İki faktorlu autentifikasiyanın izahı: hansı 2FA üsulu ən təhlükəsizdir?

İki faktorlu autentifikasiya nədir?

İki faktorlu autentifikasiya (2FA) paroldan sonra hesaba həqiqətən sizin daxil olduğunuzu sübut edən ikinci yoxlamadır ^[4]. Birləşmiş Krallığın Milli Kibertəhlükəsizlik Mərkəzi (NCSC) qeyd edir ki, ona iki addımlı yoxlama (2SV) və ya çoxfaktorlu autentifikasiya (MFA) da deyilir ^[4]. İkinci addım telefonunuz və ya təhlükəsizlik açarı kimi yalnız sizin əlçatanlığınız olan bir şeydən istifadə edir ^[4].

MFA iki və ya daha çox fərqli faktor növünü birləşdirir: bildiyiniz şey (parol və ya PIN), sahib olduğunuz şey (telefon və ya açar), yaxud kim olduğunuz (barmaq izi və ya üz) ^[1]. Cinayətkar parolunuzu oğurlasa belə, ikinci faktor olmadan daxil ola bilməz ^[1].

2FA həqiqətən işləyirmi?

Bəli. Microsoft Research-ün şübhəli fəaliyyət göstərən Azure Active Directory hesabları üzrə 2023-cü il araşdırması göstərib ki, MFA bütün hesablar üzrə ələ keçirilmə riskini 99.22% azaldıb. Giriş məlumatları artıq sızmış hesablarda isə azalma 98.56% olub ^[8]. Araşdırma dövründə MFA aktiv olan hesabların 99.99%-dən çoxu təhlükəsiz qalıb ^[8]. NCSC bildirir ki, istənilən 2SV, hətta mətn mesajları belə, onun olmamasından yaxşıdır ^[4].

Parol hücumlarının miqyası bunun səbəbini izah edir. Microsoft 2024-cü ildə saniyədə təxminən 7,000 parol hücumu müşahidə etdiyini bildirib ki, bu da 2023-cü il göstəricisindən iki dəfədən çoxdur ^[11].

Hansı 2FA üsulu ən təhlükəsizdir?

Bütün 2FA üsulları eyni dərəcədə güclü deyil. ABŞ-ın kibertəhlükəsizlik agentliyi CISA üsulları geniş yayılmış hücumlara nə dərəcədə davam gətirdiyinə görə ən güclüdən ən zəifə doğru sıralayır ^[1]:

1. Fişinqə davamlı MFA: FIDO/WebAuthn (təhlükəsizlik açarları və passkey-lər) və PKI əsaslı smart kartlar. CISA bunu «qızıl standart» adlandırır ^[1].
2. Tətbiq əsaslı kodlar və ya rəqəm uyğunlaşdırmalı push: autentifikator tətbiqindən və ya aparat tokenindən gələn birdəfəlik kodlar, yaxud giriş ekranında göstərilən rəqəmi daxil etdiyiniz push sorğuları ^[1].
3. Rəqəm uyğunlaşdırması olmayan push: push bombardmanına açıq olan sadə «Təsdiqləyirsiniz?» sorğusu ^[1].
4. SMS və ya səsli kodlar: CISA bildirir ki, onlardan yalnız son çarə kimi istifadə edilməlidir ^[1].

CISA bildirir ki, FIDO/WebAuthn geniş yayılmış yeganə fişinqə davamlı autentifikasiya üsuludur ^[1]. Onun 2025-ci il mobil təlimatı bu fikri təkrarlayır: autentifikator kodları SMS-dən yaxşıdır, lakin hələ də fişinqə həssasdır və yalnız FIDO autentifikasiyası fişinqə davamlıdır ^[2]. NCSC 2026-cı ilin aprelində eyni nəticəyə gəlib. O, SMS kodları, e-poçt kodları, tətbiq kodları və push təsdiqləri daxil olmaqla bütün ənənəvi MFA üsullarını təbiətən fişinqə məruz qalan kimi qiymətləndirib ^[5].

Üsulu fişinqə davamlı edən nədir?

NIST fişinqə davamlılığı giriş protokolunun istifadəçinin ayıq-sayıqlığına güvənmədən sirlərin saxta sayta ötürülməsinin qarşısını alma qabiliyyəti kimi müəyyən edir ^[3]. Kodu oxuyub daxil etdiyiniz heç bir üsul bu tələbə cavab vermir, çünki onu saxta sayta da yaza bilərsiniz ^[3]. FIDO üsulları həqiqi sayta bağlıdır, buna görə də ona bənzəyən sayt onlardan istifadə edə bilməz ^[5].

Əsas 2FA üsulları necə müqayisə olunur?

