İçeriğe atla
Bilgi Merkezi/Makale
Makale

MFA ve 2FA Nedir? İki ve Çok Faktörlü Kimlik Doğrulama

Parolası çalınan hesabı ikinci faktör korur. Faktör türlerini, SMS, uygulama ve passkey farkını, MFA'yı atlatma yollarını ve ilk adımları anlattık.

Oğuzhan Gerçek··8 dk okuma
MFA ve 2FA Nedir? İki ve Çok Faktörlü Kimlik Doğrulama

Kısa cevap: Çok faktörlü kimlik doğrulama (MFA), oturum açan kişinin kimliğini en az iki farklı türde kanıtla doğrulamaktır: bildiğiniz bir şey (parola, PIN), sahip olduğunuz bir şey (telefon, güvenlik anahtarı) ya da olduğunuz bir şey (parmak izi). 2FA, MFA'nın iki faktörlü hâlidir. Parolayı ele geçiren saldırganın hesaba girmek için ikinci faktörü de aşması gerekir. Yöntemlerin gücü aynı değil: SMS kodu en zayıf seçenek, FIDO2/WebAuthn tabanlı passkey ve güvenlik anahtarları ise oltalamaya (phishing) dayanıklı.

MFA nedir?

NIST'in SP 800-63-4 yayınındaki tanımıyla MFA, başarılı kimlik doğrulama için birden fazla farklı türde faktör isteyen sistemdir; faktörler tek bir doğrulayıcıda birleşebilir ya da ayrı doğrulayıcılardan gelebilir. Biyometri tek başına yetmez. NIST'in Temmuz 2025 tarihli SP 800-63B-4 rehberine göre biyometrik özellikler sır değildir; bir yüz görüntüsü fotoğraf çekilerek elde edilebilir. Rehber bu yüzden biyometriyi yalnızca sahip olunan bir doğrulayıcıyla birlikte kabul ediyor.

Doğrulanan kişinin neye erişeceğini belirleyen yetkilendirmeyi IAM yazımızda anlattık.

2FA, MFA ve iki adımlı doğrulama arasındaki fark

NIST'in MFA açıklamasında iki faktörlü doğrulama (2FA), MFA'nın diğer adı olarak geçiyor. Aynı sayfaya göre kanıtlar iki farklı kategoriden gelmeli; iki farklı parola girmek çok faktörlü sayılmıyor. Google da 2-Step Verification ile iki faktörlü doğrulamayı eş anlamlı kullanıyor. Yani belirleyici olan adım sayısı değil, faktör türü. Parolanın ardından sorulan güvenlik sorusu ikinci bir adımdır, ama doğrulama tek faktörlü kalır.

SMS, uygulama kodu ve push bildirimi

  • SMS ve sesli arama: SP 800-63B-4, kodun telefon şebekesi (PSTN) üzerinden gönderilmesini, rehberin yayımlandığı tarihteki tek kısıtlı (restricted) doğrulayıcı olarak tanımlıyor; bu yöntemi kullanan kurum kısıtlı olmayan bir alternatif de sunmak zorunda. ABD'nin siber güvenlik ajansı CISA SMS'i son çare olarak görüyor, çünkü yöntem oltalamaya, SS7 açıklarının istismarına ve SIM kart değişimine açık.
  • Doğrulama uygulaması: HOTP (RFC 4226) bir sayaç ve gizli anahtardan en az 6 haneli kod üretir. TOTP (RFC 6238) sayacın yerine zamanı koyar; RFC'nin önerdiği varsayılan zaman adımı 30 saniye. Kod SIM değişiminden etkilenmez, ama elle yazıldığı için sahte bir giriş sayfasına da yazılabilir.
  • Push bildirimi: CISA'ya göre parolayı ele geçiren saldırgan, kullanıcı yanlışlıkla ya da bıkkınlıktan onaylayana kadar bildirim yağdırabilir; buna MFA yorgunluğu (push bombing) deniyor. Number matching ayarında kullanıcı, giriş ekranındaki sayıyı uygulamaya yazmadan onay veremez. CISA bunu, oltalamaya dayanıklı MFA'ya geçilene kadar önerdiği ara önlem sayıyor.

