Şifreler yıllardır internet güvenliğinin en zayıf halkası. Aynı şifreyi birden fazla sitede kullanmak, tahmin edilmesi kolay şifreler seçmek ya da sahte bir giriş sayfasına şifreyi kaptırmak hesapların ele geçirilmesinin en yaygın nedenleri arasında. Passkey (Türkçe arayüzlerde "geçiş anahtarı" olarak da geçiyor) bu sorunu kökünden çözmek için geliştirildi.
Passkey nedir?
Passkey, bir web sitesi veya uygulama için cihazınızda oluşturulan dijital bir anahtardır. Arka planda açık anahtar şifrelemesi kullanılır: Anahtarın bir parçası (açık anahtar) hizmetin sunucusunda durur, diğer parçası (özel anahtar) ise yalnızca sizin cihazınızda kalır. Özel anahtar hiçbir zaman sunucuya gönderilmez.
Giriş yaparken sunucu cihazınıza bir "doğrulama sorusu" gönderir. Cihazınız bu soruyu özel anahtarla imzalar, siz de işlemi parmak izi, yüz tanıma veya ekran kilidi PIN'inizle onaylarsınız. Sunucu imzayı açık anahtarla doğrular ve içeri alınırsınız. Tüm bu süreç birkaç saniye sürer.
Teknoloji, FIDO Alliance ve W3C tarafından geliştirilen WebAuthn standardına dayanıyor. Yani tek bir şirkete ait değil. Google, Apple ve Microsoft aynı standardı destekliyor.
Passkey neden şifreden daha güvenli?
| Özellik | Şifre | Passkey |
|---|---|---|
| Sunucu ele geçirilirse | Şifreler (veya özetleri) çalınabilir | Sunucuda sadece açık anahtar var, tek başına işe yaramaz |
| Sahte (phishing) site | Şifreyi yazarsanız çalınır | Anahtar yalnızca gerçek alan adında çalışır |
| Tahmin / deneme saldırısı | Zayıf şifreler kırılabilir | Tahmin edilecek bir şey yok |
| Hatırlama zorunluluğu | Var | Yok |
| Tekrar kullanım | Aynı şifre birçok sitede kullanılabiliyor | Her site için ayrı anahtar |
En büyük avantaj oltalamaya karşı koruma. Passkey oluşturulduğu alan adına bağlıdır. Örneğin "google.com" için oluşturulan bir anahtar, "g00gle-giris.com" gibi sahte bir sitede çalışmaz. Kullanıcı dikkatsiz davransa bile anahtar yanlış siteye verilemez.
Parmak izim veya yüzüm şirkete gidiyor mu?
Hayır. Biyometrik doğrulama tamamen cihazınızda gerçekleşir. Parmak iziniz veya yüz verileriniz web sitesine ya da hizmete gönderilmez. Biyometrik doğrulama yalnızca cihazdaki özel anahtarın kilidini açmak için kullanılır. Biyometri kullanmak istemiyorsanız ekran kilidi PIN'i veya deseni de kullanabilirsiniz.
Telefonumu kaybedersem ne olur?
Passkey'ler çoğu durumda bulut üzerinden cihazlarınız arasında şifreli olarak eşitlenir:
- Apple cihazlarında iCloud Anahtar Zinciri ile iPhone, iPad ve Mac arasında,
- Android'de Google Şifre Yöneticisi ile aynı Google hesabındaki cihazlar arasında,
- Bazı üçüncü taraf şifre yöneticileri ile farklı platformlar arasında.
Bu nedenle yeni bir telefona geçtiğinizde, aynı hesapla oturum açtığınızda passkey'leriniz de gelir. Yine de önlem olarak hesaplarınızda yedek bir giriş yöntemi (kurtarma e-postası, telefon numarası veya yedek kodlar) tanımlı olduğundan emin olun.
Google hesabında passkey nasıl açılır?
- Tarayıcıda Google hesabınıza girin ve Güvenlik bölümünü açın.
- Oturum açma yöntemlerinin listelendiği bölümde Geçiş anahtarları seçeneğine tıklayın.
- Geçiş anahtarı oluştur düğmesine basın.
- Cihazınız parmak izi, yüz tanıma veya ekran kilidi ister; onaylayın.
- Artık Google hesabınıza girerken şifre yerine bu yöntemi kullanabilirsiniz.
Google, destekleyen Android telefonlarda passkey'i otomatik olarak da oluşturabiliyor. Bu durumda ek bir işlem yapmanız gerekmez.
iPhone, iPad ve Mac'te passkey nasıl kullanılır?
Apple cihazlarda passkey desteği iOS 16, iPadOS 16 ve macOS Ventura ile geldi. Kullanmak için:
- Ayarlar > [Adınız] > iCloud bölümünde parolaların (iCloud Anahtar Zinciri) eşitlenmesinin açık olduğundan emin olun. Menü adları iOS sürümüne göre küçük farklılıklar gösterebilir.
- Passkey destekleyen bir sitede veya uygulamada hesap oluştururken ya da ayarlardan "Passkey oluştur" seçeneğini seçin.
- Face ID veya Touch ID ile onaylayın.
Oluşturulan passkey'ler iCloud üzerinden diğer Apple cihazlarınıza da şifreli olarak aktarılır.
Windows'ta passkey nasıl kullanılır?
Windows 10 ve 11'de passkey'ler Windows Hello (yüz tanıma, parmak izi veya PIN) ile korunur. Chrome veya Edge gibi güncel bir tarayıcıda passkey destekleyen bir siteye girdiğinizde "passkey oluştur" seçeneği çıkar ve Windows Hello ile onay istenir.
Bilgisayarınızda kayıtlı bir passkey yoksa, giriş ekranında "Başka bir cihaz kullan" seçeneğiyle ekranda çıkan QR kodu telefonunuzla okutabilirsiniz. Bu yöntemde güvenlik için telefonun bilgisayara yakın olduğu Bluetooth ile doğrulanır.
Passkey'e geçerken dikkat edilmesi gerekenler
- Şifrenizi hemen silmeyin. Birçok hizmet passkey'i şifreye ek bir seçenek olarak sunuyor. Passkey'in tüm cihazlarınızda sorunsuz çalıştığından emin olduktan sonra şifreyi güçlü ve benzersiz bir şifreyle değiştirin.
- Paylaşılan cihazlarda passkey oluşturmayın. Ortak kullanılan bir bilgisayarda oluşturulan anahtar, o cihaza erişen herkese giriş imkânı verebilir.
- Ekran kilidiniz güçlü olsun. Passkey'in güvenliği cihazınızın kilidine bağlıdır. 4 haneli basit bir PIN yerine daha uzun bir PIN veya biyometri tercih edin.
- Kurtarma seçeneklerini güncel tutun. Tüm cihazlarınıza erişimi kaybederseniz hesabı kurtarmanın yolu bu seçeneklerdir.
Sonuç
Passkey, şifre ezberleme derdini ortadan kaldırırken hesaplarınızı oltalama saldırılarına karşı da korur. Başlamak için en kolay yol, en çok kullandığınız Google, Apple veya Microsoft hesabınızda passkey'i açmak. Kullandığınız diğer hizmetler de destek verdikçe, hesap ayarlarındaki "güvenlik" bölümünde passkey seçeneğini aramayı alışkanlık haline getirin.
