2FA (İki Faktörlü Doğrulama)
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Temel Güvenlik Mantığı
İki Faktörlü Doğrulama (2FA - Two-Factor Authentication), bir kullanıcının kimliğini doğrulamak için birbirinden bağımsız üç temel kimlik doğrulama faktöründen en az ikisinin bir arada sunulmasını zorunlu kılan siber güvenlik mekanizmasıdır. Yalnızca kullanıcı adı ve paroladan oluşan geleneksel tek faktörlü (1FA) sistemlerin kimlik avı (phishing), kaba kuvvet (brute-force), parola sızıntıları ve tuş kaydedici (keylogger) zararlı yazılımlarına karşı yetersiz kalması sebebiyle modern bilişim altyapılarında zorunlu hale gelmiştir.
Doğrulama Faktörlerinin Sınıflandırılması
Bilgi güvenliği standartlarında (NIST SP 800-63B) kimlik doğrulama faktörleri üç kategoriye ayrılır:
- Bildiğiniz Bir Şey (Something You Know): Parola, PIN kodu, güvenlik sorusu yanıtı veya desen kilidi.
- Sahip Olduğunuz Bir Şey (Something You Have): Akıllı telefon (SMS / Authenticator uygulaması), USB güvenlik anahtarı (FIDO2 / YubiKey), akıllı kart ve SIM kart.
- Olduğunuz Bir Şey (Something You Are - Biyometri): Parmak izi, yüz tanıma, retina veya iris taraması.
Uygulama Yöntemleri ve Güvenlik Dereceleri
- SMS / E-Posta ile OTP (En Yaygın Fakat En Güvensiz): Tek kullanımlık şifrenin (OTP) SMS ile gönderilmesidir. SIM Swap (SIM Kopyalama), SS7 telekom protokolü açıkları ve sahte baz istasyonu (IMSI Catcher) saldırılarına açık olduğu için NIST tarafından tavsiye edilmemektedir.
- Zamana Dayalı Tek Kullanımlık Parola (TOTP - RFC 6238): Google Authenticator, Microsoft Authenticator gibi uygulamalarda çalışan, sunucu ve telefonun ortak paylaştığı gizli bir tohum (seed) ve o anki zaman damgası üzerinden 30 saniyede bir 6 haneli kod üreten yöntemdir. İnternet bağlantısı gerektirmez ve SMS'e kıyasla çok daha güvenlidir.
- FIDO2 / WebAuthn Donanım Anahtarları (En Üst Düzey Güvenlik): YubiKey, Google Titan gibi FIDO Alliance standartlı donanımlardır. Açık anahtarlı kriptografi (kullanıcı cihazında gizli anahtar, sunucuda açık anahtar) kullanır ve etki alanı adına (domain origin) kriptografik olarak bağlı olduğu için oltalama (phishing) saldırılarını %100 engeller.
Türkiye Mevzuatındaki Zorunluluklar
Türkiye'de 2FA yalnızca bir güvenlik tavsiyesi değil, birçok sektör için yasal bir zorunluluktur:
- BDDK Bankacılık Mevzuatı: İnternet ve mobil bankacılık girişlerinde, para transferlerinde iki bileşenli kimlik doğrulama zorunludur.
- GİB ve e-Fatura Portalları: Gelir İdaresi Başkanlığı İnteraktif Vergi Dairesi ve Özel Entegratör portallarında mükellef hesaplarına girişte SMS veya mobil onay 2FA katmanı mecburi kılınmıştır.
- KVKK Rehberleri: Kişisel Verileri Koruma Kurulu, özel nitelikli kişisel verilere uzaktan erişimde iki faktörlü kimlik doğrulamayı idari ve teknik tedbir olarak şart koşmaktadır.