Cüzdanla Girişte İmza Ne Söyler? Web3 Kimliğinin Sınırları

Cüzdanla giriş, tek başına merkeziyetsizlik değildir. Site kapandığında hesabınıza bağlı zincir dışı içeriklere erişemeyebilirsiniz. Adres zincirde durur; sitenin veritabanı ise başka bir hikâyedir.

Bir imza tam olarak neyi kanıtlar?

Doğru kurgulanmış bir giriş imzası, ilgili adresin özel anahtarını kontrol eden birinin belirli mesajı onayladığını gösterir. Bu, kişinin gerçek dünyadaki adını, yaşını veya mesajı gerçekten okuyup anladığını kanıtlamaz. Anahtar ele geçirilmişse saldırgan da geçerli imza üretebilir.

Ethereum ekosisteminde kullanılan Sign-In with Ethereum yaklaşımı, giriş mesajının okunabilir ve bağlama bağlı olmasını amaçlar. Benzer ilkeler başka ağlara da uygulanabilir. Sağlıklı bir istekte şunlar aranır:

• Alan adı: Hangi siteye giriş yaptığınız açıkça yazmalı.
• Adres: İmzalayan hesapla eşleşmeli.
• Nonce: Yani tek kullanımlık rastgele değer; eski imzanın yeniden kullanılmasını zorlaştırır.
• Zaman bilgisi: Oluşturulma ve mümkünse son geçerlilik zamanı bulunmalı.
• Ağ ve kapsam: Gerekiyorsa zincir kimliği, istenen kaynaklar ve oturumun amacı belirtilmeli.

Sunucu da mesajı doğru biçimde yeniden kurmalı, imzayı doğrulamalı, nonce değerini bir kez kabul etmeli ve süreyi denetlemelidir. Yalnızca cüzdanın bağlanması giriş değildir. Bağlantı, uygulamanın adresinizi görmesine izin verebilir; oturum açmak için ayrıca imza istenebilir.

Giriş imzası ile varlık onayını karıştırmayın

Okunabilir giriş mesajı çoğunlukla zincire işlem göndermez ve tek başına ağ ücreti doğurmaz. Buna karşılık bazı imzalar token harcama izni, emir veya başka bir yetki içerebilir. Cüzdan ekranındaki ifade anlaşılmıyorsa imzalamamak en temkinli seçenektir. Giriş sırasında kurtarma ifadesi ya da özel anahtar istenmesi ise normal değildir; bunlar hiçbir siteyle paylaşılmamalıdır.

“Veri benim” demek hangi anlama gelir?

Veri sahipliği, Web3 konuşmalarında bazen fazla geniş kullanılır. Bir adresin anahtarını kontrol etmek, o adrese bağlı her bilginin hukuki sahibi olduğunuzu veya onu silebileceğinizi göstermez. Dört katmanı ayırmak gerekir:

• Zincir üstü veriler: İşlemler ve bazı kayıtlar herkes tarafından doğrulanabilir. Bunlar genellikle kolayca silinmez veya değiştirilmez.
• Uygulamanın zincir dışı verileri: Profil notları, destek kayıtları ve kullanım günlükleri hâlâ şirket sunucularında tutulabilir.
• Taşınabilir kimlik belgeleri: Kullanıcının saklayıp farklı doğrulayıcılara sunabildiği imzalı kayıtlardır; her uygulamanın bunları kabul etmesi gerekmez.
• İçerik ve erişim hakları: Bir dosyaya bağlantı vermek, dosyanın telifini veya her kopyasını kontrol etmekle aynı şey değildir.

Dolayısıyla iyi soru, “Veri blok zincirinde mi?” değildir. “Hangi veri nerede tutuluyor, kim okuyabiliyor, ne kadar saklanıyor ve hesabımı kapatınca ne oluyor?” sorusudur. Gizlilik metni, cüzdan simgesinden daha çok şey anlatır.

DID ve doğrulanabilir kimlik belgeleri ne ekler?

DID, yani merkeziyetsiz kimlik tanımlayıcısı, bir kimliğe bağlanan tanımlayıcı ve onun doğrulama yöntemlerini ifade eden bir yaklaşımdır. Tek başına “gerçek insan” kanıtı değildir. Bir kişi birden fazla tanımlayıcı oluşturabilir; bir kuruluş veya cihaz da DID kullanabilir.

Doğrulanabilir kimlik belgesi ise bir düzenleyicinin belirli bir iddiayı imzaladığı dijital kayıttır. Örneğin bir kurum, belirli bir eğitimi tamamladığınıza dair belge düzenleyebilir. Siz bu belgeyi saklar, gerektiğinde bir doğrulayıcıya sunarsınız. Doğrulayıcı, imzayı ve belgenin geçerlilik durumunu inceler.

