Bilmeniz gereken her şey, gereksiz hiçbir şey yok.
OTP Nedir?
OTP —genellikle 4 ila 8 haneli— tek seferlik geçerli olan ve kısa bir süre için kullanılan kısa, tek kullanımlık bir koddur. Kullanıcının sahip olduğu bir kanala iletilir; bu genellikle SMS aracılığıyla olur, ancak WhatsApp, sesli arama, flash call, e-posta veya bir kimlik doğrulama uygulaması tarafından yerel olarak oluşturulma yoluyla da gerçekleşebilir. Süresi dolduğu ve tekrar kullanılamadığı için OTP o anda kullanıcının kodun gönderildiği kanalı kontrol ettiğini kanıtlar.
- Tek kullanımlık, kısa süreli geçerli bir kod.
- SMS, WhatsApp, ses, flash call, e-posta veya bir uygulama aracılığıyla iletilir.
- Mesajın gönderildiği kanalın kontrolünü kanıtlar.
- Süre aşımı + tek kullanım, onu 'tek kullanımlık' yapan unsurdur.
2FA Nedir?
İki faktörlü kimlik doğrulama, farklı kategorilerden iki kanıt gerektirir: bildiğiniz bir şey (şifre veya PIN), sahip olduğunuz bir şey (telefon, güvenlik anahtarı veya bir OTP) ya da olduğunuz bir şey (parmak izi veya yüz). Temel amaç bağımsızlıktır; şifrenizi çalan bir saldırganın elinde hala ikinci faktör bulunmaz. Bir şifre artı bir SMS OTP kullanımı 2FA sağlar; ancak iki şifre aynı faktör tipinde olduğu için bu sağlanamaz.
- Farklı kategorilerden iki faktör: bilmek / sahip olmak / olmak.
- Şifre + SMS OTP = 2FA; şifre + PIN = 2FA değildir.
- Önemli olan güvenlik özelliği bağımsızlıktır.
- MFA, 2FA'yı iki veya daha fazla faktöre genişletir.
Aralarındaki ilişki
Bir 2FA kurulumunda OTP sıklıkla 'sahip olduğunuz bir şey' faktörüdür — ancak bu yalnızca bir seçenektir ve en güçlüsü değildir. SMS OTP; kimlik avı (phishing), SIM-swap ve SMS-pumping dolandırıcılığına karşı savunmasızdır; bu nedenle NIST SP 800-63B gibi kılavuzlar SMS'i kısıtlı bir kimlik doğrulayıcı olarak kabul eder ve flash-call, sessiz ağ kimlik doğrulaması, kimlik doğrulama uygulamaları ve donanım anahtarları gibi alternatiflerin var olma sebebi budur. 2FA olmadan OTP (kod ile tek faktörlü şifresiz giriş) ve OTP olmadan 2FA (şifre artı parmak izi) kullanabilirsiniz.
- OTP genellikle 'olmazsa olmaz' faktörüdür, ancak tek faktör değildir.
- SMS OTP, uygulama tabanlı veya donanım tabanlı faktörlere göre daha zayıftır.
- NIST SP 800-63B, SMS'i bir kimlik doğrulayıcı olarak kısıtlamaktadır.
- 2FA olmadan OTP ve OTP olmadan 2FA her ikisi de mevcuttur.
OTP ve 2FA arasındaki farklar
| OTP | 2FA | |
|---|---|---|
| Nedir | Tek kullanımlık bir kod | İki faktörlü bir güvenlik modeli |
| Kapsam | Tek bir kimlik doğrulama mekanizması | İki faktörü birleştiren bir politika |
| Örnekler | SMS kodu, ses kodu, uygulama kodu | Şifre + OTP, şifre + parmak izi |
| İletim / yöntemler | SMS, WhatsApp, ses, flash call, uygulama | Herhangi iki bağımsız faktör türü |
| İlişki | 2FA bünyesinde ikinci faktör olabilir | OTP kullanılabilir veya kullanılamaz |