İki Adımlı Doğrulama ile E-posta Hesabı Nasıl Korunur?

İki adımlı doğrulama (2FA), bir hesaba girişte parolaya ek olarak ikinci bir doğrulama adımı isteyen güvenlik yöntemidir. E-posta hesapları ve yönetim panelleri için en etkili önlemlerden biridir, çünkü çalınan, tahmin edilen veya başka bir siteden sızan parola tek başına girişe yetmez.

Bu yazıda yöntemleri güvenlik düzeyine göre karşılaştırıyor, kurtarma kodlarını, yeni saldırı tekniklerini ve kurum genelinde geçiş planını ele alıyoruz.

2FA, MFA ve iki adımlı doğrulama aynı şey mi?

Kimlik doğrulama faktörleri üç gruba ayrılır: bildiğiniz bir şey (parola, PIN), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ve olduğunuz bir şey (parmak izi, yüz tanıma). İki faktörlü doğrulama (2FA) bu gruplardan ikisini, çok faktörlü doğrulama (MFA) ise iki veya daha fazlasını birlikte kullanır. Günlük kullanımda "iki adımlı doğrulama" ifadesi genellikle 2FA ile eş anlamlı kullanılır.

Hangi yöntemler var ve hangisi daha güvenli?

TOTP, RFC 6238 ile tanımlanan açık bir standarttır; bu yüzden aynı hesap farklı doğrulama uygulamalarıyla kullanılabilir.

Doğrulama uygulaması seçerken nelere dikkat edilmeli?

Doğrulama uygulamaları kodları cihazda saklanan gizli bir anahtardan üretir; bu yüzden anahtarın nasıl korunduğu önemlidir. Uygulamanın kendi açılışını PIN veya biyometrik kilitle koruması, yedekleme yapıyorsa yedeği şifrelemesi ve telefon değiştirirken hesapları güvenli biçimde taşımaya izin vermesi beklenir. Uygulamayı yalnızca resmi uygulama mağazalarından yükleyin; doğrulama uygulaması kılığındaki sahte uygulamalar da bilinen bir saldırı yöntemidir.

SMS neden zayıf kabul ediliyor?

SMS kodları, saldırganın operatörü kandırarak numarayı kendi SIM kartına taşıması (SIM swap) ya da kullanıcıya kodu sahte bir siteye yazdırması yoluyla ele geçirilebilir. Yine de hiç ikinci adım olmamasından iyidir. Mümkün olan her yerde doğrulama uygulamasına veya güvenlik anahtarına geçilmelidir.

Güvenlik anahtarları neden oltalamaya dayanıklı?

FIDO2 ve WebAuthn tabanlı güvenlik anahtarları ile geçiş anahtarları (passkey), giriş isteğine verdikleri kriptografik yanıtı sitenin alan adına bağlar. Kullanıcı sahte bir giriş sayfasına yönlendirilse bile anahtar o alan adı için yanıt üretmez; böylece parolayı ve kodu çalmaya dayanan oltalama saldırıları sonuçsuz kalır.

Kurtarma kodları ve hesap kurtarma nasıl yönetilmeli?

İkinci faktörünü kaybeden kullanıcı için en güvenli yol, kurulum sırasında verilen tek kullanımlık kurtarma kodlarıdır:

• Kodları parola yöneticisinde veya basılı olarak güvenli bir yerde saklayın; posta kutusunda ya da masaüstündeki bir dosyada tutmayın.
• Her kod yalnızca bir kez kullanılır; kodlar azaldığında yenilerini üretin.
• Yardım masası üzerinden kurtarma için kimlik doğrulama adımlarını yazılı hale getirin. Saldırganlar ikinci adımı sıfırlatmak için sosyal mühendislikle yardım masalarını hedef alabilir.
• Yönetici tarafından yapılan her sıfırlama kayıt altına alınmalıdır.

MXZilla panelinde kullanıcılar TOTP tabanlı iki adımlı doğrulamayı açabilir ve kurulumda tek kullanımlık kurtarma kodları alır. Platform yöneticisi, platform ve bayi yöneticisi hesapları için iki adımlı doğrulamayı zorunlu kılabilir; cihazını kaybeden bir kullanıcının doğrulaması platform yöneticisi tarafından sıfırlanabilir ve bu işlem etkinlik günlüğüne yazılır.

MFA yorgunluğu ve ortadaki saldırgan oltalaması

İki adımlı doğrulama saldırganları tamamen durdurmaz, işlerini zorlaştırır. Son yıllarda iki teknik öne çıktı:

• MFA yorgunluğu (MFA fatigue): Parolayı ele geçiren saldırgan, çoğu zaman gece saatlerinde art arda onay bildirimi gönderir ve kullanıcının bıkıp onaylamasını bekler. Numara eşleştirme (ekrandaki sayının uygulamaya yazılması), bildirim sayısını sınırlama ve beklenmedik bildirimlerin reddedilip bildirilmesi bu saldırıyı büyük ölçüde etkisiz kılar.
• Ortadaki saldırgan (AiTM) oltalaması: Sahte giriş sayfası, kullanıcı ile gerçek site arasında aracı olarak çalışır; parola ve tek kullanımlık kod girildiğinde oturum çerezi çalınır. TOTP ve onay bildirimleri bu saldırıya karşı korumaz, FIDO2 anahtarları ise alan adı bağlaması sayesinde dayanıklıdır.

