Neden şifre yok: Telegram ile giriş

BetPixel Art'ta şifre yok. Kayıt formu yok, e-posta doğrulama yok, "şifremi unuttum" bağlantısı yok. Tek bir giriş yöntemi var: Telegram.

Bu, tembellikten doğmuş bir karar değil. Saklamadığın bir şey sızdırılamaz — ve bir reklam tuvalinin tutması gereken en hassas veri, aslında hiç tutmak zorunda olmadığın veri.

Saklanmayan şifre, çalınmayan şifre

Şifreli bir sistemde şu zincirin tamamını kurman gerekir: parola saklama, sıfırlama maili, o mailin tek kullanımlık ve kısa ömürlü olması, e-posta doğrulama, kaba kuvvet denemelerine karşı hız sınırı, ve şifre yönetiminin kendi destek yükü.

Her halka ayrı bir açık kapı. Sıfırlama maili ele geçirilirse hesap gider. Parola veritabanı sızarsa, insanların büyük kısmı aynı şifreyi başka yerlerde de kullandığı için zarar sadece seninle sınırlı kalmaz.

Bunların hiçbiri bizde yok, çünkü ortada şifre yok.

Bir de daha az konuşulan bir kazanç var: hesap sayımı yüzeyi. Klasik bir giriş ekranında "bu e-posta kayıtlı değil" ile "şifre yanlış" arasındaki fark, sistemde kimin hesabı olduğunu dışarıdan öğrenmeye yarar. Reklam verenlerin arasında bahis ve casino markaları varken bu, kimseye vermek istemeyeceğin bir bilgi. Girişte doğrulanacak bir kimlik alanı olmadığı için sorulacak bir soru da yok.

Telegram girişi teknik olarak ne yapıyor

Kabaca şöyle işliyor:

1. Giriş düğmesine bastığında Telegram'ın giriş bileşeni devreye girer ve işlem Telegram tarafında gerçekleşir. Şifreni oraya yazarsın ya da zaten açık olan oturumunu onaylarsın — biz o ekranı görmeyiz.
2. Telegram geri dönerken bize küçük bir veri paketi verir: kim olduğunu söyleyen alanlar, bir zaman damgası ve bir imza.
3. Bu imzayı sunucu tarafında doğrularız. İmza, yalnızca bizim sunucumuzun ve Telegram'ın bildiği bir gizli anahtarla üretiliyor. Paketteki tek bir karakter bile değiştirilirse imza tutmaz ve giriş reddedilir.
4. Zaman damgasına bakarız. Paketin ömrü kısadır; eski bir paket kabul edilmez.
5. Paket tek kullanımlıktır. Doğrulanıp oturuma çevrildikten sonra aynı paketle bir daha giriş yapılamaz — yani birisi trafiği kaydedip sonra tekrar oynatamaz.

Yani kimliğini matematiksel olarak kanıtlıyorsun, biz de o kanıtı kendi tarafımızda kontrol ediyoruz. Bize güvenmen gereken bir şifre hiç ortaya çıkmıyor.

Kritik nokta 3. maddede: doğrulama tarayıcıda değil sunucuda yapılıyor. Tarayıcıda yapılan bir kontrol, tarayıcıyı kontrol eden herkes tarafından atlatılabilirdi.

Ne saklıyoruz, ne saklamıyoruz

Sakladığımız: seni sistemde benzersiz kılan Telegram kullanıcı kimliğin ve Telegram'da zaten herkese görünen ad bilgin. Bunlar hesabını, kiralamalarını ve sohbetteki mesajlarını sana bağlamak için gerekli.

Saklamadığımız: şifre (yok), şifre özeti (yok), Telegram şifren (hiç görmüyoruz), sıfırlama tokeni (ihtiyaç yok). Telegram giriş bileşeni bize telefon numaranı vermez; biz de istemiyoruz.

Bunun somut anlamı şu: bu tarafta ele geçirilebilecek bir kimlik doğrulama sırrı yok. En kötü senaryoda bile kimsenin senin adına giriş yapmasını sağlayacak bir veri elimizde durmuyor.

Bildirimler aynı kanaldan geliyor

Giriş yöntemiyle bildirim kanalının aynı olması tesadüf değil, işin kolay tarafı.

