Passkey Nedir? Şifresiz Giriş İçin 9 Güçlü Güvenlik Avantajı

Passkey nedir sorusu, Google, Apple, Microsoft ve diğer dijital platformların şifre yerine geçiş anahtarlarını kullanmaya başlamasıyla birlikte teknoloji kullanıcılarının en çok araştırdığı güvenlik konularından biri hâline geldi.

Passkey veya Türkçedeki karşılığıyla geçiş anahtarı; bir internet sitesine ya da uygulamaya parola yazmadan, cihazınızın ekran kilidini açarken kullandığınız parmak izi, yüz tanıma veya PIN yöntemiyle giriş yapmanızı sağlayan dijital kimlik doğrulama teknolojisidir.

Geleneksel parolalarda kullanıcı ve hizmet sağlayıcı aynı gizli bilgiyi bilmek zorundadır. Passkey sisteminde ise açık ve özel anahtar adı verilen iki parçalı bir kriptografik yapı kullanılır. İnternet sitesi yalnızca açık anahtarı saklar; hesaba giriş yapılmasını sağlayan özel anahtar cihazınızda veya güvenilir kimlik bilgisi yöneticinizde korunur.

Bu rehberde Passkey nedir, nasıl çalışır, paroladan farkı nedir, güvenli midir ve telefon kaybolduğunda ne olur gibi önemli soruları ayrıntılı biçimde inceleyeceğiz.

Passkey Nedir?

Passkey nedir sorusuna en basit şekilde “parolanın yerine geçen kriptografik giriş anahtarı” yanıtı verilebilir.

Passkey kullanırken bir siteye giriş yapmak için uzun bir parola yazmanız veya telefonunuza gelen kısa mesaj kodunu girmeniz gerekmez. Cihazınız sizden aşağıdaki yöntemlerden biriyle kimliğinizi doğrulamanızı ister:

• Parmak izi,
• Yüz tanıma,
• Cihaz ekran kilidi PIN’i,
• Desen kilidi,
• FIDO2 uyumlu fiziksel güvenlik anahtarı.

Doğrulama başarıyla tamamlandığında cihazdaki özel anahtar, internet sitesinin gönderdiği kriptografik isteği imzalar. Site, bu imzayı daha önce kaydedilmiş açık anahtarla kontrol eder ve hesaba giriş izni verir.

Bu işlem sırasında özel anahtar internet sitesine gönderilmez. Sunucuda saklanan açık anahtar ise tek başına hesaba giriş yapmak için kullanılamaz.

Passkey Nasıl Çalışır?

Passkey teknolojisi, açık anahtarlı şifreleme sistemine dayanır. Kullanıcı bir hesap için geçiş anahtarı oluşturduğunda birbiriyle ilişkili iki anahtar meydana gelir.

Açık anahtar

Açık anahtar, hesabın bulunduğu internet sitesine veya uygulamaya gönderilir. Gizli değildir ve sunucuda saklanabilir.

Özel anahtar

Özel anahtar cihazda, donanım güvenlik modülünde veya şifrelenmiş bir kimlik bilgisi yöneticisinde tutulur. Giriş işlemini gerçekleştiren asıl anahtar budur.

Giriş sırasında ne olur?

1. Kullanıcı internet sitesindeki giriş düğmesine basar.
2. Site, cihazdan kriptografik bir doğrulama ister.
3. Cihaz kullanıcıdan parmak izi, yüz tanıma veya PIN talep eder.
4. Kimlik doğrulandıktan sonra özel anahtar isteği imzalar.
5. Site, imzayı kayıtlı açık anahtarla doğrular.
6. Bilgiler eşleşirse hesaba giriş yapılır.

Sistemin önemli özelliklerinden biri, geçiş anahtarının oluşturulduğu internet alanına bağlı olmasıdır. Örneğin gerçek bir bankanın alan adı için oluşturulan passkey, benzer görünümlü sahte bir alan adında çalışmaz.

