Donanım Güvenlik Anahtarları ve Passkey'ler: Alınabilecek En Güçlü 2FA

Kodların ve Doğrulayıcı Uygulamaların Neden Yetersiz Kaldığı

Yıllarca tavsiye basitti: iki faktörlü kimlik doğrulamayı açın, artık çalınan bir şifre tek başına yeterli olmaz. Çoğu hesap için ikinci faktör bir koddur — SMS ile gelen ya da doğrulayıcı uygulama tarafından üretilen altı haneli bir sayı. SMS kodları ikisinden daha zayıf olanıdır, çünkü SIM takas saldırıları bunları ele geçirebilir; uygulamada üretilen kodlar ise en azından hiçbir zaman cihazınızdan ayrılmaz. Her ikisi de tek başına şifreye göre gerçek bir iyileştirmedir ve tek seçeneğiniz bunlarsa, bunları kullanın. Ancak bunlar, o zamandan beri evrimleşen bir tehdit için tasarlanmıştı.

Zayıflık temelden kaynaklanıyor: kod, yazdığınız paylaşılmış bir sırdır. Yazabildiğiniz her şeyi yazmaya kandırılabilirsiniz. İkna edici sahte bir giriş sayfası şifrenizde durmaz. Gerçek zamanlı bir kimlik avı (phishing) saldırısında, saldırganın sitesi girdiğiniz her şeyi — önce şifreyi, sonra kodu — doğrudan gerçek web sitesine iletir ve kod geldiği anda oturum açar. Siz belirsiz bir "bir şeyler ters gitti" hatası görürsünüz; saldırgan çalışan bir oturum elde eder. Kod görevini yaptı — yanlış kişi için.

Bu saldırının pahalı bir araç gerektirdiğini de sanmayın. Saldırganlar, gerçek siteyi birebir taklit eden ve kodları anlık aktaran hazır "proxy" araçlarını yıllardır kullanıyor; kurulum bir kez yapıldıktan sonra binlerce hedefe karşı ölçeklenebilir hâle geliyor. Doğrulayıcı uygulamanın kodların her 30 saniyede yenilenmesi de bir koruma sağlamaz: aktarım saniyeler sürer, kod o pencere içinde hâlâ geçerlidir.

Adres çubuğuna bakmak da çözüm değildir. Modern kimlik avı sayfaları, tarayıcının adres çubuğunda gösterilen alan adını, aranıyor.com-giriş.example.net gibi inandırıcı alt alan adlarıyla maskeler. İnsan gözü için com ile başlayan dize yeterince "doğru" görünür. Kod tabanlı 2FA'nın sorunu bu: doğrulamayı sizin dikkatiniz üstleniyor — ve dikkat, ölçeklenebilir bir güvenlik mekanizması değildir.

FIDO2 ve WebAuthn Aslında Nedir

FIDO2, donanım anahtarlarının ve passkey'lerin arkasındaki şemsiye standarttır. Birlikte çalışan iki parçası vardır:

• WebAuthn tarayıcıda çalışır. Bir web sitesinin oturum açma talep etmek ve yanıtı doğrulamak için kullandığı protokoldür.
• CTAP, cihazınızın — bir USB anahtarı, bir telefon, dizüstü bilgisayarın yerleşik okuyucusu — o tarayıcıyla nasıl konuştuğunu yönetir. Anahtarı takın veya NFC ile dokunun; konuşmayı CTAP taşır.

Pratikte akış şöyle işler: Site oturum açma sırasında tarayıcıya sizden gelen bir "meydan okuma" (rastgele bir veri parçası) gönderir. Tarayıcı bunu CTAP üzerinden cihazınıza iletir. Cihaz, o siteye ait özel anahtarla bu veriyi imzalar; tarayıcı imzayı siteye geri taşır ve site, kayıtlı genel anahtarla doğrular. İmza her seferinde farklıdır, bu yüzden yakalanıp yeniden kullanılamaz.

Her web sitesi için bir anahtar çifti

Bir cihazı bir siteye kaydettiğinizde, anahtar yalnızca o siteye özel yeni bir genel/özel anahtar çifti üretir. Özel anahtar donanımın içinde kalır ve asla dışarı çıkmaz. Web sitesi yalnızca hesabınıza bağlı eşleşen genel anahtarı alır.

Buradaki kritik ayrıntı origin bağlamasıdır: Anahtar çifti, kayıt sırasında sitenin tam alan adını (örneğin accounts.google.com) kendi kimliğine işler. Sahte bir alan adı doğru imzayı isteyemez; cihaz yanlış origin için imza üretmeyi reddeder. Phishing'e karşı savunmanın teknik temeli budur — sonraki bölümde ayrıntısı var.

