Bu koca sitede tek bir şey yapacaksanız, bunu yapın. Buradaki diğer her önlem riski marjinal olarak azaltır; bu önlem ise bütün bir saldırı kategorisini ortadan kaldırır ve bu, bu işi yapan insanların gerçekten başına gelen kategoridir. Bir çift ayakkabıdan daha ucuza gelir ve bir öğleden sonranızı alır.
01Bir kod neden çalınabilir de bir anahtar neden çalınamaz
Saldırıyı, size işlemediyse bile görmüşsünüzdür. Bir e-posta veya mesaj hesabınızda bir sorun olduğunu söyler. Bağlantı, gerçek giriş sayfasının piksel piksel kopyası olan bir sayfaya gider. Parolanızı girersiniz. Doğrulayıcı kodunuzu ister. Onu da girersiniz.
Perde arkasında, saldırganın sunucusu aynı anda gerçek siteye giriş yapıyor ve yazdığınız her şeyi gerçek zamanlı olarak aktarıyordur. Kodunuz gerçekti. Otuz saniye geçerliydi. Sadece yanlış pencereye yazdınız ve otuz saniye fazlasıyla yeterlidir.
Bir uygulama, paylaşılan bir sır ve bir saatten bir sayı üretir. Hangi siteye baktığınız hakkında hiçbir fikri yoktur, bu yüzden gerçek bir giriş sayfasını bir kopyasından ayırt edemez. Zayıf olan kod değil, insan gözüdür. Sahte bir alan adını fark etmenize bağlı olan her savunma eninde sonunda başarısız olur, çünkü sahteler çok iyidir ve siz yorgun olacaksınız.
Bir güvenlik anahtarı farklı çalışır. Bir siteye kaydettiğinizde, o sitenin gerçek alan adına bağlı bir sır saklar. Girişte site bir meydan okuma gönderir; anahtar bunu imzalar, ancak yalnızca istekte bulunan alan adının kayıtlı olduğu alan adıyla eşleştiğini kontrol ettikten sonra. Benzer görünen bir alan adı isterse, anahtar yanıt vermez. İletilecek bir şey, yazılacak bir şey ve sizin hata yapabileceğiniz bir şey yoktur.
Google tüm iş gücünü — on binlerce kişiyi — güvenlik anahtarlarına geçirdi ve sonrasında çalışan hesaplarında sıfır başarılı kimlik avı ele geçirmesi bildirdi. Bu, tüketici güvenliğinde herhangi bir tek önlem için en güçlü kanıttır ve bu kılavuzun beşinci değil birinci olmasının nedeni budur.
02Anahtarın üzerinde ne var
Bir YubiKey 5 tek bir şey değildir. Aynı plastik parçası içinde birkaç bağımsız güvenlik cihazıdır ve çoğu insan bunlardan birini kullanır ve diğerlerinin orada olduğunu asla bilmez. İşte hepsi, açık bir dille.
| Özellik | Kullanılmalı mı? | Ne işe yarar |
|---|---|---|
| FIDO2 / WebAuthn | Evet, asıl olan bu | Modern standart. Kimlik avına karşı korumalı giriş ve passkey'lerin temeli. Google, Microsoft, GitHub, Cloudflare, Proton ve önemli olan çoğu şeyde bunu kullanacaksınız. |
| Passkey'ler (yerleşik anahtarlar) | Evet | Aynı şey, ancak anahtar hesap kimliğini de saklar, böylece kullanıcı adı veya parola yazmadan giriş yapabilirsiniz. Depolama sınırlıdır — aşağıdaki nota bakın. |
| U2F | Otomatik | Aynı fikrin daha eski sürümü. Hâlâ bazı siteler tarafından kullanılır; anahtar bunu sizin seçim yapmanıza gerek kalmadan halleder. |
| OATH-TOTP | Duruma bağlı | Sıradan altı haneli kodlarınızı bir telefon uygulaması yerine anahtar üzerinde saklar ve Yubico Authenticator aracılığıyla okunur. FIDO2'yi desteklemeyen siteler için kullanışlıdır. Hâlâ bir koddur ve hâlâ oltalama saldırılarına açıktır; girişi değil, sırrı korur. |
| Meydan okuma-yanıt (HMAC-SHA1) | Evet, KeePassXC ile | Parola veritabanınızın açılması için fiziksel anahtarı gerektirir. KeePassXC rehberinde ele alınmıştır; bu, her iki aracı da önemli ölçüde güçlendiren eşleşmedir. |
