Passkey Nedir? Şifresiz Giriş Sistemi Nasıl Çalışır?

Parola kullanmadan bir web sitesine veya uygulamaya giriş yapmak birkaç yıl önce uzak bir fikir gibi görünüyordu. Bugün ise telefon, bilgisayar ve tarayıcıların güvenlik altyapısı bu yöntemi günlük kullanımın bir parçası haline getiriyor. Passkey nedir sorusunun kısa cevabı, parolanın yerine kullanılan ve FIDO standartlarına dayanan kriptografik bir kimlik doğrulama bilgisidir. Kullanıcı giriş sırasında uzun bir şifre yazmak yerine parmak izi, yüz tanıma, cihaz PIN’i veya ekran kilidi gibi zaten kullandığı bir yöntemle kimliğini doğrular. Buradaki kritik fark, parolanın sunucuya gönderilen bir sır olması yerine cihazda bir özel anahtarın korunması ve servisin karşı tarafta bulunan açık anahtarla bu kimliği doğrulamasıdır. Bu nedenle passkey yaklaşımı yalnızca kullanım kolaylığı sağlamaz; kimlik avı, parola tekrar kullanımı ve parola hırsızlığı gibi önemli riskleri de azaltır. FIDO Alliance’a göre passkey’ler FIDO kimlik bilgileri olarak tasarlanmış, kimlik avına dayanıklı ve parolaların yerini almayı hedefleyen bir kimlik doğrulama yöntemidir.

Passkey Nedir

Passkey nedir diye teknik açıdan baktığımızda, aslında tek bir “şifre” veya kullanıcının ezberlediği gizli bir koddan söz etmiyoruz. Passkey, bir hizmet için oluşturulan kriptografik anahtar çiftinin kullanıcı cihazında güvenli şekilde kullanılmasını sağlayan kimlik doğrulama yöntemidir. Kayıt sırasında özel anahtar cihazda veya seçilen kimlik bilgisi yöneticisinde korunurken, açık anahtar ilgili web sitesi ya da uygulamanın sunucusuna kaydedilir. Giriş sırasında servis bir doğrulama isteği oluşturur ve cihaz, kullanıcının cihaz kilidini açtığını doğruladıktan sonra özel anahtarla bu isteği imzalar. Sunucu da açık anahtar üzerinden imzayı kontrol eder. Böylece klasik bir parolanın internette yazılıp sunucuya gönderilmesi gibi bir süreç yaşanmaz. Passkey nedir sorusunun önemli cevabı tam olarak burada ortaya çıkar: Kullanıcı bir sırrı paylaşmak yerine, sahip olduğu cihazdaki kriptografik kimliği kanıtlar. Bu yapı aynı zamanda her site için ayrı kimlik bilgisi oluşturulmasına yardımcı olduğu için bir sitedeki parolanın başka bir sitede tekrar kullanılmasından kaynaklanan riskleri de ortadan kaldırır.

Passkey Nasıl Oluşturulur

Passkey nasıl oluşturulur sorusunun cevabı kullandığınız siteye, işletim sistemine ve kimlik bilgisi yöneticisine göre biraz değişse de temel akış oldukça benzerdir. Öncelikle passkey desteği sunan web sitesine veya uygulamaya giriş yapılır ve hesap güvenliği ya da oturum açma seçeneklerinden yeni passkey oluşturma seçilir. Ardından tarayıcı veya işletim sistemi passkey’in nereye kaydedileceğini sorabilir. Bu kayıt Windows Hello, Google Password Manager, Apple iCloud Keychain, Microsoft Password Manager, uyumlu bir üçüncü taraf parola yöneticisi veya FIDO2 güvenlik anahtarı üzerinden yapılabilir. Kullanıcı daha sonra parmak izi, yüz tanıma, PIN ya da cihazın başka bir güvenlik yöntemiyle işlemi onaylar. Teknik olarak burada oluşturulan anahtar çifti servis için özeldir; kullanıcının biyometrik verisi web sitesine gönderilmez. FIDO’nun açıklamasına göre passkey kayıt sürecinde cihazdaki doğrulama yöntemi, kimlik bilgisinin kullanılmasına izin veren yerel bir güvenlik adımıdır. Bu yüzden passkey oluştururken ortak kullanılan bir bilgisayar yerine yalnızca sizin kontrolünüzde olan cihazları tercih etmek gerekir.

