı hizmetlerde “Authenticator”) seçeneğini işaretleyin.
3. QR kodu okutun. Doğrulayıcı uygulamanızla ekrandaki QR kodu okutun. Kamera kullanamıyorsanız “Anahtarı elle gir” ya da “Kurulum anahtarı” bağlantısını seçip gösterilen metni uygulamaya yazın.
4. Kodu doğrulayın. Uygulamada beliren 6 haneli kodu hizmete girin. Kod tutmazsa telefonunuzun saatinin otomatik ayarlı olduğunu kontrol edin.
5. Yedek kodları kaydedin. Hizmet size bir yedek kod listesi verir. Hemen indirin ya da kopyalayın; nerede saklayacağınızı bir sonraki bölümde anlatıyoruz.
6. Test edin. Çıkış yapıp yeniden girin. İkinci adım sizi karşılıyorsa kurulum tamamdır.

Yedek kodlar: telefonunuz kaybolursa#

Yedek kodlar, kimlik doğrulayıcıya erişemediğiniz anda hesabınıza girmenizi sağlayan, genellikle tek kullanımlık kodlardır. Telefon kaybolduğunda, bozulduğunda ya da sıfırlandığında hesabı kurtarmanın en hızlı yoludur; elinizde yoksa çoğu hizmette uzun bir kimlik doğrulama sürecine girmeniz gerekir.

• Kodları telefonunuzdaki tek kopya olarak bırakmayın.
• Yazıcıdan alıp güvenli bir yerde saklayabilir ya da şifreli kasanızdaki ilgili kayda yazabilirsiniz.
• Bir kod kullanıldığında listede işaretleyin; hizmetler çoğunlukla yeni liste üretmenize izin verir.

Ceepri’de 2FA kaydının “Yedek Kodlar” alanına kodları satır satır yazarsınız. Kodlar şifreli saklanır; görüntülemek için hesap şifrenizi yeniden girmeniz istenir ve kullandığınız kodları işaretleyebilirsiniz.

2FA kodlarını Ceepri’de tutmak#

Ceepri, şifrelerinizin yanında TOTP kodlarınızı da kasada üretir. Google Authenticator ile aynı RFC 6238 standardını kullandığı için aynı gizli anahtar aynı kodu verir. Kayıt eklemek için:

1. 2FA ekranını açın. Şifre kasası içindeki 2FA / TOTP bölümüne geçin ve Yeni kayıt’a basın; “2FA Kaydı Ekle” penceresi açılır.
2. Yöntemi seçin. Manuel sekmesinde platformu, hesap adını ve gizli anahtarı (TOTP Secret Key) yazın. QR / URI sekmesinde ise otpauth:// bağlantısını yapıştırabilir, QR görselini yükleyebilir ya da kamerayla tarayabilirsiniz; alanlar otomatik dolar.
3. Şifre kaydına bağlayın. “Bağlı Şifre Kaydı” alanından o hesabın şifresini seçerseniz kod ve şifre birlikte görünür.
4. Yedek kodları ekleyin. Hizmetin verdiği yedek kodları ilgili alana yapıştırın ve kaydedin.

Kod, kalan süre göstergesiyle birlikte görünür. Chrome eklentisini kullanıyorsanız giriş sayfası ikinci adımı sorduğunda eklenti kodu getirip alana yazabilir. Gizli anahtarı yeniden görmek istediğinizde de hesap şifreniz sorulur.

İşletme profillerinde 2FA kayıtları için de bir izin düzeni vardır: bir çalışan yalnızca kodu kopyalayabilir, bir başkası gizli anahtarı ya da yedek kodları görebilir. Ayrıntı için ekip şifre yönetimi rehberine bakın.

Şifre ve kodu aynı yerde tutmanın bedeli#

Riski azaltmanın yolları:

• Ceepri girişinizi tek yönteme bırakmayın. Şifre, SMS ve e-posta kodu, desen, resim seçme, yüz, ses ve cihaz doğrulaması gibi giriş yöntemlerini birlikte kullanabilirsiniz.
• E-posta, banka ve alan adı gibi en kritik hesaplarda kodları kasanın dışında, ayrı bir doğrulayıcıda ya da güvenlik anahtarında tutmayı düşünün.
• Yedek kodların bir kopyasını kasa dışında, fiziksel olarak saklayın.
• Ceepri’nin sıfır bilgi (zero-knowledge) olmadığını unutmayın: kasa alanları sunucu tarafında, kullanıcıya özel anahtarlarla şifrelenir.
• Kodlar Ceepri üzerinden üretildiği için kod almak internet bağlantısı ve hesabınıza erişim gerektirir.