Doğrulama Uygulaması ile SMS Kodu Arasındaki Fark

İkinci doğrulama adımını seçerken genellikle iki seçenek sunulur: telefonunuza SMS ile gelen kod ya da bir doğrulama uygulamasının ürettiği kod. İkisi de ekranda altı haneli bir sayı olarak görünür, bu yüzden aynı şey gibi algılanabilir. Oysa arka planda çalışma biçimleri ve karşı koydukları tehditler farklıdır. Hangi yöntemin hangi durumda daha uygun olduğunu karşılaştırmalı olarak ele alalım.

SMS kodu nasıl çalışır?

Hesabınıza giriş yaptığınızda hizmet, kayıtlı numaranıza rastgele üretilmiş bir kod gönderir. Kodu girince ikinci adım tamamlanır. Kolaydır, çünkü ek bir uygulama kurmayı gerektirmez ve herkesin telefonu bu işlevi destekler. Kodun kısa bir süre geçerli olması da tek kullanımlık olması da güvenliği artırır.

Zayıf yanı, kodun telefon şebekesi üzerinden taşınmasıdır. Numaranız başka bir SIM karta aktarılırsa mesajlar saldırganın eline geçer. Kilitli ekranda önizleme açıksa mesajı gören herkes kodu okuyabilir. Sahte bir sayfaya girdiğiniz kodu, saldırgan anında gerçek siteye girerek kullanabilir.

Doğrulama uygulaması nasıl çalışır?

Uygulama kurulumunda hizmetle uygulama arasında bir gizli anahtar paylaşılır; çoğunlukla bir karekod okutularak yapılır. Sonrasında hem hizmet hem uygulama, bu anahtar ve geçerli zamanı kullanarak aynı hesabı yapar ve genellikle her otuz saniyede bir yenilenen bir kod üretir. Kod, ağ bağlantısı olmadan, yalnızca cihazınızda hesaplanır.

Bu nedenle kod şebeke üzerinden gitmez; SIM değişikliği saldırısı bu yöntemi doğrudan etkilemez. Telefon uçak modundayken bile kod üretmeye devam eder. Karşılığında, telefonunuz kaybolursa veya yeni bir cihaza geçerseniz kurulumu taşımanız gerekir; bunun için kurtarma kodlarını önceden saklamış olmak şarttır.

Karşılaştırma: hangi tehdide karşı hangisi?

SIM kart ele geçirme saldırısına karşı uygulama, SMS'ten belirgin biçimde daha dirençlidir. Telefon numaranızın sızdırılması, çalınması ya da taşınması uygulama kodlarını etkilemez. Kilit ekranında bildirim önizlemesi nedeniyle kodun okunması riski de uygulamada daha düşüktür, çünkü kod yalnızca uygulamayı açtığınızda görünür.

Her iki yöntem de gerçek zamanlı oltalamaya karşı tam koruma sağlamaz. Sahte bir sayfaya parolanızla birlikte kodu da yazarsanız, saldırgan bunu hemen gerçek siteye iletebilir. Bu tehdide karşı daha dirençli seçenek, alan adını doğrulayan fiziksel güvenlik anahtarlarıdır. Anahtar, yalnızca doğru adreste yanıt verecek şekilde çalışır.

Güvenlik anahtarı ve onay bildirimleri

Güvenlik anahtarı, bilgisayara takılan ya da telefona yaklaştırılan küçük bir donanımdır. Kod yazmanız gerekmez; düğmeye dokunursunuz ve cihaz, siteyle kriptografik olarak konuşur. Sahte bir sitede ise çalışmaz. Bir kayıp ihtimaline karşı en az iki anahtar kaydetmek ve kurtarma yollarını güvenle saklamak gerekir.

Bazı hizmetler, telefonda bir onay bildirimi gönderir ve evet ya da hayır demenizi ister. Rahat bir yöntemdir ama bildirim yorgunluğu denen sorunu doğurur: saldırgan sürekli onay isteği yağdırır, bıkan kullanıcı bir noktada yanlışlıkla onaylar. Beklemediğiniz bir isteği hiçbir koşulda onaylamayın.

Hangisini seçmeli?

Genel sıralama şöyle özetlenebilir: güvenlik anahtarı, doğrulama uygulaması, SMS ve son olarak hiçbir ek adım olmaması. Hizmetinizin sunduğu seçeneklere göre elinizden gelenin en iyisini seçin. Para ve kişisel veri barındıran hesaplarda SMS'i yalnızca başka seçenek yoksa kullanın.

Ek bir uygulama kurmak sizi yoruyorsa SMS de hiç yoktan iyidir. Önemli olan, doğrulama yönteminin kurulumunu kurtarma planıyla birlikte düşünmektir. Telefon değişimi, kayıp ve bozulma ihtimaline karşı yedekler hazır olmalıdır.

Kurulum ve geçişte dikkat edilecekler

Doğrulama uygulamasını kurarken ekranda görünen karekodu ya da kurulum anahtarını kimseyle paylaşmayın ve ekran görüntüsünü bulutta bırakmayın; bu anahtarı elinde bulunduran biri aynı kodları üretebilir. Kurulum tamamlandığında hizmetin verdiği kurtarma kodlarını mutlaka saklayın. Yeni telefona geçmeden önce uygulamayı eski cihazda silmeyin; önce tüm hesapları yeni cihazda yeniden kurun ve çalıştığını sınayın.

Telefonun saati de önemlidir. Kodlar zamana dayalı olarak üretildiği için cihazın saati belirgin biçimde kayarsa kodlar reddedilebilir. Saat ayarını otomatik tutmak bu sorunu önler. Ayrıca ekran görüntüsü alınabilen ortamlarda kodunuzu görünür bırakmayın ve başkasının sizden kodu istemesi durumunda, bunun bir hile olduğunu varsayın.

Hesap türüne göre öncelik

Her hesap aynı düzeyde koruma gerektirmez. E-posta, bankacılık, ödeme ve para içeren hesaplar en güçlü yöntemle korunmalıdır. Haber siteleri ya da önemsiz bültenler için ise kısa mesaj bile yeterli olabilir. Önce en değerli beş hesabınızı belirleyip onlara uygulama ya da güvenlik anahtarı eklemek, zamanınızı en verimli kullanma biçimidir.

18+ · Oyun bir eğlence biçimidir, kazanç garantisi değildir; lütfen sorumlu oynayın.