Şifre Güvenlik Testi

Şifre gücü nasıl ölçülür?

Çoğumuz şifremizin "yeterince güçlü" olup olmadığını büyük harf, rakam ve simge içerip içermediğine bakarak değerlendiririz. Oysa saldırganlar şifreleri alfabe sırasıyla değil, insanların gerçekte seçtiği kalıplara göre dener. "Galatasaray1905" on beş karakterdir, büyük harf ve rakam içerir, ama bir saldırgan için neredeyse hiç direnç göstermez: bir takım adı ile o takımın kuruluş yılı, ilk denenen birleşimlerden biridir. Bu araç, şifreyi sadece karakter sayarak değil, tahmin edilebilir parçalarına ayırarak değerlendirir ve size bunu açıkça gösterir.

Ölçü birimi entropi ve birimi bittir. Bir şifrenin entropisi n bit ise, saldırganın doğru şifreyi bulmak için ortalama 2 üzeri (n-1) deneme yapması gerekir. Her ek bit, aranacak alanı iki katına çıkarır. 40 bit, bir ev bilgisayarının saatler içinde aşabileceği bir sınırdır; 80 bit ve üstü, bugünkü donanımlarla pratikte kırılamaz kabul edilir.

Nasıl kullanılır?

1. Şifrenizi kutuya yazın ya da yapıştırın. Varsayılan olarak noktalarla gizlenir; yazım hatası yapmamak için "Göster" düğmesine basabilirsiniz.
2. Yazdıkça puan, seviye (Çok zayıf'tan Çok güçlü'ye) ve entropi anında güncellenir. "Etkin entropi", bulunan kalıplar düşüldükten sonraki gerçek değerdir; "Saf entropi" ise her karakterin rastgele seçildiği varsayılan ideal değerdir. İkisi arasındaki fark büyükse şifreniz tahmin edilebilir parçalar içeriyor demektir.
3. "Bulgular" bölümünde şifrenizde tespit edilen yaygın kelime, ardışık dizi, klavye yürüyüşü, tekrar ve yıl gibi kalıpları okuyun.
4. "Öneriler" bölümündeki adımları uygulayın; ardından yeni şifreyi aynı kutuda yeniden deneyerek gelişmeyi izleyin. Gerçek şifrenizi kullanmak istemezseniz aynı yapıda (uzunluk, harf düzeni) bir örnekle deneme yapabilirsiniz.

Şifreniz sunucuya gönderiliyor mu?

Hayır. Bu, aracın en önemli özelliğidir: şifre hiçbir yere gönderilmez. Analiz sayfanın kendi JavaScript kodu tarafından tarayıcınızın belleğinde yapılır; şifre bir ağ isteğine eklenmez, çerezde ya da yerel depolamada saklanmaz, günlüğe yazılmaz. Sayfanın yalnızca bir kez, aynı adresten indirdiği yaygın kelime listesi vardır; bu liste sayfaya iner, şifreniz listeye çıkmaz. Bunu kendiniz doğrulayabilirsiniz: tarayıcınızın geliştirici araçlarında "Network" sekmesini açıp bir şifre yazın, hiçbir istek oluşmadığını göreceksiniz. İnternet bağlantınızı kesseniz de araç çalışmaya devam eder.

Bilinçli bir tercih olarak "şifreniz daha önce veri sızıntılarında göründü mü?" sorgusunu bu araca eklemedik, çünkü bu tür sorgular bir ağ isteği gerektirir. Bu sayfa tamamen çevrimdışı çalışsın ve şifre bilgisi sınırları dışına çıkmasın istedik. Sızıntı kontrolü için bilinen, güvenilir hizmetleri kullanabilirsiniz; ancak oraya da asıl şifrenizi yazmak yerine yalnızca hizmetin sağladığı güvenli yöntemleri kullanın.

Hangi kalıpları arıyoruz?

Araç, şifreyi olası en ucuz parçalanma biçimiyle açıklamaya çalışır. Bulduğu kalıp ne kadar yaygınsa o parçanın bit değeri o kadar küçük sayılır. Aranan kalıplar şunlardır:

• En sık şifreler ve yaygın Türkçe kelimeler: "123456", "sifre", "password", "istanbul", "galatasaray", "fenerbahce", il adları, yaygın erkek ve kadın isimleri, aile yakınlığı sözcükleri, aylar, günler, renkler ve sevgi sözcükleri gibi yaklaşık bin dört yüz girişlik bir liste. Liste sıklığa göre sıralanmıştır; listede ne kadar önde olursa o kadar zayıf sayılır. Büyük harfle başlamak ya da "a" yerine "@", "i" yerine "1" yazmak gibi basit değişiklikler, küçük bir bit ilavesi dışında anlamlı koruma sağlamaz; Türkçe karakterler (ç, ğ, ı, ö, ş, ü) de karşılık gelen düz harflere indirilerek aranır.
• Ardışık diziler: "1234", "abcd", "9876", "dcba" gibi tek adımla artan ya da azalan karakterler.
• Klavye yürüyüşleri: "qwerty", "asdfgh", "zxcvbn", "1qaz2wsx", "qazwsx" gibi tuşların yan yana basılmasıyla oluşan dizilerin ileri ve geri hâlleri, Türkçe Q düzenindeki ğ ü ş i ö ç tuşlarını da kapsar.
• Tekrarlar: "aaaaaa", "abab", "123123" gibi bir karakterin ya da bir öbeğin yinelenmesi.
• Yıl ve tarih: 1900-2099 arası dört haneli yıllar ile gün-ay-yıl biçimli sekiz haneli tarihler; doğum ve evlilik tarihleri saldırganların favorisidir.

