Her yıl milyonlarca hesap, tek başına parolayla korunduğu için ele geçiriliyor. Veri sızıntıları, oltalama (phishing) siteleri ve basit deneme-yanılma saldırıları, en güçlü parolayı bile tek bir zayıf halkaya dönüştürebiliyor. İki faktörlü doğrulama (2FA), bu tek halkayı ikiye çıkararak saldırganın işini önemli ölçüde zorlaştıran, kurulumu birkaç dakika süren ama etkisi çok büyük bir güvenlik katmanıdır. Bu yazıda 2FA'nın ne olduğunu, hangi yöntemlerin var olduğunu, TOTP'nin arka planda nasıl çalıştığını ve hosting paneliniz, WordPress siteniz veya e-posta hesabınız için 2FA'yı nasıl etkinleştireceğinizi adım adım anlatıyorum.
Parola Neden Artık Yeterli Değil#
Bir parola, temelde "bildiğiniz bir şey"dir. Sorun şu ki bu bilgi, sizin dışınızda başka yollarla da elde edilebilir. Aşağıdaki senaryoların hepsi gerçek hayatta sürekli yaşanıyor:
- Veri sızıntıları: Kullandığınız bir hizmetin veritabanı sızdırılırsa, aynı parolayı başka yerde de kullanıyorsanız (parola tekrar kullanımı), saldırgan o parolayı otomatik olarak onlarca farklı siteye deneyebilir.
- Oltalama (phishing): Gerçeğine çok benzeyen sahte bir giriş sayfası, parolanızı doğrudan sizden alabilir; siz farkına bile varmadan.
- Kaba kuvvet ve kelime listesi saldırıları: Zayıf veya yaygın parolalar, otomatik botlar tarafından saniyeler içinde denenip bulunabilir.
- Keylogger ve zararlı yazılım: Cihazınıza bulaşan bir kötü amaçlı yazılım, yazdığınız her şeyi kaydedebilir.
Bu senaryoların ortak noktası şudur: hepsinde saldırgan, "sizin bildiğiniz" bilgiyi ele geçirir. 2FA'nın gücü tam burada devreye giriyor; saldırgan parolanızı bilse bile, ikinci faktöre (genellikle fiziksel olarak elinizde olan bir cihaza) erişemediği sürece hesabınıza giremez. Bu, özellikle sunucu yönetim panelleri ve hosting hesapları gibi kritik erişim noktalarında hayati bir fark yaratır.
Üç Doğrulama Faktörü#
Kimlik doğrulama literatüründe faktörler genellikle üç kategoriye ayrılır. Gerçek bir 2FA, bu kategorilerden en az ikisini birden kullanır — aynı kategoriden iki farklı bilgi istemek (örneğin parola + güvenlik sorusu) 2FA sayılmaz, çünkü ikisi de "bildiğiniz bir şey" kategorisindedir.
- Bildiğiniz bir şey (knowledge factor): Parola, PIN kodu, güvenlik sorusu cevabı.
- Sahip olduğunuz bir şey (possession factor): Telefonunuz, bir donanım güvenlik anahtarı (YubiKey gibi), SIM kart.
- Olduğunuz bir şey (inherence factor): Parmak izi, yüz tanıma, retina taraması — biyometrik veriler.
Gerçek dünyada en yaygın 2FA kurulumu, faktör 1 (parolanız) ile faktör 2'yi (telefonunuzdaki bir uygulama veya SMS) birleştirir. Bazı üst düzey kurumsal ortamlarda üçüncü faktör (biyometri) de eklenerek "çok faktörlü doğrulama" (MFA) elde edilir; 2FA aslında MFA'nın en yaygın, iki faktörlü özel halidir.
Yaygın 2FA Yöntemleri#
SMS ile Tek Kullanımlık Kod#
En yaygın ama güvenlik açısından en zayıf yöntemdir. Giriş yaptığınızda telefonunuza 4-6 haneli bir kod SMS ile gelir. Kolay ve kurulumsuzdur ama ciddi bir zafiyeti vardır: SIM swap (SIM değiştirme) saldırısı. Saldırgan, operatör müşteri hizmetlerini sosyal mühendislikle kandırıp numaranızı kendi SIM kartına taşıtabilir; bu durumda SMS kodları doğrudan saldırgana gider. Ayrıca SMS, şifrelenmeden taşındığı için teorik olarak dinlenebilir. Yine de hiç 2FA olmamasından kat kat iyidir.
TOTP — Authenticator Uygulamaları#
TOTP (Time-based One-Time Password / Zamana Dayalı Tek Kullanımlık Parola), Google Authenticator, Microsoft Authenticator, Authy veya 1Password gibi uygulamaların kullandığı yöntemdir. SMS'ten farklı olarak hiçbir ağ trafiği gerektirmez; kod tamamen cihazınızda, çevrimdışı üretilir. Bu yüzden hem SIM swap saldırılarına hem de ağ dinlemeye karşı bağışıktır. Aşağıdaki bölümde TOTP'nin arka planda nasıl çalıştığını detaylıca ele alıyorum.
