2FA Gizli Anahtarı (Secret Key) Nedir? Base32, TOTP ve otpauth URI Açıklaması

2FA gizli anahtarı (secret key), doğrulayıcı uygulamanın girişte yazdığınız altı haneli koda dönüştürdüğü kısa harf ve rakam dizisidir. Sipariş teslimatınızda böyle bir alan varsa, şifreden sonra satırın en önemli alanıdır; yine de alıcıların en sık yanlış yazdığı veya başka bir şeyle karıştırdığı alan da odur. Bu rehber dizenin ne olduğunu, Base32'nin nasıl göründüğünü ve gizli anahtarın yedek kodlardan ve QR içeriğinden nasıl ayrıldığını anlatır.

Ayrıca teslimat satırında gizli anahtarı nasıl bulacağınızı ve çalıştığını saniyeler içinde nasıl doğrulayacağınızı öğrenirsiniz; böylece dosyanızdaki herhangi bir dizenin gizli anahtar mı, yedek kod mu yoksa başka bir şey mi olduğunu ayırt edebilirsiniz.

2FA gizli anahtarı nedir ve altı haneli kodları nasıl üretir

Zamana dayalı tek kullanımlık parolalar (TOTP, RFC 6238'de tanımlıdır) iki bileşenden oluşur: ortak bir gizli anahtar ve geçerli saat. 2FA kurulurken platform gizli anahtarı üretir ve bir kopyasını saklar; diğer kopya doğrulayıcı uygulamanızdadır. Her 30 saniyede iki taraf da gizli anahtar ve saat üzerinde aynı hesabı yapar ve aynı altı haneye ulaşır.

Bunun üç pratik sonucu var:

• Gizli anahtar, hesabın ikinci anahtarıdır. Onu elinde bulunduran herkes, o 2FA kurulumu aktif kaldığı sürece herhangi bir cihazdan geçerli kod üretebilir.
• Kodlar hiçbir yerde saklanmaz. Her kod 30 saniyede bir yeniden hesaplanır; eski bir kodun ekran görüntüsü işe yaramaz.
• Saat önemlidir. Kodu üreten cihazın saati gerçek zamandan bir dakika veya daha fazla sapmışsa, doğru gizli anahtar bile reddedilen kodlar üretir.

Base32: karakterler nasıl görünür ve sık yapılan yazım hataları

Gizli anahtarlar Base32 ile yazılır; bu alfabe A'dan Z'ye 26 büyük harften ve 2'den 7'ye rakamlardan oluşur. Alfabenin tamamı bu kadardır. 0, 1, 8 ve 9 rakamları hiç geçmez, noktalama da geçmez. Açıklayıcı bir örnek (gerçek hesap anahtarı değildir) şöyledir: JBSWY3DPEHPK3PXP. Gerçek anahtarlar çoğunlukla 16 ile 32 karakter uzunluğundadır.

Yalnızca 32 karakter geçerli olduğundan çoğu yazım hatasını yakalamak kolaydır:

• Anahtarın ortasında 0, 1 veya 8 bir karakterin yanlış okunduğunu gösterir. 0 genellikle O harfi, 1 genellikle I veya L harfi, 8 ise genellikle B harfidir.
• Küçük harfler genellikle sorun değildir; çoğu uygulama bunları büyük harfe çevirir.
• Sonda bir veya birkaç "=" işareti dolgudur (padding). Birçok uygulama anahtarı bunlarla da, bunlar olmadan da kabul eder.
• Görünmeyen fazlalıklar, örneğin metin dosyasından kopyalanan sondaki boşluk veya satır sonu, "geçersiz anahtar" uyarılarının sık nedenidir.

otpauth URI, QR kodu ve düz metin anahtar

Aynı gizli anahtar size üç biçimde ulaşabilir ve bunları karıştırmak büyük kafa karışıklığı yaratır:

• Düz metin anahtar. Tek başına Base32 dizesi. Doğrulayıcı uygulamalar buna kurulum anahtarı (setup key) veya elle giriş anahtarı der.
• QR kodu. Anahtarı elle yazmanız yerine telefonun taramasını sağlamak için bir otpauth URI'sini kodlayan görsel.
• otpauth URI. Şuna benzeyen bir metin satırı: otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example. secret= sonrasındaki değer Base32 anahtardır. Geri kalan kısımlar etiket ile issuer, algorithm, digits ve period gibi ayarlardır.

Elinizde yalnızca bir QR görseli veya otpauth bağlantısı varsa gizli anahtar, secret= sonrasındaki ve bir sonraki & işaretine kadar olan metindir. Standart kurulumlar SHA-1, altı hane ve 30 saniyelik süre kullanır; yalnızca gizli anahtarı yazdığınızda uygulama bu varsayılanları kabul eder. QR kodunu taramak veya tam URI'yi içe aktarmak, içindeki varsayılan dışı ayarları da uygular.

2FA gizli anahtarı, yedek kodlar ve kurtarma e-postası

Bu üç öğe aynı hesabı korur ama tamamen farklı işler yapar:

• 2FA gizli anahtarı. Her 30 saniyede yeni bir kod üreten, uzun ömürlü Base32 dizesi. Yalnızca 2FA sıfırlandığında veya yeniden kurulduğunda değişir.
• Yedek kodlar. Doğrulayıcı uygulamanıza ulaşamadığınız gün için platformun sunabileceği tek kullanımlık kodlar. Her biri bir kez çalışır. Base32 gizli anahtar değildir; bu yüzden doğrulayıcı uygulama veya TOTP aracı bunları kullanamaz.
• Kurtarma e-postası. Bir kod değil, bir gelen kutusu. Giriş onaylarını ve sıfırlama bağlantılarını alır. Teslimat satırında bir e-posta adresi olarak görünür ve çoğunlukla ardından o posta kutusunun kendi şifresi gelir.

