İki Faktörlü Kimlik Doğrulama Nedir? Sade Bir Rehber
İki faktörlü kimlik doğrulama (2FA), bir girişte kimliğinizi kanıtlamak için iki farklı türde kanıt isteyen bir yöntemdir: genellikle bildiğiniz bir şey, örneğin şifreniz, ve sahip olduğunuz bir şey, örneğin telefonunuz ya da bir güvenlik anahtarı. Bir suçlu şifrenizi çalar ya da tahmin ederse, ikinci faktör olmadan yine de içeri giremez. Önemli hesapları korumanın en basit yollarından biridir.
Yapay zekayla geliştirirken neden önemli
Bir yapay zeka oluşturucuya “giriş” istediğinizde genellikle e-posta ve şifre alırsınız. Bu iyi bir başlangıçtır, ama şifreler tekrar kullanılır, oltalanır ve sızdırılır. Uygulamanız değerli bir şey tutuyorsa — müşteri kayıtları, faturalar, yönetici kontrolleri, ödeme ayarları — çalınan tek bir şifre hepsini açığa çıkarabilir.
2FA ayrıca ilk başta düşünmeyebileceğiniz kararları da etkiler:
- Kimin kullanması gerektiği. Herkes için isteğe bağlı mı, yöneticiler için zorunlu mu, yoksa herkes için zorunlu mu?
- Hangi yöntemlerin destekleneği. Uygulamadan kodlar, mesajlar, geçiş anahtarları, güvenlik anahtarları.
- Birinin kilitli kalması durumunda ne olacağı. Kaybolan telefonlar, 2FA olan her uygulamada en yaygın destek talebidir.
- Nerede zorunlu kılındığı. Kontrol sunucuda yapılmalıdır. Yalnızca tarayıcıda 2FA ekranı gösterip sayfayı gizlemek, atlanabilir.
Kriptografiyi kendiniz yazmanız gerekmez — iyi test edilmiş kütüphaneler ve kimlik sağlayıcıları bunu yapar. Ama neyi isteyeceğinizi bilmeniz gerekir.
Günlük bir benzetme
Bir bankanın emanet kasasını düşünün. Açmak için kimliğiniz (bankanın olduğunuzu ya da bildiğinizi kontrol ettiği şey) ve fiziksel anahtarınız (sahip olduğunuz şey) gerekir. İmzanızı kopyalayan bir hırsızın anahtarı yoktur. Anahtarı cebinden alan bir hırsız da kimlik kontrolünü geçemez.
2FA aynı şekilde çalışır. Şifre imzadır; telefon ya da güvenlik anahtarı fiziksel anahtardır. Tek başına hiçbiri yeterli değildir.
Üç faktör türü
Amerika Birleşik Devletleri'ndeki National Institute of Standards and Technology'nin dijital kimlik kılavuzları gibi güvenlik standartları faktörleri üç türe ayırır:
| Faktör | Örnekler |
|---|---|
| Bildiğiniz bir şey | Şifre, PIN |
| Sahip olduğunuz bir şey | Kimlik doğrulama uygulaması olan telefon, güvenlik anahtarı, geçiş anahtarı tutan bir cihaz |
| Olduğunuz bir şey | Parmak izi, yüz — genellikle gerçek kontrolü yapan cihazın kilidini açmak için kullanılır |
Anahtar kelime farklıdır. Şifre ile güvenlik sorusu iki bildiğiniz şeydir; bu yüzden gerçek iki faktörlü kimlik doğrulama sayılmaz. Tek bir sızıntı ikisini de açığa çıkarabiliyorsa, bu yalnızca bir faktör sayılır.
Yaygın 2FA yöntemlerinin karşılaştırması
| Yöntem | Nasıl çalışır | Güç | Notlar |
|---|---|---|---|
| SMS kodu | Kod telefon numaranıza mesaj olarak gelir | En zayıf | SIM kart değiştirme ve oltalamaya açıktır, ama hiç 2FA olmamasından çok daha iyidir |
| E-posta kodu | Kod e-postanıza gönderilir | Zayıf | Yalnızca e-posta hesabı kadar güvenlidir |
| Kimlik doğrulama uygulaması (TOTP) | Google Authenticator gibi bir uygulama her 30 saniyede bir yeni 6 haneli kod üretir | İyi | Çevrimdışı çalışır; sahte bir site kodu isterse yine de oltalanabilir |
| Push onayı | Bir uygulama “Bu siz misiniz?” diye sorar ve siz onaylarsınız | İyi | “Onay yorgunluğu”na dikkat edin: kullanıcılar tekrarlayan istekleri durdurmak için sürekli evet diyebilir |
| Geçiş anahtarı ya da güvenlik anahtarı | Bir cihazdaki kriptografik anahtar, gerçek sitede olduğunuzu kanıtlar | En güçlü | Sahte bir alan adında çalışmadığı için oltalamaya karşı dayanıklıdır |
NIST'in yönergeleri, kod yazdığınız yöntemleri (SMS, e-posta, kimlik doğrulama uygulamaları) oltalamaya karşı dayanıklı saymaz ve kodların telefon ağı üzerinden gönderilmesini “kısıtlı” olarak işaretler. WebAuthn/FIDO2 standartlarına dayanan geçiş anahtarları ve donanım güvenlik anahtarları ise oltalamaya karşı dayanıklı kabul edilir.
