2FA Nerede Saklanmalı? Uzmanların Telefona Güvenmediği Doğrulama Rehberi

İleri seviye güvenlik uzmanları ikinci adımı, yani 2FA anahtarını, gün boyu elinde taşıdığı telefonda tutmaz. Hatta kritik hiçbir sırrı telefonda ya da bilgisayarda bırakmaz. Bu bir merak ya da paranoya değil; çünkü saldırganın ilk hedefi tam da o iki cihazdır. Peki 2FA nerede saklanmalı sorusunun cevabı nedir? Kısacası ilke basit: ayrı, çevrimdışı, fiziksel ve tek amaçlı. Kimse size kendi kurulumunu anlatmaz; ancak hepsinin aynı mantığı izlediğini söyleyebiliriz.

Dürüst olalım: telefon kötü bir araç değil. Kötü olan, telefonun her şeyin tek noktası olmasıdır. Şifre yöneticiniz, e-postanız, SMS kodunuz ve doğrulayıcı uygulamanız aynı cihazdaysa, o cihazı ele geçiren kişi iki faktörü birden alır. Bu rehberde Talha Aslan ve ekibi olarak yöntemleri tehdit modeline göre karşılaştırıyor, sonra adım adım kendi düzeninizi kurmanız için bir yol çiziyoruz.

Bu cevabın arkasında tek bir fikir var: faktörler birbirinden bağımsız olmalı. Şifre bildiğiniz bir şeydir, ikinci adım ise sahip olduğunuz bir şey. Ancak ikisi aynı telefonun içinde duruyorsa, pratikte tek bir şeye sahipsiniz demektir. Dolayısıyla soru yalnızca hangi yöntemi seçeceğiniz değil, o yöntemin anahtarını nereye koyacağınızdır.

• Birincil ikinci adım: donanım güvenlik anahtarı veya cihaza bağlı passkey.
• Yedek ikinci adım: ayrı bir yerde duran ikinci güvenlik anahtarı.
• Son çare: kâğıda yazılmış ve güvenli bir yerde saklı yedek kodlar.
• Kaçınılacak tek nokta: şifre, e-posta ve kodların aynı telefonda toplanması.

Bu sıralama size kesin bir reçete sunmuyor; yine de çoğu kişisel ve kurumsal hesap için sağlam bir başlangıç çizgisi veriyor. Aşağıdaki bölümlerde her katmanın neden orada durduğunu açıklıyoruz.

Uzmanlar neden ikinci adımı telefonda tutmaz?

Telefon, saldırganın en çok emek harcadığı cihazdır. Çünkü telefon aynı anda e-posta kutusu, SMS alıcısı, şifre yöneticisi, bankacılık uygulaması ve doğrulayıcı uygulamadır. Bir kez kilidi açık hâlde çalınırsa ya da kötü amaçlı bir uygulama bulaşırsa, saldırgan sizin adınıza hem şifre sıfırlar hem de gelen kodu okur.

Uzmanların yaklaşımı bu nedenle ayrıştırmadır. Ayrıca şunu da biliyorlar: güvenlik çoğu zaman en zayıf halkadan kırılır. Bilgisayarda kayıtlı bir oturum çerezi, tarayıcıya kaydedilmiş bir şifre ya da bulutta senkronize bir doğrulayıcı tohumu, iki faktörlü korumayı sessizce tek faktöre indirir. Öte yandan fiziksel ve tek amaçlı bir anahtar internete bağlı değildir, uygulama çalıştırmaz ve uzaktan kopyalanamaz.

Kısacası uzmanlar telefona güvenmemekten çok, telefonu tek nokta yapmamaya özen gösterir. Siz de aynı ilkeyi kendi ölçeğinizde uygulayabilirsiniz; pahalı bir altyapıya ihtiyacınız yok. Gereken şey, kritik sırları günlük kullandığınız cihazların dışına taşıma alışkanlığıdır.

• Günlük cihaz: okuma, mesajlaşma, gezinme.
• Ayrı anahtar: yalnızca kimlik doğrulama.
• Kâğıt yedek: yalnızca acil kurtarma.

