Gerçekten güvenli bir şifre nasıl oluşturulur
Şifreler hakkında yanlış bir şey öğrendik. Bize "a"yı "@" ile değiştirmemiz, sonuna ünlem işareti koymamız ve ilk harfi büyük yazmamız söylendi; bu kadarı yeterliymiş gibi. Sorun şu: saldırganlar da aynı numaraları öğrendi. "P@ssw0rd!" gibi bir şifre bir insana karmaşık görünür ama kırma programları için son derece basittir. Hesabı koruyan şey zekice kombinasyonlar değil; uzunluk, rastlantısallık ve aynı şifreyi hiçbir zaman iki kez kullanmama disiplinidir.
Bu sayfa şifreleri doğrudan tarayıcınızda oluşturur. Uzunluğu ve hangi karakter türlerini dahil edeceğinizi seçersiniz; araç anında rastgele bir dizi üretir. Oluşturduğunuz hiçbir şey hiçbir yere gönderilmez, kaydedilmez veya depolanmaz. Aşağıda varsayılanların neden bu şekilde ayarlandığına ve araçtan en iyi şekilde nasıl yararlanabileceğinize dair açıklamalar bulacaksınız.
Uzunluk ve entropi, karmaşıklık kurallarını geride bırakır
Her şifrenin ölçülebilir bir öngörülemezlik düzeyi vardır; güvenlik uzmanları buna entropi der. Entropi ne kadar yüksekse, bir saldırganın şifrenizi bulmadan önce denemesi gereken tahmin sayısı o kadar fazladır. Entropiyi artıran iki şey vardır: seçtiğiniz karakter havuzunun genişliği ve kaç karakteri bir araya getirdiğiniz. Uzunluk burada belirleyici olan etkendir. Bir karakter daha eklemek olası kombinasyon sayısını çarparken, bir sembol türü eklemek bunu yalnızca biraz artırır.
Bu yüzden küçük harf ve rakamlardan oluşan rastgele 16 karakterlik bir şifre, sembollerle dolu 8 karakterlik bir şifreden çok daha güçlüdür. CISA ve National Cybersecurity Alliance gibi kuruluşların güncel önerileri aynı sayıda birleşiyor: en az 16 karakter hedefleyin. Daha uzun her zaman daha iyidir. Önemli hesaplar için 20 veya daha fazla karakter kullanma imkanınız varsa bunu tercih edin. Birkaç saniyelik ek yazma süresi, yıllarca kaba kuvvet saldırısına karşı direnç sağlar.
Karmaşıklık kuralları, yani "bir büyük harf, bir rakam, bir sembol" şeklindeki zorunluluklar çoğunlukla insanları "password123" gibi şifreler seçmekten alıkoymak için vardır. Gerçekten rastgele oluşturulmuş bir şifreyi anlamlı ölçüde daha güçlü kılmazlar. Gerçekten rastgele bir şifre zaten bu kurallara uymadan onları geçer. Dolayısıyla birkaç karakter türünü etkinleştirin, seçici giriş formlarıyla uyumluluk için yeterlidir; asıl ağırlığı uzunluk taşısın.
Parolalar: uzun, rastgele ve akılda kalıcı
Bir şifreyi kendiniz hatırlamanız gereken tek bir durum vardır: şifre yöneticinizin ana şifresi ya da bilgisayarınızın giriş şifresi. Bunlar için bir parola ifadesi (passphrase) mükemmel çalışır. Birbiriyle ilgisiz dört ila altı kelime seçin, ne kadar anlamsız olursa o kadar iyi, ve bunları bir araya getirin: "bakır-fener-çisenti-ceviz" gibi bir şey. Uzundur, yeterli entropiye sahiptir ve beyniniz bunu gerçekten tutabilir.
Kilit nokta rastlantısallıktır. "Doğru at pil zımba" ifadesi tam da kelimelerin mantıksal bir bağlantısı olmadığı için meşhurdur. Bir şarkı sözünden ya da alıntıdan alınan bir ifade hiç de rastgele değildir; saldırganlar tahmin araçlarına tam olarak bu kaynakları besler. Yılda birkaç kez giriş yaptığınız hesaplar için ise hiçbir şeyi ezberlememelisiniz. Bu, yazılımların işidir.
Şifreleri yeniden kullanmak neden gerçek tehlikedir
Düşünce biçiminizi değiştirmesi gereken istatistik şudur: veri ihlallerinin büyük bir kısmı yeniden kullanılan veya zayıf kimlik bilgilerine kadar izlenebilir. Mekanizma son derece basittir. Yıllar önce üye olduğunuz bir web sitesi ihlale uğrar ve şifre veritabanını sızdırır. Saldırganlar bu e-posta ve şifre çiftlerini bankalar, e-posta sağlayıcıları ve alışveriş sitelerinde otomatik olarak, milyonlarca kez dener. Buna kimlik bilgisi doldurma (credential stuffing) denir ve pek çok kişi her yerde aynı şifreyi kullandığı için işe yarar.
Çözüm, her hesap için benzersiz bir şifre kullanmaktır. Bunu yaparsanız, bir hizmetteki ihlal yalnızca o hizmetle sınırlı kalır. Elbette dezavantajı, kimsenin yüzlerce farklı rastgele diziyi hatırlayamamasıdır. Tam da şifre yöneticilerinin çözdüğü sorun budur.
