Güçlü Parola Nasıl Oluşturulur? Parola Güvenliği Rehberi
Güvenlik · · 8 dk okuma · Sorgulaa Editör Ekibi
Parola güvenliği neden hâlâ en zayıf halka?
Hesap ele geçirme olaylarının büyük bölümünde gelişmiş bir saldırı tekniği yoktur; saldırgan doğru parolayı yazıp içeri girer. O parola ya daha önce başka bir siteden sızmıştır, ya tahmin edilebilecek kadar basittir ya da sahibinden sahte bir giriş sayfasıyla alınmıştır. Yani sorun çoğu zaman parolanın "kırılması" bile değildir.
Bu rehberin amacı "büyük harf, rakam ve sembol kullanın" öğüdünü tekrarlamak değil. Bir parolanın saldırgan karşısında gerçekte nasıl sınandığını anlarsanız hangi önlemin işe yaradığını, hangisinin yalnızca zahmet olduğunu kendiniz ayırt edebilirsiniz.
Parolalar gerçekte nasıl ele geçirilir?
Sızıntı ve kimlik bilgisi doldurma
En yaygın senaryo şudur: yıllar önce üye olduğunuz küçük bir forumun veritabanı sızar. İçinde e-posta adresiniz ve parolanız (ya da parolanızın zayıf biçimde korunan özeti) vardır. Saldırganlar bu e-posta ve parola çiftlerini otomatik araçlarla e-posta servislerinde, alışveriş sitelerinde, sosyal ağlarda dener. Buna credential stuffing denir. Aynı parolayı iki yerde kullanıyorsanız, güvenliğiniz o iki siteden daha özensiz olanın güvenliğine eşittir. Parolanızın on altı karakter olması burada hiçbir şeyi değiştirmez.
Çevrimdışı kırma
Düzgün tasarlanmış siteler parolayı değil, parolanın tek yönlü özetini (hash) saklar. Veritabanı sızdığında saldırgan özetleri kendi makinesine alır ve artık deneme sınırı, hesap kilitleme, doğrulama kodu gibi engeller yoktur. Tek kısıt hesaplama gücüdür. Site MD5 gibi hızlı bir özet kullandıysa modern bir ekran kartı saniyede milyarlarca tahmin dener; bcrypt ya da Argon2 gibi bilinçli olarak yavaşlatılmış bir algoritma kullandıysa bu sayı saniyede birkaç bine iner. Hangi algoritmanın kullanıldığını siz bilemezsiniz; bu yüzden parolanızı kötü senaryoya göre seçmeniz gerekir.
Saldırganlar rastgele denemez. Önce sızmış milyarlarca gerçek parolanın listesini, sonra sözlük kelimelerini, ardından bunlara uygulanan kural setlerini çalıştırır: ilk harfi büyüt, sona yıl ya da "123" ekle, a harfini @ ile, s harfini $ ile değiştir. İnsanların "akıllıca" sandığı dönüşümlerin hepsi bu kurallarda zaten vardır. Kaba kuvvet, yani bütün kombinasyonları sırayla denemek, en son çaredir.
Oltalama, zararlı yazılım ve tahmin
Sahte giriş sayfası parolanızı doğrudan sizden alır; tuş kaydedici ya da tarayıcıda kayıtlı parolaları çalan zararlı yazılımlar da öyle. Bu yöntemlere karşı parolanın gücü anlamsızdır, savunma başka katmanlardan gelir. Bir de hedefli tahmin vardır: takım adı, plaka, doğum yılı, çocuğun ya da evcil hayvanın adı. Sosyal medyada herkese açık olan bilgiler parola malzemesi olmamalıdır.
Gücü belirleyen şey: uzunluk ve rastgelelik
Bir parolanın kaba kuvvete dayanıklılığı, olası kombinasyon sayısıyla ölçülür. Bu sayı "karakter kümesi büyüklüğü üzeri uzunluk" formülüyle bulunur. Formüle bakınca uzunluğun üs konumunda olduğu, yani karakter çeşitliliğinden çok daha etkili olduğu görülür.
| Parola yapısı | Kombinasyon sayısı (yaklaşık) | Saniyede 10 milyar denemeyle tamamını tarama |
|---|---|---|
| 8 karakter, yalnızca küçük harf (26 sembol) | 2 × 10¹¹ (200 milyar) | Yaklaşık 20 saniye |
| 8 karakter, harf + rakam + sembol (94 sembol) | 6 × 10¹⁵ | Yaklaşık bir hafta |
| 12 karakter, yalnızca küçük harf | 9,5 × 10¹⁶ | Yaklaşık 110 gün |
| 16 karakter, harf + rakam + sembol | 3,7 × 10³¹ | Evrenin yaşının çok üzerinde |
Tablodaki deneme hızı, hızlı bir özet algoritmasına karşı güçlü bir donanımı temsil eden örnek bir varsayımdır; gerçek hız algoritmaya ve donanıma göre binlerce kat değişir. Önemli olan oranlardır: yalnızca küçük harften oluşan 12 karakter, her türlü sembolü içeren 8 karakterden belirgin biçimde dayanıklıdır.