Aşağıdakı cədvəl CISA-nın sıralaması və NIST təlimatları əsasında hər üsulun əsas hücumlara qarşı qorumasını ümumiləşdirir. CISA hücumları dörd növə ayırır ^[1]:

• Fişinq: saxta giriş səhifəsi parolunuzu və birdəfəlik kodunuzu toplayır ^[1].
• Push bombardmanı: hücumçu sizi təsdiq sorğuları ilə o vaxta qədər bombardman edir ki, onlardan birini qəbul edəsiniz ^[1].
• SS7 istismarı: telefon şəbəkəsinin siqnalizasiya sistemindəki boşluqlar hücumçulara SMS və ya səsli zənglə göndərilən kodları əldə etməyə imkan verir ^[1].
• SIM dəyişdirmə: cinayətkarlar mobil operatoru nömrənizi onların SIM kartına köçürməyə inandırır ^[1].

SMS kodları niyə zəif sayılır?

Mətn mesajı kodları 2FA-nın ən geniş yayılmış formasıdır və NCSC qeyd edir ki, xidmətlərin çoxunda standart seçim məhz budur ^[4]. Onlar həm də oğurlanması ən asan olanlardır.

• Mesajlar şifrələnmir. CISA qeyd edir ki, telekommunikasiya provayderinin şəbəkəsinə girişi olan və SMS mesajlarını ələ keçirən hər kəs onları oxuya bilər ^[2].
• Nömrələr ələ keçirilə bilər. SIM dəyişdirmə zamanı cinayətkarlar nömrəni öz SIM kartlarına köçürmək üçün qurbanı təqlid edir, operator işçisinə rüşvət verir və ya operatorun sistemlərini sındırır ^[6]. Bundan sonra qurbanın mesajlarını, o cümlədən 2FA kodlarını və parol sıfırlama mesajlarını onlar alır ^[6].
• Onlar fişinqlə ələ keçirilə bilər. Daxil edilən istənilən kod kimi, SMS kodu da saxta saytda yazıla bilər ^[3].

İtkilər realdır. FBI-ın Internet Crime Complaint Center mərkəzi yanvar 2018-dən dekabr 2020-yə qədər təxminən 12 milyon dollar düzəldilmiş itki ilə 320 SIM dəyişdirmə şikayəti alıb. Təkcə 2021-ci ildə isə 68 milyon dollardan çox itki ilə 1,611 şikayət daxil olub ^[6].

NIST-in 2025-ci il təlimatları SMS və səsli kodları məhdudlaşdırılmış autentifikator kimi təsnif edir. Onlardan istifadə edən xidmətlər ən azı bir məhdudlaşdırılmamış alternativ təklif etməli və son SIM dəyişikliyi və ya nömrənin başqa operatora köçürülməsi kimi risk siqnallarını yoxlamalıdır ^[3]. NIST həmçinin bildirir ki, e-poçt kanaldankənar (out-of-band) autentifikasiya üçün istifadə edilməməlidir ^[3]. NCSC fərdi istifadəçilərə qarşı daha güzəştlidir: o, e-poçtu parolunuzu sıfırlamaq üçün istifadə olunandan fərqli hesab olduqda mümkün ikinci addım kimi göstərir ^[4].

SMS yeganə seçimdirsə, yenə də ondan istifadə etməliyəmmi?

Bəli. NCSC bildirir ki, mətn mesajları 2SV-nin ən təhlükəsiz növü olmasa da, təkcə parolla müqayisədə böyük irəliləyişdir ^[4]. CISA SMS-i son çarə adlandırır, lakin müvəqqəti addım kimi xidmət edə biləcəyini qeyd edir ^[1].

Autentifikator tətbiqləri və push sorğuları necə işləyir?

Autentifikator tətbiqlərinin çoxu RFC 6238 internet standartında müəyyən edilmiş zamana əsaslanan birdəfəlik parollar (TOTP) yaradır ^[7]. Tətbiqi quraşdırdığınız zaman o və xidmət gizli açarı bölüşür. Sonra tətbiq həmin açarı cari vaxtla birləşdirərək hər zaman addımında, standart olaraq 30 saniyədən bir dəyişən qısa kod yaradır ^[7]. Kod telefonda hesablandığı üçün autentifikator tətbiqləri mobil siqnal tələb etmir ^[4]. Bu, onları mobil əhatənin və ya SMS çatdırılmasının etibarsız olduğu yerlərdə faydalı edir.

Autentifikator tətbiqləri SIM dəyişdirmə və SS7 hücumlarına davamlıdır ^[1], Microsoft araşdırması isə Microsoft Authenticator kimi xüsusi tətbiqlərin SMS-dən daha yaxşı nəticə göstərdiyini aşkarlayıb ^[8]. Onların zəif cəhəti fişinqdir: saxta sayt kodu soruşub dərhal ötürə bilər ^[1][2].

Rəqəm uyğunlaşdırması nədir?

Push 2FA telefonunuza təsdiq sorğusu göndərir. Rəqəm uyğunlaşdırması olmadan sadəcə Accept düyməsinə toxunursunuz və bu, push bombardmanını mümkün edir. Rəqəm uyğunlaşdırması ilə isə giriş ekranında göstərilən rəqəmi tətbiqə yazmalısınız ki, bu da kor-koranə təsdiqlərə qarşı əlavə yoxlama yaradır ^[1]. CISA hələ fişinqə davamlı MFA-dan istifadə edə bilməyən təşkilatlara rəqəm uyğunlaşdırmasını tövsiyə edir ^[1].