Şifre yöneticileri ve ikinci bir kilit
Bir şifre yöneticisi hesaplarınızın her biri için benzersiz ve rastgele bir şifre oluşturur ve saklar, bunları sizin yerinize doldurur ve yalnızca bir ana şifreyi hatırlamanızı ister. Bitwarden, 1Password, Proton Pass ve benzeri araçlar kasanızı şifreler; böylece uygulamayı çalıştıran şirket bile giriş bilgilerinizi okuyamaz. Uzun ve rastgele şifrelerin güvenliğini, ezberleme yükü olmadan elde edersiniz. Çoğu kişi için bir şifre yöneticisi benimsemek, çevrimiçi güvenliklerini artırmak için yapabilecekleri en büyük yükseltmedir.
Bunu, onu destekleyen her hesapta iki faktörlü kimlik doğrulama (genellikle 2FA olarak gösterilir) ile birleştirin. 2FA etkinken, çalınan bir şifre tek başına içeri girmek için yeterli değildir; çünkü saldırganın aynı zamanda telefonunuzdan veya donanım anahtarından gelen bir koda ihtiyacı vardır. Uygulama tabanlı kodlar ve fiziksel güvenlik anahtarları, SMS kodlarından daha güçlüdür; ancak herhangi bir ikinci faktör hiç yoktan iyidir. Şifre artı 2FA, gerçekten yenilmesi zor bir kombinasyondur.
Tarayıcıda oluşturmak neden gizliliği korur
Bu araç bir şifre oluşturduğunda, tamamen cihazınızda çalışır; işletim sistemlerinin anahtarlar için kullandığı güvenli kaynakla aynı olan tarayıcınızın yerleşik kriptografik rastgele sayı üreticisini kullanır. Sonuç hiçbir zaman cihazınızı terk etmez. Sunucu çağrısı yoktur, değeri taşıyan analitik ping yoktur, günlüğe yazılan hiçbir şey yoktur. Sayfayı açıp ağınızı kapatarak ve şifre oluşturarak bunu doğrulayabilirsiniz. Her şey yerel olarak gerçekleştiği için yine de çalışır.
Bu önemlidir çünkü oluşturmak için uzak bir sunucuya güvenmek zorunda olduğunuz bir şifre, kontrol etmediğiniz bir yerde kısaca var olmuş bir şifredir. Yerel olarak oluşturmak bu adımı tamamen ortadan kaldırır. Yeni şifrenizi doğrudan şifre yöneticinize kopyalayın ve işiniz bitti. Bu aradayken, tüm oluşturucular koleksiyonumuza göz atabilir ya da geliştirme çalışmalarınız için rastgele bir tanımlayıcıya ihtiyaç duyarsanız UUID oluşturucumuzu kullanabilirsiniz.
Sık sorulan sorular
Şifrem kaç karakter olmalı?
En az 16 karakter hedefleyin; e-posta ve bankacılık gibi önemli hesaplar için daha uzun yapın. Uzunluk, herhangi bir sembol kombinasyonundan daha fazla güvenlik sağlar; bu nedenle şüphe duyduğunuzda, şifreyi daha karmaşık hale getirmek yerine daha uzun yapın.
Bu aracın oluşturduğu şifreler gerçekten rastgele mi?
Evet. Tarayıcınızın kriptografik olarak güvenli rastgele sayı üreticisi kullanılarak oluşturulurlar; işletim sistemlerinin anahtarlar için güvendiği kaynağın aynısıdır. Her tıklama, tahmin edilebilir bir örüntüsü olmayan yeni ve bağımsız bir sonuç üretir.
Web tarayıcısında şifre oluşturmak güvenli mi?
Oluşturma işlemi yerel olarak gerçekleştiği sürece evet. Bu araç tamamen cihazınızda çalışır ve şifreyi hiçbir zaman bir sunucuya göndermez. İnternetten bağlantıyı kesseniz de çalışmaya devam eder; bu, hiçbir şeyin iletilmediğini kanıtlar.
Parola ifadesi mi yoksa rastgele şifre mi kullanmalıyım?
Şifre yöneticinizde sakladığınız hesaplar için uzun ve rastgele bir şifre kullanın; bunları ezberlemenize gerek yoktur. Ana şifreniz gibi bellekten yazmak zorunda olduğunuz birkaç giriş için, birbiriyle ilgisiz birkaç rastgele kelimeden oluşan akılda kalıcı bir parola ifadesi kullanın.
Aynı şifreyi yeniden kullanmak neden bu kadar riskli?
Bir site ihlale uğrarsa, saldırganlar sızdırılan şifreyi otomatik olarak diğer hesaplarınızda denerler. Hesap başına benzersiz bir şifre, tek bir ihlali yayılmaktan alıkoyar. Şifre yöneticilerinin var olmasının temel nedeni budur.
Yine de iki faktörlü kimlik doğrulamaya ihtiyacım var mı?
Evet. Güçlü ve benzersiz bir şifre tahmin etmeye ve doldurmaya karşı koruma sağlar; ancak 2FA ikinci bir kilit ekler, böylece çalınan bir şifre tek başına hesabınızın kilidini açamaz. Sunan her yerde etkinleştirin; tercihen SMS mesajları yerine bir uygulama veya donanım anahtarıyla.