Parolasız gelecek: passkey nedir, neden önemli?
Passkey, parolanın yerine açık anahtarlı şifrelemeyi koyuyor. Oltalamaya karşı dayanıklı olması ve kullanıcının hiçbir şey hatırlamaması neden bu kadar önemli?
Parola yöneticilerinde asıl soru "güzel mi?" değil, "anahtar kimde?". Eğer bir sunucu hem kasayı hem de anahtarı tutuyorsa, o sunucuya giren herkes her şeyi okuyabilir.
Şifresiz'i bu soruya göre tasarladım.
Kasa cihazda
Kasa, tarayıcının kendi deposunda, şifreli olarak durur. İnternet olmadan da açılır.
Şifreleme nasıl?
- Kasa AES-256-GCM ile şifrelenir.
- Anahtar, ana parolanızdan PBKDF2-SHA256 ile 600.000 tur çalıştırılarak türetilir. Bu, ana parolayı denemeye çalışan birinin her denemede ciddi bir işlem yükü ödemesi demek.
- Biyometrik açmayı destekleyen cihazlarda parmak izi ya da yüz ile açma da var. Bu da tarayıcının WebAuthn özelliğiyle yapılır.
Eşitleme isteğe bağlı
Telefonunuzla bilgisayarınızı eşitlemek isterseniz bir sunucu devreye girer. Eşitleme şifrelenmiş kasa üzerinden çalışacak biçimde tasarlandı: anahtar sizin ana parolanızdan cihazda türetilir ve sunucu ana parolanızı almaz.
Eşitleme hesabında 10 hatalı denemeden sonra hesap 15 dakika kilitlenir.
Bedeli ne?
Anahtar sizde olduğu için sorumluluk da sizde: ana parolanız, kasanızın anahtarı. Bunu bilerek seçtim. Sunucuda bir "kurtarma kapısı" olsaydı, o kapıdan başkası da girebilirdi.
Şifresiz'in verileri nasıl işlediğine dair resmi bilgi, ürünün kendi sitesindedir.
