İki faktörlü doğrulama (2FA), bir hesaba giriş yaparken şifreye ek olarak ikinci bir kanıt (telefona gelen kod, doğrulama uygulaması, fiziksel anahtar) istenmesidir; şifre ele geçirilse bile ikinci faktör olmadan hesaba girilemez.
Şifre, tek başına 'bildiğiniz bir şey'dir ve çalınabilir, tahmin edilebilir ya da başka bir sitedeki sızıntıdan ele geçirilebilir. İki faktörlü doğrulama buna 'sahip olduğunuz bir şey' ekler: telefonunuzdaki doğrulama uygulamasının ürettiği altı haneli kod, SMS ile gelen kod, e-posta bağlantısı ya da USB güvenlik anahtarı. Giriş sırasında şifreden sonra bu ikinci adım istenir. Doğrulama uygulamaları (zaman tabanlı kodlar) SMS'e göre daha güvenli kabul edilir, çünkü SMS hat kopyalama gibi yöntemlerle ele geçirilebilir. Web sitenizin yönetim paneli, barındırma hesabı, alan adı hesabı ve e-posta için 2FA açılabilir ve açılmalıdır.
İşletme sahibi için neden önemli
İşletme sitelerine yönelik ele geçirme vakalarının önemli bir kısmı karmaşık saldırılarla değil, zayıf ya da sızmış şifrelerle gerçekleşir. Yönetim paneline giren biri siteyi değiştirebilir, müşteri verisini indirebilir ya da zararlı içerik yerleştirebilir. Alan adı hesabı ele geçirilirse site tamamen başka bir yere yönlendirilebilir. 2FA bu senaryoların çoğunu tek başına durdurur ve KVKK'nın beklediği teknik tedbirler arasında erişim güvenliğinin somut bir karşılığıdır.
Örnek
Bir eğitim kurumunun web sitesi yöneticisi, başka bir hizmette kullandığı şifreyi site panelinde de kullanıyor. O hizmet sızdırıldığında saldırgan aynı şifreyle panele girmeyi deniyor; ancak panelde doğrulama uygulaması kodu istendiği için giriş başarısız oluyor ve yönetici şüpheli giriş denemesi bildirimi alıyor. Şifre hemen değiştiriliyor, veri kaybı yaşanmıyor.
Sık yapılan hata
2FA'yı yalnızca e-posta hesabında açıp site paneli, barındırma ve alan adı hesaplarında kapalı bırakmaktır; zincir en zayıf halkadan kopar. İkinci hata, yedek kodları saklamamaktır; telefon kaybolduğunda hesaba erişim kaybedilir. Üçüncü hata, tüm ekibin tek bir yönetici hesabını paylaşmasıdır; 2FA kişiye özeldir ve her kullanıcının kendi hesabı olmalıdır.
Teklif alırken sorulacak soru
Site yönetim paneli iki faktörlü doğrulamayı destekleyecek mi ve her yönetici için ayrı hesap açılacak mı? Barındırma, alan adı ve e-posta hesaplarında 2FA kurulumu teslim kapsamında yapılacak mı?
Sık sorulanlar
SMS ile gelen kod yeterince güvenli mi?
Hiç olmamasından çok daha iyidir, ancak doğrulama uygulamaları ve fiziksel anahtarlar SMS'e göre daha güvenlidir. Kritik hesaplarda uygulama tabanlı kod tercih edilmelidir.
2FA kullanımı ekibi yavaşlatır mı?
Giriş başına birkaç saniye ekler. Çoğu sistem güvenilir cihazları belirli bir süre hatırlar; bu, güvenlikten ödün vermeden günlük kullanımı kolaylaştırır.
