Güçlü şifre nasıl oluşturulur? Parola cümlesi ve şifre yöneticisi

Güçlü bir şifre üç kurala dayanır: şifre uzun olmalı (rastgele karakterlerle en az 16 karakter ya da 5-6 rastgele kelime), her hesapta farklı olmalı ve kişisel bilgilerinizden türetilmemelidir. Bunu ezberlemeden yapmanın en pratik yolu, ana şifreyi parola cümlesiyle kurup diğer şifreleri bir şifre yöneticisine üretmektir.

Güçlü şifre hakkında yaygın yanlış inançlar neler?

Güçlü şifre hakkındaki en yaygın yanlış inanç, birkaç özel karakter eklemenin şifreyi güçlendirmeye yettiği düşüncesidir; oysa güvenliği asıl belirleyen uzunluk ve rastgeleliktir. Aşağıdaki inançların her biri, yıllarca tekrarlanmış ama artık genel kabul görmeyen alışkanlıklardır.

Yanlış inanç: "Bir büyük harf, bir rakam ve bir ünlem eklersem şifrem güçlü olur." Gerçek: İnsanlar bu kuralı hep aynı biçimde uygular: büyük harf başa, rakam ve ünlem sona. Bu kalıp tahmin edilebilir olduğu için şifreyi sanıldığı kadar güçlendirmez. Kısa bir şifreye sembol eklemek yerine şifreyi uzatmak çok daha etkilidir.

Yanlış inanç: "Şifreyi her ay değiştirmek gerekir." Gerçek: Sık zorunlu değişiklik, insanları küçük farklarla tekrar eden şifrelere ("…1", "…2") iter. Güncel genel yaklaşım, güçlü ve benzersiz bir şifreyi sızıntı veya şüphe olduğunda değiştirmektir.

Yanlış inanç: "Harfleri rakama çevirirsem (a yerine 4, o yerine 0) kimse tahmin edemez." Gerçek: Bu dönüşümler o kadar bilinir ki tahmin yöntemleri bunları doğrudan dener. Anlamlı bir kelimeyi süslemek, onu rastgele yapmaz.

Yanlış inanç: "Önemsiz sitelerde aynı şifreyi kullanmam sorun olmaz." Gerçek: Önemsiz bir siteden sızan şifre, e-posta ya da banka hesabınızda denenir. Zincirin en zayıf halkası çoğu zaman en önemsiz görünen hesaptır.

Yanlış inanç: "Şifremi kimse bilmiyor, o hâlde güvendeyim." Gerçek: Şifreler çoğunlukla tahmin edilerek değil; sahte sayfalara girilerek ya da sızan veri tabanlarından ele geçirilir. Bu yüzden şifre, tek başına değil iki adımlı doğrulama ile birlikte korur.

Uzunluk neden karmaşıklıktan daha önemli?

Uzunluk önemlidir, çünkü her ek karakter olası kombinasyon sayısını çarpar; karakter türü eklemek ise yalnızca tabanı büyütür. Olası kombinasyon sayısı şu formülle bulunur: kombinasyon = (küme boyutu) üzeri (uzunluk). Küme boyutu, her karakterin seçilebileceği seçenek sayısıdır: yalnız küçük harf için 26, büyük-küçük harf ve rakam için 62, klavyedeki yazdırılabilir karakterlerin tamamı için 94 (Türkçe karakterler hariç İngilizce alfabe esas alınmıştır).

Varsayımsal örnek: Bir saldırganın saniyede 10 milyar tahmin deneyebildiğini varsayalım. Bu hız bütünüyle bizim varsayımımızdır; gerçek hız donanıma ve şifrenin sistemde nasıl saklandığına göre çok farklı olabilir. Tablodaki süreler, rastgele seçilmiş bir şifrenin tüm olasılıkları denendiğinde ne kadar sürede tükeneceğini gösterir; ortalama olarak doğru şifreye bu sürenin yaklaşık yarısında ulaşılır.

Tablodan iki sonuç çıkar. Birincisi, tüm klavye karakterlerini kullanan 8 karakterlik şifre (≈ 7 gün), yalnız küçük harfli 12 karakterlik şifreden (≈ 110 gün) daha kısa sürede tükenir; yani uzunluk, karmaşıklığı geçer. İkincisi, 6 rastgele kelimeden oluşan bir parola cümlesi akılda tutulabilir olduğu hâlde sembollerle süslenmiş kısa şifrelerden kat kat dayanıklıdır; şifre yöneticisinin üreteceği 16 rastgele küçük harf için de aynı şey geçerlidir.

