- X ürün lideri Nikita Bier, Passkey kavramının ve nerede saklandığının kullanıcılara açıkça aktarılmadığını, bu yüzden uygulamalara giriş yaparken ne olduğu belirsiz bir “sihirli toz” isteniyormuş gibi bir deneyime dönüştüğünü eleştirdi
- Passkey’in telefon/tarayıcı/işletim sistemi/biyometrik bilgi arasında hangisi olduğunu anlamanın zor olduğunu; kullanıcıların güvenlik avantajlarını değerlendirebileceği kadar net bir açıklamanın da eksik olduğunu söylüyor
- Passkey’i savunanlar, bunun girilen bir kelime yerine telefon ya da dizüstü bilgisayar gibi sahip olunan bir cihazı anahtar olarak kullanma yöntemi olduğunu ve çalınması kolay parolalardan daha güvenli olduğunu açıklıyor
- Karşı görüştekiler, tek Passkey cihazı kaybedilirse hesap erişiminin de kaybedilebileceğini; kusurlu uygulamalar ve kurtarma deneyimi nedeniyle hesabın kilitlenmesi riskinin arttığını belirtiyor
- Bazıları benimsenme motivasyonu olarak maliyet düşürmeyi ve büyük platformların ekosistem bağımlılığını şüpheli görürken, parolaların temelden zayıf olduğu ve yalnızca rahatsızlık verdiği için alternatifin reddedilmemesi gerektiği yönünde karşı argümanlar da ortaya atılıyor
Kullanıcıların anlamadığı kimlik doğrulama yöntemi
- Bir teknoloji şirketi yöneticisi, parolaları kaydetmeyi yeni yeni öğrenmiş kullanıcılara Google’ın Passkey sunduğunu; ancak bunun parmak izi/yüz tanıma/sayısal veri arasında hangisi olduğunu bile anlamanın zor olduğunu ifade etti
- Nikita Bier, Passkey’in tüketici psikolojisini anlamayan güvenlik mühendisleri tarafından yapıldığını eleştirdi
- Kullanıcıların Passkey’in ne olduğunu anlamadığı için avantajlarını değerlendirmekte ya da buna itiraz etmekte bile zorlandığını düşünüyor
- Sonuçta uygulamaların, giriş için nerede olduğu bilinmeyen bir kimlik doğrulama aracı istemesi gibi bir durum ortaya çıktığını söylüyor
- Passkey’in telefon/tarayıcı/işletim sistemi/kullanıcının bedeni arasında nerede bulunduğunun da belirsiz hissedildiğine dikkat çekiyor
“Girilen kelime” yerine “sahip olunan anahtar”
- Passkey’i savunan bir yorum, bunu parola gibi girilen bir kelime değil, kullanıcının sahip olduğu bir anahtar olarak açıklıyor
- Çoğu kişi telefonu anahtar olarak kullanır, ancak dizüstü bilgisayar veya başka cihazlar da kullanılabilir
- Temel fark, kelimelerin çalınmasının kolay; anahtarların ise görece daha zor olmasıdır
- Kolaylığa ya da biyometrik doğrulamaya odaklanan açıklamaların kavramı daha da karıştırdığı; sahipliğe dayalı kimlik doğrulama olan özle pek ilgisi olmadığı görüşü dile getiriliyor
Cihaz kaybı ve hesap kurtarma sorunu
- Eleştirel görüşler, çalışan tek Passkey cihazı kaybedilirse hesap erişiminin de kaybedilebileceğinden endişe ediyor