Kırılma süresi senaryoları ne anlama gelir?

İki ayrı saldırı senaryosu hesaplanır. Çevrimdışı saldırı, bir sitenin şifre veritabanı sızdırıldığında ortaya çıkar. Saldırgan elinde şifre özetlerini (hash) bilgisayarında sınırsızca deneyebilir; burada saniyede on milyar tahmin hızı varsayılır. Bu, güçlü bir ekran kartı kümesine karşılık gelen, ama özellikle hızlı özet algoritmalarında (MD5, SHA-1 gibi) mümkün olan gerçekçi bir hızdır. Modern siteler bcrypt, scrypt ya da Argon2 gibi yavaş algoritmalar kullanır ve bu hız çok düşer; ancak hangi algoritmanın kullanıldığını siz bilemezsiniz, bu yüzden temkinli varsayım yapılır.

Çevrimiçi saldırı ise saldırganın giriş formuna teker teker deneme yapmasıdır. Siteler hesabı kilitleyerek ya da yavaşlatarak bu hızı sınırlar; saniyede yüz deneme cömert bir varsayımdır. Çevrimiçi senaryoda zayıf şifreler bile saatler sürebilir, ama "123456" ya da bir takım adı ilk birkaç yüz denemede bulunur. Gerçek hayatta tehlikenin büyük kısmı, farklı sitelerde aynı şifrenin kullanılmasından ve sızıntı listelerinden gelir; bu yüzden "çevrimiçi süre uzun" olması sizi rahatlatmamalıdır.

Sonuç, ortalama süredir: bütün olasılıkların yarısını denemek ortalama olarak şifreyi bulur. "Evrenin yaşından uzun" gibi ifadeler, hesaplanan sürenin bugünkü teknolojiyle pratikte aşılamaz olduğunu belirtir; elbette kuantum bilgisayarlar ve beklenmeyen zayıflıklar bu tabloyu değiştirebilir, o yüzden önemli hesaplarda iki adımlı doğrulama da kullanın.

Güçlü şifre için pratik öneriler

Uzunluk, karmaşıklıktan daha önemlidir. Yirmi karakterlik, birbiriyle ilgisiz dört beş kelimeden oluşan bir parola cümlesi ("mavi-bulut-tren-kaplan-orman" tarzı, kelimelerin gerçekten rastgele seçilmesi şartıyla) ezberlemesi kolay ve kırması çok zordur. Sekiz karakterlik, her türden karakter içeren bir şifre ise modern donanımla saatler içinde aşılabilir. Kelime seçerken şarkı sözü, atasözü ya da sevdiğiniz bir cümleyi kullanmayın; saldırganlar bunları da sözlüklere eklemiştir.

Her hesap için farklı şifre kullanın. Bir sitenin sızıntısı, aynı şifreyi kullandığınız bütün hesapları tehlikeye atar. Bunu yönetmenin kolay yolu bir şifre yöneticisidir: yalnızca bir güçlü ana parolayı ezberler, geri kalan her şeyi yönetici üretir ve saklar. Bu sitedeki Şifre Üretici rastgele ve uzun şifreleri tarayıcınızda, güvenli rastgele sayı üretecini kullanarak oluşturur.

İki adımlı doğrulama açın. Şifreniz ele geçirilse bile ikinci adım hesabınızı korur. SMS yerine mümkünse bir doğrulayıcı uygulama ya da güvenlik anahtarı tercih edin.

Kişisel bilgiyi kullanmayın. Adınız, çocuğunuzun adı, doğum yılı, plaka, telefon numarası, takım ve memleket adı sosyal medyada ya da başka kaynaklarda bulunabilir. Kasıtlı saldırılarda bunlar tek tek denenir.

Bu araç neyi yapmaz?

Bu sayfa şifrenizin gücü hakkında dürüst bir tahmin verir, ama mutlak bir garanti vermez. Gerçek bir saldırganın elindeki sözlük bizimkinden çok daha geniş olabilir; bu yüzden "çok güçlü" sonucu bile şifreyi başka bir yerde kullanmayı güvenli kılmaz. Araç kimsenin şifresini kırmaz, kayıtlı şifrelere erişemez ve başka hesapların güvenliğini sınamak için tasarlanmamıştır. Yalnızca kendi şifrelerinizi, kendi bilginizle test edin.

Neden Bilişim Ajans aracı?

• Şifre ağa gitmez. Analiz tarayıcıda yapılır; çevrimdışı da çalışır ve bunu "Network" sekmesinden doğrulayabilirsiniz.
• Türkçe bağlam. Türkçe şifre alışkanlıklarına (takım adları, il adları, Türkçe isimler, Türkçe karakter ve l33t hileleri) göre hazırlanmış kalıp listesi.
• Açıklayan sonuç. Yalnızca "zayıf" demez; hangi parçanın neden tahmin edilebilir olduğunu ve nasıl düzelteceğinizi yazar.
• Gerçekten ücretsiz. Kayıt, e-posta ve sahte uyarılar yoktur.

Sık sorulan sorular

İlgili araçlar

• Şifre Üretici
• PDF Şifre Ekle
• Dosya Hash Hesaplayıcı

Kurumunuz için güvenlik farkındalığı ya da şifre politikası desteği gerekiyorsa Bilişim Ajans ekibi yardımcı olur.