Güçlü Şifre Nasıl Oluşturulur? Şifre Güvenliği Rehberi

Şifreler nasıl kırılır, neden önemli?

Bir saldırganın şifrenizi ele geçirmesinin üç yaygın yolu vardır ve hiçbiri filmlerdeki gibi "tek tek tahmin etmek" değildir. Birincisi, başka bir sitede sızmış şifre listelerini sizin hesabınızda denemektir; aynı şifreyi iki yerde kullandıysanız bu yöntem saniyeler içinde işe yarar. İkincisi, kimlik avıdır: sizi sahte bir giriş sayfasına yönlendirip şifreyi kendi elinizle yazdırmak. Üçüncüsü, sızmış bir veritabanındaki şifrelenmiş (hash'lenmiş) kayıtları güçlü bilgisayarlarla çözmeye çalışmaktır; burada saniyede milyarlarca deneme yapılır ve kısa şifreler dakikalar içinde düşer.

Bu üç yola karşı savunma da üç parçadan oluşur: her hesapta farklı şifre, uzun ve rastgele şifre, iki adımlı doğrulama. Rehberin geri kalanı bu üç parçayı sırayla uygulanabilir hâle getirir. Burada şifre kırma ya da deneme aracı yoktur ve olmayacaktır; amaç yalnızca kendi hesaplarınızı korumaktır.

Uzunluk, karmaşıklıktan daha önemli

Yıllarca "en az bir büyük harf, bir rakam, bir sembol" kuralı öğretildi. Sonuç, herkesin aynı kalıbı üretmesi oldu: baş harf büyük, sonunda 1 ya da ! ve ortada bir kelime. Saldırganlar bu kalıpları bilir ve deneme sırasına en başa koyar. "Ayşe1985!" bu kurala uyar ama zayıftır; "kırmızı-bisiklet-yağmur-kalem-pencere" kurala uymaz ama çok daha güçlüdür.

Nedeni matematiktir. Her ek karakter, olası kombinasyon sayısını katlar. 8 karakterlik ve her türden karakter içeren bir şifrenin kombinasyonu, 16 karakterlik yalnızca küçük harfli bir şifrenin kombinasyonundan azdır. Dolayısıyla pratik kural şudur: rastgele karakterli şifrelerde en az 16 karakter, kelime tabanlı parolalarda en az 5 kelime. Site daha kısa bir sınır koyuyorsa sınırın tamamını kullanın.

Parola cümlesi yöntemi

Parola cümlesi (passphrase), birbirinden bağımsız dört ila yedi kelimeyi yan yana getirmektir. İnsan beyni "gemi-lamba-tuz-orman-defter" gibi beş kelimeyi, "x7#Kp2!q" gibi sekiz karakteri ezberlemekten daha kolay tutar; üstelik ilki çok daha güçlüdür. Önemli olan kelimelerin rastgele seçilmesidir. Şarkı sözü, atasözü ya da film repliği kullanmayın; bunlar sözlük listelerinin ilk sıralarındadır. Kelimeleri kendiniz seçerken de farkında olmadan anlamlı bir öbek kurarsınız, bu yüzden seçim işini araca bırakmak doğrudur.

Güçlü Şifre Üretici aracında "Kelime parolası" türünü seçtiğinizde 400 Türkçe kelimelik listeden rastgele kelimeler çekilir. Kelime sayısını 3 ile 10 arasında ayarlayabilir, kelimelerin arasına tire, nokta, alt çizgi ya da boşluk koyabilir, ilk harfleri büyük yazdırabilir ve sembol ya da rakam isteyen siteler için sona iki haneli sayı ekletebilirsiniz. Alttaki güç göstergesi bit değerini ve kabaca kırılma süresini gösterir; 5 kelimelik tireli bir parola çoğu hesap için yeterli, e-posta ve şifre yöneticisi ana parolası için 6 ya da 7 kelime daha rahat bir pay bırakır.

