2FA'nın Tarihi: Donanım Jetonlarından Geçiş Anahtarlarına

Şifrelerin Tek Başına Artık Neden Yeterli Olmadığı

Onlarca yıl boyunca, bir saldırgan ile hesabınız arasında yalnızca bir kullanıcı adı ve şifre vardı. Hesaplar tek bir ofis sunucusunda yaşarken bu yeterliydi. Neredeyse her şey — bankacılık, e-posta, iş, alışveriş — çevrimiçiye taşındığında ise yeterli olmaktan çıktı.

İki sorun üst üste biniyor. Birincisi, insanlar şifrelerini yeniden kullanıyor: önemsiz bir sitedeki tek bir veri sızıntısı, saldırganlara bir e-posta kutusunu veya banka hesabını da açabilecek kimlik bilgileri kazandırıyor. İkincisi, veri sızıntıları endüstriyel ölçeğe ulaştı; suçluların diğer hizmetlere karşı otomatik olarak denediği çalınmış kullanıcı adı–şifre çiftlerinden oluşan devasa yığınlar üretti. Bu otomatik denemeler gece boyunca çalışır: saldırgan tek bir sızıntıyı alır, yüzlerce farklı sitede aynı çiftleri sırayla dener ve beklemesi gereken tek şey, aralarında şifresini yeniden kullanmış birinin çıkmasıdır.

Tek faktörlü kimlik doğrulamanın yapısal bir kusuru vardır: dayandığı tek faktör — bir sır — tahmin edilebilir, çalınabilir, yeniden kullanılabilir veya oltalanabilir. Oltalama özellikle sinsi çalışır: sahte bir oturum açma sayfası, gerçek olandan ayırt edilemeyecek kadar benzer görünür ve siz yazdıkça şifreniz saldırganın günlüğüne düşer. Şifreniz ne kadar güçlü olursa olsun, kendiniz teslim ettiğiniz için uzunluk hiçbir işe yaramaz.

Güvenlik araştırmacıları kimlik doğrulamayı üç faktör türü üzerinden tanımlar:

• Bildiğiniz bir şey — bir şifre veya PIN
• Elinizde olan bir şey — bir telefon, donanım token'ı veya güvenlik anahtarı
• Olduğunuz bir şey — bir parmak izi veya yüz

İki farklı faktörün birleştirilmesi eşiği keskin biçimde yükseltir: çalınmış bir şifre tek başına artık kapıyı açmaz. Saldırganların ayrıca bir cihazı veya biyometrik bir özelliği de çalması gerekir — ki bu, uzaktan otomatik saldırıyı fiilen imkânsız kılar; saldırının ölçeği, tek tıkla milyonlarca hesap denenmekten, her hedef için ayrı ve pahalı bir çabaya düşer. Bu basit fikir, bundan sonraki her şeyin temelini oluşturur.

Donanım Token Dönemi (1980'ler–2000'ler)

Yaygın olarak kullanılan ilk ikinci faktörler, küçük donanım tokenleriydi: anahtarlıklara takılan veya kart boyutunda, üzerinde sayısal bir kod gösteren minik ekranı olan cihazlar. Bankalar bunları kurumsal müşterilerine verir, işletmeler ise çalışanlarına VPN ve ağ girişleri için dağıtırdı. 1980'lerde tanıtılan RSA'nın SecurID'si, en bilinen örnek haline geldi.

Kodlar çevrimdışı nasıl çalışıyordu

Tokenlerin bağlantıya ihtiyacı yoktu. Zamana dayalı tasarımlarda token ve sunucu gizli bir tohum (seed) ve bir saat paylaşıyordu; her dakika ya da yarım dakikada bir, ikisi de aynı kodu o tohumdan ve geçerli zamandan türetiyordu. Olaya dayalı tasarımlar ise saati bir sayaçla değiştirdi: düğmeye basmak sayacı artırıyor ve iki taraf da koddan yeni sayıyı hesaplıyordu. Token ve sunucu aynı kuralları izlediği için, hiçbir zaman iletişim kurmadan senkronize kaldılar.

Bu çevrimdışı çalışma, pratik sonuçlar da doğurdu. Kullanıcı kodu ekrandan okuyup oturum açma sayfasına elle yazardı; bu yüzden cihazlar yalnızca birkaç haneli kısa kodlar gösterirdi. Sunucu tarafında genellikle bir tolerans payı bulunurdu: kullanıcının saati ya da yazımı biraz kaymışsa, bir önceki veya bir sonraki zaman aralığına ait kod da kabul edilirdi. Aksi halde dakika sınırında yazılan kodlar sürekli reddedilirdi.