Passkey Google

Passkey Google araması genellikle Google hesabına passkey ekleme veya mevcut passkey’leri yönetme ihtiyacından kaynaklanıyor. Google hesabında Passkey nedir diye araştıran kullanıcılar için Google’ın güncel yardım dokümanına göre Google hesabında passkey oluşturmak için hesap güvenlik ve oturum açma seçeneklerinden passkey bölümüne gidilebilir; desteklenen cihazlarda “Create a passkey” seçeneği üzerinden cihazın kilidini açarak kayıt tamamlanır. Android, iPhone, iPad, macOS ve Windows gibi modern platformlar uygun tarayıcı ve güvenlik yapılandırmasıyla passkey kullanabilir. AxoYun’daki diğer teknoloji konularına da Teknoloji kategorisi üzerinden ulaşabilirsiniz. Google ayrıca passkey oluşturulan cihazın kişisel olarak size ait olmasını özellikle vurguluyor; çünkü cihazın kilidini açabilen biri, o cihazdaki passkey üzerinden hesabınıza erişebilir. Burada önemli olan nokta, Google hesabındaki passkey’in parmak izi veya yüz verisinin Google’a gönderildiği anlamına gelmemesidir. Biyometrik doğrulama cihaz üzerinde gerçekleştirilir ve servis tarafına biyometrik şablonun kendisi aktarılmaz. Google hesabınız için passkey eklediğinizde mevcut kurtarma yöntemleri veya diğer kimlik doğrulama seçenekleri otomatik olarak silinmez.

Passkey Microsoft

Passkey Microsoft araması ise Microsoft hesabında parola yerine daha hızlı bir oturum açma yöntemi kullanmak isteyen kullanıcıların karşısına çıkıyor. Microsoft’un güncel belgelerine göre kişisel Microsoft hesabında gelişmiş güvenlik seçeneklerinden yeni bir oturum açma veya doğrulama yöntemi eklenerek passkey oluşturulabiliyor. Kullanıcı passkey’i Windows cihazına Windows Hello ile yerel olarak kaydedebileceği gibi Microsoft Password Manager, Google Password Manager, Apple iCloud Keychain, uyumlu başka bir kimlik bilgisi yöneticisi, telefon/tablet veya FIDO2 güvenlik anahtarı gibi seçeneklerden birini kullanabiliyor. Windows tarafında passkey, yüz tanıma, parmak izi veya PIN ile kullanılabiliyor. Microsoft ayrıca senkronize bir kimlik bilgisi yöneticisine kaydedilen passkey’lerin cihazlar arasında kullanılabildiğini belirtiyor. Bu nedenle yeni bilgisayar aldığınızda passkey’in nerede saklandığını bilmek önemli. Eğer yalnızca eski cihazda bulunan cihaza bağlı bir passkey kullanıyorsanız, yeni cihaz için yeni bir passkey oluşturmanız gerekebilir; senkronize bir sağlayıcı kullanıyorsanız geçiş daha kolay olabilir.

Passkey Set up Ne Demek?

Passkey nedir diye araştırırken karşılaşılan Passkey set up ifadesi Türkçede kısaca “passkey kurulumu” veya “geçiş anahtarını ayarlama” anlamına gelir. Bir web sitesinde veya uygulamada “Passkey setup”, “Set up a passkey” ya da benzer bir seçenek gördüğünüzde servis sizden yeni bir parola belirlemenizi değil, hesabınız için passkey oluşturup güvenli bir cihaza kaydetmenizi istiyordur. İşlem sırasında karşınıza çıkan pencere, passkey’in Windows Hello’ya, telefonunuza, parola yöneticinize veya fiziksel güvenlik anahtarına kaydedilmesini önerebilir. Ardından cihazın güvenlik mekanizması devreye girer ve PIN, parmak izi veya yüz tanıma ile kimliğiniz doğrulanır. Burada “setup” kelimesinin ayrı bir teknoloji olmadığını özellikle belirtmek gerekir; yalnızca kurulum adımını ifade eder. Eğer bir site passkey desteklemiyorsa bu seçenek görünmeyebilir. Microsoft da bir web sitesinde passkey oluşturma veya kaydetme istemi görünmüyorsa ilgili hizmetin o anda passkey desteği sunmuyor olabileceğini belirtiyor.

