Doğrulama Uygulaması mı, SMS Kodları mı: Hangisi Daha Güvenli?

SMS 2FA Nasıl Çalışır

İki faktörlü kimlik doğrulama, hesaplarınıza ikinci bir kilit ekler; SMS kodları ise çoğu insanın ilk karşılaştığı sürümdür. Yalnızca şifrenize güvenmek yerine, hizmet telefonunuza kısa mesajla kısa, tek kullanımlık bir kod gönderir. Şifrenizi her zamanki gibi girer, ardından oturum açmayı tamamlamak için o kodu yazarsınız.

Sistem, hesabınıza bağlı telefon numarasını yalnızca sizin kontrol ediyor olmanız gerektiği için çalışır. Oturum açma talep ettiğinizde, hizmet o numaraya bir kod gönderir—genellikle altı haneli ve birkaç dakika geçerli. Kod yoksa, giriş de yok.

En büyük avantajı pratikliğidir:

• Kurulum gerektirmez. Her mobil telefon kısa mesaj alabilir.
• Öğrenilecek yeni bir şey yok. Kısa mesaj okumayı zaten biliyorsunuz.
• Her telefonda çalışır, en yeni akıllı telefondan eski kapaklı telefona kadar.

Akış genellikle şöyledir: uygulamada veya sitede kullanıcı adınızı ve şifrenizi girersiniz; hizmet arka planda rastgele bir kod üretip SMS merkezi üzerinden numaranıza iletir; siz bu kodu açılan ikinci ekrana yazarsınız. Kod tek kullanımlıktır; yeniden denemek için yeni bir kod istemeniz gerekir ve çoğu hizmet eski kodu geçersiz kılar.

Yaygın hatalar: numara değiştirdiğinizde hesaplardaki eski numarayı güncellememek (kodlar artık size ulaşmaz), kodu gelmeden sayfayı kapatıp süreci yeniden başlatmak ve kodu başkasıyla paylaşmak. Yurtdışında seyahat ederken dolaşım (roaming) kapalıysa SMS ulaşmayabilir; bu, SMS 2FA'yı seyahat edenler için riskli bir tercihin de yapar.

Peki pürüzü: sistem, telefon numaranızın ve mobil şebekenizin kontrolünüz altında kalmasına tamamen bağlıdır.

Kimlik Doğrulama Uygulamaları Nasıl Çalışır

Kimlik doğrulama uygulamaları, giriş kodlarınızı doğrudan cihazınızda oluşturur. Kurulum sırasında, uygulamanın içine paylaşılan bir gizli anahtar depolayan bir QR kodu tararsınız. Bundan sonra, uygulama ve web sitesi aynı altı haneli kodu bağımsız olarak hesaplar ve her 30 saniyede bir yenisine geçer. Mobil ağ veya internet bağlantısı gerekmez — kodlar çevrimdışı hesaplanır, bu yüzden uçak modunda bile çalışırlar.

Temel Fark: Telefon Numarası Yok

Bu paylaşılan gizli anahtar uygulamanızda yaşar, SIM kartınızda değil. Kodlarınız gizli anahtarı barındıran cihaza bağlıdır, telefon numaranıza değil; dolayısıyla operatör tabanlı bir saldırının ele geçirebileceği hiçbir şey yoktur.

Yaygın Uygulamalar

• Google Authenticator — basit ve geniş çapta desteklenir
• Microsoft Authenticator — Microsoft hesapları için anlık onay (push) da destekler
• Authy — cihazlar arası şifreli yedekleme ekler

Kurulumda dikkat edilecek noktalar:

• QR kodunu hiçbir ekran görüntüsünde kaydetmeyin; gizli anahtar içeren bir ekran görüntüsü, yedek klasörünüze sızarsa SMS'ten daha riskli hale gelir.
• Kurulum bitmeden önce web sitesinin gösterdiği kurtarma kodlarını güvenli bir yerde saklayın; telefon kaybolursa tek kurtarma yolunuz budur.
• Aynı uygulamaya birden fazla hesap ekleyebilirsiniz; her hesabın kendi gizli anahtarı ve kendi 30 saniyelik döngüsü olur, kodlar birbirine karışmaz.

Küçük bir pratik fark: sunucu ile cihazınızın saati uyuşmazsa kodlar reddedilir. Nadir görülür, ama telefon saatini otomatik ayara almak bu sorunu önler.

Bir saldırganın geçerli bir kod üretebilmesi için cihazın kendisine ihtiyacı olurdu.

