Tarihteki her kimlik bilgisi phishing kampanyası tek bir tasarım kusuruna yaslandı: kullanıcı bir sır bilir ve yeterince ikna edici bir sahte sayfa o sırrı isteyebilir. Passkey'ler kusuru kökünden kaldırır. Yazılacak bir sır yoktur; dolayısıyla çalınacak bir şey de yoktur: ne phishing'le, ne veritabanı ihlaliyle, ne omuz üstünden bakmayla.
Mekanik önemli; çünkü bunun neden "bir MFA yöntemi daha" olmadığını mekanik açıklıyor.
Passkey gerçekte nedir
Passkey, cihazınızın (dizüstü, telefon ya da donanım anahtarı) ürettiği bir kriptografik anahtar çiftidir. Özel anahtar authenticator'dan hiç çıkmaz. Girişte web sitesi tek kullanımlık bir challenge gönderir; cihaz önce sizi doğrular (biyometri ya da PIN), sonra challenge'ı imzalar; sunucu imzayı kayıt sırasında sakladığı açık anahtarla kontrol eder.
Bu tasarımdan iki özellik kendiliğinden düşer:
- Origin bağlama. Tarayıcı, challenge'ı yalnızca passkey'in kayıtlı olduğu site için imzalar. Benzer alan adındaki piksel piksel kopya bir sahte sayfa hiçbir şey alamaz; o origin için kimlik bilgisi zaten yoktur. Passkey'leri sıradan bir ikinci faktör değil, phishing'e dirençli MFA yapan budur.
- Paylaşılan yok, tekrarlanabilir yok. Sunucu açık anahtar saklar. Sunucuyu ihlal ettiğinizde elinize geçen… bir açık anahtar listesidir. Her imza tek kullanımlık bir challenge'a bağlıdır: yakalanan bir tören tekrar oynatılamaz; challenge kullanıldığı anda tüketilir.
Yaygınlaşmayı sürükleyen ayrıntı: autofill
Modern spesifikasyonun az takdir edilen kısmı keşfedilebilir kimlik bilgileri + conditional mediation. Düz Türkçesiyle: tarayıcı bu site için hangi passkey'leri tuttuğunuzu bilir ve onları, kayıtlı parolaları önerdiği gibi kullanıcı adı alanının içinde önerir. Kullanıcı adı yazılmaz, "hangi yöntem?" karar ağacı yoktur. Adınıza tıklarsınız, sensöre dokunursunuz, içeridesiniz.
Parolasız girişi gerçek kullanıcılarda kalıcı yapan bu etkileşimdir. Güvenlik ekipleri passkey'i phishing direnci için benimser; kullanıcılar giriş hızlandığı için vazgeçmez.
Kurumsal yaygınlaştırma demodan fazlasını ister
Tüketici passkey demosu beş dakika sürer. Kurumsal devreye almanın listesi daha uzundur:
- Tek değil, iki politika. Passkey hem paroladan sonra MFA adımı hem de baştan sona parolasız giriş olarak çalışır. Doğrulama çıtası farklı olmalıdır: adım doğrulamada authenticator'ın varsayılanı yeterli olabilir; parolasız girişte kullanıcı doğrulaması zorunludur, çünkü törenin tamamı artık passkey'dir.
- Kapsam. Passkey, kaydedildiği host'a bağlıdır. Çok kiracılı ya da çok alanlı kurulumda bu bir özelliktir (bir kiracı için üretilen kimlik bilgisi diğerinde geçmez) ama yaygınlaştırma planınız bunu hesaba katmalıdır.
- Yaşam döngüsü. Kayıt sürecinin bir kurtarma hikâyesi olmalı (telefonunu kaybeden kullanıcı yeni cihaz kaydedebilmeli) ve iptal anında etkili olmalı: kaldırılan passkey o andan itibaren giriş yapamamalıdır.
- Birlikte yaşama. Filolar heterojendir. Passkey'ler mevcut faktörlerin (TOTP, push, donanım anahtarı) yanında, kimin neyi kullanacağına politika karar vererek yayılır; "bayrak günü" göçüyle değil.
Monofor bu tabloda nerede
Monosign passkey'i uçtan uca sunar: kullanıcının kendi hesap sayfasından kayıt, MFA adımı ve tam parolasız giriş, destekleyen tarayıcılarda conditional mediation ile autofill, host bazında kimlik bilgisi kapsamı, yönetici kontrolünde cihaz limitleri ve parolasız anahtarları, hâlihazırda çalıştırdığınız diğer tüm faktörlerin yanında. Büyük resim parolasız giriş ve MFA çözüm sayfasında.
Parola elli yıllık güzel bir kariyer yaptı. Emeklilik planı hazır.
Devamı için: Multi-Factor Authentication (Çok Faktörlü Kimlik Doğrulama) Nedir ve passkeys sözlük maddesi.
