Bir hesabınıza girerken uzun bir şifre yazmak yerine telefonunuzun ekran kilidini açıyorsunuz. Bu deneyimin arkasındaki geçiş anahtarı, yani passkey, yalnız bir otomatik doldurma kolaylığı değildir. Giriş yaparken kullanılan kimlik bilgisinin yapısını değiştirir. Kullanıcı açısından asıl soru ise “Şifremi hatırlayacak mıyım?” olmaktan çıkar; “Anahtarım hangi cihazda, yeni telefona nasıl geçeceğim ve erişimimi kaybedersem hangi yol açık kalacak?” hâline gelir.
Bu rehber, teknolojiyi etkinleştirmeden önce bu üç soruya cevap vermeyi amaçlıyor. Bir hizmetin desteklediği seçenekler, işletim sistemi ve kullanılan anahtar yöneticisine göre farklılaşabilir. Bu nedenle bir uygulamada çalışan yöntemin bütün hesaplarda aynı biçimde çalışacağını varsaymamak gerekir.
Geçiş anahtarı nasıl çalışır?
Passkey, FIDO standartlarına dayanan bir kimlik bilgisidir. Telefon, bilgisayar veya uygun bir donanım güvenlik anahtarında kullanılabilir. Giriş onayı, cihazın izin verdiği parmak izi, yüz doğrulaması ya da PIN gibi bir yöntemle verilir. Kullanıcı her girişte siteye yazdığı ortak bir sırrı hatırlamak zorunda kalmaz. FIDO Alliance’ın geçiş anahtarı açıklaması.
Teknik yapıda açık ve özel anahtar birlikte çalışır. Site açık anahtarı saklar; giriş için gereken özel anahtar siteye gönderilmez. Apple’ın WebAuthn açıklamasında da bu ayrım görülür. Cihazda yapılan onay, özel anahtarın ilgili giriş işlemi için kullanılmasına izin verir. Dolayısıyla ekran kilidi, bir internet sitesinin şifresiyle aynı görevde değildir. Apple: Geçiş anahtarlarının güvenliği.
Bunu gündelik bir benzetmeyle düşünmek mümkün: Siteye her seferinde bir kasa şifresi söylemek yerine, o giriş isteğine uygun bir imza sunarsınız. Benzetmenin sınırı şudur: Burada fiziksel bir imza veya kimlik belgesi gönderilmez; kriptografik bir doğrulama yapılır. Okurun “yüzümü siteye mi veriyorum?” sorusuyla “cihazım anahtarı kullanmama nasıl izin veriyor?” sorusunu ayırması önemlidir.
Şifre yöneticisiyle aynı şey mi?
Şifre yöneticisi kullandığınız bir hesapta, giriş formuna güçlü bir parola doldurulabilir. Geçiş anahtarıyla girişte ise doğrulamanın temeli parola metni değildir. Aynı yönetici her iki tür bilgiyi de barındırabilir; ortak arayüz, yöntemlerin aynı olduğunu göstermez. Hesap ayarlarında “şifre”, “geçiş anahtarı” ve “iki adımlı doğrulama” başlıklarını ayrı görmek bu yüzden şaşırtıcı değildir.
Örneğin bir kullanıcı bir sitede passkey oluşturmuş, başka bir sitede yalnız parola saklamış olabilir. Telefonda iki hesaba da birkaç dokunuşla girmesi, arka plandaki korumaların eşit olduğu anlamına gelmez. İlk değerlendirme girişin hızlı olup olmadığına değil, hesabın hangi yöntemleri kabul ettiğine bakılarak yapılmalıdır.
Eşzamanlanan ve cihaza bağlı anahtar arasındaki fark
Telefon değiştirme planı bu noktada önem kazanır. GitHub’ın resmi belgesi, geçiş anahtarlarını eşzamanlanabilen ve cihaza bağlı seçenekler üzerinden açıklıyor. Eşzamanlanan anahtarlar desteklenen bir kimlik bilgisi sağlayıcısıyla başka cihazlarda kullanılabilirken, cihaza bağlı bir anahtar aynı şekilde taşınamaz veya yedeklenemez. GitHub Docs: Passkey türleri ve kullanım biçimleri.
Pratikte “Anahtar oluşturdum” cümlesi tek başına yeterli bilgi vermez. Nerede oluşturulduğu ve hangi sağlayıcıda tutulduğu da bilinmelidir. Yeni telefon alacak bir kullanıcı, eski cihazı sıfırlamadan önce yeni cihazdan ilgili hesaba gerçekten giriş yapabildiğini kontrol etmelidir. Böylece geçiş işleminin başarılı olduğu bir menü simgesinden değil, çalışan bir girişten anlaşılır.
Telefon kaybolursa hesap da kaybolur mu?
