Google Authenticator Nedir, Nasıl Kullanılır?

Google Authenticator, hesaplara girişte şifrenize ek olarak kullanılan ve her 30 saniyede bir yenilenen altı haneli doğrulama kodları üreten ücretsiz bir uygulamadır. Bu yönteme iki aşamalı doğrulama (2FA) denir. Şifreniz ele geçirilse bile saldırganın hesabınıza girebilmesi için telefonunuzdaki uygulamanın o anda ürettiği koda da ihtiyacı olur. Kripto para borsalarında giriş, çekim ve güvenlik ayarı değişikliği gibi kritik işlemler için en yaygın koruma katmanlarından biridir.

Google Authenticator nasıl çalışır?

Uygulama, zamana dayalı tek kullanımlık şifre (TOTP) standardını kullanır. Kurulum sırasında hizmet size bir QR kod gösterir; bu kod, yalnızca sizin cihazınızla hizmet arasında paylaşılan gizli bir anahtar içerir. Uygulama bu anahtarı o anki saatle birlikte bir formülden geçirerek her 30 saniyede yeni bir kod üretir. Hizmet de aynı hesabı kendi tarafında yaptığı için kodlar eşleşir.

Kod üretmek için internet bağlantısı gerekmez; telefonun saatinin doğru olması yeterlidir.

SMS doğrulamadan farkı nedir?

SMS ile gelen kodlar operatör üzerinden iletildiği için SIM kartın dolandırıcılar tarafından başka bir karta taşınması (SIM swap) gibi saldırılara açıktır. Authenticator kodları ise cihazın içinde üretilir ve telefon numarasına bağlı değildir. Bu yüzden kripto hesaplarında SMS yerine uygulama tabanlı doğrulama daha güvenli kabul edilir. Daha da güçlü bir seçenek, yalnızca doğru alan adında çalışan fiziksel güvenlik anahtarları ve passkey’lerdir (FIDO2).

Google Authenticator nasıl kurulur?

1. Uygulamayı App Store veya Google Play’den, geliştiricisinin Google olduğunu kontrol ederek indirin.
2. Kripto borsanızda güvenlik ayarlarına girip iki aşamalı doğrulamayı (Google Authenticator / 2FA) seçin.
3. Ekrandaki QR kodu uygulamadaki “+” düğmesiyle okutun veya gösterilen anahtarı elle girin.
4. Kurulum ekranındaki yedek anahtarı veya kurtarma kodlarını kâğıda yazıp güvenli bir yerde saklayın.
5. Uygulamanın ürettiği altı haneli kodu borsadaki kutuya yazarak kurulumu tamamlayın.

Yedek anahtarı ekran görüntüsü olarak telefonda veya bulutta saklamayın; telefon ele geçirildiğinde bu koruma da birlikte gider. Kâğıt yedek, telefon kaybolduğunda hesaba erişimi geri kazanmanın en hızlı yoludur.

Kod hangi işlemlerde istenir?

Kripto borsaları 2FA kodunu genellikle giriş, kripto çekimi, yeni çekim adresi ekleme, şifre veya e-posta değişikliği ve API anahtarı oluşturma sırasında ister. Birçok platform, güvenlik ayarlarında değişiklik yapıldıktan sonra çekimleri 24 saat gibi bir süre kilitler. Çekim adresi beyaz listesiyle birlikte kullanıldığında, şifreniz ve kodunuz ele geçirilse bile fonlar yalnızca önceden onayladığınız adreslere gönderilebilir.

Telefon değiştirirken ne yapmalı?

Google Authenticator 2023’ten bu yana kodları Google hesabınızla eşitleme seçeneği sunar. Bu, telefon değişimini kolaylaştırır; ancak kodlarınızın güvenliği artık Google hesabınızın güvenliğine bağlıdır. Eşitleme kullanmıyorsanız üç yol vardır:

• Uygulamadaki “Hesapları aktar” özelliğiyle eski telefonda QR kod oluşturup yeni telefonla okutmak.
• Sakladığınız yedek anahtarlarla her hesabı yeni cihaza yeniden eklemek.
• Her hizmette 2FA’yı kapatıp yeni telefonla yeniden kurmak.

