Passwordless Authentication Nedir, Nasıl Çalışır?

Parolasız kimlik doğrulama, geleneksel şifreler yerine biyometri, güvenlik anahtarları veya sihirli bağlantılar kullanarak sistemlere erişim sağlayan modern bir güvenlik yöntemidir. Kurumsal ağlarda yetkisiz erişim risklerini en aza indirmek, parola yorgunluğunu ortadan kaldırmak ve kimlik tabanlı siber saldırıları engellemek isteyen teknik karar vericiler için bu mimari kritik bir dönüşüm noktasıdır. Bu kapsamlı rehberde Passwordless Authentication Nedir, Nasıl Çalışır? sorusunun teknik altyapısını, asimetrik kriptografi dinamiklerini, FIDO2/WebAuthn standartlarını, kurumsal geçiş protokollerini ve risk yönetim mekanizmalarını derinlemesine inceleyeceğiz.

Passwordless Authentication (Parolasız Kimlik Doğrulama) Nedir?

Parolasız kimlik doğrulama (Passwordless Authentication), kullanıcının bir sisteme, uygulamaya veya ağ altyapısına erişirken ezberlenmiş bir metin dizisi (statik parola) girmesi zorunluluğunu ortadan kaldıran bir kimlik ve erişim yönetimi (Identity and Access Management - IAM) yöntemidir. Geleneksel sistemlerde kullanıcı adı ve parola eşleşmesi "paylaşılan sır" (shared secret) prensibine dayanır. Bu modelde hem kullanıcı hem de kimlik doğrulama sunucusu aynı parolayı veya bu parolanın kriptografik özetini (hash) bilmek zorundadır. Parolasız sistemlerde ise paylaşılan sır kavramı tamamen terk edilir; kimlik tespiti kriptografik kanıtlar, güvenli donanım elemanları ve cihaz üzerinde yerel olarak doğrulanan faktörler üzerinden yürütülür.

Teknik açıdan parolasız mimariler, kullanıcının elinde tuttuğu bir cihazı (sahiplik faktörü - possession factor) ve/veya biyometrik özelliklerini (bütünlük faktörü - inherence factor) doğrulamak üzere asimetrik kriptografi mekanizmalarını çalıştırır. Kullanıcı bir web sitesine veya kurumsal uygulamaya giriş yapmak istediğinde, sunucu istemci cihaza tek kullanımlık rastgele bir veri bloğu (challenge) gönderir. İstemci cihaz, yalnızca kendi güvenli donanım alanında (örneğin TPM - Trusted Platform Module veya Secure Enclave) saklanan özel anahtar (private key) ile bu meydan okumayı imzalar ve sunucuya geri iletir. Sunucu, elindeki açık anahtar (public key) ile imzayı matematiksel olarak teyit eder; bu süreçte ağ üzerinden hiçbir zaman parola veya gizli anahtar iletilmez.

Parolasız kimlik doğrulama, parolanın geçici olarak gizlendiği veya otomatik doldurulduğu parola yöneticilerinden (password managers) temelde farklıdır. Parola yöneticilerinde arka planda halen sunucuya iletilen statik bir metin yer alır ve bu metin sunucu tarafındaki bir veri tabanı ihlalinde veya ters proxy kimlik avı saldırılarında (reverse proxy phishing) çalınabilir. Parolasız kimlik doğrulamada ise sunucu tarafında çalınabilecek bir şifre veya gizli anahtar bulunmaz; sunucuda yalnızca açık anahtar barındırılır. Açık anahtarın yetkisiz aktörlerin eline geçmesi, özel anahtar olmadan hiçbir kimlik doğrulama yetkisi sağlamaz.

Kurumsal organizasyonlar için bu dönüşüm, yalnızca kullanıcı oturum açma kolaylığı sağlayan bir arayüz yeniliği değildir. Siber güvenlik standartları (NIST SP 800-63B, ISO/IEC 27001) ve veri koruma mevzuatları (GDPR, KVKK) çerçevesinde değerlendirildiğinde, kimlik tabanlı ihlal yüzeyini küçülten yapısal bir güvenlik hamlesidir. Kimlik avı ve kimlik bilgisi hırsızlığı risklerini mimari seviyede engelleyerek işletmelerin güvenlik duruşunu (security posture) kurumsal ölçekte yeniden tanımlar.

