İki Faktörlü Doğrulama Nedir?
İki faktörlü doğrulama (2FA), bir hesaba girişte parolaya ek olarak ikinci bir kanıt, örneğin telefona gelen kod ya da uygulama onayı, istenmesidir.
İki Faktörlü Doğrulama Nasıl Çalışır?
İki faktörlü doğrulama, kimlik doğrulamasını iki farklı faktöre dayandırır: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ya da olduğunuz bir şey (parmak izi, yüz tanıma). Saldırgan parolayı ele geçirse bile ikinci faktöre sahip olmadığı için hesaba giremez.
Yaygın ikinci faktör türleri şunlardır: SMS ile gelen tek kullanımlık kod, kimlik doğrulama uygulamasının ürettiği zaman tabanlı kod, uygulama içi onay bildirimi ve fiziksel güvenlik anahtarı. Uygulama ve anahtar tabanlı yöntemler, SMS’e göre genellikle daha güvenli kabul edilir.
- SMS kodu
- Kimlik doğrulama uygulaması
- Güvenlik anahtarı
İki Faktörlü Doğrulama Neden Önemlidir?
Parola sızıntıları ve parolanın birden çok sitede kullanılması yaygındır. 2FA, bu durumda hesabın ele geçirilmesini büyük ölçüde zorlaştırır. İşletme açısından en kritik alanlar yönetim paneli, ödeme sağlayıcı hesabı, pazaryeri satıcı paneli ve e-posta hesabıdır.
Müşteri hesapları için 2FA zorunlu tutulursa kullanım kolaylığı düşer ve dönüşüm etkilenebilir. Bu nedenle genellikle isteğe bağlı sunulur ya da riskli girişte (yeni cihaz, farklı konum) devreye alınır. Ödeme akışındaki doğrulama için bkz. 3D Secure.
Karar noktası, yönetici ve personel hesaplarında 2FA’yı zorunlu kılmak ve kurtarma yöntemini (yedek kodlar) güvenli biçimde saklamaktır.
Personel eğitimi de önemlidir: doğrulama kodunu başkasıyla paylaşmamak, beklenmedik onay isteğini reddetmek ve şüpheli durumu bildirmek kuralları yazılı hâle getirilmelidir. Aksi hâlde saldırganlar kullanıcıyı kandırarak ikinci faktörü de alabilir.
İki Faktörlü Doğrulamada Sık Yapılan Hatalar
- Yönetici hesaplarında kullanmamak. En kritik erişim korumasız kalır.
- Kurtarma kodlarını saklamamak. Telefon kaybolunca hesaba girilemez.
- Yalnızca SMS’e güvenmek. SIM değiştirme saldırılarına açık kalır.
- Ortak hesap kullanmak. Doğrulama kişiye bağlanamaz.
İki Faktörlü Doğrulama Türkiye’de E-Ticaret Siteleri İçin Nasıl Değerlendirilir?
6698 sayılı Kanun, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri alma yükümlülüğü getirir (madde 12/1). Kişisel Verileri Koruma Kurumu, e-ticaretin de sayıldığı sektörlerde kullanıcı adı ve parolaların herkese açık yayımlandığı ihlal bildirimlerinin ardından yaptığı duyuruda iki kademeli kimlik doğrulamanın kurulmasını ve üyelik başvurusundan itibaren kullanıcılara sunulmasını tavsiye eder. Duyuru ayrıca farklı bir cihazdan girişte kullanıcıya e-posta ya da SMS ile bildirim gönderilmesini, başarısız giriş denemelerinin sınırlanmasını ve kullanıcının son beş giriş denemesini görebilmesini önerir.
- Üye Hesabı: müşteri hesaplarında ikinci adımı seçenek olarak sunun; yeni cihazdan giriş bildirimini e-posta şablonlarına ekleyin.
İki Faktörlü Doğrulama Hakkında Sık Sorulan Sorular
İki faktörlü doğrulamada telefon kaybolursa hesaba nasıl girilir?
Giriş, 2FA kurulurken belirlenen kurtarma yöntemiyle, çoğunlukla yedek kodlarla yapılır. Bu kodlar güvenli bir yerde saklanmazsa telefon kaybolduğunda hesaba girilemez; yönetici ve personel hesaplarında kurtarma kodlarının nerede tutulacağı baştan kararlaştırılır.
En güvenli ikinci faktör hangisidir?
Fiziksel güvenlik anahtarları ve kimlik doğrulama uygulamaları, SMS’e göre genellikle daha güvenli kabul edilir.
Müşteri hesaplarında 2FA zorunlu olmalı mı?
Genellikle isteğe bağlı sunulur ya da riskli girişte devreye alınır; zorunluluk kullanım kolaylığını etkileyebilir.