İki Faktörlü Kimlik Doğrulama Rehberi: Hangi 2FA Yöntemi En Güvenli?

İki faktörlü kimlik doğrulama nedir?

İki faktörlü kimlik doğrulama (2FA), oturum açanın gerçekten siz olduğunuzu kanıtlayan, parolanızdan sonra yapılan ikinci bir kontroldür ^[4]. Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), bunun iki adımlı doğrulama (2SV) veya çok faktörlü kimlik doğrulama (MFA) olarak da adlandırıldığını belirtiyor ^[4]. İkinci adım, telefonunuz veya bir güvenlik anahtarı gibi yalnızca sizin erişebildiğiniz bir şeyi kullanır ^[4].

MFA, iki veya daha fazla farklı faktör türünü birleştirir: bildiğiniz bir şey (parola veya PIN), sahip olduğunuz bir şey (telefon veya anahtar) ya da olduğunuz bir şey (parmak izi veya yüz) ^[1]. Bir suçlu parolanızı çalsa bile ikinci faktör olmadan hesabınıza giremez ^[1].

2FA gerçekten işe yarıyor mu?

Evet. Şüpheli etkinlik gösteren Azure Active Directory hesapları üzerinde 2023'te yapılan bir Microsoft Research çalışması, MFA'nın ele geçirilme riskini tüm hesaplar genelinde %99,22 azalttığını buldu. Kimlik bilgileri daha önce sızdırılmış hesaplarda bu azalma %98,56 idi ^[8]. Çalışma süresince MFA etkin hesapların %99,99'undan fazlası güvende kaldı ^[8]. NCSC, kısa mesajlar dahil her türlü 2SV'nin hiç olmamasından daha iyi olduğunu söylüyor ^[4].

Bunun nedeni parola saldırılarının ölçeğidir. Microsoft, 2024'te saniyede yaklaşık 7.000 parola saldırısı gördüğünü, bunun 2023'teki oranın iki katından fazla olduğunu bildirdi ^[11].

Hangi 2FA yöntemi en güvenli?

Her 2FA aynı derecede güçlü değildir. ABD siber güvenlik ajansı CISA, yöntemleri yaygın saldırılara ne kadar iyi direndiklerine göre en güçlüden en zayıfa sıralıyor ^[1]:

1. Oltalamaya dayanıklı MFA: FIDO/WebAuthn (güvenlik anahtarları ve geçiş anahtarları) ve PKI tabanlı akıllı kartlar. CISA bunu altın standart olarak nitelendiriyor ^[1].
2. Uygulama tabanlı kodlar veya sayı eşleştirmeli bildirimler: bir doğrulama uygulamasından veya donanım token'ından gelen tek kullanımlık kodlar ya da oturum açma ekranında gösterilen bir sayıyı yazdığınız bildirim istemleri ^[1].
3. Sayı eşleştirmesiz bildirimler: bildirim bombardımanına açık, basit bir “Onaylıyor musunuz?” istemi ^[1].
4. SMS veya sesli arama kodları: CISA'ya göre bunlar yalnızca son çare olarak kullanılmalı ^[1].

CISA, FIDO/WebAuthn'un yaygın olarak erişilebilen tek oltalamaya dayanıklı kimlik doğrulama yöntemi olduğunu belirtiyor ^[1]. Kurumun 2025 tarihli mobil güvenlik yönergeleri de bunu yineliyor: doğrulama uygulaması kodları SMS'ten daha iyidir ancak hâlâ oltalamaya açıktır; yalnızca FIDO kimlik doğrulaması oltalamaya dayanıklıdır ^[2]. NCSC de Nisan 2026'da aynı sonuca vardı. SMS kodları, e-posta kodları, uygulama kodları ve bildirim onayları dahil tüm geleneksel MFA yöntemlerini doğası gereği oltalamaya açık olarak değerlendirdi ^[5].

Bir yöntemi oltalamaya dayanıklı yapan nedir?

NIST oltalama direncini, oturum açma protokolünün kullanıcının dikkatine dayanmadan sırların taklitçi bir siteye ifşa edilmesini engelleyebilme yeteneği olarak tanımlıyor ^[3]. Bir kodu okuyup yazdığınız hiçbir yöntem bu tanıma uymaz, çünkü o kodu sahte bir siteye de yazabilirsiniz ^[3]. FIDO yöntemleri gerçek web sitesine bağlıdır, bu nedenle ona benzeyen bir site bunları kullanamaz ^[5].

Başlıca 2FA yöntemleri nasıl karşılaştırılır?