Geleneksel Parolalar Neden Artık Yetersiz?

Statik parolalar, bilgisayar ağlarının ilk dönemlerinden bu yana temel kimlik doğrulama standardı olarak kullanılmıştır. Ancak günümüzün dağıtık mimarileri, bulut altyapıları ve sofistike siber tehdit manzarası karşısında bu yöntem kurumsal güvenliğin en kırılgan halkası haline gelmiştir. Statik metinlere dayalı kimlik doğrulama sistemleri, insan faktörünün bilişsel sınırları ve siber saldırganların kullandığı gelişmiş otomasyon araçları nedeniyle sürdürülemez bir güvenlik açığı üretmektedir.

Kurumsal Ağlarda Kimlik Avı (Phishing) ve Veri İhlali Riskleri

Siber saldırıların büyük çoğunluğu doğrudan ağ açıklarından değil, ele geçirilen geçerli kimlik bilgilerinden kaynaklanmaktadır. Kimlik avı (Phishing), mızrak kimlik avı (Spear Phishing) ve ters proxy saldırıları (örneğin Evilginx gibi Man-in-the-Middle araçları), kullanıcıları sahte giriş sayfalarına yönlendirerek statik parolalarını ve hatta geleneksel SMS/E-posta tabanlı tek kullanımlık kodlarını (OTP) gerçek zamanlı olarak ele geçirebilmektedir.

Parolaların çalınması durumunda saldırganlar, kurumsal ağ içerisinde yanal hareket (lateral movement) gerçekleştirerek ayrıcalıklı hesaplara erişebilir. Ayrıca, veri ihlallerinde sızdırılan milyarlarca kullanıcı adı ve parola kombinasyonu, otomatikleştirilmiş credential stuffing ve kaba kuvvet (brute-force) saldırıları ile kurumsal portallara karşı sürekli olarak denenmektedir. Statik bir parolanın güvenliği, yalnızca kullanıcının dikkatine ve sunucunun hash depolama algoritmasının dayanıklılığına bağlıdır; bu da asimetrik bir risk ortamı yaratır.

Şifre Yorgunluğu ve Kullanıcı Deneyimi Kaybı

Ortalama bir kurumsal çalışan gün boyunca onlarca farklı dahili ve harici SaaS uygulamasına erişmek zorundadır. Güvenlik politikaları gereği çalışanlardan her sistem için karmaşık, en az 12-16 karakterli, büyük/küçük harf, rakam ve özel karakter içeren şifreler üretmeleri ve bunları 60-90 günde bir değiştirmeleri talep edilmektedir. İnsan hafızasının bu gereksinimleri karşılaması bilişsel olarak mümkün değildir.

Bu durum "şifre yorgunluğu" (password fatigue) olarak adlandırılan davranışsal güvenlik açıklarına yol açar. Çalışanlar şifrelerini fiziksel not defterlerine yazmakta, masa altına yapıştırmakta, tahmin edilebilir kalıplar (örneğin ŞirketAdı2026!) kullanmakta veya aynı şifreyi birden fazla kritik sistemde tekrar etmektedir. Parola karmaşıklık kuralları katılaştıkça, kullanıcıların güvenlik kurallarını baypas etme eğilimi artmakta, bu da kurumsal kullanıcı deneyimini zedelerken güvenliği paradoksal olarak düşürmektedir.

BT Departmanları İçin Parola Yönetim Maliyetleri

Statik parolalar yalnızca güvenlik zafiyeti üretmekle kalmaz, aynı zamanda doğrudan operasyonel ve finansal maliyet yaratır. Kurumsal BT destek masalarına (Help Desk) gelen çağrıların %30 ila %50'sini parola sıfırlama talepleri oluşturmaktadır. Forrester ve Gartner analizlerine göre, tek bir parola sıfırlama destek talebinin kuruma ortalama operasyonel maliyeti 70 USD civarındadır.

