Pass-the-Passkey: Yeni saldırılar, şifrenin yerini alan yeni bir yöntemi hedef alıyor

"Sadece bir şifre yeterli değildir " başlıklı kılavuzumuz topluluk tarafından olumlu karşılandı ve kasıtlı olarak yeni başlayanlar için yazılmıştı. Geri bildirimler, o zaman gözden kaçırdığımız ince noktaları tam olarak ortaya koydu. Şimdi araştırma bize doğru fırsatı sunuyor: Black Hat USA'da (1-6 Ağustos, Las Vegas), güvenlik araştırmacısı Michael Grafnetter, "Pass-the-Passkey" adını verdiği bir saldırı ailesini tanıtacak. Devam yazısının zamanı geldi: Passkey'leri gerçekten ayıran nedir, sınırları neresidir ve neleri daha iyi yapabilirsiniz?

Bulut passkey mi, donanım anahtarı mı? İşte fark bu

Geçiş anahtarlarının iki çeşidi vardır. Kullanışlı olanı, bir şifre yöneticisinde veya doğrudan Apple, Google ya da Microsoft’ta bulunur ve bulut aracılığıyla tüm cihazlarınızla senkronize olur. Bu kullanışlıdır, ancak ek bir saldırı kapısı açar. Bulut hesabınıza giren kişi, potansiyel olarak senkronize edilmiş geçiş anahtarlarına da erişebilir. İkinci tür ise donanım anahtarıdır; küçük bir USB veya NFC çubuğu. FIDO Alliance’ın tanımladığı gibi, bu anahtarın özel anahtarı çipten asla çıkmaz ve dışa aktarılamaz. Çoğu kişi için bulut şifre anahtarı yeterlidir; çünkü bu yöntem kimlik avına karşı dayanıklıdır ve şifreye kıyasla açıkça daha güvenlidir. Özel koruma gerektiren hesaplarınız varsa, donanım anahtarı kullanarak daha güvende olursunuz.

"Pass-the-Passkey" araştırmasının ortaya koydukları

SpecterOps'ta güvenlik araştırmacısı olan Michael Grafnetter, gerçek passkey uygulamalarını yakından inceledi ve bulgularını DSInternals adlı blogunda duyurdu. Grafnetter'in bulgusu şuydu: Çevredeki ortam özensiz olduğunda, passkey kriptografisi kendisi sağlam olsa bile eski saldırı modelleri yeniden gündeme gelebilir. Buna, Pass-the-Hash'ten esinlenerek Pass-the-Passkey adını verdi. Bir saldırgan, oturum açma verilerini çalar ve şifreyi hiç bilmeden bu verileri yeniden kullanır. Grafnetter, özellikle Windows 11 ve Microsoft Entra ID'de istismar edilmeye çok yakın üç güvenlik açığı tespit etti. Windows 11, oturum açma işleminin imzasını olay günlüğüne düz metin olarak yazıyordu; bu durumda, ayrıcalıksız hesaplar bu imzayı okuyabiliyordu, hatta bazı durumlarda uzaktan bile. Özel anahtarın kendisi ise kimlik doğrulayıcıda güvende kalıyordu. Üstelik Entra ID, bu onaylamaların yeniden kullanılmasını düzgün bir şekilde engellemiyordu. Bu iki durum bir araya geldiğinde, ayrıcalıklı bulut hesaplarını ele geçirmek ve hatta kimlik avına karşı dayanıklı çok faktörlü oturum açma sistemini aşmak için yeterli olurdu. Ana güvenlik açığı CVE-2026-34348 numarasıyla takip ediliyor ve 14 Temmuz'da kapatıldı. Microsoft, bulut tarafındaki sorunu sessizce düzeltti. Bağlam açısından önemli bir nokta şudur: Bu durum, esas olarak Entra ID, Windows Hello veya FIDO2 anahtarlarını kullanan kurumsal ortamları etkiler; telefonunuzdaki özel erişim anahtarınızı etkilemez. Grafnetter’in kendi değerlendirmesi, erişim anahtarlarının büyük bir ilerleme olduğu ancak sihirli bir çözüm olmadığı ve saldırı yollarının klasik şifrelere kıyasla çok daha karmaşık kaldığı yönündedir.

