Doğrulama katmanı
İki adımlı doğrulama, parola başkasının eline geçtiğinde girişi durduran ikinci kapıdır ve beş eşikli modelin ikinci katmanını oluşturur. Bu bölüm katmanın neden ikinci kapı sayıldığını, yedek kodların kâğıda yazılmasını ve telefon değişiminde izlenen sırayı ele alır.
İkinci kapının işlevi
Parola katmanı ne kadar sağlam kurulursa kurulsun, sonuçta tek bir bilgi parçası olarak kalır. Bir sızıntı listesinde görünmesi, ortak bir cihazda yakalanması veya sahte bir ekranda girilmesi durumunda o bilgi başkasının eline geçer. İki adımlı doğrulama tam bu noktada devreye girer ve girişi ikinci bir kanıt olmadan tamamlanmaz duruma getirir. İkinci kanıt kullanıcının elindeki cihazda üretildiği için uzaktan yapılan bir denemeyle taşınamaz.
Katmanın adı iki adımlı olsa da işleyişi tek bir mantığa dayanır. Giriş sırasında bilinen bir bilgi (parola) ile sahip olunan bir nesne (telefon veya donanım anahtarı) birlikte istenir. İkisinin aynı anda ele geçirilmesi, yalnızca birinin ele geçirilmesinden kat kat zordur. Betrupi giriş ekranında doğrulama açık olduğunda, parolası bilinen bir hesap bile ikinci adımda durdurulur.
Katmanın devreye girdiği anlar
Doğrulama, tanınmayan bir cihaz veya tarayıcı söz konusu olduğunda istenir ve tanıdık cihazlarda genellikle atlanır. Günlük girişlerde ikinci adım görünmediği için katmanın kullanıcı tarafındaki yükü düşük kalır. Oturum anahtarı geçersizleştiğinde veya parola değiştirildiğinde ikinci adım yeniden sorulur. Bu davranış katmanı gündelik akışta görünmez kılar, ancak koruma sürekli olarak devrede durur.
Doğrulamanın günlük işleyişi
Katman kurulduktan sonra günlük kullanımda üç durum ortaya çıkar ve üçü de kısa sürede sonuçlanır. Tanıdık cihazdan yapılan giriş ikinci adım olmadan tamamlanır, yeni bir tarayıcıdan yapılan giriş tek bir kod ister, doğrulama cihazının kaybı durumunda ise yedek kodlar devreye girer. Aşağıdaki çizelge bu üç durumu istenen kanıt ve ortalama süreyle birlikte gösterir.
| Durum | İstenen kanıt | Süre |
|---|---|---|
| Tanıdık cihazdan giriş | Yalnızca parola | 10 saniye |
| Yeni tarayıcıdan giriş | Parola ve tek kullanımlık kod | 30 saniye |
| Doğrulama cihazının kaybı | Parola ve yedek kod | 2 dakika |
Tek kullanımlık kodun ömrü
Tek kullanımlık kod yalnızca birkaç dakika geçerli kalır ve tek bir girişte tükenir. İkinci kez işe yaramaması, kod bir biçimde ele geçse bile kullanım penceresini daraltır. Kodun başka birine iletilmesi hiçbir koşulda istenmez, çünkü destek süreçleri bu bilgiyi sormaz. Kod isteyen her mesaj, gönderen adı ne olursa olsun sahte kabul edilir.
Yöntem seçiminin yeri
Doğrulama yöntemleri arasındaki farklar ayrı bir başlıkta karşılaştırılır ve burada tekrarlanmaz. Katman açısından belirleyici olan, hangi yöntemin seçildiğinden önce yöntemin açık olmasıdır. Kapalı bir doğrulama katmanı, en güçlü yöntem tanımlanmış olsa bile koruma üretmez. Seçim ayrıntısı için doğrulama seçenekleri başlığı izlenir.
Yedek kodların saklanması
Doğrulayıcı uygulama kurulurken bir kez gösterilen yedek kod listesi, katmanın sigortası olarak çalışır. Bu kodlar telefonun kaybolması, sıfırlanması veya değiştirilmesi durumunda ikinci adımın yerine geçer. Liste yalnızca kurulum anında görüntülendiği için o an atlanan adım aylar sonra erişim kaybına dönüşür. Kodların ekran görüntüsü olarak saklanması, telefonla birlikte kaybolacakları için koruma üretmez.
Kâğıt üzerinde saklama
Kodların kâğıda yazılıp fiziksel bir yerde tutulması, dijital kopyaların taşıdığı zincirleme riski ortadan kaldırır. Kâğıt bir çekmecede, dosya arasında veya evdeki sabit bir noktada saklanır ve yeri bir kez belirlendikten sonra değiştirilmez. Kodların yanına hesap adının yazılmaması, kâğıdın başkasının eline geçmesi durumunda bağlantı kurmayı zorlaştırır. Kullanılan her kodun üzerinin çizilmesi de listeyi güncel tutar.