Binlerce çalışanı olan bir kurumda yıllık parola yönetim maliyeti yüz binlerce dolara ulaşmaktadır. Bunun yanı sıra, kilitlenen hesaplar nedeniyle yaşanan iş gücü kaybı, proje gecikmeleri ve BT personelinin stratejik güvenlik projeleri yerine operasyonel şifre sıfırlama görevlerine zaman harcaması, kurumun toplam verimliliğini aşağıya çekmektedir.

Passwordless Authentication Nasıl Çalışır? (Teknik Altyapı)

Parolasız kimlik doğrulama sistemlerinin temel çalışma prensibi, kriptografik meydan okuma-yanıt (challenge-response) protokolüne ve Açık Anahtar Altyapısına (PKI - Public Key Infrastructure) dayanır. Bu mimaride, kullanıcının cihazı (istemci / authenticator) ile kimlik doğrulama sunucusu (Relying Party - RP) arasında iki aşamalı bir yaşam döngüsü yürütülür: Kayıt (Registration) ve Doğrulama (Authentication).

Asimetrik Kriptografi ve Açık Anahtar Altyapısı (PKI)

Asimetrik şifreleme, matematiksel olarak birbiriyle ilişkili ancak birbirinin yerine geçemeyen iki anahtar üretir: Özel Anahtar (Private Key) ve Açık Anahtar (Public Key). Genellikle ECDSA (Elliptic Curve Digital Signature Algorithm - örn. P-256 eğrisi) veya Ed25519 gibi modern eliptik eğri kriptografisi standartları kullanılır.

Kayıt aşamasında süreç şu şekilde işler:

1. Kullanıcı parolasız bir servise kaydolurken, istemci cihaz yerel olarak yeni ve benzersiz bir asimetrik anahtar çifti üretir.

2. Üretilen Özel Anahtar, cihazın güvenli donanım modülüne (TPM, TEE - Trusted Execution Environment veya Secure Enclave) kilitlenir ve cihaz dışına hiçbir koşulda aktarılamaz.

3. Açık Anahtar ise ağ üzerinden kimlik doğrulama sunucusuna iletilir ve sunucunun veri tabanında kullanıcının hesap kimliğiyle ilişkilendirilerek saklanır.

Açık anahtar doğası gereği gizli değildir; herkes tarafından bilinebilir ve yalnızca ilgili özel anahtar ile oluşturulmuş dijital imzaların doğrulanması amacıyla kullanılır.

KULLANICI CİHAZI (İstemci)                       KİMLİK DOĞRULAMA SUNUCUSU (Relying Party)
┌───────────────────────────────┐                 ┌───────────────────────────────────────┐
│ 1. Yerel Biyometrik Doğrulama │                 │                                       │
│    (Touch ID / Windows Hello) │                 │                                       │
│               │               │                 │                                       │
│ 2. Oturum Açma Talebi         │ ──────────────> │ 3. Rastgele Challenge (Meydan Okuma)  │
│                               │ <────────────── │    ve Kaynak Bilgisi (Origin) Üret    │
│ 4. Güvenli Donanımda (TPM)    │                 │                                       │
│    Challenge + Origin'i       │                 │                                       │
│    Private Key ile İmzala     │                 │                                       │
│               │               │                 │                                       │
│ 5. İmzalı Veriyi Gönder       │ ──────────────> │ 6. Public Key ile İmzayı Doğrula      │
│                               │                 │    Origin Kontrolü Yap                │
│                               │                 │               │                       │
│ 7. Oturum Başlatıldı          │ <────────────── │ 8. JWT / Oturum Token'ı İlet          │
└───────────────────────────────┘                 └───────────────────────────────────────┘

Cihaz İçi Doğrulama ve Sunucu İletişimi

Doğrulama aşamasında kullanıcı oturum açmak istediğinde ağ üzerinde hiçbir parola iletimi gerçekleşmez:

1. Oturum Başlatma: Kullanıcı uygulamaya giriş yapmak istediğini belirtir.

2. Challenge Üretimi: Kimlik doğrulama sunucusu, kriptografik olarak güvenli, rastgele bir veri bloğu (nonce/challenge) ve uygulamanın kaynak adresini (origin/domain) içeren bir paket hazırlar ve istemciye gönderir.