Təhlükəsizlik açarları və passkey-lər bu sırada harada dayanır?

Təhlükəsizlik açarları da, passkey-lər də FIDO standartlarından və açıq açarlı kriptoqrafiyadan istifadə edir ^[10]. Təhlükəsizlik açarı USB və ya NFC vasitəsilə qoşulan kiçik fiziki cihazdır. Passkey isə telefonunuzda və ya kompüterinizdə saxlanıla və barmaq iziniz, üzünüz və ya PIN kodunuzla açıla bilər ^[10].

Məqsədli hücumların yüksək riski altında olan şəxslər üçün CISA bildirir ki, mümkün olduqda aparat FIDO təhlükəsizlik açarları ən effektiv seçimdir, FIDO passkey-ləri isə məqbul alternativdir ^[2]. NCSC bildirir ki, passkey-lər real həyatda rast gəlinən bütün geniş yayılmış giriş məlumatı hücumlarına qarşı ənənəvi MFA qədər və ya ondan daha təhlükəsizdir ^[5]. O, xidmətlərin təklif etdiyi hər yerdə onları birinci seçim kimi tövsiyə edir ^[12].

Passkey ayrıca ikinci addımı da lazımsız edə bilər. Google Account-a passkey ilə daxil olduqda 2-Step Verification addımı keçilir ^[9]. NCSC bildirir ki, cihaz istifadəçini yoxladıqda FIDO2 məlumatı özlüyündə çoxfaktorludur ^[5].

2FA-nı təhlükəsiz şəkildə necə qurmaq olar?

1. E-poçtdan başlayın. NCSC vacib hesablarda, xüsusilə e-poçtda 2SV-ni aktivləşdirməyi tövsiyə edir, çünki poçt qutunuza giriş cinayətkarlara digər parollarınızı sıfırlamağa imkan verə bilər ^[4].
2. Təklif olunan ən güclü üsulu seçin. Passkey və ya təhlükəsizlik açarına, sonra autentifikator tətbiqinə üstünlük verin, SMS-dən isə yalnız başqa heç nə olmadıqda istifadə edin ^[1][2].
3. Zəif ehtiyat üsulu silin. CISA qeyd edir ki, autentifikator tətbiqinin qoşulması SMS-i hesabdan avtomatik silmir və bu, zəif ehtiyat yol qoyur. Daha güclü üsul işləməyə başlayan kimi SMS-i söndürün ^[2].
4. Ehtiyat kodları saxlayın. Birdəfəlik ehtiyat kodları təhlükəsiz yerdə saxlayın və istifadə etdikdən sonra yenilərini yaradın ^[4].
5. İkinci üsul əlavə edin. NCSC əsas ikinci addımınız əlçatan olmadığı halda ehtiyat seçim tövsiyə edir ^[4].
6. Telefon nömrənizi qoruyun. CISA mobil operatorunuzda telco PIN təyin etməyi təklif edir ^[2]. FBI PIN kodunuzu və ya parolunuzu gözlənilmədən zəng edən şəxslərə heç vaxt verməməyi tövsiyə edir ^[6].
7. Özünüzün başlatmadığınız sorğunu heç vaxt təsdiqləməyin. Gözlənilməz push sorğuları push bombardmanı cəhdi ola bilər ^[1].

Xəbərdarlıq əlamətlərinə diqqət yetirin. FBI bildirir ki, mobil siqnalın və ya SMS xidmətinin qəfil itməsi SIM dəyişdirməyə işarə edə bilər. Belə olarsa, dərhal operatorunuzla əlaqə saxlayın və hesab parollarınızı dəyişin ^[6].

2FA sahəsində nə dəyişir?

Rəsmi təlimatlar kodlardan uzaqlaşaraq fişinqə davamlı üsullara doğru irəliləyir. NIST-in 2025-ci il təlimatları AAL2 etibarlılıq səviyyəsindəki xidmətlərdən ən azı bir fişinqə davamlı seçim təklif etməyi tələb edir ^[3]. NIST həmçinin qeyd edir ki, təhdidlər dəyişdikcə telefon şəbəkəsi kodlarının məhdudlaşdırılmış statusunu düzəldə bilər ^[3]. 2026-cı ilin aprelində NCSC bildirdi ki, xidmətin dəstəklədiyi hər yerdə passkey-ləri, dəstəkləmədiyi yerlərdə isə 2SV-ni tövsiyə edəcək ^[5].

Əksər insanlar üçün 3 noyabr 2026 tarixinə praktik yol üç addımdan ibarətdir. Təklif olunduğu hər yerdə 2FA-nı aktivləşdirin. Mümkün olduqda SMS-i autentifikator tətbiqi ilə əvəz edin. Sonra ən vacib hesablarınızı passkey-lərə və ya təhlükəsizlik açarına keçirin. Hər addım zəif üsulun açıq qoyduğu hücum növlərindən birini bağlayır ^[1][5].