| PIV / akıllı kart | İleri düzey | Sertifikaları barındırır. Cihazdan kopyalanamayan SSH anahtarları ve bazı kurumsal ve devlet sistemleri için kullanılır. |
| OpenPGP | İleri düzey | GPG anahtarlarını donanımda tutar; böylece imzalama ve şifre çözme anahtar üzerinde gerçekleşir ve özel anahtar bilgisayarınıza asla dokunmaz. |
| Yubico OTP | Nadiren | FIDO'dan önce gelen eski bir tek kullanımlık parola şeması. Bazı eski hizmetler bunu kullanır. Bir şey istemedikçe dokunmayın. |
| Statik parola | No | Anahtara dokunduğunuzda sabit bir dize yazar. Başka bir dönemden kalma bir kolaylık özelliği. Önemli olan hiçbir şey için kullanmayın. |
Kullanıcı adı olmadan oturum açmanızı sağlayan yerleşik anahtarlar cihazda kalıcı yuvalar kaplar ve bunlardan sabit sayıda vardır. Eski YubiKey 5 ürün yazılımı yaklaşık 25 tanesini tutar; yeni ürün yazılımı çok daha fazlasını tutar. Sıradan FIDO2 ikinci faktör kayıtları bu şekilde sınırlı değildir, bu yüzden hiçbir şeyi doldurmadan yüzlerce siteye anahtar ekleyebilirsiniz. Tükenirse, bu 2FA değil passkey yüzünden olacaktır.
03Hangisini satın almalı
Karar çoğunlukla ucundaki fişle ve ekstra özellikleri isteyip istemediğinizle ilgilidir. Bağlayıcıyı telefonunuzla ve bilgisayarınızla eşleştirin; farklılarsa, kaybedeceğiniz bir adaptör taşımak yerine her birinden birer tane alın.
| Model | En uygun olduğu durum | Notlar |
|---|---|---|
| Security Key serisi (mavi olanlar) | Çoğu kişi | Yalnızca FIDO2 ve U2F, ihtiyacınız olan kısım bunlar. Bir YubiKey 5'in yaklaşık yarı fiyatına. PGP, PIV veya KeePassXC eşleştirmesini kullanmayacaksanız, dürüst öneri budur. |
| YubiKey 5 NFC | USB-A bilgisayar + herhangi bir telefon | Tam özellikli anahtar. NFC için telefona dokundurun, USB için dizüstü bilgisayara takın. Yukarıdaki tablodaki her şeyi istiyorsanız varsayılan seçim. |
| YubiKey 5C NFC | USB-C bilgisayar + herhangi bir telefon | Aynısı, USB-C fişli. Dizüstü bilgisayarınız yeniyse büyük olasılıkla doğru olan bu. |
| YubiKey 5Ci | Lightning'li iPhone | Hem USB-C hem Lightning var. Yalnızca eski iPhone'lar için geçerli; yenileri USB-C ve zaten NFC kullanabilir. |
| YubiKey 5 Nano | Laptop'ta bırakılan | Küçük, bağlantı noktasına kalıcı olarak oturur. Kullanışlıdır ve fiziksel ayrılık avantajını ortadan kaldırır; laptop alınırsa anahtar da onunla birlikte alınır. |
| Bio serisi | Ortak alanlar | PIN yerine parmak izi. Gerçekten hoş; daha pahalı; yaşadığınız yerde biyometrik bir yöntemin doğru kilit açma yöntemi olup olmadığını dikkatlice düşünün, çünkü birçok yargı bölgesinde parmak izi vermeye zorlanmak PIN vermeye zorlanmaktan daha kolay olabilir. |
Tek bir anahtar tek bir arıza noktasıdır: kaybederseniz kendi hesaplarınızdan kalıcı olarak kilitlenebilirsiniz ki bu da başlı başına bir felakettir. Her iki anahtarı da her hesaba kaydedin, birini yanınızda taşıyın, ikincisini fiziksel olarak ayrı bir yerde, evde bir çekmecede, kasada veya güvendiğiniz birinde saklayın. İkinci anahtar yedek plandır ve maliyeti kurtarma maliyetinden düşüktür.
Bir pazar yeri ilanından değil, ikinci elden değil, iyi tanımadığınız birinden hediye olarak değil. Güvenlik anahtarı, her şeyinizi emanet edeceğiniz bir cihazdır; tedarik zinciri ürünün bir parçasıdır. Yubico'nun ürün yazılımı kasıtlı olarak güncellenemez; bu kurcalamaya karşı direnç için iyidir ve ele geçirilmiş bir anahtarın asla düzeltilemeyeceği, yalnızca değiştirilebileceği anlamına gelir.
