Passkey ve FIDO2: Şifreleri Bitiren Donanım Kalkanı

Kısa Özet (TL;DR — Doğrudan Yanıt): Geleneksel şifreler ve SMS onay kodları, sahte web siteleri tarafından kolayca çalınabiliyor. Passkey (Geçiş Anahtarı) ve FIDO2 teknolojisi ise paylaşılan şifreleri tamamen kaldırıp yerine cihazınızdaki güvenli donanımda saklanan matematiksel kilitler getiriyor. Artık bir siteye giriş yaparken şifrenizi karşı tarafa göndermiyorsunuz; cihazınız o web sitesine özel üretilen tek seferlik dijital bir bulmacayı çözüp kimliğinizi kanıtlıyor. Bu sayede sahte bir web sitesine denk gelseniz bile giriş bilgilerinizin çalınması imkansız hale geliyor.

Sahte Korumalar ve Çalınan Parolalar: Neden Yeni Bir Yola İhtiyacımız Var?

Bir kulübe girmek istediğinizi düşünün. Kapıdaki koruma sizden gizli bir parola istiyor. Siz de kulağına parolayı fısıldıyorsunuz.

Peki ya kulübün hemen yanına birebir aynı tabelayı asan sahte bir kulüp kurulmuşsa? Sahte kapıdaki sahte korumaya da aynı parolayı kendi elinizle fısıldarsınız. İşte internetteki oltalama (kimlik avı yani phishing) saldırıları tam olarak böyle çalışır. SMS ile gelen iki adımlı kodlar bile bu tuzağa düşebilir; sahte site sizden kodu alır ve saniyeler içinde gerçek bankaya girer.

Passkey ve FIDO2 (Hızlı Çevrimiçi Kimlik Doğrulama standardı) bu sorunu kökünden çözer. Parola fısıldamak yerine, sadece sizin sahip olduğunuz mühürle bir kağıdı damgaladığınızı hayal edin. Karşı taraf mührü doğrular ama mührün kalıbını asla ele geçiremez.

Kaputun Altında Ne Oluyor? Asimetrik Şifreleme ve Güvenli Yongalar

Passkey sisteminde "paylaşılan sır" mantığı yoktur. Yani web sitesinin sunucusunda sizin şifreniz saklanmaz.

Bunun yerine asimetrik şifreleme (çift anahtarlı matematiksel kilit sistemi) kullanılır. Hesabınızı oluştururken cihazınız iki anahtar üretir:

Açık Anahtar (Public Key): Web sitesine gönderilen ve herkesin görebileceği anahtar. Bu, kilidin kendisidir.
Gizli Anahtar (Private Key): Cihazınızdan asla dışarı çıkmayan, kilidi açan tek anahtar.

+-----------------------------------------------------------------+
|                        Kullanıcı Cihazı                         |
|  +-----------------------+           +-----------------------+  |
|  |     Gizli Anahtar     |           |     Güvenli Yonga     |  |
|  | (Cihazdan Çıkmaz)     | <-------> |  (Secure Enclave/TPM) |  |
|  +-----------------------+           +-----------------------+  |
+-----------------------------------------------------------------+
                                |
             (Yalnızca Matematiksel İmza İletilir)
                                v
+-----------------------------------------------------------------+
|                        Web Sitesi Sunucusu                      |
|  +-----------------------+           +-----------------------+  |
|  |      Açık Anahtar     |           |     Giriş Onayı       |  |
|  | (İmzayı Doğrular)     | --------> |   (Hesap Açılır)      |  |
|  +-----------------------+           +-----------------------+  |
+-----------------------------------------------------------------+

Bu gizli anahtar; telefonunuzdaki veya bilgisayarınızdaki Secure Enclave ya da TPM (Güvenilir Platform Modülü) adı verilen izole edilmiş özel donanım çiplerinde tutulur.

En can alıcı nokta ise alan adı eşleşmesidir (domain origin binding). Tarayıcınız, arkada hangi sitede olduğunu doğrudan işletim sistemine bildirir. Bir saldırgan banka.com yerine b4nka.com sitesi açsa bile, cihazınız bu farkı anlar ve sahte siteye imza üretmeyi reddeder. Siber güvenlik mantığını daha yakından incelemek için AI Playground üzerindeki kaynaklara göz atabilirsiniz.

