- Katılım
- 21 May 2023
- Mesajlar
- 528
- Tepki
- 17
- Puan
- 18
Bir hesabınıza girerken sistem size iki seçenek sunuyor: telefonunuza gelecek bir SMS kodu ya da bir doğrulayıcı uygulamada üretilen kod. İkisi de "ikinci adım" diye anılıyor ve çoğu kullanıcı için ikisi de aynı güvenliği sağlıyormuş gibi görünüyor.
Bu yazı, iki yöntemin hangi saldırıya karşı gerçekten koruma sağladığını ve resmî kılavuzun bu konuda ne dediğini gösteriyor.
SMS neden "kısıtlı" bir yöntem sayılıyor
NIST'in SP 800-63B Dijital Kimlik Kılavuzuna göre telefon şebekesi (PSTN) üzerinden yapılan bant dışı doğrulamanın kullanımı "kısıtlı" (restricted) olarak tanımlanıyor. Belge, bu yöntemi kullanan kurumların "önceden kayıtlı telefon numarasının belirli bir fiziksel cihazla ilişkili olduğunu doğrulayabilmesi" gerektiğini belirtiyor; yani SMS'in kısıtlanma nedeni SMS'in kendisi değil, numaranın cihazla bağının garanti edilemeyişi.
Aynı belge, kısıtlı bir yöntemi kullanmaya devam eden kurumların cihaz değişimi, SIM değişimi ve numara taşıma gibi risk göstergelerini dikkate alması gerektiğini de ayrıca not ediyor.
Uygulama tabanlı yöntemin farkı
Aynı kılavuza göre yazılım tabanlı bant dışı doğrulayıcılar, doğrulayıcıyla aralarında onaylı kriptografi kullanan kimliği doğrulanmış korumalı bir kanal kurabiliyor. Bu, kodun telefon şebekesi üzerinden değil, doğrudan uygulama ile sunucu arasında şifreli bir kanaldan geçtiği anlamına geliyor; dolayısıyla SIM değişimi veya numara taşıma gibi telefon hattına özgü saldırılardan etkilenmiyor.
Kılavuz bu yöntem için SMS'e uygulanan kısıtlamayı tekrarlamıyor; pratikte bu, aynı iki adımlı doğrulama başlığı altında iki farklı risk seviyesinin bir arada durduğu anlamına geliyor.
Google'ın kendi kullanıcılarına söylediği
Google'ın 2 Adımlı Doğrulama yardım sayfasına göre metin mesajı veya arama yoluyla gönderilen doğrulama kodları, "telefon numarasına dayalı saldırılara karşı savunmasız olabilir." Sayfa, internet veya mobil hizmet olmadığında doğrulayıcı uygulamanın yine de çalışabildiğini de ayrıca belirtiyor; SMS bu durumda zaten işlevsiz kalıyor.
Bu iki nokta bir araya geldiğinde ortaya pratik bir sonuç çıkıyor: uygulama tabanlı yöntem hem telefon numarasına yönelik saldırılara karşı hem de şebeke kesintisi gibi erişilebilirlik sorunlarına karşı SMS'ten daha dayanıklı.
Hangi durumda SMS hâlâ makul
NIST'in belgesi SMS'i tümüyle yasaklamıyor; "kısıtlı" ifadesi, kullanımının belirli koşullara ve ek risk değerlendirmesine bağlı olduğu anlamına geliyor. Hiçbir ikinci adım kullanmamaktan iyi olduğu, ve bazı kullanıcılar için doğrulayıcı uygulaması kurmanın pratik bir engel oluşturduğu durumlarda SMS makul bir başlangıç noktası olabilir.
Asıl önemli olan, hangi yöntemi seçerseniz seçin ikinci adıma erişiminizi kaybettiğinizde geri dönüş planınızın olması. Bu noktada passkey'e geçerken kurtarma planı nasıl kurulur yazımız, SMS veya uygulama fark etmeksizin ikinci faktöre erişimin kesildiği anlarda ne yapılması gerektiğini ayrıca ele alıyor.
Telefon değiştirdiğinizde de bu iki yöntem farklı davranıyor. SMS yeni cihazda otomatik olarak çalışmaya devam eder, çünkü doğrulama numaraya bağlıdır, cihaza değil. Doğrulayıcı uygulaması ise genelde cihaza bağlı bir gizli anahtar sakladığı için yeni telefona geçerken önceden aktarım yapılması gerekir; bu aktarımı atlayan kullanıcılar hesaplarına kilitlenebilir. Bu fark, hangi yöntemi seçtiğinizin yalnızca güvenlik değil, cihaz değişimi sırasındaki pratik akışı da etkilediğini gösteriyor.
- SMS/arama: NIST tarafından kısıtlı; SIM değişimi, numara taşıma gibi risklere karşı ek kontrol gerektiriyor.
- Doğrulayıcı uygulaması: Kriptografik olarak korunan kanal kullanıyor; şebeke veya internet olmadan da çalışabiliyor.
- Yedek kod ve donanım anahtarı: Her iki yöntemin de erişilemez olduğu senaryolar için ayrı bir kurtarma yolu.
Bazı servisler her iki yöntemi de aynı anda etkinleştirmenize izin veriyor: birincil yöntem doğrulayıcı uygulaması, yedek yöntem ise SMS. Bu kurulumda SMS'in taşıdığı risk ortadan kalkmaz, ama tek bir yöntemin çökmesi durumunda hesaba erişimi tamamen kaybetme riski azalır. NIST'in kısıtlı ifadesi burada da geçerliliğini koruyor; SMS'i yedek olarak tutmak, onu birincil yöntem yapmaktan daha düşük risk taşısa da tümüyle risksiz hale getirmiyor.
Hesap güvenliğini bir bütün olarak görmek
İkinci faktör seçimi tek başına yeterli değil; hangi araçları kullandığınız ve bu araçların birbiriyle nasıl tamamlayıcı çalıştığı da önemli. İnternet güvenliğiniz için hangi araçları kullanmalısınız yazımızda bu araçların bir bütün olarak nasıl bir araya geldiğini görebilirsiniz.
Bir hesabınız ele geçirilirse ikinci faktörün hangi yöntem olduğu geriye dönük olarak da önem kazanır; saldırganın hangi yolla içeri girdiğini anlamak müdahale hızını belirler. sızıntı sonrası ilk saatlerde ne yapılacağını anlattığımız yazı bu müdahale sırasında hangi adımların önce geldiğini gösteriyor.
Püf nokta' Alıntı:
Özetle
SMS ile doğrulayıcı uygulama arasındaki fark bir tercih meselesinden çok, hangi kanalın hangi saldırıya karşı dayanıklı olduğu meselesi. NIST'in kılavuzu SMS'i "kısıtlı", uygulama tabanlı yöntemi ise şifreli bir kanal olarak tanımlıyor; Google'ın kendi kullanıcılarına verdiği tavsiye de bu ayrımla örtüşüyor.
Hesaplarınızda şu anda hangi yöntemi kullanıyorsunuz, bu seçimi neden yaptınız?
Güncelleme: 24 Ağustos 2026.
Dijital Dünyanıza Yön Veren Pusula
