Singpass Passkey nasıl çalışıyor ve kimler kullanabiliyor?

Singpass’in passkey özelliği, parola, SMS ile gönderilen tek kullanımlık şifre veya QR onayı girmeden giriş yapmayı sağlayan yeni ve isteğe bağlı bir yöntem. Beta sürümü 1 Temmuz 2026’da mobil tarayıcı kullanan iPhone sahiplerine açıldı; Android ve masaüstü desteğinin sonraki aşamalarda sunulması planlanıyor.

Buradaki kritik fark, passkey’in dolandırıcının ele geçirebileceği yeni bir gizli bilgi eklememesi. Bunun yerine, gerçek Singpass giriş hizmetine bağlı, cihaz üzerinde oluşturulan kriptografik bir kimlik bilgisi kullanılıyor. Bu tasarım, kimlik avı saldırılarına karşı geleneksel yöntemlerden çok daha dayanıklı.

Passkey hangi yöntemlerin yerini alıyor?

Parola, OTP veya QR tabanlı girişlerde tekrar kullanılabilecek bilgiler açığa çıkabilir. Parola kopyalanabilir, tek kullanımlık şifre dolandırıcı tarafından gerçek zamanlı olarak başka bir oturumda kullanılabilir ve QR kodu, kullanıcının aslında dolandırıcının başlattığı bir girişi onaylamasına yol açabilir. Passkey’de ise doğrulama sırasında parola veya OTP yazılmıyor ve iletilmiyor.

Kullanıcı yine cihazın kontrolünün kendisinde olduğunu yerel olarak kanıtlıyor. Bu işlem genellikle biyometri veya cihaz parolasıyla yapılıyor. Ancak Singpass, kullanıcının biyometrik verisini ya da özel anahtarını almıyor; yalnızca doğrulanabilen ve parola gibi yeniden kullanılamayan bir kriptografik yanıt alıyor.

Açık ve özel anahtar çifti nasıl çalışıyor?

Kayıt sırasında iPhone, kullanıcıya özel bir açık-özel anahtar çifti oluşturuyor:

• Özel anahtar, kayıtlı cihazda kalıyor ve dijital imza üretmek için kullanılıyor.
• Buna karşılık gelen açık anahtar, Singpass sistemine kaydediliyor ve imzayı doğrulamak için kullanılıyor.
• Giriş sırasında Singpass, her oturum için yeni bir doğrulama sorgusu gönderiyor.
• Telefon, kullanıcı Face ID, Touch ID veya Singpass uygulamasının parolasıyla işlemi onayladıktan sonra bu sorguyu özel anahtarla imzalıyor.
• Singpass, sakladığı açık anahtarla yanıtı doğruluyor.

Bu sistem, basit bir “şifreleme anahtarı değişimi”nden ziyade açık anahtarlı kriptografinin kimlik doğrulama amacıyla kullanılmasıdır. Özel anahtar Singpass’e gönderilmez; yalnızca açık anahtara sahip olmak da kullanıcı adına giriş yapmak için yeterli değildir.

FIDO standartlarında bu model, kaynak veya alan adıyla bağlı kimlik doğrulama olarak tanımlanır. Passkey gerçek Singpass hizmetinin alan adıyla ilişkilendirildiği için, ona benzeyen sahte bir site Singpass’te çalışacak bir doğrulama yanıtı alamaz.

Bu nedenle kopyalanmış bir Singpass giriş sayfası, passkey kullanan biri açısından çok daha az işe yarar. Sahte siteye verilebilecek veya sonradan tekrar kullanılabilecek bir parola, OTP ya da QR onayı yoktur.

Lansmanda kimler Singpass passkey kullanabiliyor?

İlk beta sürümünün kapsamı sınırlı:

• iPhone ve iOS kullanıcıları: 1 Temmuz 2026’dan itibaren mobil tarayıcılarda destekleniyor.
• Android kullanıcıları: Destek sonraki bir aşamada sunulacak.
• Dizüstü ve masaüstü bilgisayarlar: Masaüstü tarayıcıyla giriş de sonraki aşamalara bırakıldı.

Dolayısıyla iPhone sahibi bir kullanıcı, desteklenen mobil tarayıcı girişlerinde passkey’i kullanabilir. Ancak özelliğin ilk aşamada her Singpass hizmetinde ve her cihazda görünmesi beklenmemeli.

Singpass passkey nasıl kaydedilir?

İlk iPhone dağıtımında kayıt işlemi Singpass mobil uygulaması üzerinden yapılıyor:

1. Singpass uygulamasını en son sürüme güncelleyin.
2. Uygulamayı açıp ana ekrandaki passkey banner’ını seçin.
3. Passkey oluşturmak için ekrandaki talimatları izleyin.

Kayıt tamamlandıktan sonra girişler, cihaz ve ayarlara bağlı olarak Face ID, Touch ID, parmak izi veya Singpass uygulamasının altı haneli parolasıyla onaylanıyor. Kullanıcının, hizmete giriş yaparken Singpass parolasını internet sitesine yazması gerekmiyor.

