Eğitim modülü
Çok adımlı doğrulama ve passkey
İkinci doğrulamanın ne kattığı, hangi türlerin diğerlerinden güçlü olduğu ve passkey'lerin sahte sitelere neden dayanıklı olduğu.
Sonunda neler yapabileceksiniz
- Üç doğrulama türünü sayıp her birine örnek verebilirsiniz.
- SMS kodunu, doğrulayıcı uygulamayı ve güvenlik anahtarını oltalamaya dayanıklılık açısından sıralayabilirsiniz.
- Passkey'in neden benzer görünen bir siteye girilemeyeceğini açıklayabilirsiniz.
Üç tür kanıt
Doğrulama faktörleri bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ve olduğunuz bir şeydir (parmak izi ya da yüz). Çok adımlı doğrulama en az iki farklı türü birleştirir. Parola artı güvenlik sorusu çok adımlı değildir; ikisi de bildiğiniz şeydir.
Neye karşı korur
Parola sızsa ya da tahmin edilse bile ikinci doğrulama saldırgan ile hesap arasında durur. Bu yüzden çoğu kişi için en yararlı tek adım, ana e-posta hesabında bunu açmaktır: o hesap hemen her şeyin parolasını sıfırlayabilir.
Her ikinci doğrulama aynı değildir
SMS ile gelen kod hiç yoktan iyidir; ancak SIM değişikliğiyle yönlendirilebilir ve kurban, kodu okuması için ikna edilebilir. Doğrulayıcı uygulamadaki kod bunlara karşı daha güçlüdür; yine de sahte bir sayfaya anında girilebilir. Donanım güvenlik anahtarı ya da passkey yalnızca gerçek siteye yanıt verir; kod aktarma yöntemine bu yüzden dayanır.
- En iyisi: passkey ya da donanım güvenlik anahtarı.
- İyi: doğrulayıcı uygulama.
- Başka seçenek yoksa kabul edilebilir: SMS kodu.
Passkey nasıl çalışır
Passkey bir anahtar çiftidir. Özel anahtar cihazınızda kalır ve hiç ayrılmaz; site yalnızca açık anahtarı saklar. Giriş yaparken cihazınız, sitenin gerçek adresini içeren bir sınamayı imzalar. Sahte sitenin adresi farklı olduğundan imza onun işine yaramaz; yazılacak ya da sitenin veri tabanından sızacak bir parola da yoktur.
Kurtarma planı
Kaybettiğiniz bir ikinci doğrulama, hesaba girememek demektir. Yedek kodları kâğıtta saklayın, hizmet izin veriyorsa ikinci bir anahtar ya da cihaz kaydedin ve ihtiyaç doğmadan önce kurtarmanın nasıl işlediğini öğrenin.
Akılda kalacaklar
- E-posta hesabıyla başlayın.
- Passkey ve güvenlik anahtarını tercih edin; SMS yerine uygulama kullanın.
- Kurtarmayı ihtiyaç doğmadan hazırlayın.
Kendinizi sınayın
Açıklamayı görmek için bir yanıt seçin. İstediğiniz zaman baştan başlayabilirsiniz.
1. Hangi ikili çok adımlı doğrulama sayılır?
İkisi farklı türde olmalıdır: burada bildiğiniz bir şey ve sahip olduğunuz bir şey.
2. Bankanız gibi görünen bir sayfa, az önce aldığınız uygulama kodunu istiyor. Bu neyi gösterir?
Kodlar aktarılabilir. Sitenin adresini sizin yerinize yalnızca passkey ya da güvenlik anahtarı denetler.
3. Passkey neden benzer görünen bir sitede kullanılamaz?
İmza gerçek adresi kapsar; farklı bir alan adı yeniden kullanabileceği bir şey almaz.
Daha fazlası
Kaynaklar
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).