Passkey Nedir? 9 Güçlü Güvenlik Avantajı

1. Kimlik Avı Saldırılarına Karşı Daha Güçlüdür

Geleneksel parolalar, gerçeğine benzeyen sahte bir giriş ekranına yazılabilir. Kullanıcı farkında olmadan e-posta adresini, parolasını ve hatta kısa mesaj kodunu saldırgana verebilir.

Passkey, kayıtlı olduğu alan adına kriptografik olarak bağlıdır. Bu nedenle başka bir alan adına sahip sahte sitede kullanılamaz.

FIDO Alliance, geçiş anahtarlarının bu alan adı bağlantısı nedeniyle kimlik avına dayanıklı olduğunu belirtmektedir.

Ayrıntılı teknik bilgi için FIDO Alliance Passkey kaynaklarını inceleyebilirsiniz.

2. Hatırlanması Gereken Parola Bulunmaz

Passkey nedir sorusunun kullanıcılar açısından en önemli yanıtlarından biri kolaylıktır. Passkey kullanırken her site için ayrı bir parola üretmek ve bunları hatırlamak gerekmez.

Kullanıcıların parola konusunda yaptığı yaygın hatalar şunlardır:

• Aynı parolayı birçok hesapta kullanmak,
• Kolay tahmin edilen kelimeler seçmek,
• Parolayı not kâğıdına yazmak,
• Parolaları mesaj veya e-posta yoluyla göndermek,
• Uzun süre boyunca aynı parolayı değiştirmemek.

Passkey, bu davranışlardan kaynaklanan risklerin önemli bölümünü ortadan kaldırabilir.

3. Veri Sızıntısında Kullanılabilir Parola Çalınmaz

Parola kullanan sistemlerde sunucu, parolanın kendisini veya matematiksel özetini saklar. Güvenlik önlemleri yetersizse saldırganlar bu verileri ele geçirip parolaları tahmin etmeye çalışabilir.

Passkey kullanan bir hizmette sunucuda yalnızca açık anahtar bulunur. Açık anahtarın ele geçirilmesi, saldırgana özel anahtarı üretme veya kullanıcı adına giriş yapma imkânı vermez.

Bu durum, veri ihlalinin hiçbir risk oluşturmadığı anlamına gelmez. Kullanıcı bilgileri, oturum kayıtları veya kurtarma kanalları yine korunmalıdır. Ancak saldırganın doğrudan kullanılabilir bir parola ele geçirme riski azalır.

4. Her Hesap İçin Benzersiz Anahtar Oluşturulur

Passkey sistemi her hizmet için ayrı bir anahtar çifti oluşturur.

Bir platformda meydana gelen güvenlik sorunu, aynı geçiş anahtarının başka sitelerde kullanılmasına yol açmaz. Çünkü anahtarlar birbirinden bağımsızdır ve ilgili alan adına bağlanmıştır.

Bu özellik, kullanıcıların aynı parolayı birçok hesapta kullanmasından kaynaklanan parola doldurma saldırılarına karşı önemli bir avantaj sağlar.

5. Giriş İşlemini Hızlandırır

Uzun parola yazmak, SMS kodu beklemek veya doğrulama uygulamasını açmak yerine cihaz kilidini açmak yeterlidir.

Passkey ile giriş çoğu zaman şu kadar basittir:

1. Giriş yap seçeneğine dokunun.
2. Parmak izinizi okutun veya yüzünüzü doğrulatın.
3. Hesabın açılmasını bekleyin.

Özellikle mobil cihazlarda küçük klavyelerde karmaşık parola yazma zorunluluğunu ortadan kaldırması kullanıcı deneyimini iyileştirebilir.

6. SMS Koduna Bağımlılığı Azaltır

SMS tabanlı doğrulama, yalnızca parolaya göre ek güvenlik sağlayabilir. Ancak telefon numarasının başka bir SIM karta taşınması, mesajların ele geçirilmesi veya kodun sahte siteye yazılması gibi riskler bulunur.