İki faktörlü doğrulama yöntemleri tehdit modeline göre nasıl ayrışır?

Her yöntemi aynı sorularla test ettiğinizde tablo netleşir. Örneğin sahte bir giriş sayfası kodunuzu çalabilir mi, telefon numaranız başka bir SIM karta taşınırsa ne olur, cihazınızı kaybederseniz ne olur ve cihazda kötü amaçlı yazılım varsa koruma ayakta kalır mı? Aşağıdaki tablo, resmi kaynaklardaki ilkelere dayanarak yaptığımız genel bir değerlendirmedir; garanti değil, karar desteğidir.

Tablodaki en önemli sütun oltalamadır. Çünkü günümüzde hesap ele geçirmenin büyük bölümü, kişinin kendi eliyle kodu sahte bir siteye yazmasıyla başlar. Elle yazdığınız her kod, nereye yazdığınızı bilmez; bu yüzden yalnızca alan adına bağlı yöntemler bu sütunda güçlü görünür.

SMS ile gelen kod neden en zayıf halka sayılır?

SMS kodu, telefon numaranıza bağlıdır; telefonunuza değil. Bu ayrım kritik. Saldırgan operatörü kandırıp numaranızı kendi SIM kartına taşıtırsa, buna SIM değiştirme (SIM swap) denir, sizin kodlarınız artık onun telefonuna gider. Siz ise yalnızca sinyalin kesildiğini fark edersiniz.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü, NIST SP 800-63B dijital kimlik yönergesinde telefon şebekesi üzerinden gelen SMS ve sesli kodları kısıtlı yöntem olarak sınıflandırır. Ayrıca hizmet sağlayıcıların SIM değişikliği ve numara taşıma gibi risk işaretlerini kontrol etmesini önerir. Google da kendi yardım sayfasında SMS ile gelen kodların telefon numarasına dayalı saldırılara daha açık olduğunu belirtir.

Yine de SMS hiç yoktan iyidir. Yalnızca SMS sunan bir hizmette ikinci adımı kapalı tutmak yerine SMS'i açın; ancak operatörünüzde numara taşıma için ek şifre veya kilit seçeneği varsa onu da devreye alın. Böylece en azından basit tahmin ve şifre sızıntısı saldırılarını durdurursunuz.

• SMS'i birincil değil, geçici çözüm olarak görün.
• Hesap kurtarma telefonu ile ikinci adım telefonunu aynı numara yapmamaya çalışın.
• Sinyal aniden giderse operatörünüzü hemen arayın.

E-posta ile gelen doğrulama kodu ne kadar güvenli?

E-posta kodu, ikinci adımı başka bir hesaba devretmek demektir. Yani e-posta hesabınız ne kadar güvendeyse kod da o kadar güvende. Üstelik çoğu kişi e-postasını aynı telefonda açık tutar; böylece telefon ele geçtiğinde kod da ele geçer.

NIST yönergesi, e-postayı bant dışı (out-of-band) doğrulama yöntemi olarak kabul etmez. Bu nedenle e-postayı gerçek bir ikinci faktör değil, kurtarma kanalı gibi düşünmek daha doğrudur. Ancak burada asıl tehlike şudur: e-posta, diğer tüm hesaplarınızın şifre sıfırlama kapısıdır. Dolayısıyla e-posta hesabınızı en güçlü yöntemle korumak, zincirin geri kalanını da korur.

E-posta hesabınız zaten ele geçtiyse önce onu geri alın; bunun için çalınan Gmail hesabını geri alma rehberimizdeki adımları izleyebilirsiniz. Ardından e-postanın ikinci adımını donanım anahtarına taşımayı düşünün; çünkü diğer bütün kapılar bu kapıdan açılır.

TOTP uygulaması ve tohum mantığı nasıl çalışır?

TOTP, zamana dayalı tek kullanımlık şifre demektir. Kurulumda hizmet size bir QR kod gösterir; bu kodun içinde gizli bir anahtar, yani tohum (seed) vardır. Uygulama bu tohumu ve o anki saati birleştirip kısa aralıklarla yeni bir kod üretir. Sunucu da aynı tohuma sahip olduğu için aynı kodu hesaplar ve karşılaştırır.