Oltalamaya dayanıklı MFA: FIDO2, passkey ve akıllı kart

SP 800-63B-4 oltalamaya dayanıklılığı, protokolün sırları ve geçerli doğrulayıcı çıktılarını sahte bir doğrulayıcıya kaptırmama yeteneği olarak tanımlıyor. Kod gibi elle girilen çıktılar bu tanıma girmiyor, çünkü doğrulanan oturuma bağlanmıyor. Rehber AAL2 güvence düzeyinde en az bir oltalamaya dayanıklı seçenek sunulmasını istiyor, AAL3'te ise bu özelliği şart koşuyor.

CISA'ya göre yaygın olarak kullanılabilen tek oltalamaya dayanıklı yöntem FIDO/WebAuthn; daha az yaygın yol, PKI'ya dayanan akıllı kartlar. FIDO2, WebAuthn ve CTAP standartlarından oluşur; WebAuthn Level 3 25 Ağustos 2026'da W3C önerisi (Recommendation) oldu. Passkey Central'ın anlatımıyla özel anahtar cihazda kalır, hizmete açık anahtar kaydedilir; girişte sunucunun gönderdiği challenge özel anahtarla imzalanır. Passkey yalnızca kaydedildiği siteye sunulur, saldırganın sitesine yazılamaz. FIDO Alliance'a göre passkey'ler cihazlar arasında eşitlenebilir ya da tek bir cihaza bağlı kalabilir. SP 800-63B-4 ise eşitlenen doğrulayıcıları, özel anahtar dışa aktarılabildiği için AAL3'te kabul etmiyor.

MFA'yı atlatma yöntemleri

  • SIM kart değişimi: Saldırgan operatörü kandırarak ya da bir çalışanına para ödeyerek kurbanın numarasını kendi SIM kartına taşıtır. FBI'ın IC3 duyurusuna göre 2021'de 1.611 SIM değişimi şikâyeti geldi, düzeltilmiş kayıp 68 milyon doları aştı.
  • AiTM oltalaması: Saldırgan, kullanıcı ile gerçek site arasına bir proxy koyup parolayla birlikte oturum çerezini çalar; Microsoft'a göre MFA açık olsa bile kimlik doğrulamayı atlar. Microsoft'un önerdiği çözüm FIDO2 ve sertifika tabanlı doğrulama. Kampanyanın ayrıntılarını ve saldırının nasıl tanınacağını phishing yazımızda anlattık.
  • Oturum çerezi hırsızlığı: MITRE ATT&CK'e göre çerezler çoğu zaman uzun süre geçerli kalır ve çalınan çerez bazı MFA protokollerini atlatabilir. MITRE çerez ömrünü kısaltmayı ve yalnızca güvenilen cihazlardan girişe izin vermeyi öneriyor.
  • Yardım masası: CISA'nın Scattered Spider uyarısına göre grup, BT yardım masasını parola ve MFA sıfırlamaya ikna ediyor. Bu yöntemi sosyal mühendislik yazımızda ele aldık.

Bu girişimlerin tespiti için güvenlik operasyonları sayfamıza bakabilirsiniz.

MFA ne kadar etkili?

Microsoft araştırmacılarının Mayıs 2023 tarihli çalışması, şüpheli etkinlik nedeniyle incelenen Azure AD (bugünkü adıyla Microsoft Entra ID) hesaplarına 22 Nisan ile 22 Eylül 2022 arasında baktı. MFA, ele geçirilme riskini bütün grupta %99,22, parolası sızdırılmış hesaplarda %98,56 azalttı. Sızdırılmış parola örneğinde SMS, Microsoft'un doğrulama uygulamasından %40,8 daha az etkili çıktı; karşılaştırmada FIDO tabanlı bir yöntem yok. Yazarlar ayrıca, bildirilen olaylara dayanan ölçümün gerçek sayının altında kalacağını not ediyor.

Nereden başlamalı?