Aşağıdaki tablo, CISA'nın sıralamasına ve NIST'in yönergelerine dayanarak her yöntemin başlıca saldırılara karşı sağladığı korumayı özetliyor. CISA saldırıları dört türde topluyor ^[1]:

• Oltalama: sahte bir oturum açma sayfası parolanızı ve tek kullanımlık kodunuzu toplar ^[1].
• Bildirim bombardımanı: saldırgan, biri kabul edilene kadar size onay istemleri yağdırır ^[1].
• SS7 istismarı: telefon ağının sinyalleşme sistemindeki açıklar, saldırganların SMS veya sesli aramayla gönderilen kodları ele geçirmesine olanak tanır ^[1].
• SIM değiştirme: suçlular bir mobil operatörü numaranızı kendi SIM kartlarına taşımaya ikna eder ^[1].

SMS kodları neden zayıf kabul ediliyor?

Kısa mesaj kodları 2FA'nın en yaygın biçimidir ve NCSC, çoğu hizmette varsayılan yöntem olduklarını belirtiyor ^[4]. Aynı zamanda çalınması en kolay olanlardır.

• Mesajlar şifrelenmez. CISA, bir telekom sağlayıcısının ağına erişimi olan ve SMS mesajlarını ele geçiren herkesin bunları okuyabileceğini belirtiyor ^[2].
• Numaralar ele geçirilebilir. SIM değiştirme saldırısında suçlular kurbanın kimliğine bürünür, bir operatör çalışanına rüşvet verir veya operatör sistemlerine sızarak numarayı kendi SIM kartlarına taşır ^[6]. Ardından kurbanın 2FA kodları ve parola sıfırlama mesajları dahil kısa mesajlarını alırlar ^[6].
• Oltalamayla ele geçirilebilirler. Elle yazılan her kod gibi bir SMS kodu da sahte bir siteye girilebilir ^[3].

Kayıplar gerçek. FBI'ın İnternet Suçları Şikâyet Merkezi'ne Ocak 2018 ile Aralık 2020 arasında, düzeltilmiş kaybı yaklaşık 12 milyon dolar olan 320 SIM değiştirme şikâyeti ulaştı. Yalnızca 2021'de ise kaybı 68 milyon doları aşan 1.611 şikâyet geldi ^[6].

NIST'in 2025 yönergeleri SMS ve sesli arama kodlarını kısıtlı bir kimlik doğrulayıcı olarak sınıflandırıyor. Bunları kullanan hizmetler en az bir kısıtsız alternatif sunmalı ve yakın tarihli bir SIM değişikliği veya numara taşıma gibi risk sinyallerini kontrol etmelidir ^[3]. NIST ayrıca e-postanın bant dışı (out-of-band) kimlik doğrulama için kullanılmaması gerektiğini söylüyor ^[3]. NCSC bireyler için daha esnek: e-postayı, parolanızı sıfırlamak için kullanılan hesaptan farklı bir hesap olması koşuluyla olası bir ikinci adım olarak listeliyor ^[4].

Tek seçenek SMS ise yine de kullanmalı mıyım?

Evet. NCSC, kısa mesajların en güvenli 2SV türü olmadığını ancak yalnızca parolaya göre yine de büyük bir gelişme olduğunu söylüyor ^[4]. CISA, SMS'i son çare olarak görüyor, ancak geçici bir adım olarak işe yarayabileceğini kabul ediyor ^[1].

Doğrulama uygulamaları ve bildirim istemleri nasıl çalışır?

Çoğu doğrulama uygulaması, internet standardı RFC 6238'de tanımlanan zamana dayalı tek kullanımlık parolalar (TOTP) üretir ^[7]. Uygulamayı kurduğunuzda uygulama ile hizmet gizli bir anahtarı paylaşır. Uygulama ardından bu anahtarı geçerli zamanla birleştirerek her zaman adımında, varsayılan olarak 30 saniyede bir değişen kısa bir kod üretir ^[7]. Kod telefonda hesaplandığı için doğrulama uygulamaları mobil sinyale ihtiyaç duymaz ^[4]. Bu da onları mobil kapsama alanının veya SMS iletiminin güvenilmez olduğu yerlerde kullanışlı kılar.

Doğrulama uygulamaları SIM değiştirme ve SS7 saldırılarına karşı dayanıklıdır ^[1]; Microsoft çalışması da Microsoft Authenticator gibi özel uygulamaların SMS'ten daha iyi sonuç verdiğini buldu ^[8]. Zayıf noktaları oltalamadır: sahte bir site kodu isteyip anında aktarabilir ^[1][2].

Sayı eşleştirme nedir?

Bildirim tabanlı 2FA, telefonunuza bir onay istemi gönderir. Sayı eşleştirme yoksa yalnızca Kabul Et'e dokunursunuz; bu da bildirim bombardımanını mümkün kılar. Sayı eşleştirmede ise oturum açma ekranında gösterilen bir sayıyı uygulamaya yazmanız gerekir; bu da körü körüne onaylamaya karşı ek bir kontrol sağlar ^[1]. CISA, henüz oltalamaya dayanıklı MFA kullanamayan kuruluşlara sayı eşleştirmeyi öneriyor ^[1].

