Passkey Dönemi: Google, Apple ve Microsoft'un Şifresiz Giriş Desteği ve FIDO2 Standardı

On yıllardır dijital güvenliğin en zayıf halkası olan parolalar, tarihlerinin en ciddi meydan okumasıyla karşı karşıya. Passkey adı verilen şifresiz giriş teknolojisi, Google, Apple ve Microsoft'un ortak desteğiyle deneysel bir fikir olmaktan çıkıp ana akım bir kimlik doğrulama yöntemine dönüştü. Bankalardan e-ticaret platformlarına, sosyal ağlardan işletim sistemlerine kadar giderek genişleyen bir ekosistem artık kullanıcılarına "parolanızı unutun" diyor — hem de bunu güvenliği artırarak yapıyor.

Passkey Nedir ve Nasıl Çalışır?

Passkey, paylaşılan bir sır (parola) yerine açık anahtar kriptografisine dayanan bir kimlik bilgisidir. Bir siteye passkey ile kayıt olduğunuzda cihazınız bir anahtar çifti üretir: açık anahtar sunucuya gönderilir, özel anahtar ise cihazınızdan hiç ayrılmaz. Giriş sırasında sunucu bir doğrulama isteği (challenge) gönderir; cihazınız bu isteği özel anahtarla imzalar ve siz işlemi parmak izi, yüz tanıma veya cihaz PIN'i ile onaylarsınız.

Bu mimarinin parolalara karşı yapısal üstünlükleri var:

• Oltalamaya dirençli: Passkey, oluşturulduğu alan adına kriptografik olarak bağlıdır. Sahte bir site, gerçek sitenin passkey'ini kullanamaz; kullanıcı kandırılsa bile imza doğrulanmaz.
• Sunucu sızıntısı değersizleşir: Sunucuda yalnızca açık anahtar durur. Veritabanı sızdırılsa bile saldırganın eline giriş için kullanılabilecek bir sır geçmez.
• Tekrar kullanım sorunu yoktur: Her hizmet için ayrı anahtar çifti üretildiğinden, bir hesabın ele geçirilmesi diğerlerini etkilemez.
• Tahmin edilemez: Zayıf parola, sözlük saldırısı ve kaba kuvvet denemeleri tamamen anlamsız hale gelir.

FIDO2 Standardı: WebAuthn ve CTAP

Passkey'in arkasındaki teknik temel, FIDO Alliance ile W3C'nin birlikte geliştirdiği FIDO2 standardı. FIDO2 iki bileşenden oluşuyor: tarayıcı ve web uygulamalarının kimlik doğrulama API'sini tanımlayan WebAuthn ile, harici güvenlik anahtarları ve telefonlar gibi doğrulayıcı cihazlarla iletişimi düzenleyen CTAP (Client to Authenticator Protocol).

WebAuthn'in W3C standardı haline gelmesiyle tüm büyük tarayıcılar bu API'yi destekledi; ancak teknolojinin kitlesel kullanıma ulaşması için kritik eşik, anahtarların cihazlar arasında taşınabilmesiydi. İlk nesil FIDO kimlik bilgileri tek cihaza bağlıydı; telefon değiştiren kullanıcı anahtarlarını kaybediyordu. Passkey kavramı tam bu sorunu çözüyor: anahtarlar, platform sağlayıcısının bulut altyapısında uçtan uca şifreli olarak eşitleniyor.

Passkey'i önceki şifresiz giriş denemelerinden ayıran şey teknoloji değil, taşınabilirlik ve üç büyük platformun aynı anda arkasında durması.

