İki faktörlü kimlik doğrulama (2FA) artık isteğe bağlı bir lüks değil; temel bir dijital hijyendir. Yine de kullanıcılar kritik ikilemlerle karşı karşıyadır: Bulut senkronizasyonu izlenmeyen bir arka kapı mı yaratıyor? iPhone'dan Android'e geçerseniz belirteçlerinizi taşıyabilir misiniz? Kapalı kaynaklı ticari uygulamalar telemetri verisi topluyor mu? 2FA'yı bir parola yöneticisiyle birleştirmek çok faktörlü savunma kavramını yok eder mi?
Twilio Authy'nin masaüstü uygulamalarını sonlandırması ve yüksek profilli API sızıntıları yaşamasıyla birlikte, kimlik doğrulayıcı ekosistemi 2026'da kökten sıfırlandı. Bu kapsamlı analiz, önde gelen beş uygulamayı—Aegis, 2FAS, Bitwarden, Google Authenticator ve Microsoft Authenticator—kriptografik temelleri, yedekleme ergonomisi ve tehdit direnci açısından stres testine tabi tutarak değerlendirmektedir.
01. 2026'da Authy Sonrası Dönem: Çıkarılan Dersler
Yaklaşık on yıl boyunca Twilio Authy, çoklu cihaz senkronizasyonu sayesinde genel kullanıcılar için varsayılan tavsiye oldu. Ancak Authy'nin izlediği yol, siber güvenlik camiasına üç ciddi ders verdi:
- Mülkiyetçi Kilitlenme Tuzağı (Proprietary Lock-in Trap): Authy, kullanıcıların ham Base32 gizli anahtarlarını veya JSON kasalarını dışa aktarmasını kasıtlı olarak engelleyerek milyonlarca insanı kapalı bir ekosisteme hapsetti;
- Ani Masaüstü Desteğinin Kesilmesi: 2024 yılında Twilio, Windows ve macOS için Authy desteğini resmi olarak sonlandırarak masaüstü odaklı çalışanları zor durumda bıraktı;
- Merkezi Bulut Zafiyeti: Twilio'nun altyapısına yönelik çok sayıda ihlal telefon numaralarını ve belirteç meta verilerini açığa çıkararak merkezi sunucu tarafı senkronizasyonunun siber saldırılar için bir çekim merkezi olduğunu kanıtladı.
02. 5 Ağır Siklet Adaya Genel Bakış
Android gizliliği ve güvenliğinde altın standart. Sıfır telemetri ile tamamen ağ bağlantısız (air-gapped) çalışır; sağlam AES-256-GCM kasa şifrelemesi ve otomatik Android Storage Access Framework (SAF) yedeklemeleri sunar.
iOS ve Android için yükselen açık kaynaklı şampiyon. Zorunlu kullanıcı hesabı gerektirmez, istemci tarafında uçtan uca şifreli bulut yedeklemeleri (iCloud ve Google Drive) ve kusursuz masaüstü tarayıcı uzantıları sağlar.
Entegre parola ve TOTP kasası. Vaultwarden aracılığıyla tam kendi kendine barındırma (self-hosting) desteğiyle, tüm masaüstü ve mobil platformlarda anında tek tıkla otomatik doldurma sağlar.
Her yerde bulunan orijinal uygulama. Artık Google Hesabı bulut senkronizasyonuna ve sade bir kullanıcı arayüzüne sahip; ancak gelişmiş kategorilendirme, biyometrik ana kilitler ve açık kaynak denetiminden yoksundur.
Kurumsal Microsoft 365 / Entra ID altyapısı için vazgeçilmezdir. MFA yorgunluğu saldırılarını durdurmak için sayı eşleştirme ile Microsoft Entra ID'ye (Azure AD) derinlemesine entegre edilmiştir, ancak platformlar arası izole yedeklemelerden muzdariptir.
