Güvenlik uzmanı passkey teknolojisinin tuzak olduğu iddialarını yalanladı
Öne çıkanlar
- Senkronize edilen tüketici passkey anahtarları web sitelerine kanıtlama sertifikası sunmuyor.
- WebAuthn kanıtlaması işletim sistemi, yazılım sürümü veya tarayıcı eklentisi gibi verileri içermiyor.
- Alan adına bağlı çalışan passkey mimarisi, TOTP kodlarını ele geçiren modern oltalama araçlarını engelliyor.
İnternette yayılan ve passkey kullanımını tuzak olarak niteleyerek kullanıcılara şifre ve TOTP kodlarına geri dönmeyi tavsiye eden viral yazıya güvenlik araştırmacısı Scott Helme teknik açıklamalarla yanıt verdi. İddiaların merkezinde, sitelerin donanım ve yazılım kısıtlaması dayatmasına yarayacağı öne sürülen kanıtlama mekanizması yer alıyordu. Helme, günlük kullanımda senkronize edilen passkey çözümlerinin sitelere kanıtlama ifadesi göndermediğini ve tüketici sitelerinde böyle bir talebin kullanıcı tabanını tamamen kilitleyeceğini belirtti.
WebAuthn standartlarındaki kanıtlama yapısının işletim sistemi, tarayıcı eklentileri veya cihazın yazılım modifikasyonları hakkında bilgi toplamadığını vurgulayan Helme, bu yapının sadece doğrulayıcının marka ve modelini içerdiğini kaydetti. Ayrıca eleştirilen metinde donanım anahtarı olarak YubiKey kullanımının önerilmesini tutarsızlık olarak değerlendiren Helme, kanıtlama sertifikasını bizzat bu fiziksel anahtarların taşıdığını açıkladı.
TOTP tabanlı doğrulama kodlarının ortadaki adam saldırılarına ve oltalama yöntemlerine karşı açık olduğunu hatırlatan Helme, passkey mimarisinin alan adına doğrudan bağlı çalışarak bu riskleri tamamen ortadan kaldırdığını aktardı. Güvenilir şifre yöneticileri üzerinden passkey kullanımının sürdürülmesi gerektiğini belirten araştırmacı, kullanıcıların oltalama saldırılarına karşı en sağlam korumayı terk etmemesi gerektiğini ifade etti.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.