Passkey Nedir? Geçiş Anahtarı SMS Kodunun Yerini Alacak mı?

Passkey, açık anahtarlı şifrelemeye dayanan ve FIDO standartlarıyla tanımlanan bir giriş yöntemidir. Bir sitede passkey oluşturduğunuzda cihazınız birbirine bağlı iki anahtar üretir. Açık anahtar siteye kaydedilir; gizli anahtar ise cihazınızda ya da şifre yöneticinizde kalır ve hiçbir zaman siteye gönderilmez. Giriş yaparken site cihazınıza tek seferlik bir sınama gönderir, cihaz bunu gizli anahtarla imzalar ve site imzayı açık anahtarla doğrular.

Gizli anahtarı kullanmak için cihazın kilidini açmanız gerekir. Biyometrik veriniz siteye gitmez; yalnızca anahtarın kilidini cihazın içinde açar. Passkey ayrıca oluşturulduğu site adresine bağlıdır: sahte bir giriş sayfası gerçek sitenin passkey'ini kullanamaz.

SMS ile gelen tek kullanımlık kod ile passkey aynı işi, yani sizin siz olduğunuzu kanıtlamayı çok farklı biçimlerde yapar. Kodun nasıl üretildiğini OTP kodu nedir yazısında anlattık; farklar kısaca şöyle:

• Oltalama: SMS kodu sahte bir sayfaya yazdırılıp saniyeler içinde gerçek sitede kullanılabilir. Passkey yalnızca gerçek site adresinde çalışır ve yazılacak bir kod olmadığı için bu saldırıya karşı çok daha dayanıklıdır.
• Hattın ele geçirilmesi: Dolandırıcı hattınızı başka bir SIM karta taşırsa SMS kodları ona gider. Passkey hatta değil cihaza bağlıdır; bu saldırıyı SIM kart kopyalama yazısında anlattık.
• Sunucu sızıntısı: Sitenin veritabanı sızsa bile yalnızca açık anahtarlar ele geçer; bunlarla giriş yapılamaz.
• Ulaşılabilirlik: SMS kodu yurt dışında, zayıf şebekede ya da operatör gecikmesinde gelmeyebilir. Passkey SMS şebekesine ihtiyaç duymaz.
• Cihaz kaybı: SMS'te yeni bir SIM kartla hattınıza yeniden ulaşırsınız. Passkey'de eşitleme kapalıysa ve tek cihazınızı kaybettiyseniz bir kurtarma yöntemine ihtiyaç duyarsınız; bu yüzden ikinci bir cihaz ya da yedek yöntem bulundurmak önemlidir.

Çünkü iki farklı soruyu yanıtlıyorlar. Passkey "Bu kişi, hesabı açan kişiyle aynı mı?" sorusunu çok iyi yanıtlar. Kayıt sırasındaki telefon doğrulaması ise başka bir şeyi ölçer: bu hesabın arkasında, sınırsız sayıda hesap açamayan gerçek biri var mı?

Passkey oluşturmak ücretsizdir ve sınırsızdır; bir bot binlerce hesap için binlerce passkey üretebilir. Telefon numarası ise edinmesi zaman ve para isteyen, sınırlı bir kaynaktır. Platformlar bu yüzden numarayı spam ve sahte hesapları sınırlamak, ücretsiz deneme haklarının kötüye kullanımını önlemek, aynı numarayla açılabilecek hesap sayısını kısıtlamak ve size ulaşabilecekleri bir kanal edinmek için ister. Nedenlerin tamamını telefon doğrulaması neden isteniyor yazısında ele aldık.

Bazı uygulamalar ikisini birlikte kullanır: hesap telefon numarasıyla açılır, sonraki girişlerde SMS kodu yerine passkey kullanılabilir. Örneğin WhatsApp bazı cihazlarda hesabı yeniden doğrularken SMS kodu yerine passkey kullanmanıza izin verir; hesap yine de telefon numarasına bağlıdır.

Oturum açma tarafında SMS kodunun payı büyük olasılıkla azalacak. Google, Apple ve Microsoft passkey'i kendi hesaplarında destekliyor ve birçok site şifre ile SMS kodu yerine passkey'i öne çıkarıyor. Değerli hesaplarda SMS'in yerini passkey, doğrulayıcı uygulama ve güvenlik anahtarı alıyor.

Kayıt tarafında tablo farklı. Telefon doğrulaması bir giriş yöntemi değil, sahte hesaplara karşı bir maliyet duvarı olduğu için passkey onu doğrudan ikame etmez. Bankalar ve ödeme hizmetleri de işlem onayında mevzuatın ve kendi güvenlik politikalarının belirlediği yöntemleri kullanmaya devam eder. Yakın gelecekte beklenen kurgu, girişte passkey, kayıtta ve bazı kurtarma adımlarında telefon doğrulamasıdır. SMS onay sitelerinin kayıt aşamasında hâlâ bir karşılığı olmasının nedeni de budur.

Adımlar hizmete göre küçük farklar gösterse de akış genellikle aynıdır:

• 1. Hesabın ayarlarında Güvenlik ya da Oturum açma bölümünü açın ve "Geçiş anahtarı oluştur" benzeri seçeneği bulun.
• 2. Cihazınızın ekran kilidiyle ya da biyometrik doğrulamayla onaylayın. Passkey birkaç saniyede oluşur.
• 3. İkinci bir cihazda da passkey oluşturun ya da eşitlemenin açık olduğundan emin olun.
• 4. Hesaptaki e-posta adresini ve yedek kodları koruyun; tek cihazı kaybettiğinizde bunlar kurtarma yolunuzdur.

SMS onay hizmetleri giriş güvenliği için değil, kayıt anındaki telefon doğrulaması için kullanılır. Kişisel numaranızı paylaşmak istemediğiniz bir uygulamada, iş ve kişisel hesaplarınızı ayırmak için açtığınız ikinci bir hesapta ya da bir yazılımı test ederken SMS onay ile tek seferlik bir numarayla kaydı tamamlayabilirsiniz. Numara yalnızca SMS alır ve kod 20 dakika içinde gelmezse ücret bakiyenize iade edilir.

En sağlam kurgu ikisini birleştirmektir: kayıt sırasında SMS onay alın, hesap açılır açılmaz passkey ve e-posta ekleyin. Böylece hesabınızın güvenliği geçici numaraya değil, cihazınızdaki anahtara dayanır. Tek seferlik numarayı iki adımlı doğrulama ya da kurtarma numarası olarak bırakmayın; aynı numaraya günlerce kod gerekecekse numara kiralama seçin.

SMS onay almak için ülke seçerken fiyatı başarı oranıyla birlikte okuyun; ucuz SMS onay rehberi bunun yolunu anlatıyor. Hangi SMS onay sitesi ile çalışırsanız çalışın, banka ve e-Devlet gibi kimliğe bağlı hizmetlerde kendi adınıza kayıtlı hattınızı kullanın.