CIS Controls v8.1, temel siber hijyen saydığı ilk uygulama grubunda (IG1) MFA'yı dışarıya açık uygulamalarda (6.3), uzaktan ağ erişiminde (6.4) ve yönetici erişiminde (6.5) istiyor. CISA, saldırganların çoğunlukla e-posta sistemlerini, dosya sunucularını ve uzaktan erişim sistemlerini hedef aldığını hatırlatıyor. Zero trust mimarisini tarif eden NIST SP 800-207 de kaynakların bir kısmında ya da tamamında MFA bekliyor.

  • E-posta: Microsoft'a göre eski kimlik doğrulama protokolleri MFA'yı desteklemiyor; ayrıntısı kurumsal e-posta yazımızda.
  • VPN: Gateway'lerin neden hedef olduğunu VPN yazımızda anlattık.
  • Yönetici hesapları: NSA ve CISA'nın ortak uyarısı, ayrıcalıklı kullanıcılar için tercihen oltalamaya dayanıklı MFA'yı zorunlu tutmayı ve isteğe bağlı değil varsayılan yapmayı öneriyor. Ayrıcalıklı erişim yönetimini (PAM) ve Active Directory gibi dizin hizmetlerini IAM yazımızda ele aldık.
  • Bulut konsolları: Microsoft, Ekim 2024'ten beri Azure portalında ve yönetim merkezlerinde MFA'yı zorunlu tutuyor. AWS de kök (root) kullanıcılar için MFA zorunluluğunu Haziran 2025'te bütün hesap türlerine yaydı.

Kurtarma kodları ve yedek yöntem

SP 800-63B-4, kullanıcıların en az iki ayrı kimlik doğrulama yolu tutmaya teşvik edilmesini öneriyor. NSA ve CISA'nın IAM rehberi riski açıkça yazıyor: kullanıcı yalnızca parolasıyla yeni bir doğrulayıcı kaydedebiliyorsa MFA'nın güvenliği ciddi biçimde zayıflar. Rehberin önerisi, her kullanıcıya birden fazla güçlü doğrulayıcı vermek ve birini güvenli bir yerde yedekte tutmak. Kurtarma kodu ise NIST'in tanımıyla, kimliğini artık doğrulayamayan kullanıcının hesabını geri almasını sağlayan sırdır; Google'da bu kodlar 8 haneli ve tek kullanımlık. Kimlik doğrulama katmanını kimlik yönetimi hizmetimizde ele alıyoruz.

Sık sorulan sorular

2FA (iki faktörlü doğrulama) nedir? Oturum açarken iki farklı türde kanıt istenmesidir: örneğin parolanın yanında doğrulama uygulamasının ürettiği kod da girilir. Çok faktörlü kimlik doğrulamanın iki faktörlü hâlidir.

MFA ile 2FA arasındaki fark nedir? 2FA tam olarak iki faktör kullanır, MFA iki ya da daha fazlasını kapsar. Her 2FA aynı zamanda bir MFA'dır.

İki adımlı doğrulama ile iki faktörlü doğrulama aynı şey mi? Pratikte çoğu zaman eş anlamlı kullanılır; Google da ikisini aynı özellik için kullanıyor. Ölçüt faktör türüdür: iki adımın ikisi de bildiğiniz bir şeyse doğrulama çok faktörlü sayılmaz.

SMS ile doğrulama güvenli mi? Yöntemlerin en zayıfıdır; SIM kart değişimine, SS7 açıklarının istismarına ve oltalamaya açıktır. CISA bu yöntemi son çare olarak görüyor.

Passkey nedir? Parolanın yerini alan, özel anahtarı cihazda ya da parola yöneticisinde duran FIDO kimlik bilgisidir. Yalnızca kaydedildiği siteye sunulduğu için oltalamaya dayanıklıdır.

MFA hesabı tamamen korur mu? Hayır. Riski büyük ölçüde azaltır, ama AiTM oltalaması, çalınan oturum çerezi ya da kandırılan yardım masası gibi yollarla atlatılabilir.

Kaynaklar