03. Ana 12 Boyutlu Karşılaştırma Matrisi
Araştırma laboratuvarımız beş adayı on iki teknik ve operasyonel kriter üzerinden denetledi:
| Değerlendirme Boyutu | Aegis | 2FAS | Bitwarden | Microsoft | |
|---|---|---|---|---|---|
| Yazılım Lisansı | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | GPL-3.0 (FOSS) | Kapalı Kaynak Mülk | Kapalı Kaynak Mülk |
| Platform Kullanılabilirliği | Yalnızca Android | iOS / Android / Uzantılar | Evrensel (Web/Masaüstü/Mobil) | iOS / Android / WearOS | iOS / Android / Apple Watch |
| Bulut Senkronizasyon Mimarisi | Yok (%100 Çevrimdışı) | iCloud/GDrive üzerinden E2EE | Sıfır Bilgi Bulut Senkronizasyonu | Google Hesabı Senkronizasyonu | MS Hesabı Bulut Yedeklemesi |
| Yerel Şifreli Dışa Aktarma | AES-GCM / JSON Tam Dışa Aktarım | Yerel Şifreli .2fas | Şifreli JSON Dışa Aktarım | Yalnızca Aktarım QR Kodu | Yok (Tamamen Kilitli) |
| Biyometrik Ana Kilit | Biyometrik + Kasa Parolası | Face ID / Parmak İzi / PIN | Biyometrik + Ana Anahtar | Yalnızca Sistem Kilit Ekranı | Yalnızca Cihaz Kilit Ekranı |
| Ekran Görüntüsü Koruması | Zorunlu (FLAG_SECURE) | Varsayılan Olarak Zorunlu | Yapılandırılabilir Açma/Kapama | Destekleniyor | Destekleniyor |
| Masaüstü Entegrasyonu | Yok (Manuel Yazma) | Tarayıcı Uzantısı Bildirimi | Anında Tarayıcı Otomatik Doldurma | Telefondan Manuel Giriş | Telefondan Manuel Giriş |
| Taşıma Kolaylığı (Portabilite) | Zahmetsiz (Evrensel JSON) | Zahmetsiz (Tümünü içe aktarır) | Yüksek (Standart JSON) | Orta (QR ayrıştırma) | Düşmanca (Sıfır Platformlar Arası) |
| Fiyatlandırma / Gelir Modeli | Sonsuza Dek %100 Ücretsiz | Sonsuza Dek %100 Ücretsiz | Ücretsiz Temel; TOTP \$10/yıl | Ücretsiz | Ücretsiz |
04. Derinlemesine Uygulama İncelemeleri ve Mimari
1. Aegis Authenticator: Bağımsız Android Güvenlik Kalesi
Aegis, kriptografik mimarisi kusursuz olduğu için güvenlik araştırmacıları tarafından takdirle karşılanmaktadır. Kasa anahtarı, Argon2id (Parola Özetleme Yarışmasını kazanan bellek açısından zorlu algoritma) kullanılarak türetilir ve GCM modunda AES-256 ile şifrelenir. Bir saldırgan fiziksel çıkarma yoluyla cihaz depolama alanınızın bir kopyasını ele geçirse bile, kasa şifresini kaba kuvvetle (brute-force) kırmak hesaplama açısından imkansızdır.
• Android Manifest dosyasında sıfır internet izni istenir;
• Özel depolamaya/Nextcloud'a otomatik tekrarlanan şifreli yedeklemeler;
• Zengin simge paketleri, özel etiketler ve belirteç arama.
• Android'e özeldir (iOS veya masaüstü istemcisi yoktur);
• Bulut yedekleme konumları için manuel sorumluluk gerektirir.
2. 2FAS Authenticator: Evrensel Platformlar Arası Kriter
2FAS, ödün vermez güvenlik ile genel kullanıcı kolaylığı arasındaki boşluğu doldurur. Uygulama hiçbir kullanıcı hesabı veya telefon numarası kaydı gerektirmez. Bulut yedeklemeleri yerel iCloud veya Google Drive kapsayıcılarından yararlanır ve cihazınızdan çıkmadan önce istemci tarafında bir ana parola ile şifrelenir.
• iOS ve Android genelinde tutarlı, şık yerel kullanıcı arayüzü;
• Yenilikçi 2FAS Tarayıcı Uzantısı: masaüstü web sitelerinde belirteç otomatik doldurmasını onaylaması için telefonunuza bildirim gönderir;
• Google, Authy ve Aegis'ten kapsamlı içe aktarma seçenekleri.
• Bulut senkronizasyonu işletim sistemine özgü alanlarda çalışır (manuel dosya dışa aktarımı olmadan bir iPhone ile Android cihaz arasında doğrudan canlı senkronizasyon yoktur).
