İki faktörlü kimlik doğrulama

Her zamanki üç faktör, bildiğiniz bir şey, sahip olduğunuz bir şey ve olduğunuz bir şeydir; gerçek bir ikinci faktör, birinciden farklı bir kategoriden gelmelidir. Google tarafından yapılan hesap ele geçirme araştırması, cihaz üzerindeki bir istemin toplu oltalama (phishing) girişimlerinin yüzde 99'unu ve hedefli girişimlerin yüzde 90'ını engellediğini, kısa mesajla gönderilen kodların ise yüzde 96 ve yüzde 76 düzeyinde kaldığını buldu. Bir borsada bunların hepsi hesabı korur, bitcoinlerinizi asla korumaz.

Nasıl çalışır

İki faktörlü kimlik doğrulama, oturum açmayı birbirinden bağımsız iki iddiaya dönüştürür ve tüm değeri, bu iddiaların gerçekte ne kadar bağımsız olduğunda yatar.

Uygulamadan gelen kodlar (TOTP). Standart, Mayıs 2011'de yayımlanan ve 2005 tarihli daha eski HOTP şemasının üzerine kurulu RFC 6238'dir. Kurulum sırasında hizmet size, tipik olarak 160 bitlik paylaşılan bir sır içeren bir QR kodu gösterir. Bundan sonra hem telefonunuz hem de sunucu bu sır ve geçerli 30 saniyelik zaman adımı üzerinden bir HMAC hesaplar, bunu altı haneye indirger ve karşılaştırır. Kodu üretmek için ağ üzerinden hiçbir şey gitmez; bir uygulamanın, kısa mesajları boşa çıkaracak bir SIM değişikliğinden etkilenmemesinin nedeni budur.

İnsanların gözden kaçırdığı sonuç, sırrın kopyalanabilir olmasıdır. Kurulum QR kodunun ekran görüntüsünü alırsanız ikinci faktörünüz artık fotoğraflarınızın eşitlendiği her yerde yaşar. TOTP sırrını parolayla aynı parola yöneticisi kaydında saklarsanız, tek bir ana parolayla korunan iki kodunuz olur, bu da kılık değiştirmiş tek bir faktördür.

Kısa mesajla gelen kodlar. Kod telefon ağı üzerinden gider ve bir operatör çalışanının kandırılmamasına ya da satın alınmamasına bağlıdır. NIST'in SP 800-63B belgesi, genel telefon ağı üzerinden gönderilen tek kullanımlık kodları kısıtlı bir kimlik doğrulayıcı olarak sınıflandırır; yani bunları kullanan hizmetler riski kabul etmelidir. Kısa mesaj kodları yine de hiç yoktan çok daha iyidir.

Güvenlik anahtarları ve passkey'ler (FIDO2, WebAuthn). Burada kimlik doğrulayıcı her web sitesi için bir anahtar çifti üretir, özel anahtarı saklar ve sitenin kaynağını içeren sunucunun gönderdiği bir sınama değerini (challenge) imzalar. İmza başka herhangi bir alan adı için değersizdir, bu yüzden sahte bir oturum açma sayfası yeniden oynatabileceği hiçbir şey toplamaz. WebAuthn, Mart 2019'da bir W3C Tavsiyesi oldu ve tüm büyük tarayıcılar tarafından destekleniyor. Passkey, kimlik bilgisinin tek bir donanım parçasına kilitlenmek yerine cihazlarınız arasında eşitlendiği aynı protokoldür.

Kurtarma, kimsenin yapılandırmadığı dördüncü faktördür. Hesap hâlâ e-posta ve kısa mesajla sıfırlanabiliyorsa kusursuz bir güvenlik anahtarı pek az şey ifade eder. Saldırganlar oturum açmaya değil, kurtarma yoluna saldırmayı bilir.

Bitcoin satın alırken bu neden önemli

İki faktörlü kimlik doğrulama bir hesabı korur ve bir hesap, bir şirkete karşı bir taleptir. Bu ayrımı bu sayfadaki her şeyin önünde tutun.

Kullandığınız her borsada bunu şu sırayla kurun. Uzun ve benzersiz bir parola seçin. Platform destekliyorsa bir güvenlik anahtarı, desteklemiyorsa bir kimlik doğrulayıcı uygulama kaydedin ve birincil faktör olarak asla kısa mesajları kullanmayın. Ardından genellikle ayrı bir sayfa olan hesap kurtarma ayarlarını açın ve telefon numarasını sıfırlama yöntemi olarak kaldırın. Yedek kodları kâğıda yazdırın ve evinizdeki bir yangının ulaşamayacağı bir yere koyun. Son olarak bir para çekme adresi beyaz listesi ekleyin, böylece ele geçirilmiş bir oturum kendiliğinden bir hedef uyduramaz.

