Telefon kayboldu, hesap kilitlendi: şimdi gerçekten yardımcı olacak şeyler

Telefonunuz kayboldu. Çalındı mı, göle mi düştü, fark etmez. Google hesabınızın şifresini hâlâ biliyorsunuz, ancak Google artık ikinci faktörlü kimlik doğrulama istiyor ve bu bilgi artık elinizde olmayan telefonda saklanıyordu.

Bu, bir öğleden sonranızı mı yoksa hesabınızı mı kaybedeceğinize karar verecek an. Asıl karar çok daha önce, iki faktörlü oturum açma özelliğini etkinleştirdiğiniz gün verilmişti.

Google, Apple ve Microsoft’taki kurtarma prosedürlerini, ardından da 1Password, Bitwarden ve Dashlane’deki prosedürleri inceledik. Altısının da sonucu aynı: Olay gerçekleştikten sonra hiçbir şey ayarlanamaz. Her türlü geri dönüş yolu, ihtiyacınız doğmadan önce hazırlanmış olmalıdır.

Güvenlik anahtarları hakkındaki yazımızda, arka arkaya sekiz yanlış giriş, cihazdaki tüm kayıtları siler. Bu sefer kaybolan bir donanım parçası değil. Kaybolan şey, gelen kutunuzdur.

Sağlayıcıların gerçekte ne istediği

Kolay yol, üç büyük sağlayıcıda da aynıdır: hala oturum açılmış durumda olan ikinci bir cihaz. Bu yoksa, seçenekler hızla azalır.

Google, oturum açılmış başka bir telefon, ikinci bir kayıtlı numara, yedek kod, güvenlik anahtarı veya başka bir cihazdan alınan geçiş anahtarını kabul eder. Yedek kodlar, insanların hafife aldığı bir konudur. Her biri sekiz basamaklı on adet kod vardır ve her biri tek kullanımlıktır. Yeni bir set oluşturduğunuzda eskisi anında geçersiz hale gelir.

Apple, iPhone şifrenizi tam bir kurtarma faktörü olarak değerlendirir. Bu şifre, “Apple Hesabı şifrenizi sıfırlamak ve hesabınıza erişiminizi kaybettiğinizde uçtan uca şifrelenmiş verilerinizi kurtarmak için de kullanılır”. Telefonunuzun kilidini açmak için dokunduğunuz bu numara, kilit ekranını korumaktan çok daha fazlasını yapar.

Microsoft ise hiçbir kod grubu vermez. Tam olarak tek bir 25 basamaklı kurtarma kodu alırsınız ve daha sonra bu koda geri dönemezsiniz: “Mevcut bir Microsoft hesabı kurtarma kodunu geri alamaz veya indiremezsiniz.”

Asıl sorun bekleme süresidir

İkinci faktörü kaybederseniz, hesap kurtarma sürecine girersiniz. Bu zaman alır ve bu kasıtlıdır.

Google bu süreyi şöyle belirtir: “Google’ın sizin olduğunuzdan emin olması 3-5 iş günü sürebilir”. Son dakikada yeni bir telefon numarası eklemenin bir faydası yoktur, çünkü “bu değişikliklerin yürürlüğe girmesi 7 güne kadar sürebilir”.

Google’ın en yeni güvenlik önlemi de aynı tuzağı barındırıyor. Kurtarma kişileri, güvendiğiniz en fazla on kişinin kimliğinizi doğrulamasına olanak tanır. Kişinin kabul etmesi için yedi günü vardır ve bu kişinin kullanılabilmesi için bir hafta daha geçmesi gerekir. İhtiyacınız olduğu anda kapı kapanmış olur: “Hesabınıza erişemediğinizde veya hesap kurtarma sürecindeyken kurtarma kişisi ekleyemezsiniz.”

Apple herhangi bir süre belirtmez, sadece “birkaç gün veya daha uzun” der ve bariz takip sorusuna kendisi cevap verir. “Bekleme süresi kısaltılabilir mi? Hayır.”

Microsoft ise bu konuda bir istisna oluşturuyor. İki faktörlü oturum açma devre dışı bırakılmışsa, kurtarma formu 24 saat içinde geri geliyor. Hesaptaki tüm güvenlik bilgilerini değiştirirseniz, Microsoft hesabı 30 gün boyunca kilitler.

Neredeyse hiç kimsenin bilmediği üç tuzak

Microsoft’un 30 günlük süresi, yalnızca az önce kaybettiğiniz şeyle kısaltılabilir. Yardım sayfasında şöyle yazıyor: “Talebi iptal etmediğiniz sürece 30 günlük süreci hızlandıramayız.” İptal etmek için ise: “İptal talebini tamamlamak için bu güvenlik kanıtlarına erişiminiz olması gerekir.” İki faktörlü oturum açma etkinse ve kayıtlı alternatiflerden hiçbiri size ulaşmıyorsa, Microsoft size bir destek belgesinde nadiren gördüğünüz bir cümle sunar: “Size yardımcı olamayız, üzgünüz.”