Passkey, giriş işlemini cihaza ve alan adına bağlı bir kriptografik doğrulamayla gerçekleştirir. Böylece SMS kodunun gelmesini beklemek veya kodu elle yazmak gerekmez.

Yine de hesap kurtarma sürecinde telefon numarası kullanılabiliyorsa bu kanalın güvenliği ayrıca değerlendirilmelidir.

7. Biyometrik Veri İnternet Sitesine Gönderilmez

Parmak izi veya yüz tanıma, geçiş anahtarını kullanmaya izin vermek amacıyla cihaz üzerinde çalışır.

İnternet sitesi genellikle parmak izinizin görüntüsünü veya yüz verinizi almaz. Site yalnızca cihazın başarılı bir kriptografik imza oluşturduğunu doğrular.

Google, geçiş anahtarıyla kullanılan parmak izi ve yüz verisinin cihazda kaldığını ve Google ile paylaşılmadığını açıklamaktadır.

Resmî kullanım bilgileri için Google geçiş anahtarı yardım sayfasını inceleyebilirsiniz.

8. Farklı Cihazlarda Kullanılabilir

Geçiş anahtarları, kullanılan işletim sistemi ve kimlik bilgisi yöneticisine bağlı olarak cihazlar arasında şifreli biçimde eşitlenebilir.

Örneğin kullanıcı:

• Telefonda oluşturduğu geçiş anahtarını tabletinde kullanabilir,
• Bilgisayarda giriş yaparken telefonuyla QR kod okutabilir,
• Fiziksel FIDO2 güvenlik anahtarını farklı cihazlara takabilir,
• Desteklenen parola yöneticileri aracılığıyla anahtarlarını eşitleyebilir.

Çapraz cihaz girişinde telefon ve bilgisayar arasında yakınlık kontrolü ve güvenli iletişim kullanılabilir.

9. Kurumsal Hesap Güvenliğini Güçlendirebilir

Çalışan hesaplarının ele geçirilmesi, şirket verilerinin sızmasına ve iş süreçlerinin durmasına neden olabilir.

Passkey kullanımı işletmelerde şu riskleri azaltabilir:

• Çalışanın parolasını sahte siteye girmesi,
• Parola paylaşımı,
• Aynı parolanın kişisel ve kurumsal hesaplarda kullanılması,
• Zayıf parola seçimi,
• Destek birimine yapılan parola sıfırlama talepleri.

Ancak kurumsal geçiş anahtarı kullanımında cihaz yönetimi, çalışan işten ayrıldığında erişimin kaldırılması ve hesap kurtarma süreçleri ayrıca planlanmalıdır.

Passkey ve Parola Arasındaki Farklar

Passkey Kullanırken Parmak İzi ve Yüz Verisi Paylaşılır mı?

Hayır. Standart bir passkey uygulamasında biyometrik veri internet sitesine gönderilmez.

Parmak izi veya yüz tanıma şu amaçla kullanılır:

1. Cihazın gerçek kullanıcısının işlem yaptığını doğrulamak,
2. Cihazdaki özel anahtarın kullanılmasına izin vermek,
3. Kriptografik giriş işlemini başlatmak.

İnternet sitesi yalnızca giriş isteğinin doğru özel anahtarla imzalanıp imzalanmadığını kontrol eder.

Biyometrik doğrulama kullanmak istemeyen kişiler desteklenen cihazlarda PIN veya ekran kilidi gibi alternatif yöntemlerden yararlanabilir.

Apple, passkey sisteminin WebAuthn standardına ve açık anahtarlı şifrelemeye dayandığını; özel anahtarın hizmet sağlayıcı tarafından öğrenilmediğini açıklamaktadır.

Teknik açıklama için Apple Passkey Güvenliği sayfasını inceleyebilirsiniz.

Passkey Nasıl Oluşturulur?