Buradan çıkan sonuç önemli: kod değil, tohum değerlidir. Tohumu ele geçiren kişi, istediği kadar geçerli kod üretir. Örneğin QR kodun ekran görüntüsünü fotoğraf galerinizde bırakırsanız, galeriye erişen herkes ikinci adımınızı kopyalamış olur. Bu yüzden kurulum ekranını fotoğraflamayın ve QR kodu bir yere yapıştırmayın.

NIST, tek faktörlü OTP cihazlarını elle girilen çıktı nedeniyle oltalamaya dayanıklı saymaz. Yani TOTP, SIM swap saldırısına karşı SMS'ten belirgin biçimde güçlüdür; fakat sahte bir siteye kodu kendiniz yazarsanız sizi korumaz. TOTP iyi bir orta katmandır, son durak değildir.

• Tohumu yalnızca bir kez, kurulum anında görürsünüz.
• Uygulamayı ekran kilidi ve ayrı bir uygulama kilidiyle koruyun.
• Mümkünse doğrulayıcıyı günlük telefonun dışında, ayrı bir cihazda tutun.

Bulut yedekli kimlik doğrulayıcının iki yüzü nedir?

Bazı doğrulayıcı uygulamalar tohumları bulut hesabınıza yedekler. İyi yüzü açık: telefonu kaybettiğinizde yeni cihaza giriş yapar ve kodlarınızı geri alırsınız. Bu özellik, cihaz kaybı yüzünden hesaplarından kilitlenen insanları kurtarır.

Kötü yüzü ise şudur: tohumlarınız artık bir bulut hesabının içinde. O bulut hesabı ele geçerse, saldırgan tüm ikinci adımlarınızı tek seferde alabilir. Başka bir deyişle iki faktörlü korumanızı, bulut hesabınızın tek bir şifresine bağlamış olursunuz. Dolayısıyla bu bulut hesabını en güçlü yöntemle, tercihen donanım anahtarıyla korumak şarttır.

NIST, senkronize edilebilen doğrulayıcıları en yüksek güvence seviyesi için uygun görmez; çünkü senkronizasyon, özel anahtarın dışa aktarılabilmesini gerektirir. Yine de günlük kullanım için kabul edilebilir bir denge sunarlar. Karar sizin tehdit modelinize bağlı: hedefli saldırı riskiniz düşükse bulut yedeği mantıklıdır; yüksekse cihaza bağlı yöntemleri öne alın.

• Bulut yedeği açıksa bulut hesabına en güçlü ikinci adımı koyun.
• Bulut hesabının kurtarma e-postası ve telefonunu düzenli kontrol edin.
• Yüksek değerli hesapları bulut yedekli kodlara bırakmayın.

Push onayı ve MFA yorgunluğu saldırısı nedir?

Push onayı, girişte telefonunuza bir bildirim gönderir ve siz Evet ya da Hayır dersiniz. Kullanımı rahattır; ancak saldırganın şifrenizi zaten bildiği durumda yeni bir risk doğurur. Saldırgan art arda giriş deneyerek telefonunuza onlarca bildirim yollar. Buna MFA yorgunluğu (push bombing) denir: amaç, bıkıp ya da yanlışlıkla Evet'e basmanızdır.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, sayı eşleştirme (number matching) yönteminin bu tür push bombardımanını engellemeye yardım ettiğini belirtir. Sayı eşleştirmede ekranda gördüğünüz sayıyı telefona girersiniz; böylece kör bir onay vermezsiniz. Ancak bu yöntem bile sahte bir sitenin arkasında gerçek zamanlı çalışan saldırgana karşı tam koruma sağlamaz.

Pratik kural şu: beklemediğiniz bir onay isteği, şifrenizin çalındığını gösteren bir alarmdır. Reddedin, şifrenizi hemen değiştirin ve hesabın oturum listesini kontrol edin. Hiçbir zaman kurtulmak için Evet'e basmayın. Üstelik aynı gün içinde birden fazla beklenmedik istek geldiyse, şifrenizin bir sızıntı listesinde dolaştığını varsayın ve aynı şifreyi kullandığınız diğer hesapları da değiştirin.

