Passkey Nedir? Şifresiz Girişin Geleceği

01Şifrelerin Sorunu Ne?

Şifreler onlarca yıldır kimlik doğrulamanın temeli ama zayıf noktaları da iyi biliniyor: insanlar kısa ve tahmin edilebilir şifreler seçiyor, aynı şifreyi birçok hesapta kullanıyor ve sahte bir giriş sayfasına şifresini kolayca yazabiliyor. Sitenin veritabanı sızdığında da milyonlarca şifre aynı anda risk altına giriyor.

Uzun şifreler ve şifre yöneticileri bu sorunları büyük ölçüde hafifletir; ayrıntısını güçlü şifre oluşturma yazımızda anlattık. Ancak temel bir zayıflık kalır: şifre, paylaşılan bir sırdır. Hem siz hem de site onu bilir ve yazıldığı her yerde çalınabilir.

Passkey bu yaklaşımı tersine çevirir. Ortada paylaşılan bir sır yoktur; site, sizi doğrulamak için gereken bilgiyi tutar ama sizin yerinize giriş yapmayı sağlayacak hiçbir şeye sahip olmaz.

02Passkey Nasıl Çalışır?

Passkey, açık anahtarlı kriptografiye dayanır. Bir sitede passkey oluşturduğunuzda cihazınız o siteye özel bir anahtar çifti üretir. Gizli anahtar cihazınızda ya da şifrelenmiş olarak eşitlenen şifre yöneticinizde kalır; açık anahtar ise siteye gönderilir.

Giriş sırasında site, rastgele bir meydan okuma (challenge) gönderir. Cihazınız bu veriyi gizli anahtarla imzalar ve site imzayı kayıtlı açık anahtarla doğrular. Parmak izi ya da yüz tanıma bu sırada yalnız cihazın kilidini açar; biyometrik veriniz cihazdan çıkmaz ve siteye gönderilmez.

1. Siteye girerken “Passkey ile giriş yap” seçeneğine dokunursunuz
2. Cihaz, parmak izi, yüz tanıma ya da ekran kilidi PIN'iyle sizi doğrular
3. Gizli anahtar, sitenin gönderdiği meydan okumayı imzalar
4. Site imzayı açık anahtarla kontrol eder ve oturumu açar

03FIDO2 Nedir?

FIDO2, passkey'lerin altında yatan açık standart ailesidir. Sektör kuruluşu FIDO Alliance ile web standartlarını belirleyen W3C'nin birlikte geliştirdiği bu yapı iki parçadan oluşur: tarayıcının sitelerle konuştuğu WebAuthn arayüzü ve cihazın harici doğrulayıcılarla (örneğin USB güvenlik anahtarı) konuştuğu CTAP protokolü.

Açık standart olması önemli bir avantajdır. Büyük işletim sistemleri ve tarayıcılar aynı standardı desteklediği için passkey belirli bir firmaya bağlı kalmaz; geliştiriciler de tek bir arayüzle tüm platformlara hitap edebilir.

04Passkey Güvenli mi?

Passkey güvenli mi sorusu en çok merak edilenlerden biri. Kısa yanıt: şifreye göre çok daha dayanıklıdır, çünkü çalınacak ya da tahmin edilecek bir şifre yoktur. Sitenin veritabanı sızsa bile ele geçen açık anahtarlar, hesabınıza girmek için işe yaramaz.

En büyük kazanç oltalamaya dayanıklılıktır. Passkey, oluşturulduğu alan adına bağlıdır; tarayıcı, sahte bir adreste o siteye ait passkey'i hiç önermez. Kullanıcı ne kadar dikkatsiz olursa olsun, benzer görünen bir adrese anahtarını “yazamaz”. Sahte e-postaların nasıl kurgulandığını phishing nedir yazımızda anlattık.

Dikkat Edilecek Noktalar

• Cihazınızın ekran kilidi güçlü olmalı; passkey'in kalesi cihazın kendisidir
• Eşitlenen passkey'ler için kullandığınız bulut hesabını iki adımlı doğrulamayla koruyun
• Cihaz kaybına karşı ikinci bir cihazda ya da donanım anahtarında yedek passkey tutun
• Hesap kurtarma yolları (e-posta, yedek kod) passkey kadar güvenli olmalı

05Passkey Nasıl Kullanılır?

