- Konu sahibi
- #1
Çok faktörlü kimlik doğrulama (MFA), bir hesabın açılması için birbirinden farklı en az iki doğrulama faktörü istemesidir. Bu, parolanın tek başına ele geçirilmesiyle giriş yapılması riskini azaltır; kimlik avı, zayıf kurtarma akışı veya oturum hırsızlığına karşı mutlak garanti değildir. En yaygın akışta kullanıcı önce parolasını girer, ardından telefon uygulamasındaki tek kullanımlık kodu onaylar veya güvenlik anahtarını kullanır.
MFA faktörleri üç temel gruba ayrılır:
İki parola kullanmak genellikle iki faktör sayılmaz; ikisi de “bildiğiniz şey” grubundadır. MFA’nın amacı, farklı türdeki kanıtları birleştirerek tek bir bilginin ele geçirilmesini yetersiz bırakmaktır.
Parola ve TOTP kullanılan yaygın modelde hizmet önce parolayı kontrol eder. Parola doğruysa ikinci faktörü ister. Kullanıcıdan gelen kod, onay veya güvenlik anahtarı yanıtı kayıtlı faktörle eşleşirse oturum açma izni verilir. Yanlış parola ya da başarısız ikinci faktör durumunda işlem durur.
Örneğin bir yönetici, barındırma paneline parolasıyla giriş yapar ve kimlik doğrulama uygulamasında görünen altı haneli geçici kodu girer. Saldırgan parolayı ele geçirmiş olsa bile kayıtlı cihazdaki ikinci faktöre erişemediği sürece yönetim paneline giremez. Ancak saldırgan hem parolayı hem de açık bir oturum çerezini ele geçirirse MFA her durumda koruma sağlamayabilir; bu nedenle şüpheli oturumlar ayrıca sonlandırılmalıdır.
Parola kullanmayan bir geçiş anahtarı da cihazdaki anahtara sahip olmayı ve yerel PIN veya biyometrik kullanıcı doğrulamasını birleştirebilir. Her geçiş anahtarı kullanımını otomatik olarak iki faktör saymayın; hizmetin kullanıcı doğrulamasını zorunlu tutması ve doğrulama sonucunu denetlemesi gerekir. Parmak izi bu akışta genellikle cihazı yerel olarak açar; siteye parmak izi görüntüsü gönderilmesi gerekmez.
Menü adları hizmete göre değişebilir; temel işlem şu sırayla tamamlanır:
Başarılı kurulumdan sonra beklenen sonuç, yeni veya riskli bir oturum açmada paroladan sonra ikinci doğrulamanın istenmesidir. Güvenilir cihaz ve mevcut oturum istisnaları, her sayfada yeniden ikinci faktör istenmemesini açıklayabilir. Yeni temiz bir test oturumunda yalnız parola kabul ediliyorsa kapsamı, kullanıcıyı ve yönetim panelini kontrol edin.
Yöntem seçimi, hesabın önemine ve cihaz kaybında kurtarma planına göre yapılmalıdır:
Yönetici, sunucu ve alan adı hesaplarında mümkünse güçlü bir ikinci yöntem ile yedek kurtarma yöntemi birlikte planlanmalıdır. Kullanıcıdan gelen ve kendisinin başlatmadığı bildirimler kesinlikle onaylanmamalıdır; art arda gelen bildirimler, saldırganın parolayı bildiğine işaret edebilir.
En sık hata, MFA’yı yalnızca ana kullanıcı hesabında açıp sunucu paneli, e-posta, alan adı yönetimi veya yedekleme hesabını korumasız bırakmaktır. Kritik hesapların tamamı ayrı ayrı incelenmelidir. Kurtarma kodlarını herkese açık bir parola yöneticisi notuna veya sunucudaki düz metin dosyasına koymak da ikinci faktörün değerini düşürür.
Başka bir hata, telefon değişiminden önce yeni cihazı eklememektir. Eski cihaz hâlâ erişilebilirken yeni yöntemi ekleyip test edin; ardından kullanılmayan yöntemi kaldırın. Hesaba erişim kaybedilirse rastgele kurtarma talepleri göndermek yerine hizmetin resmî hesap kurtarma sürecini kullanın.
