İki Faktörlü Kimlik Doğrulama (2FA) Rehberi – Çevrimiçi Hesaplarınızı Nasıl Güvence Altına Alırsınız
Bankanızdaki para bir gecede çekilmiş. Şifreniz benzersizdi, on altı karakter uzunluğundaydı ve kimseyle paylaşmamıştınız. Peki bu nasıl oldu? Büyük ihtimalle, o şifre aylar önce bir veri ihlalinde sızdırıldı ve dünyanın öbür ucundaki biri bunu sizin giriş sayfanıza kolayca yazdı. İki faktörlü kimlik doğrulamayı etkinleştirmiş olsaydınız, o çalınan şifre tek başına işe yaramazdı.
Bu nadir bir korku hikayesi değil. Her gün yaşanıyor. Şifreler, ne kadar karmaşık olursa olsun, tek bir başarısızlık noktasıdır. İki faktörlü kimlik doğrulama, hesabınıza kimseyi almadan önce ikinci bir kimlik kanıtı talep ederek bu açığı kapatır. Bunun ne anlama geldiğini, saçınızı başınızı yolmadan nasıl kuracağınızı ve hayatınıza hangi yöntemin uyduğunu adım adım anlatalım.
İki Faktörlü Kimlik Doğrulama Gerçekten Nedir?
Özünde, iki faktörlü kimlik doğrulama tam olarak adından anlaşıldığı gibidir: bir yerine iki doğrulama katmanı. İlk katman bildiğiniz bir şeydir, genellikle şifreniz. İkinci katman sahip olduğunuz bir şeydir, telefonunuz gibi, ya da olduğunuz bir şeydir, parmak iziniz gibi. Her iki faktör de gerektiğinde, çalınan bir şifre işe yaramaz bir tuğlaya dönüşür. Saldırgan o ikinci öğe olmadan ilerleyemez.
Çoğu çevrimiçi hizmet bunu, şifrenizi girdikten sonra açılan bir güvenlik kontrolü olarak sunar. Bir kısa mesaj alabilir, telefonunuzda bir bildirimi onaylayabilir veya küçük bir USB aygıtı takabilirsiniz. Bu ek adım yaklaşık beş saniye sürer ve güvenli bir hesapla ele geçirilmiş bir hesap arasındaki fark olabilir.
Neden Tek Bir Şifre Artık Duvar Değil
Güçlü bir şifrenin bitiş çizgisi olduğunu düşünmeye şartlandırıldık. Değil. Sadece başlangıç noktasıdır. Saldırganlar artık binlerce web sitesinde milyonlarca sızdırılmış kullanıcı adı ve şifre kombinasyonunu test eden otomatik kimlik bilgisi doldurma araçları kullanıyor. Bir şifreyi herhangi bir yerde yeniden kullandıysanız, onu bulacaklardır. Benzersiz şifreler bile, bankanızın veya e-posta sağlayıcınızın tıpatıp aynısı gibi görünen ikna edici sahte giriş sayfalarıyla kimlik avına uğrayabilir.
Klasik senaryoyu ele alalım: Netflix ödemenizin başarısız olduğunu iddia eden acil bir e-posta alırsınız. Bağlantıya tıklar, kimlik bilgilerinizi girersiniz ve şimdi başka bir ülkedeki bir yabancı sizi dışarıda bırakırken sizin hesabınızdan yayın izliyordur. İki faktörlü kimlik doğrulama bunu anında durdurur çünkü saldırganın girişi tamamlamak için telefonunuz veya kimlik doğrulayıcı uygulamanız yoktur. Mevcut şifrelerinizin ne kadar dayanıklı olduğundan emin değilseniz, adwatak.cloud güvenlik duruşunuzu değerlendirmek için kaynaklar sunar.
SMS Tabanlı İki Faktörlü Kimlik Doğrulamayı Kurma
SMS, iki faktörlü kimlik doğrulamanın en eski ve en yaygın olarak bulunan biçimidir. Neredeyse her büyük hizmet bunu destekler ve uygulama yüklemesi gerektirmez. Çoğu platformda nasıl etkinleştirileceği aşağıda açıklanmıştır.
Hesap ayarlarınızı açın ve Güvenlik, Gizlilik veya İki Faktörlü Kimlik Doğrulama'yı arayın. Telefon numarası ekle seçeneğini belirleyin. Cep telefonu numaranızı girin ve genellikle altı haneli kısa bir sayısal kod içeren bir kısa mesaj bekleyin. Bu kodu web sitesindeki doğrulama alanına yazın. Onaylandıktan sonra, tanınmayan bir cihazdan her giriş yapılmaya çalışıldığında hizmet kısa mesajla yeni bir kod gönderecektir.
Dezavantajı gerçektir. SMS kodları, bir dolandırıcının operatörünüzü numaranızı kendi cihazına taşımaya ikna ettiği SIM değişimi yoluyla ele geçirilebilir. Ayrıca, hücresel ağın kendisindeki zayıflıkları istismar eden SS7 saldırılarına karşı da savunmasız olabilirler. Bu nedenle, güvenlik uzmanları genellikle yalnızca başka bir seçenek olmadığında SMS'i önerir. Yine de, SMS iki faktörlü kimlik doğrulama hiç yoktan sonsuz derecede iyidir.