3. Yerel Kullanıcı Yetkilendirmesi: İstemci cihaz, kullanıcının cihaz başında olduğunu teyit etmek için yerel bir doğrulama faktörü talep eder. Bu işlem cihaz üzerindeki parmak izi okuyucu, yüz tanıma veya donanım güvenlik anahtarına fiziksel temas şeklinde gerçekleşir. Bu adım tamamen cihaz içinde çözülür; biyometrik veri asla ağa çıkmaz.

4. Kriptografik İmzalama: Yerel doğrulama başarılı olduğunda, güvenli donanım içerisindeki Özel Anahtar serbest bırakılır. Cihaz, sunucudan gelen challenge verisini ve geçerli domain bilgisini özel anahtar ile imzalayarak bir dijital imza üretir.

5. Sunucu Tarafı Doğrulama: Üretilen imza sunucuya iletilir. Sunucu, kayıt aşamasında sakladığı Açık Anahtar yardımıyla imzanın geçerliliğini ve domain adresinin doğruluğunu matematiksel olarak kontrol eder. İmza geçerliyse oturum başlatılır.

Bu akış, "origin binding" (kaynak bağlama) özelliği sayesinde kimlik avı saldırılarını engeller. Kullanıcı sahte bir web sitesinde (örneğin @@CODE0@@) oturum açmaya çalışsa bile, istemci cihaz imzayı sahte domain adresiyle üreteceği için, gerçek sunucu (@@CODE1@@) imzayı reddeder.

Temel Parolasız Kimlik Doğrulama Yöntemleri

Kurumsal mimarilerde uygulanan parolasız kimlik doğrulama çözümleri, güvenlik seviyesi, dağıtım maliyeti ve kullanıcı alışkanlıklarına göre farklılık gösteren birden fazla yöntemi kapsar. Organizasyonların risk profillerine uygun mekanizmaları seçmesi gerekir.

Biyometrik Doğrulama (Parmak İzi, Yüz ve İris Tanıma)

Platform tabanlı doğrulayıcılar (Platform Authenticators), kullanıcı cihazlarına entegre edilmiş sensörler aracılığıyla çalışır. Apple Touch ID/Face ID, Windows Hello ve Android Biyometri API'leri bu kategoridedir. Biyometrik veriler doğrudan işletim sisteminin yalıtılmış donanım alanında (Secure Enclave/TPM) işlenir. Biyometri, kullanıcının cihaz üzerindeki özel anahtara erişim yetkisini açan yerel bir "kilit açma" mekanizması işlevi görür. Biyometrik şablonlar hiçbir zaman sunucuya gönderilmez veya ağ üzerinden aktarılmaz.

Donanım Tabanlı Güvenlik Anahtarları (FIDO2 / U2F)

Harici doğrulayıcılar (Roaming Authenticators), USB-A, USB-C, NFC veya Lightning arabirimleri üzerinden bağlanan fiziksel donanım token'larıdır (örneğin YubiKey, Feitian, Nitrokey). Bu cihazlar FIDO2/WebAuthn standartlarını donanımsal düzeyde uygular. Donanım anahtarları, içerisindeki mikrodenetleyici sayesinde özel anahtarları en yüksek güvenlik düzeyinde saklar. Fiziksel temas (touch) veya PIN zorunluluğu gerektirdiğinden, uzaktan gerçekleştirilen siber saldırılara karşı maksimum direnç sağlar. Finans, savunma sanayii ve kritik altyapı sektörlerinde yönetici hesapları için birincil tercih konumundadır.