Add Passkey Ne Demek?

Add Passkey ne demek sorusunun cevabı oldukça basittir: “Passkey ekle” anlamına gelir. Bir hesapta bu seçeneği gördüğünüzde, mevcut parola veya iki aşamalı doğrulama yöntemlerinin yanına yeni bir passkey kimlik bilgisi ekleyebilirsiniz. Örneğin bir Google hesabında, Microsoft hesabında veya passkey destekleyen başka bir serviste “Add passkey” seçeneğine bastığınızda sistem kayıt için kullanacağınız cihazı ve güvenlik yöntemini belirlemenizi isteyebilir. Burada “eklemek”, mevcut parolanın anında silineceği anlamına gelmez. Hizmetin politikasına göre parola ile giriş devam edebilir veya kullanıcı daha sonra parola kullanımını azaltan parola önceliksiz giriş ayarlarını etkinleştirebilir. Bu nedenle Add Passkey seçeneğini gördüğünüzde panik yapmaya gerek yoktur; bu ifade hesabınıza yeni bir kimlik doğrulama yöntemi eklediğinizi anlatır. Ancak ortak bilgisayarlarda veya başkasının sürekli kullandığı cihazlarda passkey oluşturmak doğru değildir, çünkü cihazı açabilen kişinin hesap erişimi elde etme riski vardır.

Passkey Nasıl İptal Edilir

Passkey nasıl iptal edilir sorusunda tek bir evrensel “iptal” düğmesi bulunmaz; passkey’in kayıtlı olduğu hizmet ve sağlayıcı üzerinden kaldırılması gerekir. Google hesabında güvenlik ve oturum açma bölümündeki passkey ve güvenlik anahtarları alanından ilgili passkey seçilip kaldırılabilir. Microsoft hesabında ise güvenlik panelindeki kayıtlı oturum açma yöntemlerinden passkey seçilerek kaldırma işlemi yapılabilir; Windows’a yerel olarak kaydedilmiş bir passkey ayrıca Windows Ayarlar > Hesaplar > Passkeys bölümünden yönetilebilir. Burada önemli bir ayrıntı var: Hesaptan passkey’i kaldırmak ile cihazdaki kimlik bilgisi yöneticisinden passkey’i silmek her zaman aynı işlem değildir. Özellikle senkronize parola yöneticileri kullanıldığında kayıt sağlayıcı tarafında da yönetilebilir. Telefonunuzu veya bilgisayarınızı kaybettiyseniz önce hesabınıza erişebildiğiniz başka bir cihazdan ilgili passkey’i kaldırmak, ardından hesap güvenlik seçeneklerini kontrol etmek gerekir. Yeni cihaz aldıysanız Microsoft’un önerdiği gibi eski passkey’leri silmeden önce yeni bir giriş yöntemi oluşturmak daha güvenlidir.

Passkey Güvenli mi?

