Genel
Geçiş anahtarlarını kimler destekler?
Geçiş anahtarları FIDO standartlarına dayandığı için Android ve Chrome'un yanı sıra Microsoft Windows, Microsoft Edge, macOS, iOS ve Safari gibi diğer birçok popüler ekosistem ve tarayıcıda çalışır.
Chrome ve Android'deki destek durumunu kontrol etmek için Desteklenen ortamlar başlıklı makaleyi inceleyin.
Geçiş anahtarları, ekran kilidi yöntemi ayarlanmamış cihazlarda çalışır mı?
Kimlik bilgisi sağlayıcının, kullanıcı bilgisi faktörü zorluğu olmadan geçiş anahtarı oluşturmaya ve kimlik doğrulamaya izin verip vermediği, şifre yöneticisinin uygulanmasına bağlıdır. Sağlayıcılar, kullanıcıları geçiş anahtarı oluşturmadan önce PIN veya biyometrik ekran kilidi ayarlamaya yönlendirebilir.
Bir platformda (ör. Android) kayıtlı geçiş anahtarları, diğer platformlarda (ör. web veya iOS) oturum açmak için nasıl kullanılabilir?
Örneğin, Android'de kayıtlı bir geçiş anahtarı, Android telefonu başka bir cihaza bağlayarak diğer platformlarda oturum açmak için kullanılabilir. İki cihaz arasında bağlantı kurmak için kullanıcıların, şifre anahtarı kayıtlı olmayan bir cihazda oturum açmaya çalıştıkları siteyi açmaları, bir QR kodu taramaları ve ardından oturum açma işlemini şifre anahtarını oluşturdukları cihazda (bu durumda Android cihaz) onaylamaları gerekir. Geçiş anahtarı Android cihazdan hiçbir zaman ayrılmaz. Bu nedenle, uygulamalar genellikle bir sonraki oturum açma işlemini kolaylaştırmak için diğer cihazda yeni bir geçiş anahtarı oluşturmayı önerir. Bu akış, diğer platformlarda da benzer şekilde çalışır.
Senkronize edilmiş geçiş anahtarlarını bir platform sağlayıcıdan diğerine taşıyabilir miyim?
Geçiş anahtarları, platform tarafından tanımlanan kimlik bilgisi sağlayıcıya kaydedilir. Android gibi bazı platformlar, Android 14'ten itibaren kullanıcıların istedikleri sağlayıcıyı (sistem veya üçüncü taraf şifre yöneticisi) seçmelerine olanak tanır. Bu sağlayıcılar, geçiş anahtarlarını farklı platformlarda senkronize edebilir. Geçiş anahtarlarının doğrudan bir platform sağlayıcıdan diğerine taşınması şu anda desteklenmemektedir.
Kullanıcılar, geçiş anahtarlarını Google dışı Android cihazlarda senkronize edebilir mi?
Geçiş anahtarları yalnızca cihazın ekosistemi içinde (ör. varsayılan olarak Google Şifre Yöneticisi ile Android'den Android'e) senkronize edilir, ekosistem genelinde senkronize edilmez.
Android, kullanıcıların hangi kimlik bilgisi sağlayıcıyı (ör. üçüncü taraf şifre yöneticisi) kullanmak istediklerini seçmelerine olanak tanımak için platformu (Android 14'ten itibaren) açıyor. Bu, geçiş anahtarlarının farklı ekosistemler arasında senkronize edilmesi (diğer platformların ne kadar açık olduğuna bağlı olarak) gibi kullanım alanlarını mümkün kılar.
Geliştiriciler, geçiş anahtarlarını desteklemeyen cihazlar ve platformlar için ne yapmalıdır?
Geliştiricilerin, geçiş anahtarlarını desteklemeyen cihazlarda ve yüzeylerde kullanılmaya devam edebilmesi için uygulamalarında mevcut oturum açma seçeneklerini korumaları önerilir.
Geçiş anahtarının süresi dolabilir mi?
Hayır. Bu, geçiş anahtarlarını depolayan sağlayıcıya ve RP'ye (bağlı taraf) bağlıdır ancak geçiş anahtarlarının süresinin dolması yaygın bir uygulama değildir.
Bir RP, kullanıcının oturum açmak için kullanacağı bir hesap belirtebilir mi?
Güvenen taraflar (üçüncü taraf uygulamaları), uygulamanın arka ucundan gönderilen kimlik bilgisi kimliklerinin listesiyle "allowCredentials"ı doldurabilir. Bu liste, kullanıcının kimliğini doğrulamak için hangi geçiş anahtarlarının kullanılması gerektiğini belirtir.
Android ve Chrome'da geçiş anahtarları
Android uygulamaları, kimlik doğrulama için Chrome'da oluşturulan geçiş anahtarlarını kullanabilir mi?
Android'de Chrome'da oluşturulan geçiş anahtarları için:
Evet, Chrome'da oluşturulan geçiş anahtarları Google Şifre Yöneticisi'ne kaydedilir ve kullanıcılar aynı Google Hesabı'nda oturum açtığında Android'de kullanılabilir.
Diğer platformlarda Chrome'da oluşturulan geçiş anahtarları için:
Geçiş anahtarı diğer platformlardaki (Mac, iOS, Windows) Chrome'da oluşturulmuşsa hayır. Daha fazla bilgi için desteklenen ortamları inceleyin. Bu arada, kullanıcılar oturum açmak için geçiş anahtarını oluşturdukları telefonu kullanabilir.
