Google hesabınız için geçiş anahtarlarını açtıysanız muhtemelen şu söylemi duymuşsunuzdur: yazılacak parola yok, oltalanacak bir şey yok, sızmayı bekleyen bir veritabanında duran hiçbir şey yok. Bu söylem büyük ölçüde doğru. Ancak araştırmacılar şimdi, “Pass-ta-key” lakabını verdikleri ve kendi cihazınızdaki kötü amaçlı yazılımların Google Password Manager’da depolanan geçiş anahtarlarına yine de erişebileceğini gösteren bir teknik tanımladı. Bunun tam olarak ne anlama gelip ne anlama gelmediğini anlamakta fayda var; çünkü çözüm “geçiş anahtarlarını kullanmayı bırakmak” değil.

Geçiş anahtarlarının gerçekte nasıl çalıştığına hızlı bir hatırlatma

Geçiş anahtarı, yazdığınız bir sır değil, bir anahtar çiftidir. Özel anahtarın cihazınızdan asla çıkmaması gerekir; site veya uygulama yalnızca açık anahtarı ve özel anahtara sahip olduğunuzu kanıtlayan bir imzayı görür. Geçiş anahtarlarını klasik oltalamaya dayanıklı kılan şey budur — sahte bir giriş sayfasının çalabileceği bir parola veya tek kullanımlık kod yoktur; çünkü özel anahtar, kandırılarak herhangi bir yere yazmanız sağlanabilecek bir şey değildir.

İşin incelikli kısmı “senkronize” kelimesinde. Bir geçiş anahtarının telefonunuzda, dizüstü bilgisayarınızda ve tabletinizde çalışmasını sağlamak için Google Password Manager, her birini tek bir fiziksel cihaza kilitlemek yerine geçiş anahtarlarınızı Google hesabınız üzerinden şifreler ve senkronize eder. Bu kolaylık, fiziksel olarak tek bir güvenlik anahtarına veya tek bir cihaza bağlı bir geçiş anahtarına kıyasla daha geniş bir saldırı yüzeyi anlamına da gelir.

Pass-ta-key araştırmasının aslında işaret ettiği şey

Bu araştırmayla ilgili haberlere göre (Malwarebytes aracılığıyla), bulgu şu: Google Password Manager’ın kilidinin açık olduğu bir cihazda çalışan kötü amaçlı yazılımlar, temel açık anahtarlı kriptografiyi kırarak değil, anahtarları depolayan, kilidini açan ve senkronize eden yazılım katmanını kötüye kullanarak geçiş anahtarı korumalı hesapları ele geçirebilir. Başka bir deyişle: Geçiş anahtarlarının ardındaki matematik kırılmadı. Hedef alınan şey, matematiğin çevresindeki her şey — yerel kasa, kilit açma akışı, senkronizasyon kanalı.

İstismar zincirinin kesin teknik mekanizmaları şu ana kadar kamuya açık bilgilerde tam olarak ayrıntılandırılmadı; bu nedenle bunu “geçiş anahtarları kırıldı” şeklinde abartmamakta fayda var. Açık olan ve bu tür şeylerin genellikle çalışma biçimiyle tutarlı olan nokta, riskin genel şekli: Kötü amaçlı yazılım, kilidi açık bir geçiş anahtarı deposuna sahip bir cihazda yeterince yüksek düzeyde erişim elde ederse, o depo içinde potansiyel olarak sizin yerinize hareket edebilir veya saldırganın başka yerlerde sizin kimliğinizle kimlik doğrulaması yapmasını sağlayacak materyali dışa aktarabilir.

Bu, geçiş anahtarlarının lehindeki durumu neden ortadan kaldırmıyor?