Donanım Güvenlik Anahtarları (FIDO2/U2F)#
YubiKey, Google Titan gibi fiziksel USB veya NFC anahtarlar, bugün bilinen en güvenli 2FA yöntemidir. Anahtarı bilgisayara takıp bir düğmeye dokunmanız yeterlidir; kriptografik imzalama arka planda gerçekleşir. En büyük avantajı phishing'e karşı bağışıklığıdır — anahtar, giriş yaptığınız sitenin gerçek alan adını doğrular ve sahte bir sitede çalışmaz. Dezavantajı ise fiziksel bir cihaz taşımanız ve kaybetme riskinizin olmasıdır (bu yüzden genelde ikinci bir yedek anahtar önerilir). Aynı FIDO2 standardının bir uzantısı olan passkey (geçiş anahtarı) teknolojisi de son yıllarda yaygınlaşıyor; burada gizli anahtar ayrı bir USB cihazda değil, telefonunuzun veya bilgisayarınızın güvenli donanım modülünde saklanır ve giriş, parmak izi ya da yüz tanımayla onaylanır. Passkey teknik olarak "2FA'nın yerini alan tek adımlı giriş" gibi görünse de arka planda hem "sahip olduğunuz cihaz" hem de "olduğunuz biyometrik veri" faktörünü birleştirdiği için aslında çok faktörlü bir doğrulamadır.
E-posta ile Doğrulama Kodu#
Hesabınıza kayıtlı e-posta adresine tek kullanımlık bir kod gönderilir. Kurulumu en kolay yöntemlerden biridir ve ek bir uygulama gerektirmez, ancak güvenlik seviyesi e-posta hesabınızın güvenliğine bağlıdır — e-postanız da 2FA ile korunmuyorsa bu zincirin en zayıf halkası olabilir. Buna rağmen, hiç 2FA'sı olmayan bir hesaba göre yine de belirgin bir iyileştirmedir ve TOTP uygulaması kurmak istemeyen kullanıcılar için makul bir orta yol sunar.
Push Bildirimi Onayı#
Bazı servisler (örneğin kurumsal SSO çözümleri), giriş denemesinde telefonunuza "Bu siz misiniz?" şeklinde bir push bildirimi gönderir; tek dokunuşla onaylarsınız. Kullanıcı deneyimi açısından en pratik yöntemlerden biridir, ancak "MFA yorgunluğu" (MFA fatigue) adı verilen bir saldırı riski taşır: saldırgan art arda onay istekleri gönderip kullanıcıyı yanlışlıkla onaylamaya yönlendirebilir. İyi uygulamalarda bildirime bir numara eşleştirme (number matching) adımı eklenir.
TOTP Arka Planda Nasıl Çalışır#
TOTP'nin sihirli görünmesinin asıl sebebi, sunucu ile telefonunuz arasında kurulum anından sonra hiçbir iletişim olmamasıdır. Peki ikisi nasıl aynı kodu üretir? Mantık aslında oldukça basittir:
- Kurulum anında sunucu, sizin için rastgele bir gizli anahtar (secret) üretir. Bu anahtar genellikle bir QR kod içinde
otpauth://totp/...?secret=...formatında size gösterilir. - Authenticator uygulaması bu QR kodu tarayarak aynı gizli anahtarı kendi içinde saklar. Artık hem sunucu hem de telefonunuz aynı gizli anahtara sahiptir.
- Kod üretilirken kullanılan ikinci girdi geçerli Unix zaman damgasıdır, genellikle 30 saniyelik dilimlere bölünmüş olarak (
floor(unix_time / 30)). - Gizli anahtar ile bu zaman dilimi, HMAC-SHA1 (veya SHA256) algoritmasından geçirilir ve sonuç 6 haneli bir sayıya indirgenir (RFC 6238 standardı).
Sunucu ve telefon aynı anahtara ve (kabaca) aynı saate sahip olduğu için, birbirleriyle hiç konuşmadan aynı 6 haneli kodu bağımsız olarak hesaplarlar. Bu yüzden TOTP tamamen çevrimdışı çalışabilir. Saat senkronizasyonundaki küçük kaymalara tolerans tanımak için doğrulayan taraf genellikle bir önceki ve bir sonraki 30 saniyelik dilimi de kabul eder (±1 adım penceresi).