Güvenlik anahtarları ve geçiş anahtarları bu tabloda nereye oturuyor?

Güvenlik anahtarları ve geçiş anahtarları, FIDO standartlarını ve açık anahtarlı kriptografiyi kullanır ^[10]. Güvenlik anahtarı, USB veya NFC ile bağlanan küçük bir fiziksel cihazdır. Geçiş anahtarı (passkey) ise telefonunuzda veya bilgisayarınızda bulunabilir ve parmak iziniz, yüzünüz ya da PIN'inizle açılır ^[10].

Hedefli saldırı riski yüksek olan kişiler için CISA, mümkün olduğunda donanım FIDO güvenlik anahtarlarının en etkili seçenek, FIDO geçiş anahtarlarının ise kabul edilebilir bir alternatif olduğunu söylüyor ^[2]. NCSC, geçiş anahtarlarının gerçek dünyada görülen tüm yaygın kimlik bilgisi saldırılarına karşı geleneksel MFA kadar ya da ondan daha güvenli olduğunu belirtiyor ^[5]. Hizmetlerin sunduğu her yerde bunları ilk tercih olarak öneriyor ^[12].

Geçiş anahtarı ayrı bir ikinci adımı gereksiz de kılabilir. Bir Google Hesabında geçiş anahtarıyla oturum açmak 2 Adımlı Doğrulama adımını atlar ^[9]. NCSC'ye göre cihaz kullanıcıyı doğruladığında bir FIDO2 kimlik bilgisi tek başına çok faktörlüdür ^[5].

2FA güvenli bir şekilde nasıl kurulur?

1. E-postayla başlayın. NCSC, önemli hesaplarda, özellikle e-postada 2SV'yi açmanızı öneriyor; çünkü gelen kutunuza erişim, suçluların diğer parolalarınızı sıfırlamasına imkân verebilir ^[4].
2. Sunulan en güçlü yöntemi seçin. Önce geçiş anahtarı veya güvenlik anahtarını, ardından doğrulama uygulamasını tercih edin; SMS'i yalnızca başka seçenek yoksa kullanın ^[1][2].
3. Zayıf yedek yöntemi kaldırın. CISA, bir doğrulama uygulamasına kaydolmanın SMS'i hesaptan otomatik olarak kaldırmadığını, bunun da zayıf bir yedek yol bıraktığını belirtiyor. Daha güçlü bir yöntem çalışır hâle gelince SMS'i devre dışı bırakın ^[2].
4. Yedek kodları saklayın. Tek kullanımlık yedek kodları güvenli bir yerde saklayın ve kullandıktan sonra yenilerini oluşturun ^[4].
5. İkinci bir yöntem ekleyin. NCSC, ana ikinci adımınızın kullanılamaz olduğu durumlar için bir yedek seçenek öneriyor ^[4].
6. Telefon numaranızı koruyun. CISA, mobil operatörünüzde bir operatör PIN'i belirlemenizi öneriyor ^[2]. FBI, PIN'inizi veya parolanızı sizi beklenmedik şekilde arayan kişilere asla vermemenizi tavsiye ediyor ^[6].
7. Sizin başlatmadığınız bir istemi asla onaylamayın. Beklenmedik bildirim istemleri bir bildirim bombardımanı girişimi olabilir ^[1].

Uyarı işaretlerine dikkat edin. FBI'a göre mobil sinyalin veya SMS hizmetinin aniden kesilmesi bir SIM değiştirme saldırısına işaret edebilir. Böyle bir durumda hemen operatörünüzle iletişime geçin ve hesap parolalarınızı değiştirin ^[6].

2FA'da neler değişiyor?

Resmî yönergeler kodlardan uzaklaşıp oltalamaya dayanıklı yöntemlere yöneliyor. NIST'in 2025 yönergeleri, AAL2 güvence düzeyindeki hizmetlerin en az bir oltalamaya dayanıklı seçenek sunmasını zorunlu kılıyor ^[3]. NIST ayrıca tehditler değiştikçe telefon ağı kodlarının kısıtlı statüsünü yeniden düzenleyebileceğini belirtiyor ^[3]. NCSC, Nisan 2026'da geçiş anahtarlarını destekleyen her hizmette bunları, desteklemeyenlerde ise 2SV'yi önereceğini açıkladı ^[5].

Çoğu kişi için 3 Kasım 2026 itibarıyla pratik yol üç adımdan oluşuyor. 2FA'yı sunulduğu her yerde açın. Mümkün olan yerlerde SMS'in yerine bir doğrulama uygulaması kullanın. Ardından en önemli hesaplarınızı geçiş anahtarlarına veya bir güvenlik anahtarına taşıyın. Her adım, daha zayıf yöntemin açık bıraktığı bir saldırı türünü kapatır ^[1][5].