Passkey nedir sorusunun ardından kullanıcıların en çok merak ettiği konu güvenliktir ve burada en önemli avantaj kimlik avına karşı dayanıklılıktır. Geleneksel bir parolayı sahte bir giriş sayfasına yazarsanız saldırgan parolayı doğrudan ele geçirebilir. Passkey’de ise kimlik bilgisi belirli bir web sitesi veya uygulamanın alan adıyla ilişkilendirildiği için cihazın sahte bir siteye aynı kimlik doğrulamasını sunması engellenir. Ayrıca özel anahtarın kendisi sunucuya gönderilmez. Passkey nedir diye teknik ayrıntıya inildiğinde, giriş sırasında sunucunun gönderdiği challenge’ın cihazdaki özel anahtarla imzalanması ve sunucunun bu imzayı açık anahtarla doğrulaması, sistemin temel çalışma mantığını oluşturur. FIDO Alliance’ın teknik açıklamalarında passkey’lerin açık anahtar kriptografisine dayandığı ve her kimlik bilgisinin ilgili çevrimiçi hizmete bağlı olduğu belirtiliyor. Daha ayrıntılı teknik çerçeve için FIDO Alliance passkey rehberi incelenebilir. Bu, passkey’lerin her türlü hesap saldırısını imkânsız yaptığı anlamına gelmez; cihaz güvenliği, hesap kurtarma süreçleri, kötü amaçlı yazılımlar ve kullanıcı hesabının kendisi hâlâ önemlidir. Ancak parola tabanlı kimlik doğrulamanın önemli zayıflıklarından biri olan kimlik bilgisinin kullanıcı tarafından bir saldırgana verilmesi riskini ciddi biçimde azaltır. Bu nedenle passkey’i güçlü bir cihaz kilidiyle birlikte kullanmak mantıklı bir güvenlik yaklaşımıdır.

Passkey Kullanmak Mantıklı mı?

Günlük kullanım açısından bakıldığında passkey özellikle çok sayıda hesap yöneten, güçlü parolaları hatırlamak istemeyen ve kimlik avı saldırılarına karşı daha dayanıklı bir giriş yöntemi isteyen kullanıcılar için mantıklı bir seçenek. Passkey nedir diye araştıran bir kişinin aslında karar vermesi gereken konu da çoğu zaman teknik tanımdan çok “bunu kullanmalı mıyım?” sorusudur. Benim açımdan cevap, destekleyen servislerde evet; fakat passkey’in nerede saklandığını ve hesabın kurtarma seçeneklerini bilerek kullanmak şartıyla. Senkronize passkey’ler cihaz değişiminde kolaylık sağlarken, yalnızca tek cihazda bulunan device-bound passkey’ler fiziksel cihaz kaybolduğunda daha dikkatli bir kurtarma planı gerektirir. Bu yüzden önemli hesaplarda yedek erişim yöntemlerini kontrol etmek, telefon veya bilgisayar değiştirirken eski cihazlardaki passkey’leri gözden geçirmek ve ortak cihazlara passkey kaydetmemek gerekir. Passkey, güvenlik ile kullanım kolaylığını aynı noktada buluşturan modern bir kimlik doğrulama yaklaşımıdır; Passkey nedir diye sorulduğunda en doğru kısa özet de budur. Ancak hesap güvenliğinin tamamı tek başına bundan ibaret değildir.

Sonuç

Passkey nedir sorusunun temel cevabı, parolayı ortadan kaldırmayı hedefleyen, FIDO standartlarına dayalı kriptografik bir kimlik doğrulama yöntemidir. Günlük kullanıcı açısından Passkey nedir sorusunun pratik karşılığı da budur: Kullanıcı bir şifreyi ezberleyip web sitesine göndermek yerine kendi cihazında korunan özel anahtarın kullanılmasına, cihazın da parmak izi, yüz tanıma veya PIN gibi yerel güvenlik yöntemiyle açılmasına izin verir. Google ve Microsoft gibi büyük platformların passkey desteğini genişletmesi, bu yöntemin artık yalnızca teknik merak konusu olmadığını gösteriyor. Passkey oluştururken kişisel cihaz kullanmak, kayıt yerini bilmek ve cihaz kaybı durumunda hangi hesap güvenlik seçeneklerinin devrede olduğunu kontrol etmek önemli. Eğer kullandığınız bir servis passkey desteği sunuyorsa, özellikle parola tekrar kullanımı ve phishing riskini azaltmak açısından bu yöntemi değerlendirmek mantıklı. Daha teknik bir bakışla söylemek gerekirse passkey’in asıl gücü, kullanıcıdan gizli bir şifre istemesinde değil; kimliği kriptografik olarak kanıtlamasında yatıyor.