İnternet

İki Adımlı Doğrulama Nedir? Nasıl Açılır?

Parola tek başına kırılabilir, tahmin edilebilir, sızabilir. İki adımlı doğrulama, girişe ikinci bir kanıt ekleyerek sızmış bir parolanın tek başına yetmemesini sağlar.

Yazar

Yayınlanma
Okuma
yaklaşık 4 dk

Kısa cevap

İki adımlı doğrulama, hesaba girerken paroladan başka ikinci bir kanıt istenmesidir. Kanıtlar üç sınıftan gelir: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ve biyometrik bir özelliğiniz. İkinci adım, parolanız sızsa bile hesabın tek başına ele geçirilmesini büyük ölçüde engeller.

Öne çıkan bilgiler

  • Kimlik doğrulama etkenleri üç sınıfa ayrılır: bildiğiniz, sahip olduğunuz ve biyometrik olarak size ait olan. İki adımlı doğrulama bunlardan iki farklı sınıfı birleştirir.
  • Uygulamaların ürettiği altı haneli kodlar RFC 6238'de tanımlı TOTP yöntemine dayanır; varsayılan zaman penceresi 30 saniyedir.
  • Google, NYU ve UC San Diego ortak çalışmasında (2019) kurtarma telefonuna gelen SMS kodu otomatik saldırıların %100'ünü, toplu oltalamanın %96'sını, hedefli saldırıların %76'sını engelledi.
  • Aynı çalışmada cihaz üzerindeki onay istemi hedefli saldırıların %90'ını engelledi; bu, SMS'in daha güvenli alternatifi olarak tanımlandı.
  • Microsoft'un 2023'te yayımladığı çalışmada MFA, hesap ele geçirilme riskini tüm popülasyonda %99,22, parolası sızmış hesaplarda %98,56 azalttı.
  • Aynı çalışmada SMS ile gelen kodlar, kimlik doğrulama uygulamasına göre %40,8 daha az etkili bulundu.
  • NIST, telefon şebekesi üzerinden gönderilen kodları "kısıtlı" etken olarak sınıflandırır ve SIM değişimi gibi durumların kontrol edilmesini ister.

Parolanın tek başına yeterli olmadığı artık bir tahmin değil, ölçülmüş bir gerçek. Sızan veri tabanları, aynı parolanın birçok sitede kullanılması ve oltalama sayfaları birleşince, hesabın kapısında tek bir kilit kalıyor. İki adımlı doğrulama ikinci kilidi ekler.

Üç etken sınıfı

Kimlik doğrulamada kanıtlar üç sınıfa ayrılır: bildiğiniz bir şey (parola, PIN), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ve biyometrik bir özelliğiniz (parmak izi, yüz). ABD standart kurumu NIST'in kuralına göre gerçek bir iki etkenli doğrulama, bu sınıflardan farklı ikisini birleştirmek zorundadır; biyometri tek başına bir etken sayılmaz, fiziksel bir cihaza bağlı olmalıdır.[1]

Yöntemler ve güvenlik düzeyleri

SMS ile gelen kod

En yaygın ve en zayıf seçenek. Zayıflığının nedeni numaranın çalınabilmesidir. Princeton Üniversitesi araştırmacıları 2019'da beş operatörde 50 ön ödemeli hesabı test etti ve 39'unda SIM takası (SIM swap) yöntemiyle numarayı devralmayı başardı; üç büyük operatörde başarı oranı 10/10 oldu.[2] NIST bu yüzden telefon şebekesi üzerinden gönderilen kodları "kısıtlı" (restricted) etken olarak sınıflandırır, doğrulayıcıların SIM değişimi ve numara taşıma gibi anormallikleri kontrol etmesini ister, VoIP ve e-posta ile kod göndermeyi ise yasaklar.[1][3]

Buna rağmen SMS, hiç yoktan iyidir: Google, NYU ve UC San Diego'nun bir yıl süren ortak çalışmasında kurtarma telefonuna gelen SMS kodu otomatik saldırıların %100'ünü, toplu oltalama girişimlerinin %96'sını ve hedefli saldırıların %76'sını engelledi.[4]

