Parola, passkey ve 2FA

Kullanıcı kimliğini kanıtlamak için üç tür şey kullanabilir: bildiği bir şey (parola), sahip olduğu bir şey (telefon, güvenlik anahtarı) ya da kendisi olan bir şey (parmak izi, yüz).¹ Bu derste parolayla başlayıp iki adımlı doğrulamaya ve parolanın yerini almaya başlayan passkey'lere geçeceğiz.

Giriş Formu

Tarayıcı ve parola yöneticisi formunuzu ancak doğru işaretlerseniz tanır. autocomplete değerleri bu yüzden önemlidir:²³

<form action="/login" method="post">
  <label for="email">E-posta</label>
  <input id="email" name="email" type="email" autocomplete="username" required />

  <label for="password">Parola</label>
  <input
    id="password"
    name="password"
    type="password"
    autocomplete="current-password"
    required
  />

  <button type="submit">Giriş yap</button>
</form>

Sam Dutton'ın giriş formu rehberindeki diğer öneriler: girişi ayrı bir <form> içinde tutun, parolayı göster/gizle düğmesi ekleyin ve e-postayı ya da parolayı iki kez yazdırmayın.²

NIST ve OWASP ikisi de parola yöneticilerine ve yapıştırmaya izin verilmesini ister.⁴⁵

Parola Kuralları

ABD'nin dijital kimlik standardı NIST SP 800-63B-4, Temmuz 2025'te son halini aldı. "Bir büyük harf, bir sembol" gibi alışık olduğumuz kuralların çoğunu kaldırıyor:⁴

OWASP'ın Authentication Cheat Sheet'i de aynı eşikleri kullanır.⁵ Pilcrow daha esnek: en az 8–10 karakter, karmaşıklık kuralı yok, sızmış parola kontrolü var.⁶

Sızmış Parola Kontrolü

Troy Hunt'ın Have I Been Pwned servisi, sızıntılarda görülmüş parolaları anahtar gerektirmeyen bir API ile sunar. Parolayı göndermezsiniz: SHA-1 hash'inin yalnızca ilk 5 karakterini gönderir, dönen listede geri kalanını ararsınız (k-anonymity).⁷

import { createHash } from "node:crypto";

export async function isPwnedPassword(password: string) {
  const hash = createHash("sha1").update(password).digest("hex").toUpperCase();
  const prefix = hash.slice(0, 5);
  const suffix = hash.slice(5);

  const response = await fetch(`https://api.pwnedpasswords.com/range/${prefix}`, {
    headers: { "Add-Padding": "true" },
  });
  const body = await response.text();

  return body
    .split(/\r?\n/)
    .some((line) => line.startsWith(suffix) && !line.endsWith(":0"));
}

Add-Padding yanıta sayısı 0 olan sahte satırlar ekler; ağı izleyen biri yanıt boyutundan hash'i tahmin edemez. Bu satırları atlamanız gerekir.⁷

Parolayı Sunucuda Saklamak

Parola veritabanına asla düz metin ya da geri çözülebilir şekilde (encryption) yazılmaz. Tek yönlü ve kasıtlı olarak yavaş bir hash fonksiyonundan geçirilir. Her parolaya rastgele bir salt eklenir; böylece aynı parolalar farklı hash üretir ve hazır tablolarla (rainbow table) kırılamaz.⁸

import { hash, verify } from "@node-rs/argon2";

const passwordHash = await hash(password);
// $argon2id$v=19$m=19456,t=2,p=1$s7yr5VbPNOMtc2PzyrKZOA$Mo9MjWu2...

const isValid = await verify(passwordHash, attempt);

@node-rs/argon2'nin varsayılanları OWASP'ın önerdiği değerlerle aynı çıktı (m=19456 KiB = 19 MiB, t=2, p=1). Salt kütüphane tarafından üretilir ve hash metninin içine yazılır.