Bu modelde kişisel belgenin tamamının herkese açık zincire yazılması gerekmez; çoğu durumda bu istenmez de. Yine de üç bağımlılık kalır: Belgeyi düzenleyen kurum güvenilir olmalı, anahtarları korunmalı ve iptal mekanizması çalışmalıdır. İmzalı bir belge, iddianın doğru olduğunu sonsuza kadar garanti etmez; yalnızca kimin, neyi imzaladığını denetlemeye yardımcı olur.

Seçici açıklama ve sıfır bilgi kanıtları, bir belgenin tamamını göstermeden belirli bir koşulu kanıtlamayı mümkün kılabilir. Ancak her cüzdanda ve her kimlik sisteminde hazır bulunan sihirli bir mahremiyet düğmesi değildir. Uygulamanın desteklediği yöntem ve topladığı ek kayıtlar ayrıca değerlendirilmelidir.

Mahremiyet: adres görünür, kişi hemen bilinmez

Cüzdan adresi takma ad gibidir; fakat kalıcı ve ilişkilendirilebilir bir takma addır. Aynı adresi her yerde kullanmak, işlemleri ve uygulama davranışlarını tek bir profilde birleştirmeyi kolaylaştırabilir. Adres bir kez gerçek kimlikle eşleşirse geçmişteki açık işlemler de yeniden yorumlanabilir.

Bu yüzden farklı amaçlar için adresleri ayırmak bazı bağlantıları azaltabilir, fakat tam anonimlik sağlamaz. Ağ bilgileri, cihaz verileri, oturum çerezleri ve hizmetin zincir dışı kayıtları yine iz oluşturabilir. Kimlik çözümü seçerken yalnızca kriptografiye değil, veri minimizasyonuna da bakın: Uygulama gerçekten ihtiyaç duymadığı bilgiyi istemiyor mu?

Bardağı taşırmamak burada da geçerli. Her hizmete bütün kimlik dosyanızı vermek yerine gerekli iddiayı, gerekli süreyle paylaşmak daha ölçülü bir tasarımdır.

Kayıp anahtar, çalınan oturum ve geri dönüş

Özel anahtarın kaybı, klasik parola sıfırlamaya benzemeyebilir. Tek imzalı bir hesapta yedek yoksa erişim kalıcı olarak kaybolabilir. Akıllı sözleşme cüzdanları, çoklu imza ve veli hesaplar gibi tasarımlar kurtarma seçenekleri sunabilir; buna karşılık velilerin kötüye kullanımı veya kurtarma sürecinin ele geçirilmesi gibi yeni riskler doğar.

Oturum güvenliği de anahtar güvenliğinden ayrıdır. Geçerli girişten sonra site bir oturum belirteci kullanabilir. Cüzdanı kapatmak bu belirteci her zaman sona erdirmez. Benzer biçimde siteden çıkmak, daha önce verilmiş zincir üstü token izinlerini iptal etmez. Oturumu kapatmak, cüzdan bağlantısını kesmek ve harcama iznini kaldırmak üç farklı işlemdir.

Şüpheli bir durumda önce etkilenen oturumları sonlandırın, güvenli bir cihazdan hesapları denetleyin ve gerekiyorsa varlıkları ya da yetkileri kontrollü biçimde koruyun. Kurtarma ifadenizi “yardımcı olmak” isteyen kişilere vermeyin. Acele ettiren destek mesajı, çoğu zaman destekten çok tuzaktır.

Uygulamadan önce sakin bir kontrol listesi

Bir Web3 kimlik hizmetini kullanırken aşağıdaki sorular pratik bir başlangıçtır:

• Giriş mesajında doğru alan adı, amaç, nonce ve geçerlilik süresi var mı?
• İstek yalnızca giriş mi istiyor, yoksa varlık harcama yetkisi de içeriyor mu?
• Uygulama hangi zincir dışı verileri topluyor ve saklama süresini açıklıyor mu?
• Oturumu sonlandırma, bağlı cihazları görme ve yetkileri geri alma seçenekleri bulunuyor mu?
• Anahtar kaybına karşı yedekleme ve kurtarma planınız var mı?
• Kimlik belgesini kim düzenliyor; iptal ve doğrulama süreci nasıl işliyor?
• Aynı adresi kullanmak, farklı faaliyetlerinizin bağlanmasına yol açar mı?

Pratik çıkarım şudur: Cüzdanla girişi bir parola değişimi olarak değil, kanıt, oturum ve veri yönetimi tasarımı olarak değerlendirin. İmzalamadan önce mesajı okuyun; gereksiz bilgi paylaşmayın; oturum ile zincir üstü izinleri ayrı ayrı denetleyin. Bu üç alışkanlık, süslü kimlik etiketlerinden daha çok işe yarar.

Kripto varlıklar yüksek risk taşır. Bu içerik genel bilgilendirme amaçlıdır; yatırım tavsiyesi değildir.