Passkey Nedir ve Nasıl Kullanılır?

İnternetin ve bilgisayarların hayatımıza girdiği ilk günden bu yana dijital kimliğimizi koruyan tek bir kalkan vardı: Parolalar. Ancak bugün ortalama bir internet kullanıcısının e-posta, sosyal medya, e-ticaret, kurumsal iş panelleri ve mobil ödemeler için kullandığı yüze yakın farklı hesabı bulunuyor. İnsan hafızası yüzlerce karmaşık karakter dizisini hatırlamak için tasarlanmadığından, milyonlarca kullanıcı ya aynı parolayı her sitede tekrar kullanıyor ya da tahmin edilmesi kolay kombinasyonlar seçiyor. Üstelik en güçlü parolayı oluştursanız bile; sunucu veri sızıntıları, sahte banka siteleriyle yapılan oltalama (phishing) saldırıları ve SMS kodlarını ele geçiren SIM kopyalama (SIM Swapping) yöntemleri geleneksel şifreleri tamamen savunmasız bırakıyor.

İşte bu yarım asırlık güvenlik krizini kökten bitirmek için Apple, Google ve Microsoft başta olmak üzere teknoloji devlerinin FIDO (Fast Identity Online) İttifakı ve W3C çatısı altında birleşerek geliştirdiği devrimsel standart hayatımıza girdi: Passkey (Geçiş Anahtarı / Parolasız Giriş). Peki Passkey tam olarak nedir ve klasik parolalardan farkı nedir? Yüz tanıma (Face ID) veya parmak izi verilerimiz internetteki sunuculara mı gönderiliyor? Telefonumuzu kaybedersek hesaplarımıza nasıl ulaşırız? Bu kapsamlı siber güvenlik rehberinde, mobil teknolojiler dünyasının yeni güvenlik standardı olan Passkey mimarisini, FIDO2 açık-özel anahtar kriptografisini ve mobil cihazlarda uygulama izinlerini denetlemenin altın kurallarını tüm detaylarıyla inceliyoruz.

Geleneksel Parolalar ve SMS Doğrulaması (2FA) Neden Çöktü?

Passkey teknolojisinin neden zorunlu bir devrim olduğunu anlamak için mevcut kimlik doğrulama yöntemlerinin üç ölümcül zafiyetine yakından bakmalıyız:

1. Ortak Sır (Shared Secret) Problemi ve Veri İhlalleri: Geleneksel parola sisteminde şifreniz hem sizin tarafınızdan bilinir hem de giriş yaptığınız web sitesinin veritabanında (özetlenmiş/hash'lenmiş olsa bile) saklanır. Siber saldırganlar bir şirketin sunucusunu ele geçirdiğinde milyonlarca parola özetini çalar ve GPU/bulut kümeleriyle bu şifreleri kırarak Credential Stuffing (Kimlik Bilgisi Doldurma) saldırılarıyla diğer tüm hesaplarınıza sızar.
2. Yapay Zeka Destekli Oltalama (Phishing) Tuzakları: Saldırganlar resmi bir bankanın, kargo şirketinin veya e-devlet kapısının birebir kopyası olan sahte bir web sitesi kurup size acil bir bildirim veya SMS gönderir. Siz bu sahte ekrana parolanızı ve hatta o an telefonunuza gelen 6 haneli doğrulama kodunu girdiğiniz anda, arka plandaki oltalama vekil sunucusu (Evilginx vb. gerçek zamanlı Man-in-the-Middle araçları) oturum çerezinizi (session token) saniyeler içinde çalar.
3. SMS 2FA ve SIM Swapping (SIM Kart Kopyalama) Zafiyeti: İki Faktörlü Doğrulama (2FA) için kullanılan SMS mesajları uçtan uca şifreli değildir. SS7 şebeke protokolü açıkları, zararlı yazılımlar veya sosyal mühendislikle operatör bayisinden SIM kartınızın yedeğinin çıkarılması (SIM Swapping) sonucunda tüm SMS doğrulama kodlarınız saldırganın telefonuna yönlendirilebilir.

Passkey (Geçiş Anahtarı) Nedir ve Nasıl Çalışır?

Passkey (Geçiş Anahtarı); FIDO2 ve WebAuthn (Web Authentication) standartları üzerine inşa edilen, harf, rakam veya sembollerden oluşan parolaları tamamen ortadan kaldırarak bunların yerine cihazınızdaki Açık Anahtar Kriptografisini (Public-Key Cryptography / Asimetrik Şifreleme) koyan yeni nesil parolasız kimlik doğrulama teknolojisidir.