Seçenekler Masada: Hangi Kalkan Size Uygun?

Kendi güvenliğinizi kurgularken tek bir yönteme mahkûm değilsiniz. İhtiyacınıza göre donanım anahtarları veya bulut üzerinden eşitlenen anahtarlar arasında seçim yapabilirsiniz.

Yöntem	Oltalama Koruması	Cihaz Kaybında Kurtarma	Kullanım Kolaylığı	Çapraz Platform
Donanım Anahtarı (YubiKey vb.)	Kusursuz (Donanım Korumalı)	Yedek fiziksel anahtar gerekir	Orta (USB veya NFC teması)	Evrensel (Tüm cihazlar)
Eşitlenen Passkey (Apple / Google / Bitwarden)	Kusursuz (Alan adı kontrollü)	Kolay (Bulut hesabıyla geri gelir)	Çok Kolay (Parmak izi / Yüz)	Ekosistem içinde hızlı
Uygulama Kodları (TOTP - Google Authenticator)	Zayıf (Sahte siteye yazılabilir)	Kod yedekleriyle orta	Orta (6 haneli kodu elle girme)	Evrensel

Gündelik kullanıcılar için Apple, Google veya şifre yöneticileri üzerinden eşitlenen Passkey seçenekleri hem konforlu hem de son derece güvenlidir. Yüksek risk grubundaki geliştiriciler ve sistem yöneticileri için ise fiziksel bir FIDO2 donanım anahtarı vazgeçilmez bir kalkandır.

Bir Giriş Denemesi Nasıl Gerçekleşir?

Bir siteye Passkey ile giriş yap butonuna bastığınızda arka planda WebAuthn (Web Kimlik Doğrulama standardı) protokolü devreye girer.

[ Tarayıcı ]                   [ Web Sunucusu ]               [ Güvenli Donanım ]
     |                                |                                |
     | 1. Giriş İsteği                |                                |
     |------------------------------->|                                |
     |                                |                                |
     | 2. Rastgele Soru (Challenge)   |                                |
     |<-------------------------------|                                |
     |                                                                 |
     | 3. "Bu soruyu banka.com için imzala"                            |
     |---------------------------------------------------------------->|
     |                                                                 |
     | 4. Biyometrik Onay (Parmak İzi) & İmzalama                      |
     |    (Gizli anahtar yongadan dışarı çıkmaz)                       |
     |<----------------------------------------------------------------|
     |                                |                                |
     | 5. İmzalanmış Yanıt            |                                |
     |------------------------------->|                                |
     |                                |                                |
     |                                | 6. Açık Anahtarla Doğrulama    |
     |                                |    ve Oturum Açılışı           |

Tarayıcı sunucuya "Ben giriş yapmak istiyorum" der.
Sunucu tek seferlik rastgele bir matematiksel soru (challenge) gönderir.
Donanımınız bu soruyu alır, parmak izinizi doğruladıktan sonra gizli anahtarla imzalar.
İmzalanmış cevap sunucuya döner; sunucu elindeki açık anahtarla bu imzayı doğrular ve oturum açılır.

Bu süreçlerin simülasyonunu ve temel ağ akışlarını test etmek isterseniz İnteraktif Simülasyon Araçları sayfamızdaki araçları inceleyebilirsiniz.

Doğru Bilinen Yanlışlar ve Endişeler

"Parmak izim veya yüz verim web sitelerine mi gönderiliyor?"
Kesinlikle hayır. Biyometrik verileriniz sadece telefonunuzun kilidini yerel olarak açmak içindir. Web sitesine giden tek şey, o oturuma özel üretilmiş şifreli bir imzadır.

"Telefonumu kaybedersem tüm hesaplarımdan kilitlenir miyim?"
Eğer Apple, Google veya modern bir şifre yöneticisi kullanıyorsanız Passkey anahtarlarınız uçtan uca şifreli olarak bulutta yedeklenir. Yeni cihazınıza aynı hesapla giriş yaptığınızda anahtarlarınız geri gelir.

"Passkey her sitede çalışır mı?"
Henüz her sitede aktif değil. Ancak Google, Apple, GitHub, Amazon ve popüler e-ticaret platformları hızla bu standarda geçiyor.

