Geçiş Anahtarları Açıklandı: Parolaların Yerini Nihayet Neden Başka Bir Şey Alıyor

Bildiğimiz anlamıyla parolanın yerini nihayet başka bir şey alıyor.

Siber Güvenlik8 dakikalık okuma Güncelleme: Eylül 2026

Pictures taken by myself at the US National Cryptologic Museum — Fotoğraf: Mark Pellegrini · Wikimedia Commons · CC BY-SA 2.5

Bildiğimiz anlamıyla parolanın yerini nihayet başka bir şey alıyor. Bunun yerine kullanıcılar, hesaplarına bağlı ve cihazlarında güvenle saklanan FIDO tabanlı kriptografik kimlik bilgileriyle oturum açıyor; bu da insanların yalnızca cihazlarının kilidini açarak giriş yapmasını sağlıyor. Bu kimlik bilgisi bir "geçiş anahtarı." Peki, geçiş anahtarı tam olarak nedir ve saklandığı cihazı kaybettiğinizde erişimi nasıl sağlarsınız?

Parolalardan Geçiş Anahtarlarına: Neyin Yerini Alıyorlar

Eskiden parola paylaşılan bir sırdı: sadece sizin ve hizmet sağlayıcının bilmesi gereken, bildiğiniz (ya da bilmeniz beklenen) bir şey. Siz onu yazardınız, giriş sayfası girilen değeri doğrular ve eşleştiği takdirde erişim hakkı kazanırdınız. Hafızanıza dayanması bir yana, bu yöntemde derme çatma bir taraf vardı: parolanız tahmin edilebilirse, araya girilip yakalanırsa veya çalınırsa, bir hırsız hesabınızın kilidini açabilirdi.

Geçiş anahtarı (passkey) ise bambaşka türden bir kimlik bilgisidir. Yalın bir dille anlatmak gerekirse; özel anahtarın bir kimlik doğrulayıcıda (telefonunuz veya bir donanım güvenlik anahtarı gibi) güvenli bir şekilde saklandığı, buna karşılık gelen genel anahtarın ise çevrim içi hizmetlerle paylaşıldığı özel/genel bir anahtar çiftidir. Hizmet sağlayıcı, hem sizin hem de hizmet tarafının üzerinde mutabık kaldığı bir sırrı paylaşmak yerine benzersiz bir genel anahtar üretir ve özel anahtarı barındırması için bir kimlik doğrulayıcıya güvenir. Kimliğinizi doğruladığınızda, kimlik doğrulayıcı sunucudan gelen sorguyu özel anahtarla imzalar ve sunucu bu imzayı saklanan genel anahtarla doğrular. Siz yani kullanıcı, kimliğinizi doğrudan cihazınız üzerinden kimlik doğrulayıcıya onaylatarak erişim izni vermiş olursunuz. FIDO Alliance'ın geçiş anahtarı standartlarında tanımlandığı şekliyle temel süreç budur.

“Geçiş anahtarı” teriminin kendisi iki anlama gelir: hem teknoloji standardını hem de kimlik doğrulama süreci için kullanılan özel anahtarı ifade eder. Daha teknik olan terim; WebAuthn standardını (tarayıcıların bir API aracılığıyla kimlik doğrulayıcılarla nasıl etkileşime girdiğini açıklayan) ve CTAP'ı (İstemciden Kimlik Doğrulayıcıya Protokolü / Client to Authenticator Protocol: kimlik doğrulayıcının tarayıcıdan verileri nasıl aldığını ve kullanıcıyı kimlik doğrulama sürecine nasıl dahil ettiğini ayrıntılandıran) bir araya toplayan FIDO2'dir.

Alttaki Standartlar: WebAuthn, FIDO2 ve Kimlik Doğrulayıcılar

Bir geçiş anahtarının kimlik doğrulama için açık anahtarlı şifreleme kullandığını söylediğimizde, onun işleyişini belirleyen standartlara işaret ederiz: tarayıcılar tarafından kimlik bilgilerini oluşturmak ve doğrulamak için kullanılan WebAuthn API'si; istemcilerin kimlik doğrulayıcılarla iletişim kurmasını sağlayan bir protokol olan CTAP (veya CTAP2); ve bunların her ikisini de kapsayan FIDO2 çatısı.