Bir web sitesinde veya mobil uygulamada "Passkey Oluştur" butonuna bastığınız anda arka planda şu matematiksel süreç işler:

• 1. Adım (Benzersiz Anahtar Çifti Üretimi): Akıllı telefonunuz (veya bilgisayarınız) o web sitesine ve sizin hesabınıza özel, matematiksel olarak birbirine bağlı iki adet kriptografik anahtar üretir: Açık Anahtar (Public Key) ve Özel Anahtar (Private Key).
• 2. Adım (Açık Anahtarın Sunucuya Kaydedilmesi): Açık Anahtar (tıpkı herkesin görebileceği bir asma kilit gibi) ilgili web sitesinin veya uygulamanın sunucusuna gönderilir. Bu anahtar tek başına hiçbir işe yaramaz; bir saldırgan sunucuyu hackleyip tüm açık anahtarları çalsa bile bunlarla hiçbir hesaba giriş yapamaz!
• 3. Adım (Özel Anahtarın Telefonda Kilitlenmesi): Kilidi açabilecek tek parça olan Özel Anahtar (Private Key) ise asla karşı sunucuya gönderilmez. Doğrudan telefonunuzun mobil işlemci (SoC) içerisindeki izole güvenlik yongasına (Apple cihazlarda Secure Enclave, Android cihazlarda Titan M2 / StrongBox / TEE) kaydedilir ve uçtan uca şifreli anahtar zincirinizde saklanır.
• 4. Adım (Biyometrik Doğrulama ile Saniyede Giriş): Daha sonra o siteye tekrar girdiğinizde sunucu telefonunuza rastgele üretilmiş tek kullanımlık bir matematiksel bulmaca (Challenge) gönderir. Telefonunuz sizden parmak izinizi (Touch ID / Ultrasonik sensör) veya yüzünüzü (Face ID) okutmanızı ister. Biyometrik onay verildiği anda güvenlik çipi, Özel Anahtarı kullanarak bu bulmacayı kriptografik olarak imzalar ve imzayı sunucuya geri gönderir. Sunucu elindeki Açık Anahtar ile imzayı doğrular ve şifre yazmadan 1 saniye içinde oturumunuz açılır.

Önemli Gerçek: Biyometrik Veriniz Sunucuya Gider mi?

Kullanıcıların en çok merak ettiği konu budur: Hayır, parmak iziniz veya yüz tarama veriniz asla web sitelerine, uygulamalara veya bulut sunucularına gönderilmez! Biyometrik doğrulama tamamen telefonunuzun kendi içinde, Özel Anahtarı uyandırmak için yerel bir kilit açıcı olarak kullanılır. Karşıdaki web sitesi sizin yüzünüzü veya parmak izinizi değil, yalnızca telefonunuzun ürettiği kriptografik matematiksel imzayı görür.

Passkey Neden Oltalamaya (Phishing) Karşı %100 Bağışıktır?

Passkey teknolojisinin en muazzam özelliği Alan Adına Bağlı (Domain-Bound / Origin-Bound) olmasıdır. İnsan gözü https://www.garantibbva.com.tr ile sahte bir oltalama sitesi olan https://www.garantibbva-giris.com arasındaki farkı dalgınlıkla kaçırabilir ve şifresini sahte siteye yazabilir.

Ancak Passkey bir insan değil, tarayıcı ve işletim sistemi çekirdeğinde çalışan kriptografik bir protokoldür. Sizin garantibbva.com.tr için oluşturduğunuz Passkey, matematiksel olarak yalnızca o resmi alan adına (domain) kilitlidir. Eğer sahte bir oltalama linkine tıklarsanız, işletim sisteminiz alan adının eşleşmediğini anında fark eder ve o sitede kullanabileceğiniz bir Passkey olmadığını söyler. Yani siz isteseniz bile Passkey'inizi sahte bir siteye "veremezsiniz" çünkü ortada kopyalanıp yapıştırılabilecek bir şifre metni yoktur!

Passkey Nasıl Kullanılır? Cihazlar Arası Senkronizasyon ve QR Kod

Günümüzde Google, Apple, Microsoft, Amazon, WhatsApp, X (Twitter), Instagram, GitHub, PayPal, Binance ve önde gelen bankacılık/e-ticaret uygulamaları Passkey desteğini aktif hale getirmiştir. Passkey'leri günlük hayatta iki şekilde kullanabilirsiniz:

1. Aynı Ekosistem İçinde Bulut Senkronizasyonu (Multi-Device Credentials):
   • Apple Ekosistemi (iCloud Anahtar Zinciri / Parolalar Uygulaması): iPhone'unuzda oluşturduğunuz bir Passkey, uçtan uca şifreli olarak (Apple'ın bile göremediği bir anahtarla) iCloud üzerinden iPad ve Mac bilgisayarınızla otomatik senkronize edilir.
   • Android ve Chrome Ekosistemi (Google Şifre Yöneticisi): Android telefonunuzda oluşturduğunuz Passkey, Google hesabınız üzerinden tüm Android cihazlarınıza ve Chrome tarayıcılarınıza uçtan uca şifreli olarak aktarılır.
   • Bağımsız Şifre Yöneticileri: 1Password, Bitwarden, Dashlane ve Proton Pass gibi üçüncü parti parola yöneticileri de hem iOS hem Android hem de Windows/macOS arasında çapraz platform Passkey senkronizasyonu sunar.
2. Farklı Bir Bilgisayarda Telefonla Giriş (Cross-Device Authentication / CTAP2):

   Diyelim ki iş yerinizdeki bir Windows bilgisayarda oturum açmak istiyorsunuz ancak Passkey'iniz kişisel iPhone veya Android telefonunuzda kayıtlı. Bilgisayar ekranında "Başka bir cihazdaki Passkey'i kullan" seçeneğine tıkladığınızda ekranda dinamik bir QR Kod belirir. Telefonunuzun kamerasıyla bu QR kodu okutursunuz; telefonunuz ile bilgisayar arasında Bluetooth Düşük Enerji (BLE) üzerinden fiziksel yakınlık kontrolü yapılır (böylece uzaktaki bir hacker QR kodun ekran görüntüsünü alsa bile giriş yapamaz!) ve telefonunuzda yüzünüzü okuttuğunuz anda bilgisayardaki oturumunuz açılır.

iPhone (iOS) ve Android Cihazlarda Adım Adım Passkey Kurulumu

Akıllı telefonunuzda Passkey özelliğini aktif hale getirmek ve mevcut hesaplarınızı parolasız girişe taşımak yalnızca birkaç dakikanızı alır. İşletim sisteminize göre izlemeniz gereken adımlar şunlardır:

iPhone ve iPad (iOS / iPadOS) İçin Passkey Kurulumu

• Ön Hazırlık: Cihazınızın Ayarlar > Face ID ve Parola (veya Touch ID) bölümünden biyometrik kilidin açık olduğundan ve Ayarlar > [Adınız] > iCloud > Parolalar ve Anahtar Zinciri seçeneğinin aktif olduğundan emin olun. Ayrıca Apple hesabınızda İki Faktörlü Doğrulama açık olmalıdır.
• Yeni Passkey Oluşturma: Destekleyen bir uygulama veya web sitesinin (örneğin Google, WhatsApp, X veya GitHub) Hesap Güvenliği ayarlarına girin ve "Geçiş Anahtarı (Passkey) Oluştur" seçeneğine dokunun. Ekranda açılan sistem penceresinde Face ID ile yüzünüzü doğruladığınız anda anahtarınız Apple Parolalar (Passwords) uygulamasına kaydedilir.
• Otomatik Yükseltme: iOS 17 ve iOS 18+ sürümlerinde Parolalar uygulaması, mevcut şifreli hesaplarınızdan hangilerinin Passkey desteklediğini otomatik olarak tespit eder ve tek dokunuşla eski parolalarınızı Passkey standardına yükseltmenize yardımcı olur.

Android Telefonlar İçin Passkey Kurulumu

• Ön Hazırlık: Ayarlar > Güvenlik ve Gizlilik > Cihaz Kilidi menüsünden parmak izi veya ekran kilidinizin aktif olduğunu kontrol edin. Ardından Ayarlar > Şifreler, Geçiş Anahtarları ve Otomatik Doldurma menüsünden tercih ettiğiniz şifre yöneticisini (Google Şifre Yöneticisi veya 1Password/Bitwarden) varsayılan sağlayıcı olarak seçin.
• Google Hesabı İçin Otomatik Passkey: Android cihazınızda myaccount.google.com/signinoptions/passkeys adresine girdiğinizde telefonunuz otomatik olarak bir cihaz geçiş anahtarı tanımlar. Bundan sonra yeni bir tarayıcıda Google hesabınıza girerken şifre yazmak yerine yalnızca telefonunuzdaki parmak izi sensörüne dokunmanız yeterli olur.
• Uygulama İçi Geçiş Anahtarları: WhatsApp, e-ticaret ve mobil bankacılık uygulamalarının güvenlik menülerinden "Geçiş Anahtarı Ekle" seçeneğine dokunarak parmak izinizle saniyeler içinde kriptografik anahtarınızı Google Şifre Yöneticisi'ne kaydedebilirsiniz.