Apple, hesabı kullandığınız anda devam eden kurtarma işlemini durdurur. Ne bir uyarı, ne de bir mesaj: “Talebiniz sırasında Apple Hesabınız kullanımda ise, hesap kurtarma işleminiz otomatik olarak iptal edilir.” Oturma odasında duran ve hala oturum açılmış durumda olan bir iPad bile yeterlidir. Kullanmaya devam edebileceğiniz tek cihaz, talebi başlattığınız cihazdır.

Authenticator yedeklemesi, tam da kapsamasını beklediğiniz tek hesapta başarısız olur. Şifresiz Microsoft hesapları için yedekleme, hesap adını içerir, başka hiçbir şeyi içermez: “Bu durumda yalnızca hesap adı yedeklenir. Geri yüklediğinizde, yeniden oturum açmanız gerekecektir.” Bunun da ötesinde bir platform engeli vardır: “iOS cihazı kullanılarak yedeklenen hesaplar, Android cihazda geri yüklenemez.” iPhone’dan Android’e geçerseniz yedek hiçbir işe yaramaz.

Şifre yöneticileriyle iş gerçekten bitti

Yeterli kanıt sunabildiğiniz sürece, Google ve Apple eninde sonunda hesabınıza tekrar erişmenize izin verecektir. Şifre yöneticilerinde ise böyle bir yetki yoktur. Aile ve ekip planları istisnadır; bu planlarda bir organizatör veya yönetici şifrenizi sıfırlayabilir. Kendi hesabınızın ücretini öderseniz, üstünüzde kimse olmaz.

Bitwarden bunu açıkça ifade eder: “Bitwarden çalışanları ve sistemleri, ana şifreniz hakkında hiçbir bilgiye sahip değildir; bu şifreyi geri getiremez veya sıfırlayamaz.” İkinci faktörün kaybedilmesi durumunda: “Bitwarden’ın hesabı veya verilerini kurtarmanın hiçbir yolu yoktur. Hesabınızı silip yeni bir tane oluşturmanız gerekecektir.” Sizi kurtaracak kurtarma kodu, ayarlarda, ana şifre sorusunun arkasında yer alır. Bu kod, yalnızca önceden not almış olan kişiye yardımcı olur.

1Password ise yaygın bir yanlış anlaşılmaya değiniyor. 34 karakterlik Gizli Anahtar, acil durum kodu gibi görünse de öyle değildir: “Gizli Anahtarınız bir yedekleme kodu değildir. 1Password hesap şifrenizi unutursanız, bu anahtarla oturum açamazsınız.” 2024 yılından beri gerçek bir kurtarma kodu mevcuttur. Bu kod birden fazla kez kullanılabilir, ancak yalnızca kayıtlı e-posta hesabınıza hâlâ erişebiliyorsanız işe yarar.

Dashlane, üçü arasında ikinci faktör kaybolduğunda size yeni kodları SMS ile gönderen tek uygulamadır. Ana şifreyi de sıfırlamaz. Bunun yerine, bir kurtarma anahtarı ve Android ile iPhone’da biyometrik kurtarma özelliği sunar.

Bugün yapmanız gerekenler

Yedek kodlarınızı yazdırın. Bunların fotoğrafını çekmeyin ve korumaya çalıştığınız şifre yöneticisine kaydetmeyin. Apple, kurtarma anahtarı için bunu açıkça belirtir: Şifreler uygulamasına veya iCloud Drive'a kaydetmeyin, çünkü "Apple Hesabınıza erişiminizi kaybederseniz, bu uygulamaları açıp anahtarı bulamazsınız".

İkinci bir cihazda ikinci bir doğrulama faktörü ayarlayın. Bir tablet, eski bir yedek anahtar, iş bilgisayarınızdaki bir kimlik doğrulayıcı olabilir. Tek doğrulama faktörünü tek bir telefonda taşımak, diğer tüm sorunların kaynağı olan bir hatadır ve bu, bir hesabı nasıl düzgün bir şekilde güvence altına alacağını soran kişilere ilk söylediğimiz şeydir.

Güvenilir kişilerinizi şimdi ekleyin. Google on kurtarma kişisine izin verirken, Apple beş kişiye izin verir. Her ikisi de hazırlık süresi gerektirir ve Google’da bu, iki kez yedi gün anlamına gelir.

Kurtarma anahtarı konusunda iki kez düşünün. Apple’da bunu etkinleştirdiğinizde normal süreç devre dışı kalır. Bundan sonra anahtarı ve cihazlarınızı kaybederseniz, “hesabınıza kalıcı olarak erişemez hale gelirsiniz.”