Passkey nedir? Parola yerine geçen yöntem ve onu hâlâ sunmayı reddedenler

TechCrunch'a göre yeni bir web sitesi, kullanıcılarının hâlâ passkey ile oturum açmasına izin vermeyen şirketleri ifşa etmeye başladı ve parolalardan yavaş uzaklaşmaya yeni bir baskı uyguladı. Kampanya, geri çekilip passkey'lerin aslında ne olduğunu ve güvenlik uzmanlarının onların yaygın biçimde benimsenmesini görmek için neden bu kadar istekli olduğunu sormak için yararlı bir vesile.

Passkey, geleneksel parolanın yerini bir çift kriptografik anahtarla alan bir kimlik bilgisidir. Bir kullanıcı bir tane oluşturduğunda, cihazı asla cihazdan ayrılmayan bir özel anahtar ve hizmet tarafından saklanan bir genel anahtar üretir. Oturum açmak, çalınabilecek bir sırrı asla iletmeden özel anahtarın elde bulunduğunu kanıtlar.

Bu tasarım, parolaların temel zayıflığını, yani paylaşılan sırlar olmalarını ele alır. Bir parolanın kontrol edilmek için bir sunucuya gönderilmesi gerekir, siteler arasında yeniden kullanılabilir ve tahmin edilebilir, sızdırılabilir ya da oltalanabilir. Bir passkey aynı şekilde oltalanamaz; çünkü bir mağdurun sahte bir siteye teslim edebileceği bir sır yoktur.

Uygulamada passkey kullanmak tanıdık hissettirir. Bir kullanıcı genellikle telefonunu ya da dizüstü bilgisayarını açmak için zaten kullandığı aynı parmak izi, yüz taraması ya da cihaz PIN'iyle kimlik doğrular. Kriptografi arka planda görünmez biçimde gerçekleşir; cazibenin bir kısmı budur: karmaşık bir parola yazmaktan daha az sürtünmeyle daha güçlü güvenlik.

Passkey'ler bir sektör birliği tarafından geliştirilen açık standartlar üzerine kurulu; bu da tek bir şirkete bağlı olmadıkları anlamına gelir. Bir telefon üreticisinin ya da tarayıcının ekosistemi gibi hizmetler aracılığıyla bir kullanıcının cihazları arasında eşitlenebilirler; böylece bir cihazda oluşturulan bir passkey, altta yatan özel anahtarı açığa çıkarmadan başka bir cihazda kullanılabilir.

Güvenlik faydaları önemli. Çalınacak yeniden kullanılabilir bir parola olmadığı için en yaygın saldırılar -kimlik bilgisi doldurma, oltalama ve parola sızdıran veritabanı ihlalleri- gücünün çoğunu kaybeder. Sıradan kullanıcılar için bir passkey, hesap ele geçirmeyi gerçekçi bir tehditten çok daha zor bir tehdide dönüştürebilir.

Bu avantajlara rağmen benimseme dengesizdi; yeni web sitesinin vurguladığı da bu. Birçok büyük hizmet passkey desteği ekledi ama diğerleri hâlâ yalnızca parolalara dayanıyor ya da passkey'leri belirsiz bir seçenek olarak ele alıyor. Kampanya bu boşluğu görünür kılmayı ve geri kalanları yetişmeye zorlamayı amaçlıyor.

Benimsemenin geride kalmasının gerçek nedenleri var. Passkey'leri mevcut hesap sistemlerine sonradan eklemek mühendislik çabası gerektirir, destek ekipleri yeni kurtarma senaryolarını ele almak zorundadır ve şirketler geçiş ortasında kullanıcıları şaşırtmaktan endişe eder. Bunların hiçbiri önemsiz değil ama savunucular bunların çözülebilir ve gecikmiş olduğunu öne sürüyor.

Kullanıcılar için pratik tavsiye basit: bir hizmet passkey sunuyorsa, bir tane etkinleştirmek özellikle e-posta ve bankacılık gibi önemli hesaplar için genellikle çok az dezavantajla güvenliği artırır. Parolalar bir gecede yok olmayacak ama her passkey en yaygın saldırılara maruz kalmayı azaltır.

TechCrunch raporunun öne sürdüğü gibi daha geniş önem ivmedir. Hangi şirketlerin geçiş yaptığını ve yapmadığını alenen izleyerek yeni web sitesi, yavaş bir teknik göçü görünür bir skor tablosuna dönüştürüyor ve sektörü parolanın nihayet daha küçük bir rol oynadığı bir geleceğe doğru itiyor.