Peki ya kimlik doğrulayıcılar? Bunlar, en basit tabirle, özel anahtarları güvenli bir şekilde saklayan ve kullanıcının beyanlarını doğrularken istemcilerle iletişim kurabilen cihazlardır. Telefonlar bağlamında bu; güvenli bir öge (secure element), cihazın güvenli yerleşimi (secure enclave) veya TPM'si (Güvenilir Platform Modülü) olabilir. Takılabilir donanım güvenlik anahtarları söz konusu olduğunda ise kimlik doğrulayıcı, cihazın bizzat kendisidir. Daha doğrudan ifade etmek gerekirse, kimlik doğrulama amacıyla kullanılan her cihaz bir kimlik doğrulayıcı kabul edilir.

Genel kullanımda "geçiş anahtarı" terimi, özellikle kullanım kolaylığı sağlamak adına cihazlar arası eşitleme özelliği sunan FIDO2/WebAuthn uygulamasına atıfta bulunur. Teknik olarak bir geçiş anahtarı, bir WebAuthn kimlik bilgisi artı bir senkronizasyon uygulamasıdır ve aynı geçiş anahtarının birden fazla cihazda görünmesine olanak tanır. Ortalama tüketicilerin geçiş anahtarı olarak düşündüğü FIDO2 kimlik bilgisi sürümü budur ve nitekim sağlayıcıların kitlesel olarak sunduğu sürüm de tam olarak budur.

Bir Geçiş Anahtarı Girişi Adım Adım Nasıl Çalışır?

Bir geçiş anahtarının nasıl çalıştığına dair somut bir örnek için, ilk kimlik bilgilerini depolayan kayıt sürecini ele alalım. Bu işlem arka planda gerçekleşse de işleyişe aşina olmanızda fayda var: Cihazınızı/telefonunuzu yetkilendirdiğiniz ve adına bir geçiş anahtarı ürettiği web sitesine bağlayan şey tam olarak budur.

Web sitesi (veya uygulama) kayıt sürecini başlatır ve bu belirli işlem için sunucudan rastgele bir sayı (challenge) talep eder. Tarayıcı ardından, WebAuthn API'si aracılığıyla bu challenge'ı kullanıcının tarayıcısına iletir.
Bu isteği algılayan kimlik doğrulayıcı kriptografik bir anahtar çifti üretir.
Kimlik doğrulayıcı, sunucunun alan adını ve bu hesaba bağlı belirli bir kullanıcı adını hatırlar. Bu bilgileri ve genel anahtarı alarak işlemin belirli bir tarayıcı, alan adı ve hesap üzerinde gerçekleştiğini doğrulayan bir beyanı imzalar.
Tarayıcı bu bilgileri sunucuya iletir. Bu aşamada genel anahtar bu hesap için depolanırken, özel anahtar kimlik doğrulayıcıda kalır.
Sonraki kimlik doğrulamalarında sunucu, kimlik doğrulayıcıya başka bir rastgele challenge iletir. Kullanıcı giriş yaptığında (cihazının kilidini bir PIN, parmak izi veya parola ile açarak), kimlik doğrulayıcı bu challenge'ı imzalar ve sunucunun bunu depolanan genel anahtarla doğrulamasına olanak tanır.

Buradaki kilit güvenlik noktası şudur: Geçiş anahtarı kaynağa (origin) bağlıdır. Her alan adı ayrı bir anahtar çifti alır ve sahte bir site, meşru bir site için tasarlanmış bir geçiş anahtarını kullanamaz -- kullanıcıyı yeni bir anahtar çifti üretmesi için kandırması gerekir.

Cihaza Bağlı ve Senkronize Geçiş Anahtarları

Bir geçiş anahtarının ne olduğunu ve nasıl çalıştığını anladıktan sonra, anlaşılması gereken temel bir ayrım daha kalıyor: cihaza bağlı ve senkronize geçiş anahtarları arasındaki fark.

