Passkey, klasik şifrelerin yerine geçen; giriş işlemini parmak izi, yüz tanıma veya cihaz PIN’iyle tamamlamayı sağlayan güvenli kimlik doğrulama yöntemidir. Şifre yazma ihtiyacını azaltır, hesaplara daha hızlı erişim sunar ve sahte siteler üzerinden şifre çalma girişimlerine karşı daha güçlü koruma sağlar.

Passkey sistemi, FIDO standartları ve açık anahtarlı kriptografi üzerine kurulur. Kullanıcı bir hizmette passkey oluşturduğunda, cihazında saklanan özel anahtar ile ilgili siteye kaydedilen açık anahtar eşleşir. Özel anahtar paylaşılmaz; bu sayede parolalara kıyasla daha güvenli bir giriş deneyimi hedeflenir.

Passkey Ne İşe Yarar?

İnternette kullanılan şifrelerin unutulması, tekrar kullanılması veya oltalama saldırılarıyla ele geçirilmesi sık karşılaşılan sorunlar arasında yer alıyor. Passkey, kullanıcıyı parola yazmak yerine telefonunun ya da bilgisayarının yerleşik güvenlik yöntemiyle doğrular.

Örneğin bir uygulamaya girişte “Passkey ile devam et” seçeneği görünür. Bu seçeneğe dokunduğunuzda Face ID, parmak izi, ekran kilidi PIN’i veya cihazdaki başka bir doğrulama yöntemi devreye girer. Onayın ardından hesabınıza giriş yapılır.

Passkey, bazı hizmetlerde tek kullanımlık SMS kodu veya e-posta ile gelen doğrulama kodu ihtiyacını da azaltabilir. Ancak bir platform passkey desteklese bile hesap kurtarma için güncel e-posta adresi, telefon numarası ve ek güvenlik seçeneklerini korumak gerekir.

Passkey Neden Daha Güvenli?

Passkey ile her hizmet ve her hesap için benzersiz bir dijital anahtar oluşturulur. Bu anahtar yalnızca oluşturulduğu web sitesi veya uygulamayla ilişkilidir. Kullanıcı yanlışlıkla benzer isimli sahte bir siteye yönlendirilse bile giriş doğrulamasının çalışmaması hedeflenir.

Bu özellik, phishing yani oltalama saldırılarına karşı geleneksel şifrelere göre daha güçlü koruma sağlayabilir. Şifrelerde olduğu gibi yazılacak, ezberlenecek veya farklı platformlarda tekrar kullanılacak bir metin bulunmaz.

Cihazdaki özel anahtar, cihazın güvenli alanında saklanır. İlgili hizmet ise yalnızca açık anahtarı tutar. Böylece bir hizmette veri ihlali yaşansa bile saldırganların ele geçirdiği bilgilerle hesaba doğrudan giriş yapması zorlaşır.

Passkey kullanımı, mevcut şifrelerin bir anda tamamen ortadan kalktığı anlamına gelmiyor. Pek çok platform hâlâ şifre, iki aşamalı doğrulama ve passkey seçeneklerini birlikte sunuyor. Bu nedenle e-posta, sosyal medya ve diğer önemli hesaplarda güvenlik ayarlarını düzenli kontrol etmek önem taşıyor.

Passkey Nasıl Oluşturulur?

Passkey oluşturma adımları kullanılan uygulamaya, işletim sistemine ve platforma göre değişebilir. Genel süreç ise çoğu hizmette benzer şekilde ilerler.

1. Passkey desteği sunan uygulama veya web sitesinde hesabınıza giriş yapın.
2. Hesap, Güvenlik, Giriş Yöntemleri veya Şifre ve Güvenlik bölümünü açın.
3. “Passkey ekle”, “Geçiş anahtarı oluştur” ya da benzer ifadeli seçeneği bulun.
4. Telefon, tablet veya bilgisayarınızın istediği parmak izi, yüz tanıma ya da PIN doğrulamasını tamamlayın.
5. Oluşturma işlemini onaylayın ve giriş yönteminin hesabınıza eklendiğini kontrol edin.

Passkey’ler bazı ekosistemlerde kullanıcı hesabına bağlı olarak cihazlar arasında eşitlenebilir. Bu durum, yeni telefona veya bilgisayara geçildiğinde erişimi kolaylaştırabilir. Buna karşılık cihaz hesabınızın kurtarma seçeneklerini ve ekran kilidini güçlü tutmanız gerekir.

Senkronize passkey’lerin yanında yalnızca belirli bir cihazda veya fiziksel güvenlik anahtarında çalışan seçenekler de bulunur. Hangi yöntemin kullanılacağı, hesabın önemine ve kullanılan cihaz ekosistemine göre değişebilir.

Passkey Kullanırken Nelere Dikkat Edilmeli?

Passkey oluşturmuş olsanız bile hesabınızdaki kurtarma e-postasını, telefon numarasını ve iki aşamalı doğrulama tercihlerini güncel tutun. Özellikle cihazınızı kaybetmeniz veya cihaz ekosisteminize erişiminizi yitirmeniz durumunda bu bilgiler hesabı geri almanız için gerekli olabilir.

Telefon veya bilgisayar ekran kilidinde tahmin edilmesi zor bir PIN kullanın. Parmak izi ve yüz tanıma seçenekleri aktif olsa bile cihazın kilit kodu, passkey güvenliğinin temel parçalarından biridir.

Giriş ekranındaki alan adını her zaman kontrol edin. Passkey sahte bir sitede çalışmama avantajı sağlasa da kimlik avı bağlantıları, sahte destek talepleri ve zararlı uygulamalar farklı yöntemlerle bilgi toplamaya devam edebilir.

Güvenlik kodunuzu, ekran kilidi PIN’inizi veya hesap kurtarma bilgilerinizi hiç kimseyle paylaşmayın. Passkey, parola kullanımını azaltan ve daha güvenli giriş deneyimi sunan önemli bir teknoloji olsa da hesap güvenliği için temel dijital güvenlik alışkanlıklarını sürdürmek gerekir.

Kaynaklar:
[1] FIDO Passkeys: Passwordless Authentication https://fidoalliance.org/passkeys/
[2] User Authentication Specifications Overview https://fidoalliance.org/specifications/
[3] FIDO Alliance: Reducing Reliance on Passwords https://fidoalliance.org/
[4] FIDO Alliance | Free Yourself From Passwords with Passkeys https://fidoalliance.org/fido-alliance-free-yourself-from-passwords-with-passkeys/
[5] What Is FIDO2? | Microsoft Security https://www.microsoft.com/en-us/security/business/security-101/what-is-fido2
[6] Passkey Implementation Overview https://fidoalliance.org/implement-passkeys-overview/
[7] What is a FIDO Passkey? FIDO Alliance Passkeys Explained https://www.passkeys.com/fido-passkey
[8] [PDF] Technology brief Passkeys https://www.ncsc.admin.ch/dam/ncsc/de/dokumente/dokumentation/technologiebetrachtungen/Technologiebetrachtung_Passkey-EN.pdf.download.pdf/Technologiebetrachtung_Passkey-EN.pdf
[9] Passkey: Simple and Secure Passwordless Sign-In https://safety.google/safety/authentication/passkey/
[10] Enterprise Passkey Deployment Resources – FIDO Alliance https://fidoalliance.org/passkey-use-case/enterprise/