Pratik sonuç: çoğu uygulama için kimlik doğrulama uygulaması güçlü ve kolay bir varsayılandır; kullanıcılarınız rahatsa geçiş anahtarları sunmaya değer.
Çalışılmış bir örnek: bir müşteri portalı için 2FA
Diyelim ki küçük bir muhasebe firmasının müşterilerine vergi belgelerini paylaştığı bir portal yaptınız. Makul bir 2FA kurulumu adım adım şöyle çalışır.
Açmak (kayıt). Müşteri Priya, Ayarlar'ı açar ve “İki faktörlü kimlik doğrulamayı aç”a tıklar. Uygulama bir gizli anahtar üretir ve bunu QR kod olarak gösterir. Priya bunu kimlik doğrulama uygulamasıyla tarar; uygulama altı haneli kodlar göstermeye başlar. Kurulumun çalıştığını kanıtlamak için mevcut kodu portala yazar. Uygulama on kurtarma kodu gösterir ve bunları güvenli bir yere kaydetmesini ister.
Sonraki girişler.
- Priya e-postasını ve şifresini girer. Sunucu bunları kontrol eder.
- Sunucu onu doğrudan içeri almaz; oturumu “şifre tamam, ikinci faktör bekleniyor” olarak işaretler ve kod ekranını gösterir.
- Priya uygulamasındaki kodu yazar. Sunucu, kaydedilmiş gizli anahtarına karşı, saat kaymasına küçük bir tolerans bırakarak kontrol eder.
- Ancak şimdi sunucu tam bir oturum açar ve belgeleri görmesine izin verir.
Bir saldırgan ne görür? Priya'nın şifresi başka bir siteden sızdıysa, saldırgan 3. adımda takılır. Her hatalı kod denemesi sayılır; birkaç yanlıştan sonra hesap geçici olarak kilitlenir ve Priya bir e-posta alır.
Telefonunu kaybederse. Priya kurtarma kodlarından birini kullanarak girer, 2FA'yı kapatıp yeni telefonuyla yeniden açar ve yeni kurtarma kodları alır. Kullanılan kod bir daha asla kullanılamaz.
Personel için. Firmanın muhasebecileri her müşterinin dosyalarını görebilir; bu yüzden portal personel hesapları için 2FA'yı zorunlu kılar. Kaydolmadan panele erişemezler.
Sık kullanılan terimler
| Terim | Anlamı |
|---|---|
| 2FA / MFA | İki faktörlü / çok faktörlü kimlik doğrulama: birden fazla türde kanıtla giriş yapmak. |
| Faktör | Bir kanıt türü: bildiğiniz, sahip olduğunuz ya da olduğunuz bir şey. |
| TOTP | Zamana dayalı tek kullanımlık şifre — kimlik doğrulama uygulamalarındaki dönen kodlar. |
| Paylaşılan gizli anahtar | Uygulamanın ve telefonunuzun eşleşen kodlar üretmek için kullandığı, QR kod ile kurulan gizli değer. |
| Kurtarma (yedek) kodları | İkinci faktörünüzü kaybettiğinizde girmek için kullanılan tek kullanımlık kodlar. |
| Geçiş anahtarı (passkey) | Şifre yerine açık anahtar kriptografisi kullanan, cihazınızda saklanan bir giriş kimliği. |
| Güvenlik anahtarı | Geçiş anahtarıyla aynı işi yapan küçük bir fiziksel cihaz (USB ya da NFC). |
| SIM kart değiştirme | Bir mobil operatörü, bir kişinin numarasını yeni bir SIM karta taşımaya kandırmak; böylece mesajlar saldırganın eline geçer. |
| Oltalama (phishing) | İnsanları şifrelerini ya da kodlarını vermeye kandıran sahte site ya da mesaj. |
| Adım adım kimlik doğrulama (step-up) | Hassas bir işlemden önce, örneğin ödeme bilgilerini değiştirmeden önce ikinci faktörü yeniden istemek. |
Sık yapılan hatalar ve yanlış anlamalar
- “2FA hesabı hacklenemez yapar.” Çok daha zor hale getirir. Oltalama siteleri yazılan kodları gerçek zamanlı olarak ele geçirebilir; geçiş anahtarlarının var olmasının nedeni de budur.
- Kodu yalnızca tarayıcıda kontrol etmek. Sunucu şifreden sonra tam bir oturum verirse, kod ekranı bir süstür. Sunucu, ikinci faktör geçilene kadar erişimi reddetmelidir.
- Kod denemelerine sınır koymamak. Altı haneli bir kodun bir milyon olasılığı vardır. Hız sınırlaması ve kilitlenme olmadan bir saldırgan sadece tahmin etmeye devam edebilir.
- Kurtarmayı unutmak. Kurtarma kodları yoksa, kaybolan her telefon bir destek talebine ya da kilitli kalmış bir müşteriye dönüşür.
