Google hesabı: Yeni selfie-video ile giriş yöntemi gerçekten ne kadar güvenli?

Google, hesabınıza yeniden erişim sağlamak için yeni bir yöntem sunuyor: kısa bir selfie videosu. Bu özellik, hesabınıza erişiminizin engellendiği ve normalde kullandığınız telefon veya bilgisayarınızın elinizin altında olmadığı durumlar için tasarlanmıştır. Ayarlamayı yaparken kendinizi videoya çekin ve sistemin yüzünüzün farklı açılardan görüntüsünü kaydedebilmesi için yönlendirilene göre başınızı birkaç kez hareket ettirin. Daha sonra hesabınıza erişemediğinizde, yeni bir video çekersiniz ve bu video, kayıtlı olanla karşılaştırılır. Bu özelliğin kullanıma sunulması 23 Temmuz'dan beri aşamalı olarak devam ediyor; hesabınızın bu özelliğe dahil olup olmadığını g.co/signin-selfie adresinden kontrol edebilirsiniz.

Bu, şifrenizin yerini almaz

Selfie videosunun ne şifrenizin ne de erişim anahtarınızın yerini almadığını unutmamak önemlidir. Bu, kurtarma kişileri ve diğer seçeneklere eklenen ek bir kurtarma yöntemidir. Google'ın kendisi de bunlardan birkaçını ayarlamanızı önerir. Workspace hesapları, çocuk hesapları ve Gelişmiş Koruma Programı kapsamındaki hesaplar bu hizmetin dışında tutulur. İronik bir şekilde, bunlar tam da korumaya en çok ihtiyaç duyan kullanıcılardır. Kaydedilen video şifrelenmiştir, varsayılan olarak yalnızca oturum açmak için kullanılır ve istediğiniz zaman silinebilir. Google, yalnızca sizin izninizi vermeniz durumunda algılama yeteneklerini geliştirmek için bu videoyu kullanabilir.

Google, deepfake'leri gerçekten tespit ediyor mu?

Google, sahte fotoğraf ve videolara karşı çok katmanlı bir koruma sistemi sunuyor. Bunun temelinde canlılık algılama yatıyor. Kamera önünde bir fotoğraf değil, gerçek bir kişinin oturduğunu doğrulamak için küçük hareketler yapmanız istenir. Bu, basit saldırılara karşı etkilidir; basılı bir fotoğraf veya eski bir video bu testi geçemez.

Asıl sorun başka yerde yatıyor. Modern bir deepfake, komut üzerine göz kırpar, başını sallar ve başını çevirir. En tehlikeli saldırı türü ise kamerayı tamamen atlar. “Enjeksiyon” olarak adlandırılan bu yöntemde, sahte canlı video sanki kameradan geliyormuş gibi doğrudan uygulamaya aktarılır. Hareket kontrolleri, tam da bu tür saldırıları önleyemez. 2022 gibi erken bir tarihte USENIX Güvenlik Konferansı’nda sunulan ve yaygın olarak alıntılanan bir çalışma, ticari canlılık algılama sistemlerinin otomatik olarak atlatılabileceğini ortaya koydu. Ayrıca, ISO 30107-3, iBeta veya FIDO gibi yaygın sertifikasyon programları, enjeksiyon saldırılarını değil, kamera önündeki saldırıları test eder. Güvenlik firmaları, son iki yılda bu tür enjeksiyon saldırılarında keskin bir artış olduğunu bildirmiştir.

Bundan çıkarmanız gereken ders

ABD güvenlik standardı NIST bunu açıkça belirtir: biyometrik kimlik doğrulama asla tek başına kullanılmamalı, her zaman ikinci bir faktör ve biyometrik olmayan bir alternatifle birleştirilmelidir. Ve şifreyi değiştirebileceğiniz gibi yüzünüzü değiştiremezsiniz. Uygulamada bu, çeşitli kurtarma seçeneklerinden biri olarak selfie videosunun yararlı olduğu ve SIM kart değiştirmeye karşı savunmasız olan kısa mesaj yoluyla kurtarmadan yine de daha iyi olduğu anlamına gelir. Asıl oturum açma süreci için ise şifre anahtarları ve donanım anahtarları daha güçlü seçenekler olmaya devam eder. Özellikle yüksek risk grubunda yer alan kişiler yüz videosu kullanmaktan kaçınmalıdır; Google zaten bu grubu Gelişmiş Koruma Programı’nın dışında tutmaktadır.