Sihirli Bağlantılar (Magic Links) ve E-posta Doğrulaması

Sihirli bağlantılar (Magic Links), kullanıcının giriş ekranına yalnızca e-posta adresini girmesi ve gelen kutusuna iletilen tek kullanımlık, süreli ve kriptografik olarak imzalanmış bir URL'ye tıklamasıyla oturum açmasını sağlayan yöntemdir.

• Avantajı: Son kullanıcı tarafında hiçbir ek donanım veya özel yapılandırma gerektirmez. Müşteri odaklı (B2C) SaaS platformlarında hızlı benimseme sağlar.

• Dezavantajı: Güvenliği tamamen e-posta hesabının güvenliğine bağlıdır. E-posta sağlayıcısının ele geçirilmesi durumunda oturum riske girer ve man-in-the-middle saldırılarına karşı donanım tabanlı çözümler kadar güçlü değildir.

Kimlik Doğrulama Uygulamaları (Authenticator Apps) ve OTP

Akıllı telefonlar üzerine kurulu mobil uygulamalar (Microsoft Authenticator, Google Authenticator, Duo Mobile, Okta Verify), parolasız akışlarda iki şekilde yer alır:

1. Push Bildirimleri ve Sayı Eşleme (Number Matching): Kullanıcı oturum açmak istediğinde telefonuna bir bildirim düşer. Ekranda gösterilen iki haneli sayıyı mobil uygulamada eşleştirmesi ve biyometrik onay vermesi istenir. Sayı eşleme özelliği, bildirim yorgunluğu (MFA Fatigue) saldırılarını engellemek için kritik bir standarttır.

2. Uygulama İçi FIDO Doğrulaması: Mobil cihazın kendisi bir FIDO2 güvenlik anahtarı olarak davranır; Bluetooth veya QR kod eşleşmesi ile bilgisayardaki oturumu yetkilendirir.

+---------------------------------------------------------------------------------------+
|                 PAROLASIZ KİMLİK DOĞRULAMA YÖNTEMLERİ KARŞILAŞTIRMASI                 |
+--------------------------+--------------------+--------------------+------------------+
| Yöntem                   | Güvenlik Seviyesi  | Kullanıcı Kolaylığı| Donanım Bağımlılığı|
+--------------------------+--------------------+--------------------+------------------+
| Donanım Güvenlik Anahtarı| En Yüksek (FIDO2)  | Yüksek             | Harici USB/NFC   |
| Platform Biyometrisi     | Çok Yüksek         | En Yüksek          | Cihaz Entegre    |
| Mobil Push (Number Match)| Yüksek             | Yüksek             | Akıllı Telefon   |
| Sihirli Bağlantı (Magic) | Orta               | Orta               | Yalnızca E-posta |
+--------------------------+--------------------+--------------------+------------------+

Parolasız Sisteme Geçişin Kurumsal Avantajları

Kurumsal organizasyonların parolasız kimlik doğrulama mimarisine geçişi, yalnızca BT güvenliği açısından değil, operasyonel süreklilik, mevzuat uyumu ve finansal verimlilik boyutlarında ölçülebilir kazanımlar sağlar.

Güvenlik Duruşunun (Security Posture) Güçlendirilmesi

Parolasız sistemler, kimlik tabanlı saldırı vektörlerinin neredeyse tamamını mimari düzeyde hükümsüz kılar. Verizon Data Breach Investigations Report (DBIR) verilerine göre ihlallerin %80'inden fazlasında çalınan, zayıf veya tahmin edilebilir kimlik bilgileri kullanılmaktadır. Parolasız yapılandırma:

• Kimlik avı (Phishing) ve ters proxy saldırılarını domain doğrulama (origin binding) ile tamamen engeller.

• Parola yeniden kullanımı ve credential stuffing risklerini ortadan kaldırır.

• Sunucu tarafında veri tabanları sızdırılsa dahi saldırganların elde edebileceği hiçbir parola karması (hash) bırakmaz.