Senkronizasyon yine de bozulabilirdi. Token uzun süre kullanılmazsa, pili biterse ya da saati kayarsa, ürettiği kodlar sunucunun beklediğinden sapardı. Kurumlar bu durumda tokeni tohumla yeniden eşitleyen bir yeniden senkronizasyon prosedürü ya da doğrudan değişim süreci işletirdi. Olaya dayalı tokenlerde ise kullanıcı kodu üretip kullanmazsa sayaçlar birbirinden uzaklaşırdı; sunucu, kabul aralığını birkaç adım öne taşıyarak küçük farkları telafi ederdi.

Sıradan kullanıcılar neden hiç görmedi

Her anahtarlığın üretilmesi, gönderilmesi, kaydedilmesi ve pilinin bitmesi ya da kaybolması durumunda sonunda değiştirilmesi gerekiyordu. Kullanıcı başına bu maliyet, artı stok ve yardım masası giderleri, donanım tokenlerini bankalarla büyük işletmelerle sınırlı tuttu. Kayıp bir token yalnızca satın alma maliyeti değildi: kullanıcı, yeni cihaz gönderilene kadar ya da tohum yeniden yüklenene kadar sisteme giremez ve yardım masası çağrısı açardı. Binlerce çalışanı olan bir şirkette bu, sürekli işleyen bir lojistik zinciri demekti: stok, kargo, teslim kayıtları ve iade edilen eski cihazların imhası.

Bu yüzden tüketici tarafında ikinci faktör neredeyse hiç görülmedi. Ev kullanıcısı için gönderilecek, takip edilecek ve desteklenecek bir donanım parçası ekonomik olarak tutmuyordu. Ancak aynı dönemde herkesin cebinde bir telefon yaygınlaştı; üretimi ve dağıtımı gerekmeyen bir cihaz. Sıradaki adımın oradan geleceği şimdiden belliydi: ikinci faktörü kullanıcıya dağıtmak yerine, zaten dağıtılmış olan cihazı kullanmak.

SMS Kodları 2FA'yı Ana Akıma Taşıdı

2000'lerin ortalarına gelindiğinde cep telefonları her yerdeydi. Bankalar, bir girişi veya transferi onaylamak için tek kullanımlık bir kodu SMS ile gönderebileceklerini fark etti ve aniden ikinci faktör bir gecede milyonlarca insana ulaştı. Satın alınacak dongle yok, kurulacak yazılım yok — cebinizdeki telefon ikinci faktör haline geldi.

İnternet servisleri de aynı yolu izledi. E-posta sağlayıcıları, sosyal ağlar ve alışveriş siteleri "telefonunuza kod gönder" seçeneğini ekledi ve 2FA kurumsal bir güvenlik aracı olmaktan çıkıp sıradan kullanıcıların birkaç dokunuşla açabileceği bir şey haline geldi.

Yine de SMS'in ciddi dezavantajları vardı:

• SIM swapping: numaranızı yeni bir SIM'e taşımaları için operatörü kandıran ya da rüşvet veren bir saldırgan, kodlarınızı ele geçirir. Saldırgan genellikle önce telefon numaranızı toplar — sızdırılmış bir veritabanından, sosyal medyadan veya halka açık kayıtlardan — sonra operatörü arar. Bu yüzden numaranızı internette olabildiğince az paylaşmak ilk savunma hattıdır.
• Ele geçirilme: kodlar mobil ağ üzerinden iletilir ve belirli telekom saldırılarıyla yakalanabilir. Kullanıcı bunu fark edemez; kod normal şekilde elinize ulaşır, saldırgan da aynı anda kullanır.
• Operatör bağımlılığı: sinyal yok, dolaşım yok, kod yok — ve çoğu zaman hesabınıza girmenin bir yolu yok. Yurt dışında dolaşımda olan ya da kırsalda sinyali zayıf kullanıcılar için bu kilitlenme anlamına gelir.
• Gecikme ve yanlış numara: kodlar bazen dakikalarca gecikir; süresi dolmuş bir kodla denemek en yaygın kullanıcı hatasıdır. Ayrıca eski sahiplere ait numaraların yeniden tahsis edilmesi, kodların başkasına gitmesine yol açabilir.

SMS, 2FA'yı ana akım haline getirdi, ama aynı zamanda bir kusuru da ortaya çıkardı: ikinci faktör size değil, operatörünüze aitti.

Kimlik Doğrulama Uygulamaları ve Push Onayları

Akıllı telefonlar, donanım anahtarını herkesin cebine koydu. Google Authenticator ve Authy gibi TOTP uygulamaları, paylaşılan bir gizli anahtardan 30 saniyelik kodları çevrimdışı üretir. Üretim yerel olduğu için kodlar uçak modunda da çalışır ve hiçbir zaman ağ üzerinden iletilmez — operatöre bağımlılık yok, kodun kendisinin ele geçirilmesi söz konusu değil.