Bu ayrım, veri ihlallerini çok daha az zarar verici kılar. Geleneksel oturum açma yöntemleri sunucuları parolaları veya hash'lerini depolamaya zorlar — saldırganların gerçekten çalmak istediği bir veritabanı. FIDO2 ile sunucunun veritabanında genel anahtarlardan başka bir şey tutulmaz. Genel anahtar sizin adınıza oturum açmak için kullanılamaz; yani baştan sona ihlal edilecek bir sır kasası yoktur.

Sık yapılan bir hata: Aynı anahtarı "her site için tek çift" varsaymak. FIDO2 bilinçli olarak tersini yapar — site başına ayrı çift, sızıntıların taşınmasını imkânsız kılar.

Donanım Güvenlik Anahtarları: Dokunabildiğiniz Bir Anahtar

Donanım güvenlik anahtarı, oturum açmak için özel olarak üretilmiş, genellikle USB bellek veya ev anahtarı boyutunda küçük bir fiziksel cihazdır. YubiKey en bilinen markadır, ancak birçok üretici bunları yapmaktadır. Anahtarlığınızda taşırsınız, bilgisayarınıza takar ve oturum açmak için bir düğmeye basarsınız.

Anahtarlar, cihazlarınıza uyacak şekilde farklı bağlantı tiplerinde gelir:

• Modern dizüstü bilgisayarlar, tabletler ve Android telefonlar için USB-C
• Daha eski bilgisayarlar için USB-A
• iPhone'lara ve birçok Android telefona dokunarak kullanım için NFC — kabloya gerek yok

Birçok model bu bağlantı tiplerinden ikisini içerir, böylece tek bir anahtar hem dizüstü bilgisayarınızı hem de telefonunuzu kapsayabilir. Satın almadan önce kullandığınız cihazların bağlantı noktalarını kontrol edin; yanlış tip alan anahtar, adaptör bulma derdine dönüşür.

Güvenlik, anahtarın içeride nasıl çalıştığından gelir. Kaydettiğinizde, benzersiz bir kriptografik anahtar oluşturulur ve cihazın kendisinde saklanır. Anahtar asla cihazdan ayrılmaz — web sitesine değil, bilgisayarınıza değil, hiçbir yere. Anahtar her oturum açmayı dahili olarak imzalar ve fiziksel olarak dokunana kadar hiçbir şey olmaz. Uzaktan bir saldırgan, cebinizdeki bir düğmeye basamaz.

Pratikte bu, oturum açmanın birkaç saniye sürdüğü anlamına gelir: USB-C bağlantı noktasına takın, altın rengi diske dokunun, tarayıcı onayı onaylayın, çıkarın. Dokunma adımı dokunulmaz görünse de gereklidir; anahtarın fiziksel olarak sizde olduğunun kanıtıdır. Ayrıca anahtarlar, PIN gerektirecek şekilde ayarlanabilir — böylece anahtarı çalan biri bile cihazı hemen kullanamaz.

Passkey'ler: Aynı Teknoloji, Senkronize

Bir passkey, güvenlik anahtarının oluşturduğu kimlik bilgisi gibi bir WebAuthn kimlik bilgisidir. Tek fark, nerede saklandığıdır. Fiziksel bir cihazın içinde bulunmak yerine, passkey işletim sisteminiz veya şifre yöneticiniz tarafından saklanır ve cihazlarınız arasında senkronize edilebilir. Siteler arasında taşınan bir gizli anahtar değil, her hesap için cihazda üretilen ayrı bir çift anahtardır; özel yarı hiçbir zaman sunucuya gönderilmez, yalnızca imzalama işlemi cihazda yapılır.

Senkronizasyon Nasıl Çalışır

Bir passkey oluşturduğunuzda, cihazınız ona bir yuva sunar:

• Apple cihazlarında iCloud Keychain; iPhone, iPad ve Mac'iniz arasında uçtan uca senkronize edilir
• Android'de ve Chrome'da Google Password Manager; Google hesabınıza senkronize edilir
• Passkey'leri giriş bilgilerinizin yanında saklayan üçüncü taraf şifre yöneticileri

Kimlik bilgisi sizi takip ettiği için, yeni bir cihazda oturum açmak çoğu zaman sahip olduğunuz bir cihazdaki istemi onaylamak kadar basittir. Örnek: yeni bir dizüstü bilgisayarda siteye girdiğinizde telefonunuza bir bildirim düşer, yüz veya parmak taramasıyla onaylarsınız. Bu yüzden senkronizasyonun açık olduğundan emin olun; iCloud'da Ayarlar → Apple Kimliği → iCloud → Şifreler ve Anahtar Zinciri, Google'da hesabınızın senkronizasyon ayarları üzerinden kontrol edebilirsiniz.