Rastgele şifre ve PIN üretmek

Ezberlemeniz gerekmeyen şifreler için, yani şifre yöneticisine kaydedeceğiniz hesaplarda, "Rastgele karakter" türü en yüksek gücü verir. Uzunluğu 8 ile 64 arasında ayarlayabilirsiniz; önerilen başlangıç 16, kritik hesaplar için 20 ve üzeridir. Küçük harf, büyük harf, rakam ve sembol kutuları açıkken alfabe en geniştir. Bir siteye telefonla ya da elle yazmanız gerekecekse "Benzer karakterleri çıkar" seçeneği 0 ile O, 1 ile l ve I arasındaki karışıklığı önler. "5 şifre" seçeneği aynı anda beş aday üretir; hiçbirini beğenmezseniz yeniden üretirsiniz, çünkü üretim tamamen tarayıcınızda gerçekleşir ve dışarıya hiçbir şey gitmez.

PIN kodları için ayrı bir tür vardır. Telefon kilidi ve banka kartı için 6 hane önerilir; 4 hanenin yalnızca on bin olasılığı vardır. Doğum yılı, 1234, 0000 ya da 2580 gibi tuş sırasını izleyen kodlar en çok denenenlerdir. Aracın ürettiği rastgele PIN'i bir kez ezberleyin ve kart ile telefonda farklı kodlar kullanın.

Her hesaba farklı şifre: şifre yöneticisi

Onlarca hesabın her birine 16 karakterlik ayrı bir şifre ezberlemek mümkün değildir, ve zaten gerekmez. Şifre yöneticisi, tüm şifrelerinizi tek bir ana parolayla şifrelenmiş bir kasada tutan bir uygulamadır. Giriş sayfasında ilgili şifreyi kendisi doldurur, yeni hesap açarken rastgele şifre üretir ve aynı şifreyi iki yerde kullandığınızda uyarır. Tarayıcıların yerleşik şifre kasaları da temel düzeyde aynı işi görür; bağımsız bir uygulama ise cihazlar arasında daha tutarlı çalışır.

Şifre yöneticisi seçerken marka önermiyoruz; şu ölçütlere bakın: uçtan uca şifreleme (sunucuya yalnızca şifrelenmiş veri gitmeli), bağımsız güvenlik denetiminden geçmiş olması, iki adımlı doğrulama desteği, dışa aktarma imkânı ve kullandığınız tüm platformlarda çalışması. Ana parolanız ezberlediğiniz tek şifre olacaktır; bunu 6 ya da 7 kelimelik bir parola cümlesi yapın, hiçbir yerde tekrar kullanmayın ve kurtarma anahtarını kâğıda yazıp güvenli bir yerde saklayın.

Şifre yöneticisine geçiş bir günde olmak zorunda değildir. Önce e-posta, banka, e-Devlet, sosyal medya ve işle ilgili hesapları taşıyın; geri kalanını giriş yaptıkça güncelleyin. E-posta hesabı özellikle önemlidir, çünkü diğer tüm hesapların "şifremi unuttum" bağlantısı oraya gider.

İki adımlı doğrulama: SMS, uygulama ve donanım anahtarı

İki adımlı doğrulama (2FA), şifreye ek olarak elinizdeki bir cihazdan kanıt ister. Şifreniz sızsa bile ikinci adım olmadan giriş yapılamaz. Üç yaygın yöntem güvenlik açısından farklıdır:

• SMS kodu: En yaygın ve en zayıf yöntem. Operatör üzerinden SIM kartın kopyalanması, telefonun çalınması ya da sahte bir sayfaya kodun yazdırılması mümkündür. Hiç olmamasından iyidir; başka seçenek yoksa kullanın.
• Doğrulama uygulaması: Telefonunuzda 30 saniyede bir değişen kod üreten uygulama. Kod internet olmadan üretilir, operatöre bağlı değildir. Çoğu kullanıcı için doğru seviyedir. Uygulamayı kurarken verilen yedek kodları kâğıda yazın; telefon kaybolursa hesaba bu kodlarla girersiniz.
• Donanım anahtarı: USB ya da NFC ile çalışan küçük bir anahtar. Sahte siteye kod yazmak mümkün değildir, çünkü anahtar yalnızca gerçek alan adıyla konuşur; bu yüzden kimlik avına karşı en dayanıklı yöntemdir. Yönetici hesapları, finans ve kurumsal e-posta için önerilir; bir yedek anahtar da kaydedin.

Bazı hizmetler artık şifre yerine "geçiş anahtarı" (passkey) sunar; cihazınızın parmak izi ya da yüz tanımasıyla açılan, sahte siteye verilemeyen bir kimliktir. Sunulan yerlerde açmak hem daha güvenli hem daha pratiktir.