Gerçek zamanlı oltalama proxy'si TOTP kodunu nasıl atlatır?

Modern oltalama, eski sahte sayfalardan farklıdır. Saldırgan, gerçek siteyle sizin aranıza bir aracı sunucu (reverse proxy) koyar. Siz sahte adrese girersiniz, sayfa gerçek siteninkiyle birebir aynı görünür; çünkü içeriği canlı olarak gerçek siteden çeker. Şifrenizi yazarsınız, ardından TOTP kodunu yazarsınız. Aracı sunucu her ikisini de anında gerçek siteye iletir.

Sonuçta giriş başarılı olur ve saldırgan oturum çerezini alır. Kodun otuz saniye sonra geçersiz olması artık önemli değildir; çünkü oturum zaten açılmıştır. İşte bu yüzden elle girilen her kod, ne kadar kısa ömürlü olursa olsun, bu saldırıya açıktır.

Bu saldırıyı durduran şey dikkat değil, kriptografidir. Oltalamaya dayanıklı yöntemlerde tarayıcı, imzayı yalnızca doğru alan adı için üretir. Sahte alan adında anahtar hiç yanıt vermez. Dolayısıyla kullanıcı adresi fark etmese bile koruma çalışır.

1. Adres çubuğunu kontrol etmek iyi bir alışkanlıktır, ama tek savunma değildir.
2. Kritik hesaplarda elle kod girmeyi gerektirmeyen yönteme geçin.
3. Şüpheli bir girişten sonra tüm oturumları kapatın.

FIDO2, WebAuthn ve donanım güvenlik anahtarı neden oltalamaya dayanıklı?

FIDO2, açık bir kimlik doğrulama standardıdır; WebAuthn ise tarayıcıların bu standardı uyguladığı web arayüzüdür. Donanım güvenlik anahtarı bu standardı fiziksel bir cihazda çalıştırır. Kayıt sırasında anahtar, o siteye özel bir anahtar çifti üretir; özel anahtar cihazdan hiç çıkmaz.

NIST bu korumayı doğrulayıcı adı bağlama (verifier name binding) olarak tanımlar ve WebAuthn'u örnek gösterir. Yani anahtarın ürettiği yanıt, kriptografik olarak sitenin alan adına bağlıdır. Sahte bir alan adı, gerçek siteye ait bir imza alamaz. CISA da şu an yaygın olarak kullanılabilen oltalamaya dayanıklı tek kimlik doğrulamanın FIDO ve WebAuthn olduğunu söyler.

Donanım anahtarı ayrıca kötü amaçlı yazılıma karşı da güçlüdür. Çünkü anahtar çoğu zaman fiziksel dokunuş ister ve gizli anahtarı dışarı vermez. Bilgisayarınıza bulaşan bir yazılım anahtarın içini okuyamaz; en fazla sizin dokunduğunuz anda bir işlem başlatmaya çalışabilir. İşte bu yüzden uzmanlar ikinci adımı ayrı, tek amaçlı bir cihazda tutar.

• Özel anahtar cihazdan çıkmaz.
• Yanıt alan adına bağlıdır.
• Fiziksel dokunuş, uzaktan kullanımı zorlaştırır.

Passkey ile donanım anahtarı arasındaki ilişki nedir?

Passkey de FIDO standartlarına dayanır ve aynı oltalama direncini taşır. FIDO Alliance passkey sayfası iki türü ayırır: cihazlar arasında senkronize olan passkey ve tek cihazdan çıkmayan cihaza bağlı passkey. Donanım güvenlik anahtarındaki passkey ikinci türdendir ve en yüksek güvence seviyesini sunar.

Passkey kavramını ayrıntılı anlattığımız passkey nedir ve şifresiz giriş nasıl çalışır yazısını burada tekrar etmiyoruz. Ancak saklama açısından kritik farkı vurgulamak istiyoruz: senkronize passkey, bulut yedekli doğrulayıcı ile aynı ikilemi taşır. Rahattır, kaybolmaz; fakat bulut hesabına bağlıdır.