Cihaza bağlı geçiş anahtarları tam da adının düşündürdüğü şeydir: tek bir cihaza bağlı bir genel/özel anahtar çifti. Örneğin, donanım tabanlı bir güvenlik anahtarı cihaza bağlı bir kimlik doğrulayıcıdır. Bu durumda özel anahtar, anahtarın kendi içinde saklanır ve buna karşılık gelen genel anahtar da bir kullanıcı ve hizmetin kaynağıyla ilişkilendirilir. Böyle bir anahtar kaybedildiğinde, hizmet sağlayıcıların alternatif kurtarma mekanizmaları sunması gerekir; gerçi bunlar genellikle güvenmek isteyeceğiniz türden kurtarma yöntemleri değildir, zira kimlik kanıtlamanın diğer zayıf biçimlerine geri dönme eğilimindedirler.

Öte yandan senkronize geçiş anahtarları, bulut tabanlı bir anahtar zincirine veya kasaya yedeklenen anahtarlardır. iOS ve Android'de bu durum genellikle platformun kendi bulut senkronizasyon sistemidir (Google Şifre Yöneticisi, iCloud Anahtar Zinciri vb.), gerçi üçüncü taraf uygulamalar da mümkündür. Bu senaryoda özel anahtar bulut kasasında güvenli bir şekilde saklanır ve aynı kullanıcıya bağlı birden fazla cihazda yeniden çağrılabilir.

Kimlik doğrulayıcının kaybedilmesi söz konusu olduğunda bu ayrım hayati bir önem taşır.

Telefonunuzu Kaybetmek: Kurtarma Süreci Gerçekte Nasıl İşler

Kullanıcıların geçiş anahtarlarıyla (passkey), özellikle de son kullanıcıya yönelik geçiş anahtarlarıyla ilgili temel endişesi cihaz kaybıdır. Ana kimlik doğrulayıcınızın kaybının (örneğin iPhone'unuzun parçalanması) birçok hizmet için güvenli giriş sisteminize erişimi kaybetmek anlamına geldiğini varsaymak sezgisel bir çıkarımdır.

Akla yatkın gelse de bu varsayım yanlıştır -- genellikle. Ana kimlik doğrulayıcı olarak telefonunuzun kaybedilmesi, telefonunuzun cihaza bağlı bir kimlik doğrulayıcı olmasına ya da senkronize edilmiş geçiş anahtarlarının etkinleştirilip etkinleştirilmediğine bağlı olarak farklı şekillerde ele alınır.

Geçiş anahtarları için senkronizasyonu etkinleştirmiş kullanıcılar için cihaz kaybı bir sorun teşkil etmez. Bu durumda geçiş anahtarları bulut anahtar zincirine yedeklenir. Bu da bir cihazı iCloud yedeklemesiyle (ve aynı Apple Kimliği ile) geri yüklemenin, söz konusu geçiş anahtarlarını kullanıcıya geri kazandırması anlamına gelir. Bu, şu anda parolalarla yaptığımız bulut geri yüklemesinden daha sorunsuz ve daha güvenli olan, senkronize edilmiş bir yedekleme katmanı ekler.

Yine de bir Apple Kimliği sıfırlaması bu geçiş anahtarlarını gerçekten siler; bu yüzden telefonunuzun Apple Kimliği için de her zaman ek kurtarma sistemleri tanımlamanız tavsiye edilir.

Senkronize edilmemiş veya cihaza bağlı geçiş anahtarları içinse durumunuz o kadar şanslı değildir. Burada esasen kendinizi o güvenlik anahtarına, telefona veya kimlik doğrulayıcıya bağlamış olursunuz -- bu, giriş kolaylığı ile güvenlik arasında bir takastır.

Bu durumda bir kimlik doğrulayıcıyı yenisiyle değiştirmek alternatif doğrulama yöntemlerini gerektirmelidir. Örneğin, bir hizmet e-posta ve güvenlik anahtarına izin veriyorsa, e-posta doğrulaması kurtarma sürecini başlatabilir ya da hizmet sağlayıcı nezdinde güvenlik soruları veya sabit bir noktada yüz tanıma gibi diğer yöntemleri kullanarak kimliğinizi doğrulamak zorunda kalırsınız. Mevcut kurtarma yöntemleri, hizmete ve hesapta kayıtlı başka kimlik doğrulayıcıların bulunup bulunmadığına göre değişir.

