Hesabın geri çekilirse ne olur?
GamerMarkt'ta hesaplar satıştan 9 gün sonra geri çekilebiliyor. Hand-off Ceremony bu açığı nasıl kapatır?
GamerMarkt forumlarında ve Ekşi Sözlük'te tekrarlayan bir şikâyet var: 'Hesabımı 9 gün önce sattım. Bugün giremedim. Satıcı kurtarma formuyla geri almış.' Bu kötü şans değil, modelin doğrudan sonucu. Çünkü GamerMarkt ve benzeri klasik pazaryerleri, hesap bilgilerini tek seferde 'verme' modeline dayanır.
Klasik modelin sessiz açığı
Satıcı e-posta ve şifreyi verir. Kurtarma e-postası satıcıda kalır. İki adımlı doğrulama anahtarı da satıcıda kalır. Haftalar geçer. Alıcı hesabı kullanır, özel e-postaya geçer, şifreyi değiştirir. Sonra satıcı 'bu hesap çalındı' diyerek oyun şirketine kurtarma formu doldurur. Oyun şirketi ilk kayıtlara bakar: orijinal e-posta kimde, ilk şifre neydi, satın alma geçmişi kimde. Hepsi satıcının elinde. Hesap satıcıya iade edilir. Alıcı 200-1500 dolarını kaybeder.
Suç dikkatsiz alıcıda mı?
Hayır. Alıcı her şeyi doğru yapabilir: e-postayı değiştirir, iki adımlı doğrulamayı açar, bilgileri günceller. Oyun şirketinin sistemi yine de 'orijinal sahip kim' sorusunda satıcıyı gösterir. Çünkü ilk hesap bilgileri satıcının elinden hiç çıkmadı, sadece kopyalandı. Bu açık reklamla kapanmaz; ancak yapıyla kapanır.
Hand-off Ceremony ne değiştiriyor?
İlan açılırken Sigmamarkt kurtarma e-postasını, iki adımlı doğrulamayı ve telefonu geçici olarak kontrolüne alır. Satış kapanırken bunları alıcıya devreder. Eski e-posta bağı kopar; yeni bir iki adımlı doğrulama anahtarı üretilir. Satıcı kurtarma formu doldurmaya çalışırsa 'kurtarma e-postana gönderilen kodu gir' ekranında takılır. O e-posta artık alıcının. Satıcının elinde eski hesap bilgileri var ama kontrol yok. Geri alma girişimi başarısız olur.
Ya satıcı itiraz açarsa?
Sigmamarkt'taki her devir, imzalı satış geçmişinde kayıtlıdır. Satıcı 'bu hesabı satmadım' diyemez. Kriptografik imzalı kayıt; devri, saatini ve satış tutarını gösterir. Bu kanıt oyun şirketine sunulur. 'İki kişi de hesap benim diyor' karmaşası anında çözülür. Alıcı koruması burada bir vaat değildir. Her devrin imzalı ve tarihli kaydı vardır; kanıt her zaman hazırdır.