Diyelim 40 × 30 pixellik bir alan kiraladın — 4 × 3 blok, 1.200 pixel:

1.200 pixel × 1 dolar = haftada 1.200 dolar
1.200 dolar × 8 hafta = 9.600 dolar

Bu sekiz hafta boyunca sana ulaşmamız gereken birkaç an var: görselin onaylandığında (sayaç tam o anda başlar), reddedilirse gerekçesiyle birlikte, ve bitişe 3 gün kala yenileme hatırlatması olarak. Hepsi Telegram'dan geliyor.

Ayrı bir e-posta adresi vermene, spam klasörünü kontrol etmene ya da bir bildirim tercihi kurmana gerek yok. Giriş yaptıysan kanal zaten açık. Süre yönetiminin tamamı — hatırlatma, uzatma, bitişten sonraki 48 saatlik öncelik penceresi — bu kanala dayanıyor, o yüzden bildirimleri sessize almadan önce bir kez düşün.

Sohbet girişin arkasında, tuval herkese açık

Burada iki farklı kural var ve karıştırılmasın:

• Tuval herkese açık. Giriş yapmadan ana sayfaya gelebilir, bir milyon pixelin tamamını görebilir, reklamlara tıklayabilirsin. Reklam verenin aldığı görünürlük, giriş yapmış kullanıcılarla sınırlı olsaydı anlamsız olurdu.
• Site genelindeki sohbet tamamen girişin arkasında. Giriş yapmamış bir ziyaretçi mesajları yazamaz, okuyamaz bile. Sohbet dışarıdan görünmüyor.

Sohbetin kapalı olması, bir kimliğin arkasına saklanmadan mesaj yazmayı imkânsız kılıyor. Herkesin bir Telegram hesabı var ve o hesap mesajının arkasında duruyor. Bir hesabı susturmak, bir IP adresini engellemekten çok daha anlamlı bir işlem.

Neden tek sağlayıcı — ve bunun bedeli

İkinci bir giriş yolu neden yok

"Telegram'ın yanına e-posta ile giriş de koysanız" sorusunun cevabı basit: ikinci bir yol açtığın anda birinci yolun bütün kazancı buharlaşır.

Yanına e-posta girişi eklersen parola saklamaya, sıfırlama maili göndermeye ve o mail akışını korumaya geri dönersin. Üstelik saldırgan her zaman en zayıf yolu seçer; sağlam olan yolu eklemiş olman hiçbir şeyi güçlendirmez. İki kapılı bir evin güvenliği, zayıf olan kapının güvenliğidir.

Sağlayıcı olarak Telegram'ın seçilmesinin pratik bir sebebi de var: kimlik ve bildirim aynı yerden geliyor. Başka bir sağlayıcıyla giriş yapsaydık, onay ve yenileme bildirimleri için ayrıca bir kanal kurmamız — yani e-posta adresi toplamamız — gerekirdi. Tek kanal, hem daha az veri hem daha az kırılma noktası demek.

Bu kararın maliyeti

Dürüst olalım, bedava değil.

Telegram hesabın yoksa giriş yapamazsın. Alternatif yöntem yok. Bu bilinçli bir tercih: ikinci bir giriş yolu açmak, kapatmaya çalıştığımız bütün yüzeyi geri getirirdi.

Telegram hesabına erişimini kaybedersen bizim tarafta sıfırlayacak bir şey yok. Şifre olmadığı için "şifremi unuttum" da yok. Hesabı Telegram tarafında geri kazanmak gerekir. Telegram'ın kendi iki adımlı doğrulamasını açmak, bu yüzden burada da doğrudan işine yarayan bir önlem.

Tek bir sağlayıcıya bağlısın. Telegram bir gün erişilemez olursa giriş de erişilemez olur. Tuval açık kalmaya devam eder, reklamlar yayında durur, sayaçlar işlemeye devam eder — ama panele giremezsin.

Pratik özet

Şifre yokluğu bir eksik değil, kasıtlı bir sadeleştirme: saklanacak parola, gönderilecek sıfırlama maili ve sorulacak "bu hesap var mı" sorusu ortadan kalkıyor. Karşılığında Telegram hesabın tek anahtarın oluyor.

O yüzden yapman gereken tek şey var: Telegram hesabını ciddiye al. İki adımlı doğrulamayı aç, bildirimleri sessize alma. Panelin de, onay bildirimin de, yenileme hatırlatman da o hesabın içinden geçiyor.

Nasıl çalışır?