Kimlik Doğrulama Yöntemleri Karşılaştırma Tablosu

Dijital hesap güvenliğinde kullanılan geleneksel ve modern kimlik doğrulama yöntemlerinin saldırı türlerine karşı dayanıklılığını aşağıdaki tabloda karşılaştırdık:

Güvenlik Kriteri	Klasik Parola	Parola + SMS 2FA	Parola + Authenticator (TOTP)	Passkey (FIDO2 / WebAuthn)
Sunucu Veri Sızıntısı Koruması	Zayıf (Hash kırılabilir)	Orta (Parola sızar, SMS kalır)	Orta-Yüksek	Tam Koruma (Sunucuda sır tutulmaz)
Oltalama (Phishing) Direnci	Yok (Sahte siteye yazılır)	Zayıf (Kod sahte siteye girilebilir)	Orta (Gerçek zamanlı vekille aşılabilir)	%100 Bağışık (Alan adına kilitli)
SIM Kopyalama (SIM Swap) Riski	Yok	Çok Yüksek Risk	Yok (Cihaz içi uygulama)	Sıfır Risk (Donanım çipine bağlı)
Kullanıcı Deneyimi ve Hız	Zor (Ezberleme/Yazma)	Yavaş (SMS bekleme ve kod girme)	Orta (Uygulama açıp 6 hane yazma)	Çok Hızlı (1 saniyede Face ID / Parmak izi)
Kriptografik Temel	Paylaşılan Metin Sırrı	Metin Sırrı + Hücresel Mesaj	Zaman Tabanlı Tek Kullanımlık Kod	Asimetrik Açık/Özel Anahtar Çifti

Mobil Siber Güvenlik: Uygulama İzinleri ve Gizlilik Denetimi

Hesap girişlerinizi Passkey ile güvenceye aldıktan sonra, akıllı telefonunuzdaki verileri korumanın ikinci kritik ayağı Mobil Uygulama İzinleri (App Permissions) ve cihaz güvenliği denetimidir. Mobil uygulama trendleri büyüdükçe kullanıcılar telefonlarına onlarca farklı araç indiriyor; ancak her uygulama göründüğü kadar masum olmayabilir.

Geliştiricilerin uygulama mağazalarında güven kazanmak için yürüttüğü ASO (App Store Optimization) nedir süreçlerinde gizlilik etiketleri (Privacy Labels / Data Safety) artık en önemli sıralama kriterlerinden biri haline gelmiştir. Telefonunuzda tam siber güvenlik sağlamak için şu 6 kritik izin ve güvenlik kontrolünü mutlaka uygulayın:

1. Erişilebilirlik (Accessibility) İzinlerine Asla Onay Vermeyin: Görme ve işitme engelli bireyler için tasarlanan işletim sistemi Erişilebilirlik Servisi, bir uygulamaya ekrandaki her şeyi okuma ve sizin yerinize butonlara tıklama yetkisi verir. Bankacılık trojanları (zararlı yazılımlar) kendilerini "pil temizleyici" veya "PDF okuyucu" gibi gösterip bu izni ister; onay verirseniz mobil bankacılık ekranınızı uzaktan yönetebilirler.
2. Tam Konum vs. Yaklaşık Konum Ayrımı: Bir hava durumu veya haber uygulamasının evinizin hangi odasında olduğunuzu santimetresine kadar (Tam Konum) bilmesine gerek yoktur; yalnızca navigasyon ve kurye/taksi uygulamalarına tam konum izni verin, diğerlerinde "Yaklaşık Konum" ve "Yalnızca Uygulama Kullanılırken" seçeneğini işaretleyin.
3. Fotoğraf Galerisine Sınırlı Erişim (Photo Picker): Sosyal medya veya fotoğraf düzenleme uygulamalarına tüm galerinize (binlerce özel fotoğrafınıza ve ekran görüntüsü aldığınız belgelere) tam erişim vermek yerine, iOS ve Android'in sunduğu "Seçilen Fotoğraflara İzin Ver" özelliğini kullanın.
4. Pano (Clipboard) ve Mikrofon/Kamera Göstergeleri: Ekranınızın sağ üst köşesinde beliren yeşil nokta (kamera aktif) veya turuncu nokta (mikrofon aktif) uyarılarını takip edin. Ayrıca kopyaladığınız kripto cüzdan adreslerini veya şifreleri okuyan uygulamalara karşı pano erişim bildirimlerini açık tutun.
5. Mağaza Dışı (APK / Sideloading) Kurulumlardan Kaçının: WhatsApp, Telegram veya tarayıcı üzerinden gönderilen "Düğün davetiyesi.apk", "Kargo takip.apk" veya "Ücretsiz Premium" dosyalarını kesinlikle yüklemeyin. Hem Android Google Play Protect'i hem de iOS Çalınan Cihaz Koruması (Stolen Device Protection) özelliğini aktif tutun.
6. SIM Kart PIN Kodunu ve eSIM Kilidini Aktifleştirin: Telefonunuz çalındığında saldırganın fiziksel SIM kartınızı çıkarıp başka bir telefona takarak SMS almasını engellemek için SIM kartınıza mutlaka varsayılan (0000/1234) dışında özel bir PIN kodu tanımlayın veya cihazdan çıkarılamayan eSIM teknolojisine geçiş yapın.