- Parolaların hatırlanabileceği ya da ayrı saklanabileceği, 2FA uygulamalarının birden fazla cihaza kurulabileceği; buna karşılık Passkey’in doğru kullanıldığında sağladığı sağlamlığı, anahtarı kaybetme olasılığıyla birlikte artırdığı savunuluyor
- Başka bir yorum da Passkey uygulamasını başarısız olarak değerlendirip şu sorunları gündeme getiriyor
- Kullanıcı deneyimi iyi değil ve kullanımı zor
- Hesaptan kilitlenip dışarıda kalma olasılığı yüksek
- Platform şirketlerinin bunu zorlamasının nedeni olarak maliyet düşürme ve ekosistem bağımlılığı şüphesi var
Büyük platformlara bağımlılık tartışması
- Tim Sweeney, Passkey’i kullanıcıları büyük teknoloji platformlarına bağlamaya yönelik bir plan olarak değerlendiriyor
- Passkey’in telefon/tarayıcı/işletim sistemi hesabıyla birleşen deneyimi nedeniyle, kullanıcıların kimlik doğrulama aracının nerede bulunduğunu ve onu kimin yönettiğini doğrudan kontrol etmekte zorlandığını hissedebileceği yönünde tepkiler devam ediyor
Paroladan daha iyi bir alternatif olduğu karşı argümanı
- Bazıları Passkey’i cihaz ile biyometrik doğrulama veya parolayı birleştiren bir yöntem olarak anlıyor ve saldırganın iki unsuru birden ele geçirme olasılığının düştüğünü düşünüyor
- Karşı argüman, parolaların temelden bozuk bir güvenlik modeli olduğunu ve kullanıcıların da bunları neredeyse hiçbir zaman doğru kullanmadığını vurguluyor
- Yeni yöntemin zor olduğu gerekçesiyle yalnızca kolay sorunlarda takılı kalmanın doğru olmadığı; sadece eleştirmek yerine daha iyi bir kimlik doğrulama modeli sunmak gerektiği görüşü dile getiriliyor
4 yorum
Evet, X'in ürün başkanı Nikita Bier aslında biraz sert konuşmasıyla tanınır. Elon Musk'a biraz benziyor ama tonu biraz farklı.
Yeni açılan BeeBS Passkey desteği sunuyor. Ben bunun kullanışlı olduğunu düşünen taraftayım.
Ancak yalnızca Passkey ile kayıt olunuyor ve senkronizasyon ya da başka bir kurtarma yöntemi yoksa, cihazınızı kaybettiğinizde hesabınıza erişemeyebilirsiniz. Bu yüzden BeeBS önce e-posta magic link ile kayıt olup ardından Passkey kaydetmenizi sağladı.
Bu ikisini birleştirince kullanıcı parolasını sunucuda hiç saklamaya gerek kalmıyor ve cihaz değiştirseniz ya da cihazınızı kaybetseniz bile e-postayla yeniden giriş yapıp yeni bir Passkey kaydedebiliyorsunuz.
"Passkey iyidir. Alternatif sunmadan eleştirmeyin!!" deniyor,
Ama işin aslı passkey zaten mevcut yönteme alternatif konumunda ve düzgün bir alternatif sunamadığı halde iyi diye diretılıyor
Passkey’leri rahat kullanmak için tüm platformları kapsayan tek bir parola yönetimi uygulaması kullanmak gerekiyor...
Aksi halde passkey’i nerede ve nasıl oluşturduğumu bile bilmiyorum; tarayıcının passkey isteğini yanlış tarafa sorduğunu fark etmek de zor. Bu yüzden sık kullandığım birkaç platform dışında zahmetli olduğu için passkey kullanmıyorum.
Şimdi bakınca, parola yönetimi uygulaması satmak için yapılmış bir özellik gibi görünüyor.
