SMS mi Authenticator mı? OTP Güvenliği Karşılaştırması
İki aşamalı doğrulamada kod ya telefonunuza SMS ile gelir ya da telefonunuzdaki bir uygulama tarafından üretilir. İkisi de "6 haneli kod" gösterir ama güvenlik açısından aynı şey değildir. Bu yazıda farkı teknik olarak açıklıyor, hangi hesapta hangisini kullanmanız gerektiğini tabloyla veriyoruz.
İki Yöntem Nasıl Çalışıyor?
SMS OTP: Kodu platformun sunucusu üretir, SMS sağlayıcısına verir, oradan operatör ağına düşer ve telefonunuza ulaşır. Kod bu zincirdeki her durakta teorik olarak görülebilir; en zayıf halka operatör tarafındaki numara devri işlemleridir.
Authenticator (TOTP): Kurulumda platform size bir gizli anahtar verir (genellikle QR kod olarak). Uygulama bu anahtarı ve o anki zamanı kullanarak her 30 saniyede yeni bir kod üretir. Kod hiçbir yere gönderilmez; sunucu da aynı anahtarla aynı kodu hesaplar ve karşılaştırır. Ortada iletilen bir mesaj olmadığı için araya girilecek bir kanal da yoktur.
Yan Yana Karşılaştırma
| Ölçüt | SMS OTP | Authenticator (TOTP) |
|---|---|---|
| SIM swap riski | Var — numara el değiştirirse kodlar da gider | Yok |
| Ağ bağımlılığı | Şebeke gerekir; kapsama dışında çalışmaz | Çevrimdışı çalışır |
| Yurt dışında kullanım | Dolaşımda gecikebilir veya hiç gelmeyebilir | Sorunsuz |
| Kurulum zorluğu | Yok | Uygulama kurup QR okutmak gerekir |
| Cihaz kaybında | Numarayı yeni SIM'e taşıyıp devam edilir | Yedek kod yoksa erişim kaybedilir |
| Oltalamaya direnç | Düşük — kod söyletilebilir | Düşük — kod söyletilebilir |
| Maliyet | Platforma mesaj başına maliyet | Ücretsiz |
Dikkat edilmesi gereken satır sonuncudan bir öncekidir: her iki yöntem de sizi kendi elinizle kodu söylemeye karşı korumaz. Oltalamaya gerçekten dirençli tek yöntem, alan adını doğrulayan donanım anahtarlarıdır (FIDO2).
SIM Swap: SMS'in Asıl Zaafı
SIM swap, saldırganın operatörü ikna ederek numaranızı kendi SIM kartına taşımasıdır. Genellikle kimlik bilgilerinizin bir kısmını önceden ele geçirmiş olurlar; operatör çalışanını yanıltmak için bu bilgileri kullanırlar. Numara taşındığı anda telefonunuz şebekeden düşer ve gelen tüm 2FA kodları saldırgana gider.
Belirti nettir: telefonunuz beklenmedik biçimde "servis yok" durumuna geçer. Bu durumda vakit kaybetmeden operatörünüzü başka bir hattan arayın ve kritik hesaplarınızın şifresini değiştirin. Kripto borsası ve banka hesaplarında SMS 2FA'nın önerilmemesinin temel sebebi bu saldırıdır; ayrıntısını fintech uygulamalarında numara onayı yazımızda ele aldık.
Yedek Kodlar: Kimsenin Almadığı Sigorta
Authenticator'ın tek gerçek dezavantajı, cihazı kaybettiğinizde kodların da gitmesidir. Çözüm kurulum anındadır: platform size 8–10 adet tek kullanımlık yedek kod verir. Bunları ekran görüntüsü olarak telefonda değil, yazdırıp ya da şifre yöneticinizin güvenli notunda saklayın.
İkinci güvenlik ağı, authenticator uygulamasının bulut yedeğini açmaktır. Kolaylık sağlar ama gizli anahtarlarınız buluta çıkar; bu dengeyi hesap kritikliğine göre siz kurmalısınız.
Hangi Hesapta Hangisi?
| Hesap | Önerilen | Neden |
|---|---|---|
| Ana e-posta | Authenticator + donanım anahtarı | Tüm hesapların kurtarma noktasıdır |
| Banka / ödeme | Uygulamanın kendi yöntemi | Mevzuat gereği kendi akışını dayatır |
| Kripto borsası | Authenticator, SMS yedeğini kapatın | SIM swap saldırılarının ana hedefi |
| Sosyal medya | Authenticator | Hesap devralma en sık burada olur |
| Oyun / forum / araçlar | SMS yeterli | Risk düşük, pratiklik önemli |
| Tek seferlik kayıtlar | Tek kullanımlık numara ile SMS | Kalıcı bağ kurmaya gerek yok |
Sanal Numara Bu Tabloda Nerede?
Sanal numaranın yeri kayıt anıdır: kişisel hattınızı platforma vermeden doğrulamayı geçmenizi sağlar. Hesap açıldıktan sonra ikinci faktörü authenticator'a taşımak en sağlıklı düzendir. Platform yalnızca SMS destekliyorsa numarayı tek kullanımlık almak yerine kiralayın; aksi halde numaraya erişiminizi kaybettiğinizde hesabı da kaybedersiniz.
Bu kurulum sırasını adım adım 2FA için sanal numara yazımızda anlattık. Doğrulama kodlarının nasıl üretildiğini merak ediyorsanız OTP nedir yazımıza bakabilirsiniz.