Sürtünmesiz Kullanıcı Deneyimi (Frictionless UX)

Güvenlik önlemleri kullanıcı deneyimini zorlaştırdığı sürece çalışanlar güvenlik kurallarını esnetme eğilimi gösterir. Parolasız sistemler güvenlik ile kullanıcı hızını çatışan iki kavram olmaktan çıkarır.

• Çalışanlar karmaşık parolaları hatırlamak, düzenli periyotlarla değiştirmek veya kilitlenen hesaplar için destek beklemek zorunda kalmaz.

• Tek bir biyometrik dokunuş veya donanım anahtarı teması ile saniyeler içinde sisteme erişim sağlanır.

• Kurum genelinde oturum açma sürelerinde %70'e varan kısalma elde edilir; bu da çalışan verimliliğini doğrudan artırır.

Sıfır Güven (Zero Trust) Mimarisine Uyumluluk

Zero Trust felsefesi "Asla Güvenme, Her Zaman Doğrula" (Never Trust, Always Verify) ilkesine dayanır. Statik parolalar bu ilkeye temelden aykırıdır; çünkü parola bir kez girildiğinde oturum boyunca kullanıcının kimliği varsayımsal olarak kabul edilir.

• Parolasız mimariler, kullanıcının yalnızca kimliğini değil; bağlandığı cihazın güvenilirliğini, donanım bütünlüğünü ve fiziksel varlığını kriptografik olarak doğrular.

• Koşullu Erişim (Conditional Access) politikalarıyla birleştirildiğinde; cihazın uyumluluk durumu (MDM kaydı, yama seviyesi, disk şifreleme) kontrol edilmeden Özel Anahtarın kullanılmasına izin verilmez. Bu durum kurumsal ağlara Zero Trust prensiplerinin tam olarak yerleşmesini sağlar.

Dikkat Edilmesi Gereken Riskler ve Güvenlik Önlemleri

Parolasız kimlik doğrulama geleneksel parola risklerini ortadan kaldırsa da, kendi operasyonel ve teknik risk modellerini beraberinde getirir. Bilgi güvenliği ekiplerinin bu riskleri proaktif olarak yönetmesi şarttır.

Cihaz Kaybı veya Çalınması Durumunda Hesap Kurtarma Senaryoları

Parolasız sistemlerde özel anahtar fiziksel bir cihaza (akıllı telefon, dizüstü bilgisayar veya donanım anahtarı) bağlıdır. Cihazın kaybolması, arızalanması veya çalınması durumunda kullanıcının sistem dışı kalması (lockout) riski doğar.

• Geçici Erişim Geçiş Kodları (Temporary Access Pass - TAP): BT yöneticileri tarafından üretilen, zamana duyarlı ve tek kullanımlık kriptografik kodlar ile kullanıcının yeni bir cihaz kaydetmesi sağlanmalıdır.

• Yedek Doğrulayıcı Zorunluluğu: Kullanıcılara kayıt esnasında en az iki farklı doğrulayıcı tanımlama (örneğin bir donanım anahtarı ve bir mobil platform authenticator) kuralı getirilmelidir.

• Senkronize Edilmiş Passkey Yapıları: Kurumsal politikalar izin veriyorsa, FIDO Alliance tarafından standartlaştırılan uçtan uca şifreli bulut anahtar zincirleri (Apple iCloud Keychain, Google Password Manager) üzerinden anahtarların yedeklenmesi sağlanabilir.

Biyometrik Verilerin Gizliliği ve Yerel Depolama Prensipleri

Biyometrik verilerin çalınması durumunda değiştirilmesi imkansızdır (bir parmak izini şifre gibi sıfırlayamazsınız). Bu nedenle KVKK, GDPR ve ISO 27701 uyumluluğu açısından mimarinin doğrulanması gerekir:

• Biyometrik ham veriler (parmak izi görseli, yüz haritası) hiçbir zaman kaydedilmez; yalnızca matematiksel vektör şablonları kullanılır.

