İki Faktörlü Doğrulama: SMS, TOTP ve Passkey Farkı

İki faktörlü doğrulama açmak artık standart bir öneri; ama hangi yöntemi açtığınız, korumanın gerçekte ne kadar işe yaradığını belirliyor. Üç yaygın seçenek var ve aralarındaki fark "biri daha modern" değil: farklı saldırılara karşı koruyorlar.

Ortak nokta: parolanın tek başına yetmemesi

Üç yöntemin de çözdüğü asıl problem şu: veri sızıntılarında ele geçen parolalar başka sitelerde deneniyor ve kullanıcıların önemli bir kısmı aynı parolayı birden fazla yerde kullanıyor. İkinci bir faktör eklendiğinde, sızmış bir parola tek başına işe yaramaz hâle geliyor. Parolanın sunucuda nasıl saklanacağı ayrı bir konu; onu parola saklama ve oturum güvenliği yazısında ele almıştık.

SMS: en yaygın, en zayıf

Kullanıcı için en kolay yöntem; kurulum gerektirmez, herkesin telefonu var. Ama iki ciddi zaafı var.

Numaranın devredilmesi. Saldırgan, operatörü ikna ederek numarayı kendi SIM kartına taşıtabiliyor. Bu gerçekleştiğinde doğrulama kodları doğrudan saldırganın telefonuna gidiyor ve kullanıcı olan biteni ancak hattı çekmediğinde fark ediyor. Yüksek değerli hesaplarda (finans, kripto, yönetici panelleri) bu saldırının hedefli örnekleri düzenli olarak görülüyor.

Kodun aktarılabilir olması. SMS kodu, kullanıcının baktığı sitenin gerçek olup olmadığını bilmez. Sahte bir giriş sayfası kodu ister, kullanıcı girer, saldırgan aynı saniyede gerçek siteye iletir. Kod geçerlidir ve oturum açılır.

TOTP: cihazda üretilen kod

Authenticator uygulamalarının kullandığı yöntem. Sunucu ile uygulama arasında paylaşılan bir gizli anahtar ve zaman bilgisinden 30 saniyede bir yeni kod üretilir. Kod hiçbir yerden geçmez, cihazda hesaplanır.

Bu, SMS'in birinci zaafını tamamen kapatır: operatör zinciri devre dışıdır, numara devri işe yaramaz. Uygulaması da sunucu tarafında sade:

// Kayıt: gizli anahtar üretilir, QR olarak gösterilir
$secret = $totp->generateSecret();          // kullanıcıya bir kez
$uri    = $totp->provisioningUri($secret, $kullanici->eposta, 'Uygulama Adı');

// Doğrulama: saat kaymasına karşı ±1 pencere tolerans
$gecerli = $totp->verify($secret, $girilenKod, tolerance: 1);

Tolerans penceresini geniş tutmayın: iki dakikalık pencere, çalınan bir kodun kullanılabilirlik süresini gereksiz yere uzatır. Bir de kullanılan kodu tek seferlik olarak işaretleyin; aksi hâlde aynı kod 30 saniye boyunca tekrar tekrar geçerli olur.

TOTP'nin açık kalan tarafı ikinci zaaftır: kullanıcı sahte siteye kodu kendi eliyle girerse koruma çalışmaz.

Passkey: alan adına bağlı imza

Passkey (WebAuthn) mantığı farklıdır. Kayıt sırasında cihazda bir anahtar çifti üretilir; özel anahtar cihazdan hiç çıkmaz, sunucuda yalnızca açık anahtar durur. Giriş sırasında sunucu rastgele bir veri gönderir, cihaz onu imzalar, sunucu imzayı doğrular.

Kritik ayrıntı şu: imza, isteğin geldiği alan adına bağlıdır. Kullanıcı sahte bir siteye düşerse tarayıcı o alan adı için kayıtlı bir passkey bulamaz ve imza üretmez. Yani kullanıcı kandırılsa bile saldırı ilerlemez. Oltalamaya karşı bugün elimizdeki en güçlü koruma bu.

Karşılaştırma

Uygulamanıza koyarken

Sıralama önerisi net: passkey'i birincil, TOTP'yi ikincil, SMS'i yalnızca son çare olarak sunun. Bunun yanında sık atlanan üç ayrıntı var.

Kurtarma yolunu önce tasarlayın. Kayıt akışında tek kullanımlık kurtarma kodları üretip indirtmezseniz, telefon kaybı her seferinde manuel destek işine dönüşür. Bu kodları veritabanında düz metin değil, parolalar gibi karma (hash) olarak saklayın.

Ekleme ve silme işlemlerini loglayın. Bir hesaba yeni ikinci faktör eklenmesi, saldırganın kalıcılık sağlamak için attığı ilk adımdır. Bu olayı denetim kaydına yazın ve kullanıcıya bildirim gönderin. Nasıl kurgulanacağı için denetim izi yazısına bakabilirsiniz.

Doğrulama denemesini sınırlayın. Altı haneli bir kod, sınırsız denemeye izin verildiğinde kaba kuvvetle bulunabilir. Hesap başına ve IP başına deneme sınırı koyun; sınırlamanın neden tek başına yetmediğini en sık görülen açıklar yazısında tartışmıştık.

Zorunlu mu, isteğe bağlı mı?

Yönetici ve superadmin rolleri için zorunlu, normal kullanıcılar için teşvikli olması çoğu üründe dengeli bir çizgi. Zorunluluğu tüm kullanıcıya bir gecede uygulamak, kurtarma akışı olgunlaşmadan destek yükünü patlatıyor. Kademeli geçiş — önce yöneticiler, sonra yüksek yetkili roller, en son herkes — hem güvenlik hem işletme açısından daha sağlıklı ilerliyor.

Sonuç

İki faktörlü doğrulama açmak tek bir karar değil, üç ayrı korumanın hangisini seçtiğinizle ilgili bir karar. Bugün için makul kurgu şu: passkey'i öne çıkarın, TOTP'yi yaygın seçenek olarak tutun, SMS'i yalnızca başka yolu olmayan kullanıcılar için bırakın ve kurtarma akışını ilk günden yazın. Sırların nerede tutulacağı konusunda sır yönetimi yazısı da tamamlayıcı olacaktır.

Standardın kendisi ve tarayıcı desteği için: WebAuthn Guide.