İçindekiler
FIDO2 mi TOTP mi? 2FA ve Parolasız Giriş Karşılaştırması — Türkiye'de Hangi Yöntem Daha İyi?
FIDO2 mi TOTP mi diye düşünüyorsan, güvenlik katmanları arasında hangi yöntemin senin ihtiyaçlarına daha uygun olduğunu anlamak önemli. Hem iki faktörlü kimlik doğrulama (2FA) hem de parolasız giriş çözümleri gündemde; ama FIDO2 ile TOTP'nin sundukları, sınırları ve pratik kullanımları birbirinden farklı.
Bu rehberde FIDO2 ve TOTP'yi güvenlik, kullanım kolaylığı, uyumluluk, yönetim ve kurtarma senaryoları açısından karşılaştırıyorum. Öğrenciler, serbest çalışanlar ve küçük işletmeler odaklı pratik öneriler verecek şekilde ilerleyeceğim.
Kısa Cevap
- Güvenlik ve phishing'e karşı yüksek direnç önceliğinse: FIDO2
- Basit, yaygın destekli ve kurulumu kolay bir 2FA istiyorsan: TOTP
Özellik Karşılaştırması
| Özellik | FIDO2 | TOTP |
|---|---|---|
| Temel çalışma şekli | Donanım anahtarı veya platform tabanlı parolasız kimlik doğrulama (WebAuthn) | Zaman bazlı tek seferlik kod (RFC 6238) — uygulama veya cihazda üretilir |
| Güvenlik seviyesi | Yüksek — phishing dirençli, kriptografik anahtarlar | Orta — phishing ve kod ele geçirme riski var |
| Donanım gereksinimi | Güvenlik anahtarı (USB/NFC) veya cihazın platform authenticator'ı | Akıllı telefon veya TOTP destekleyen uygulama (ör. Authenticator) |
| Uyumluluk | Modern tarayıcılar ve hizmetler destekliyor; hizmet desteği artıyor | Çok geniş destek — birçok servis TOTP sunuyor |
| Kurulum / entegrasyon | Servis tarafında WebAuthn/FIDO2 entegrasyonu gerek | Hemen çoğu servisle uyumlu, kolay kurulum |
| Çevrimdışı çalışma | Evet — anahtar çevrimdışı çalışır | Evet — kodlar cihazda üretilir |
| Kurtarma / yedekleme | Yedek anahtar veya hesap kurtarma planı gerekir | Yedek cihaz veya yedek kodlar ile yönetilir |
Kullanım Kolaylığı ve İlk Kurulum
TOTP genelde kurulum açısından daha basittir: bir web sitesinde QR kodunu tarayıp authenticator uygulamasına ekliyorsun ve anında kod üretmeye başlıyor. Yeni kullanıcılar için kavram olarak hızlı öğreniliyor; akıllı telefonun varsa hemen kullanılabiliyor.
FIDO2 tarafında biraz daha adım gerekebilir. Eğer donanım anahtarı kullanacaksan, fiziksel anahtar alman ve tak-çıkar yöntemiyle (USB/NFC) kullanıma başlaman gerekiyor. Bununla birlikte modern telefonların ve işletim sistemlerinin platform authenticator'ları sayesinde parolasız oturum açma da mümkün oluyor. Kurulum servis tarafında destekliyse deneyim sonrasında oldukça hızlıdır.
Kazanan: TOTP
Güvenlik ve Saldırı Yüzeyi
Güvenlik açısından FIDO2 açık ara öne çıkıyor çünkü cihazda saklanan kriptografik anahtarlar sunucuya gönderilmiyor; WebAuthn protokolü phishing saldırılarına karşı direnç sağlıyor ve ortadaki adam (MitM) saldırılarını zorlaştırıyor. Donanım anahtarları fiziksel güvenlik sağlar; çalınsa bile genelde PIN veya cihaz doğrulaması istenebilir.
TOTP, zaman bazlı kod ürettiği için phishing ya da SIM değişimi, kod ele geçirilmesi gibi senaryolarda zafiyet gösterebiliyor. Authenticator uygulamaları güvenli olsa da kullanıcı hataları (kodun fotoğrafının çekilmesi, yedek kodların yanlış yerde saklanması) riski artırıyor.
Kazanan: FIDO2
Uyumluluk, Ekosistem ve Türkiye'deki Durum
TOTP neredeyse evrensel kabul gören bir yöntem; birçok yerel ve uluslararası hizmet TOTP'yi destekliyor. Özellikle küçük hizmet sağlayıcılar ve açık kaynak yazılımlar TOTP entegrasyonunu kolayca sunuyor. Türkiye'deki birçok servis de TOTP desteği sağlıyor veya SMS bazlı 2FA sunuyor (SMS ayrı bir konu — SMS güvenlik açısından daha zayıf).
FIDO2 desteği hızla artıyor: büyük platformlar, bankalar ve kurumsal hizmetler WebAuthn/FIDO2 desteği ekliyor. Ancak hâlâ bazı yerel veya eski sistemlerde doğrudan destek olmayabilir. Bu yüzden uygulama veya hizmetin FIDO2 desteğini kontrol etmek gerekiyor; destek varsa uzun vadede daha sağlam bir çözüm sunuyor.
