Tanım
İki faktörlü doğrulama (2FA), oturum açmak veya bir işlemi onaylamak için iki farklı türde kanıt ister: genellikle bildiğiniz bir şey (parola) ile sahip olduğunuz bir şey (tek kullanımlık kod alan telefon, doğrulama uygulaması veya güvenlik anahtarı).
Üç faktör türü şunlardır: bilgi (parola, PIN), sahiplik (telefon, donanım anahtarı, uygulama) ve doğallık (parmak izi, yüz). Aynı türden iki kontrol, örneğin parola ile güvenlik sorusu, gerçek 2FA değildir. Çok faktörlü doğrulama (MFA) iki veya daha fazla faktör için kullanılan genel terimdir.
Mesajlaşma OTP'leri uygulama yüklemeyi gerektirmediği için en yaygın kullanılan sahiplik faktörüdür. Uygulama tabanlı veya oltalamaya dayanıklı yöntemlerden daha zayıftır: SIM değiştirme saldırıları, kodları gerçek zamanlı aktaran oltalama sayfaları ve araya girme mümkündür. NIST SP 800-63B, genel telefon şebekesi (SMS veya sesli arama) üzerinden gönderilen OTP'leri "kısıtlı" bir doğrulayıcı sayar ve doğrulayıcılardan bunları kullanmadan önce SIM değişikliği veya numara taşıma gibi sinyalleri dikkate almalarını ister.
GCC ve MENA'daki tüketici hizmetlerinde SMS ve WhatsApp OTP; kayıt, giriş ve ödeme onayı için pratik varsayılan olmaya devam eder; bankalar ve ödeme sağlayıcıları ise çoğunlukla merkez bankası veya düzenleyicilerinin koyduğu daha sıkı kurallar uygular. Yüksek riskli işlemler için daha güçlü bir seçenek (doğrulama uygulaması veya passkey) sunun.
Tasarım ipuçları: ikinci faktörü yalnızca parola doğru olduktan sonra gönderin, kodları tek bir oturuma ve eyleme bağlayın ve mesajda kodun ne için olduğunu açıklayın ("500 AED'lik havaleyi onaylamak için").