Hayır. MFA parolanın ele geçirilmesine karşı ek bir engel sağlar; güçlü ve her hizmette farklı parola kullanımı yine gereklidir.
Paylaşılan tek bir cihaz sorumluluğu ve denetimi zorlaştırır. Her yönetici için ayrı kullanıcı hesabı ve ayrı ikinci faktör kullanmak, işlemlerin kime ait olduğunun izlenmesini kolaylaştırır.
Kurulum sırasında saklanan kurtarma kodu, yedek güvenlik anahtarı veya hizmetin tanımlı kurtarma yöntemi kullanılmalıdır. Bunların hiçbiri yoksa hesabın resmî kurtarma süreci izlenir; ikinci faktörü devre dışı bırakmak için rastgele araçlar kullanılmamalıdır.
Doğrulama faktörleri nelerdir?
MFA faktörleri üç temel gruba ayrılır:
- Bildiğiniz şey: Parola, PIN veya cevaplanması gereken gizli bilgi.
- Sahip olduğunuz şey: Kimlik doğrulama uygulaması, güvenlik anahtarı veya doğrulama kodu alabilen kayıtlı cihaz.
- Olduğunuz şey: Parmak izi, yüz tanıma veya başka bir biyometrik özellik.
İki parola kullanmak genellikle iki faktör sayılmaz; ikisi de “bildiğiniz şey” grubundadır. MFA’nın amacı, farklı türdeki kanıtları birleştirerek tek bir bilginin ele geçirilmesini yetersiz bırakmaktır.
Oturum açma süreci nasıl işler?
Parola ve TOTP kullanılan yaygın modelde hizmet önce parolayı kontrol eder. Parola doğruysa ikinci faktörü ister. Kullanıcıdan gelen kod, onay veya güvenlik anahtarı yanıtı kayıtlı faktörle eşleşirse oturum açma izni verilir. Yanlış parola ya da başarısız ikinci faktör durumunda işlem durur.
Örneğin bir yönetici, barındırma paneline parolasıyla giriş yapar ve kimlik doğrulama uygulamasında görünen altı haneli geçici kodu girer. Saldırgan parolayı ele geçirmiş olsa bile kayıtlı cihazdaki ikinci faktöre erişemediği sürece yönetim paneline giremez. Ancak saldırgan hem parolayı hem de açık bir oturum çerezini ele geçirirse MFA her durumda koruma sağlamayabilir; bu nedenle şüpheli oturumlar ayrıca sonlandırılmalıdır.
Parola kullanmayan bir geçiş anahtarı da cihazdaki anahtara sahip olmayı ve yerel PIN veya biyometrik kullanıcı doğrulamasını birleştirebilir. Her geçiş anahtarı kullanımını otomatik olarak iki faktör saymayın; hizmetin kullanıcı doğrulamasını zorunlu tutması ve doğrulama sonucunu denetlemesi gerekir. Parmak izi bu akışta genellikle cihazı yerel olarak açar; siteye parmak izi görüntüsü gönderilmesi gerekmez.
Bir hesapta MFA uygulama adımları
Menü adları hizmete göre değişebilir; temel işlem şu sırayla tamamlanır:
- Hesabın güvenlik veya kimlik doğrulama ayarlarını açın ve çok faktörlü kimlik doğrulamayı etkinleştirme seçeneğini başlatın.
- Hizmetin sunduğu ikinci faktör türünü seçin. Kimlik doğrulama uygulaması, donanım güvenlik anahtarı veya cihaz onayı arasından hesabın ve ekibin çalışma biçimine uygun olanı belirleyin.
- TOTP uygulaması seçtiyseniz yalnız hizmetin kendi güvenlik ekranındaki karekodu okutun veya kurulum anahtarını girin. Güvenlik anahtarı seçtiyseniz tarayıcının kayıt akışını izleyin; bu yöntemde TOTP karekodu aranmaz.
- Seçtiğiniz yönteme göre uygulama kodunu girin veya anahtarla doğrulayın. Başarı mesajı görünmeden kurulumun tamamlandığını varsaymayın.