Kimlik doğrulama uygulaması (TOTP)

Google Authenticator, Microsoft Authenticator ve benzerlerinin ürettiği altı haneli kodlar, IETF'in RFC 6238 belgesinde tanımlanan TOTP yöntemine dayanır: paylaşılan bir gizli anahtar ile o anki zamandan bir kod türetilir, varsayılan zaman adımı 30 saniyedir.[5] Temel aldığı HOTP standardı (RFC 4226) kodun en az 6 haneli olmasını ve gizli anahtarın en az 128 bit olmasını şart koşar.[6]

Microsoft'un Azure AD verileriyle yaptığı ve 2023'te yayımlanan çalışmasında kimlik doğrulama uygulamasıyla üretilen kodlar, SMS'e göre belirgin biçimde iyi sonuç verdi: parolası sızmış hesaplarda başarısızlık oranı SMS'te %1,66 iken uygulama kodunda %0,99, anlık bildirimde %0,97 oldu — yani SMS %40,8 daha az etkiliydi.[7]

Anlık bildirim (push onayı)

Telefona "giriş isteğini onaylıyor musunuz?" bildirimi gelir. Kullanımı kolaydır ama bir zayıflığı vardır: saldırgan üst üste istek göndererek kullanıcıyı bıktırabilir ve yanlışlıkla onay almayı umabilir. ABD siber güvenlik kurumu CISA, bu yöntem kullanılacaksa ekranda gösterilen sayının uygulamada girilmesini (number matching) önerir, ancak bunun oltalamaya dayanıklı yöntemler kadar güçlü olmadığını da belirtir.[8] Google'ın çalışmasında cihaz üzerindeki onay istemi, hedefli saldırıların %90'ını engellemişti.[4]

Güvenlik anahtarı ve passkey

Asıl fark burada. FIDO2/WebAuthn tabanlı kimlik bilgileri tek bir siteye bağlıdır: W3C standardının ifadesiyle yalnızca kendi "Relying Party ID"siyle eşleşen site o açık anahtarı kullanabilir.[9] Yani sahte bir site, kullanıcı ne kadar dikkatsiz olsa da o kimliği kullanamaz. Oltalamaya dayanıklılık kullanıcının uyanıklığından değil, bu bağlanmadan gelir. Passkey'ler de aynı standartları kullanır ve biyometrik veri cihazdan çıkmaz.[10]

Kullanım kolaylığı tarafında Google'ın 2023'te yayımladığı veride, aynı cihazda passkey ile giriş denemelerinin %63,8'i başarıyla tamamlanırken parolada bu oran %13,8'de kaldı; ortalama süre 14,9 saniyeye karşı 30,4 saniye oldu.[11] 2024 Mayıs'ında şirket, passkey'lerin 400 milyondan fazla hesapta bir milyardan çok kez kullanıldığını duyurdu.[12]

Kurtarma kodlarını kaybetmeyin

İki adımlı doğrulamanın en çok yaşanan sorunu, telefonun kaybolmasıdır. Google'ın çalışması bu sıkıntıyı ölçmüş: bir deneyde kullanıcıların %38'i doğrulama istendiğinde telefonuna erişemedi, %34'ü ikincil e-posta adresini hatırlayamadı.[4]

Çözüm, hesabı açarken verilen kurtarma kodlarını kaydetmektir. NIST sınıflamasında bunlar "arama gizleri" (look-up secrets) sayılır, yani sahip olduğunuz bir şeydir ve açıkça belirtilir: oltalamaya dayanıklı değildir.[1] Dolayısıyla kurtarma kodları saklanmalı ama kimseye okunmamalıdır.