Güçlü şifre nasıl oluşturulur: başlamadan önce neler gerekir?

Güçlü şifre düzenine geçmeden önce hesaplarınızın bir listesine ve yarım saatlik sakin bir zamana ihtiyacınız var. Hazırlık şunlardan oluşur:

• Hesap listesi: E-posta, banka, mesajlaşma, sosyal medya, alışveriş, e-Devlet ve iş hesaplarınızın adları (şifreleri değil).
• Öncelik sırası: Hangi hesabın ele geçirilmesi diğerlerini açar? Genellikle ana e-posta hesabı en başta gelir.
• Kendi cihazınız: Şifreleri ortak ya da başkasına ait bir bilgisayarda değiştirmeyin.
• Güncel tarayıcı ve işletim sistemi: Güncellemeleri önceden yapın.
• Yedek kâğıt ve kalem: Ana şifrenizi ilk günlerde güvenli bir yerde not etmek için.
• Hesap kurtarma bilgileri: Kayıtlı telefon numaranızın ve kurtarma e-postanızın güncel olduğundan emin olun.

Şifre düzeninin, dolandırıcılık ve hesap korumasıyla ilgili diğer adımlar arasındaki yerini Dijital Güvenlik dosyasındaki öncelik sırasında görebilirsiniz.

Parola cümlesi nasıl oluşturulur?

Parola cümlesi, birbiriyle anlam ilişkisi olmayan ve rastgele seçilmiş dört-altı kelimeyi yan yana koyarak oluşturulur. Hatırlaması kolay, tahmin etmesi zor bir ana şifre için şu adımları izleyin:

1. Kelimeleri rastgele seçin. Kafanızdan seçmek yerine zar atarak bir kelime listesinden ya da güvendiğiniz bir şifre yöneticisinin "parola cümlesi üret" özelliğiyle seçin; insan seçimi rastgele değildir.
2. En az beş kelime kullanın. Tablodaki gibi her kelime, kombinasyon sayısını liste uzunluğu kadar çarpar.
3. Kelimeleri anlamlı bir cümleye çevirmeyin. Atasözü, şarkı sözü, film repliği ya da kendi hayatınızdan bir cümle kullanmayın.
4. Ayırıcı ekleyin. Kelimeler arasına tire ya da boşluk gibi bir ayırıcı koymak okunurluğu artırır; sistem boşluk kabul etmiyorsa tire kullanın.
5. Kuralları karşılayın. Site büyük harf ya da rakam şartı koyuyorsa, bir kelimenin baş harfini büyütün ve araya bir rakam ekleyin; bu ekleme, gücün asıl kaynağı değil, kurala uyum içindir.
6. Birkaç gün yazarak ezberleyin. İlk günlerde her gün birkaç kez yazmak kalıcı hafızaya geçirir; kâğıttaki notu ezberledikten sonra imha edin.

Yapı fikri vermek için kurgusal bir biçim: bulut-sardalya-yokus-kepce-zeytin. Bu örneği kullanmayın; yayımlanmış her şifre artık rastgele değildir.

Güçlü şifre nasıl oluşturulur: parola cümlesi mi, rastgele karakter mi?

Akılda tutmanız gereken birkaç şifre için parola cümlesi, şifre yöneticisinde saklanacak diğer tüm şifreler için rastgele karakter dizisi uygundur. Ezberleyeceğiniz şifreler genellikle şunlardır: şifre yöneticisinin ana şifresi, bilgisayarınızın oturum şifresi ve ana e-posta hesabınız. Geri kalanlar için şifre yöneticisinin ürettiği 16 ya da daha fazla karakterlik rastgele şifreler en iyisidir; bunları hiç ezberlemeniz gerekmez.

Güvenlik sorularına gerçek cevap mı verilmeli?

Güvenlik sorularına ("ilk okulunuzun adı", "doğduğunuz şehir" gibi) gerçek cevap vermek zorunda değilsiniz; gerçek cevaplar çoğu zaman sosyal medyadan ya da tanıdıklardan öğrenilebilir. Daha güvenli yol, her soruya anlamsız ama rastgele bir cevap üretmek ve bu cevabı şifre yöneticisinde ilgili hesabın notuna kaydetmektir. Böylece soru, hesabınıza giden ikinci ve kolay bir kapı olmaktan çıkar. Telefonla yapılan hesap işlemlerinde bu cevap sorulabileceği için, sesli okunabilecek kelimelerden oluşan bir cevap seçmek pratik olur.

