@ahmeteraslan · 1 gün önce
Ekipte parola yerine geçiş anahtarına (passkey) geçtik: nerede kolay oldu, nerede takıldık
Yurt dışındaki müşterilere uzaktan hizmet veren dört kişilik küçük bir ekibiz. Geçen yıl bir müşterimizin yönetim paneline sahte bir giriş sayfasıyla ulaşılmaya çalışıldı. Kimse parolasını girmedi ama o olaydan sonra oltalamaya dayanıklı bir yönteme geçmeye karar verdik. Üç aydır kullanabildiğimiz her yerde geçiş anahtarı (passkey) kullanıyoruz. Deneyimi paylaşayım.
Geçiş anahtarının mantığı şu: parola yerine cihazınızda bir anahtar çifti oluşuyor, gizli anahtar cihazda kalıyor, siteye yalnızca açık anahtar gidiyor. Giriş yaparken telefonun ya da bilgisayarın kilidini parmak izi, yüz tanıma veya cihaz PIN'iyle açıyorsunuz. Anahtar yalnızca kayıtlı olduğu alan adında çalıştığı için sahte bir sayfada işe yaramıyor. Bizi bu yönteme iten asıl özellik buydu.
Kolay olan taraflar: büyük servislerin çoğunda ayar birkaç dakika sürdü. Telefon ile bilgisayar aynı hesap ekosistemindeyse anahtarlar senkronize oluyor, ikinci cihaza ayrıca kurmak gerekmiyor. Ekipteki en teknoloji sevmeyen arkadaşımız bile bir hafta sonra 'parola yazmamak hoşuma gitti' dedi.
Takıldığımız yerler de oldu:
1. Ekosistem karışıklığı. İki arkadaş Windows bilgisayar ve iPhone kullanıyor. Anahtarların hangi parola yöneticisinde tutulacağına karar vermemiz gerekti, sonunda ekip için ortak bir parola yöneticisinde topladık.
2. Kurtarma planı. Telefon kaybolursa ne olacak sorusunu baştan düşünmemiştik. Her kritik hesapta ikinci bir anahtar ya da yedek kurtarma kodu olmasını kural yaptık, kurtarma kodlarını kâğıda yazıp ofiste kilitli bir yerde tutuyoruz.
3. Desteklemeyen servisler. Kullandığımız bazı küçük araçlarda hâlâ yalnızca parola ve tek kullanımlık kod var. Oralarda parola yöneticisi ve uygulama tabanlı ikinci adımla devam ediyoruz.
4. Müşteri panelleri. Müşterilerin kendi sistemlerine biz karar veremiyoruz. İki müşteriye öneri yazdık, biri geçti, diğeri bütçe sırasına koydu.
Parolayı tamamen bıraktık diyemem, ama en önemli hesaplarımızda artık oltalama sayfası tek başına bir tehdit değil. Küçük ekip için en büyük kazanç da bu oldu.
Geçiş anahtarının mantığı şu: parola yerine cihazınızda bir anahtar çifti oluşuyor, gizli anahtar cihazda kalıyor, siteye yalnızca açık anahtar gidiyor. Giriş yaparken telefonun ya da bilgisayarın kilidini parmak izi, yüz tanıma veya cihaz PIN'iyle açıyorsunuz. Anahtar yalnızca kayıtlı olduğu alan adında çalıştığı için sahte bir sayfada işe yaramıyor. Bizi bu yönteme iten asıl özellik buydu.
Kolay olan taraflar: büyük servislerin çoğunda ayar birkaç dakika sürdü. Telefon ile bilgisayar aynı hesap ekosistemindeyse anahtarlar senkronize oluyor, ikinci cihaza ayrıca kurmak gerekmiyor. Ekipteki en teknoloji sevmeyen arkadaşımız bile bir hafta sonra 'parola yazmamak hoşuma gitti' dedi.
Takıldığımız yerler de oldu:
1. Ekosistem karışıklığı. İki arkadaş Windows bilgisayar ve iPhone kullanıyor. Anahtarların hangi parola yöneticisinde tutulacağına karar vermemiz gerekti, sonunda ekip için ortak bir parola yöneticisinde topladık.
2. Kurtarma planı. Telefon kaybolursa ne olacak sorusunu baştan düşünmemiştik. Her kritik hesapta ikinci bir anahtar ya da yedek kurtarma kodu olmasını kural yaptık, kurtarma kodlarını kâğıda yazıp ofiste kilitli bir yerde tutuyoruz.
3. Desteklemeyen servisler. Kullandığımız bazı küçük araçlarda hâlâ yalnızca parola ve tek kullanımlık kod var. Oralarda parola yöneticisi ve uygulama tabanlı ikinci adımla devam ediyoruz.
4. Müşteri panelleri. Müşterilerin kendi sistemlerine biz karar veremiyoruz. İki müşteriye öneri yazdık, biri geçti, diğeri bütçe sırasına koydu.
Parolayı tamamen bıraktık diyemem, ama en önemli hesaplarımızda artık oltalama sayfası tek başına bir tehdit değil. Küçük ekip için en büyük kazanç da bu oldu.
1 1 yorum
