İki Faktörlü Doğrulama (2FA) Nedir? Nasıl Açılır?

2FA yöntemleri

SMS hiç 2FA kullanmamaktan çok daha iyidir, ama telefon numaranız SIM kart değişikliği dolandırıcılığıyla başka birine aktarılabilir. Doğrulama uygulamaları internet bağlantısı gerektirmez ve çoğu kişi için iyi bir dengedir. Güvenlik anahtarları ve passkey'ler yalnızca gerçek siteye yanıt verdiği için oltalama sitelerine karşı da koruma sağlar.

Doğrulama uygulamaları nasıl çalışır?

Doğrulama uygulamaları TOTP (Time-based One-Time Password) standardını kullanır:

1. 2FA'yı açtığınızda site size bir QR kod gösterir. Bu kod, siteyle uygulamanız arasında paylaşılan gizli bir anahtar içerir.
2. Uygulama bu anahtar ve o anki saatle her 30 saniyede bir yeni bir kod üretir.
3. Giriş yaparken site aynı hesabı kendi tarafında yapar ve kodları karşılaştırır.

Kodlar saate dayandığı için telefonunuzun saatinin doğru olması gerekir; telefonda saati ağdan otomatik almayı açık tutun. Sunucularda saatin neden önemli olduğunu Sunucu saat dilimi ve NTP rehberimizde anlattık.

Google Authenticator, Microsoft Authenticator, 1Password, Authy ve benzeri uygulamaların hepsi aynı standartla çalışır.

Yedek kodları saklayın

2FA'yı açarken çoğu site size bir dizi yedek kod (kurtarma kodu) verir. Telefonunuzu kaybettiğinizde ya da uygulamayı sildiğinizde hesabınıza bu kodlarla girersiniz.

• Yedek kodları bir şifre yöneticisinde ya da yazdırıp güvenli bir yerde saklayın.
• Her kod genellikle yalnızca bir kez kullanılabilir; azaldığında yenilerini oluşturun.
• Doğrulama uygulamanızın yedekleme ya da cihazlar arası taşıma özelliği varsa açın. Yeni bir telefona geçerken eski telefonu, hesaplarınızı taşımadan sıfırlamayın.

Hangi hesaplarda açmalısınız?

Önceliğe göre:

1. E-posta hesabınız: Diğer bütün hesapların şifre sıfırlama bağlantıları buraya gelir.
2. Alan adı ve hosting sağlayıcınız: Ele geçirilen bir hesapla DNS kayıtlarınız, siteniz ve e-postalarınız değiştirilebilir.
3. Sunucu ve oyun paneli hesaplarınız.
4. GitHub ve GitLab gibi kod depoları: Sunucuya otomatik dağıtım yapan projelerde depo erişimi sunucu erişimi demektir; ayrıntılar Git ile deploy rehberimizde.
5. Discord ve topluluk yönetim hesapları.
6. Bankacılık ve ödeme hesapları.

WordPress gibi sitelerin yönetici hesaplarında da bir 2FA eklentisi kullanın; ayrıntılar WordPress kurulumu rehberimizde.

Sunucunuzda SSH için 2FA

Kendi sunucunuzda en güçlü koruma, şifreli girişi kapatıp yalnızca SSH anahtarıyla giriş yapmaktır; bunu SSH nedir? yazımızda anlattık. Ek bir katman isterseniz SSH anahtarının yanında bir TOTP kodu da isteyebilirsiniz. Ubuntu ve Debian'da:

sudo apt install libpam-google-authenticator
google-authenticator

İkinci komutu, giriş yapacağınız kullanıcıyla (sudo olmadan) çalıştırın. Komut bir QR kod ve yedek kodlar gösterir; QR kodu doğrulama uygulamanızla okutun ve yedek kodları saklayın. Ardından /etc/pam.d/sshd dosyasının sonuna şu satırı ekleyin ve şifre sorulmaması için @include common-auth satırının başına # koyun:

auth required pam_google_authenticator.so

/etc/ssh/sshd_config dosyasında şu ayarları yapın:

KbdInteractiveAuthentication yes
UsePAM yes
AuthenticationMethods publickey,keyboard-interactive

Debian 11 gibi eski sürümlerde ilk ayarın adı ChallengeResponseAuthentication'dır. SSH servisini yeniden başlatın:

sudo systemctl restart ssh

Mevcut SSH oturumunuzu kapatmadan yeni bir terminalde giriş yapmayı deneyin. Önce anahtarınız kullanılır, ardından doğrulama kodu sorulur. Bir şey ters giderse açık oturumdan ayarları geri alabilirsiniz. Sunucuya hiç erişemezseniz sağlayıcınızın panelindeki web konsolu son çaredir. Diğer sunucu güvenliği adımlarını Linux sunucu güvenliği kontrol listemizde topladık.

2FA'yı atlatma girişimlerine dikkat

2FA güçlüdür, ama saldırganlar kodu sizden istemeye çalışır:

• Kodunuzu kimseyle paylaşmayın. Gerçek bir destek ekibi giriş kodunuzu sormaz.
• Beklemediğiniz onay bildirimlerini reddedin. Siz giriş yapmıyorken gelen bir bildirim, şifrenizin başkasının elinde olduğunu gösterir; şifrenizi hemen değiştirin.
• Giriş sayfasının adresini kontrol edin. Oltalama siteleri şifrenizle birlikte doğrulama kodunu da isteyip anında kullanabilir.

Nodesty hesabınızda 2FA

Nodesty müşteri panelinde hesabınızın güvenlik sayfasından iki faktörlü doğrulamayı açabilir ve geçiş anahtarı (passkey) ekleyebilirsiniz; 2FA, Google Authenticator, 1Password, Authy ve benzeri doğrulama uygulamalarıyla çalışır. Panelde yeni girişler ile şifre, iki faktörlü doğrulama ve erişim değişiklikleri için güvenlik bildirimleri de alırsınız.

AMD Ryzen 9 9950X VDS ve AMD EPYC 7763 VDS paketlerinde tam root erişimiyle SSH için 2FA'yı bu rehberdeki gibi kurabilir, erişiminizi kaybettiğinizde panelin web konsolundan sunucunuza bağlanabilirsiniz. Web hosting paketlerinde de sitenizin yönetici hesaplarını 2FA ile koruyun.