Gerçek Bir Olay: Cloudflare Saldırısı ve FIDO2'nin Zaferi

2022 yılının Ağustos ayında, bilgisayar korsanları Cloudflare çalışanlarına yönelik çok organize bir SMS oltalama saldırısı düzenledi. Çalışanlara "Vardiya planınız değişti, lütfen giriş yapın" mesajları atıldı. Bağlantı, resmi kurumsal giriş sayfasının birebir kopyasıydı.

Onlarca tecrübeli yazılım mühendisi ve sistem yöneticisi bu tuzağa düştü; kullanıcı adlarını ve parolalarını sahte sayfaya yazdı.

Fakat saldırı tamamen başarısız oldu. Çünkü Cloudflare, tüm çalışanlarına fiziksel FIDO2 donanım anahtarları (YubiKey) zorunlu tutmuştu. Sahte site, çalışanların cihazından kriptografik imza istediğinde tarayıcı adres çubuğundaki sahte alan adını yakaladı. Güvenlik anahtarı sahte adrese imza vermeyi reddetti. İnsan dikkati yanıldı, ancak donanım tabanlı protokol tek bir hesabın bile ele geçirilmesine izin vermedi.

Sıkça Sorulan Sorular (SSS)

İkinci bir yedek donanım anahtarı (FIDO2) bulundurmak gerçekten şart mı?

Fiziksel bir donanım anahtarı kullanıyorsanız kesinlikle evet. Yalnızca tek bir fiziksel anahtara güvenmek, anahtarı kaybettiğinizde veya suya düşürdüğünüzde hesaplarınıza erişimi kaybetme riski yaratır. En iyi pratik, aynı hesaplara iki farklı anahtar tanımlamaktır. Biri her zaman yanınızda veya bilgisayarınızda takılı dururken, diğeri evinizde güvenli bir çekmecede acil durum yedeği olarak beklemelidir.

Android telefonumdaki bir Passkey ile Mac bilgisayarımda oturum açabilir miyim?

Evet, FIDO2 standardı platformlar arası geçişi destekler. Mac bilgisayarınızda giriş yaparken ekranda beliren QR kodunu Android telefonunuzun kamerasıyla taratmanız yeterlidir. Cihazlar aralarındaki mesafeyi doğrulamak için Bluetooth üzerinden kısa menzilli bir el sıkışma yapar. Böylece telefonunuzdaki biyometrik kilidi açarak bilgisayarınızdaki oturumu saniyeler içinde güvenle aktif hale getirebilirsiniz.

Henüz Passkey desteklemeyen web sitelerinde ne yapmalıyım?

Passkey desteği sunmayan sitelerde güçlü, rastgele ve her hesap için benzersiz parolalar kullanmaya devam etmelisiniz. Bu parolaları güvenilir bir parola yöneticisinde saklamalı ve mutlaka zamana dayalı tek kullanımlık kodlar (TOTP) sunan bir kimlik doğrulama uygulamasıyla desteklemelisiniz. SMS tabanlı doğrulama yerine kimlik doğrulama uygulamalarını tercih etmek, oltalama riskini önemli ölçüde azaltacaktır.

Linux işletim sisteminde Passkey ve donanım anahtarı kullanabilir miyim?

Evet, Linux modern tarayıcılar aracılığıyla FIDO2 ve Passkey teknolojisini tam olarak destekler. Fiziksel donanım anahtarlarını Linux üzerinde kullanmak için sisteminize ilgili donanım kuralını (udev rules) eklemeniz yeterlidir. Bu sayede Chrome, Firefox gibi tarayıcılarda web sitelerine tak-çalıştır şeklinde giriş yapabilir, hatta pam_u2f modülü sayesinde bilgisayarınızın açılış ve sudo kilitlerini bile bu anahtarla açabilirsiniz.

Cihazımı ve Passkey yedeklerimi tamamen kaybedersem hesabımı nasıl kurtarırım?

Passkey kurulumu yaparken çoğu servis size tek kullanımlık acil durum kurtarma kodları verir. Cihazlarınızı tamamen kaybetme senaryosuna karşı bu kodları güvenli bir yerde saklamalısınız. Ayrıca hesaplarınızda güncel bir kurtarma e-postası veya telefon numarası tanımlıysa, ilgili servisin kimlik doğrulama ve hesap kurtarma adımlarını tamamlayarak hesabınıza yeniden erişim sağlayabilirsiniz.