Bu nedenle pratik bir düzen şöyle olabilir: günlük hesaplarda senkronize passkey kullanın, en kritik hesaplarda (ana e-posta, bulut hesabı, şifre yöneticisi, alan adı yönetimi) donanım anahtarına bağlı yöntemi zorunlu tutun. Böylece hem rahatlık hem de derin koruma elde edersiniz.

Yedek kodları çevrimdışı nasıl saklamalısınız?

Yedek kodlar, ikinci adımınızın acil durum anahtarıdır. Google, telefonunuzu kaybettiğinizde kullanabileceğiniz tek kullanımlık yedek kodlar sunar; çoğu büyük platform da benzer bir yöntem verir. Bu kodlar tek başına ikinci adımı karşılar, bu yüzden en az şifreniz kadar değerlidir.

Google iki adımlı doğrulama yardım sayfası da yöntemleri yan yana sıralar: Google istemleri, passkey ve donanım güvenlik anahtarları, doğrulama kodu uygulamaları, SMS ve sesli arama ile yedek kodlar. Sayfa ayrıca güvenilir cihazlarda ikinci adımı atlama seçeneğinin yalnızca kimseyle paylaşmadığınız cihazlarda kullanılması gerektiğini hatırlatır. Bu küçük ayrıntı da aslında aynı ilkeye çıkar: ikinci adımı atladığınız her cihaz, artık tek başına bir anahtar gibi davranır.

En büyük hata, yedek kodları ekran görüntüsü olarak telefonda ya da bilgisayarda bir metin dosyasında tutmaktır. Böylece kodları tam da korumak istediğiniz cihaza geri koymuş olursunuz. Bunun yerine şu adımları izleyin:

1. Kodları oluşturun ve yazıcıdan çıkarın ya da elle kâğıda yazın.
2. Kâğıdı hangi hesaba ait olduğunu belirten kısa bir notla katlayın.
3. Evde, cihazlarınızdan ayrı ve kilitli bir yerde saklayın.
4. İkinci bir kopyayı güvendiğiniz farklı bir fiziksel konuma koyun.
5. Bir kodu kullandığınızda üstünü çizin; kodlar azalınca yenisini oluşturun.

Instagram özelinde bu kodların nasıl işe yaradığını 2FA cihazını kaybedince Instagram yedek kodla giriş rehberimizde adım adım gösterdik. Yedek kodu olmayan kişinin kurtarma şansı ise genellikle platformun yavaş ve belirsiz destek sürecine kalır.

İkinci güvenlik anahtarı neden şarttır?

Tek donanım anahtarı, yeni bir tek nokta yaratır. Anahtarı kaybederseniz ya da bozulursa, yedek kodunuz yoksa hesabınıza erişemezsiniz. Bu yüzden donanım anahtarına geçen herkesin ilk kuralı, en az iki anahtar kaydetmektir.

Uygulamada birinci anahtar anahtarlığınızda ya da masanızda durur. İkinci anahtar ise evde, kilitli ve ayrı bir yerde bekler. Yeni bir hesaba anahtar eklerken ikisini de aynı oturumda kaydedin; aksi halde ikinci anahtar o hesapta işe yaramaz. Örnek senaryo: yeni bir bulut hesabı açtınız, yalnızca birinci anahtarı eklediniz ve aylar sonra o anahtarı kaybettiniz. Yedek anahtar çekmecede durur, ama o hesap onu tanımaz.

Bu nedenle küçük bir kayıt listesi tutmanızı öneririz. Kâğıt üzerinde hangi hesaba hangi anahtarların kayıtlı olduğunu not edin; bu listeyi de yedek kodlarla aynı çevrimdışı yerde saklayın. Liste şifre ya da kod içermez, yalnızca envanterdir.

• İki anahtar, iki farklı fiziksel konum.
• Her yeni hesapta iki anahtarı birlikte kaydetme alışkanlığı.
• Yılda bir kez iki anahtarı da deneyerek çalıştığını doğrulama.

