Çok faktörlü doğrulama (MFA), şifreniz çalınsa bile hesabınıza erişimi engelleyen en etkili güvenlik katmanıdır. Kurulumdan ileri seviye ayarlara kadar her şey bu rehberde.
MFA, bir hesaba giriş yaparken sadece şifre değil, ek doğrulama faktörleri de isteyen güvenlik sistemidir. Şifreniz çalınsa bile, saldırgan ikinci faktöre sahip olmadan hesabınıza erişemez.
🔴 Neden Kritik?
Microsoft araştırmasına göre, MFA kullanarak hesap ele geçirme saldırılarını %99.9 oranında engelleyebilirsiniz. Tek başına en etkili güvenlik önlemidir.
Doğrulama Faktörleri
MFA, üç temel faktör türünü birleştirir:
Bildiğiniz Şey
Şifre, PIN, güvenlik sorusu
Örnek: "P@ssw0rd123!"
Sahip Olduğunuz Şey
Telefon, hardware token, akıllı kart
Örnek: YubiKey, Authenticator
Siz Olmak
Biyometrik veriler (parmak izi, yüz, iris)
Örnek: Face ID, Touch ID
💡 2FA vs MFA Farkı
2FA (İki Faktörlü): Tam olarak 2 faktör kullanır (genellikle şifre + telefon). MFA (Çok Faktörlü): 2 veya daha fazla faktör kullanabilir. MFA daha esnek ve güvenlidir.
BÖLÜM 02
MFA Faktör Türleri
Farklı MFA yöntemleri farklı güvenlik seviyeleri ve kullanım kolaylığı sunar. İhtiyaçlarınıza en uygun yöntemi seçin.
MFA Yöntemleri Güvenlik Sıralaması
EN GÜVENLİ
Hardware Security Key (FIDO2/WebAuthn)
YubiKey, Google Titan gibi fiziksel güvenlik anahtarları. Phishing'e karşı %100 koruma sağlar.
Phishing-proof En yüksek güvenlik Offline çalışır
Ekstra cihaz gerekir Maliyetli ($20-50)
ÇOK GÜVENLİ
Authenticator Uygulaması (TOTP)
Google Authenticator, Microsoft Authenticator, Authy, 1Password gibi uygulamalar. Her 30 saniyede bir kod üretir.
Ücretsiz Offline çalışır SIM swap'e karşı güvenli
Phishing'e karşı savunmasız Telefon kaybolursa risk
İYİ
Push Notification
Telefonunuza gelen "Giriş onaylıyor musunuz?" bildirimi. Microsoft Authenticator, Duo gibi.
Kullanımı çok kolay Kod girmeye gerek yok
MFA fatigue saldırılarına açık İnternet gerekir
TEMEL
SMS Kodu
Telefon numaranıza gönderilen 6 haneli kod. En yaygın ama en zayıf MFA yöntemi.
Herkes kullanabilir Ek uygulama gerektirmez
SIM swap saldırılarına açık SMS intercept mümkün NIST tarafından önerilmiyor
ZAYIF
E-posta Kodu
E-posta adresinize gönderilen doğrulama kodu. E-posta hesabınız ele geçirilirse işe yaramaz.
Not: Apple ID'de authenticator app kullanılamaz, sadece SMS/telefon onayı
Instagram / Facebook
Instagram: Profil → Menü → Güvenlik
"İki Faktörlü Doğrulama" seçeneğine gidin
"Kimlik Doğrulama Uygulaması" seçeneğini seçin
Authenticator uygulamanızı açın
QR kodu tarayın veya manuel kurulum yapın
6 haneli kodu girin
Yedek kodları kaydedin
⚠️ Kritik Uyarı
MFA kurulumu sırasında verilen yedek kurtarma kodlarını mutlaka güvenli bir yere kaydedin! Telefonunuzu kaybederseniz veya authenticator uygulaması silinirse, bu kodlar ile hesabınıza erişebilirsiniz. Bu kodları:
Fiziksel olarak bir kağıda yazın ve kasada saklayın
Şifre yöneticinizde "Güvenli Not" olarak kaydedin
Asla düz metin olarak e-posta veya not defterinde tutmayın
BÖLÜM 05
MFA Saldırıları ve Savunma
MFA güçlüdür ama kusursuz değildir. Saldırganlar MFA'yı atlatmak için çeşitli yöntemler geliştirir. Bu saldırıları tanımak, savunmanızı güçlendirmenizi sağlar.