Kimlik avı belirtileri

En güçlü şifre bile sahte bir sayfaya kendiniz yazdığınızda işe yaramaz. Kimlik avı (phishing) mesajları gittikçe daha düzgün Türkçeyle ve gerçek logolarla gelir; yine de birkaç belirti neredeyse her zaman vardır:

• Aciliyet ve tehdit: "Hesabınız 24 saat içinde kapatılacak", "kargonuz iade edilecek", "ödemeniz başarısız oldu". Gerçek kurumlar da uyarı gönderir ama bağlantıya tıklatmak yerine uygulamaya ya da siteye kendiniz girmenizi ister.
• Alan adı oyunları: bilisimajans.com yerine bilisim-ajans-giris.com, bankaniz.com yerine bankaniz-guvenlik.net. Bağlantının üzerine gelip gerçek adresi okuyun; telefonda basılı tutarak görebilirsiniz.
• Gönderen adresi: Görünen ad "Müşteri Hizmetleri" olabilir, ama adres ücretsiz bir e-posta servisinden geliyorsa sahtedir.
• Şifre ya da kod isteyen mesaj: Hiçbir banka, operatör ya da kurum SMS ile aldığınız doğrulama kodunu sizden istemez. İsteyen her arama ve mesaj sahtedir.
• Beklenmeyen ek: Fatura, dekont ya da kargo belgesi görünümlü dosyalar. Beklemediğiniz eki açmayın; gerekiyorsa kurumu bilinen numaradan arayıp sorun.

Şüphelendiğinizde kural basittir: mesajdaki bağlantıya tıklamayın, uygulamayı ya da adresi kendiniz açın. Şifre yöneticisi burada ek bir koruma sağlar; sahte alan adında kayıtlı şifreyi doldurmaz, bu da sayfanın sahte olduğunu fark etmenizi sağlar.

Veri sızıntısı sonrası ilk saat

Kullandığınız bir hizmet "verileriniz sızmış olabilir" bildirimi gönderdiğinde ya da tanımadığınız bir oturum açma uyarısı aldığınızda panik yerine sırayla ilerleyin:

1. O hesabın şifresini hemen değiştirin; yeni şifreyi eskisine benzetmeyin, araçla rastgele üretin.
2. Aynı ya da benzer şifreyi kullandığınız diğer hesapları listeleyin ve her birini ayrı ayrı yenileyin. Önce e-posta ve bankacılık.
3. Hesabın "aktif oturumlar" ya da "bağlı cihazlar" bölümünden tüm oturumları kapatın; saldırgan içerideyse dışarı atılır.
4. İki adımlı doğrulamayı açın; açıksa yedek kodları yenileyin.
5. Kurtarma e-postası, telefon numarası ve yönlendirme kurallarını kontrol edin. Saldırganlar e-postanıza gizli bir yönlendirme kuralı ekleyip ayrıldıktan sonra da mesajlarınızı okumaya devam edebilir.
6. Sızan veri kart numarası içeriyorsa bankanızı arayıp kartı yenileyin; T.C. kimlik numarası içeriyorsa e-Devlet üzerinden adınıza açılmış hat ve hesapları kontrol edin.

Sızan şifrenin başka hesaplarda kullanılıp kullanılmadığını hatırlamıyorsanız, bu şifre yöneticisine geçmek için en iyi andır; geçiş sırasında zaten her şifreyi görürsünüz.

Güvenlik soruları neden zayıf?

"Annenizin kızlık soyadı", "ilk evcil hayvanınızın adı", "doğduğunuz şehir" gibi sorular şifre sıfırlama için hâlâ kullanılır. Sorun, cevapların gizli olmamasıdır: sosyal medya profilleri, eski bir anket paylaşımı ya da bir aile üyesinin gönderisi bu bilgileri verir. Ayrıca cevap sayısı azdır; Türkiye'de en yaygın 50 şehir ve 100 soyadını denemek saniyeler alır.

Çözüm, soruya gerçek cevabı vermemektir. Güvenlik sorusunu bir ek şifre gibi düşünün: "İlk okulunuz?" sorusuna "mavi-kaplumbağa-fırın" yazın ve bu cevabı şifre yöneticisine o hesabın notuna kaydedin. Cevap ne kadar anlamsızsa o kadar iyidir; hesabı kurtarırken soruyu değil kaydettiğiniz cevabı kullanırsınız.

