Categories: MagicBJ Giriş

MagicBJ portal hesabını açmadan önce: şifre yöneticisi ve iki adımlı doğrulama

Kayıt formunu açmadan önce on dakika ayırırsanız, hesabınızın en zayıf iki noktasını kapatmış olursunuz: tekrar kullanılan şifre ve korumasız e-posta. Aşağıdaki yedi adım, MagicBJ topluluk portalına ya da başka herhangi bir siteye kayıttan önce yapılabilecek hazırlığı sırasıyla anlatıyor. Burada sponsor sitedeki üyelikten değil, portaldaki topluluk hesabından söz ediyoruz; formun alanları da ayrı bir yazının konusu.

Sıralama bilerek böyle. En çok işe yarayan adım en başta, en çok vakit alan en sonda.

1. Önce e-posta hesabını sağlama alın

Portalın “Şifremi Unuttum” akışı, sıfırlama bağlantısını kayıtlı e-posta adresine gönderiyor. Bunun anlamı şu: e-postanıza giren biri, oradan portal hesabınızın şifresini de değiştirebilir.

NCSC’nin günlük kullanıcılara verdiği ilk tavsiyelerden biri de bu yüzden e-posta için güçlü ve başka hiçbir yerde kullanılmayan bir şifre. Kayıt için kullanacağınız e-posta hesabına girin, şifresine bakın. Başka bir sitede de aynısını kullanıyorsanız ilk değiştireceğiniz şifre budur.

2. E-postada iki adımlı doğrulamayı açın

İki adımlı doğrulama, şifreye ek olarak ikinci bir kanıt ister: telefona gelen kod, kimlik doğrulayıcı uygulamadaki altı haneli sayı ya da cihazın kilidi. Şifre çalınsa bile ikinci adım olmadan giriş yapılamaz.

Bunu e-posta hesabınızın güvenlik ayarlarından açarsınız. Seçenek varsa SMS yerine kimlik doğrulayıcı uygulamayı ya da geçiş anahtarını tercih edin; SMS de hiç yoktan çok daha iyidir ama numaranın başka bir karta taşınması gibi risklere açıktır.

Kısa not: Portal hesabının kendisinde uygulama tabanlı iki adımlı doğrulama olup olmadığını doğrulayamadık. Arayüzde telefonla 6 haneli kod doğrulaması görülüyor; bu, bazı talepleri onaylamak için kullanılıyor. Hesabınızın asıl kalkanı yine kurtarma e-postası.

3. Bir şifre yöneticisi seçin

Her site için ayrı, uzun ve akılda tutulamayacak şifreler önerildiğinde çoğu kişi haklı olarak “bunları nasıl hatırlayacağım?” diye sorar. Cevap: hatırlamayacaksınız, şifre yöneticisi hatırlayacak.

NCSC şifre yöneticilerinin üç faydasını öne çıkarıyor:

Her hesap için güçlü ve benzersiz şifre üretir.
Şifreyi yalnız doğru sitede otomatik doldurur. Sahte bir kopyada şifreyi önermemesi, sizin için sessiz bir uyarıdır.
Şifreleri cihazlarınız arasında eşitler.

Tarayıcınızın yerleşik şifre yöneticisi de bu işi görür. Ayrı bir uygulama kullanacaksanız, yöneticinin kendi hesabında da iki adımlı doğrulamayı açın. Bütün şifrelerinizi tutan kasanın tek bir şifreyle korunması, hazırlığın tamamını boşa çıkarır.

4. Şifreyi uzunlukla güçlendirin, sembolle değil

NIST’in kimlik doğrulama yönergesi, şifrenin tek başına kullanıldığı durumlarda en az 15 karakter, ikinci bir doğrulama adımıyla birlikte kullanıldığında en az 8 karakter öngörüyor. Aynı belge “en az bir büyük harf, bir rakam, bir sembol” gibi karışım kurallarını dayatmayı da önermiyor; bu kurallar insanları tahmin edilebilir kalıplara itiyor.

Şifreyi yönetici üretecekse uzunluğu 20 karakterin üzerine çekin, gerisini ona bırakın. Kendiniz bulacaksanız NCSC’nin yöntemi işe yarar: birbiriyle ilgisi olmayan üç kelime. “kavanozbulutbisiklet” gibi. Aile, takım ya da evcil hayvan adları bu kelimelerden biri olmasın.

