Kimlik Doğrulama Uygulaması mı, SMS mi? Hesabınızı Gerçekten Hangisi Korur?

İki adımlı doğrulama (2FA), hesabınızla şifrenizi ele geçirmiş herhangi biri arasına giren ekstra bir koruma katmanıdır. Fikir basit: şifreyi bilmek yeterli değil, elinizde bir şeye — genellikle telefonunuza — sahip olduğunuzu da kanıtlamanız gerekir. Ama tüm 2FA yöntemleri aynı güvenlik seviyesini sunmaz. En sık sorulan soru şu: Google Authenticator gibi bir kimlik doğrulama uygulaması mı kullanmalıyım, yoksa SMS ile gelen bir koda mı güvenmeliyim?

Bu yazıda bu farkı net şekilde anlatıyoruz ve Paperino hesabınızı — ya da paranızın söz konusu olduğu herhangi bir platformu — korumak için neden kesinlikle bir kimlik doğrulama uygulaması kullanmanızı önerdiğimizi açıklıyoruz.

Her yöntem gerçekte nasıl çalışır?

SMS kodu: Giriş yaparken platform, operatörünüzün ağı üzerinden telefon numaranıza sayısal bir kod gönderir. Bu kodu kopyalayıp girersiniz, kimliğiniz doğrulanır. Sorun şu ki, bu kodun size ulaşabilmesi için operatör ağınızdan geçmesi gerekir.

Kimlik doğrulama uygulaması (TOTP): Google Authenticator, Authy veya Microsoft Authenticator gibi bir uygulama, doğrudan telefonunuzda her 30 saniyede bir yeni bir kod üretir. Bu kod hiçbir ağdan geçmez ve size kimse tarafından gönderilmez — kurulum sırasında (bir QR kod aracılığıyla) yalnızca bir kez paylaşılan "gizli anahtara" dayanarak cihazınızda yerel olarak hesaplanır. Uygulamanın güvenlik açısından öne çıkmasının temel nedeni bu farktır.

SMS'in en büyük sorunu: SIM takas saldırısı (SIM-swap)

SMS tabanlı doğrulamadaki en tehlikeli açık SIM takas saldırısıdır. Kısacası saldırgan, operatörünüzü telefon numaranızı kendi elindeki yeni bir SIM karta aktarmaya ikna eder — bazen sizi taklit ederek, bir müşteri temsilcisini manipüle ederek ya da sızdırılmış verilerden yararlanarak. Bu başarılı olduğu anda, kimlik doğrulama kodlarınız da dahil size ait tüm SMS mesajları artık ona ulaşır. Numaranız fiilen sizin değil, onun elinde olur.

Ve SMS'in riskleri burada bitmiyor:

• Mesaj yönlendirme ve dinleme: eski telekom ağlarındaki zayıflıklar üzerinden.
• Kimlik avı (phishing): sahte bir sayfa sizden kodu ister, siz de neler olduğunu fark etmeden kodu kendiniz girersiniz.
• Şebeke bağımlılığı: şebeke dışındaysanız veya farklı bir SIM'le seyahat ediyorsanız kod size ulaşmaz.
• Kötü amaçlı yazılım: telefondaki gelen mesajları okuyabilen zararlı yazılımlar.

Kimlik doğrulama uygulaması neden daha üstün?

Kod tamamen cihazınızın içinde, internete veya herhangi bir ağa bağlı olmadan üretildiği için, telefon numaranızı çalan bir saldırgan hiçbir şey elde edemez — kodlar zaten numaranıza değil, cihazınızda saklanan gizli anahtara bağlıdır. Uçak modundayken bile uygulama geçerli kodlar üretmeye devam eder. Ele geçirilecek bir ağ trafiği, yönlendirilecek bir mesaj yoktur.

Bu da kimlik doğrulama uygulamasını en yaygın saldırılara karşı çok daha dayanıklı kılarken, kullanımını aynı ölçüde basit tutar: kodu kopyala, yapıştır, bu kadar.

Hızlı karşılaştırma

Kimlik doğrulama uygulamasını adım adım nasıl etkinleştirirsiniz?

1. Güvenilir bir uygulama indirin: Google Authenticator, Authy veya Microsoft Authenticator.
2. Hesabınızın güvenlik ayarlarından, "kimlik doğrulama uygulaması" ile iki adımlı doğrulamayı etkinleştirmeyi seçin.
3. Ekranda görünen QR kodu uygulamayla tarayın.
4. Bağlantıyı onaylamak için üretilen 6 haneli kodu girin.
5. Yedek kurtarma kodlarınızı telefonunuz dışında güvenli bir yerde saklayın — bir kağıt üzerinde veya güvenilir bir şifre yöneticisinde.

Hesabınızı güvende tutmak için altın kurallar

• Doğrulama kodunuzu hiç kimseyle paylaşmayın, talep ne kadar resmi görünürse görünsün. Gerçek bir destek çalışanı bunu asla istemez.
• Her hesap için güçlü ve benzersiz bir şifre kullanın — 2FA ekstra bir katmandır, iyi bir şifrenin yerini tutmaz.
• Kimlik avı bağlantılarına dikkat edin; herhangi bir kod girmeden önce her zaman site adresini kontrol edin.
• Mümkünse önce e-postanızda 2FA'yı etkinleştirin, çünkü genellikle diğer tüm hesaplarınızın kurtarma anahtarı odur.

Sonuç

Her iki yöntem de yalnızca şifreye güvenmekten çok daha iyidir. Ama bir seçim yapmanız gerekiyorsa — ve para söz konusu olduğunda bu seçim önemlidir — kimlik doğrulama uygulaması daha güçlü ve daha güvenli seçenektir, çünkü SIM takas saldırılarına ve mesaj dinlemeye karşı bağışıktır. SMS'i başka seçenek olmadığında başvurulacak bir yedek olarak görün, ilk savunma hattınız olarak değil.

Paperino'da her kullanıcıya, bakiyesini korumak için bir kimlik doğrulama uygulaması üzerinden iki adımlı doğrulamayı etkinleştirmesini öneriyoruz. İki dakikalık bir adım, ama telafisi olmayan bir kaybı önleyebilir.