3. Bitwarden (Premium): Zirve İş Akışı Verimliliği ve MFA Tartışması
Bitwarden'ın yerleşik TOTP motoru, kullanıcı ergonomisinin zirvesidir. Bir web sitesinde kimlik bilgilerinizi gönderdiğinizde, Bitwarden aktif 6 haneli TOTP kodunu otomatik olarak panonuza kopyalar veya form gönderimi sırasında doğrudan 2FA giriş kutusunu doldurur.
İlk faktörünüzü (parola) ve ikinci faktörünüzü (TOTP tohumu) aynı veritabanında saklamak, klasik faktörlerin ayrılması (Separation of Factors) ilkesini ihlal eder. Ana kasa parolanız bir donanım anahtarı engeli olmadan tehlikeye girerse, bir saldırgan tek hamlede her iki faktörü de ele geçirir. Pratik Çözüm: Bitwarden kasanızı fiziksel bir FIDO2 YubiKey ile koruyun.
4. Google Authenticator: Her Yerde Bulunan Dev
Google Authenticator'a Google Hesabı bulut senkronizasyonunun eklenmesi, bir telefon kaybolduğunda yaşanan toplam veri kaybı sorununu ortadan kaldırdı. Bununla birlikte, kapalı kaynaklı tescilli bir yazılım olmaya devam etmektedir. Dahası, birincil Google Hesabınız askıya alınırsa, ele geçirilirse veya kilitlenirse, TOTP kodlarınıza yeniden erişim sağlamak zorlu bir çileye dönüşür.
5. Microsoft Authenticator: Platform Duvarlarına Sahip Kurumsal Kale
Kurumsal Microsoft 365 / Entra ID ortamlarında Microsoft Authenticator vazgeçilmezdir. "Sayı Eşleştirme" (Number Matching) istemi, kullanıcıların oturum açma ekranında görüntülenen iki haneli kodu telefonlarına girmesini gerektirerek MFA yorgunluğu saldırılarını başarıyla etkisiz hale getirir. Ancak tüketici yedekleme mimarisi sorunludur: iOS yedeklemeleri kişisel iCloud'a giderken, Android yedeklemeleri kişisel Microsoft hesaplarına gider. Bir iOS yedeklemesini Android cihaza veya tam tersi şekilde geri yükleyemezsiniz!
05. Kullanıcı Profilleri ve Özel Kararlar
Seçiminiz: Aegis Authenticator. Eşsiz kriptografik güvenlik, sıfır internet bağlantısı, açık kaynak şeffaflığı ve otomatik yerel yedeklemeler.
Seçiminiz: 2FAS Authenticator. Modern açık kaynaklı tasarım, kusursuz masaüstü tarayıcı eklentisi ve özel istemci tarafında şifrelenmiş bulut yedeklemeleri.
Seçiminiz: Bitwarden (Premium). Yıllık \$10 karşılığında, tüm tarayıcılarda evrensel otomatik doldurmanın ve paylaşılan kuruluş koleksiyonlarının kilidini açarsınız.
Seçiminiz: Microsoft Authenticator (Yalnızca İş Hesapları). Şirket girişleri için zorunludur; ancak kişisel bankacılık ve kripto belirteçlerinizi 2FAS veya Aegis'te tutun.
05.1 Giyilebilir Cihazlar ve Tehdit Modellemesi: Apple Watch vs Wear OS
Mobil profesyoneller için akıllı saatler üzerinden bilek tabanlı kimlik doğrulama, önemli bir yaşam kalitesi iyileştirmesini temsil eder. Bununla birlikte, bir akıllı saatte değişken TOTP belirteçlerini görüntülemek veya anlık bildirimleri kabul etmek operasyonel tehdit yüzeyinizi değiştirir:
Apple, bilek algılama biyometrisini zorunlu kılar: bileğinizden çıkarıldığı anda saat hemen bir PIN koduyla kilitlenir. iPhone Secure Enclave ile şifreli Bluetooth LE üzerinden iletişim kuran 2FAS ve Microsoft Authenticator gibi uygulamalar hızlı tek dokunuşla onaylara izin verir. Yoğun toplu taşıma alanlarında tehdit unsuru "omuz gözetlemesi" (shoulder surfing) riskidir; çünkü 6 haneli kod veya sayı istemi gölgesiz bir ekranda belirgin şekilde görüntülenir.