Bu sorunun bütün hizmetler için tek cevabı yoktur. Eşzamanlama bir cihazın kaybında alternatif sağlayabilir, fakat eşzamanlama hesabının kurtarma koşulları da önem taşır. Apple, iCloud Anahtar Zinciri için uçtan uca şifreleme ve belirli koşullara bağlı kurtarma mekanizmaları açıklıyor. Bu açıklama, “Bulutta duruyor, hiçbir hazırlığa gerek yok” sonucuna dönüştürülmemelidir. Apple’ın eşzamanlama ve kurtarma açıklaması.
Bir hazırlık notunda üç ayrı satır bulunması işe yarar: giriş yapmak istediğiniz hizmet, anahtarı tutan sağlayıcı ve her birinin resmi kurtarma yolu. Bu ayrım özellikle e-posta hesabı için önemlidir; başka hesapların kurtarma iletileri o adrese geliyor olabilir. Tek cihazla bütün bu yollara erişiyorsanız, cihaz kaybı yalnız bir uygulamayı değil, geri dönüş planınızı da etkiler.
Google’ın hesap kurtarma yardım sayfası, kurtarma bilgilerini ve uygun hesaplarda yedek kod gibi alternatifleri önceden hazırlamayı ele alıyor. Bu seçeneklerin tamamı her hizmette bulunmaz. Kendi hesabınızın güvenlik bölümünde sunulan yöntemleri inceleyin; bir rehberde adı geçen seçeneğin sizde mutlaka açık olduğunu varsaymayın. Google Hesabı: Hesap erişimini kaybetmeden hazırlık yapma.
İlk kez kullanacaklar için kontrollü geçiş
- Kendi cihazınızı seçin. İlk denemeyi düzenli kullandığınız ve erişimini kontrol ettiğiniz cihazda yapın. Ortak kullanılan bir bilgisayarda hangi kimlik bilgisinin nereye kaydedildiğini anlamadan ilerlemeyin.
- Kayıt yerini öğrenin. Oluşturma ekranının sunduğu sağlayıcı veya donanım seçeneğini okuyun. Anahtarın eşzamanlanan mı, cihaza bağlı mı olduğunu resmi yardım sayfasından kontrol edin.
- Girişi deneyin. Mevcut erişiminizi koruyarak yeni yöntemin çalıştığını sınayın. İkinci cihaz kullanacaksanız orada da hizmetin desteklediği yöntemle giriş yapmayı deneyin.
- Kurtarma yolunu hazırlayın. Hizmetin izin verdiği alternatiflerin erişilebilir olduğundan emin olun. Kurtarma kodlarını veya benzer sırları herkese açık notlara ve sohbetlere koymayın.
- Eski cihazı en son bırakın. Yeni cihazdan giriş ve kurtarma hazırlığı tamamlanmadan eski cihazı sıfırlamayın. Hesap ayarlarında artık kullanmadığınız cihaz ve anahtarları hizmetin resmi yönergeleriyle gözden geçirin.
Kimlik avına dayanıklı olması ne anlama gelir?
Geçiş anahtarları, kimlik avına dayanıklı giriş sağlamak üzere tasarlanır. GitHub belgesi, anahtarın kayıtlı olduğu alan adıyla ilişkilendirilmesini bu korumanın bir parçası olarak açıklıyor. Bu, kullanıcıdan her sahte sayfayı yalnız görünüşüne bakarak ayırt etmesini bekleyen parola alışkanlığına göre önemli bir değişikliktir. GitHub’ın giriş güvenliği açıklaması.
Bununla birlikte güvenli giriş yöntemi, hesabınızda yaptığınız her işlemin doğru olduğunu belirlemez. Gerçek bir hizmette yanlış kişiye belge paylaşmak veya yetki vermek başka bir sorundur. Bu nedenle passkey kullanırken de onayladığınız işlemin hesabınıza giriş mi, yeni cihaz ekleme mi, yoksa bir uygulamaya erişim izni verme mi olduğunu okuyun.
Günlük kullanımda doğru soru
Geçiş anahtarını değerlendirirken yalnız “Şifre yazmayı bırakacak mıyım?” diye sormak eksik kalır. Daha yararlı soru şudur: “Giriş kolaylaşırken cihaz değişimi ve hesap kurtarma planım anlaşılır mı?” Bu planı kuran kullanıcı, yeni bir teknolojiyi yalnız etkinleştirmiş olmaz; cihaz kaybında nasıl hareket edeceğini de bilir.
Birden fazla kişisel cihazla çalışan okurlar, kullanım düzenlerini planlamak için iPad’de verimlilik ve uygulama rehberine de göz atabilir. Giriş kolaylığı, cihazlar arasında sürdürülebilir bir çalışma düzeninin parçalarından biridir.