Ancak bu hesap tek bir koşulda geçerlidir: karakterler gerçekten rastgele seçilmişse. "Galatasaray1905!" on altı karakterdir ve dört karakter sınıfını da içerir, ama bir saldırganın sözlük ve kural listesinde ilk saatlerde denenecek adaylar arasındadır. İnsan zihni rastgele üretemez; hep bir kelimeye, bir tarihe, klavyedeki bir desene yaslanır. Bu nedenle güçlü parola üretmenin iki güvenilir yolu vardır: bir makineye ürettirmek ya da rastgeleliği zar gibi fiziksel bir kaynaktan almak.
Hatırlanabilir ve güçlü: parola cümlesi yöntemi
Ezberlemeniz gereken az sayıda parola için (parola yöneticinizin ana parolası, bilgisayar oturumu, birincil e-posta) rastgele karakter dizisi pratik değildir. Burada parola cümlesi devreye girer: büyük bir kelime listesinden rastgele seçilmiş, birbiriyle ilgisiz birkaç kelime.
- Birkaç bin kelimelik bir liste edinin (bu amaçla hazırlanmış zar listeleri vardır) ya da güvendiğiniz bir üretecin kelime modunu kullanın.
- Kelimeleri kendiniz seçmeyin; zar atarak ya da üreteçle belirleyin. En az beş, tercihen altı kelime alın.
- Kelimeleri tire ya da boşlukla ayırın: örneğin "bakır-yelken-sorgu-limon-tünel-kırk" biçiminde bir dizi.
- Kafanızda kelimeleri birbirine bağlayan absürt bir sahne kurun; birkaç gün içinde parmak hafızasına yerleşir.
- Site sembol ya da rakam şart koşuyorsa sona ekleyin, ama gücü bundan beklemeyin; güç kelime sayısından gelir.
Hesabı şöyle: 7.776 kelimelik bir listeden seçilen altı kelime, 7.776 üzeri 6, yani yaklaşık 2 × 10²³ olasılık üretir. Bu, tablodaki rastgele 12 karakterlik küçük harf parolasından milyonlarca kat güçlüdür ve akılda tutması çok daha kolaydır. Dikkat: bir şarkı sözü, atasözü ya da ünlü bir dize parola cümlesi değildir; bunlar saldırgan listelerinde hazır bulunur. Yöntemin bütün gücü seçimin rastgele olmasındadır.
Parola yöneticisi: her hesaba ayrı parola
Ortalama bir internet kullanıcısının onlarca, çoğu zaman yüzü aşkın hesabı vardır. Hepsine ayrı ve rastgele parola belirleyip ezberlemek mümkün değildir; insanlar bu yüzden aynı parolayı tekrarlar ve en büyük riski tam burada alır. Parola yöneticisi bu çelişkiyi çözer: her site için 20 karakterlik rastgele bir parola üretir, şifreli bir kasada saklar ve siz yalnızca kasanın ana parolasını hatırlarsınız.
"Bütün yumurtaları tek sepete koymak" itirazı anlaşılırdır ama terazinin diğer kefesine bakmak gerekir. Ciddi parola yöneticileri kasayı sizin cihazınızda, ana parolanızdan türetilen anahtarla şifreler; servis sağlayıcı kasanın içeriğini göremez. Alternatif ise aynı üç parolayı elli sitede kullanmaktır ki bu, sepetin anahtarını elli farklı kapıcıya teslim etmek demektir. Az bilinen ek bir fayda da vardır: yönetici, otomatik doldurmayı alan adına göre yapar. Sahte bir giriş sayfasında parolayı önermez; bu sessizlik oltalamaya karşı erken uyarı işlevi görür.
Seçim yaparken tek cihaza bağlı kalmayan, kasayı uçtan uca şifreleyen ve iki adımlı doğrulamayı destekleyen bir ürün arayın. Tarayıcıların ve işletim sistemlerinin yerleşik yöneticileri çoğu kullanıcı için yeterli bir başlangıçtır. Ana parolayı bir parola cümlesi yapın, kâğıda yazıp evde güvenli bir yerde saklayın ve kurtarma kodlarını da yanına koyun. Kâğıda yazılı parola, internetteki saldırganlar için erişilmezdir.