Yaygın hata: passkey'i yalnızca tek bir tarayıcıda bırakmak. Chrome'da oluşturulan bir passkey, senkronizasyon kapalıysa o tarayıcı profiline hapsolur; profil silindiğinde kaybolur.

Senkronize mi, Donanıma Bağlı mı?

Senkronize passkey'ler günlük hesaplara uyar: alışveriş, sosyal medya, yayın akışı. Kolaylık önemlidir ve telefon kaybetmek artık erişim kaybetmek anlamına gelmez.

Riskler daha yüksek olduğunda donanıma bağlı bir anahtar kazanır. Cihazdan asla ayrılmayan kimlik bilgileri senkronize edilemez, kopyalanamaz veya bir bulut hesabından çekilemez; bu nedenle bankalar, işverenler ve yönetici hesapları hâlâ fiziksel bir anahtarı haklı çıkarır. Ayrıca paylaşılan veya kiralık cihazlarda oturum açıyorsanız, senkronize bir passkey'i o cihazda bırakmamaya dikkat edin.

Phishing Neden İşe Yaramaz Hale Gelir

Geleneksel 2FA, phishing karşısında başarısız olur çünkü kodlar yalnızca sayılardır. Yazılabilecek her şey, kurban tarafından sahte bir forma yazılabilir. TOTP kodları, SMS kodları ve kurtarma kodları dahil — hepsi saldırgana aktarılabilir birer sır. Saldırganın yapması gereken tek şey, kodu sizden istemektir; günümüzde gerçek doğrulama sayfasını taklit eden, kodu gerçek zamanlı olarak saldırganın oturumuna aktaran hazır araç setleri mevcut.

FIDO2 kimlik bilgileri farklı çalışır. Bir güvenlik anahtarınızı veya passkey'inizi kaydettiğinizde, kimlik bilgisi kriptografik olarak web sitesinin tam alan adına bağlanır — örneğin bank.example.com. Bu bağlamayı tarayıcı zorunlu kılar; anahtar, farklı bir alan adı için herhangi bir şeyi imzalamayı reddeder.

Sahte Bir Sitenin Elde Ettiği

Diyelim ki gerçek sitenin inandırıcı bir kopyası olan bank.example-login.com bağlantısına tıkladınız. Tarayıcı WebAuthn ceremony'sini çalıştırdığında, sahte alan adını anahtarınıza sunar. Anahtar, kendisinde kimlik bilgisi olmayan bir alan adı görür. Oturum açma başarısız olur ya da kullanılabilir hiçbir şey üretilmez. Saldırgan, başka yerde oturum açmak için değersiz veri alır.

Kritik detay: bu kontrol sizin dikkatinizden değil, tarayıcının kendisinden gelir. Karakter olarak birebir aynı görünen bir alan adı (rn harfleriyle taklit edilmiş m gibi) insan gözünü kandırabilir; ancak tarayıcı, WebAuthn ceremony'sini hangi gerçek alan adında çalıştırdığını anahtara bildirir ve anahtar yalnızca kayıt sırasında gördüğü alan adıyla çalışır. Yani "dikkatli bakamadım" hatasının etkisi sıfırlanır.

Sesle Çalınacak Hiçbir Şey Yok

Ayrıca telefonda okunacak ya da bir forma yapıştırılacak altı haneli bir kod da yoktur. Gizli bilgi asla cihazdan ayrılmaz ve yanıt gerçek alan adına bağlıdır. "Ekranınızdaki numarayı" isteyen bir dolandırıcı, var olmayan bir şeyi istemektir.

Pratik sonuç: passkey kullanan bir hesapta, sosyal mühendislik saldırısının tamamen işe yaramaz hale geldiği bir senaryo vardır. Saldırgan sizi ne kadar baskı altına alırsa alsın — "acil durumu doğrulamak için kodunuzu söyleyin", "destek ekibiyiz, anahtarınızı takın" — sizin teslim edebileceğiniz kullanılabilir bir sır yoktur. Gerçek bir oturum açma yalnızca doğru alan adında, cihazın yanında ve (gerekliyse) biyometrik onayınızla tamamlanabilir.