Kurulum adımları hizmete göre değişebilir. Genel süreç şu şekildedir:

1. Passkey destekleyen uygulama veya internet sitesinde hesabınıza giriş yapın.
2. Hesap, güvenlik veya oturum açma ayarlarını açın.
3. “Geçiş anahtarı ekle”, “Passkey oluştur” veya benzer seçeneği bulun.
4. Anahtarın hangi cihazda veya kimlik bilgisi yöneticisinde saklanacağını kontrol edin.
5. Parmak izi, yüz tanıma veya cihaz PIN’i ile işlemi onaylayın.
6. Oluşturulan anahtara cihazı tanımlayan anlaşılır bir ad verin.
7. Kurtarma seçeneklerinin güncel olduğunu kontrol edin.

Google hesabında passkey oluşturma

Google hesabının güvenlik bölümündeki “Geçiş anahtarları ve güvenlik anahtarları” alanı kullanılabilir. Desteklenen cihaz ve tarayıcı gereksinimleri zaman içinde değişebileceği için Google’ın güncel yardım sayfası kontrol edilmelidir.

Windows’ta geçiş anahtarlarını yönetme

Windows üzerinde yerel olarak saklanan geçiş anahtarları, desteklenen sürümlerde Ayarlar uygulamasındaki hesap ve geçiş anahtarları bölümünden görüntülenebilir veya silinebilir.

Güncel adımlar için Microsoft geçiş anahtarı yönetimi rehberini inceleyebilirsiniz.

Telefon veya Bilgisayar Kaybolursa Ne Olur?

Passkey kullanırken en önemli planlama konularından biri cihaz kaybıdır.

Geçiş anahtarı güvenilir bir hesap üzerinden şifreli biçimde eşitleniyorsa yeni cihazda aynı hesaba giriş yapılarak anahtarlara yeniden ulaşılabilir.

Anahtar yalnızca tek bir cihazda yerel olarak tutuluyorsa cihaz kaybı erişim sorununa neden olabilir.

Riskleri azaltmak için:

• Hesap kurtarma bilgilerini güncel tutun.
• Birden fazla güvenilir cihazda geçiş anahtarı oluşturun.
• Gerekirse yedek FIDO2 güvenlik anahtarı kullanın.
• Kaybolan cihazı hesap ayarlarından kaldırın.
• Cihazımı Bul benzeri uzaktan kilitleme hizmetlerini etkinleştirin.
• Kurtarma kodlarını güvenli ve çevrimdışı bir yerde saklayın.
• Yeni anahtarın çalıştığını doğrulamadan eski anahtarı silmeyin.

Cihazın ekran kilidi güçlü biçimde korunuyorsa telefonu bulan kişi yalnızca cihazı ele geçirerek geçiş anahtarını kullanamaz. Yine de kayıp cihaz mümkün olan en kısa sürede uzaktan kilitlenmelidir.

Passkey Tamamen Risksiz mi?

Hayır. Hiçbir güvenlik yöntemi bütün riskleri ortadan kaldırmaz.

Passkey güvenliğini etkileyebilecek durumlar şunlardır:

• Zayıf cihaz PIN’i kullanmak,
• Passkey’i ortak kullanılan bilgisayarda oluşturmak,
• Ekran kilidi olmayan cihaz kullanmak,
• Güvensiz hesap kurtarma süreci,
• Kimlik bilgisi yöneticisi hesabının ele geçirilmesi,
• Cihazın zararlı yazılımla kontrol edilmesi,
• Kullanıcının saldırgana açık oturum vermesi,
• Yetkisiz kişinin kilidi açık cihazı kullanması.

Google da ortak cihazlarda passkey oluşturulmamasını önerir. Çünkü cihazın kilidini açabilen başka bir kişi ilgili hesaba erişebilir.

Passkey ile İki Faktörlü Doğrulama Aynı mı?

Tam olarak aynı değildir.

İki faktörlü doğrulama genellikle şu bileşenlerden ikisini kullanır:

• Bildiğiniz bir şey: parola veya PIN,
• Sahip olduğunuz bir şey: telefon veya güvenlik anahtarı,
• Olduğunuz bir şey: parmak izi veya yüz.