İki adımlı doğrulama: parola sızsa bile
İki adımlı doğrulama (2FA), giriş için parolanın yanında ikinci bir kanıt ister. Böylece parolası sızan bir hesap hemen düşmez. Yöntemler eşit değildir:
- SMS kodu: Hiç olmamasından çok daha iyidir, ancak numaranın başka bir SIM karta taşınmasıyla (SIM değişimi dolandırıcılığı) aşılabilir ve kod sahte sayfaya yazdırılabilir.
- Doğrulama uygulaması (TOTP): Telefonunuzda saklanan bir gizli anahtar ve saatten, 30 saniyede bir değişen kod üretir. Operatöre bağımlı değildir. Yine de oltalama sayfasına yazılan kod anında kullanılabilir.
- Donanım anahtarı ve geçiş anahtarı (passkey): Açık anahtarlı kriptografiye dayanır ve kimlik doğrulama, sitenin gerçek alan adına bağlıdır. Sahte sitede çalışmaz; bu yüzden oltalamaya karşı bilinen en dayanıklı yöntemdir.
Öncelik sırası önemlidir. Önce birincil e-posta hesabınızı koruyun: neredeyse bütün sitelerin "parolamı unuttum" bağlantısı oraya gider, yani e-postanızı ele geçiren diğer hesaplarınızı da sıfırlayabilir. Ardından parola yöneticisi, bankacılık, sosyal medya ve alan adı ya da barındırma panelleri gelir. 2FA'yı açarken verilen yedek kodları mutlaka kaydedin; telefonunuz kaybolduğunda kendi hesabınızın dışında kalmak da gerçek bir risktir.
Parolayı ne zaman değiştirmeli?
"Parolanızı üç ayda bir değiştirin" kuralı uzun yıllar standart tavsiyeydi. NIST gibi standart kuruluşlarının güncel rehberleri bu yaklaşımı terk etti, çünkü zorunlu dönemsel değişiklik insanları öngörülebilir kalıplara itiyor: Bahar2025! gidiyor, Yaz2025! geliyor. Saldırgan eski parolayı biliyorsa yenisini de kolayca türetiyor.
Bugünkü yaklaşım şöyledir: güçlü ve benzersiz bir parola, bir sızıntı belirtisi olmadıkça değiştirilmek zorunda değildir. Değiştirmeniz gereken durumlar bellidir: kullandığınız servis bir veri ihlali duyurduysa, hesabınızda tanımadığınız bir oturum ya da giriş bildirimi gördüyseniz, parolayı şüpheli bir sayfaya yazdıysanız, cihazınızda zararlı yazılım bulunduysa ya da parolayı biriyle paylaştıysanız. E-posta adresinizin bilinen sızıntılarda yer alıp almadığını gösteren saygın ihlal bildirim servisleri ve parola yöneticilerinin sızıntı uyarıları bu takibi kolaylaştırır.
Sık yapılan hatalar ve özet
- Aynı parolayı birden fazla sitede kullanmak. Tek başına en büyük risk budur.
- Tek bir "ana kalıp" üzerinden türetmek: Sonuna site adının eklendiği ortak parola, sızıntıyı gören bir insan için birkaç saniyelik bilmecedir.
- Karmaşıklığı uzunluğa tercih etmek: "P@r0la!1" gibi sekiz karakterlik süslü parolalar kural tabanlı saldırılarda ilk düşenlerdendir.
- Güvenlik sorularına doğru yanıt vermek: Annenizin kızlık soyadı gizli bilgi değildir. Bu alanlara da rastgele bir değer yazıp parola yöneticisine kaydedin.
- 2FA'yı açıp yedek kodları kaydetmemek.
Özetle, yapılacaklar listesi kısadır: bir parola yöneticisi kurun, ana parolasını rastgele seçilmiş beş altı kelimelik bir cümle yapın, her hesap için üreteçle oluşturulmuş uzun ve benzersiz parolalar kullanın, e-postanızdan başlayarak önemli hesaplarda iki adımlı doğrulamayı açın ve parolayı takvime göre değil, sızıntı belirtisine göre değiştirin. Rastgele parola üretmek için bir parola oluşturucu kullanmak, "aklıma gelen karmaşık bir şey" yazmaktan her zaman daha güvenlidir; çünkü saldırganların en iyi modellediği şey insan aklının kalıplarıdır.