Sonra kör noktayla ilgilenin. API anahtarları oturum açmayı tamamen atlar ve onunla birlikte az önce yapılandırdığınız her faktörü de atlar. Bir işlem botu, bir portföy takipçisi ya da bir zamanlar yalnızca okuma erişimi isteyen bir vergi aracı, hiç süresi dolmayan bir anahtar tutuyor olabilir. Sahip olduğunuz her borsa hesabının API bölümünü gözden geçirin, tanımadığınız anahtarları silin, hiçbirinde para çekme izni vermeyin ve platform izin veriyorsa anahtarları sabit bir IP adresine bağlayın.

Bu sitede incelenen borsalar sundukları bakımından farklıdır. Kraken ve Coinbase donanım güvenlik anahtarlarını ve passkey'leri destekler. Bitstamp, Binance ve Bitpanda en azından kimlik doğrulayıcı uygulamaları destekler. Yinelenen alımlar üzerine kurulmuş olan River ve Swan, işlem API'leri yerine hesap düzeyindeki kontrollere dayanır, bu da bütün bir maruz kalma kategorisini ortadan kaldırır. Bu farkların hiçbiri nihai sonucu değiştirmez: satın alın, sonra savunulacak bir oturum açmanın olmadığı, kendi kontrolünüzdeki bir cüzdana çekin.

Bir donanım cüzdanı iki faktörlü kimlik doğrulamayla korunmaz ve korunmaya da ihtiyacı yoktur. Karşılıkları, belirli sayıda yanlış denemeden sonra verileri silen cihaz PIN'i ve isteğe bağlı bir paroladır (passphrase).

Ölçümlerin gerçekte gösterdikleri

Google, New York Üniversitesi ve California San Diego Üniversitesi ile birlikte Google hesaplarına yönelik gerçek ele geçirme girişimlerini inceledi ve sonuçları Mayıs 2019'da yayımladı.

Sayıları mutlak değerler olarak değil bir sıralama olarak okumak gerekir. Otomatik botlara karşı, denenen her yöntem yüzde 100 oranında engelledi. Toplu oltalamaya karşı, cihaz üzerindeki bir istem yüzde 99 ve kısa mesaj kodu yüzde 96 oranında engelledi. Bir insanın özellikle sizin hesabınız üzerinde çalıştığı hedefli saldırılara karşı, cihaz üzerindeki istem yüzde 90 düzeyinde tutundu ve kısa mesaj kodu yüzde 76 düzeyine düştü.

Son rakamı dikkatle okuyun. Kararlı saldırıların yaklaşık dörtte biri dünyanın en yaygın ikinci faktörünü aştı. Google şirketinin kendi çalışanları için verdiği yanıt, 85.000'den fazla çalışan için fiziksel güvenlik anahtarlarını zorunlu kılmak oldu ve şirket bunun ardından oltalama kaynaklı olduğu doğrulanmış hiçbir hesap ele geçirmesi bildirmedi.

Bir Bitcoin sahibi için pratik çeviri şudur: herhangi bir ikinci faktör hiç yoktan iyidir, bir uygulama kısa mesajdan iyidir ve güvenlik anahtarı, oltalama kategorisini azaltmak yerine ortadan kaldıran tek seçenektir.

İki faktörlü kimlik doğrulama vs parola (passphrase)

Bir donanım cüzdanındaki parola (passphrase) sık sık Bitcoin'iniz için iki faktörlü kimlik doğrulama olarak tanımlanır ve bu benzetme, insanlara paraya mal olan bir biçimde bozulur. İki faktörlü kimlik doğrulama, bir şirketin sunucusu tarafından yapılan, sıfırlanabilen, itiraz edilebilen ve desteği olan bir kontroldür. Bir BIP39 parola (passphrase) ise anahtar türetmenin kendisine bir girdidir: farklı bir parola (passphrase) tamamen farklı bir anahtar kümesi üretir ve diğer kümenin var olduğuna dair hiçbir yerde kayıt bulunmaz. Kimse bunu doğrulayamaz, kimse bunu kurtaramaz ve hiçbir destek kuyruğu yoktur. Borsanızın ikinci faktörünü unutursanız bir kurtarma talebi açarsınız. Parolanızı (passphrase) unutursanız, yirmi dört kurtarma ifadesi kelimesinin hepsi hâlâ elinizde olsa bile bitcoinler kalıcı olarak gider.