İki Aşamalı Doğrulama (2FA) Kurumsal Sistemlerde Neden Şart?
2FA nedir?
İki aşamalı doğrulama (2FA) veya daha genel adıyla çok faktörlü doğrulama (MFA), kullanıcının kimliğini iki farklı türde kanıtla doğrulamasıdır: bildiği bir şey (parola), sahip olduğu bir şey (telefon, donanım anahtarı) veya kendisi olan bir şey (parmak izi).
Neden gerekli?
Parolalar oltalama, veri sızıntıları ve tekrar kullanım nedeniyle sık sık ele geçirilir. 2FA etkinse, saldırgan parolayı bilse bile ikinci faktör olmadan giriş yapamaz. Microsoft ve Google gibi büyük sağlayıcıların açıklamaları, MFA'nın otomatik hesap ele geçirme saldırılarının çok büyük bölümünü engellediğini gösteriyor.
Yöntemlerin karşılaştırması
| Yöntem | Güvenlik | Not |
|---|---|---|
| SMS kodu | Düşük-orta | SIM kopyalama ve oltalamaya açık; hiç yoktan iyidir |
| Doğrulayıcı uygulama (TOTP) | Orta-yüksek | Google Authenticator, Microsoft Authenticator gibi |
| Anlık bildirim onayı | Orta-yüksek | “Bildirim yorgunluğu” saldırılarına karşı numara eşleştirme kullanılmalı |
| Donanım anahtarı / passkey (FIDO2) | Çok yüksek | Oltalamaya dayanıklı; yöneticiler için ideal |
Nerelerde zorunlu olmalı?
- Kurumsal e-posta ve ofis paketleri
- VPN ve uzaktan erişim
- Sunucu, hosting ve bulut yönetim panelleri
- Yazılımın yönetici paneli
- Muhasebe, bankacılık ve ödeme sistemleri
- Kod deposu (GitHub, GitLab)
Uygulama ipuçları
- Önce yöneticiler ve kritik hesaplarla başlayın
- Kurtarma kodlarının güvenli saklanmasını sağlayın
- Telefon kaybı gibi durumlar için yazılı bir süreç belirleyin
- Kendi yazılımınızda 2FA'yı TOTP standardıyla (RFC 6238) uygulayın
Sonuç
2FA, maliyeti düşük ama etkisi çok yüksek bir önlemdir. Yazılımınıza 2FA eklemek veya mevcut kimlik doğrulama yapınızı test ettirmek için siber güvenlik testleri sayfamıza göz atabilir veya teklif alabilirsiniz.