Yaygın MFA Saldırıları
SIM Swap Saldırısı
KRİTİK
Saldırgan, telefon operatörünüzü kandırarak telefon numaranızı kendi SIM kartına aktarır. Böylece SMS kodlarını alır.
Hedef:SMS tabanlı MFA
Belirti:Telefonunuz aniden çekim kaybeder
Savunma:Authenticator app veya hardware key kullanın
MFA Fatigue (Bildirim Yorgunluğu)
KRİTİK
Saldırgan, telefonunuza art arda onay bildirimi gönderir. Kullanıcı yorulup "Evet" dediğinde hesap ele geçirilir.
Hedef:Push notification MFA
Belirti:Beklenmeyen çok sayıda onay bildirimi
Savunma:Number matching (eşleşen sayı) özelliğini açın
Phishing ile MFA Atlatma
KRİTİK
Sahte giriş sayfası, şifrenizi ve MFA kodunuzu aynı anda çalar. Saldırgan gerçek siteye girerek kodu kullanır.
Hedef:SMS ve Authenticator MFA
Belirti:Beklenmeyen giriş sayfaları
Savunma:FIDO2/WebAuthn (phishing-proof MFA)
Sosyal Mühendislik
YÜKSEK
Saldırgan, destek ekibi gibi davranarak MFA ayarlarınızı değiştirmenizi veya kod paylaşmanızı ister.
Hedef:Tüm MFA türleri
Belirti:Şüpheli "destek" mesajları
Savunma:Asla MFA kodlarını paylaşmayın
Man-in-the-Middle (MitM)
YÜKSEK
Saldırgan, sizinle sunucu arasındaki iletişimi dinleyerek MFA kodlarını ele geçirir.
Hedef:SMS ve e-posta MFA
Belirti:Güvensiz Wi-Fi ağları
Savunma:HTTPS kullanın, VPN kullanın
OTP Token Çalma
ORTA
Kötü amaçlı uygulamalar, authenticator uygulamanızdaki token'ları çalar.
Hedef:Authenticator uygulamaları
Belirti:Bilinmeyen uygulamalar
Savunma:Sadece resmi uygulamaları kullanın
MFA Savunma Stratejileri
Phishing-Resistant MFA Kullanın
FIDO2/WebAuthn standartlarını destekleyen hardware key (YubiKey) veya platform authenticator (Face ID, Touch ID) kullanın. Bu yöntemler phishing saldırılarına karşı %100 koruma sağlar.
Number Matching Açın
Microsoft Authenticator gibi uygulamalarda "number matching" özelliğini açın. Bildirimde gösterilen sayıyı giriş sayfasında da görmeniz gerekir, bu MFA fatigue saldırılarını engeller.
Konum Bazlı Kısıtlama
Mümkünse, sadece belirli konumlardan veya IP aralıklarından MFA onayı kabul edecek şekilde ayarlayın.
Oturum Süresini Kısa Tutun
MFA onayından sonra oturum süresini mümkün olduğunca kısa tutun. Böylece çalınan oturumlar hızla sonlanır.
BÖLÜM 06
MFA En İyi Uygulamaları
MFA'yı doğru yapılandırmak, en az kurulum kadar önemlidir. İşte profesyonel MFA yönetimi için ipuçları.
MFA Yönetim İlkeleri
Her Zaman MFA Kullanın
MFA'yı sadece "kritik" hesaplarda değil, mümkün olan her hesapta etkinleştirin. Her hesap bir zincirin halkasıdır.
Yedek Yöntem Belirleyin
Birincil MFA yönteminiz çalışmazsa (telefon kaybolması gibi) kullanabileceğiniz yedek yöntem belirleyin.
Kurtarma Kodlarını Saklayın
Her MFA kurulumunda verilen yedek kodları güvenli bir yerde saklayın. Fiziksel kasa veya şifreli dijital depolama.
Düzenli Gözden Geçirme
Her 6 ayda bir MFA ayarlarınızı gözden geçirin. Kullanılmayan yöntemleri kaldırın, güncelleyin.
Telefon Değişiminde Dikkat
Yeni telefon aldığınızda, eski telefondaki authenticator uygulamasını silmeden önce yeni telefona aktarın.