Donanım anahtarlarının hepsi aynı değildir

Bir donanım anahtarı otomatik olarak mükemmel bir çözüm değildir. Öncelikle standarda bakın. WebAuthn ile birlikte kullanılan FIDO2, modern ve kimlik avına karşı dayanıklı bir yöntemdir; oysa TOTP gibi eski tek kullanımlık kod yöntemleri bunu sağlamaz. İkincisi, YubiKey (Amazon'da burada bulabilirsiniz) veya Google'ın Titan'ı gibi en tanınmış markalar olgunlaşmış olsa da, yaygınlıkları tek başına onları popüler bir hedef haline getiriyor ve bu ürünlerin de zayıf noktaları var. 2024'teki EUCLEAK saldırısı, bazı eski YubiKey'lerin laboratuvar koşullarında kopyalanabileceğini gösterdi. Saldırı yüzeyini daraltmak istiyorsanız, kasıtlı olarak daha az yaygın ancak sertifikalı bir model seçebilirsiniz. Ve cihaza entegre edilmiş her şey için, örneğin bir iPhone için, şu gerçekçi varsayım geçerlidir: Bugün çipte güvenli bir şekilde saklanan bilgiler, bir gün yine de okunabilir hale gelebilir. Şüphe duyduğunuzda çıkarabileceğiniz ayrı bir anahtar, daha ihtiyatlı bir seçim olmaya devam eder.

En yaygın hata: Eski şifre hala aktif durumda

En pahalı hata, göremediğiniz hatadır. Birçok kişi bir anahtar şifre oluşturur ancak eski, zayıf şifreyi giriş bilgisi olarak bırakır. Böylece arka kapı ardına kadar açık kalır ve anahtar şifre size pek bir fayda sağlamaz. İşte bunu doğru şekilde yapmanın yolu:

1. Hesap için bir şifre anahtarı veya donanım anahtarı ayarlayın.
2. Kurtarma kodlarını kaydedin; ideal olarak bunları yazdırın veya çevrimdışı bir şifre yöneticisinde saklayın.
3. Hizmetin izin verdiği her yerde eski şifreyi devre dışı bırakın.
4. Bu mümkün değilse, şifreyi uzun ve karmaşık bir şifreyle değiştirin ve yalnızca güvenli bir yerde saklayın.

Peki, bu geçişe değer mi?

Evet. Geçiş anahtarları hedefi değiştirir, ortadan kaldırmaz ve bu, yeni araştırmanın dürüst mesajıdır. Veri sızıntılarından bağımsız ve kimlik avına karşı dirençli oldukları için, şifrelerden açıkça daha güvenlidirler. Microsoft, 1 Eylül'den itibaren bulut hesapları için varsayılan oturum açma yöntemi olarak geçiş anahtarlarını kullanmaya başlayacak. Çoğu kişi için senkronize geçiş anahtarı doğru adımdır. Daha fazla korumaya ihtiyaç duyanlar ise bir donanım anahtarı ekleyerek şifrenin arka kapısını kapatabilir. Grafnetter, Black Hat etkinliğinde Pass-the-Passkey'in ayrıntılarını, başkalarının da zayıf noktaları bulabilmesi için açık kaynak olarak yayınladığı araçlarla birlikte sunacak.

31 Temmuz 2026 tarihli güncelleme

Windows'taki güvenlik açığına ilişkin açıklamayı daha net hale getirdik. Bu bölümde daha önce, Windows 11'in anahtarın tam bir kopyasını olay günlüğüne yazdığı belirtilmişti. Bu ifade, kaynak olarak bağlantı verdiğimiz Dark Reading raporundan alınmıştı. Aslında günlüğe kaydedilen, özel anahtar değil, zaman ve kullanıcı açısından sınırlı olan bir oturum açma imzasıydı. Özel anahtar, kimlik doğrulayıcıda korunmaya devam eder.

Microsoft, bu yanlışlığı bize bildirdi. Düzeltme, imzalar hakkında bahseden Michael Grafnetter’in DSInternals’daki duyurusu ve CVE-2026-34348’in Windows Olay Günlüğü Hizmeti’nde bir bilgi sızıntısı olarak sınıflandırılmasıyla uyumludur. Bunların hiçbiri, bu güvenlik açığının ciddiyetini değiştirmez. Entra ID’deki yeniden kullanılabilir imzalar ve eksik tekrar kontrolü, ayrıcalıklı bulut hesaplarını ele geçirmek için tek başına yeterliydi.