Google Authenticator Nasıl Kurulur
Google Authenticator, her otuz saniyede bir yenilenen zamana dayalı kodlar üretir. Çevrimdışı çalışır, bu da giriş yapmak için sinyale ihtiyacınız olmadığı anlamına gelir. Ritmi öğrendikten sonra kurulum basittir.
Önce, telefonunuzun uygulama mağazasından Google Authenticator'ı yükleyin. Bilgisayarınızda, korumak istediğiniz hizmete giriş yapın ve iki faktörlü kimlik doğrulama ayarlarına gidin. Yöntem olarak kimlik doğrulayıcı uygulamasını seçin. Site bir QR kodu gösterecektir. Telefonunuzda Google Authenticator'ı açın, artı simgesine dokunun ve QR kodunu tara'yı seçin. Kameranızı ekrandaki kodla hizalayın. Uygulama hemen bir giriş oluşturacak ve altı haneli kodlar üretmeye başlayacaktır. Bağlantının çalıştığını onaylamak için geçerli kodu web sitesine girin.
Pencereyi kapatmadan önce, hizmetin sunduğu yedek kodları bir yere yazın. Onları kilitli bir çekmece veya şifre yöneticisi gibi güvenli bir yerde saklayın. Telefonunuz bozulur veya kaybolursa, bu kodlar geri dönmenin tek yoludur. Google Authenticator hesaplarınızı otomatik olarak buluta yedeklemez, bu nedenle yedek kodlar olmadan telefonunuzu kaybetmek gerçek bir baş ağrısıdır.
Authy ile Başlarken
Authy, Google Authenticator'a benzer şekilde çalışır ancak bulut yedeklemeleri ve çoklu cihaz desteği ekler. Birden fazla telefon veya tabletle uğraşıyorsanız, Authy genellikle daha sorunsuz bir seçimdir.
Authy'yi indirin ve telefon numaranızla kaydolun. Uygulama, sahipliği doğrulamak için size kısa mesaj veya arama yoluyla bir PIN gönderecektir. İçeri girdikten sonra, tıpkı Google Authenticator'da olduğu gibi artı simgesine dokunarak ve güvence altına aldığınız hizmetin QR kodunu tarayarak bir hesap ekleyin. Temel fark bundan sonra gelir. Authy'nin ayarlarını açın ve Authenticator Yedeklemelerini etkinleştirin. Belgeleriniz cihazınızdan ayrılmadan önce onları şifreleyen ayrı bir yedekleme şifresi oluşturacaksınız. Bu, telefonunuzu bir göle düşürürseniz, yeni bir cihaza Authy'yi yükleyip yedekleme şifrenizi girerek tüm belirteçleri anında geri yükleyebileceğiniz anlamına gelir.
Authy ayrıca tüm cihazlarınız senkronize edildikten sonra çoklu cihaz erişimini devre dışı bırakmanıza olanak tanır, bu da bir hırsızın sizin numaranızı kullanarak kendi telefonuna Authy yüklemesini engeller. Bu kolaylık ve sağlamlaştırma kombinasyonu, katılık olmadan güvenlik isteyen insanlar arasında onu favori yapar.
Donanım Anahtarları: Maksimum Güvenliğe İhtiyacınız Olduğunda
En hassas verilerinizi koruyan hesaplar için, finans kurumları, birincil e-posta veya vergi belgelerini içeren bulut depolama gibi, bir donanım güvenlik anahtarı altın standarttır. YubiKey veya Google'ın Titan Güvenlik Anahtarı gibi cihazlar, anahtarlığınızda taşıyacak kadar küçüktür ve USB ile bilgisayarınıza takılır veya NFC kullanarak telefonunuza dokundurulur.
Giriş sırasında, şifrenizi yazdıktan sonra, kimlik doğrulamak için anahtara fiziksel olarak dokunursunuz. Yazılacak kod ve ele geçirilecek sinyal yoktur. Kimlik avı sayfaları anahtarı kandıramaz çünkü anahtar gerçek web sitesi alan adını kriptografik olarak doğrular. Sahte bir giriş sayfasına kanarsanız, anahtar çalışmayı reddeder.
Ödünleşimler maliyet ve taşınabilirliktir. İyi bir donanım anahtarı yirmi ile elli dolar arasındadır. Evde bırakırsanız, giriş yapamazsınız. Kaybederseniz, yedek kodlara veya güvenli bir yerde bekleyen ikinci bir kayıtlı anahtara ihtiyacınız olur. Çoğu insan için, donanım anahtarları telefonlarındaki her uygulama yerine üç ila beş kritik hesap için ayrılması en iyisidir.
Seçeneklerinizi Yan Yana Karşılaştırma
SMS tabanlı iki faktörlü kimlik doğrulama erişilebilirlikte kazanır. Telefonu olan herkes hemen kullanabilir. Ancak, SIM değişim saldırıları ve ele geçirme riskleri nedeniyle güvenlik merdiveninin en altında yer alır.