Saldırı yöntemleri ve belirtileri için phishing nedir yazımıza bakabilirsiniz.

E-posta altyapısında iki adımlı doğrulama nerelerde açılmalı?

• Posta kutuları: Microsoft 365, Google Workspace veya barındırma panelinizdeki tüm kullanıcılar.
• Yönetim panelleri: Alan adı kayıt firması, DNS sağlayıcısı, hosting paneli ve e-posta güvenlik paneli. DNS paneline erişen bir saldırgan MX ve SPF kayıtlarınızı değiştirebilir.
• Eski protokoller: IMAP, POP ve temel kimlik doğrulamalı SMTP çoğu zaman yalnızca parola ister ve ikinci adımı atlatır. Gerekmiyorsa kapatın, gerekiyorsa uygulamaya özel parolaları sınırlı tutun.
• Ortak kutular: info@ veya muhasebe@ gibi kutulara ortak parolayla giriş yerine kişisel hesaplara yetki vererek erişin; böylece iki adımlı doğrulama uygulanabilir ve kimin ne yaptığı izlenebilir.
• Servis hesapları ve API anahtarları: İkinci faktör kullanamayan hesaplar için yetkisi dar ve düzenli yenilenen anahtarlar kullanın.

Kurumda adım adım geçiş planı

1. Kullanıcıların, yöneticilerin, ortak kutuların ve servis hesaplarının envanterini çıkarın.
2. Önce yönetici, finans ve DNS paneli hesaplarında zorunlu kılın.
3. Yöntemi belirleyin; yönetici hesapları için güvenlik anahtarı, diğer kullanıcılar için doğrulama uygulaması iyi bir dengedir.
4. Çalışanlara neden, ne zaman ve nasıl sorularını yanıtlayan kısa bir rehber gönderin.
5. Kayıt için makul bir süre tanıyın, son tarihten sonra zorunlu hale getirin.
6. Cihaz kaybı ve kurtarma sürecini yazılı hale getirin.
7. Eski protokolleri kapatın ve zorunlu istisnaları belgeleyin.
8. Başarısız doğrulama denemelerini, yeni cihaz girişlerini ve yönlendirme kurallarını izleyin.

Hesap ele geçirildiğinde görülen işaretler için ele geçirilmiş e-posta hesabı belirtileri yazımıza göz atabilirsiniz.

Kişisel Verileri Koruma Kurumu da 2022'de yayımladığı bir kamuoyu duyurusunda, kullanıcı hesaplarının güvenliği için iki adımlı doğrulamayı veri sorumlularına tavsiye edilen tedbirler arasında saymıştır. Bu bir tavsiyedir; kurumunuzun yükümlülükleri hakkında hukuki değerlendirme için bir avukata danışın.

Alan adınızın genel e-posta güvenliğini ücretsiz güvenlik kontrolü ile görebilir, iki adımlı doğrulama destekli yönetim paneli içeren seçenekleri paketler bölümünde inceleyebilirsiniz.

Sık sorulan sorular

İki adımlı doğrulama açıkken hesabım yine de ele geçirilebilir mi?

Evet, risk azalır ama sıfırlanmaz. Ortadaki saldırgan oltalaması oturum çerezini çalabilir, MFA yorgunluğu kullanıcıyı onay vermeye zorlayabilir, eski protokoller ise ikinci adımı atlatabilir. Güvenlik anahtarları, eski protokollerin kapatılması ve oturum izleme bu riskleri büyük ölçüde azaltır.

Telefonumu kaybedersem ne olur?

Kurulumda aldığınız kurtarma kodlarından biriyle giriş yapıp yeni cihazınızı tanımlayabilirsiniz. Kurtarma kodlarınız yoksa yöneticinizin kimliğinizi doğruladıktan sonra iki adımlı doğrulamanızı sıfırlaması gerekir. Bu nedenle kodları kurulum anında güvenli bir yere kaydetmek önemlidir.

SMS ile doğrulama hiç kullanılmamalı mı?

SMS, hiç ikinci adım olmamasından daha iyidir; ancak SIM kart değiştirme dolandırıcılığına ve oltalamaya karşı zayıftır. Mümkün olan her yerde doğrulama uygulaması veya güvenlik anahtarı tercih edin. SMS yöntemini yalnızca geçiş döneminde veya yedek seçenek olarak kullanın.

Outlook veya telefondaki posta uygulaması iki adımlı doğrulamayla çalışır mı?

Modern kimlik doğrulamayı destekleyen güncel uygulamalar, girişte tarayıcı benzeri bir pencere açarak ikinci adımı ister ve sorunsuz çalışır. Yalnızca parolayla bağlanan eski uygulamalar ise ya çalışmaz ya da uygulamaya özel parola gerektirir. Bu tür uygulamaları güncel sürümlerle değiştirmek en güvenli yoldur.

Tüm çalışanlar için iki adımlı doğrulama zorunlu olmalı mı?

Evet, e-posta erişimi olan her hesap için zorunlu olması önerilir; saldırganlar çoğu zaman en az korunan hesaptan içeri girer. Geçişi yönetici ve finans hesaplarıyla başlatıp belirli bir takvimle tüm çalışanlara yaymak destek yükünü dengeler.