01 · KONTROL
Passkey oluştur ve giriş yap
Hazır. Önce bir passkey oluşturun.
02 · NE OLUYOR?
Akış
- Challenge — 32 rastgele bayt üretilir (normalde sunucu üretir).
- navigator.credentials.create / get — tarayıcı doğrulayıcıdan (telefon, güvenlik anahtarı, parola yöneticisi) imza ister.
- clientDataJSON — tarayıcı; tür, challenge ve origin'i yazar.
- authenticatorData — doğrulayıcı; alan adı özeti, bayraklar ve sayacı yazar.
- İmza — ikisi birlikte imzalanır; açık anahtarla WebCrypto doğrular.
Passkey'in özel anahtarı doğrulayıcıdan hiç çıkmaz. Bu sayfa yalnız açık anahtarı ve sayacı bu tarayıcının localStorage'ında tutar; hiçbir yere veri göndermez.
04 · SALDIRI SİMÜLASYONLARI
Son girişi kurcala, doğrulama neyi yakalıyor?
Az önceki gerçek giriş yanıtının baytları kullanılır; her deneme aynı doğrulama kodundan geçer.
01 · GİZLİ ANAHTAR
Kurulum
BASE32 GİZLİ ANAHTAR (160 BİT)
OTPAUTH URI
Laboratuvar anahtarıdır; gerçek bir hesapta kullanmayın. Doğrulayıcı uygulamanızla QR'ı tarayıp kodları karşılaştırabilirsiniz.
Neden önemli? TOTP'de sunucu ile uygulama aynı gizli anahtarı paylaşır — passkey'den farkı budur: sunucudaki anahtar sızarsa saldırgan geçerli kod üretebilir. Bu yüzden sunucu tarafında şifreli saklanmalı ve kurulum, kullanıcı ilk kodu doğru girene kadar tamamlanmış sayılmamalıdır.
02 · CANLI KOD
Zaman penceresi
Önce bir gizli anahtar üretin.
Kaymalı saatin ürettiği kod sunucu penceresine (±1 adım = ±30 sn) düşüyor mu?
03 · DOĞRULA
Kodu gir
Neden önemli? ±1 adım tolerans saat kaymasını affeder ama her denemede 3 kodu geçerli kılar. Bu yüzden başarılı adım kaydedilir ve aynı kod pencere içinde de olsa ikinci kez kabul edilmez; deneme sayısı da sunucuda hız sınırına bağlanır.
04 · HOTP İÇ YAPISI
Kod nasıl üretilir?
- —
- Önce bir gizli anahtar üretin.
05 · ÖZ-SINAMA
RFC 6238 resmî test vektörleri
01 · BU TARAYICIDA SAKLANANLAR
Açık anahtarlar ve TOTP durumu
Silmek yalnız bu sayfanın kaydını kaldırır. Passkey'in kendisi doğrulayıcınızda (telefon, parola yöneticisi, güvenlik anahtarı) kalır; oradan ayrıca silin. Destekleyen tarayıcılarda PublicKeyCredential.signalUnknownCredential() ile doğrulayıcıya bu kimliğin artık geçersiz olduğu bildirilir.