SİBER GÜVENLİK VE KURUMSAL ERİŞİM
Passkey Nedir? İşletmeler İçin Parolasız Giriş Rehberi
Passkey nedir? Passkey, hesaplara girişte yazılı parola yerine kriptografik anahtarları kullanan bir kimlik doğrulama yöntemidir. İşletmeler için temel faydası yalnızca parolayı daha az yazmak değil, sahte giriş sayfalarına karşı daha dayanıklı bir erişim modeli kurabilmektir.
Doğru geçiş; uygun cihazı seçmek kadar çalışan hesabını, kurtarma adımlarını ve destek sürecini birlikte planlamayı gerektirir. Bu rehber kavramı açıklarken, küçük ve orta ölçekli işletmelerin uygulamadan önce soracağı sorulara odaklanır.
Passkey nasıl çalışır?
Passkey, bir hesabın girişini doğrulamak için eşleşen açık ve özel anahtarlar kullanır. Hizmet açık anahtarı tutar; özel anahtar ise doğrulayıcı tarafından korunur. Giriş sırasında kullanıcı, cihazın desteklediği biyometrik doğrulama veya PIN ile işlemi onaylar. Parmak izi ya da yüz verisinin siteye parola gibi gönderilmesi gerekmez.
Kimlik bilgisi ilgili hizmete bağlı olduğu için, başka bir alan adındaki sahte giriş ekranında yeniden kullanılabilecek ortak bir parola yoktur. Bu özellik kimlik avına karşı önemli bir koruma sağlar. Ancak cihaz güvenliği, hesap kurtarma ve oturum yönetimi yine gereklidir. FIDO Alliance passkey açıklaması
Parola, SMS kodu ve passkey arasındaki fark
Parola kullanıcı tarafından yazılır; sahte bir sayfaya girilebilir veya başka hesaplarda tekrar kullanılabilir. SMS kodu ek bir kontrol sağlar fakat kodun saldırgana aktarılması hâlâ mümkündür. CISA, FIDO/WebAuthn tabanlı yöntemleri kimlik avına dayanıklı MFA yaklaşımı olarak ele alır. CISA: kimlik avına dayanıklı MFA
Passkey kullanımı, kurumun tüm parola ve kurtarma yöntemlerinin otomatik olarak kaldırıldığı anlamına gelmez. Hangi giriş yolunun zorunlu olacağı ayrıca belirlenmelidir. Zayıf bir alternatif yol açık bırakılırsa saldırgan, güçlü giriş yöntemini değil bu yolu hedefleyebilir.
Senkronize ve cihaza bağlı passkey aynı şey mi?
Hayır. Cihaza bağlı passkey belirli bir doğrulayıcıda tutulur; fiziksel güvenlik anahtarı buna örnektir. Senkronize passkey ise desteklenen sağlayıcının mekanizmasıyla birden fazla güvenilir cihazda kullanılabilir. Microsoft Entra ID iki türü de destekler; kabul edilecek tür, sağlayıcı ve kurum politikası birlikte değerlendirilmelidir. Microsoft Entra passkey yapılandırma rehberi
Quad Bilişim önerisi: Yönetici hesabıyla standart çalışan hesabına aynı kullanım senaryosunu zorunlu kabul etmeyin. Cihaz sahipliği, işten ayrılma, paylaşılan bilgisayar ve kurtarma sorumluluğu gibi konuları ayrı ayrı yazılı hâle getirin. Bu seçim yalnızca kullanım kolaylığına göre yapılmamalıdır.
Microsoft 365 kullanan işletme nereden başlamalı?
Önce Microsoft 365 ve Office 365 hesaplarının hangi kimlik yönetimiyle çalıştığını belirleyin. Microsoft Entra ortamında kayıt ve parolasız giriş için ayrı bir lisans şartı bulunmadığı açıklanıyor; ancak Conditional Access ile zorunlu kılma gibi ek kontrollerin lisans gereksinimleri vardır. Mevcut aboneliğinizin her özelliği içerdiğini varsaymayın. Microsoft: ön koşullar ve lisanslar
Tarayıcı, işletim sistemi, cihaz ve uygulama uyumluluğunu küçük bir pilotta sınayın. Tek bir web girişinin çalışması; masaüstü uygulamalarının, uzaktan erişimin ve ortak cihazların tamamının hazır olduğunu göstermez. Microsoft'un dağıtım planı cihaz hazırlığının ve kullanıcı gruplarının önceden değerlendirilmesini önerir. Microsoft: dağıtım planı
Küçük işletmeler için geçiş kontrol listesi
Aşağıdaki liste, bir ürünün otomatik olarak uyguladığı ayarlar değil; kurumun kendi ekibiyle değerlendirebileceği bir çalışma planıdır.
- Envanter çıkarın: Kullanıcıları, kritik hesapları, cihaz sahipliğini ve kullanılan uygulamaları listeleyin.
- Pilot kapsamını daraltın: Farklı cihazları temsil eden küçük bir ekip seçin. Canlı yönetici erişimini riske atmayın.
- Kurtarma senaryosu yazın: Telefon kaybında kimlik nasıl doğrulanacak, eski yöntem kim tarafından kaldırılacak, yeni kayıt nasıl yapılacak?
- Alternatif erişimi test edin: Güvenli acil erişim prosedürünü sınayın; günlük kullanıma açık kontrolsüz bir arka kapı oluşturmayın.
- Çalışanları bilgilendirin: Beklenmeyen kayıt taleplerinin ve destek adıyla gelen yönlendirmelerin nasıl bildirileceğini açıklayın.
- Sonuçları ölçün: Başarısız girişleri, destek taleplerini ve kurtarma denemelerini değerlendirin. Uygun bulunursa kapsamı kademeli genişletin.
Bu çalışmayı cihaz bakımı ve kullanıcı yaşam döngüsüyle birlikte ele almak için kurumsal IT destek ve bakım kapsamından yararlanılabilir. Dış kaynak ekiple çalışılıyorsa yetki sınırları IT outsource sürecinde açıkça tanımlanmalıdır.
Sık sorulan sorular
Passkey kullanınca hiçbir saldırı başarılı olamaz mı?
Hayır. Kimlik avına dayanıklılık, her tür saldırıya karşı dokunulmazlık değildir. Ele geçirilmiş cihazlar, kötü yönetilen kurtarma süreçleri ve açık oturumlar ayrıca korunmalıdır.
Telefon kaybolursa hesaba erişim tamamen biter mi?
Sonuç, kullanılan passkey türüne ve kurtarma düzenine bağlıdır. Geçişten önce kurumun doğrulanmış kurtarma prosedürü ve alternatif erişimi test edilmelidir.
Her çalışan fiziksel güvenlik anahtarı almak zorunda mı?
Hayır. Uygun seçenek cihazlara, desteklenen hizmetlere ve kurum politikasına göre değişir. Donanım alımından önce uyumluluk ve yönetim gereksinimleri belirlenmelidir.
Kurumunuza uygun giriş modelini planlayın
Passkey geçişini tek bir ayar değişikliği olarak değil, hesap ve cihaz yönetimi projesi olarak değerlendirin. Mevcut ortamın incelenmesi için Quad Bilişim ile iletişime geçebilirsiniz.