Farklı bir cihazda girişte Bluetooth neden kullanılıyor?

Giriş işlemi başka bir telefon veya bilgisayarda başlatıldığında farklı bir risk ortaya çıkıyor: Dolandırıcı, kendi kontrolündeki cihazdaki oturumu başlatıp mağduru uzaktan onay vermesi için yönlendirmeye çalışabilir. Singpass, cihazlar arası doğrulamada kayıtlı telefonun giriş isteyen cihaza fiziksel olarak yakın olduğunu kontrol etmek için kısa menzilli Bluetooth bağlantısından yararlanabiliyor.

Yakınlık kontrolü, anahtar çifti doğrulamasının yerine geçmiyor; passkey’i taşıyan telefonun gerçekten yakında olduğuna dair ek bir kanıt sağlıyor. Böylece dolandırıcının başka bir yerde yürüttüğü oturum için mağdura QR kod göndermesi ve onu adım adım onay vermeye yönlendirmesi daha zor hale geliyor.

Parola, QR kodu ve diğer yöntemler neden hâlâ var?

Passkey beta aşamasında ek bir giriş yöntemi olarak sunuluyor; hemen herkes için zorunlu ve tek seçenek hâline gelmiş değil. Uygun iPhone’u olmayanlar, henüz kayıt yaptırmayan kullanıcılar ve aşamalı dağıtıma dahil edilmeyen hizmet veya cihazlar için mevcut seçeneklerin korunması gerekiyor.

Eski yöntemler erişilebilirlik ve kapsam açısından hâlâ önemli. Ancak güvenlikleri, kullanıcının davranışına daha fazla bağlı. Bir kişi parola veya OTP’sini paylaşmaya, sahte QR kodunu taramaya ya da beklemediği bir giriş isteğini onaylamaya ikna edilebilir. Singapur polisi de Singpass parolalarının ve iki faktörlü doğrulama bilgilerinin tanınmayan kişilerle kesinlikle paylaşılmaması konusunda uyarıyor.

Passkey, kimlik avında ele geçirilebilecek kimlik bilgilerini azaltıyor; fakat bütün dolandırıcılık yöntemlerini ortadan kaldırmıyor. Dolandırıcılar hâlâ bir kurumu taklit edebilir, kişisel bilgileri almak için baskı kurabilir veya hesap kurtarma ve hesap ele geçirme süreçlerini hedefleyebilir.

FIDO standartlarıyla bağlantısı ne?

Singpass’in tasarımı, FIDO ve WebAuthn ile ilişkilendirilen açık anahtarlı, alan adıyla bağlı doğrulama modelini izliyor. FIDO2, yeniden kullanılabilir ve kolayca avlanabilir gizli bilgiler yerine kimlik avına dayanıklı kriptografik kimlik bilgileri sunmayı amaçlayan açık bir kimlik doğrulama standardı.

Açık standartların kullanılması, passkey’lerin daha geniş kimlik doğrulama ekosistemiyle uyumlu çalışabilmesi açısından önemli. FIDO Alliance, passkey’i telefon, bilgisayar veya donanım güvenlik anahtarında saklanabilen ve bir web sitesi ya da uygulamadaki hesaba bağlı olan bir kimlik doğrulama bilgisi olarak tanımlıyor. Kullanılabilen cihazlar ve özellikler, her hizmetin uygulamasına ve dağıtım planına göre değişiyor.

Singpass açısından pratik güvenlik kazanımı alan adı bağlantısı. Doğrulayıcı, görsel olarak gerçek Singpass’e benzeyen bir kimlik avı sitesine değil, meşru hizmete yanıt verecek şekilde tasarlanıyor.

Değişikliğin arkasındaki dolandırıcılık verileri

Singapur’da 2025 yılında 37.308 dolandırıcılık vakası kaydedildi ve yaklaşık 913,1 milyon Singapur doları kaybedildi. Bu toplamlar yalnızca kimlik avını değil, tüm dolandırıcılık türlerini kapsıyor.

Resmî yıllık istatistiklerde 2025 için ayrıca 6.264 kimlik avı vakası ve kimlik avı nedeniyle 39,9 milyon Singapur doları kayıp bildiriliyor. Bu rakamlar kimlik avının daha geniş dolandırıcılık sorununun önemli bir parçası olduğunu gösteriyor; ancak toplam dolandırıcılık kayıplarının tamamının çalınan Singpass bilgileriyle bağlantılı olduğu sonucuna varılamaz.

Bu nedenle ürün değişikliğinin hedefi belirli bir aşama: Passkey, kimlik avının kimlik bilgisi toplama bölümünü dolandırıcılar için çok daha az kullanışlı hâle getirmeyi amaçlıyor. Kullanıcıların yine de internet sitesini kontrol etmesi, beklenmeyen giriş taleplerini reddetmesi ve özellikle eski doğrulama yöntemleri kullanılmaya devam ederken Singpass bilgilerini kimseyle paylaşmaması gerekiyor.