• Bu şablonlar kesinlikle merkezi bir sunucuya iletilmemeli, cihazın donanımsal yongasında (Secure Enclave) işlenmelidir.

• Kurumsal denetimlerde, kullanılan IdP ve istemci yazılımlarının WebAuthn standartlarına tam uyduğu ve biyometriyi sadece yerel kilit açıcı olarak kullandığı belgelenmelidir.

Geriye Dönük Uyumluluk ve Eski Sistemlerin (Legacy Systems) Entegrasyonu

Kurumsal ortamlarda modern WebAuthn standartlarını yerel olarak desteklemeyen eski nesil sistemler (Legacy ERP, SSH sunucuları, VPN ağ geçitleri, ana makine/mainframe sistemleri) yaygındır.

• Protokol Köprüleri (Protocol Gateways): RADIUS, LDAP veya Kerberos protokollerini modern OIDC/SAML ve FIDO2 akışlarına bağlayan kimlik köprüleri (Identity Proxies) devreye alınmalıdır.

• Aşamalı Devre Dışı Bırakma: Eski sistemler doğrudan parolasız yapılamıyorsa, bu sistemlerin önüne SSO (Single Sign-On) katmanı entegre edilmeli; kullanıcı SSO portalına parolasız girdikten sonra eski protokollere erişim sağlanmalıdır.

FIDO2 ve WebAuthn: Parolasız Geleceğin Endüstri Standartları

Parolasız kimlik doğrulamanın küresel ölçekte uygulanabilir ve platformlar arası birlikte çalışabilir (interoperable) olmasını sağlayan temel güç, FIDO Alliance (Fast IDentity Online) ve W3C (World Wide Web Consortium) tarafından geliştirilen açık standartlardır. Bu standartlar tescilli (proprietary) yazılımlara bağımlılığı engeller ve ekosistemin güvenliğini garanti altına alır.

FIDO2 ekosistemi iki ana protokolden oluşur:

1. WebAuthn (Web Authentication API)

W3C tarafından resmi web standardı olarak kabul edilen WebAuthn, tarayıcıların ve web uygulamalarının işletim sistemi düzeyindeki kimlik doğrulayıcılarla doğrudan iletişim kurmasını sağlayan JavaScript API'sidir. Chrome, Edge, Safari ve Firefox gibi tüm modern tarayıcılarda yerel olarak desteklenir. WebAuthn sayesinde web geliştiricileri, kullanıcıların parmak izi, yüz tanıma veya harici güvenlik anahtarları ile web sitelerine doğrudan ve güvenli bir şekilde giriş yapmasını sağlayabilir.

2. CTAP (Client to Authenticator Protocol)

CTAP (özellikle CTAP2), harici bir kimlik doğrulayıcının (örneğin bir USB YubiKey veya Bluetooth özellikli telefon) istemci cihazla (bilgisayar veya tarayıcı) nasıl güvenli iletişim kuracağını belirleyen protokoldür. CTAP2, donanım anahtarı üzerinde PIN doğrulamasını, biyometrik kontrolü ve kurumsal cihaz yönetim politikalarını yönetir.

+---------------------------------------------------------------------------------------+
|                                FIDO2 PROTOKOL MİMARİSİ                                |
+---------------------------------------------------------------------------------------+
|  Web Uygulaması / Bulut Servisi (Relying Party)                                       |
|        │                                                                              |
|        ▼ (HTTPS üzerinden Challenge / Yanıt)                                          |
|  Web Tarayıcısı / İşletim Sistemi [WebAuthn API]                                     |
|        │                                                                              |
|        ▼ (USB, NFC, BLE üzerinden CTAP2 Protokolü)                                    |
|  Kimlik Doğrulayıcı (Authenticator) [Windows Hello / Apple TouchID / Güvenlik Anahtarı] |
+---------------------------------------------------------------------------------------+

Passkeys (Geçiş Anahtarları) Kavramı

2022 yılından itibaren FIDO Alliance, Apple, Google ve Microsoft iş birliğiyle "Passkey" terimini standartlaştırmıştır. Passkey, WebAuthn standardının kullanıcı dostu bir uygulamasıdır. Temelde iki türe ayrılır:

• Cihaza Bağlı Passkey'ler (Device-Bound Passkeys): Özel anahtar yalnızca ilgili fiziksel donanımda saklanır, dışarı aktarılamaz veya senkronize edilemez (Yüksek güvenlikli kurumsal ortamlar için idealdir).