Passkey, cihazın sahipliği ile cihaz kilidinin açılmasını birleştirerek güçlü bir doğrulama sağlayabilir. Bazı hizmetlerde geçiş anahtarı kullanıldığında ayrıca SMS veya doğrulama kodu istenmeyebilir.

Ancak hizmet sağlayıcının güvenlik politikası, risk analizi ve hesap kurtarma sistemi farklı olabilir. Bazı kritik işlemlerde ek doğrulama talep edilebilir.

Senkronize ve Cihaza Bağlı Passkey Arasındaki Fark

Senkronize passkey

Şifrelenmiş biçimde aynı kullanıcıya ait cihazlar arasında eşitlenebilir.

Avantajları:

• Yeni cihaza geçmek daha kolaydır.
• Tek cihaz kaybında erişim tamamen kaybolmayabilir.
• Günlük kullanıcılar için daha pratiktir.

Cihaza bağlı passkey

Belirli bir cihazda veya fiziksel güvenlik anahtarında tutulur ve otomatik olarak başka cihazlara aktarılmaz.

Avantajları:

• Anahtarın taşınabilirliği daha sınırlıdır.
• Yüksek güvenlik gerektiren kurumlarda kontrollü kullanım sağlayabilir.
• Fiziksel güvenlik anahtarlarıyla uygulanabilir.

Kurumsal sistemlerde hangi modelin seçileceği, güvenlik gereksinimleri ve cihaz yönetim politikalarına göre belirlenmelidir.

İşletmeler Passkey Kullanmalı mı?

İşletmeler için Passkey nedir sorusu yalnızca kullanıcı kolaylığı değil, kimlik ve erişim yönetimi açısından da önemlidir.

Passkey geçişinden önce şu konular planlanmalıdır:

• Çalışan cihazlarının yönetimi,
• Kişisel ve kurumsal cihaz ayrımı,
• Çalışan işten ayrıldığında erişimin kaldırılması,
• Yönetici hesapları için fiziksel güvenlik anahtarı,
• Hesap kurtarma ve kimlik doğrulama prosedürü,
• Kayıp cihaz bildirim süreci,
• Olay kayıtları ve denetim izleri,
• Eski sistemlerle uyumluluk,
• Kullanıcı eğitimi.

Passkey kullanımı, zayıf erişim yetkilendirmesi veya yetersiz veri koruma politikalarının yerine geçmez. Kullanıcı hangi hesaba hangi yetkiyle erişebiliyor sorusu ayrıca yönetilmelidir.

Kişisel verilerin korunmasına ilişkin kurumsal sorumluluklar için Startuplar İçin KVKK Rehberi içeriğimizi inceleyebilirsiniz.

Kritik altyapılardaki erişim ve koruma yaklaşımları için Siber Güvenlikte Endüstriyel Kontrollerin Önemi yazımızdan yararlanabilirsiniz.

Passkey Kullanırken Uygulanacak Güvenlik Kontrol Listesi

Passkey Kullanırken Sık Yapılan Hatalar

• Ortak veya halka açık bilgisayarda passkey oluşturmak,
• Cihazda çok basit bir PIN kullanmak,
• Kurtarma e-postası ve telefonunu güncellememek,
• Tek geçiş anahtarını silmeden önce yedek yöntem oluşturmamak,
• Eski cihazları hesap ayarlarında bırakmak,
• Telefon kaybolduğunda uzaktan kilitleme yapmamak,
• Passkey’in bütün siber saldırıları önlediğini düşünmek,
• Hesap kurtarma kanallarının güvenliğini ihmal etmek,
• Kurumsal cihaz politikasını belirlemeden sistemi çalışanlara açmak,
• Passkey ile cihaz ekran kilidini aynı kavram sanmak.

Güvenilir Teknik Kaynaklar

• FIDO Alliance Passkey Kaynakları
• Google Geçiş Anahtarı Rehberi
• Apple Passkey Güvenliği
• Microsoft Geçiş Anahtarı Yönetimi

Sık Sorulan Sorular

Passkey nedir?