Üç Devin Ortak Hamlesi

Dönüm noktası, Apple, Google ve Microsoft'un 2022'de yaptıkları ortak duyuruyla FIDO standardına dayalı şifresiz girişi platformlarına taşıma taahhüdü oldu. Sonrasında adımlar hızla geldi:

• Apple, iOS 16 ve macOS Ventura ile passkey desteğini işletim sistemine yerleştirdi; anahtarlar iCloud Anahtar Zinciri üzerinden tüm Apple cihazlarına eşitleniyor.
• Google, Android ve Chrome'a passkey desteği ekledikten sonra Google hesaplarına passkey ile girişi tüm kullanıcılara açtı; anahtarlar Google Şifre Yöneticisi'nde saklanıyor.
• Microsoft, Windows Hello altyapısını passkey ile bütünleştirdi ve tüketici Microsoft hesaplarında şifresiz girişi destekler hale geldi.

Platformların yanı sıra 1Password ve Bitwarden gibi bağımsız parola yöneticileri de passkey saklama ve eşitleme desteği sunarak ekosistemi tek bir şirkete bağımlı olmaktan çıkarmaya başladı. Bu arada QR kod ve Bluetooth yakınlık doğrulaması üzerinden, telefonda kayıtlı bir passkey ile başka bir cihazda oturum açmak da mümkün; çapraz cihaz senaryoları standardın parçası.

Sınırlamalar ve Eleştiriler

Tablo parlak olsa da passkey'in olgunlaşması gereken yönleri var:

• Ekosistem kilidi endişesi: Anahtarları bir platformun bulutunda eşitlemek, kullanıcıyı o ekosisteme bağlama riski taşıyor. FIDO Alliance, kimlik bilgilerinin sağlayıcılar arasında güvenli aktarımına yönelik standartlaşma çalışmaları yürütüyor.
• Hesap kurtarma: Tüm cihazlara erişimin kaybedildiği senaryolarda kurtarma süreci, platform hesabının kurtarılabilirliğine dayanıyor; bu da güvenlik zincirini o hesabın korumasına bağlıyor.
• Geçiş dönemi karmaşası: Çoğu hizmet passkey'i parolanın yanına ek seçenek olarak sunuyor. Parola ortadan kalkmadığı sürece oltalama yüzeyi de tamamen kapanmıyor.
• Kurumsal entegrasyon: Eski sistemlerle çalışan kurumlarda passkey'e geçiş, kimlik altyapısının elden geçirilmesini gerektirebiliyor.

Şifresiz Geleceğe Geçiş Nasıl İlerliyor?

Son yıllarda büyük e-ticaret, finans ve sosyal medya platformlarının önemli bölümü passkey desteği duyurdu; işletim sistemleri yeni hesap açılışlarında passkey'i öne çıkarmaya başladı. Web geliştiricileri içinse passkey eklemek artık egzotik bir proje değil: WebAuthn API'si tüm modern tarayıcılarda mevcut ve popüler kimlik doğrulama servisleri hazır passkey akışları sunuyor. Standartların ayrıntıları için FIDO Alliance'ın resmi sitesi iyi bir başlangıç noktası.

Kullanıcı tarafında ise geçiş davranış değişikliği gerektiriyor. Parola yöneticisi alışkanlığı bile henüz tam yerleşmemişken, "parolasız hesap" fikri birçok kullanıcıya başta tedirgin edici geliyor. Bu nedenle hizmetlerin çoğu yumuşak bir strateji izliyor: passkey önce ek seçenek olarak sunuluyor, kullanıcı alıştıkça parola arka plana itiliyor. Sektördeki genel beklenti, geçişin tek bir kırılma anıyla değil, yıllara yayılan sessiz bir alışkanlık değişimiyle tamamlanacağı yönünde.

Sonuç

Passkey, parolanın icadından bu yana kimlik doğrulamada atılmış en önemli adım olarak değerlendirilebilir. Teknik temeli sağlam, platform desteği eksiksiz, kullanıcı deneyimi paroladan daha basit. Önümüzdeki dönemin sorusu teknolojinin işe yarayıp yaramayacağı değil; milyarlarca kullanıcının alışkanlıklarının ve milyonlarca web sitesinin altyapısının bu yeni modele ne hızla taşınacağı.