Kaba Kuvvet ve Hata Mesajları

Parola kontrol eden her uç noktaya rate limit koyun. OWASP başarısız deneme sayacını IP adresine değil hesaba bağlamayı önerir. Hesabı tamamen kilitlemek ise saldırganın kullanıcıyı dışarıda bırakmasına yol açabilir.⁵ Pilcrow başlangıç noktası olarak kullanıcı başına dakikada bir denemeyi önerir.⁶

OWASP, giriş hatasında hesabın var olup olmadığını belli etmeyen tek bir mesaj ister: "E-posta ya da parola hatalı." Aksi halde saldırgan hangi e-postaların kayıtlı olduğunu öğrenir (user enumeration).⁵

İki Adımlı Doğrulama

Parola sızsa bile saldırganın girememesi için ikinci bir faktör istenir (2FA ya da MFA). Seçenekler eşit derecede güvenli değildir:¹

2FA kurulurken kullanıcıya tek kullanımlık kurtarma kodları verin. OWASP, 2FA'yı atlatmaya ya da sıfırlamaya yarayan akışların da saldırganın hedefi olduğunu hatırlatır.¹

Passkey

Passkey, parolanın yerini alan ve cihazda saklanan bir anahtardır. Kullanıcı parmak izi, yüz ya da cihaz PIN'iyle kilidini açar.⁹ Arkasında tarayıcıların Web Authentication API (WebAuthn) standardı vardır:¹⁰

1. Kayıt sırasında cihaz bir anahtar çifti üretir. Özel anahtar cihazda kalır, açık anahtar sunucuya kaydedilir.

2. Girişte sunucu rastgele bir challenge gönderir. Cihaz bunu özel anahtarla imzalar.

3. Sunucu imzayı açık anahtarla doğrular.

Sunucu yalnızca açık anahtarı tuttuğu için veritabanı sızsa bile bununla giriş yapılamaz. İmza sitenin alan adına bağlıdır; sahte bir giriş sayfası geçerli bir imza alamaz.¹⁰ Testte, localhost için kaydedilen passkey'i 127.0.0.1 adresinden kullanmaya çalışınca tarayıcı daha imza aşamasına gelmeden SecurityError verdi.

Passkey'ler Apple, Google ya da parola yöneticisi hesabı üzerinden cihazlar arasında senkronize edilir; senkronize eden servis özel anahtarı göremez.⁹

Formda Passkey

Kullanıcının alışkanlığını bozmamak için passkey'i mevcut giriş formuna eklemek en kolay yoldur. Kullanıcı adı alanına webauthn değeri eklenince tarayıcı, otomatik doldurma listesinde kayıtlı passkey'leri de gösterir (conditional UI):¹¹³

<input id="email" name="email" autocomplete="username webauthn" />

WebAuthn'ın ham API'si binary veriyle uğraştırır. React tarafında SimpleWebAuthn gibi bir kütüphane bu işi kısaltır:¹²

import { startAuthentication } from "@simplewebauthn/browser";

const optionsJSON = await fetch("/api/passkey/login-options").then((res) =>
  res.json(),
);

const response = await startAuthentication({
  optionsJSON,
  useBrowserAutofill: true,
});

await fetch("/api/passkey/login", {
  method: "POST",
  headers: { "Content-Type": "application/json" },
  body: JSON.stringify(response),
});

Challenge'ı üretmek ve gelen imzayı doğrulamak her zaman sunucunun işidir (@simplewebauthn/server). Tarayıcı yalnızca cihazla sunucu arasında aracılık eder.

Kendin Dene

• Kendi giriş formunuza doğru autocomplete değerlerini ekleyin ve tarayıcının parola önerisini kayıt formunda görün.

• webauthn.io demo sitesinde bir passkey oluşturup onunla giriş yapın; ardından passkey'in tarayıcınızın ya da işletim sisteminizin parola yöneticisinde nasıl göründüğüne bakın.

• isPwnedPassword("password123") çağırıp sonucu görün; sonra uzun ve rastgele bir parola deneyin.

Detaylı Öğrenmek İçin

• Rehber: Pilcrow'un auth kitabındaki "Passwords" ve "Passkeys" sayfaları.⁶

• Resmi doküman: OWASP Password Storage ve Multifactor Authentication cheat sheet'leri.⁸¹

• Konuşma: Clemens Hübner, "Passwordless future: WebAuthn and Passkeys in practice" (WeAreDevelopers World Congress 2023, 32 dk); SMS ve TOTP'nin zayıflıkları, WebAuthn'ın çalışma şekli ve kurtarma akışları.¹³

• Resmi doküman: passkeys.dev; passkey'i mevcut bir siteye ekleme rehberi.⁹