04Doğru sırayla kurulum
Sıra önemlidir. Diğer tüm hesapları sıfırlayabilecek hesapla başlayın ve bu süreçte kendinizi dışarıda bırakamayacağınızdan emin olun.
-
E-postanızla başlayın
Sahip olduğunuz diğer tüm hesaplar onun üzerinden kurtarılır, bu da onu asıl hedef haline getirir. E-posta sağlayıcınızın güvenlik ayarlarına gidin ve başka hiçbir şeye dokunmadan önce her iki anahtarı da ekleyin. E-posta sağlayıcınız güvenlik anahtarlarını desteklemiyorsa, bu sağlayıcıyı değiştirmek için bir nedendir, bunu atlamak için bir neden değildir.
-
Her iki anahtarı aynı anda kaydedin
Bunu tek oturuşta, her hesapta yapın. İnsanların karşılaştığı başarısızlık şekli, şimdi bir anahtar kaydedip "yedek olanı sonra eklemek"tir — sonra asla gelmez ve ardından ilk anahtar çamaşır makinesinden geçer.
-
Kurtarma kodlarını düzgün saklayın
Her site size bir dizi tek kullanımlık kurtarma kodu verir. Bunlar anahtarınızı tamamen bypass eder, bu yüzden anahtarın kendisiyle aynı özeni hak ederler. Bunları parola yöneticinize koyun veya yazdırıp fiziksel olarak güvenli bir yerde saklayın. Fotoğraflarını çekmeyin ve indirilenler klasöründe bırakmayın.
-
Şimdi daha zayıf yöntemleri gözden geçirin
SMS kodları hâlâ bir yedek yol olarak kalıyorsa, bir SIM takas işlemi anahtarı bypass edebilir. Her iki anahtar da çalıştığında, hizmetin izin verdiği her yerde SMS'i kapatın. Bir doğrulayıcı kodunu yalnızca kurtarma yolu olarak ihtiyaç duyduğunuz yerde tutun, tohumunu ve kurtarma kodlarını parola yöneticinizde koruyun ve kalan geri dönüş yollarını test etmeden hiçbir yöntemi kaldırmayın.
-
Listeyi aşağı doğru işleyin
E-postadan sonra: anahtarları destekliyorsa parola yöneticiniz, sonra bulut depolama, sonra paylaşım yaptığınız sosyal hesaplar, sonra ödeme yöntemi bağlı olan her şey, sonra kod barındırma. Geriye kalan her şey boş bir akşamı bekleyebilir.
-
Yedek anahtarı kaldırmadan önce test edin
Çıkış yapın ve özellikle yedek anahtarı kullanarak tekrar giriş yapın. Test edilmemiş bir yedek, bir tahmindir.
05Sizi nelerden korumaz
Güvenlik anahtarı, sıradan bir kişinin erişebileceği en güçlü tek denetimdir ve yine de dardır. Oltalama saldırılarını engeller. Bunları engellemez.
- Kimlik avı sayfaları, ne kadar inandırıcı olursa olsun, gerçek zamanlı aktarma saldırıları dahil.
- Kimlik bilgisi doldurma, başka bir sitenin ihlalinden gelen parolanız artık tek başına işe yaramaz.
- Parola tahmin etme ve püskürtme.
- Çoğu SIM değiştirme saldırısı, SMS yedek yöntem olmaktan çıkarıldığında.
- Bilgisayarınızda zaten bulunan kötü amaçlı yazılım. Oturum açtıktan sonra oturumunuzu izleyen bir şey varsa, anahtar zaten işini yapmış ve atlatılmıştır.
- Oturum çerezi hırsızlığı. Canlı bir oturum belirtecini çalan bir saldırganın hiç oturum açmasına gerek yoktur.
- Kurtarma yolu. Destek personeli hesabınızı sıfırlamaya ikna edilebilirse, anahtarınız önemsizdir. Bu artık anahtarlı hesapların düşürülmesinin en yaygın yoludur.
- Fiziksel el koyma, sizin ve anahtarın birlikte ele geçirilmesi.
- Korumayı unuttuğunuz hesaplar, saldırganların bundan sonra gideceği yer burasıdır.
Ön kapıyı tamamen kapatır ve saldırgan pencerelere yönelir. Bu yine de muazzam bir iyileşmedir, ön kapı neredeyse tüm trafiğin olduğu yerdir, ancak burada durmak yerine bu sitenin geri kalanını okumaya devam etmek için bir nedendir.