- Kurtarma kodlarını üretin ve çevrimdışı, yetkisiz kişilerin erişemeyeceği bir yerde saklayın. Kodları aynı hesabın e-postasına veya sürekli bağlı olduğu cihaza bırakmak kurtarma amacını zayıflatır.
- Varsa ikinci bir güvenilir yöntem ekleyin ve yeni cihazla giriş testi yapın. Test başarılıysa MFA’nın gerçekten devrede olduğunu, başarısızsa hesabı kilitlemeden önce hizmetin kurtarma seçeneğini inceleyin.
Başarılı kurulumdan sonra beklenen sonuç, yeni veya riskli bir oturum açmada paroladan sonra ikinci doğrulamanın istenmesidir. Güvenilir cihaz ve mevcut oturum istisnaları, her sayfada yeniden ikinci faktör istenmemesini açıklayabilir. Yeni temiz bir test oturumunda yalnız parola kabul ediliyorsa kapsamı, kullanıcıyı ve yönetim panelini kontrol edin.
Hangi yöntemi seçmeli?
Yöntem seçimi, hesabın önemine ve cihaz kaybında kurtarma planına göre yapılmalıdır:
| Yöntem | Güçlü yönü | Dikkat edilmesi gereken |
|---|---|---|
| Kimlik doğrulama uygulaması | Çevrimdışı kod üretebilir | Kod kimlik avıyla ele geçirilebilir; cihaz kaybı için kurtarma gerekir |
| Güvenlik anahtarı | FIDO2/WebAuthn kullanıldığında siteye bağlı doğrulama sunar | Yedek anahtar bulundurmak gerekir |
| Cihaz bildirimi | Kullanımı kolaydır | Beklenmeyen istekler onaylanmamalıdır |
| SMS kodu | Ek uygulama gerektirmeyebilir | Telefon hattına dayandığı için daha zayıf bir tercih olabilir |
Yönetici, sunucu ve alan adı hesaplarında mümkünse güçlü bir ikinci yöntem ile yedek kurtarma yöntemi birlikte planlanmalıdır. Kullanıcıdan gelen ve kendisinin başlatmadığı bildirimler kesinlikle onaylanmamalıdır; art arda gelen bildirimler, saldırganın parolayı bildiğine işaret edebilir.
Sık yapılan hatalar
En sık hata, MFA’yı yalnızca ana kullanıcı hesabında açıp sunucu paneli, e-posta, alan adı yönetimi veya yedekleme hesabını korumasız bırakmaktır. Kritik hesapların tamamı ayrı ayrı incelenmelidir. Kurtarma kodlarını herkese açık bir parola yöneticisi notuna veya sunucudaki düz metin dosyasına koymak da ikinci faktörün değerini düşürür.
Başka bir hata, telefon değişiminden önce yeni cihazı eklememektir. Eski cihaz hâlâ erişilebilirken yeni yöntemi ekleyip test edin; ardından kullanılmayan yöntemi kaldırın. Hesaba erişim kaybedilirse rastgele kurtarma talepleri göndermek yerine hizmetin resmî hesap kurtarma sürecini kullanın.
Kaynaklar
Sık sorulan sorular
MFA parola yöneticisinin yerini tutar mı?
Hayır. MFA parolanın ele geçirilmesine karşı ek bir engel sağlar; güçlü ve her hizmette farklı parola kullanımı yine gereklidir.
Birden fazla yönetici aynı MFA cihazını kullanabilir mi?
Paylaşılan tek bir cihaz sorumluluğu ve denetimi zorlaştırır. Her yönetici için ayrı kullanıcı hesabı ve ayrı ikinci faktör kullanmak, işlemlerin kime ait olduğunun izlenmesini kolaylaştırır.
Telefon kaybolursa hesaba nasıl girilir?
Kurulum sırasında saklanan kurtarma kodu, yedek güvenlik anahtarı veya hizmetin tanımlı kurtarma yöntemi kullanılmalıdır. Bunların hiçbiri yoksa hesabın resmî kurtarma süreci izlenir; ikinci faktörü devre dışı bırakmak için rastgele araçlar kullanılmamalıdır.