Bütün hesapların yeni telefonda kod ürettiğini doğrulamadan eski telefonu sıfırlamayın.

Telefonu kaybettim, ne yapmalıyım?

Kurulum sırasında sakladığınız yedek anahtar veya kurtarma kodları varsa bunlarla yeni cihazda kurulum yapabilirsiniz. Yoksa hizmetin hesap kurtarma sürecine başvurmanız gerekir. Kripto borsaları bu süreçte genellikle KYC kapsamında kimlik doğrulaması ve güncel bir yüz fotoğrafı ister; işlem birkaç gün sürebilir. Sürecin uzun olması bir güvenlik önlemidir, çünkü dolandırıcılar da sahte kurtarma talepleriyle hesap ele geçirmeye çalışır.

Google Authenticator kodu neden yanlış çıkıyor?

• Telefonun saati kaymış: Saat ayarını “otomatik” moda almak çoğu zaman sorunu çözer.
• Eski kayıt kullanılıyor: 2FA’yı kapatıp yeniden kurduğunuzda yeni bir gizli anahtar oluşur; uygulamadaki eski kayıt artık geçerli kod üretmez ve silinmelidir.
• Yanlış hesap seçilmiş: Aynı borsada birden fazla hesabınız varsa kayıtları ayırt edilebilir biçimde adlandırın.

Google Authenticator alternatifleri

TOTP açık bir standart olduğu için Microsoft Authenticator, Authy ve birçok parola yöneticisinin içindeki kod üreticileri de aynı işi yapar. Hangi uygulamayı seçtiğinizden çok yedeklemeyi nasıl yaptığınız önemlidir: Bulut eşitlemesi kolaylık sağlar, çevrim dışı yedek ise hesap güvenliğini tek bir bulut hesabına bağlamaz.

Google Authenticator güvenli mi?

Uygulama tek başına güçlü bir katmandır, ancak zayıf noktası çevresindeki alışkanlıklardır. Kodlar yalnızca 30 saniye geçerli olduğu için çalınan eski bir kod işe yaramaz; buna karşılık sahte bir sayfaya o anda yazılan kod saldırgan tarafından hemen kullanılabilir. Bulut eşitlemesini açtıysanız Google hesabınızı da güçlü bir şifre ve ayrı bir 2FA yöntemiyle korumanız gerekir. Telefonunuzu ekran kilidiyle korumak ve uygulamaya erişimi sınırlamak da riski azaltır. Kısacası Authenticator SMS’ten belirgin biçimde güvenlidir, ama oltalamaya karşı fiziksel güvenlik anahtarı kadar dirençli değildir.

2FA kullanırken sık yapılan güvenlik hataları

• Kodu birine söylemek: Doğrulama kodu hiçbir zaman destek ekibine, sosyal medya hesabına veya bir forma “hesap doğrulama” amacıyla verilmez.
• Sahte giriş sayfasına kod yazmak: Oltalama siteleri şifreyle birlikte anlık kodu da toplayıp hemen kullanabilir. Adres çubuğundaki alan adını kontrol edin; ayrıntılar phishing’den korunma rehberinde.
• 2FA’yı kapatma talebine uymak: Bir “destek temsilcisi” veya “yatırım danışmanının” 2FA’yı kapatmanızı istemesi tipik dolandırıcılık senaryosudur. Gerçek bir platform bunu istemez.
• Hizmette kapatmadan kaydı silmek: Kullanmadığınız bir kaydı silmeden önce o hizmette 2FA’yı kapattığınızdan emin olun.

Son olarak, 2FA borsa hesabınızı korur ama kendi cüzdanınızdaki varlıkları korumaz. Kişisel cüzdanlar için asıl güvenlik, seed phrase’in doğru saklanmasıdır.

Kaynaklar

• Google: Authenticator ile doğrulama kodu alma
• IETF RFC 6238: TOTP standardı