Gizli anahtar günlük kodlarınızı üretir, yedek kodlar yedek lastiktir, kurtarma e-postası ise başka bir şey bozulduğunda içeri girmenin yoludur. Kayıtlarınızda bunları ayrı ayrı etiketleyin.

Teslimat satırında gizli anahtarı bulma ve test etme

Teslimatlar, username:password:email:email_password:auth_token gibi satırlardan oluşan bir TXT dosyası olarak gelir; alanlar kategoriye göre değişir. Bir kategori 2FA anahtarı içeriyorsa, bu satırda bir alan daha olarak yer alır. Konumları körlemesine saymayın: kategori açıklamasını okuyun, sonra dosyanızın ilk satırıyla karşılaştırın.

Alanları şekillerinden de tanıyabilirsiniz:

• Gizli anahtar 16 veya daha fazla karakterdir; büyük harflerden ve 2-7 arası rakamlardan oluşur, noktalama içermez.
• auth_token uzun bir onaltılık (hexadecimal) dizedir. Bir oturum belirtecidir, kod üretici değildir ve gizli anahtarın yerini tutamaz. Bu iş akışı için auth token ile Twitter'a giriş yazısına bakın.
• Şifreler iki nokta üst üste içerebilir; bu yüzden satırı ":" ile gelişigüzel bölmek bazen satırı bozar.

Her satırın aynı düzende olduğunu kontrol etmek için bir örneği biçim tanımlama aracına yapıştırın. Gizli anahtarların bulunduğu sütunu ayıklamak için ayırıcıya göre bölme aracını kullanın.

Sonra gizli anahtarı saniyeler içinde test edin. Ücretsiz 2FA kod üretici aracını açın, gizli anahtarı yapıştırın; geri sayımla birlikte altı haneli bir kod görünür. Araç geçersiz gizli anahtar bildirirse yukarıdaki yazım hataları listesine dönün. Kod görünüyor ama giriş reddediyorsa cihaz saatinizi kontrol edin ve 2FA kodu çalışmadığında ne yapmalı yazısını izleyin.

Çok sayıda hesap yönetirken gizli anahtarları güvenle saklama

Teslimat satırı çoğunlukla şifreyi ve 2FA gizli anahtarını bir arada taşır; dosyayı açan herkes iki faktöre de sahip olur. Her alanı ayrı ayrı değil, dosyayı bütün olarak koruyun:

• Dosyayı erişimi kısıtlı tek bir özel klasörde tutun; sohbet uygulamalarından, paylaşılan belgelerden ve ekran görüntülerinden kaçının.
• Her gizli anahtarı teslimattan kısa süre sonra test edin ve tarihi hesabın yanına not edin; sorun erken ortaya çıksın.
• Her dizenin ne olduğunu etiketleyin; tek kullanımlık bir yedek kod hiçbir zaman doğrulayıcı uygulamaya girmesin.
• Kopyaları sayın. Aynı gizli anahtarı ikinci bir doğrulayıcı uygulamaya yüklemek makul bir yedektir, ancak her kopya sızabileceği bir yer daha demektir.

Daha geniş bir plan için iki adımlı doğrulama ve kurtarma planlaması yazısını, ilan sözlüğü için ise hesap sözlüğünü okuyun. Telefon Onaylı Eski Hesaplar gibi kategorileri karşılaştırırken teslimat dosyasının neler içerdiğini görmek için açıklamayı okuyun. Bir 2FA anahtarına güveniyorsanız, sipariş vermeden önce bunu doğrulayın veya Telegram'da destekle iletişime geçin.

Sıkça sorulan sorular

2FA gizli anahtarı neye benzer?

A'dan Z'ye büyük harflerden ve 2-7 arası rakamlardan oluşan, genellikle 16-32 karakter uzunluğunda bir dizedir; dokümantasyon örneklerinde olduğu gibi JBSWY3DPEHPK3PXP. Bazı platformlar bunu boşluk veya tire ile ayrılmış gruplar halinde gösterir.

2FA gizli anahtarı yedek kodla aynı şey mi?

Hayır. Gizli anahtar, o 2FA kurulumu aktif kaldığı sürece her 30 saniyede yeni bir kod üretir. Yedek kod ise yalnızca bir kez çalışan tek kullanımlık koddur ve doğrulayıcı uygulamada kullanılamaz.

QR kodunu gizli anahtara çevirebilir miyim?

Evet. Kurulum QR kodu bir otpauth URI'sini kodlar ve gizli anahtar, o metindeki secret= sonrasındaki değerdir. Bu metni gizli tutun; anahtarın kendisi kadar hassastır.

Bazı gizli anahtarlarda neden boşluk veya tire var?

Boşluklar yalnızca okunabilirlik içindir, çoğunlukla dörder karakterlik gruplar halindedir. Bir uygulama anahtarı reddederse boşlukları ve tireleri silin; ücretsiz 2FA kod üretici bunları olduğu gibi kabul eder.

Aynı gizli anahtar iki uygulamada aynı anda kullanılabilir mi?

Evet. Aynı gizli anahtara sahip ve saati doğru olan her uygulama veya cihaz aynı kodu gösterir. Yedek olarak işe yarar, ancak her kopya gizli anahtarın açığa çıkabileceği bir yer daha demektir.