Sıkça Sorulan Sorular (SSS)

1. Telefonum çalınırsa veya kırılırsa Passkey ile korunan hesaplarıma nasıl girerim?

Passkey'leriniz Apple iCloud Anahtar Zinciri, Google Şifre Yöneticisi veya 1Password/Bitwarden gibi uçtan uca şifreli bulut hesabınızla senkronize edilir. Yeni bir telefon aldığınızda veya başka bir cihazdan ana bulut hesabınıza giriş yaptığınızda tüm Passkey'leriniz otomatik olarak geri yüklenir. Ayrıca telefonunuz çalınırsa hırsız yüzünüzü (Face ID) veya parmak izinizi geçemediği sürece içindeki Passkey'leri kesinlikle kullanamaz.

2. Bir web sitesinde Passkey oluşturduğumda eski şifrem otomatik silinir mi?

Çoğu platform geçiş aşamasında önce Passkey'i birincil giriş yöntemi olarak ekler, eski parolanızı ise yedek (kurtarma) yöntemi olarak tutmaya devam eder. Ancak tam güvenlik (ve oltalama saldırılarına karşı %100 koruma) sağlamak için, hesabınıza en az iki farklı cihazdan erişebilen Passkey veya donanım güvenlik anahtarı (YubiKey vb.) tanımladıktan sonra hesap ayarlarından parola ile giriş seçeneğini tamamen devre dışı bırakmanız önerilir.

3. Passkey oluşturmak ücretli mi veya ek bir uygulama indirmek gerekir mi?

Hayır, tamamen ücretsizdir. iOS 16 ve üzeri iPhone'larda, Android 9 ve üzeri tüm güncel Android telefonlarda ve Windows 10/11 ile macOS işletim sistemlerinde Passkey desteği işletim sisteminin içine yerleşik olarak gelir; hiçbir ek uygulama indirmenize gerek yoktur.

4. Ortak kullanılan bir bilgisayarda Passkey ile giriş yapmak güvenli midir?

Evet, hatta en güvenli yöntemdir! Ortak veya yabancı bir bilgisayarda klavyeden şifrenizi yazarsanız bilgisayardaki bir Keylogger (Tuş Kaydedici) virüsü şifrenizi çalabilir. Oysa ekrandaki QR kodu kendi telefonunuzla okutup Passkey ile giriş yaptığınızda, yabancı bilgisayara hiçbir şifre veya özel anahtar aktarılmaz; yalnızca o oturuma özel tek kullanımlık doğrulama yapılır.

5. Donanımsal Güvenlik Anahtarları (YubiKey vb.) ile Passkey aynı şey midir?

İkisi de aynı FIDO2 / WebAuthn kriptografik standardını kullanır! Aslında USB veya NFC ile çalışan fiziksel güvenlik anahtarları (YubiKey, Google Titan Key), içinde donanımsal Passkey taşıyan taşınabilir cihazlardır. Telefonunuzda oluşturduğunuz Passkey ise aynı üst düzey güvenliği harici bir USB bellek taşımaya gerek kalmadan doğrudan telefonunuzun güvenlik çipiyle sunar.

Sonuç

Dijital dünyada karmaşık şifreler ezberleme, her üç ayda bir parola değiştirme ve SMS doğrulama kodu bekleme devri hızla kapanıyor. FIDO2 açık-özel anahtar kriptografisi ve mobil işlemcilerdeki donanımsal güvenlik çipleriyle korunan Passkey (Geçiş Anahtarı) teknolojisi, hem oltalama ve veri sızıntısı saldırılarını matematiksel olarak imkânsız hale getiriyor hem de tek bir bakışla veya parmak iziyle 1 saniyede oturum açma konforu sunuyor. Bugün e-posta, sosyal medya ve finans hesaplarınızda Passkey'i etkinleştirmek ve mobil uygulama izinlerinizi denetlemek, dijital kimliğinizi korumak için atabileceğiniz en güçlü adımdır.