Liste tükendiğinde
Yedek kod listesi tükendiğinde hesap ayarlarından yeni bir liste üretilir ve eski liste kendiliğinden geçersizleşir. Yeni listenin de aynı biçimde kâğıda yazılması, katmanın sigortasını kesintisiz tutar. Listede birkaç kod kaldığında yenileme işlemi ertelenmez, çünkü son kodun harcandığı an genellikle acil bir durumla çakışır. Yenileme işlemi 2 dakikadan kısa sürer ve doğrulayıcı uygulamayı yeniden tanımlamayı istemez.
Tek gösterim kuralı.
Yedek kod listesi kurulum ekranında bir kez görünür ve aynı kodlar sonradan tekrar gösterilmez. Kaçırılan bu adım yalnızca yeni bir liste üretilerek telafi edilir.
Ekran görüntüsü tuzağı.
Kodların telefona kaydedilmesi, kodların telefonla birlikte kaybolması anlamına geldiği için sigortayı ortadan kaldırır. Kâğıt kopya bu tuzağı kapatan tek pratik çözümdür.
Kâğıdın yeri.
Saklama noktası bir kez belirlenir ve doğrulama cihazından ayrı bir yerde tutulur. Aynı çantada taşınan telefon ile kâğıt, tek bir kayıpta birlikte gider.
Telefon değişiminde izlenen sıra
Telefon değişimi, doğrulama katmanının en sık kesintiye uğradığı andır. Eski cihazdaki tanım kaldırılmadan yeni cihaza geçildiğinde kodlar eski telefonda kalır ve yeni cihaz doğrulama üretemez. Doğru sıra, eski cihaz hâlâ elde bulunurken işlemin tamamlanmasıdır. Sıranın bozulduğu durumlarda yedek kodlar devreye girer, dolayısıyla kâğıt kopya burada da belirleyici olur.
Eski cihaz elde iken
Birinci adım hesap ayarlarındaki doğrulama bölümünün açılmasıdır. İkinci adım yeni cihazın tanımlanması ve üretilen ilk kodun sınanmasıdır. Üçüncü adım eski cihazdaki tanımın kaldırılması ve yedek kod listesinin yenilenmesidir. Üç adım arka arkaya yapıldığında toplam süre 4 dakikayı aşmaz.
Eski cihaz kaybolduğunda
Eski cihaza erişim kalmadığında sıra yedek kodlarla başlar. Kâğıttaki kodlardan biri kullanılarak hesaba girilir, ardından eski tanım kaldırılır ve yeni cihaz tanımlanır. İşlem tamamlandığında kalan yedek kodlar geçersizleşir, dolayısıyla yeni liste aynı oturumda üretilir. Kurtarma e-postasının erişilebilir durumda olması, bu akışın her aşamasında işi kolaylaştırır.
- Doğrulama katmanı hesap açılır açılmaz devreye alınır.Kurulum ortalama 3 dakika sürer.
- Yedek kodlar kurulum anında kâğıda yazılır.Ekran görüntüsü telefonla birlikte kaybolur.
- Telefon değişimi eski cihaz elde iken tamamlanır.Sıra bozulduğunda yedek kodlar tek çıkış yolu olur.
- Tek kullanımlık kod hiçbir koşulda paylaşılmaz.Kodu isteyen her mesaj sahte kabul edilir.
Katmanın bakımı ve sınırları
Doğrulama katmanı cihaz değişimi dışında bakım istemez. Yıllık denetimde yalnızca yedek kod listesinin yeri doğrulanır.
Doğrulama katmanı kurulduktan sonra kendiliğinden çalışır ve düzenli bir bakım takvimi istemez. Yılda bir yapılan gözden geçirmede yedek kodların saklandığı yerin hâlâ bilindiği doğrulanır. Cihaz değişimi dışında katmana dokunulmadığı için kullanıcı tarafındaki yük neredeyse sıfıra iner. Aynı gözden geçirmede kurtarma e-postasının erişilebilir olduğu da sınanır.
Katmanın kapsamadığı alan
İki adımlı doğrulama, kullanıcının kendi elleriyle girdiği bilgileri kapsamaz. Sahte bir ekranda hem parolanın hem de kodun girilmesi durumunda katman devreden çıkar, çünkü her iki kanıt da saldırgana verilmiş olur. Bu boşluğu kapatan şey alışkanlık katmanıdır ve adres çubuğunun her girişte okunmasıyla işler. Donanım anahtarları bu senaryoya karşı ek direnç sağlar, ancak adres denetimi yine de yerini korur.
Katmanın sınırı bilindiğinde beklenti de doğru kurulur. Doğrulama, uzaktan yapılan denemelerin neredeyse tamamını karşılar ve geriye yalnızca kullanıcının kendi verdiği bilgiler kalır. Bu kalan payı kapatan şey, aceleye getiren mesajlara karşı geliştirilen iki saniyelik duraksamadır.