5. Sızıntı listesinde var mı, bakın

Aklınızdaki şifre daha önce bir veri ihlalinde ortaya çıkmış olabilir. Have I Been Pwned’in Pwned Passwords aracı bunu, şifrenin tamamını göndermeden kontrol ediyor: tarayıcı şifrenin özetini yerelde hesaplıyor, servise yalnız ilk beş karakteri gidiyor. NIST de sızmış ya da çok yaygın şifrelerin reddedilmesini öneriyor.

Yine de en temiz yol, kayıt şifresini hiç başka bir yerde kullanmamak. O zaman bu kontrol neredeyse gereksiz kalır.

6. Telefonu hazır edin

MagicBJ portalının arayüzü, doğrulama kodunun 6 haneli SMS olarak geldiğini ve yalnız Türk numaralarının kabul edildiğini söylüyor. Kayda başlamadan:

Numaranın şu an elinizdeki telefonda aktif olduğundan emin olun.
Mesaj kutusunun dolu olmadığını kontrol edin.
Bilinmeyen gönderenleri filtreleyen bir uygulama kullanıyorsanız, kodun oraya düşebileceğini aklınızda tutun.

Bir de şunu bilin: doğrulama kodu yalnız size aittir. Yayın sohbetinde, özel mesajda ya da telefonda biri “kodu bana söyle, hesabını ben açayım” derse, bu kişi kendisini kim olarak tanıtırsa tanıtsın, kodu paylaşmayın. Kodu isteyen kişi hesabınızı kendi adına doğrulamaya çalışıyor olabilir.

7. Kurtarma bilgilerini bir yere not edin

İki adımlı doğrulamayı açtığınızda çoğu hizmet size bir dizi tek kullanımlık kurtarma kodu verir. Telefon kaybolduğunda bu kodlar hesaba dönüşün tek yolu olabilir. Şifre yöneticisindeki güvenli nota ya da kâğıda yazıp evde saklayın. Ekran görüntüsü alıp galeride bırakmak pek güvenli değil.

Galerideki görüntüler çoğu zaman otomatik olarak bulut yedeğine gider; telefonunuza ya da bulut hesabınıza erişen biri kodları da görür. Kâğıt eski usul görünse de bu iş için hâlâ sağlam bir seçenek.

Geçiş anahtarı (passkey) destekleyen hizmetlerde bunu da düşünebilirsiniz. FIDO Alliance’ın tarifine göre geçiş anahtarı, cihazınızın kilidiyle açılan ve yalnız kayıtlı olduğu alan adına yanıt veren bir anahtar çiftidir; bu yüzden sahte bir sayfaya “yazılıp” çalınamaz.

Hazırlık bitti mi?

Kısa bir kontrol:

E-posta şifresi benzersiz
E-postada iki adımlı doğrulama açık
Şifre yöneticisi kurulu, kendi hesabında 2SV açık
Kayıt şifresi uzun ve hiçbir yerde kullanılmamış
Telefon ve SMS kutusu hazır
Kurtarma kodları güvenli bir yerde

Hepsi işaretliyse kayıt birkaç dakika sürer. Sonradan girişte bir sorun çıkarsa şifre sıfırlama ve oturum sorunları yazısı belirtiye göre ilerliyor.

Sık sorulanlar

Şifre yöneticisi kullanmak riskli değil mi, hepsi tek yerde?

Risk gerçek ama küçük; karşılığında her sitede ayrı şifre kullanabiliyorsunuz. Yöneticinin ana şifresini güçlü tutup iki adımlı doğrulamayı açtığınızda, tekrar kullanılan şifrelere göre çok daha korunaklı bir düzen kurmuş olursunuz.

MagicBJ portalında iki adımlı doğrulama var mı?

Bunu doğrulayamadık. Arayüzde telefonla kod doğrulaması bulunuyor; uygulama tabanlı bir seçenek eklenirse portalın güvenlik ayarlarında görünür.

Aynı şifreyi sadece iki sitede kullanmak sorun olur mu?

Olur. Birinde yaşanan sızıntı, diğerini de açık hâle getirir. Şifre tekrarı, hesap ele geçirmenin en sık yollarından biri.

Güvenli bir hesap kadar, oynanan oyunların sınırlı kalması da önemli: bu bilgiler 18 yaşını doldurmuş kişiler içindir ve kendinize koyduğunuz zaman ve harcama sınırını şifreniz kadar ciddiye almanız iyi olur.