Destekleyen bir sitede passkey oluşturmak genellikle hesap ayarlarındaki güvenlik bölümünden yapılır. “Passkey oluştur” seçeneğine dokunduğunuzda cihazınız sizi doğrular ve anahtar kaydedilir; bundan sonra girişte şifre yerine parmak izi ya da yüz tanıma yeterlidir.

Eşitlenen ve Cihaza Bağlı Passkey

Eşitlenen passkey'ler, işletim sisteminin ya da şifre yöneticisinin şifreli kasası üzerinden aynı hesaba bağlı cihazlarınıza aktarılır; telefon değiştirdiğinizde kaybolmaz. Cihaza bağlı passkey'ler ise bir USB ya da NFC güvenlik anahtarında durur ve dışarı çıkmaz; yönetici hesapları gibi kritik kullanımlar için tercih edilir.

Başka Bir Cihazdan Giriş

Passkey'inizin olmadığı bir bilgisayardan giriş yaparken ekranda bir QR kod görünür. Telefonunuzla bu kodu okuttuğunuzda telefon, yakınlık doğrulaması için Bluetooth kullanır ve girişi onaylar. Böylece anahtar telefondan çıkmadan o bilgisayarda oturum açılır.

06Web Sitelerine Passkey Eklemek

Üyelik sistemi olan bir siteye passkey eklemek, tarayıcıdaki WebAuthn arayüzü ve sunucu tarafında imzaları doğrulayan bir kütüphaneyle yapılır. Sunucu, her kayıt ve giriş için tek kullanımlık bir meydan okuma üretir, gelen yanıtı doğrular ve açık anahtarı kullanıcı kaydıyla eşleştirerek saklar.

Aşağıdaki örnek, tarayıcı tarafında yeni bir passkey oluşturma çağrısının iskeletini gösterir. Meydan okuma ve kullanıcı kimliği sunucudan gelir; gerçek projede yanıt mutlaka sunucuda doğrulanmalıdır.

Passkey desteği, sıfırdan yazılan bir üyelik sistemine eklenmesi en kolay özelliklerden biridir; hazır bir yapıya sonradan eklemek ise çoğu zaman oturum yönetiminin yeniden ele alınmasını gerektirir. Otel rezervasyonu, acente paneli ya da bayi portalı gibi kullanıcıların her gün giriş yaptığı özel yazılım çözümlerinde bu özelliği proje başında planlamak, hem güvenliği hem de kullanıcı memnuniyetini artırır. Özellikle personelin ortak bilgisayarlardan giriş yaptığı işletmelerde, kişiye özel güvenlik anahtarları şifre paylaşımı alışkanlığını da sona erdirir.

• Geçiş döneminde passkey'i şifreye ek seçenek olarak sunun, zorunlu tutmayın
• Giriş ekranında passkey seçeneğini sade ve görünür tasarlayın
• Hesap ayarlarında birden fazla passkey eklemeye ve silmeye izin verin
• Kurtarma akışını passkey kadar güvenli kurgulayın

const credential = await navigator.credentials.create({
  publicKey: {
    challenge: sunucudanGelenChallenge,
    rp: { name: 'Örnek Firma', id: 'ornek.com' },
    user: { id: kullaniciIdBytes, name: 'ayse@ornek.com', displayName: 'Ayşe' },
    pubKeyCredParams: [
      { type: 'public-key', alg: -7 },
      { type: 'public-key', alg: -257 }
    ],
    authenticatorSelection: { residentKey: 'required', userVerification: 'preferred' }
  }
});

07Şifresiz Girişin Geleceği

Büyük platformların passkey desteğini yaygınlaştırmasıyla şifresiz giriş, deneysel bir özellik olmaktan çıkıp gündelik bir seçeneğe dönüşüyor. Yine de şifreler bir gecede kaybolmayacak; uzun bir süre passkey ve şifre yan yana yaşayacak.

İşletmeler için doğru strateji kademeli geçiştir. Önce yönetici ve personel hesaplarında passkey ya da donanım anahtarı zorunlu hale getirilir; ardından müşterilere isteğe bağlı bir seçenek olarak sunulur. Kullanım oranları izlendikçe şifreli giriş arka plana itilir ve destek ekibine gelen “şifremi unuttum” talepleri de azalabilir.

Kimlik doğrulamanın geleceğinde kriptografinin kendisi de dönüşüyor. Kuantum bilgisayarlara dayanıklı yeni algoritmaların passkey gibi açık anahtarlı sistemleri nasıl etkileyeceğini post-kuantum kriptografi yazımızda ele aldık.