Kısaca: SecurityWeek’te yayımlanan bir yazıya göre passkey’ler (şifre yerine kullanılan, kriptografiyle korunan dijital anahtarlar) şifrelere göre büyük bir ilerleme. Ancak yazıya göre tek başlarına yetmiyor; saldırganlar artık passkey’in kendisini değil, çevresindeki zayıf noktaları hedefleyecek.
Ne oldu?
- Yazıda, passkey’lerin açık anahtar kriptografisi (iki parçalı anahtar sistemi) üzerine kurulduğu ve çalınabilecek bir şifre içermediği belirtiliyor.
- Doğru uygulandığında passkey’ler oltalamaya (sahte sitelerle bilgi çalma) karşı dirençli. Özel anahtar cihazda kalıyor ve giriş sırasında gönderilmiyor.
- Yazıya göre sorun, giriş başarılı olsa bile hesabın baştan güvenli kurulup kurulmadığının veya kimliğin ele geçirilip geçirilmediğinin belli olmaması.
- Saldırgan passkey bağlanmadan önce hesabı kurarsa ya da ele geçirirse, kurum yanlış kişiyi çok güvenli şekilde doğrulamış olabilir.
- Telefon kaybı ya da yeni cihaz gibi durumlarda devreye giren kurtarma yöntemleri (şifre, SMS kodu, e-posta bağlantısı, yardım masası) zayıf halka olabilir. Yazıya göre saldırgan passkey’i kırmıyor, onu atlıyor.
- Giriş sonrası oturum çalınması, güvenilen cihazın ele geçirilmesi ve hesap bilgilerinin değiştirilmesi gibi saldırılar da passkey’le engellenmiyor.
- Yazı çözüm olarak kimlik tehdidi tespitini öneriyor. Bu yaklaşımda cihaz, davranış ve işlem bilgileri sürekli değerlendiriliyor; risk artarsa ek doğrulama isteniyor.
Neden önemli?
- Şifreler ortadan kalktıkça saldırganlar hesap açma, kurtarma ve oturum aşamalarını hedefleyebilir.
- “Passkey kullanıyorum, tamamen güvendeyim” düşüncesi yanlış bir güven duygusu yaratabilir.
Ne yapmalısın?
- Mümkün olan her hesapta passkey’i etkinleştir; şifrelere göre yine de çok daha güvenli.
- Hesap kurtarma seçeneklerini kontrol et. E-posta ve telefon numaranın güvenli olduğundan, hesaplarında güçlü korumanın açık olduğundan emin ol.
- Tanımadığın cihaz girişi, şüpheli oturum ya da hesap bilgisi değişikliği bildirimlerini ciddiye al; hemen oturumları kapat ve kurtarma bilgilerini gözden geçir.
- Kurum yöneticisiysen kayıt, kurtarma ve yeni cihaz ekleme süreçlerini de güvence altına al.
Kaynak: SecurityWeek, 30 Ekim. Kontrol tarihi: 31 Ekim 2026.
Sen ne düşünüyorsun? Aşağıya yaz.