Bu noktada, iki adımlı doğrulama (2FA) güvenlik için yeni altın standart haline geldi. İlk kez bankamın web sitesinde karşılaştım. O zamanlar, parasız bir öğrenci olarak, neden önemli olduğunu anlamamıştım. Hâlâ parasız bir öğrenciyim, ama artık bir çevrimiçi bankacılık hizmetinin neden iki adımlı doğrulamaya ihtiyaç duyduğunu anlıyorum. Hâlâ anlamadığım şey ise, Grammarly hesabımın neden bu konuda ısrarcı olduğu.
İki adımlı doğrulama (2FA) Kullanıcı adınızı ve şifrenizi girdiğinizde, korkunç mesajla karşılaşıyorsunuz: "Lütfen [e-posta adresinize] gönderilen kodu girin." Teoride, bu ekstra bir güvenlik katmanıdır. Birisi kimlik bilgilerinizi ele geçirse bile, yine de e-postanıza veya telefonunuza erişmesi gerekir. Ancak pratikte, iki adımlı doğrulama, bilgisayar korsanından ziyade kullanıcı için daha büyük bir sorundur.
Hızlı Linkler
Erişim aşırı karmaşık.
Her yolculuktan önce frenlerinizi kontrol etmenize gerek yok.
Esasen, iki adımlı doğrulamanın tek amacı erişimi zorlaştırmaktır ve evet, işe yarıyor; sadece bilgisayar korsanları için değil, benim için de. Giriş yapan kişinin ben değil de bir bilgisayar korsanı olma ihtimali çok düşük, ancak yine de tüm zorluklara göğüs gererek cezalandırılan benim. Artık herhangi bir yerde oturum açmak için en az iki pencere açmam gerekiyor. Önce web sitesi. Sonra, kodu almak için e-postam. Daha da kötüsü, iki adımlı doğrulama SMS'e dayanıyorsa, telefonumun yanımda olması gerekiyor.
Bu, her güvenlik önleminde var olan ikilemle aynı. Her yolculuktan önce kontrol ederek aracınızın frenlerinin bozulmasını önleyebilirsiniz. Mantıklı: Frenlerinizin bozulmasını istemiyorsanız, kazalardan kaçınmak ve daha uzun ömürlü olmak istiyorsanız, aracınızın frenlerini her seferinde kontrol etmelisiniz. Ama pratik olmadığı için kimse bunu yapmaz. İki faktörlü kimlik doğrulamada olan da budur.
VPN kullanmak işleri daha da kötüleştiriyor. Neredeyse her zaman bir VPN çalıştırıyorum. Bu, basit iki adımlı doğrulama kontrol noktasının "...Bu aynı IP adresi mi?"Neredeyse her seferinde bana bir şeyler öğretiyor. Sürekli VPN kullanmak gizliliği öldürüyor, ama onsuz, kod kullanmanın bitmek bilmeyen döngüsüne zorlanıyorum. Peki, her giriş yapmak istediğinde e-posta adresini veya telefonunu almaktan başka ne yapmalı?
yanlış güvenlik duygusu
İyi alışkanlıklar, sürekli tekrarlardan daha önemlidir.
Sahip olmak arasında açıkça bir fark var İyi E-posta Güvenliği Alışkanlıkları Her giriş yaptığınızda zorluklarla karşılaşmanız da cabası. İyi bir kalite güvence sisteminiz varsa, sıkı bir kalite kontrole ihtiyacınız yok. Zaten sorumlu bir şekilde araç kullanıyor ve frenlerinizi düzenli olarak değiştiriyorsanız, her yolculuktan önce kontrol ettirmenize gerek yok; aynı mantık burada da geçerli.
Telefonumdan Google Hesabıma giriş yapmaya çalıştığım ve cihaza bir doğrulama istemi gönderdiğim sefer sayısını hatırlamıyorum. Telefonum birinin eline geçerse, oyun biter; şifreme bile ihtiyaçları yok. Bir e-posta veya SMS kodu onlara anahtarları veriyor. Ancak SMS yoluyla iki faktörlü kimlik doğrulama hâlâ yaygın. SIM kart değiştirme bilinen ve aktif bir tehdittir.SMS ile iki faktörlü kimlik doğrulama kullanışlıdır, ancak son derece güvensizdir. Hiçbir web sitesi hesabınızı ele geçirdiğini iddia edemez. Daha emniyetli SMS yoluyla iki faktörlü kimlik doğrulamayı ekleyerek.