Tehdit 1: SIM Takası (SIM Swapping)

SIM swapping, doğrudan SMS tabanlı 2FA'yı hedefleyen bir saldırıdır. Saldırgan, sizmiş gibi davranarak mobil operatörünüzle iletişime geçer ve telefon numaranızı kendi kontrolündeki bir SIM karta aktarılması için onları ikna eder. Bu, inandırıcı bir hikâye, bir veri ihlalinden çalınmış kişisel bilgiler ya da rüşvet almış bir çalışan yoluyla gerçekleşebilir. Operatörler kimlik doğrulama konusunda tutarsızdır; bu yüzden saldırı, olması gerekenden daha sık başarılı olur.

Numaranız taşındıktan sonra, saldırganın telefonu normalde sizin alacağınız her SMS'i alır — giriş kodlarınız ve şifre sıfırlama mesajlarınız dahil. Gerçek telefonunuz sessiz kalır.

Kendinizi güçlendirmek için:

• Operatörünüzün "SIM değişikliği kilidi" veya benzeri korumasını açın; çoğu operatörde ücretsizdir ama çoğu kullanıcı bunun varlığından habersizdir.
• Hesap kurtarma telefonu olarak numaranızı mümkünse hiçbir yerde paylaşmayın; veri ihlalleri yoluyla sızan bilgiler saldırganın operatörü ikna etmesine yardımcı olur.
• Numaranız aniden sinyalsiz kalırsa ("No Service"), hemen başka bir cihazdan operatörünüzü arayın; taşınma gerçekleşmiş olabilir.

Kimlik doğrulayıcı uygulamalar (authenticator apps) bu sorunu tamamen ortadan kaldırır. Kodları cihazınızda, hesaplarınıza bağlı olarak üretirler; telefon numarası hiç devreye girmez. Saldırganın taşınabilecek bir şey yoktur ve operatörünüz, elinde hiç bulunmayan bir şeyi sızdıramaz.

Tehdit 2: Phishing (Kimlik Avı)

Phishing, SMS kodlarını utan verici bir kolaylıkla geçersiz kılar. Kurban, inandırıcı sahte bir giriş sayfasının bağlantısına tıklar ve şifresini girer. Saldırganın kontrolündeki site hemen doğrulama kodunu ister — ve onu ele geçirir. Saldırgan girişin ortasında durduğu için, kodun süresi dolmadan çok önce, kurban yazdığı anda kodu alır. Kendileri giriş yapar; kurban sadece bir hata sayfası görür.

Authenticator uygulamaları bunu zorlaştırır ama engellemez. Zamana dayalı bir kod yaklaşık 30 saniye sürer; bu, saldırganın zaman penceresini daraltır. Modern phishing kitleri bunun üstesinden canlı vekil (proxy) gibi davranarak gelir: kodu anında iletirler ya da oturumu açık tutup ilk kodun süresi dolduğunda kurbandan yeni bir kod isterler.

Kendinizi korumak için pratik alışkanlıklar edinin:

• Bağlantıya değil, uygulamaya veya yer imine tıklayarak giriş yapın. Bankanız "acil" diye e-posta göndermez.
• Adres çubuğundaki alan adını gerçekten okuyun; banka-secure.com ile banka.com aynı şey değildir.
• Uygulamanın gösterdiği hesap adını kontrol edin. Kodu hiçbir zaman telefon arayan ya da mesaj gönderen birine söylemeyin — gerçek destek hiçbir zaman ister.
• Cihazınıza geçebilirseniz, push tabanlı veya passkey doğrulaması phishing'e karşı daha dirençlidir; çünkü onay cihazınızda gerçekleşir, sahte sitede değil.

Ders: Bir web sitesine yazdığınız herhangi bir kod, yazarken çalınabilir. Kodun ömrü saldırganın son teslim tarihini belirler — daha fazlasını değil.

Diğer Pratik Farklar

Güvenilirlik. SMS kodları operatörünüze bağlıdır. Zayıf sinyal, uçak modu veya ağ yoğunluğu bir kodu dakikalarca geciktirebilir ya da tamamen engelleyebilir; sizi oturum açmanın ortasında kilitlenmiş bırakır. Metro altında ya da kalabalık bir konserde kod beklerken bu gecikmeyi yaşamış olabilirsiniz. Kod 30-60 saniyede geçersiz olduğundan, geç gelen kod çoğu zaman işe yaramaz bile.