06YubiKey istemiyorsanız
YubiKey varsayılandır çünkü en yaygın desteklenen ve en kapsamlı şekilde incelenmiş seçenektir, tek seçenek olduğu için değil. Bunların hiçbirinden para almıyoruz.
Nitrokey
Alman yapımı, açık kaynaklı firmware ve donanım tasarımlarıyla, "inceleyebilmek istiyorum" sizin için maksimum uyumluluktan daha önemliyse tercih edilecek seçenek. Rehberin güvenlik anahtarı bölümünde alternatif olarak ele alınmıştır.
nitrokey.com ↗Token2
İsviçre yapımı, uygun fiyatlı, FIDO2 odaklı. Bilinmeyen bir markaya düşmeden kısıtlı bir bütçeyle iki anahtar almanın makul bir yolu.
token2.com ↗Passkey olarak telefonunuz
Modern telefonlar bir FIDO2 kimlik doğrulayıcı olarak işlev görebilir, bu da size aynı kimlik avı direncini ücretsiz olarak sağlar. Belirli bir açıdan daha zayıftır: telefon, alınma, kilidinin açılma veya ele geçirilme olasılığı en yüksek cihazdır. İkinci faktör olarak iyidir, tek faktörünüz olarak değil.
07İnsanların gerçekten sorduğu sorular
Anahtarı kaybedersem ne olur?
Bunu doğru yaptıysanız hiçbir şey: ikinci anahtarı kullanırsınız, sonra kaybolan anahtarı her hesaptan kaldırır ve yerine yenisini kaydedersiniz. Rehberin iki tane almanızda ısrar etmesinin nedeni tam olarak budur. Almadıysanız, kurtarma kodlarınıza geri dönersiniz ve eğer onlar da yoksa, sağlayıcının hesap kurtarma sürecine güveniyorsunuz demektir; bu haftalar sürebilir ve bazen başarısız olur.
Anahtarımı çalan biri hesaplarıma girebilir mi?
Tek başına hayır. Anahtar bir ikinci faktördür, yine de parolanıza ihtiyaçları vardır ve çoğu yapılandırmada anahtarın PIN'ine de ihtiyaçları vardır; bu da birkaç hatalı denemeden sonra cihazı kilitler. Çalınan bir anahtar sizin için bir sıkıntıdır, bir ihlal değildir. Yine de onu hesaplarınızdan kaldırın.
Onu her yere taşımak zorunda mıyım?
Yalnızca yeni bir yere giriş yaparken. Çoğu site bir cihazı güvenilir olarak işaretlemenize izin verir, böylece günlük olarak anahtara nadiren dokunursunuz — genellikle yeni bir makine kurarken veya çerezlerinizi temizledikten sonra. NFC modelleri bir telefona dokundurarak çalışır, bu da insanların hayal ettiği sürtünmenin çoğunu ortadan kaldırır.
Passkey aynı şey mi?
Passkey, aynı kriptografi ve aynı kimlik avı direncidir. Fark, nerede bulunduğudur. Telefonunuzdaki veya bir tarayıcı hesabındaki bir passkey bir şirketin bulutu üzerinden senkronize edilir; bu kullanışlıdır ve o hesabın gücünün passkey'inizin gücü haline gelmesi anlamına gelir. Bir donanım anahtarındaki passkey senkronize edilemez, kopyalanamaz veya çıkarılamaz. Önemli olan hesaplar için, onu donanıma koyun.
Hangi hesaplara önce bir tane alınmalı?
E-posta, her zaman. Sonra parola yöneticiniz, sonra yayın yaptığınız herhangi bir şey, sonra para tutan herhangi bir şey. Bu konuda belge veya rapor hazırlıyorsanız, paylaşım yaptığınız hesap bir düşman için bankanızdan daha değerlidir — onu kaybetmek, sizin adınıza başka birinin konuşması anlamına gelir ve bu bir ters ibraz ile geri alınamaz.
08Kaynaklar ve ileri okuma
- Yubico — resmi site ve model karşılaştırması yubico.com
- FIDO Alliance, FIDO2 / WebAuthn standardı fidoalliance.org
- Nitrokey — açık kaynak donanım ve ürün yazılımı alternatifi nitrokey.com
- EFF Gözetimden Kendini Savunma — hesap güvenliği ssd.eff.org
- Privacy Guides — çok faktörlü kimlik doğrulama privacyguides.org
Son inceleme: 25 Eylül 2026