Wear OS cihazları kutucuk pencere bileşenlerini doğrudan Google Play Services ile senkronize eder. Günlük oturum açma işlemleri için kullanışlı olsa da, saatin kilidi açık olduğu sürece belirteçlere erişilebilir kalır. Yüksek güvenlikli sınıflandırılmış ortamlarda çalışıyorsanız veya kripto hazine operasyonlarını yönetiyorsanız, en iyi uygulama fiziksel yakınlık gözetlemesini önlemek için giyilebilir senkronizasyonunu devre dışı bırakmaktır.
NIST SP 800-63B standartları kapsamında, yazılım tabanlı TOTP uygulamaları (Aegis ve 2FAS gibi), cihaz biyometrik kilitleri veya ana parolalarla korunduğunda Kimlik Doğrulayıcı Güvence Seviyesi 2 (AAL2) gereksinimlerini karşılar. SOC 2 Tip II veya ISO 27001 kapsamında denetim yapan kuruluşlar için Bitwarden veya 2FAS'ın benimsenmesi, operatör bağımlılıkları oluşturmadan uyumluluk denetçilerini tatmin eden denetlenebilir şifreleme anahtarı türetmeleri sağlar.
06. 3-2-1 2FA Yedekleme ve Taşıma Rehberi
Hangi uygulamayı seçerseniz seçin, felaket kurtarma planınız donanım arızasına, hırsızlığa ve hesap kilitlenmelerine karşı dayanıklı olmalıdır. 2FA yaşam döngünüze 3-2-1 yedekleme kuralını uygulayın:
Birincil telefonunuzda canlı belirteç veritabanı, bir şifreli dışa aktarma dosyası ve bir çevrimdışı ikincil yedekleme.
Bir dijital şifreli dosya (VeraCrypt USB sürücüsünde veya E2EE bulutunda) ve bir fiziksel ortam (kağıt kayıt defteri veya çelik plaka).
El yazısıyla yazılmış ana acil durum kurtarma kodlarınızı yangına dayanıklı bir kilitli kutuda veya güvenli bir banka kasasında saklayın.
07. Sıkça Sorulan Sorular (SSS)
S1: Bazı 2FA uygulamaları Android'de ekran görüntülerini neden engelliyor? ▼
Aegis gibi uygulamalar Android işletim sisteminin FLAG_SECURE özniteliğini zorunlu kılar. Bu, gizli anahtarlarınız veya kodlarınız görüntülenirken zararlı kötü amaçlı yazılımların, arka plan casus yazılımlarının ve kötü niyetli erişilebilirlik hizmetlerinin ekran görüntüsü almasını veya ekranınızı kaydetmesini engeller.
S2: Kimlik doğrulayıcı uygulamaların kod üretmek için hücresel veriye veya Wi-Fi'ye ihtiyacı var mı? ▼
Hayır. RFC 6238 TOTP kodları kesinlikle yerel işlemci döngüleri kullanılarak cihaz üzerinde hesaplanır. Tek girdiler cihazınızın saat zaman damgası ve Base32 paylaşılan gizli anahtarıdır. Kimlik doğrulayıcı uygulamalar bir SIM kart olmadan Uçak Modunda mükemmel şekilde çalışır.
S3: Aynı 2FA QR kodunu iki farklı telefona taratabilir miyim? ▼
Evet! Bir hizmet 2FA QR kodu görüntülediğinde, hem birincil telefonunuzda hem de ikincil yedek telefonunuzda eşzamanlı olarak tarayın. Her iki cihaz da senkronize olarak tam olarak aynı 6 haneli kodları üretecek ve anında donanım yük devretmesi sağlayacaktır.
S4: Hesaplarımı Google Authenticator'dan 2FAS veya Aegis'e nasıl aktarırım? ▼
Google Authenticator'da menüye dokunun ve "Hesapları aktar" -> "Hesapları dışa aktar" seçeneğini belirleyin. Google bir dışa aktarma QR kodu oluşturur. 2FAS veya Aegis'te "İçe Aktar" -> "Google Authenticator"ı seçin ve saniyeler içinde tüm hesaplarınızı aktarmak için bu QR kodunu tarayın.
Doğrudan Tarayıcınızda 2FA Kodları Oluşturun ve Doğrulayın
Bir uygulama yüklemeden bir kimlik doğrulama belirtecini hızlıca hesaplamanız veya gizli tohum doğruluğunu onaylamanız mı gerekiyor? 2FA-Tool, RFC 6238 algoritmasını doğrudan tarayıcı belleğinizde çalıştırır.