Hacker News yorumları
26 yıldır teknoloji sektöründe çalışıyorum ve açık anahtar/özel anahtar mantığını da anlıyorum; ama birden fazla cihaz ve tarayıcıda passkey’leri nasıl kullanmam gerektiğini, oturum açmanın aksamaması için ne yapacağımı bilmiyorum
iPad, iPhone, Windows masaüstü ve MacBook Pro’da Brave, Firefox, Safari ve LastPass kullanıyorum; telefondaki Safari’de tesadüfen bir passkey oluşturursam diğer cihazlarda da oturum açıp açamayacağım, passkey’leri senkronize edip edemeyeceğim ya da cihaz başına ekleyip ekleyemeyeceğim, sitelerin en fazla kaç tanesine izin verdiği belirsiz
Site ve uygulamaya göre politikalar da değişebilir; bu yüzden şimdilik cihazımı kaybetsem ya da başkasının cihazını kullansam bile kurtarılabilir olan LastPass ve parolaları kullanmaya devam etmeyi düşünüyorum
Eşimle Pandora ve Amazon Prime hesaplarını paylaştığımda her birimizin passkey oluşturup oluşturamayacağı, olmuyorsa eşime erişim yetkisini nasıl vereceğim de ayrı bir soru
Bir mühendis olarak ben bile passkey arayüzünü hiç net bulmuyorum; herkes kullanıcının passkey’lerini tekeline alıp yönetmeye çalışıyor ama bunu gizleyip sadece “senin yerine hallederiz” diyor
Teknik olmayan tanıdıklarım passkey kullanmaları gerekip gerekmediği ve nasıl kullanacakları konusunda aşırı kafa karışıklığı yaşıyor; ben bile doğru düzgün yanıt vermekte zorlanıyorum
Kaybederseniz “parolamı unuttum” e-postası gibi mevcut kurtarma süreçleriyle sıfırlarsınız; genelde parola yöneticisine kaydedilip diğer cihazlara senkronize edildiği için de kaybetmemiş olursunuz
Ancak kopyala-yapıştırmaya izin vermez ve mutlaka parola yöneticisi üzerinden sunulmasını sağlar; böylece kimlik avı yapan tarafa yanlışlıkla iletme olasılığını engeller
Başlıca yöneticiler, kullanıcının okuyabileceği ya da yedekleyebileceği bir dosyaya dışa aktarmayı da desteklemiyor; yöneticiler arası aktarım için de her birinin zahmetli uygulamalar arası taşıma süreçlerini şart koşuyorlar, yani bağımlılık etkisinden memnun gibiler
Yalnızca parola yöneticisinin kendisine giriş yaparken parola veya YubiKey gibi harici bir araç gerekiyor
https://danfabulich.medium.com/passkeys-are-just-passwords-t...
LastPass 2022’den sonra geçen ay da tüm parolaları sızdırdı; artık ayrılma zamanı, en benzer alternatif ise birden fazla ciddi ihlal yaşamamış olan 1Password
Ama bu alternatif oturum açma yöntemi, passkey’in temel hedefi olan kimlik avını ortadan kaldırmayı etkisizleştirdiği için ne kadar süre korunacağını bilmiyorum
Passkey ile giriş yaptıktan sonra tekrar TOTP iki adımlı doğrulama veya e-posta onayı isteyen siteler de var; böylece kullanıcı kolaylığı şeklindeki temel avantaj da ortadan kalkıyor
Parolalar kâğıda yazılıp fiziksel olarak güvenli bir yerde saklanabilir; ancak passkey ve iki adımlı doğrulamada kurtarma bir kâbus, pratik bir kurtarma yolu koyduğunuzda da güvenlik ortadan kalkıyor
Aksine passkey’ler birçok sıradan tüketici için harika; kimlik doğrulamayı anlayan ve kendi parola yönetim sistemine sahip mühendislerin daha çok kafası karışıyor gibi
Apple ekosistemi kullanıcıları zaten istendiğinde Touch ID veya Face ID kullanmaya alışık
Amazon’da passkey ayarladıktan sonra Mac ve iPhone’da hiç sürtünme olmadan oturum açabilir oldum