Hesap kurtarma akışı neden en zayıf halka olur?

İkinci adımı ne kadar güçlendirirseniz güçlendirin, saldırgan bir arka kapı arar: hesap kurtarma. Kurtarma e-postası, kurtarma telefonu, güvenlik soruları ve destek ekibine başvuru bu kapının parçalarıdır. Eğer kurtarma akışı SMS ile çalışıyorsa, donanım anahtarınız ne kadar güçlü olursa olsun sistem SMS kadar güçlü kalır.

Bu yüzden kendi hesaplarınızda kurtarma seçeneklerini tek tek gözden geçirin. Örneğin eski bir telefon numarası hâlâ kurtarma numarası olarak kayıtlı olabilir; o numara başka birine tahsis edildiyse ciddi risk oluşur. Ayrıca kurtarma e-postası olarak kullandığınız hesabın da aynı güçte korunduğundan emin olun.

Saldırganın hesabı alıp kendi ikinci adımını açtığı durumlarda süreç çok daha zorlaşır; bunu hacker Instagram hesabında iki faktörlü doğrulama açtıysa yazımızda ele aldık. Kurtarma garantisi yoktur ve para karşılığı hesap geri alma vaat eden tanımadık kişiler çoğu zaman ikinci bir dolandırıcılıktır. Yalnızca platformun resmi kurtarma yolunu kullanın.

2FA nerede saklanmalı sorusunda şifre yöneticisinin rolü ne?

Birçok şifre yöneticisi TOTP kodu da üretebilir. Kulağa pratik gelir; ancak bu durumda şifre ve ikinci adım aynı kasada durur. Kasa açılırsa iki faktör birlikte gider. Dolayısıyla 2FA nerede saklanmalı sorusunu soran biri için cevap, en kritik hesaplarda şifre yöneticisinin dışında olmalıdır.

Yine de şifre yöneticisi vazgeçilmezdir; her hesap için benzersiz ve uzun şifre üretmenin en pratik yolu odur. Hızlı bir başlangıç için şifre oluşturucu aracımızla güçlü bir şifre üretebilirsiniz. Ardından şifre yöneticisinin kendisini donanım anahtarıyla koruyun; böylece kasanın kapısını da ayrı bir cihaza bağlamış olursunuz. Ayrıca şifre yöneticisinin ana şifresini hiçbir yere yazmayın; onu ezberleyin ve yalnızca kâğıttaki acil durum kitine bir kopya koyun.

Düşük önemdeki hesaplar için şifre yöneticisinde TOTP tutmak kabul edilebilir bir rahatlık takasıdır. Önemli olan, bu takası bilinçli yapmak ve ana e-posta, bulut, finansal olmayan iş hesapları ve alan adı yönetimi gibi kapıları ayrı tutmaktır.

Bilgisayarda kritik sır bırakmamak pratikte ne demek?

Uzmanların ikinci ilkesi, kritik sırları bilgisayarda da bırakmamaktır. Bu, bilgisayarı kullanmamak anlamına gelmez. Yalnızca masaüstünde düz metin şifre dosyası, indirilenler klasöründe yedek kod listesi ya da tarayıcıda sonsuza kadar açık kalan yönetici oturumu tutmamak anlamına gelir.

Örneğin işiniz gereği bir web sitesi yönetiyorsanız, yönetici şifresini tarayıcıya kaydetmek yerine şifre yöneticisinden çekin ve oturumu iş bitince kapatın. Sitenizdeki veriyi korumaya yönelik daha geniş adımları kurumsal web sitesinde veri güvenliği rehberimizde topladık. Buradaki amaç, tek bir kötü amaçlı yazılımın bulabileceği hazineyi küçültmektir.

• Masaüstünde ve bulut sürücüde düz metin şifre veya kod dosyası tutmayın.
• Ekran görüntüsü klasörünü düzenli temizleyin.
• Kritik oturumları iş bitince kapatın.
• İşletim sistemi ve tarayıcı güncellemelerini ertelemeyin.

