İki Adımlı Doğrulama (2FA) ve TOTP Kodları Nasıl Çalışır?

Doğrulama uygulamalarındaki 6 haneli kodlar nereden geliyor, SMS ile farkı ne, yedek kodlar neden önemli? Hesaplarınızı korumak için pratik rehber.

Bir hesaba girerken şifrenizden sonra telefonunuzdaki 6 haneli bir kodu da istenmesi, iki adımlı doğrulamanın (2FA) en bilinen hali. Şifreniz bir sızıntıda ele geçse bile, saldırganın girmek için bu ikinci adımı da aşması gerekir. Bu yazıda o kodların nasıl üretildiğini ve 2FA'yı nasıl sağlam kuracağınızı anlatıyoruz.

Kodlar nereden geliyor?

Google Authenticator, Microsoft Authenticator gibi uygulamalar TOTP (zamana dayalı tek kullanımlık şifre) adlı açık bir standardı kullanır. Hesabı bağlarken ekranda gördüğünüz QR kodun içinde gizli bir anahtar vardır. Uygulama bu anahtarı ve o anki zamanı birlikte işleyerek her 30 saniyede bir yeni bir kod üretir. Sunucu da aynı anahtara sahip olduğu için aynı kodu kendi tarafında hesaplar ve ikisini karşılaştırır. İnternet bağlantısı gerekmez; telefonun saatinin doğru olması yeterlidir.

SMS mi, uygulama mı?

SMS ile gelen kod da bir ikinci adımdır ve hiç yoktan iyidir. Ancak SMS, numaranın başka bir SIM karta taşınması (SIM değiştirme dolandırıcılığı) gibi yöntemlerle ele geçirilebilir. Doğrulama uygulaması, anahtar telefonunuzda kaldığı için genellikle daha güvenli kabul edilir. Destekleyen hesaplarda donanım güvenlik anahtarları ve passkey'ler daha da güçlü bir seçenektir.

Kurulumda atlanmaması gerekenler

Yedek kodları saklayın. Çoğu servis 2FA'yı açarken tek kullanımlık yedek kodlar verir. Telefonunuz kaybolursa hesaba bunlarla girersiniz. Bir parola yöneticisinde ya da çevrim dışı güvenli bir yerde saklayın.
Telefon değiştirmeden önce hesapları taşıyın. Eski telefonu sıfırlamadan önce doğrulama uygulamasının aktarma özelliğini kullanın ya da her hesapta 2FA'yı yeni telefona yeniden kurun.
En önemli hesaplardan başlayın. E-posta hesabınız, diğer hesapların şifre sıfırlama kapısı olduğu için ilk sırada olmalı. Ardından banka, bulut depolama ve sosyal medya gelir.

Kimse kodunuzu istememeli

Banka, kargo şirketi ya da destek ekibi olduğunu söyleyen biri telefonda sizden doğrulama kodunu isterse bu bir dolandırıcılık girişimidir. Gerçek servisler bu kodu sizden sözlü olarak talep etmez. Kodu yalnızca kendi başlattığınız bir girişte, açtığınız sitenin adresini kontrol ettikten sonra yazın.

TOTP kod üretici aracı ne işe yarar?

Sitemizdeki TOTP kod üreticisi, Base32 biçimindeki bir gizli anahtardan güncel 6 haneli kodu tarayıcınızda hesaplar. Geliştiricilerin kendi uygulamalarında 2FA'yı test etmesi ya da standardın nasıl çalıştığını görmek için uygundur. Gerçek hesaplarınızın gizli anahtarlarını herhangi bir web sitesine yapıştırmayın; günlük kullanım için telefonunuzdaki doğrulama uygulaması doğru yerdir.