Güvenilmez
İki faktörlü kimlik doğrulama, güvenilmez teslimat yöntemleri üzerine kuruludur.
İki faktörlü kimlik doğrulama, modern güvenliğin temel taşlarından biri olarak kabul edilse de güvenilir olmaktan çok uzak. Google ile deneyimlerim iyiydi, ancak Meta'nın iki faktörlü kimlik doğrulaması tutarsız, Microsoft'unki ise tam anlamıyla berbat (buna daha sonra değineceğim). Büyük teknoloji şirketleri iki faktörlü kimlik doğrulamada ustalaşamıyorsa, küçük işletmeler için ne umut var? Üçüncü taraf bir hizmete güvenirlerse, bu hizmet çöktüğünde ne olur? Birdenbire düzinelerce hesaba erişimimizi kaybeder miyiz?
Geçen hafta servis sağlayıcım hizmet kesintisi yaşadı. SMS kodu gelmediği için kontrol panelime giriş yapamadım. SMS tabanlı iki faktörlü kimlik doğrulaması sayesinde, en ufak bir ağ arızası bile mesajı tamamen yutabiliyor.
Sağlayıcılar, iki faktörlü kimlik doğrulamayı temel bir özellik olarak değil, isteğe bağlı bir güvenlik ağı olarak görüyor. Bu da güçlü yedekleme mekanizmalarıyla uğraşmadıkları anlamına geliyor. Eğer artık her parola tabanlı hesap iki faktörlü kimlik doğrulama gerektiriyorsa, sistem neden iki yönlü çalışmıyor? Yalnızca telefon veya e-posta kullanılarak oluşturulan hesaplar da yedek bir parola gerektirmeli. Çünkü iki faktörlü kimlik doğrulamada bir sorun olduğunda -ki bu sıklıkla olur- başınız belaya girer.
Gelen Kutusu Karmaşası ve Gizlilik
Jetonların gizli maliyetleri vardır.
Her giriş denemesi, hiç istemediğim bir e-posta veya mesaja dönüşüyor. İki faktörlü kimlik doğrulama bunu kaçınılmaz kılıyor. E-postamı veya telefon numaramı sürekli olarak istemediğim şirketlere veriyorum. Sadece kullanıcı adı ve şifreyle kaydolabildiğiniz zamanları hatırlıyor musunuz? O zamanlar şifrenizi onaylamanız gerekiyordu; şimdi ise e-postanızı onaylıyorsunuz. Şifreler artık moda değil.
Daha derin bir gizlilik sorunu var. E-posta sağlayıcım iki faktörlü kimlik doğrulama kodlarını kullandığında, esasen her oturum açma girişimini izliyor. Gmail, PayPal'a giriş yapmaya çalıştığımda bunu biliyor. Gmail'in bunu bilmesini istemiyorum.
Kısa mesaj yoluyla 2 adımlı doğrulamayı etkinleştirmek düşündüğünüzden daha kötüZaten numaramı ve konumumu bilen telekomünikasyon şirketim artık hangi uygulamaları ne zaman kullandığımı da biliyor. Bu kodları benim adıma giriş yapmak için kullanmayacak olsalar da bu durum çok rahatsız edici.
Gizliliğiniz konusunda çok endişeli olmasanız bile, kesinlikle gönül rahatlığı istersiniz. Kaydolduğum her siteye telefon numaramı verip, ardından sinir bozucu pazarlama mesajlarıyla bombardımana tutulmak istemiyorum. Kısa bir koda "dur" diye cevap verip, sonra da bunun için ücretlendirilmek istemiyorum.