Sıradan kullanıcı için passkey, parola yöneticisinden karmaşık bir parolayı bulup yapıştırma sürecinin değil, tüm sitelerde paylaştığı aynı parolayı elle girme davranışının yerini alıyor
Passkey belirli bir cihaza bağlıdır; başka bir cihaz kullandığınız anda zahmetli hale gelir ve kullanıcının sahip olup kontrol ettiği bir kimlik bilgisinden çok, her şeye bağlı tek bir şifre gibi görünür
Bazı durumlarda daha güvenli olabilir ama zaten daha iyi bir çözümü olan bir sorun için daha zayıf bir alternatif gibi
Hiçbir şey bilmeyen kullanıcıya dayatılan berbat bir kavram
YubiKey veya parola yerine sürekli PIN kullanmayı dayatıyor
Bir sitede ilk kez passkey kullanmam önerilince aradım, ama yaptığım iş bölünmüşken ayırdığım 5 dakika içinde yanıtı bulamadım
Şimdiye kadar gördüğüm en doğru tanım bir uygulamaya giriş yaptıran sihirli peri tozu
Parolaların ve TOTP token’larının nasıl çalıştığını ve bunları yönetme sorumluluğumun ne olduğunu biliyorum; ama telefonumu kaybedersem ne olacağını, her cihaz için benzersiz bir passkey gerekip gerekmediğini, yenileme döngüsünün ve çalınmaya karşı tepkinin nasıl olduğunu bilmiyorum
Bunun bu kadar kötü anlatıldığını düşünenin yalnızca ben olmamam sevindirici
Teknolojiye aşina biri olarak ben bile passkey’in nerede saklandığını, hangi cihaza bağlı olduğunu, telefonumdaki Chrome ile QR kodu tarayınca neden giriş yapıldığını anlamıyorum
Bir gün aniden seçenekler arasında belirdi; düğmeye basınca giriş yapılıyordu, hepsi bu. Kullanıcı eğitimi ise hiç yoktu
Bilgisayar kullanımında en üst %1’e yakın Hacker News kullanıcıları bile böyleyse, sıradan aile üyeleri ya da emlak sektörü çalışanları bunu anlamaz ve kendi kendine de öğrenmez
https://news.ycombinator.com/item?id=46301585#46303892
Anahtarı dosya yerine YubiKey ya da TPM gibi bir donanım güvenlik modülünde saklar; kayıt sırasında siteyle asimetrik bir anahtar çifti oluşturur ve girişte klasik soru-yanıt yöntemini kullanırsınız
En büyük ilerleme phishing’e dayanıklılık: sahte bir giriş sayfası TOTP kodlarını aktarabilir, ama passkey soru-yanıtını aktaramaz
20 yılı aşkın süredir teknoloji sektöründe çalışıyor olsam da passkey’ler kafa karıştırıcı
Bilgisayar bilimindeki anahtar kavramını anlıyorum, ama cihazlar arasında nasıl kullanılacağını bilmiyorum; fiziksel bir anahtara bağlanırsa kaybolduktan sonra geri alamama ihtimali beni ciddi biçimde endişelendiriyor
Giriş sayfasına girer girmez isteyebiliyorlar ya da önce kullanıcı adı veya e-posta isteyebiliyorlar; tek bir passkey hem parolanın hem de ikinci faktörün yerini alabiliyor ya da yalnızca paroladan sonra gelen ikinci faktör olarak kullanılabiliyor
Parola olmadan passkey ile SMS gibi ayrı bir doğrulamayı birlikte isteyen yerler de var
Buna cihaz kaydı ve senkronizasyon karmaşası da eklenince kullanıcı deneyiminde tutarlılık ciddi biçimde eksik kalıyor
Platform sağlayıcıları arasındaki birlikte çalışabilirlik iyileştirilebilir, ancak her site ve uygulamanın farklı çalışması sorununu çözmek zor görünüyor
Apple, Google, 1Password, KeePass gibi destekleyen yöneticileri kullanabilir ya da her zaman yanınızda taşıdığınız telefonla gösterilen QR kodunu tarayabilirsiniz; YubiKey gibi özel cihazlar da mümkün
