Otuz Saniyelik Ayarın Neden Otuz Dakikalık Anlatımı Var

Rehber sayfalarımızda tekrarladığımız bir cümle var: iki aşamalı doğrulamayı açmak otuz saniye sürer ve etkisi diğer bütün ayarların toplamından fazladır. Cümle doğru; ama eksik. Çünkü doğrulama açıldıktan sonra ne olduğunu bilmeyen bir kullanıcı, telefonunu değiştirdiği gün hesabına giremediğinde ayarı açmış olduğuna pişman olur.

Bu yazı o eksiği kapatmak için yazıldı. Kodun nereden geldiğini, uçakta bile neden çalıştığını ve kurtarma kodlarının neden ayarın kendisi kadar önemli olduğunu anlatıyor. Teknik bir yazı; ama kod okumayı gerektirmiyor.

İki aşama neyin iki aşaması

Kimlik doğrulamanın klasik üçlüsü şöyle özetlenir: bildiğiniz bir şey, sahip olduğunuz bir şey ve olduğunuz bir şey. Parola birincisidir. Telefonunuz ikincisidir. Parmak iziniz üçüncüsüdür.

Tek aşamalı bir sistemde yalnızca birincisi vardır ve bu, parolanın kopyalanabilir olması yüzünden zayıftır. Parolanız başka bir sitedeki sızıntıdan çıkarsa, o sızıntıyı eline geçiren kişi sizin gibi görünür; sistemin ayırt etme imkânı yoktur.

İkinci aşama, kopyalanamayan bir unsur ekler. Saldırganın parolayı bilmesi artık yetmez; aynı anda telefonunuza da sahip olması gerekir. Bu iki koşulun bir arada gerçekleşme ihtimali, parolanın tek başına sızma ihtimalinden kat kat düşüktür. Ayarın gücü şifrelemeden değil, bu ihtimal farkından gelir.

Altı hane nereden geliyor

Doğrulama uygulamasını ilk kurarken bir kare kod okutursunuz. O karenin içinde tek bir şey vardır: yalnızca sizin cihazınız ile sunucunun bildiği rastgele bir gizli anahtar. Anahtar bir kez aktarılır ve bir daha hiç iletilmez.

Sonrası bir hesap işidir. Uygulama, gizli anahtarı ve o anki zamanı alır, ikisini birleştirerek geri döndürülemez bir özet üretir ve özetten altı haneli bir sayı çıkarır. Sunucu da aynı anahtara ve aynı saate sahip olduğu için aynı işlemi kendi tarafında yapar. İki taraf aynı sayıyı bulursa doğrulama geçer.

Buradan çıkan üç sonuç var ve üçü de günlük kullanımı açıklar.

• İnternet gerekmez. Kod cihazınızda üretilir, hiçbir yerden indirilmez. Uçak modunda da çalışır.
• Kod otuz saniyede bir değişir. Çünkü hesaba giren zaman değeri otuz saniyelik dilimlere bölünmüştür. Kodun altındaki halka bu dilimin geri sayımıdır.
• Cihaz saati önemlidir. Telefonunuzun saati birkaç dakika kaymışsa üretilen kod sunucununkiyle uyuşmaz. Kod sürekli reddediliyorsa ilk bakılacak yer saat ayarıdır.

Kod bir mesaj değildir; bir hesaplamanın sonucudur. Bu yüzden yolda ele geçirilemez, çünkü yolculuk yapmaz.

Doğrulama uygulamasının tek cümlelik farkı

Dört yöntem, dört farklı denge

İkinci aşama birden çok biçimde kurulabilir ve hepsi aynı korumayı sağlamaz.

Tablodaki ikinci satır özellikle dikkat çekicidir. Kısa mesaj en yaygın yöntemdir ve hiç yoktan çok daha iyidir; ama listedeki en zayıf halkadır. Numaranız bir şekilde başka bir hatta taşınırsa doğrulama kodları da oraya gider. Doğrulama uygulaması bu riski taşımaz, çünkü ortada gönderilen bir mesaj yoktur.

Asıl mesele: kurtarma kodları

Doğrulamayı açtığınızda size bir kurtarma kodu listesi verilir. Çoğu kullanıcı bu ekrana bakar, "sonra kaydederim" der ve devam eder. Deneyimimize göre yaşanan sorunların neredeyse tamamı bu tek cümleden çıkıyor.

Kurtarma kodları, telefonunuza erişemediğinizde hesabınıza girmenizi sağlayan tek kapıdır. Telefonu kaybettiniz, sıfırladınız, satarken uygulamayı silmeyi unuttunuz ya da yeni bir cihaza geçtiniz. Bu senaryoların hepsi olağandır ve hepsinde kurtarma kodları devreye girer.

Nasıl saklanacağı konusunda üç pratik kural var.

Çevrimdışı saklayın. Kodları e-posta taslağına, not uygulamasına veya bulut belgesine koymak, ikinci aşamayı birinci aşamanın yanına taşımak demektir. Parola yöneticiniz varsa oraya; yoksa bir kâğıda yazıp çekmeceye koymak fena bir yöntem değildir.

Telefonun kendisinde tutmayın. Kodların amacı telefona erişemediğiniz durumu çözmektir. Telefonun içinde duran bir kurtarma kodu, tam olarak ihtiyaç duyulacağı anda erişilemez olur.

Kullandığınızı üstünü çizin. Her kod bir kez çalışır. Hangisini kullandığınızı işaretlemezseniz sırada çalışan bir kod kalıp kalmadığını bilemezsiniz.

Telefon değiştirirken

Yeni cihaza geçiş, doğrulamanın en çok sorun çıkardığı andır ve tamamen önlenebilir. Doğru sıra şudur: eski telefon hâlâ elinizdeyken yeni telefona doğrulama uygulamasını kurun, ayarlardan doğrulamayı yeniden kurun ve yeni cihazda üretilen kodu bir kez deneyin.

Bu sıra bozulduğunda, yani eski telefon elden çıktıktan sonra işlem hatırlandığında, geriye tek yol kalır: kurtarma kodları. Onlar da yoksa geriye yol kalmaz.

Otuz saniye, ama iki parçalı

Başlıktaki soruya dönelim. Ayarı açmak gerçekten otuz saniye sürüyor. Bu yazının uzun olmasının nedeni ayarın karmaşıklığı değil; ayarın sonrasında gelen ve kimsenin anlatmadığı ikinci parçanın varlığı.

Özetle: doğrulamayı açın, doğrulama uygulamasını tercih edin, kurtarma kodlarını çevrimdışı bir yere yazın ve telefon değiştirirken eski cihaz elinizdeyken devredin. Dört maddenin tamamı bir akşam içinde yapılır ve sonrasında yıllarca aklınıza gelmez.