2FA (İki Faktörlü Kimlik Doğrulama)
Gelir İdaresi Başkanlığı teknik kılavuzları, Vergi Usul Kanunu ve UBL-TR standartları referans alınarak doğrulanmıştır.
Tanımı ve Güvenlik Felsefesi
2FA (Two-Factor Authentication / İki Faktörlü Kimlik Doğrulama), kullanıcının bir dijital sisteme, portala veya veritabanına erişim sağlarken kimliğini doğrulamak amacıyla birbirinden bağımsız en az iki farklı doğrulama faktörünü eşzamanlı olarak sunmasını şart koşan siber güvenlik mekanizmasıdır.
Geleneksel yalnızca parola (tek faktör) kullanımında, parolanın oltalama (phishing), veri tabanı sızıntısı veya kaba kuvvet (brute-force) saldırısıyla ele geçirilmesi durumunda hesap tamamen savunmasız kalır. 2FA mimarisi, parolanın çalındığı senaryolarda dahi saldırganın ikinci faktöre sahip olmaması nedeniyle yetkisiz erişimi %99'un üzerinde bir oranla engeller.
Üç Temel Kimlik Doğrulama Faktörü
Kimlik doğrulama faktörleri uluslararası bilgi güvenliği standartlarında (NIST SP 800-63B) üç kategoriye ayrılır:
- Bildiğiniz Bir Şey (Knowledge Factor): Yalnızca kullanıcının zihninde olan gizli bilgi. Örnek: Parola, PIN kodu, güvenlik sorusu yanıtı.
- Sahip Olduğunuz Bir Şey (Possession Factor): Yalnızca kullanıcının fiziksel mülkiyetinde olan donanım veya cihaz. Örnek: Akıllı kart (e-İmza USB Token), FIDO2 Güvenlik Anahtarı, akıllı telefon (TOTP Authenticator uygulaması, SMS onay kodu).
- Olduğunuz Bir Şey (Inherence / Biometric Factor): Kullanıcının biyolojik veya davranışsal özellikleri. Örnek: Parmak izi, yüz tanıma, retina taraması, ses analizi.
Geçerli bir 2FA mekanizması, yukarıdaki üç farklı kategoriden iki tanesini birleştirmelidir. Örneğin hem parola hem PIN sormak iki faktörlü değil, 'iki adımlı tek faktörlü' bir doğrulamadır çünkü her ikisi de bilgi kategorisindedir.
| 2FA Yöntemi | Güvenlik Seviyesi | Oltalama (Phishing) Direnci | Kullanım Alanı |
|---|---|---|---|
| SMS OTP (Tek Kullanımlık Şifre) | Düşük / Orta | Düşük (SIM Swap ve sahte SMS portallarıyla aşılabilir) | Standart e-ticaret ve son kullanıcı girişleri. |
| Yazılımsal TOTP (Google/MS Authenticator) | Yüksek | Orta (Gerçek zamanlı proxy oltalama ile çalınabilir) | Kurumsal portallar, e-posta ve bulut hesapları. |
| Nitelikli E-İmza (USB Token + PIN) | Çok Yüksek (Askeri) | Çok Yüksek (Özel anahtar donanımdan dışarı çıkamaz) | UYAP, Kamu SM, MERSİS, EKAP ve Bankacılık. |
| FIDO2 / WebAuthn Donanım Anahtarı | En Üst Seviye | Tam Dirençli (Kriptografik origin bağlama) | Kritik altyapılar, sistem yöneticileri ve FinTech. |
Türkiye Mevzuatında 2FA Zorunlulukları
Türkiye'de düzenleyici kurumlar kritik finansal ve adli süreçlerde 2FA kullanımını zorunlu kılmıştır:
- BDDK Bankacılık Düzenlemeleri: Bankacılık Kanunu ve Bilgi Sistemleri Tebliği uyarınca, internet ve mobil bankacılık girişlerinde SMS veya bildirim bazlı iki bileşenli kimlik doğrulama zorunludur.
- 5070 Sayılı Elektronik İmza Kanunu: E-imza USB token cihazı başlı başına kusursuz bir 2FA mekanizmasıdır. Kullanıcının elindeki fiziksel akıllı kart (Sahip olunan şey) ile kartın 6 haneli PIN şifresi (Bilinen şey) bir araya gelmeden imza üretilemez.
- KVKK Teknik Tedbirleri: Kişisel Verileri Koruma Kurulu (KVKK), özel nitelikli kişisel verilere uzaktan erişim sağlayan yöneticiler ve çalışanlar için iki faktörlü kimlik doğrulamayı zorunlu teknik tedbir olarak listelemektedir.