Google Authenticator ve Authy gibi kimlik doğrulayıcı uygulamalar, kodları cihazınızda yerel olarak üreterek korumayı artırır. Hücresel ağlar üzerinden seyahat etmezler, bu nedenle SMS'in yapabileceği şekilde ele geçirilemezler. Authy, şifreli yedekleme özellikleri nedeniyle çoğu kullanıcı için Google Authenticator'ın önüne geçerken, Google Authenticator son derece basit, hesap gerektirmeyen bir uygulama isteyenlere hitap eder.
Donanım anahtarları en üstte yer alır. Kimlik avına karşı dirençlidirler, uzaktan saldırılara karşı bağışıktırlar ve kullanımı hızlıdır. Aynı zamanda en az kullanışlı ve maliyetli olan tek seçenektir. Mantıklı bir yaklaşım, e-posta ve şifre yöneticiniz için bir donanım anahtarı, sosyal medya ve alışveriş siteleri için bir kimlik doğrulayıcı uygulaması ve yalnızca başka bir yöntem sunulmuyorsa SMS kullanmaktır.
Yedek Kod Güvenlik Ağı
İki faktörlü kimlik doğrulama sunan her büyük hizmet, ilk etkinleştirdiğinizde yedek kodlar da sağlar. Bunlar, ikinci faktörünüzü tamamen atlayan tek kullanımlık kodlardır. Çoğu insan kurulumu bitirmek için aceleyle bunları atlar. Bu hatayı yapmayın.
Onları yazdırın. Yanmaz bir kasaya, kilitli bir dosya dolabına veya gerçek bir banka kiralık kasasına koyun. Bir şifre yöneticisi kullanıyorsanız, onları orada da saklayabilirsiniz, ancak fiziksel bir kopya, yöneticinizden kilitlenirseniz sizi korur. Yedek kodlara evinizin yedek anahtarı gibi davranın. Onlara asla ihtiyacınız olmamasını umarsınız, ama ihtiyacınız olduğu gün, var olduklarına sevinirsiniz.
Savunmalarınızı Katmanlayın: Güçlü Şifreler Hala Önemli
İki faktörlü kimlik doğrulama, her web sitesinde "Fluffy123" gibi şifreleri yeniden kullanmak için bir bahane değildir. İkinci faktör uzaktan saldırganlara karşı korur, ancak zayıf bir şifre sizi yine de kaba kuvvet, tahmin veya yerel saldırılara karşı savunmasız bırakır. Bunu, çerçevesi kırık bir kapıdaki sürgü gibi düşünün. Kilit yardımcı olur, ancak yapı hala önemlidir.
Her hesap için benzersiz, rastgele şifreler oluşturun. Bir şifre yöneticisi bunu pratik hale getirir ve anında yeni bir karmaşık şifreye ihtiyacınız olursa, adwatak.cloud/tools/password-generator adresindeki şifre oluşturucu anında kriptografik olarak güçlü kimlik bilgileri oluşturur. Bu güçlü şifreleri iki faktörlü kimlik doğrulama ile eşleştirmek, çoğu insanın aşılmaz bir ön kapıya en yakın olabileceği şeydir. Dijital hayatınızı kilitleme konusunda daha geniş bir bakış için, adwatak.cloud keşfedilmeye değer ek güvenlik araçlarına sahiptir.
Bugün Nereden Başlamalı
Bu öğleden sonra her hesapta iki faktörlü kimlik doğrulamayı etkinleştirmeniz gerekmez. E-posta sağlayıcınızla başlayın, çünkü e-posta diğer her şeyin ana anahtarıdır. Saldırganlar gelen kutunuza sahip olursa, bankanız, sosyal medyanız ve alışveriş hesaplarınız için şifreleri sıfırlayabilirler. Ardından, finansal hizmetlerinizi, ardından şifre yöneticinizi, bulut depolamanızı ve sosyal medyanızı ele alın.
Her hesabı metodik olarak gözden geçirin. Hizmet donanım anahtarlarını destekliyorsa, e-posta ve bankacılığınız için bir tane kullanın. Bir kimlik doğrulayıcı uygulamasını destekliyorsa, Authy veya Google Authenticator'ı yükleyin ve kodları tarayın. Tek seçenek SMS ise, yine de açın. Biraz koruma, her zaman hiç koruma olmamasından iyidir. Süreç boyunca size yardımcı olacak daha fazla rehberlik ve yardımcı programı adwatak.cloud adresinde bulabilirsiniz.
Sıkça Sorulan Sorular
Zaten güçlü şifreler kullanıyorsam iki faktörlü kimlik doğrulama gerçekten gerekli mi?
Evet. Güçlü şifreler önemlidir, ancak yine de veri ihlallerinde çalınabilir veya kimlik avına uğrayabilir. İki faktörlü kimlik doğrulama, çalınan bir şifrenin tek başına hesabınızın kilidini açamamasını sağlar.