Android ve Chrome’da Chrome’un parola yöneticisini ya da telefonla QR taramayı kullanmak yeterli
Polonya devlet uygulaması mObywatel de benzer bir yapıda: girişten sonra sertifika indiriyor, ardından QR kodu çekip PIN veya biyometrik doğrulamayla devlet sitelerine erişiyorsunuz
Passkey’ler yazmanız gerekmeyen parola kadar basit; tüm cihazlarıma 1Password kurarak kolayca kullanıyorum
Android’de de varsayılan passkey sağlayıcısı olarak ayarlanabiliyor, böylece cihazlar arasında paylaşım mümkün oluyor
Anahtarları 1Password ile eşitlemek biraz daha az güvenli olabilir, ama daha önce parolaları da aynı şekilde paylaştığımız için güvenlik duruşunun değişmediğini düşünüyorum
Buna karşılık kullanıcı adı ve parola dizeleri oluşturma, girme ve kopyalama ihtiyacı ortadan kalktı; 1Password siteyi ve passkey isteğini tanıyıp otomatik yanıt veriyor
Birden fazla hesap varsa hangi passkey’in kullanılacağını seçebiliyorsunuz; genel olarak kendiliğinden çalışan bir sistem ve parolalara göre çok daha fazla tercih ediyorum
Parola yöneticisinin oluşturduğu karmaşık ve yeniden kullanılmayan bir parolaya göre pratik bir güvenlik avantajı da yok
Windows’taki Firefox, bazı sitelerde 1Password yerine Windows parola yöneticisini çağırıyor; Android’de de Chrome ve Firefox’un davranışları farklı gibi
Microsoft hesabında, passkey’in saklandığı cihazda önce o hesapla oturum açmanız gerekiyor; bu da akışı karıştırıyor ve başka yollara dönmeyi gerektiriyor
Libby gibi uygulamalardan Amazon’a geçince passkey’siz ayrı bir parola ekranı çıkıyor, bu yüzden parolanın da hazır olması gerekiyor
İyi çalıştığında harika, ama sonuçta 1Password ile kullanıcı adı/parola kombinasyonu daha iyi bir UX gibi görünüyor
Passkey oluşturunca mevcut parola siliniyor mu, başka cihazlarda nasıl giriş yapılacak, yeni cihazda oluşturunca önceki passkey değişip ilk cihazda kilitlenmeye yol açar mı; tanıtım ve yönlendirmelerle bunlar anlaşılmıyor
78 yaşındaki anne babama fiziksel U2F anahtarını “evin kapı anahtarı gibi, hesaba girmek için gereken bir anahtar; kaybetmeyin, başkasına vermeyin ve yedek anahtar da bulunduralım” diye anlattığımda tamamen anladılar ve tüm hesaplarına eklediler.
Tüketicilere fırsat bile vermeden bu tür bir kavramı anlamak için fazla bilgisiz olduklarını varsaymışlardı; oysa gerçekte fiziksel anahtar benzetmesi tek başına yeterliydi.
İki anahtarı birlikte taşıyıp hepsine kaydederseniz ikisini aynı anda kaybetme riski var; birini kasada tutarsanız hangi servise hangi anahtarı kaydettiğinizi takip edip her yeni servis çıktığında yedek anahtarı çıkarıp kaydetmeniz gerekir.
İki seçenek de tatmin edici olmadığı için sonunda yedeklenebilir bir OTP uygulamasını seçtim.
Tedarikçiler, tüketicinin bu kullanım biçimini desteklemeden ya da varlığını bile kabul etmeden, işletmelere karmaşık uygulamaları pahalıya satmaya çalışıyor.
Fiziksel anahtarlar kaybolur; bu yüzden kapının yedek anahtarını saksının altına koyarsınız ve sürekli yanınızda taşımanız gereken bir eşya daha artar.
Telefonu her yerde bulabilirsiniz, ama büyükannenize “Walmart’ın elektronik bölümünde YubiKey isteyin” diyebildiğimiz güne kadar sorun devam ediyor.
