Selam,
Mobilde ikinci faktör artık sadece SMS değil. Authenticator uygulamaları (TOTP) ve passkey / platform authenticator seçenekleri olgunlaştı. Bu yazıda 2026 itibarıyla pratik karşılaştırmamı ve neyi ne zaman önerdiğimi yazıyorum.
SMS OTP
Artıları: herkes kullanabilir. Eksileri: SIM swap, SS7 riskleri, phishing ile aynı anda çalınabilir (gerçek zamanlı proxy). Hassas hesaplarda tek başına yeterli görmüyorum.
Authenticator (TOTP)
Zaman tabanlı 6 haneli kod. Çevrimdışı çalışır. Seed'i yedeklemek kritik; telefonu kaybedince hesap kilitlenmesin. Uygulama seçerken açık kaynak / saygın satıcı + cihaz içi şifreleme bakın.
- Kurulumda QR'ı ekran görüntüsü olarak buluta atmayın
- Yedek kodları parola yöneticisine veya offline kasaya
- Aynı TOTP seed'i birden fazla cihaza bilinçli koyun
Passkey
FIDO2 / WebAuthn tabanlı; phishing'e karşı TOTP'tan daha dirençli (origin bağlı). iOS / Android / masaüstü platform anahtarları ve donanım güvenlik anahtarları. Senkron passkey kolaylık sağlar; tehdit modelinize göre cihaz şifresi + iCloud/Google hesabı güvenliği de dahil olur.
Pratik önerim
- E-posta ve parola yöneticisi: passkey veya donanım anahtarı + TOTP yedek
- Banka uygulaması: bankanın sunduğu yöntem + SIM PIN + operatördeki ek şifre
- İş hesapları: mümkünse FIDO2 zorunlu, SMS yalnızca break-glass
Kurtarma senaryosu
Telefon çalındığında: Find My / Google Find ile uzaktan silme, SIM blok, kritik hesaplarda oturum düşürme, TOTP seed yedeklerinden yeni cihaz. Bu tatbikatı yılda bir yapın.
Kaynaklar
- FIDO Alliance / WebAuthn spesifikasyon özetleri
- NIST SP 800-63B (authenticator gücü kavramları)
- Platform üreticilerinin passkey belgeleri
Siz passkey'e geçerken hangi sitede takıldınız? Hâlâ TOTP zorunlu tutan büyük servisler var mı listenizde?
Donanım anahtarı
YubiKey / benzeri anahtarlar phishing direnci yüksek ikinci faktördür. Hesap başına en az iki anahtar (asıl + yedek) kaydedin; tek anahtar kaybı hesap kilidi demektir. NFC / USB-C uyumunu telefonunuza göre seçin.
Kurumsal MDM
Şirket telefonunda passkey / authenticator politikası MDM ile yönetilir. BYOD'da iş hesaplarını kişisel TOTP uygulamasına koymak veri sınıflandırma politikasını ihlal edebilir; iş profili kullanın.
Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.
Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.
Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.
Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.
Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.
Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.
Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.
Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.
Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.
Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.
Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.
Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.
Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.
Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.
Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.
Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.
Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.
Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.
Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.
Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.
Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.