Wi-Fi ve modem şifresi

Ev ve ofis ağında iki ayrı şifre vardır ve ikisi de sık ihmal edilir. Birincisi Wi-Fi şifresidir; modemin altındaki etikette yazan fabrika şifresi, cihaz modelinden türetilmiş olabilir ve bazı eski modellerde tahmin edilebilir. Modemi kurduğunuz gün Wi-Fi şifresini uzun bir parola cümlesiyle değiştirin ve şifreleme türünü WPA2 ya da WPA3 olarak bırakın; WEP ve "açık" seçeneklerini asla kullanmayın. Misafirler için ayrı bir misafir ağı açmak, ana ağdaki yazıcı ve bilgisayarları görünmez kılar. Şifreyi tek tek söylemek yerine karekodla paylaşmak için Wi-Fi QR kodu rehberine bakabilirsiniz.

İkincisi, modemin yönetim paneli şifresidir; çoğu modemde "admin / admin" ya da "admin / 1234" olarak gelir ve internetten değil ama aynı ağdaki herhangi bir cihazdan girilebilir. Bu şifreyi de değiştirin, modemin "uzaktan yönetim" özelliğini gerekmiyorsa kapatın ve modem yazılımını güncel tutun.

Çocuk hesapları

Çocuklar için açılan oyun, okul ve video hesapları, aile için ortak bir zayıf halka olabilir. Çocuğun hesabını ebeveynin e-postasına bağlayın, şifreyi parola cümlesi olarak birlikte oluşturun ve bunu kurallaştırın: şifre kimseye, en yakın arkadaşa bile söylenmez; oyun içinde "ücretsiz eşya için şifreni ver" diyen herkes dolandırıcıdır; bir şey ters giderse ebeveyne söylemek cezasızdır. Platformların aile kontrolü özellikleri harcama onayı ve yaş sınırı için işe yarar, ama en etkili koruma çocuğun kimlik avını tanımayı öğrenmesidir. Kendi şifresini kendi oluşturan çocuk, yetişkin olduğunda da bu alışkanlığı sürdürür.

Kurumsal ortamda şifre

Küçük ve orta ölçekli işletmelerde en sık gördüğümüz sorun, ortak kullanılan hesaplardır: tek bir sosyal medya şifresi üç çalışanın telefonunda, kurumsal e-posta şifresi WhatsApp grubunda, muhasebe programı şifresi monitöre yapıştırılmış kâğıtta. Bir çalışan ayrıldığında kimse hangi şifrelerin değiştirilmesi gerektiğini bilmez.

• Ortak şifre paylaşmayın: Her çalışana kendi hesabı ya da ekip şifre yöneticisinde paylaşılan bir kasa açın. Böylece erişim kişiye bağlı olur ve ayrılan kişinin erişimi tek tıkla kesilir.
• Şifreyi mesajla yollamayın: E-posta, SMS ve sohbet uygulamaları şifreyi düz metin olarak sunucuda ve cihazlarda yıllarca saklar. Paylaşmanız şart olduğunda şifre yöneticisinin paylaşım özelliğini kullanın; en azından şifreyi ve kullanıcı adını ayrı kanallardan gönderin ve ilk girişte değiştirilmesini isteyin. Kısa bir metni kodlayıp göndermek için Şifreli Mesaj aracı işe yarar; ancak unutmayın ki bu araç eğitim amaçlı klasik yöntemler sunar ve gerçek şifreleme yerine geçmez.
• Yönetici hesaplarını ayırın: Alan adı, hosting, e-posta sunucusu ve reklam hesaplarının sahibi şirket olsun, bir çalışanın kişisel e-postası değil. Bu hesaplarda donanım anahtarı kullanın.
• İşten ayrılma listesi: Her çalışanın erişebildiği hesapların listesi tutulsun; ayrılışta hepsi aynı gün değiştirilsin.
• Belge paylaşımı: Müşteri verisi içeren PDF'leri şifreleyerek gönderin; ayrıntı için PDF şifreleme ve gizlilik rehberine bakın.