Kırsal teslimat ölçütleriyle Amazon bile en az 6 gün sürdüğünden, çevrimiçi sipariş bu durumda geçerli bir çözüm değil; kayıp bir anahtarı hemen değiştirmek fiilen imkânsız.
Passkey’leri basit görenler genelde tüm kimlik bilgilerini tekelci bir bulut sağlayıcısına emanet edip tüm cihazlara eşitliyor gibi görünüyor.
Kimlik bilgilerini çevrimdışı tutmak ve eşitleme ile yedeklemeyi bizzat yapmak isteyen biri için kayıt, yedekleme ve paylaşım süreçlerinin tam olarak nasıl işlediği önemlidir.
Bu, uzaktan doğrulama, yaş doğrulama, CSAM taraması ve sideloading kısıtlamalarıyla birlikte, sonunda Big Tech’in ya da devletin katılımcıları, içeriği, donanımı ve yazılımı doğrulaması olmadan internet etkileşimlerine izin verilmeyeceği yönündeki akışın bir parçası gibi görünüyor.
Teknik kişiler arasında bile bunu destekleyen çok kişi olduğundan, yakında tekelci bulut ekosistemine girmekten başka çare kalmayacak gibi.
İki YubiKey alıp birini banka kasasına, birini başka bir yere koyarak buluttan vazgeçebilirim; ama şimdilik bunun için güçlü bir neden yok.
Passkey’lerde parolalara kıyasla vazgeçmeniz gereken bir şey yok; aksine kullanımı çok daha kolay.
10 yıldır SSH özel anahtarlarını güvenlik donanımında tuttuğum için fiziksel anahtar taşımaya alışık olabilirim, ama genel olarak bunun daha iyi bir yöntem olduğunu düşünüyorum.
Parolaları ortadan kaldırmanın uzaktan doğrulama ya da yaş doğrulamayla ilgisi yok.
Son 20 yılda ezberlediğim parolalar yalnızca tekil makineler veya iş/ev hesapları için iki üç taneydi; geri kalanı ayrıntılı donanım kimlik bilgileriyle çözülmeli.
Passkey’ler, kendi araçlarını anlamak ve yönetmek isteyen teknik kişiler için kâbus.
Anlama becerisi ya da isteği olmadan ekranda söylenen düğmelere basan ve birilerinin kapalı ekosistemi içinde yaşayan kullanıcılar için optimize edilmiş.
Bu kullanımda iyi çalışıyor; ama ekosistemden çıktığınız anda her şeyi bozan devasa bir tedarikçi bağımlılığı yaratıyor ve belki de en baştaki tasarım hedefinin bu olduğu söylenebilir.
HSA sitesi son girişimde passkey kurulumunu zorunlu kıldı; iş dizüstü bilgisayarıma ve şirket parola yöneticisine kaydedince artık kişisel bilgisayarımdan hesaba erişemez oldum.
Gerçekten istediğim harika sonuç buydu.
Şimdilik işveren SSO’su ile giriş yapabildiğim için gerçekten gerekene kadar kurulumu erteliyorum.
Passkey sihir değil, yalnızca tuhaf bir parola; site kurtarma düğmesi uygulamadıysa bu passkey’den çok site uygulamasındaki kusuru gösterir.
Passkey’in sorunu UX değil.
Big Tech, tüketicilerin genel amaçlı bilişim cihazlarına sahip olmasını engelleyip onları kapalı ekosistemlere itmek istiyor; passkey de bu çıkar doğrultusunda tasarlandı.
Özgürlüğünüz elinizden alınırken her zaman olduğu gibi gerekçe güvenlik; sonuçta kullanıcının yalnızca cihaz sahibinin izin verdiği işleri yapabildiği kurumsal yönetimli cihazlara yönelik bir işletim modeli ortaya çıktı.
Kötü UX, bu temel sorundan türeyen bir sonuç.
Belirli bir passkey’i dayatıp özellikle kötü olan şimdiye kadar yalnızca Nintendo idi; o bile Nintendo’nun yaptığı işler arasında daha az kötü sayılır.