Alternatif hesap kurtarma süreçlerine başvurmadan, geçiş anahtarınızı bir telefondan yeni bir cihaza aktarmanıza olanak tanımak için QR kodları veya Bluetooth kullanan arka plan akışları da bulunabilir. Ancak, bu tür alternatif mekanizmaların varlığının platforma göre değişiklik gösterdiğini unutmayın. iOS'te, yeni cihazınızı kurduktan ve aynı Apple Kimliği ile giriş yaptıktan sonra geçiş anahtarlarınızı geri yüklemek için iCloud Anahtar Zinciri'ni kullanabilirsiniz. Bir telefondan masaüstü macOS cihazına geçiyorsanız, aynı bağlantıyı kurmak için yerel, şifrelenmiş bir kurtarma belirteci kullanabilirsiniz. Birçok Android kullanıcısı, Google hesaplarına giriş yaparak Google Şifre Yöneticisi'ni geri yükleyebilir ve senkronize edebilir. Bunu geçiş anahtarınızı telefonunuz veya cihazınız aracılığıyla geri yüklemek gibi düşünmek kolaydır, fakat gerçekte yaptığınız şey yalnızca buluttaki özel anahtarı yeni bir cihazla değiştirmektir.

Sınırlar, Riskler ve Hâlâ Sağlayıcılara Bağlı Olanlar

Kayıp parolaların nasıl kurtarılacağı konusunda taşa kazınmış kesin bir kural olmadığı gibi, geçiş anahtarı kurtarmanın veya birlikte çalışabilirliğin nasıl işleyeceği konusunda da kesinleşmiş hiçbir şey yok. Burası sağlayıcıların faaliyet gösterdiği bir alan ve normları karşılamak, her birinin bunu aynı şekilde uyguladığı anlamına gelmiyor. Geçiş anahtarları standart protokoller kullansa da, bunların uygulanması ve cihaz kurtarma, platformlar arası geri yükleme veya ikincil kimlik doğrulama süreçlerini nasıl ele aldıkları, büyük ölçüde her bir platform sağlayıcısının ne kurduğuna bağlıdır.

Geçiş anahtarlarının Google veya Apple'ın bulut altyapısına yedeklendiği doğru, ancak geçiş anahtarlarını Windows'ta geri yüklemek yalnızca Google hesabınız Windows ile senkronize edilmişse mümkündür. Platformlar arası geri yüklemeler için de aynı durum geçerli: Apple iCloud Anahtar Zinciri, iCloud'a kayıtlı cihazları geri yükleyebilir ve Google Şifre Yöneticisi, parolanın bulunduğu aynı Google senkronizasyon hesabına sahip cihazları geri yükleyebilir, ancak bunların birbiriyle sorunsuz bir şekilde çalıştığı söylenemez. Google, Apple, Microsoft ve diğerlerinin cihazlar arası kimlik doğrulamayı nasıl yönettiği hâlâ fazlasıyla sağlayıcıya özel bir durumdur.

Telefon kaybetmek yalnızca uç senaryolardan biri; hesabınızı tamamen kaybetmek ise bambaşka bir şey. Hesabınızın güvenliği, senkronizasyon sistemleriniz ve geçiş anahtarlarınızı nasıl yönettiğiniz, artık platform kimliğinizin gücüne ve güvenliğini ne kadar iyi kurduğunuza bağlı. Bu, hassas veri veya kimlik barındıran her hesap için geçerli iyi bir tavsiyedir; ancak burada, geçiş anahtarı çağında, meseleye platform senkronizasyonu açısından yaklaşmak sizi pek çok dertten kurtaracaktır.

Kimlik Doğrulayıcıları ve Kimlikleri Korumak

Peki, bundan çıkarılacak asıl sonuç nedir? O da şu: geçiş anahtarları çağı, kimliklerinizi platform hesaplarıyla yönetmek etrafında dönüyor, bu yüzden geçiş anahtarlarınızın gelgitini belirleyen platform hesaplarını güvenceye alın. Cihazları güvende tutun ve platform bilgilerinizi (Google'dan Apple Kimliklerine kadar) koruyun. O kimliği kaybettiğinizde, geri kalan her şeyi de kaybedebilirsiniz.