2FA (İki Faktörlü Kimlik Doğrulama)

Tanımı ve Bilgi Güvenliği Standartları

İki Faktörlü Kimlik Doğrulama (Two-Factor Authentication - 2FA); Gelir İdaresi Başkanlığı (GİB) portallarına, Kayıtlı Elektronik Posta (KEP) hesaplarına, bankacılık açık bankacılık servislerine ve kurumsal ERP sistemlerine erişimde sadece kullanıcı adı ve parolanın bilinmesini yeterli görmeyen, birbirinden bağımsız iki ayrı doğrulama faktörünü zorunlu kılan güvenlik mekanizmasıdır.

Doğrulama Faktörleri ve Çalışma Mekanizması

• Bildiğiniz Bir Şey (Knowledge): Statik kullanıcı parolası veya PIN kodu.
• Sahip Olduğunuz Bir Şey (Possession): Akıllı telefon üzerindeki TOTP uygulaması (Google Authenticator, Microsoft Authenticator), SMS OTP şifresi veya donanımsal FIDO2/WebAuthn güvenlik anahtarı.
• Olduğunuz Bir Şey (Inherence): Çipli T.C. Kimlik Kartı doğrulaması, yüz tanıma veya parmak izi gibi biyometrik veriler.
• Zaman Tabanlı Tek Kullanımlık Şifre (TOTP - RFC 6238): 30 saniyelik pencerelerde üretilen 6 haneli dinamik kodlar, şifre dinleme (eavesdropping) ve tekrar oynatma (replay) saldırılarını tamamen engeller.

2FA, e-dönüşüm süreçlerinde yetkisiz fatura kesilmesini veya KEP üzerinden hukuki sonuç doğuracak sahte fesih/ihtar bildirimleri yapılmasını önleyen en temel siber savunma kalkanıdır.