Şifre yöneticisine geçiş nasıl planlanır?

Şifre yöneticisine geçiş, tüm hesapları bir günde değiştirmeye çalışmadan, önce en önemli hesaplardan başlayan kademeli bir planla yapılır. Bir şifre yöneticisi, şifrelerinizi şifreli bir kasada saklar ve bu kasayı tek bir ana şifreyle açar.

1. Bir şifre yöneticisi seçin. Tanınmış, düzenli güncellenen ve kasayı şifreli tutan bir uygulama tercih edin; işletim sistemi ve tarayıcıların yerleşik yöneticileri de bir seçenektir.
2. Ana şifreyi parola cümlesiyle kurun. Ana şifre kasanın tek anahtarıdır; başka hiçbir yerde kullanmayın.
3. Şifre yöneticisinde iki adımlı doğrulamayı açın.
4. Kasanın kurtarma yöntemini ayarlayın. Ana şifreyi unutursanız ne olacağını, kurtarma kodunun nerede saklanacağını şimdiden belirleyin.
5. Ana e-posta hesabınızın şifresini yenileyin ve yeni şifreyi kasaya kaydedin.
6. Banka, mesajlaşma ve e-Devlet gibi kritik hesaplara geçin. e-Devlet'e girişte kullanılan yöntemler ve güvenli kullanım ilkeleri e-Devlet rehberinde anlatılıyor.
7. Diğer hesapları, kullandıkça değiştirin. Her girişte yöneticiden yeni bir rastgele şifre ürettirip kaydedin; birkaç hafta içinde liste kendiliğinden temizlenir.
8. Artık kullanmadığınız hesapları kapatın. Kullanılmayan her hesap, unutulmuş bir şifre ve sızıntı riski demektir.

Ana şifreyi unutursanız ne olur?

Şifre yöneticilerinin çoğu kasayı yalnızca sizin bildiğiniz ana şifreyle şifreler; bu yüzden ana şifre unutulduğunda hizmet sağlayıcı da kasayı sizin için açamayabilir. Kurulumda sunulan kurtarma kodu, güvenilir bir cihazdan onay ya da önceden tanımlanan acil durum erişimi gibi seçenekler bu riski azaltır. Hangisinin sunulduğu yöneticiden yöneticiye değişir; 4. adımdaki kurtarma yöntemini bu yüzden ilk gün ayarlamak gerekir. Ana şifreyi ezberlediğinizden emin olana kadar notunu evde kilitli bir yerde tutmak makul bir ara çözümdür.

Sık yapılan hatalar ve doğrusu

Şifre güvenliğindeki hataların çoğu, şifrenin kendisinden çok onun nasıl kullanıldığıyla ilgilidir. Aşağıdaki tablo en sık rastlanan hataları ve doğru uygulamayı gösterir.

Bağlantıyla açılan sahte sayfaların nasıl tanınacağı oltalama rehberinde ayrıntılı anlatılıyor.

Şifrem sızdı mı, nasıl anlarım?

Şifrenizin sızdığını genellikle hizmetin resmî bildiriminden, tarayıcınızın ya da şifre yöneticinizin sızıntı uyarısından veya hesabınızda tanımadığınız bir giriş kaydından anlarsınız. Bu işaretlerden biri görüldüğünde yapılacaklar sırasıyla şöyledir:

1. Uyarının gerçek olduğunu doğrulayın. Sızıntı bildirimi bağlantıyla geldiyse tıklamayın; hizmete kendi yolunuzdan girip hesap güvenliği bölümüne bakın.
2. Şifreyi değiştirin ve aynı şifreyi kullandığınız diğer hesapları da yenileyin.
3. Açık oturumları kapatın ve tanımadığınız cihazları hesaptan çıkarın.
4. Kurtarma bilgilerini kontrol edin; saldırganlar ilk iş olarak kurtarma e-postasını ya da telefonunu değiştirmeye çalışır.

Değişiklikten sonra ne olur, nasıl takip edilir?

Şifreleri yeniledikten sonra hesaplarınız tek tek benzersiz ve uzun şifrelerle korunur; size kalan iş, yılda birkaç kez kısa bir kontrol yapmaktır. Bu kontrolde şunlara bakın: