2FA neden 1 numaralı e-posta güvenliği alışkanlığınız olmalı

90’larda icat edildi (ve yaygın olarak AT&T’ye atfedilir) ancak ancak 2000’lerin ortalarında öne çıktı. İki faktörlü kimlik doğrulama (veya daha yaygın bilinen adıyla 2FA), o kadar basit bir fikirdir ki neredeyse güzeldir — bildiğiniz bir şeyi know sahip olduğunuz bir şeyle birleştirir have.

Sorun ve çözüm

Sorun:

Verilerimiz ile yetkisiz erişim arasında duran tek şey kullanıcı adı ve parolaydı. Hesaplarımız, bilgimiz olmadan 7/24 ihlal edilmeye hazır, esasen gözetimsiz bir kapıdır. Kullanıcı adlarının neredeyse her zaman kalıplaşmış olması ve parolaların da tahmin edilmesinin kolay olabilmesi, çünkü hepimiz benzer fikirlere yöneliyoruz, durumu daha da kötüleştiriyor.

Örneğin, tek bir kelime başka bir insanın tahmin etmesi için zor olabilir, ancak İngilizce dilindeki kelime sayısının sınırlı olması nedeniyle bir bilgisayar için şaşırtıcı derecede kolaydır. Bu yüzden birçok site bizden parolalarımızı harfler ve özel karakterlerle güçlendirmemizi ister. Ancak giderek daha sofistike hale gelen hackleme yazılımları ve şimdi de AI’ın ortaya çıkışıyla birlikte bu bile yeterli değildir. Unutmayın, hesabınıza açılan o “kapı” 7/24 dijital ortamda keşfedilebilir durumdadır.

Çözüm:

Yalnızca mantıken sizin elinizde olabilecek bir şeyi kullanarak giriş yapan kişinin gerçekten siz olduğunuzu doğrulamak. Bu bir akıllı telefon, e-posta hesabı, anahtar veya hatta biyometri olabilir. Hangi yöntem kullanılırsa kullanılsın, 2FA yetkisiz giriş denemelerinin engellenmesini sağlar ve daha fazla ihlale karşı önlem almanıza olanak tanır.

Elbette, bu abartılmış bir kimlik kontrolüdür — ön kapının mandalını açmadan önce dürbünden bakmanın eşdeğeri — ancak düşündüğünüzde uygulaması oldukça zekicedir. 2FA’nın bir hesaba kattığı güvenlik ve farkındalık miktarı, onu parçalarının toplamının ötesine taşır.

Peki o zaman neden yaygınlaşması bu kadar uzun sürdü? Muhtemelen yıllar içinde siber suçlardaki kademeli artışın, insanların ikincil cihazlara sahip olma sıklığının ve siber suçluların kullanımına sunulan artan işlem gücünün birleşimi, onun parlayacağı zamanı beklemesi gerektiği anlamına geliyordu. Ayrıca ikincil cihazın kaybolmasına ilişkin endişeler de olmuş olabilir.

2FA’nın yıllardır başarılı olduğu alanlar

Bankacılık ve finans uygulamaları bunu birkaç yıldır kullanıyor. Ancak bunun daha ‘günlük’ hesaplarınıza da yayıldığını henüz fark etmediyseniz, muhtemelen yakında fark edeceksiniz. Yaygınlaştırma süreci, hackleme teknolojisi daha sofistike hale geldikçe ve veri şirketlerinin verilerimizi koruma sorumluluğu arttıkça devam ediyor.

Örneğin, 2FA’ya e-posta hesapları bağlamında bakalım. Şimdiye kadar e-posta hesaplarınız için 2FA’yı etkinleştirmeyi biraz zahmetli ya da aşırı temkinli bulmuş olabilirsiniz — ancak bunun neden bu kadar değerli olduğuna sizi ikna edeceğiz, özellikle iş yapıyorsanız.

E-posta hesabınızı güvence altına almak için neden 2FA eklemelisiniz?

Öncelikle, parolanızın ötesinde ikinci bir koruma katmanına sahip olmak aslında hiçbir zaman kötü bir şey değildir. Şimdi durup e-posta hesabınızın içerdiği hassas veri türlerini düşünün:

• Bankacılık bilgileri — yıllardır başka yerlerde 2FA ile koruduğunuz türden bilgiler.

• Kişisel ekler — fotoğraflar, belgeler veya hatta fikri mülkiyetini korumak istediğiniz üretimler.

• Satın alma geçmişi — ve reklamverenler için değerli olabilecek diğer veriler.

• Tıbbi veriler — randevu, ilaç veya hatta sağlık durumu kayıtları.

• Gayrimenkul verileri — ev satın alma ve benzeri önemli süreçler çoğu zaman kağıtsız yürütülür.

Ve bahsettiğimiz gibi, iş yapıyorsanız bu veriler neredeyse kesin olarak müşterilerinizinkileri de kapsar. Bu verileri güvende tutmak, GDPR gibi kurallara sahip ülkelerde yasal bir yükümlülüktür. Yani e-postayı güvence altına almak zaten çok mantıklı gelmeye başlıyor, üstelik daha bitirmedik bile!

E-postanızı güvende tutmanın belki de en kritik nedeni, diğer birçok hesabınıza açılan bir kapı olmasıdır. Yıllardır parola sıfırlamanın yaygın bir yolu olmuştur. E-postanıza erişimi olan birinin yapması gereken tek şey, hangi sitelerde hesabınız olduğunu anlamak için mesajlarınızı okumak ve ardından bu sitelerde ‘parolamı unuttum’ sürecini başlatmaktır.

Neredeyse tüm küçük sitelerde, kayıtlı e-posta hesabı birinin hesabınıza erişmesinin önündeki tek engeldir. Bu da, hesabınızın hacklendiğini fark etmeden önce birçok hesabınızın ele geçirilmiş olabileceği anlamına gelir.

Hesabınıza kolayca 2FA ekleyin

İyi haber şu ki, çoğu e-posta hesabına 2FA eklemek gerçekten çok kolaydır. Özellikle kurumsal veya profesyonel e-posta hesaplarında bu özellik bulunma olasılığı yüksektir. Etkinleştirme süreci genellikle kolaydır ve özellikle başka uygulamalar için bir kimlik doğrulayıcınız varsa kurulumu çok hızlıdır.

Spacemail’e (iyi bir örnek olarak Spaceship tarafından sunulan) bakacağız; burada 2FA birkaç tıklamayla etkinleştirilebilir.

1. Hesabınıza giriş yapın

2. Ekranın sağ üst kısmındaki ayarlar çarkına tıklayın.

3. İkinci kutuda ‘Güvenlik merkezini başlat’a tıklayın.

4. Sekmede İKİ FAKTÖRLÜ KİMLİK DOĞRULAMA’ya tıklayın.

5. Desteklenen iki 2FA türünden birini seçin.

Diğer giriş noktalarını kapatmayı unutmayın

Ana girişe 2FA eklemek elbette iyi bir şeydir, ancak telefonunuzda bir uygulamaya (Outlook veya Gmail gibi) bağlıysa e-posta hesabınıza açılan başka bir arka kapınız olma ihtimali yüksektir.

Bu özelliği etkinleştirmek için kullanılan protokoller arasında IMAP, SMTP ve POP3 bulunur. Etkinleştirilmişse, hesabınıza erişim bir uygulama kullanılarak ayarlanabilir ve yapılandırdığınız 2FA atlanabilir. Güvenliği garanti altına almak için mümkünse bu protokolleri devre dışı bırakın.

Spacemail örneğinde, şu anda bir uygulama geliştiriliyor ve bu yılın ilerleyen dönemlerinde yayınlanması planlanıyor. Bu, güvenlikten ödün vermeden akıllı telefon gibi bir cihazda postanıza kolay erişim sağlayacak.

2FA türleri

“2FA türleri”nden söz etmişken, bunların ne olduğuna ve Spacemail bağlamında nasıl çalıştıklarına daha yakından bakalım. Genel olarak üç tür 2FA vardır. Bunların her biri kimlik doğrulama için farklı bir unsur kullanır.

“Bildiğiniz bir şey”

Buna ek PIN numaraları veya güvenlik soruları gibi şeyler dahildir. Bunlar yalnızca sizin bilmeniz gereken bilgi parçalarıdır — ancak birçok açıdan bir paroladan çok da farklı değildir. 2FA’nın daha eski bir biçimi olan bu yöntem, aşağıdaki yöntemler lehine yavaş yavaş kullanımdan kaldırılmaktadır.

Birkaç yıl önce, insanların cevabınızı tahmin etmesini veya araştırmasını önlemek için sahte bir ‘annenizin kızlık soyadı’ ya da ‘ilk evcil hayvan’ seçmeniz tavsiye edildiğini duymuş olabilirsiniz.

Görece güvensiz olması nedeniyle bu yöntem Spacemail tarafından desteklenmez.

“Olduğunuz şey”

Buna az önce kısaca değindik. Bu tür 2FA, parmak izi, yüz tanıma ve ses tanıma gibi biyometrik verilere dayanır. Bu, ikincil bir cihazın en iyi seçenek olmayabileceği durumlarda kullanışlıdır; örneğin birçok durumda kullandığımız akıllı telefon kendisi ikincil cihazdır.

Biyometri, kişinin kendisini kullanarak ikincil bir doğrulama yapılmasına olanak tanır. Ancak bu, genellikle yalnızca yeni ve gelişmiş cihazlarda bulunan ek sensörler gerektirir.

“Sahip olduğunuz şey”

2FA’nın çoğu bu kategoriye girer ve bu, Spacemail’de bulacağınız her iki seçenek için de geçerlidir. Bunlar belirli bir cihazın veya öğenin sizde bulunmasını gerektirir. Bu yöntemi uygulamanın birkaç yolu vardır.

TOTP (Zamana Dayalı Tek Kullanımlık Parola)

Bir kimlik doğrulayıcı uygulama tarafından oluşturulan kod, güvenli giriş sağlar. Kimlik doğrulayıcı uygulamalar kullanabilir veya SMS/e-posta ile tek kullanımlık kodlar gönderebilirsiniz. Spaceship örneğinde, TOTP’ye yalnızca bir kimlik doğrulayıcı uygulama aracılığıyla izin verilir çünkü bu çok daha güvenlidir.

U2F (Evrensel 2. Faktör)

U2F, açık anahtarlı kriptografi kullanır; bu da onu daha güvenli ve oltalamaya karşı daha dayanıklı hale getirir. Kodların manuel olarak yazılmasını gerektirmez. Cihazınıza yalnızca bir donanım anahtarı (YubiKey gibi) takarsınız. Bunun ek bir avantajı da, biri akıllı telefonunuzu çalarsa 2FA ile korunan hesaplara erişmek için ek bir cihazın (anahtarın) da gerekli olmasıdır.

Hangi yöntem seçilmeli

U2F genellikle daha güvenli kabul edilir çünkü cihazlar kurcalamaya dayanıklıdır ve kriptografik süreç belirli web sitesine veya uygulamaya bağlıdır. Bu, bir kullanıcı sahte bir siteyi ziyaret etmeye kandırılsa bile kimlik doğrulamanın başarısız olmasını sağlar; çünkü sahte site gerekli güvenli bağlantıyı kopyalayamaz.

Elbette, bir U2F anahtarı satın almanın bir maliyeti vardır, ancak güvenliğiniz söz konusu olduğunda buna değebilir.

Dengeli bir güvenlik düzeninin parçası olarak 2FA…

İnsan yalnızca 2FA ile yaşayamaz. Bu, iyi ve kapsamlı güvenlik uygulamalarının yerine geçmez. E-posta hesaplarımız özellikle oltalama ve kötü amaçlı yazılım saldırılarına açıktır. İşin ironik yanı, bu şekilde tehdit oluşturmak için kimsenin hesabınıza girmesi gerekmez. Sadece bir e-posta gönderirler.

Bu nedenle, e-posta tehditlerine karşı diğer korumaları, özellikle de spam önleme filtrelerini sunan hesaplar da akıllıca bir yatırımdır. Sosyal mühendislik tuzakları veya kötü amaçlı yazılım içeren e-postaları hiç görmeden engelleyerek, güvenliğiniz için en büyük riski hiç görmemiş olursunuz.Hesabınızda 2FA’yı bugün etkinleştirin ve eğer bu özellik yoksa bu özelliği sunan bir hesaba geçmeyi düşünün.