Daha kolay kayıt

İlk kurulum, uzun base32 anahtarlarını elle yazmak demekti. QR kodu ile kayıt bunun yerini aldı: tara, bitti. Gizli anahtarlar saniyeler içinde aktarıldı; yazım hataları ve destek talepleri azaldı.

Bu kolaylığın bir bedeli vardı: QR kodunu kim tararsa, o telefon artık geçerli ikinci etmen olur. Ortak bir ekranda QR kodu göstermek ya da ekran görüntüsünü sohbet uygulamasında paylaşmak, gizli anahtarı başkalarına teslim etmekle aynı şeydir. Kayıt sırasında kodun yalnızca sizin görebileceğiniz bir ekranda ve doğrudan kamerayla taranması gerekir.

Push onayları

Push onayı, yazmayı tamamen ortadan kaldırdı: bir bildirim gelir, tek dokunuşla oturum açarsınız. Daha hızlıydı, hataya daha az açıktı ve kullanıcılar giriş ekranını göremese bile çalışıyordu. Numara eşleştirme — ekrandaki bir kodun isteme yazılması — daha sonra yanlışlıkla yapılan onaylara karşı bir koruma ekledi.

Bu kolaylık iki ucu keskin bir bıçaktı. Saldırganlar, yorgun bir kullanıcı "kabul et"e dokunana kadar onay isteklerini tekrar tekrar göndermeyi öğrendi — push yorgunluğu. Numara eşleştirme ve daha açıklayıcı istemler bu riski azaltır ama ortadan kaldırmaz. Ayrıca parolalar ve SMS kodları gibi, TOTP kodları da kullanıcılar kodları okumaları için kandırıldığında kolayca oltalanabilir. Kodun 30 saniyelik ömrü, saldırganın gerçek zamanlı vekil saldırısında kodu anında iletebilmesi karşısında pek az koruma sağlar.

Pratik sonuçlar:

• Yedek kodları kurulum gününde kaydedin. Telefon kaybolursa ya da uygulama silinirse, gizli anahtar yanında gider; tek kurtarma yolu budur.
• Birden fazla cihazda yedeklemeyi açık tutun — ama yedekleme bulut hesabının kendisi güçlü bir parola ve kendi ikinci etmeniyle korunuyorsa.
• Beklemediğiniz bir push bildirimi geldiğinde onaylamayın. İsteği siz başlatmadıysa, biri parolanızı zaten deniyor demektir.

Güvenlik Anahtarları ve Açık Anahtarlı Kimlik Doğrulamaya Geçiş

2010'ların başında, FIDO Alliance adlı bir grup, kendinden önceki her yöntemin temel zayıflığını ortadan kaldırmaya girişti: paylaşılan sır. Parolalar, SMS kodları ve hatta TOTP tohumları hem sunucuda hem de kullanıcının tarafında bulunur; dolayısıyla sunucunun kopyasını çalan herkes oturum açabilir. FIDO bu modeli açık anahtarlı kriptografiyle değiştirdi. Özel anahtar cihazınızdan asla ayrılmaz; sunucu yalnızca bir açık anahtar saklar ve yalnızca özel anahtarınızın yanıtlayabileceği sorgulamalar gönderir. Ağa hiçbir sır çıkmaz.

Donanım güvenlik anahtarları

Güvenlik anahtarları, USB, NFC veya Bluetooth üzerinden bağlanan küçük fiziksel cihazlardır. Onları tanımlayan özellik phishing direncidir: anahtar, herhangi bir şeyi imzalamadan önce web sitesinin kaynağını doğrular; böylece benzer bir alan adındaki sahte oturum açma sayfası geçerli bir imza almaz.

Kurulum basittir: hesabın güvenlik ayarlarında "güvenlik anahtarı ekle" adımını seçin, cihazı takın ve dokunarak kaydedin. Çoğu anahtar PIN koruması ve parmak izi sensörü içerir; cihaz çalınsa bile PIN bilinmeden imza alınamaz.

Yaygın hata: tek anahtara güvenmek. Anahtar kaybolursa hesabınıza dönüş kapanır. En az bir yedek anahtar edinip farklı bir yerde saklayın; ikisini de yanınızda taşımak ikisinin de kaybolmasına yol açabilir.

Kaynak bağlama neden önemlidir

Her imza tam kaynağa bağlı olduğundan, bir siteden ele geçirilen bir kimlik bilgisi başka bir sitede — veya sahte bir alan adı aracılığıyla aynı sitede — tekrar oynatılamaz. Çalınacak, yeniden kullanılabilir hiçbir şey yoktur.

Pratik sonuç: sahte site sizden "kod" isteyemez, çünkü imzalanacak bir sorgulama yalnızca gerçek alan adından gelir. Tarayıcı adres çubuğunu kontrol etme alışkanlığı bile gereksizleşir — anahtar sizin yerinize kontrol eder.

