Şifre gücü kontrolü

Hatırlayabileceğiniz güçlü bir şifre nasıl oluşturulur

Uzunluk en önemli faktördür, ancak tek başına yeterli değildir. Sıradan kelimelerden oluşan 20 karakterlik bir şifre (kopegimindogumgunu) karakter sayısının ima ettiğinden çok daha az gerçek entropiye sahiptir, çünkü saldırgan harf harf tahmin etmez, sözlükteki kelimeleri ve bunların kombinasyonlarını dener. Bu yüzden şifre gücü kontrolü iki şeyi ölçer: şifrenin ne kadar uzun olduğunu ve ne kadar tahmin edilebilir olduğunu.

Çoğu insan için pratik yaklaşım çok kelimeli şifre (passphrase) yöntemidir: ayırıcı veya sayı ile birleştirilmiş dört ila altı rastgele seçilmiş kelime, örneğin kahve-dag-7-klavye. Böyle bir ifade uzundur, rastgele karakter dizisinden daha kolay hatırlanır ve kelimeler gerçekten rastgeleyse, anlamca bağlantılı değilse sözlük saldırılarına karşı dirençlidir.

Şifreyi elle oluşturuyorsanız şunlara dikkat edin:

1. Önemli hesaplar için (e-posta, banka, şifre yöneticisi) en az 16 karakter hedefleyin.
2. Kişisel bilgilerden kaçının: isimler, doğum tarihleri, evcil hayvan isimleri, şirket adı.
3. Sifre2024! veya Qwerty123 gibi kalıpları kullanmayın; kırma araçlarında bunlar listenin ilk sıralarında yer alır.
4. Aynı şifreyi birden fazla sitede tekrar kullanmayın, çünkü tek bir sızıntı o zaman tüm hesapları açar.
5. Rastgele şifreler için üretici, hatırlamak için şifre yöneticisi kullanın.

Uzun bir şifre neden zayıf olarak işaretlenir

Bu en yaygın karışıklıktır. Istanbul2023Istanbul şifresi 18 karaktere sahiptir, ancak bilinen bir kelime, yıl ve tekrardan oluşur. Böyle bir şifrenin birkaç saniye veya dakika içinde kırılacağı tahmin edilir, çünkü saldırgan sıfırdan başlamaz: sızdırılmış şifre listelerini, sözlükleri, harf değiştirme kurallarını (a yerine @, o yerine 0) ve insanların alışkanlıkla oluşturduğu kalıpları kullanır.

Entropi, bit cinsinden ifade edilen öngörülemezlik ölçüsüdür. Her ek bit, kırma için gereken deneme sayısını ikiye katlar. Büyük ve küçük harfler, sayılar ve semboller karıştırılmış 12 karakterlik rastgele bir şifre yaklaşık 70 bit entropiye sahiptir, oysa dört sıradan kelimeden oluşan bir ifade, kelimelerin seçildiği sözlüğün boyutuna bağlı olarak daha azına sahip olabilir. Bu yüzden kontrol yalnızca uzunluğa değil, yapıya da bakar.

İleri düzey için ipucu: çok kelimeli şifre kullanıyorsanız kelimeleri daha büyük bir sözlükten seçin ve rastgele bir sayı veya sembolü beklenmedik bir yere ekleyin, sonuna değil. Alıntılardan, atasözlerinden ve şiir dizelerinden kaçının, çünkü bunlar da saldırganların kullandığı veri tabanlarında bulunur.

Kırma süresi tahmini ne kadar doğru

Tahmin, saniyede 10 milyar deneme varsayımından yola çıkar; bu, saldırgan çalınan şifre hash'ine ulaştığında modern grafik kartlarının ulaştığı hıza karşılık gelir. Bu, şifreleri hızlı hash'ler olarak saklayan siteler için gerçekçi bir senaryodur (örneğin tuzsuz eski MD5 veya SHA1). Site yavaş hash'leme (bcrypt, Argon2) ve tuz kullanıyorsa gerçek kırma hızı kat kat daha düşüktür.

Bu yüzden tahmini kesin bir süre olarak değil, büyüklük mertebesi olarak okuyun. Araç "ortalama kırma süresi: 3 saniye" diyorsa bu, şifrenin pratikte hiçbir koruma sağlamadığı anlamına gelir. "Birkaç yüzyıl" diyorsa bu, şifrenin sonsuz olduğu anlamına gelmez: zayıf korunan bir sitede sızarsa saldırgan tahminin öne sürdüğünden daha hızlı kırabilir.

Şifre kontrolü ve saklamada en yaygın hatalar

İlk hata, gerçek şifreyi rastgele sitelerde test etmektir. Bu araç tarayıcıda yerel olarak çalışır ve şifre cihazdan çıkmaz, ancak bu benzer tüm hizmetler için geçerli bir kural değildir. Verilerin nereye gönderildiğinden emin değilseniz şifrenin bir varyantını test edin, asla aslını değil.

İkinci hata, yalnızca şifreye güvenmektir. Uzun ve güçlü bir şifre, hesap kimlik avı veya başka bir sitedeki sızıntı yoluyla ele geçirildiyse işe yaramaz. Mümkün olan her yerde iki faktörlü kimlik doğrulamayı (MFA) açın, tercihen SMS değil uygulama veya donanım anahtarı kullanın.

Üçüncü hata, şifreleri düz metin olarak notlarda veya tabloda saklamaktır. Şifre yöneticisi hem hatırlama hem de benzersizlik sorununu çözer: tek bir uzun ana şifre hatırlarsınız, geri kalanını araç oluşturur.

Şirkette yüzlerce hesap ve sistem varsa şifre ve erişim yönetimi tek bir aracın kapsamını aşar; bu gibi durumlarda EVI Solutions şifre yöneticisi, MFA ve erişim politikası devreye alma konusunda yardımcı olabilir.