Kazanan: Berabere
Yönetim, KOBİ ve Kurumsal Kullanım
Küçük işletmeler için yönetim açısından iki yaklaşım var. TOTP kolay dağıtılıyor ve maliyeti düşüktür; çalışanlara birer talimat vererek hızlıca hayata geçirilebilir. Ancak merkezi yönetim, anahtar dağıtımı ve kurtarma işlemleri için ek süreçler gerekebilir.
FIDO2 kurumsal kullanımda daha fazla kontrol ve güçlü güvenlik sağlar. Kuruluşlar merkezi yönergeyle güvenlik anahtarları dağıtabilir, cihaz yönetimi ve MFA politikaları uygulayabilir. İlk maliyet ve entegrasyon süreci daha yüksek olsa da, uzun vadede phishing ve hesap ele geçirme risklerini ciddi oranda azaltır.
Kazanan: FIDO2
Kurtarma, Yedekleme ve Erişilebilirlik
TOTP kullanıcıları için yedekleme genelde ikinci cihaz, yedek kodlar veya bir şifre yöneticisi içinde saklanan kurtarma kodları ile sağlanır. Eğer tek cihazı kaybedersen, yedek planın yoksa hesabına erişim zorlaşır. Authy gibi bazı uygulamalar bulut yedekleme seçeneği sunar; bu, kullanım kolaylığı ve kurtarma açısından faydalıdır ancak ek gizlilik/kullanılabilirlik kararları getirir.
FIDO2'de kurtarma genelde birden fazla kayıtlı anahtar veya servislerin sunduğu kurtarma yöntemleri ile çözülür. Anahtar kaybında yedek anahtarların olması kritik; yoksa hesap kurtarma süreçleri uzun olabilir. Kurumsal ortamda yedek anahtarlar veya merkezi yönetim standart uygulamalardır.
Kazanan: Berabere
Sonuç: Hangisini Seçmelisin?
| Senin durumun | Önerimiz |
|---|---|
| Güvenlik ve phishing'e karşı maksimum koruma istiyorsan | FIDO2 |
| Hemen, düşük maliyetli ve yaygın destekli 2FA istiyorsan | TOTP |
| KOBİ veya ekip yönetimi için merkezi kontrol isteniyorsa | FIDO2 |
| Çok sayıda eski veya küçük hizmete erişim gerekiyor ve FIDO2 desteği yoksa | TOTP |
| Mobil öncelikli, yedek kolaylığı ve hızlı kurulum arıyorsan | TOTP |
Çoğu kullanıcı için en akıllıca yaklaşım her iki yöntemi birlikte kullanmaktır: kritik hesaplarda (e-posta, banka, iş hesapları) FIDO2 gibi phishing'e dirençli bir çözüm tercih et, geri kalan servislerde ise TOTP ile hızlı ve düşük maliyetli koruma sağla. Hizmetin destekleyip desteklemediğini kontrol etmek, yedek planı oluşturmak ve kurtarma kodlarını güvenli bir yerde saklamak her iki yöntemde de ortak olarak yapılması gerekenlerdir.
Sıkça Sorulan Sorular
FIDO2 her sitede çalışır mı?
Hayır; FIDO2 desteği giderek yaygınlaşıyor ama hâlâ tüm hizmetlerde desteklenmiyor. Hizmetin WebAuthn/FIDO2 desteği olup olmadığını hesap güvenlik ayarlarından kontrol etmelisin.
TOTP daha mı güvensiz, hemen bırakmalı mıyım?
TOTP, doğru kullanıldığında iyi bir güvenlik katmanıdır; ancak phishing, cihaz kaybı veya SIM takası gibi durumlara karşı daha savunmasız olabilir. Önemli hesaplar için FIDO2 veya ek güvenlik önlemleri düşünmelisin.
Hangi FIDO2 anahtarını almalıyım?
FIDO2 anahtarı alırken U2F/WebAuthn uyumluluğu, fiziksel bağlantı tipi (USB-A, USB-C, NFC, Bluetooth), üretici desteği ve PIN/biometrik özelliklerine bak. Taşınabilirlik ve çalıştırmak istediğin cihazlarla uyumluluk en önemli kriterlerdir.
TOTP için hangi uygulama daha iyi?
Google Authenticator, Microsoft Authenticator, Authy gibi uygulamalar yaygın. Authy gibi bazı uygulamalar cihazlar arası senkronizasyon ve bulut yedekleme sunar; bu özellikler kurtarma açısından avantaj sağlayabilir. Ancak bulut yedekleme tercihleri gizlilik kararları getirir.
Parolasız giriş tamamen şifreleri ortadan kaldırır mı?
FIDO2 tabanlı parolasız girişler birçok durumda parola ihtiyacını azaltır ama her senaryoda tamamen ortadan kaldırılmayabilir. Hizmet sağlayıcıların uygulama şekline bağlı olarak bazı hesaplarda parola yedek veya kurtarma seçenekleri kalabilir.