Geçiş anahtarları kullanıma sunulmadan önce oluşturulan kimlik bilgilerine ne olur? Bu sınıfları kullanmaya devam edebilir miyiz?
Evet. Hem Chrome'da hem de Android'de, senkronizasyonu etkinleştirmeden önce oluşturulan cihaza bağlı kimlik bilgileri kullanılabilir ve kimlik doğrulama için kullanılmaya devam edilebilir.
Kullanıcı cihazını kaybederse ne olur?
Android'de oluşturulan geçiş anahtarları, şifrelerin şifre yöneticisine yedeklenmesine benzer şekilde, aynı Google Hesabı'nda oturum açılmış Android cihazlara yedeklenir ve bu cihazlarla senkronize edilir.
Bu durumda, kullanıcı cihazını değiştirdiğinde geçiş anahtarları da yeni cihaza taşınır. Yeni bir telefonda uygulamalarda oturum açmak için kullanıcının mevcut cihazının ekran kilidiyle kendini doğrulaması yeterlidir.
Geçiş anahtarlarıyla oturum açmak için cihazda hem biyometrik hem de PIN veya desen ekran kilidi ayarlanması mı gerekir yoksa bunlardan biri yeterli mi?
Bir ekran kilidi yöntemi yeterlidir.
Geçiş anahtarı, parmak izi, PIN veya desen gibi belirli bir ekran kilidi yöntemine bağlı mı?
Bu, cihaz platformuna ve kullanıcı doğrulamasının nasıl yapıldığına bağlıdır. Google Şifre Yöneticisi'nde geçiş anahtarları belirli bir kimlik doğrulama yöntemine bağlı değildir ve mevcut tüm ekran kilidi faktörleriyle (biyometri, PIN veya desen) kullanılabilir.
RP'ler, senkronize edilmeyen cihaza bağlı kimlik bilgileri oluşturmaya devam edebilir mi?
Şimdilik Android'de Chrome'da veya Play Hizmetleri API'lerini kullanan bir Android uygulamasında oluşturulan, bulunamayan kimlik bilgileri mevcut davranışlarını korur ve bu nedenle cihaza bağlı olmaya devam eder.
Geçiş anahtarları kullanılırken geliştirme aşamasında olan cihaz ortak anahtar uzantısı, senkronize edilmeyecek ve risk analizi için kullanılabilecek, cihaza bağlı ikinci bir anahtardır. Ancak bu özellik henüz hiçbir kimlik bilgisi sağlayıcı tarafından desteklenmemektedir.
Geçiş anahtarlarını yeni bir cihazla senkronize etme nasıl çalışır? Kullanıcıların, geçiş anahtarı oluşturdukları cihaza erişmesi gerekir mi?
Android'de:
Geçiş anahtarları Google Şifre Yöneticisi'ne kaydedildiyse kullanıcının yeni cihazda aynı Google Hesabı ile oturum açması ve önceki cihazının ekran kilidi (PIN, desen veya geçiş kodu) ile kimliğini doğrulaması yeterlidir. Kullanıcının diğer cihazlarda oturum açması için önceki cihaz gerekmez.
Geçiş anahtarları farklı bir kimlik bilgisi sağlayıcıya kaydedildiyse bu kimlik bilgisi sağlayıcının yeni cihazlardaki oturum açma akışlarına bağlıdır. Çoğu kimlik bilgisi sağlayıcı, kimlik bilgilerini bulutla senkronize eder ve kullanıcıların kimliklerini doğruladıktan sonra yeni cihazlarda bu kimlik bilgilerine erişmelerini sağlar.
Gizlilik ve güvenlik
Kullanıcının biyometrik bilgileri güvende mi?
Evet, kullanıcının biyometrik verileri cihazdan asla dışarı çıkmaz ve ihlal durumunda çalınabileceği merkezi bir sunucuda depolanmaz.
Kullanıcılar, telefonlarındaki geçiş anahtarını kullanarak arkadaşlarının cihazında oturum açabilir mi?
Evet. Kullanıcılar, oturum açmak için telefonları ile başka bir kullanıcının cihazı arasında "tek seferlik bağlantı" oluşturabilirler.
Kullanıcının Google Hesabı'nın güvenliği ihlal edilirse Google Şifre Yöneticisi'nde saklanan geçiş anahtarları korunur mu?
Evet, geçiş anahtarı sırları uçtan uca şifrelenir. Güvenliği ihlal edilmiş bir Google Hesabı, geçiş anahtarlarını açığa çıkarmaz. Çünkü kullanıcıların geçiş anahtarlarının şifresini çözmek için Android cihazlarının ekran kilidini de açması gerekir.
İlgili konular
Geçiş anahtarları, kimlik federasyonuyla nasıl karşılaştırılır?
Kimlik federasyonu, bir veya daha fazla OpenID sağlayıcıyla entegre olan hizmetler için mükemmel bir çözümdür. Kullanıcının adı ve doğrulanmış e-posta adresi gibi temel profil bilgilerini döndürür ve geçiş anahtarları gibi güvenli ve kolay bir oturum açma mekanizması sağlar. Diğer yandan geçiş anahtarları, OpenID sağlayıcıyla entegrasyon gerektirmez ancak temel profil bilgileri eksiktir. Geliştiriciler, şifre kullanan kullanıcılara geçiş anahtarlarını önermelidir. Geliştiriciler, kullanıcılara seçenek sunmak için bir veya daha fazla OpenID sağlayıcıyla entegrasyonu bağımsız olarak değerlendirmelidir.