Türkiye'de durum: e-Devlet ve bankalar

e-Devlet Kapısı "İki Aşamalı Giriş" adıyla bu özelliği sunar. İkinci etken, kimlikle doğrulanmış bir telefon numarasına gönderilen koddur; numaranın doğrulanması çipli kimlik kartının mobil uygulamada okutulmasıyla, e-imza/mobil imza ile ya da PTT şubesinde yapılabilir. Ayar, "Şifre ve Güvenlik Ayarlarım" bölümündeki "İki Aşamalı Giriş İşlemleri" başlığından yönetilir ve güvenilen cihaz tanımlanabilir.[13]

Bankacılıkta ise iki etkenli doğrulama tercih değil, zorunluluktur. BDDK'nın 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete'de yayımlanan yönetmeliği, elektronik bankacılık hizmetlerinde müşterinin bildiği, sahip olduğu ve biyometrik özelliği olan unsurlardan en az ikisinin birlikte kullanılmasını ister; bu yükümlülük, yalnızca bilgi görüntüleme gibi finansal olmayan işlemler için de geçerlidir. Çipli kimlik kartının PIN'iyle ya da elektronik imzayla kimlik doğrulaması tek başına bu şartı karşılar. Yönetmelik ayrıca, mobil bankacılık uygulaması kurulmuş ve etkinleştirilmiş bir müşteriye giriş ve işlem onayı için SMS ile tek kullanımlık kod gönderilmesini sınırlar ve bankaların SIM değişikliği ile numara taşıma bilgisini operatörlerden alacak biçimde entegrasyon kurmasını zorunlu tutar.[14]

Özet: hangi sırayla seçmeli?

  1. Güvenlik anahtarı veya passkey — mümkünse bu. Oltalamaya dayanıklı tek seçenek.[9][8]
  2. Kimlik doğrulama uygulaması (TOTP) — her yerde çalışır, SMS'ten belirgin biçimde iyidir.[7]
  3. Anlık bildirim — kolaydır; sayı eşleştirme varsa tercih edilir.[8]
  4. SMS — başka seçenek yoksa. Yine de hiç yoktan çok daha iyidir.[4][2]

Ve her durumda: kurtarma kodlarını güvenli bir yerde saklayın, parolaları her sitede ayrı tutun.

İlgili içerikler

Sık sorulan sorular

İki adımlı doğrulama nedir?
Hesaba girerken paroladan başka ikinci bir kanıt istenmesidir. Kanıtlar üç sınıftan gelir: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ve biyometrik bir özelliğiniz. Gerçek bir iki etkenli doğrulama bu sınıflardan farklı ikisini birleştirir. Böylece parolanız sızsa bile hesaba tek başına girilemez.
SMS ile gelen doğrulama kodu güvenli mi?
Hiç yoktan iyidir ama en zayıf seçenektir. Princeton araştırmacıları 2019'da beş operatörde test ettikleri 50 ön ödemeli hesabın 39'unda SIM takası yöntemiyle numarayı devralmayı başardı. NIST, telefon şebekesi üzerinden gönderilen kodları "kısıtlı" etken sayar. Microsoft'un verisinde SMS, kimlik doğrulama uygulamasına göre %40,8 daha az etkili bulundu. Buna karşılık Google'ın çalışmasında SMS kodu otomatik saldırıların tamamını, toplu oltalamanın %96'sını engellemişti.
Authenticator uygulaması mı SMS mi daha güvenli?
Uygulama daha güvenlidir. Uygulamanın ürettiği kodlar RFC 6238'de tanımlı TOTP yöntemine dayanır ve telefon numarasına bağlı olmadığı için SIM takasından etkilenmez. Microsoft'un Azure AD verisiyle yaptığı çalışmada parolası sızmış hesaplarda başarısızlık oranı SMS'te %1,66, uygulama kodunda %0,99 çıkmıştır.
Telefonumu kaybedersem hesabıma nasıl girerim?
Hesabı açarken verilen kurtarma kodları bunun içindir; güvenli bir yerde saklanmalıdır. Google'ın çalışmasında kullanıcıların %38'inin doğrulama istendiğinde telefonuna erişemediği, %34'ünün ikincil e-posta adresini hatırlamadığı ölçülmüştür. İkinci bir yöntem tanımlamak (örneğin ikinci bir güvenlik anahtarı) da işe yarar. Kurtarma kodları oltalamaya dayanıklı değildir, bu yüzden kimseyle paylaşılmamalıdır.
Passkey (geçiş anahtarı) nedir, parolaların yerini alacak mı?
Passkey, FIDO2/WebAuthn standartlarına dayanan ve tek bir siteye bağlı olan bir kimlik bilgisidir; sahte bir site onu kullanamaz, biyometrik veri de cihazdan çıkmaz. Google'ın 2023 verisinde aynı cihazda passkey ile giriş denemelerinin %63,8'i başarıyla tamamlanırken parolada bu oran %13,8'de kalmıştır. Yaygınlaşıyor; 2024 Mayıs'ında 400 milyondan fazla hesapta bir milyardan çok kez kullanıldığı duyurulmuştur. Parolaların tümüyle yerini alıp almayacağı ise henüz açık bir sorudur.
İki adımlı doğrulama oltalamayı tamamen engeller mi?
Engellemez. Saldırgan, gerçek zamanlı çalışan sahte bir sayfayla girilen tek kullanımlık kodu anında kullanabilir. Yalnızca siteye bağlanmış FIDO2/WebAuthn kimlik bilgileri (güvenlik anahtarları ve passkey'ler) bu saldırıyı yapısal olarak kırar; CISA da kurumlara oltalamaya dayanıklı yöntemleri önerir. Anlık bildirimde sayı eşleştirme ara bir çözümdür, kurum bunun daha zayıf olduğunu belirtir.