• Senkronize Passkey'ler (Synced Passkeys): Özel anahtarlar, kullanıcının bulut ekosisteminde (iCloud Keychain, Google Password Manager) uçtan uca şifrelenmiş olarak cihazları arasında eşitlenir (Son kullanıcı ve B2C SaaS platformları için idealdir).

Kurumlar İçin Parolasız Kimlik Doğrulamaya Geçiş Adımları

Kurumsal bir organizasyonda geleneksel parola altyapısından parolasız kimlik doğrulamaya geçiş, bir gecede yapılabilecek tek seferlik bir işlem değildir. Başarılı bir dönüşüm; teknoloji, süreç ve insan faktörlerini kapsayan aşamalı bir metodoloji gerektirir.

1. Mevcut Altyapının ve Kimlik Envanterinin Analizi

Dönüşümün ilk adımı, kurumun kimlik mimarisini ve erişim noktalarını haritalandırmaktır.

• Merkezi Kimlik Sağlayıcının (Identity Provider - IdP) yetenekleri değerlendirilmelidir (Microsoft Entra ID, Okta, Ping Identity, ForgeRock vb.).

• Uygulama portföyü sınıflandırılmalıdır: Modern kimlik protokollerini (SAML 2.0, OpenID Connect/OAuth2) destekleyen bulut uygulamaları ile eski (legacy) protokolleri kullanan şirket içi (on-premise) yazılımlar ayrıştırılmalıdır.

• Kullanıcı gruplarının donanım envanteri çıkarılmalıdır: Hangi çalışanların Windows Hello uyumlu bilgisayarlara veya şirket tarafından sağlanan akıllı telefonlara sahip olduğu belirlenmelidir.

2. Kademeli Geçiş ve Çok Faktörlü Doğrulama (MFA) ile Entegrasyon

Tüm kurumu aynı anda parolasız sisteme geçirmek operasyonel risk yaratır. Bu nedenle kademeli bir pilot dağıtım stratejisi izlenmelidir.

• Faz 1 - MFA Güçlendirme: İlk aşamada zayıf MFA yöntemleri (SMS, sesli arama) devreden çıkarılmalı, FIDO2 uyumlu Authenticator uygulamaları ve sayı eşleme (number matching) zorunlu kılınmalıdır.

• Faz 2 - Pilot Grup Dağıtımı: BT personeli, geliştiriciler ve belirli departmanlardan oluşan bir pilot grup seçilerek parolasız giriş (Windows Hello for Business veya FIDO2 güvenlik anahtarları) etkinleştirilmelidir.

• Faz 3 - Parola Girişlerinin Kapatılması: Pilot süreç başarıyla tamamlandıktan sonra, kurumsal IdP üzerinde kullanıcıların parola ile oturum açma seçeneği Koşullu Erişim kurallarıyla tamamen engellenmelidir.

3. Son Kullanıcı Eğitimi ve Güvenlik Farkındalığı

Parolasız mimarinin başarısı, son kullanıcıların yeni kimlik doğrulama deneyimini benimsemesine bağlıdır.

• Kullanıcılara biyometrik verilerinin merkezi sunucularda saklanmadığı, gizliliklerinin korunduğu açıkça anlatılmalıdır.

• Cihaz kaybı durumunda izlenecek hesap kurtarma prosedürleri kılavuzlarla belgelenmeli ve kurum içi eğitimlerle pekiştirilmelidir.

• Destek masası (Help Desk) ekipleri, geçici erişim geçiş kodları (TAP) üretimi ve yeni cihaz provizyonu konularında özel eğitime tabi tutulmalıdır.