Böyle bir başlığı “geçiş anahtarları başarısız oldu” diye okumak cazip gelebilir. Başarısız olmadılar — dünyanın herhangi bir yerindeki bir saldırganın sizi sahte bir siteye parola veya tek kullanımlık kod yazmanız için kandırdığı uzaktan oltalama gibi belirli ve son derece yaygın bir saldırıyı ortadan kaldırdılar. Gerçek bir geçiş anahtarına karşı bu saldırı hâlâ etkisizdir. Pass-ta-key’in gösterdiği şey ise farklı ve daha eski bir tehdit modeli: cihazınızda zaten kod çalıştırabilen bir saldırgan. Bu tehdit her zaman vardı ve parolalar için muhtemelen daha kötüydü — virüs bulaşmış bir makinedeki tuş kaydedici veya bilgi hırsızı, yazdığınız parolayı ve oturum çerezini aynı kolaylıkla ele geçirebilirdi. Geçiş anahtarları saldırı yüzeyini daraltır; “cihazınız ele geçirildi” kategorisini ortadan kaldırmaz.

Gerçekte neyi kontrol etmeli ve ne yapmalısınız?

Yaklaşık etki sırasına göre, kontrol edilebilecek birkaç somut adım:

  • Geçiş anahtarlarınızdan hangilerinin senkronize edildiğini, hangilerinin cihaza bağlı olduğunu bilin. Google Password Manager’da (passwords.google.com adresinde, “Passkeys” bölümünün altında) hesabınızda nelerin depolandığını ve senkronize edildiğini görebilirsiniz. Fiziksel bir güvenlik anahtarıyla (YubiKey gibi) oluşturulup doğrulanan ve senkronize etmediğiniz bir geçiş anahtarı bu donanıma bağlıdır ve bu saldırı sınıfına aynı şekilde açık değildir.
  • En değerli hesaplarınız için — birincil e-posta, banka, iş yerinin tek oturum açma sistemi — senkronize edilmiş bir geçiş anahtarı yerine donanımsal bir güvenlik anahtarını tercih edin. Biraz daha az kullanışlıdır (fiziksel anahtara ihtiyacınız olur), ancak bulut senkronizasyonuna hiç dokunmaz; bu da söz konusu hesap için tüm bu saldırı yüzeyini ortadan kaldırır.
  • Artık asıl savaş alanı cihazın kendisi olduğundan, cihazınızı temiz tutun. İşletim sistemi ve tarayıcı güncellemelerini gecikmeden yükleyin, uygulamaları veya uzantıları resmî mağazaların dışından yüklemekten kaçının ve antivirüs/uç nokta uyarılarını görmezden gelmeyin — kötü amaçlı yazılım bulaşması bu tür bir saldırının ön koşuludur; dolayısıyla cihaz hijyeni iki kat fayda sağlar.
  • Makul bir hedef olma ihtimaliniz varsa Google’ın Gelişmiş Koruma Programı’nı açın (gazeteciler, aktivistler, yöneticiler, yöneticiler veya daha önce hedef alınmış kişiler). Bu program, özellikle bu tür hesap ele geçirme senaryolarına karşı hesap kurtarma ve oturum açma kurallarını sıkılaştırır.
  • Google hesabınızın “Son güvenlik etkinliği” bölümünü ve bağlı cihazlarını düzenli olarak gözden geçirin ve tanımadığınız ya da artık kullanmadığınız her şeyi kaldırın — buna, sonradan değiştirdiğiniz cihazlarda duran eski senkronize geçiş anahtarları da dahildir.
  • Yedek kimlik doğrulama yönteminizi bırakmayın. Aynı cihaza bağlı olmayan bir kurtarma yöntemini (yedek kodlar veya farklı bir cihaz türünde ikinci bir geçiş anahtarı) saklayın; böylece virüs bulaşmış bir cihazı silmeniz gerekirse hesabınızın dışında kalmazsınız.

Kısacası: Geçiş anahtarları hâlâ parolalardan daha iyi ve uzaktan oltalamaya karşı yaptıkları şey için “oltalanamaz” ifadesi hâlâ doğru. Pass-ta-key, “oltalanamaz” ifadesinin hiçbir zaman “ele geçirilmiş bir cihaza karşı bağışık” iddiasıyla aynı olmadığını hatırlatıyor — ikinci duruma karşı savunmanız ise sıkıcı şeylerden ibaret: cihazlarınızı güncel tutun, kötü amaçlı yazılımlara karşı dikkatli olun ve en önemli hesaplarınızı senkronize edilmiş anahtarlar yerine donanıma bağlı anahtarlarla koruyun.