Kavramı elle görmek isterseniz, aşağıdaki gibi bir Python betiği aynı hesaplamayı yapar (test/öğrenme amaçlı):
import hmac, hashlib, struct, time, base64
def totp(secret_b32: str, digits: int = 6, step: int = 30) -> str:
key = base64.b32decode(secret_b32.upper())
counter = int(time.time() // step)
msg = struct.pack(">Q", counter)
h = hmac.new(key, msg, hashlib.sha1).digest()
offset = h[-1] & 0x0F
code = (struct.unpack(">I", h[offset:offset + 4])[0] & 0x7FFFFFFF) % (10 ** digits)
return str(code).zfill(digits)
print(totp("JBSWY3DPEHPK3PXP"))
Gizli anahtar hiçbir zaman ağ üzerinden ikinci kez gönderilmez; bu da TOTP'yi SMS'e göre çok daha dinlemeye dayanıklı kılar. Kamera ile QR taramak çoğu zaman en pratik yoldur, ama bazı paneller gizli anahtarı düz metin (base32) olarak da gösterir; bu durumda kodu authenticator uygulamasına elle girebilir, hatta aynı anahtarı birden fazla cihaza kaydedebilirsiniz — az sonra değineceğimiz "tek cihaz bağımlılığı" riskine karşı basit ama etkili bir önlemdir.
Kurtarma Kodları: Kaybolmuş Telefon Senaryosu#
2FA etkinleştirdiğinizde karşılaşacağınız en gerçekçi risk, telefonunuzu kaybetmeniz, kırmanız veya sıfırdan kurmanız durumunda authenticator uygulamasındaki gizli anahtara erişememenizdir. İşte tam bu yüzden ciddi her 2FA implementasyonu, kurulum anında bir dizi tek kullanımlık kurtarma kodu (recovery code) üretir — genellikle 8-10 adet.
Kurtarma kodlarıyla ilgili dikkat edilmesi gerekenler:
- Kodları ekrana geldiği anda güvenli bir yere kaydedin (bir parola yöneticisi, kasa, ya da yazdırılıp fiziksel olarak saklanan bir kağıt). Çoğu sistem bu kodları yalnızca bir kez gösterir.
- Her kod tek kullanımlıktır; kullanıldıktan sonra geçersiz hale gelir.
- Kodlar sunucu tarafında düz metin değil, hash'lenmiş olarak saklanmalıdır — tıpkı parolalar gibi.
- Kurtarma kodlarınız biterse veya kaybolursa, hesabınıza erişmenin tek yolu genellikle destek ekibiyle kimlik doğrulayarak 2FA'yı manuel olarak sıfırlatmaktır; bu da zaman alan bir süreçtir.
Kurtarma kodu olmayan bir 2FA sistemi kurmayın (ya da kullanmayın) — cihaz kaybı istisna değil, sıkça karşılaşılan bir senaryodur.
Hosting Paneli, WordPress ve E-posta için 2FA#
Hosting / Sunucu Yönetim Paneli#
Sunucu ve hosting yönetim panelleri, doğası gereği en yüksek riskli hedeflerden biridir — buraya sızan biri sitelerinizi, e-postalarınızı ve DNS ayarlarınızı tek noktadan kontrol edebilir. Panelinizde TOTP tabanlı 2FA seçeneği varsa mutlaka etkinleştirin; mümkünse e-posta OTP'yi yalnızca yedek yöntem olarak bırakın. Sunucu veya VDS hizmetinizin kontrol panelinde 2FA'yı açtıktan sonra kurtarma kodlarını mutlaka kaydedin, çünkü panel erişimini kaybetmek DNS ve e-posta yönetimini de aksatabilir.
WordPress Yönetici Paneli#
WordPress /wp-admin ekranı, internet genelinde en çok kaba kuvvet saldırısına uğrayan giriş noktalarından biridir çünkü URL'si standarttır ve botlar bunu otomatik tarar. WordPress çekirdeği yerleşik 2FA sunmaz; bunun için bir güvenlik eklentisi (ör. iki faktörlü doğrulama sağlayan popüler eklentilerden biri) kurmanız gerekir. 2FA'yı, giriş denemelerini sınırlayan (rate limiting) önlemlerle birlikte kullanmak en etkili sonucu verir. WordPress güvenliğini uçtan uca ele aldığımız WordPress güvenliği rehberimize göz atarak bu konuyu genişletebilirsiniz; ayrıca yönetimi dışarıdan almak isteyenler için WordPress bakım hizmetimiz de bir seçenektir.
E-posta Hesabı#
E-posta hesabınız genellikle "parola sıfırlama" akışlarının gittiği yerdir — yani e-postanız ele geçirilirse saldırgan oradan diğer tüm hesaplarınızın parolasını sıfırlatabilir. Bu yüzden e-posta hesabı, 2FA önceliğinde neredeyse her zaman en üst sırada olmalıdır. Kurumsal e-posta kullanıyorsanız, e-posta hizmetiniz üzerinden 2FA'yı zorunlu kılmak, tüm çalışanları tek bir zayıf parola riskinden koruyabilir.