- TOTP gizli anahtarını özensiz saklamak. Paylaşılan gizli anahtar veritabanında şifrelenmeli ve kurulumdan sonra bir daha gösterilmemelidir.
- Kullanıcıların 2FA'yı yeniden kontrol etmeden kapatmasına izin vermek. 2FA'yı kapatmak ya da hesap e-postasını değiştirmek, şifre ve güncel bir kod gerektirmelidir.
- Şifre artı güvenlik sorusunun 2FA sayılması. Sayılmaz — ikisi de bildiğiniz şeylerdir.
Yapay zeka oluşturucunuzdan ne istemelisiniz
- “Kimlik doğrulama uygulaması (TOTP) kullanan isteğe bağlı iki faktörlü kimlik doğrulama ekle; kurulum için QR kod ve açılmadan önce bir onay kodu olsun.”
- “2FA açıldığında on tek kullanımlık kurtarma kodu göster. Bunları şifreler gibi özetlenmiş (hashed) olarak sakla.”
- “2FA'yı sunucuda zorunlu kıl: ikinci faktör geçilmeden tam oturum verilmesin.”
- “Kod denemelerini sınırla ve tekrarlanan hatalardan sonra girişi 15 dakika kilitle. Bu olduğunda kullanıcıya e-posta gönder.”
- “Yönetici hesapları için 2FA'yı zorunlu kıl.”
- “2FA'yı kapatmadan ya da hesap e-postasını değiştirmeden önce şifreyi ve güncel bir kodu iste.”
- “Elle kriptografi yazma; iyi bilinen bir kütüphane ya da kimlik sağlayıcımızın yerleşik 2FA'sını kullan.”
- “Hangi yöntemi kullandığını ve gizli anahtarların nerede saklandığını açıkla.”
Barındırılan bir kimlik sağlayıcı kullanıyorsanız, zaten 2FA ya da geçiş anahtarı sunup sunmadığına bakın; yerleşik bir özelliği açmak genellikle özel kod yazmaktan daha güvenlidir. Adım adım anlatım için iki faktörlü kimlik doğrulama nasıl eklenir rehberine, altındaki giriş temellerini için de kimlik doğrulama nedir rehberine bakın.
Mythex'te iki faktörlü kimlik doğrulama
Mythex, uygulamanızın kullanıcıları için yerleşik bir giriş sistemi içermez; bu yüzden 2FA, seçtiğiniz kimlik doğrulama yaklaşımının bir parçasıdır — proje veritabanı üzerinde kendi e-posta ve şifre girişiniz olabilir ya da 2FA sunan barındırılan bir sağlayıcı. Bunu sohbette agent'tan eklemesini istersiniz; sağlayıcı anahtarları sohbete değil, proje sırlarına konur. Uygulamanıza giriş ekleme dokümantasyon tarifi, uyarlayabileceğiniz bir başlangıç istemi içerir ve oluşturduğunuz uygulamalar için güvenlik anahtarlarla ilgili alışkanlıkları anlatır. Yayından önce yapay zekayla oluşturulan uygulamalar için güvenlik kontrol listesi üzerinden geçin.
Sorular
İki faktörlü kimlik doğrulama basitçe nedir?
İki faktörlü kimlik doğrulama (2FA), giriş yaparken iki farklı türde kanıt istenmesidir; genellikle şifreniz ile telefonunuza gelen bir kod ya da bir güvenlik anahtarı. Yalnızca şifrenizi çalan biri yine de içeri giremez.
2FA, MFA ile aynı şey mi?
Neredeyse. Çok faktörlü kimlik doğrulama (MFA) iki ya da daha fazla faktör anlamına gelir; iki faktörlü kimlik doğrulama ise tam olarak iki faktörün kullanıldığı en yaygın durumdur. Günlük kullanımda bu terimler birbiriyle değiştirilerek kullanılır.
SMS ile iki faktörlü kimlik doğrulama güvenli mi?
Yalnızca şifreye göre çok daha iyidir, ama yaygın seçenekler arasında en zayıfıdır. Mesajlar ele geçirilebilir ya da SIM kart değiştirme yoluyla yönlendirilebilir; sahte bir giriş sayfası da insanları kodu yazmaya ikna edebilir. Kimlik doğrulama uygulamaları daha güçlüdür, geçiş anahtarları ve güvenlik anahtarları ise daha da güçlüdür.
Uygulamamın iki faktörlü kimlik doğrulamaya ihtiyacı var mı?
Hesaplar para, özel veri ya da diğer kullanıcılar üzerinde yönetici yetkisi barındırıyorsa 2FA sunmak iyi bir fikirdir ve yöneticiler için zorunlu kılmak yaygındır. Basit bir hobi uygulaması için isteğe bağlı olabilir ya da sonraya bırakılabilir.
Bir kullanıcı telefonunu kaybederse ne olur?
Bunun için kurtarma kodları vardır: 2FA açıldığında gösterilen, tek kullanımlık yedek kodların kısa bir listesi. Bunlar olmadan kurtarma genellikle uygulamanın sahibi tarafından elle yapılan bir kimlik kontrolü gerektirir; bu yüzden lansmandan önce planlayın.