Kendi 2FA düzeninizi adım adım nasıl kurarsınız?

Teoriden pratiğe geçelim. Aşağıdaki sıra, çoğu kişi için bir hafta sonu içinde tamamlanabilecek bir plandır. Hepsini bir günde yapmak zorunda değilsiniz; en kritik hesaptan başlayın.

1. Hesaplarınızı listeleyin ve en kritik beşini işaretleyin: ana e-posta, bulut, şifre yöneticisi, alan adı ve sosyal medya yönetimi.
2. İki donanım güvenlik anahtarı edinin ve her kritik hesaba ikisini birlikte kaydedin.
3. Her hesabın yedek kodlarını üretin, kâğıda geçirin ve iki ayrı fiziksel konuma koyun.
4. SMS'i mümkün olan her yerde ikinci adım listesinden çıkarın ya da en alta indirin.
5. Kurtarma e-postası ve telefonunu güncelleyin; eski numaraları silin.
6. Doğrulayıcı uygulama kullanacaksanız tohumları yalnızca güvendiğiniz cihaza kurun.
7. Altı ayda bir anahtarları ve yedek kodları deneyerek çalıştığını doğrulayın.

Bu adımları ekip ölçeğine taşımak isteyenler için güvenlik kültürünün temellerini siber güvenlik uzmanı nasıl olunur yazımızda da anlattık. Kısacası iyi bir düzeni bir kez kurarsınız ve küçük bakımlarla yıllarca çalıştırırsınız. Ekip içinde bu düzeni yazılı hâle getirmek, kimin hangi anahtara sahip olduğunu ve biri ayrıldığında hangi erişimleri kapatacağınızı netleştirir. Böylece kişiye bağlı bir güvenlik değil, sürece bağlı bir güvenlik kurmuş olursunuz.

Hangi hesaba hangi yöntemi seçmelisiniz?

Her hesap aynı korumayı hak etmez. Kararı kolaylaştırmak için hesapları üç gruba ayırabilirsiniz. Birinci grup, başka hesapların kapısını açan hesaplardır: ana e-posta, bulut hesabı ve şifre yöneticisi. Bunlar donanım anahtarı ister.

İkinci grup, kaybı itibar ya da gelir kaybı demek olan hesaplardır: sosyal medya, reklam ve alan adı yönetim panelleri. Bunlarda passkey veya donanım anahtarı tercih edin, yoksa TOTP kullanın. Instagram hesabı ele geçirilen kişiler için hacklenen Instagram hesabını geri alma yazımız ilk adımları sıralar. Üçüncü grup ise düşük önemdeki üyeliklerdir; burada şifre yöneticisindeki TOTP yeterli bir dengedir.

Bu sınıflandırma, 2FA nerede saklanmalı sorusunu hesap bazında yanıtlamanızı sağlar. Böylece her hesaba en pahalı korumayı koymak yerine, korumayı riskle orantılı dağıtırsınız.

2FA nerede saklanmalı: özetle hangi ilkeleri unutmamalısınız?

Son olarak bütün rehberi birkaç ilkeye indirelim. Bu ilkeler marka, ürün ya da platform değişse bile geçerliliğini korur; çünkü tehdit modelinin kendisine dayanır.

• İkinci adım, şifrenin durduğu cihazdan ayrı olmalı.
• Kritik hesaplarda oltalamaya dayanıklı, alan adına bağlı yöntem seçin.
• Yedek kodlar kâğıtta, çevrimdışı ve iki ayrı yerde dursun.
• Her zaman ikinci bir anahtar kaydedin.
• Kurtarma akışını ikinci adım kadar güçlü tutun.
• Beklenmeyen onay isteğini alarm olarak görün.

Telefon düşmanınız değil; yalnızca her şeyin tek anahtarı olmamalı. Biz de Talha Aslan ve ekibi olarak kendi çalışma düzenimizde bu ayrıştırma ilkesini temel alıyoruz. Siz de bugün en kritik tek hesabınızdan başlayın; ikinci adımı ayrı, çevrimdışı, fiziksel ve tek amaçlı bir yere taşıyın.