En İyi Uygulamalar ve Yaygın Hatalar#
- Birden fazla yöntemi birlikte etkinleştirin: TOTP'yi ana yöntem, e-posta veya SMS'i yedek olarak tutmak, tek bir kanalın devre dışı kalması durumunda sizi hesabınızdan tamamen dışlamaz.
- Aynı gizli anahtarı birden fazla cihaza kaydedin: Çoğu authenticator uygulaması QR kodun yalnızca bir kez taranmasına izin verir; kurulum sırasında ikinci bir telefona veya yedek bir cihaza da eklemeyi düşünün.
- Kurtarma kodlarını parola ile aynı yerde saklamayın: İkisi aynı kasada tutulursa, o kasa ele geçirildiğinde 2FA'nın sağladığı ek katman anlamını yitirir.
- SMS yerine TOTP'yi tercih edin: Mümkünse SMS'i yalnızca son çare olarak bırakın; SIM swap saldırıları giderek yaygınlaşıyor.
- Güçlü bir parolayı 2FA'nın yerine koymayın: 2FA, zayıf parolaların yarattığı riski azaltır ama ortadan kaldırmaz. İkisi birlikte, katmanlı bir savunma oluşturur — tıpkı bir WAF veya DDoS koruması hizmetinin tek başına yeterli olmayıp diğer güvenlik önlemleriyle birlikte anlam kazanması gibi.
- Paylaşılan hesaplarda dikkatli olun: Birden fazla kişinin kullandığı bir panel hesabında TOTP, tek bir kişinin telefonuna bağlı kalır; ekip büyüdükçe kişi bazlı ayrı hesaplar ve rol bazlı yetkilendirme daha sürdürülebilir bir çözümdür.
- 2FA'yı gereksiz yere tekrar tekrar istemeyin: Güvenilir cihazları hatırlama (remember this device) seçeneği makul bir süre için açıksa kullanıcı deneyimini bozmadan güvenliği korur; her girişte kod istemek kullanıcıları 2FA'yı tamamen kapatmaya iter.
Sıkça Sorulan Sorular#
2FA hesabımı %100 güvenli hale getirir mi?#
Hayır, hiçbir önlem %100 garanti vermez; ancak 2FA, yalnızca parolayla korunan bir hesaba göre ele geçirilme riskini çok büyük oranda azaltır. Özellikle phishing'e karşı bağışık olan donanım anahtarları, bugün bilinen en güçlü korumayı sağlar.
SMS 2FA hiç kullanılmamalı mı?#
SMS, TOTP veya donanım anahtarına göre daha zayıftır ama hiç 2FA olmamasından kesinlikle daha iyidir. Mümkünse TOTP'yi tercih edin, SMS'i yalnızca alternatif yöntemlerin olmadığı durumlarda kullanın.
Telefonumu kaybedersem hesabıma nasıl girerim?#
Kurulum sırasında verilen kurtarma kodlarından birini kullanarak giriş yapabilirsiniz. Kurtarma kodunuz da yoksa, genellikle ilgili servisin destek ekibiyle kimliğinizi doğrulayarak 2FA'yı sıfırlatmanız gerekir.
TOTP kodu neden bazen çalışmıyor?#
En sık sebep, telefonunuzun veya sunucunun saatinin senkron olmamasıdır; çünkü TOTP hesaplaması geçerli zaman damgasına dayanır. Cihazınızın saatini otomatik ayarlamaya (NTP) aldığınızdan emin olun.
2FA ile MFA aynı şey mi?#
2FA, MFA'nın (çok faktörlü doğrulama) iki faktörle sınırlı özel bir halidir. MFA genel bir şemsiye terimdir ve ikiden fazla faktörü (örneğin parola + TOTP + biyometri) de kapsayabilir.
Kurtarma kodlarımı kaybedersem ne olur?#
Kodlar tükenir veya kaybolursa ve telefonunuza da erişemiyorsanız, hesabınıza tekrar erişmenin tek yolu genellikle ilgili hizmetin destek ekibiyle iletişime geçip kimlik doğrulama sonrası 2FA'nın manuel olarak sıfırlatılmasıdır.
2FA kurmak, bir sunucuyu veya web sitesini korumanın yalnızca tek bir parçasıdır; asıl güç, güncel yazılım, doğru SSL sertifikası yapılandırması ve düzenli yedekleme gibi önlemlerle bir araya geldiğinde ortaya çıkar. Panelinizde veya hizmetlerinizde 2FA'yı henüz etkinleştirmediyseniz, bugün birkaç dakikanızı ayırıp bunu yapmak, uzun vadede en yüksek getirili güvenlik yatırımlarından biri olacaktır.