Phishing'e Karşı Dikkatli
MFA kodlarını asla kimseyle paylaşmayın. Gerçek siteler asla kod istemez.
MFA Backup Stratejisi
BİRİNCİL
Ana MFA Yöntemi
Authenticator uygulaması veya hardware key
YEDEK 1
İkinci Authenticator
Farklı bir cihazda yedek authenticator
YEDEK 2
Kurtarma Kodları
Fiziksel olarak güvenli yerde saklanan kodlar
ACİL DURUM
Güvenilir Kişi
Güvendiğiniz bir kişiye yedek kodların bir kopyası
Mini Quiz: MFA Güvenliği
Soru 1/3
Hangi MFA yöntemi phishing saldırılarına karşı en güvenlidir?
BÖLÜM 07
Kurumsal MFA Stratejisi
Kurumlar için MFA stratejisi, bireysel kullanımdan farklıdır. Çalışan sayısı, rol bazlı erişim ve uyumluluk gereksinimleri dikkate alınmalıdır.
Sadece belirli ülkelerden veya IP aralıklarından MFA onayı kabul et.
Cihaz Bazlı
Sadece yönetilen ve uyumlu cihazlardan MFA onayı kabul et.
Zaman Bazlı
İş saatleri dışında ek MFA doğrulaması iste.
Risk Bazlı
Şüpheli giriş denemelerinde ek MFA faktörü iste.
BÖLÜM 08
MFA Güvenlik Kontrol Listesi
MFA güvenliğinizi değerlendirmek için bu kontrol listesini kullanın. Tüm maddeleri işaretleyerek MFA hijyeninizi artırın.
MFA Kurulumu
MFA Güvenliği
MFA Yönetimi
Final Quiz: MFA Güvenliği
Soru 3/3
Authenticator uygulamanızı kaybederseniz ne yapmalısınız?
🎉 Tebrikler!
MFA rehberini tamamladınız! Artık hesaplarınızı çift kilit ile koruyabilirsiniz. MFA'yı tüm kritik hesaplarınızda etkinleştirin ve düzenli olarak gözden geçirin.
SIKÇA SORULAN SORULAR
MFA / 2FA SSS
MFA gerçekten gerekli mi?
Evet, kesinlikle. MFA, hesap güvenliğini tek başına en çok artıran önlemdir. Şifreniz çalınsa bile, saldırgan MFA koduna sahip olmadan hesabınıza erişemez.
SMS MFA güvenli mi?
SMS MFA, MFA kullanmamaktan iyidir ancak en güvenli seçenek değildir. SIM swap saldırılarına açıktır. Mümkünse authenticator app veya hardware key kullanın.
Authenticator uygulamamı kaybedersem ne olur?
Kurulum sırasında aldığınız yedek kurtarma kodları ile hesabınıza erişebilirsiniz. Bu yüzden bu kodları güvenli bir yerde saklamak kritiktir.
Hangi authenticator uygulamasını kullanmalıyım?
Authy (bulut yedekleme için), Microsoft Authenticator (push notification için) veya 1Password/Bitwarden (şifre yöneticisi entegrasyonu için) önerilir.
MFA yorgunluğu saldırısı nedir?
Saldırgan, size art arda MFA onay bildirimi gönderir. Yorulup "Evet" dediğinizde hesabınızı ele geçirir. Number matching özelliği bu saldırıyı engeller.
Hardware security key gerçekten gerekli mi?
Kritik hesaplar (bankacılık, kripto, e-posta) için kesinlikle önerilir. Phishing'e karşı %100 koruma sağlar ve fiyatı ($20-50) sağladığı güvenliğe değer.
MFA kodlarını başkasıyla paylaşmalı mıyım?
Hayır, asla! Gerçek hizmetler sizden MFA kodu istemez. Kod isteyen herkes dolandırıcıdır.
Yeni telefon aldığımda MFA'yı nasıl aktarırım?
Eski telefonunuzda authenticator uygulamasının yedekleme/aktarma özelliğini kullanın. Authy ve Microsoft Authenticator bulut yedekleme sunar. Aktarma yapmadan eski telefonu sıfırlamayın.
MFA Güvenliğinizi Artırın
Hesaplarınızı çift kilit ile koruyun. MFA kurulumu sadece 5 dakika sürer.
