Passkey (parolasız kimlik doğrulama)

Passkey nedir?

Passkey, bir hesaba parola yazmadan giriş yapmanızı sağlayan, açık anahtar kriptografisine dayalı kimlik bilgisidir. Cihazınızda özel bir anahtar saklanır, siteye ise yalnızca ona karşılık gelen açık anahtar verilir. Giriş, parmak izi, yüz tanıma veya cihaz PIN'i ile onaylanır.

Standart FIDO2 ve WebAuthn teknolojilerine dayanır. Amaç, paroların neden olduğu sorunları (zayıf seçim, yeniden kullanım, kimlik avı) kökten ortadan kaldırmaktır.

Nasıl çalışır?

Kayıt sırasında cihaz her site için ayrı bir anahtar çifti üretir; açık anahtar siteye kaydedilir, özel anahtar cihazda kalır. Girişte site rastgele bir sınama (challenge) gönderir, cihaz bunu özel anahtarla imzalar ve yerel doğrulamayla (biyometrik veya PIN) yetkiyi onaylar. Site imzayı açık anahtarla kontrol eder.

Anahtar siteye bağlı olduğundan sahte bir sitede çalışmaz; bu, passkey'i kimlik avına dayanıklı yapar. Sunucudan sızan veritabanında paylaşılabilir bir sır da yoktur, yalnızca açık anahtarlar bulunur. Birçok platform passkey'leri şifreli biçimde cihazlar arasında eşitler.

Sunucu ve hosting ortamında

Hosting kontrol panelleri, alan adı kayıt şirketleri ve bulut hesapları passkey veya güvenlik anahtarı desteği sundukça, en kritik hesaplarınızı bununla korumak mantıklıdır. Kendi web uygulamanıza eklemek isterseniz WebAuthn kütüphaneleri vardır; açık anahtarlar, kimlik numaraları ve sayaçlar sunucuda saklanır.

Yönetici girişlerinde donanım güvenlik anahtarları, tüm cihazların kaybolması gibi durumlara karşı iyi bir yedek yöntemdir.

Nasıl uygulanır?

• Destekleyen en kritik hesaplardan (e-posta, alan adı, hosting, bulut) başlayın.
• En az iki passkey veya ek bir güvenlik anahtarı kaydedin; tek cihaza bağımlı kalmayın.
• Kurtarma yöntemlerini güvenli ve güncel tutun.
• Cihaz kilidini güçlü bir PIN veya biyometri ile koruyun.
• Kendi uygulamanızda parolayı hemen kaldırmayın; önce isteğe bağlı sunun, kurtarma akışını sağlam tasarlayın.
• Kaybolan cihazların passkey'lerini hesaptan kaldırın.

Sık yapılan hatalar

• Yalnızca tek cihaza kayıt yapıp o cihazı kaybedince hesaptan çıkmak.
• Zayıf kurtarma yöntemi (örneğin SMS) bırakıp güvenliği düşürmek.
• Cihaz kilidini PIN'siz bırakmak.
• Passkey'i sadece son kullanıcı özelliği sanıp yönetici hesaplarında kullanmamak.