Temiz bir gelen kutusu, özellikle de iPhone mesajlarım için gerçekten çok değerli. iOS 26'yı bu yüzden çok sevdim; çünkü sonunda iPhone'lara gereksiz e-posta klasörleri getirdi. Ancak en kötü durumlarda, hizmet hem iki adımlı doğrulama hem de gereksiz e-postalar için aynı numarayı kullanıyor. Bir numarayı engellerseniz, hesabınız kilitlenir. Ne mükemmel bir çözüm!
Kalıcı kapanışlar
Outlook hesabımı kaybetmenin acısını henüz atlatamadım.
Yedek e-postanıza, telefonunuza veya cihazınıza erişememek, önemli hesaplarınıza erişiminizi kalıcı olarak engelleyebilir ve kurtarma süreci son derece zordur. Ben de bu kabusu Microsoft ile yaşadım ve bir yıldan uzun bir süre sonra hâlâ bedelini ödüyorum.
Üniversiteme ve işime bağlı bir Outlook e-posta adresim vardı. Tüm önemli hesaplarım (Asana, Slack, CMS, şirket web siteleri, LinkedIn, üniversite panom, VPN'im) bu adrese bağlıydı.
Sadece tezimin taslağını hocama göndermek istiyordum. Ama Outlook'un başka planları vardı; beni yeniden kimlik doğrulamaya zorladı. Sorun değil. E-postamı ve şifremi girdim ama bu yeterli olmadı. Yedek e-postama iki adımlı doğrulama kodu gönderildi. Maalesef yedek e-posta da iki adımlı doğrulama gerektiren başka bir Outlook e-postasıydı.
Yedek e-postam Yahoo hesabımdı. Ne olduğunu tahmin edebilirsiniz. Tüm sistem domino taşları gibi çöktü. Zamanım ve sabrım tükenince "Şifreyi Sıfırla"ya tıkladım. İki güvenlik sorusunu doğru yanıtladım, ancak hesabımın "şüpheli etkinlik nedeniyle engellendiği" söylendi.
İkincil Yahoo ve Outlook hesabıma tekrar erişim sağladığımda, ana hesabım gitmişti. Microsoft'un kurtarma sistemi, son e-posta konu başlıklarımı (sorun yok), son kişilerimi (sorun yok) ve oturum açtığım ülkeyi (imkansız, çünkü her zaman VPN kullanırdım) istiyordu. Ülkeyi yanlış tahmin etmişim. Microsoft'un cevabı, tekrar deneme hakkımı elimden almak oldu. Hesap kalıcı olarak kilitlendi.
E-posta adresimi her yerde karıştırıp değiştirmek, profesörlerime ve meslektaşlarıma açıklamak ve bu karmaşa için özür dilemek zorunda kaldım. Bazı hizmetler hâlâ bu Outlook adresi olmadan oturumumu güncellememe izin vermiyor. Oturumu kapatırsam, bu hesaplar sonsuza dek silinecek.
Evet, güvenlik alışkanlıklarım ideal değildi. Outlook'u Outlook'un yedeği olarak kullanmamalıydım. Yedeklerimi daha düzenli kontrol etmeliydim. Ama bu ceza çok sert. Güvenlik, kullanıcıları kendi hesaplarına rehin tutmadan korumalı. Bunun yerine, 2FA beni hayatımdan çıkardı. Ve 2025'te müşteri desteği artık pek bir seçenek değil. Bunun yerine yapay zeka destekli bir sohbet robotu alacaksınız.
Çare hastalıktan daha kötüdür
Her şey göz önüne alındığında, iki faktörlü kimlik doğrulamanın (2FA) neden yetkisiz erişime karşı bir kalkan olarak sunulduğunu anlıyorum, ancak gerçek dünyadaki uygulamasının, değerinden daha fazla soruna yol açtığı kanıtlandı. Erişimin aşırı karmaşıklığı, kod dağıtımının güvenilmez yapısı, gelen kutularımızdaki karmaşa ve gizlilik ihlalleri ve korkunç kalıcı kapanmalar olasılığı... Bu ekstra güvenlik katmanının maliyeti, amaçlanan faydalarından gerçekten daha mı ağır basıyor?