Başlangıç: Pratik Bir Kurulum

İki Anahtar Satın Alın

İki donanım güvenlik anahtarı satın alın; tercihen farklı üreticilerden, böylece bir partideki hata ikisini de devre dışı bırakmasın. Satın almadan önce bağlantı tiplerini kontrol edin: cihazlarınıza göre USB-C, USB-A veya NFC. Yaygın bir hata, yalnızca ana bilgisayara bakmaktır; telefonunuzda yalnızca USB-C veya NFC varsa, yalnızca USB-A olan bir anahtar telefonda işe yaramaz. NFC desteği, telefonlarda kayıt ve girişi belirgin biçimde kolaylaştırır — anahtarı telefonun arkasına dokundurmanız yeterli. İlk anahtarı günlük kullanım için anahtarlığınızda tutun. İkincisini güvenli ama ulaşılabilir bir yerde saklayın — ev kasası ya da gerçekten hatırlayacağınız bir çekmece. Kayıt edilmemiş bir yedek anahtar hiçbir şeyi korumaz; bu yüzden satın aldıktan hemen sonra kaydedin, "sonra" listesine atmayın.

İkisini de Kaydedin, Artı Bir Yedek

En değerli hesaplarınızla başlayın: önce e-postanız, sonra şifre yöneticiniz, ardından bankacılık ve sosyal medya. Bu sıra tesadüf değil: e-postanızı kontrol eden biri, çoğu serviste "şifremi unuttum" akışıyla diğer hesaplarınıza sıfırlama bağlantısı isteyebilir. Her hesabın güvenlik ayarlarında iki anahtarı da kaydedin ve servisin kurtarma kodlarını çevrimdışı saklayın — kağıda yazıp yedek anahtarın yanına koyun; ekran görüntüsü bulutta durursa kaybolma değerini yitirir. Kurtarma kodları, her iki anahtar da aynı anda kaybolursa geri girmenizi sağlar; bu yüzden onlara ikinci bir şifre gibi davranın. Bazı servisler anahtar başına ayrı kayıt ister; her iki anahtarın da listede göründüğünü doğrulayın.

Diğer Her Yerde 2FA'yı Açın

Her hesabın donanım anahtarına ihtiyacı yok. Anahtarların desteklenmediği yerlerde sunulan 2FA'yı etkinleştirin — mümkün olduğunda SMS yerine kimlik doğrulama uygulaması; SMS yakalama ve yönlendirme saldırılarına açık kalır. E-postanıza ve şifre yöneticinize öncelik verin; bunları kontrol eden, fiilen diğer her şeyi kontrol eder. Kalanını kademeli olarak halledin, haftada birkaç hesap.

Kayıp Anahtarlar, Kurtarma ve Sık Sorulan Sorular

Donanım anahtarı kaybetmek, önceden plan yaptıysanız bir kriz değildir. Anahtarları çiftler halinde satın alın, ikisini de her hesaba kaydedin ve yedeği güvenli ama ayrı bir yerde saklayın—evdeki bir çekmece, aynı anahtarlık değil. Biri kaybolursa, yedekle giriş yapın ve kayıp anahtarı hesabınızdan kaldırın.

Yaygın hata: iki anahtarı da aynı çantada taşımak. Çanta kaybolursa ikisi birden gider. Bir anahtar günlük taşıyıcınızda, diğeri evde sabit bir noktada dursun. Ayrıca anahtarların üzerine üreticinin verdiği seri numarasını not edin; hangi anahtarın hangi hesapta kayıtlı olduğunu hatırlamak zorlaşır.

En zayıf halka: kurtarma

Hesap kurtarma, 2FA saldırganları engellediğinde onların yöneldiği yerdir. Kurtarma kodları tek kullanımlık şifrelerdir; bunları çevrimdışı saklayın, asla e-postanızda tutmayın. Kurtarma seçeneklerinizi—telefon numarası, yedek e-posta—koruyun; çünkü güvenlik anahtarınızı atlayan bir sıfırlama yolu her şeyi geçersiz kılar. Yalnızca başka bir passkey veya anahtarla kurtarmaya izin veren hizmetleri tercih edin.

Kurtarma kodlarını yazdırıp kasanızda veya şifreli bir notta saklayın; her kodu yalnızca bir kez kullanılabildiğini unutmayın, kullanılan kodu listeden silin. SMS tabanlı kurtarma açıkken SIM takas saldırısı riski devam eder—telefon numaranızı kurtarma yöntemi olarak kaldırabiliyorsanız kaldırın.

Bugünkü destek durumu

Google, Apple, Microsoft ile birçok banka, şifre yöneticisi ve sosyal platform passkey veya FIDO2 anahtarlarını kabul ediyor. Her hesabın güvenlik ayarlarını kontrol edin. Bazı hizmetler yalnızca passkey kabul eder, bazıları yalnızca USB veya NFC anahtar; sitenin kendi belgesinden destek biçimini doğrulayın, varsaymayın.

Pratik özet

Önemli tek bir hesapla başlayın. Bir passkey ekleyin, bir yedek kaydedin, kurtarma kodlarını yazdırın. Sonra tekrarlayın. Phishing'e dirençli giriş bir öğleden sonra sürer; koruma yıllarca dayanır.