Kaynaklar

  1. SP 800-63B-4 Digital Identity Guidelines: Authentication — NIST (erişim: 28 Ekim 2026)
  2. An Empirical Study of Wireless Carrier Authentication for SIM Swaps — Lee, Kaiser, Mayer, Narayanan — Princeton CITP (erişim: 28 Ekim 2026)
  3. SP 800-63B (rev. 3) Digital Identity Guidelines — NIST (erişim: 28 Ekim 2026)
  4. New research: How effective is basic account hygiene at preventing hijacking — Google Security Blog (erişim: 28 Ekim 2026)
  5. RFC 6238: TOTP: Time-Based One-Time Password Algorithm — IETF (erişim: 28 Ekim 2026)
  6. RFC 4226: HOTP: An HMAC-Based One-Time Password Algorithm — IETF (erişim: 28 Ekim 2026)
  7. How effective is multifactor authentication at deterring cyberattacks? (arXiv:2305.00945) — Microsoft (erişim: 28 Ekim 2026)
  8. CISA Releases Guidance on Phishing-Resistant and Numbers Matching MFA (erişim: 28 Ekim 2026)
  9. Web Authentication: An API for accessing Public Key Credentials (Level 3) — W3C (erişim: 28 Ekim 2026)
  10. Passkeys FAQ — FIDO Alliance (erişim: 28 Ekim 2026)
  11. Making authentication faster than ever: passkeys vs. passwords — Google Security Blog (erişim: 28 Ekim 2026)
  12. Passkeys, Cross-Account Protection and new ways we're protecting your accounts — Google (erişim: 28 Ekim 2026)
  13. İki Aşamalı Giriş Nedir? Neden Gerekir? — e-Devlet Kapısı (erişim: 28 Ekim 2026)
  14. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik (RG 15.3.2020/31069) — BDDK — Resmî Gazete (erişim: 28 Ekim 2026)

Bu yazı yapay zekâ desteğiyle taslak olarak hazırlanmış; kaynakları ve bilgileri editörümüz tarafından kontrol edilmiştir. Yapay zekâ kullanım politikamız

İlgili yazılar

İnternet

Oltalama (Phishing) Nedir? Nasıl Anlaşılır?

Oltalama, teknik bir açığı değil insanın dikkatini hedef alır. Saldırgan güvenilen bir kurumun kılığına girer, aciliyet duygusu yaratır ve bilgiyi…

REAL Editörlüğü