Maliyet ve seyahat. Kimlik doğrulayıcı uygulamalar kodları cihazın kendisinde üretir. Çevrimdışı, uçakta veya yurt dışında, dolaşım ücreti ödemeden çalışırlar. Yurt dışında SMS almak yavaş veya pahalı olabilir; bazı ülkelerde Türk operatörlerinin dolaşım anlaşması olmayabilir ve kod hiç ulaşmaz.

Telefon kaybı. Her iki yöntem de kodları tek bir cihaza bağlar, ancak yalnızca SMS kullanan bir kurulumun kaybı daha kolay telafi edilir: kodlar numaranıza gelmeye devam eder. Kimlik doğrulayıcı uygulamalı bir telefon yedeklenmeden kaybolur veya silinirse, kurtarma kodlarını ya da sağlayıcının hesap kurtarma sürecini kullanana kadar o kodlara erişemezsiniz. Uygulamanın bulut yedekleme özelliği varsa (Google Authenticator, Microsoft Authenticator gibi) yeni cihaza geri yükleme yapılabilir.

Pil ve güncellemeler. Uygulamalar şarjlı, çalışan bir telefon gerektirir. SMS de aynısını gerektirir, üstelik sinyal de. Eski telefonlarda işletim sistemi güncellemeleri durabilir; çoğu doğrulayıcı uygulama yine de çalışır.

Hiçbiri mükemmel değil; uygulamalar yalnızca daha az durumda sorun çıkarır.

Sonuç: Hangisi Daha Güvenli

Authenticator uygulamaları, iki ana saldırı yolunda da SMS'i yener:

• SIM takası (SIM swapping): SMS kodları telefon numaranıza bağlıdır ve saldırganlar bu numarayı ele geçirebilir. Uygulama kodları cihazınızda yaşar ve hiçbir zaman telefon ağına dokunmaz.
• Phishing: SMS mesajları, kodu okuyup doğrudan sahte bir siteye yapıştırmayı kolaylaştırır. Uygulama kodları her 30 saniyede bir yenilenir ve tek bir belirli hesaba bağlıdır; bu da kötüye kullanım penceresini daraltır — ancak kararlı bir phisher yine de sizi geçerli bir koddan vazgeçirebilir.

Uygulamanın üstünlüğü pratik hayatta da görünür: uçuş modunda veya kapsama alanı dışında bile kod üretir; SIM'iniz değişse ya da operatörünüz arıza yapsa bile çalışmaya devam eder. SMS ise yurtdışında dolaşım (roaming) sorunları yüzünden kodun hiç gelmemesine yol açabilir ve sizi hesabınızdan kilitleyebilir.

Yine de SMS 2FA, 2FA olmamasından çok daha iyidir. Bir site yalnızca SMS seçeneği sunuyorsa, onu açın.

Her ikisinden de daha güçlüsü: donanım güvenlik anahtarları. Bunlar, giriş yaptığınız siteyi kriptografik olarak doğrular ve phishing'e dirençli olacak şekilde tasarlanmıştır. Bir site bunları destekliyorsa, bir tane kullanın.

Özet sıralama: donanım anahtarı > authenticator uygulaması > SMS > 2FA yok. Mevcut en güçlü seçeneği kullanın; ikameyi beklemeyin.

Kimlik Doğrulayıcı Uygulamasına Nasıl Geçilir

En önemli hesaplarınızla başlayın: önce e-posta, sonra bankacılık, sonra gerisi. E-posta önce gelir çünkü neredeyse tüm şifre sıfırlama bağlantıları oraya düşer — e-postanızı ele geçiren biri, diğer hesaplarınızı sırayla ele geçirebilir.