Passkey nedir sorusunun kısa yanıtı, parola yerine cihaz kilidi ve açık anahtarlı şifreleme kullanılarak hesaba giriş yapılmasını sağlayan dijital kimlik doğrulama yöntemidir.

Passkey Türkçede ne demektir?

Passkey için Türkçede genellikle “geçiş anahtarı” ifadesi kullanılır.

Passkey güvenli mi?

Passkey, alan adına bağlı olması, özel anahtarın sunucuya gönderilmemesi ve tekrar kullanılabilir parola içermemesi nedeniyle geleneksel parolalara göre güçlü güvenlik avantajları sunar.

Passkey kullanmak için parmak izi şart mı?

Hayır. Desteklenen cihazlarda yüz tanıma, cihaz PIN’i veya fiziksel güvenlik anahtarı da kullanılabilir.

Passkey parolayı tamamen kaldırır mı?

Hizmete göre değişir. Bazı platformlar tamamen şifresiz giriş sunarken bazıları parolayı veya diğer kurtarma yöntemlerini hesapta tutmaya devam eder.

Passkey çalınabilir mi?

Özel anahtar doğrudan yazılıp paylaşılabilen bir parola değildir. Ancak kilidi açık cihaz, zayıf cihaz PIN’i veya ele geçirilmiş kurtarma hesabı güvenlik riski oluşturabilir.

Telefon kaybolursa passkey de kaybolur mu?

Anahtar güvenilir bir kimlik bilgisi yöneticisiyle eşitleniyorsa yeni cihazda geri yüklenebilir. Yalnızca yerel cihazda tutulan anahtar için yedek giriş yöntemi gerekebilir.

Passkey farklı telefonda kullanılabilir mi?

Evet. Desteklenen sistemlerde anahtarlar cihazlar arasında eşitlenebilir veya başka cihazdaki passkey QR kod ve yakınlık doğrulamasıyla kullanılabilir.

Passkey ve parola yöneticisi aynı şey mi?

Hayır. Parola yöneticisi metin biçimindeki parolaları saklayabilir. Passkey ise açık anahtarlı şifreleme kullanan farklı bir kimlik bilgisidir. Bazı parola yöneticileri passkey saklama özelliği de sunar.

Passkey internet olmadan çalışır mı?

Cihazın kimliği yerel olarak doğrulaması internet olmadan gerçekleşebilir. Ancak çevrim içi hesaba giriş için cihazın ve hizmetin genellikle internet bağlantısına ihtiyacı vardır.

Passkey SMS doğrulamasından daha mı güvenlidir?

Passkey, alan adına bağlı ve kimlik avına dayanıklı olacak şekilde tasarlandığı için SMS kodlarına göre önemli güvenlik avantajlarına sahiptir. Hesap kurtarma süreci yine güvenli biçimde yapılandırılmalıdır.

Bir hesabın kaç passkey’i olabilir?

Hizmetin kurallarına bağlı olarak aynı hesap için telefon, bilgisayar veya fiziksel güvenlik anahtarı üzerinde birden fazla passkey oluşturulabilir.

Passkey Nedir? Sonuç

Passkey nedir sorusu, dijital hesap güvenliğinin parolalardan kriptografik geçiş anahtarlarına doğru ilerlemesini anlamak açısından önemlidir.

Passkey sistemi; kullanıcıdan uzun parola ezberlemesini istemeden, cihaz kilidi ve açık anahtarlı şifrelemeyle güvenli giriş yapmayı amaçlar.

Alan adına bağlı çalışması, kimlik avı saldırılarına karşı daha güçlü olması ve sunucuda kullanılabilir bir gizli anahtar bırakmaması önemli avantajlarıdır.

Bununla birlikte güçlü cihaz kilidi, güvenli hesap kurtarma seçenekleri, yedek erişim yöntemi ve kayıp cihaz yönetimi ihmal edilmemelidir.

Doğru yapılandırıldığında passkey teknolojisi, bireysel kullanıcıların ve işletmelerin daha hızlı, kolay ve güvenli bir oturum açma deneyimine geçmesine yardımcı olabilir.