Geçiş Anahtarları: Güncel Bölüm

Geçiş anahtarları, bu hikâyenin en yeni bölümüdür; FIDO2 çerçevesi ve web sitelerinin oturum açmalarını doğrudan tarayıcıda doğrulamasına olanak tanıyan WebAuthn protokolü üzerine kuruludur. Bir geçiş anahtarı, parolanın paylaşılan sırrını kriptografik bir anahtar çiftiyle değiştirir: özel anahtar cihazınızda veya senkronize edilmiş hesabınızda kalırken, web sitesi yalnızca genel olan yarısını saklar.

Günlük oturum açmalar için neler değişir

• Yazacak bir şey yok. Oturum açmak, parmak izi, yüz veya cihaz PIN'i ile onaylamak demektir. Alınacak, yeniden yazılacak veya ele geçirilecek kod yok.
• Cihazlar arasında senkronize. Apple, Google ve Microsoft, geçiş anahtarlarını hesap hizmetleri aracılığıyla senkronize eder; böylece bir cihazı kaybetmek sizi kilitlemez. Yine de her hesap için ikinci bir giriş yöntemi tanımlı tutun.
• Sunucuda sır yok. Siteler yalnızca genel anahtarları sakladığı için, bir veritabanı ihlali saldırganın oturum açmak için kullanabileceği hiçbir şeyi ortaya çıkarmaz.

Geçiş anahtarları ayrıca tasarımı gereği phishing'e (kimlik avına) dayanıklıdır: tarayıcı, her kimlik bilgisini kriptografik olarak meşru web sitesinin adresine bağlar; böylece inandırıcı sahte bir site, başka herhangi bir yerde işe yarayacak bir kimlik bilgisi toplayamaz.

Geçiş yaparken dikkat edilecekler

• Tek tek hesaplar için oluşturun. Geçiş anahtarı hesap başınadır; bir sitede oluşturulan anahtar başka sitede çalışmaz.
• Yedek giriş yöntemi bırakın. Senkronizasyon hesabınız kilitlenirse ikinci bir cihaz veya güvenlik anahtarı kurtarıcı olur. Oturum açma yönteminizi tamamen değiştirmeden önce bunu kurun.
• Paylaşılan cihazlarda dikkat. Ortak kullanılan bilgisayarda geçiş anahtarı kullanmayın; cihaz PIN'i tek koruma kalır.

Tarihin Öğrettikleri

2FA'nın her nesli aynı üç şeyi farklı biçimlerde takas etti. Donanım token'ları güvenliydi ama pahalı ve kaybetmesi kolaydı. SMS kodları ücretsiz ve tanıdıktı ama dinlemeye ve SIM takasına açıktı. Kimlik doğrulama uygulamaları düşük maliyetle güvenliği artırdı; push onayları ise kolaylığa yöneldi, bazen dikkatli yargıdan feragat ederek. Passkey'ler sonunda güvenliği kullanılabilirlikle hizaladı, ancak benimseme zaman alıyor.

Asıl Zayıf Nokta Kurtarma Sürecidir

Her dönemde saldırganlar nadiren faktörün kendisini yendi. Onu sıfırladılar. Yedek e-postalar, güvenlik soruları veya desteğe yapılan ikna edici bir telefon görüşmesi üzerine kurulu kurtarma akışları, en güçlü kimlik doğrulamayı bile çökertti. Kurtarma onu atlayabiliyorsa bir passkey çok az şey korur.

Bu yüzden kurtarma kanallarını aktif olarak zayıflatmak gerekir:

• Güvenlik sorularını yanıtlanabilir bilgiler yerine rastgele, kaydedilmiş cevaplarla doldurun; "doğum şehriniz" kamuya açık veridir.
• Yedek e-posta hesabının kendisi güçlü 2FA kullanmalıdır; aksi halde zincirin en zayıf halkası oraya kayar.
• Destek ekibinin kimlik doğrulama sürecini tanımayan bir hesabı yeniden açamayacağı hizmetleri tercih edin.

Değiştirme Değil, Birlikte Var Olma

Donanım token'ları, kimlik doğrulama uygulamaları, SMS kodları ve passkey'ler yıllarca birlikte var olacak. Hizmetler, bütçeler ve kullanıcılar farklı hızlarda hareket eder.

Pratik Çıkarım

2FA'nın sunulduğu her yerde açın. SMS yerine passkey, güvenlik anahtarı veya kimlik doğrulama uygulaması tercih edin. Yedek kodları çevrimdışı saklayın — yazıcı çıktısı veya kilitli bir not gibi; telefonu kaybeden biri kodlara da erişemezse kilitlenir. Sık seyahat edenler için ikinci bir fiziksel anahtar, çantanızda tutulacak ucuz bir sigortadır. Sonra kurtarma ayarlarınızı gözden geçirin — çoğu hesap aslında oradan düşer.