1. Güvenlik ayarlarını açın. Her hesapta "İki faktörlü kimlik doğrulama", "2FA" veya "Güvenlik" seçeneklerini arayın. Her hizmet doğrulayıcı uygulamaları desteklemez, bu yüzden başka bir şey planlamadan önce kontrol edin. Bazı siteler ayarı "Oturum açma ve güvenlik" gibi beklenmedik bir menüde saklar; bulamazsanız hizmetin yardım sayfasında "2FA" araması yapın.
2. Yöntem olarak "Doğrulayıcı uygulama"yı seçin. Site bir QR kodu gösterir.
3. Uygulamanızla tarayın. Google Authenticator, Authy veya benzerlerinde ekle (+) düğmesine dokunun ve kameranızı koda doğrultun. Hesap uygulamada görünür ve hemen kod üretmeye başlar. QR kodunu başkasının görebileceği ortamda (kafede, ekranda paylaşımda) taramayın; kod, o hesabın anahtarını taşır. Tarama yerine bazen metin anahtar (secret) sunulur — bunu doğrudan uygulamaya elle girmek, kodu ekran görüntüsüne düşürmekten güvenlidir.
4. Yedek kodları çevrimdışı kaydedin. Çoğu hizmet, kurulum sırasında tek kullanımlık kurtarma kodları gösterir. Bunları yazın veya bir parola yöneticisinde saklayın — aynı telefondaki bir ekran görüntüsünde değil. Telefon kaybolursa veya uygulamayı yanlışlıkla silerseniz bu kodlar tek kurtarıcıdır; her kodu yalnızca bir kez kullanılabildiği için hangilerini harcadığınızı not edin.
5. SMS'i kaldırmadan önce doğrulayın. Çalıştığını doğrulamak için uygulamadan bir kod girin, çıkış yapıp tekrar giriş yaparak gerçekten çalıştığını görün. Ancak ondan sonra SMS kodlarını devre dışı bırakmayı düşünün.

Her iki yöntemi kısa süre açık tutmak sorun değil; yalnızca SMS'e güvenmek değil. Yaygın hata: telefon değiştirirken eski uygulamadaki hesapları aktarmayı unutmak. Yeni telefon kurulumundan önce, destekleyen uygulamalarda aktarım (transfer) özelliğini veya yedek kodları hazırlayın.

Kurtarma Planlaması

Telefonunuzu kaybetmek, hesaplarınızı kaybetmek anlamına gelmemeli. İhtiyacınız olmadan önce kurtarma planı yapın. Planın tüm değeri, kriz anında değil, bugün hazırlanmasından gelir; telefon denize düşmüşken kurtarma kodu yazdıracak yazıcı bulmak, sizi hesabınızdan kilitleyip müşteri desteğiyle haftalarca uğraştıracak bir mağduriyete dönüşebilir.

Yedek Kodlarınızı Kaydedin

Çoğu hizmet, doğrulayıcı uygulama etkinleştirdiğinizde size bir dizi tek kullanımlık yedek kod gösterir. Bu ekran genellikle yalnızca bir kez görünür; "sonra bakarım" deyip kapatmayın, o ekran geri gelmez. Her kod tek kullanımlıktır ve birini kullandığınızda işaretleyin, böylece hangilerinin kaldığını bilirsiniz. Kodlarınızın bir kısmı kullanılmışsa ya da şüpheli bir durum varsa, hizmetin ayarlarından yeni bir set üretip eskileri geçersiz sayın.

Bunları çevrimdışı saklayın — kâğıda yazdırılmış ya da elle yazılmış ve önemli belgelerinizin yanında gibi güvenli bir yerde tutulmuş olarak. Ekran görüntüsünde, not uygulamasında veya korumaya çalıştığınız cihazın üzerindeki bir düz metin dosyasında bırakmayın. Neden: telefonu çalan biri, kilit ekramını aşarsa aynı cihazdaki kodlara da ulaşır; yedek kodun amacı cihaz kaybına karşı sigorta olmasıdır, cihazın kendisini kopyalamak değil.

Yedek Bir Seçenek Bulundurun

• Yedek kodlarınızı yazdırın ve güvenle saklayın.
• Hizmet birden fazla doğrulayıcıya izin veriyorsa, tablet gibi ikinci bir cihaz kaydetmeyi düşünün.
• Bazı uygulamalar şifreli yedekleme veya çoklu cihaz desteği sunar — üzerine güvenmeden önce uygulamanızın belgelerine bakın.

Eski Bir Telefonu Emekliye Ayırmadan veya Silmeden Önce

1. Doğrulayıcınızı yeni cihazda yeniden kaydedin.
2. Her hizmetin bu cihazdan gelen kodları kabul ettiğini doğrulayın.
3. Ancak ondan sonra eski telefonu silin. Bu adımı atlamak, kendinizin başlattığı kilitlenmelerin en yaygın nedenidir.

Sıralama basit: SMS, 2FA olmamasından iyidir; doğrulayıcı uygulama SMS'ten iyidir; yedek kodlar ise ikisi de başarısız olduğunda sizi kurtarır. Kendi yedek kodlarınızı bugün hazırlayın — kurtarma, yalnızca önceden hazırlanmışsa işe yarar.