Bu kuralları yazılı bir sayfaya dönüştürüp yeni çalışanın ilk günü imzalatmak, çoğu küçük işletme için yeterli bir başlangıç politikasıdır. Kurumsal web sitesi, e-posta altyapısı ve hesap düzeni konusunda destek isterseniz Bilişim Ajans ekibine yazabilirsiniz.

Şifrenizi test edin, ama doğru yerde

İnternette "şifreniz ne kadar güçlü?" diyen pek çok sayfa vardır ve bazıları yazdığınız şifreyi sunucuya gönderir. Bu, bir şifreyi test ederken yapılabilecek en kötü şeydir. Şifre Güç Testi aracımız yazdığınız metni yalnızca tarayıcınızda hesaplar; ağ isteği yapmaz, kaydetmez, şifre bilgisayarınızdan çıkmaz. Bunu sayfanın ağ sekmesini açarak kendiniz de doğrulayabilirsiniz. Yine de iyi bir alışkanlık, gerçek şifrenizi değil aynı yapıdaki bir benzerini test etmektir: "ev-adı-1990!" yerine "iş-adı-1985!" gibi. Araç kalıbın zayıf olduğunu söyleyecektir ve mesaj aynıdır.

Test sonucunu okurken bit değerine ve "sözlükte var" uyarısına bakın. Uzunluk iyi görünse bile yaygın bir kelime, tarih ya da klavye dizisi içeriyorsa gerçek güç çok daha düşüktür. Bu durumda aracı değil şifreyi değiştirin: rastgele üretilmiş yeni bir parola cümlesi, tartışmayı bitirir.

İndirdiğiniz dosyanın bütünlüğü

Şifre güvenliğinin bir parçası da kurduğunuz yazılımdır. Sahte bir "şifre yöneticisi" ya da değiştirilmiş bir kurulum dosyası, tüm şifrelerinizi tek seferde çalabilir. Yazılımı yalnızca üreticinin kendi sitesinden indirin ve üretici bir SHA-256 değeri yayınlıyorsa Dosya Hash aracıyla indirdiğiniz dosyanın özetini hesaplayıp karşılaştırın. Değerler tek karakter bile farklıysa dosyayı silin. Hesaplama tarayıcınızda yapılır; dosya hiçbir yere yüklenmez.

Sık yapılan hatalar

• Tek şifre, çok hesap: En yaygın ve en pahalı hata. Küçük bir forumun sızıntısı e-postanızı düşürür.
• Kalıp şifre: "Site adı + yıl + !" gibi tahmin edilebilir bir formülle her siteye "farklı" şifre vermek. Bir tanesi sızdığında formül anlaşılır.
• Şifreyi tarayıcıya kaydedip cihazı kilitsiz bırakmak: Kasanın anahtarı, cihaz kilididir. PIN ya da biyometrik kilit olmadan kayıtlı şifreler korumasızdır.
• Yedek kodları kaydetmemek: Telefon kaybolunca iki adımlı doğrulama sizi de dışarıda bırakır. Yedek kodları basıp güvenli bir yere koyun.
• Şifreyi düzenli "değiştirmek": Zorunlu periyodik değişim, insanları "Şifre1, Şifre2" yapmaya iter. Şifreyi yalnızca sızıntı şüphesinde değiştirin; güncel rehberler de bunu önerir.
• Herkese açık Wi-Fi'da giriş yapmak: Günümüzde siteler şifreli bağlantı kullandığı için risk eskisi kadar büyük değildir, ama adres çubuğunda kilit simgesi yoksa şifre yazmayın.
• Şifreyi not uygulamasına, e-postaya ya da fotoğrafa kaydetmek: Bunlar şifrelenmemiş ve yedeklenen yerlerdir; telefona erişen herkes okur.

Sık sorulan sorular

Sonuç

Güçlü şifre üç cümleye sığar: her hesaba farklı, mümkün olduğunca uzun ve rastgele; ezberlenecek tek şifre şifre yöneticisinin ana parolası; önemli hesaplarda SMS yerine uygulama ya da donanım anahtarıyla iki adımlı doğrulama. Bugün tek bir adım atacaksanız e-posta hesabınızla başlayın. Tüm ücretsiz araçların listesi ana sayfada; kurumsal bilişim ihtiyaçlarınız için Bilişim Ajans.