İki aşamalı doğrulama

Temel · 11 dk

İkinci kilidin mantığı

Parola, "bildiğiniz bir şey"dir ve bilgi çalınabilir: sızıntıyla, tahminle veya kandırmayla. İki aşamalı doğrulama, girişe ikinci bir kanıt ekler: "sahip olduğunuz bir şey" — telefonunuz veya bir anahtar. Artık parolayı ele geçiren saldırgan kapıda kalır; çünkü ikinci kanıt onun elinde değildir. Bu basit ekleme, hesap ele geçirme girişimlerinin büyük kısmını tek başına durdurur. Özellikle dört hesap türünde açık olması gerekir: e-posta, bankacılık, parola yöneticiniz ve sık kullandığınız sosyal hesaplar. E-posta yine ilk sıradadır; çünkü parola dersinde gördüğünüz gibi diğer hesapların kurtarma kapısı oraya açılır.

SMS: hiç yoktan iyi, ama en zayıf

En yaygın yöntem, telefonunuza SMS ile gelen koddur. Hiç ikinci aşama olmamasından açık ara iyidir; ama yöntemlerin en zayıfıdır. İki nedeni vardır. Birincisi, SIM kopyalama ve numara taşıma dolandırıcılığı: saldırgan, operatörü kandırarak numaranızı kendi kartına taşıtabilir ve kodlarınız ona gitmeye başlar. İkincisi, SMS kodları kimlik avı sayfalarında sizden istenerek anında kullanılabilir: sahte site parolanızla birlikte kodu da sorar ve gerçek siteye sizin yerinize girer. Sonuç: SMS'i yalnızca daha iyi seçenek sunulmayan hesaplarda kullanın; seçenek varsa bir üst basamağa geçin.

Doğrulama uygulaması: güçlü orta yol

Doğrulama uygulamaları, telefonunuzda her 30 saniyede bir yenilenen altı haneli kodlar üretir. Kod, hesabı bağlarken paylaşılan bir gizli anahtardan ve saatten hesaplanır; internet ve SMS gerektirmez. Bu tasarım, SMS'in iki zayıflığından birini tamamen çözer: numaranızı taşıyan saldırgan kodlarınıza erişemez, çünkü kodlar hatta değil cihazınızdaki uygulamada üretilir. Kimlik avına karşı ise kısmi koruma sağlar: kod yine sahte sayfaya elle girilebilir. Yine de SMS'ten belirgin biçimde güvenlidir ve çoğu kişi için önemli hesapların standardı bu olmalıdır. Kurulumda hizmetin verdiği yedek kodları mutlaka kaydedin; telefon kaybında bu kodlar kapıda kalmanızı önler — bu konu hesap kurtarma dersinin merkezindedir.

Donanım anahtarı: en güçlü halka

Donanım güvenlik anahtarı, USB girişine takılan veya telefona temassız okutulan küçük bir cihazdır. Gücünün sırrı şudur: anahtar, kodu size değil doğrudan siteye söyler ve bunu yalnızca gerçek sitenin adresiyle eşleştiğinde yapar. Sahte bir kimlik avı sitesi ne kadar kusursuz görünürse görünsün anahtar onu tanımaz ve doğrulama gerçekleşmez. Bu, kimlik avına karşı yapısal bir bağışıklıktır; kullanıcının dikkatine değil, matematiğe dayanır. Sıralama böylece netleşir: SMS < doğrulama uygulaması < donanım anahtarı. Çoğu kişi için pratik denge, kritik hesaplarda doğrulama uygulaması kullanmaktır; yüksek riskli hesapları olanlar (kamuya açık kişiler, kripto varlık sahipleri, sistem yöneticileri) donanım anahtarını ciddiye almalıdır.