Eğitim modülü
Hesaplar ve parolalar
Uzunluğun neden karmaşıklıktan değerli olduğu, parola tekrarının neden asıl tehlike olduğu ve parola yöneticisinin günlük hayata nasıl oturduğu.
Sonunda neler yapabileceksiniz
- Uzun bir parola cümlesinin, kısa ve karmaşık bir paroladan neden güçlü olduğunu açıklayabilirsiniz.
- Bir parola tekrar kullanıldığında bütün hesaplara ne olduğunu anlatabilirsiniz.
- Sağlam bir ana parolayla parola yöneticisi kullanmaya başlayabilirsiniz.
Bir parolanın dayanması gereken şeyler
Parola iki farklı durumla karşılaşır. Çevrimiçi hizmet tahminleri yavaşlatabilir, art arda hatadan sonra hesabı kilitleyebilir ve ikinci bir doğrulama isteyebilir. Çevrimdışı durumda, yani bir hizmetin veri tabanı sızdıktan sonra, saldırgan donanımının izin verdiği hızda tahmin yapar ve karşısında kilitleme yoktur. Parolanın hem uzun hem de benzersiz olması bu iki durum yüzündendir.
Uzunluk, sembolden daha önemlidir
Her ek karakter olasılık sayısını katlar. Bu yüzden güncel NIST rehberi (SP 800-63B-4, 2025) parola tek doğrulama olduğunda en az 15 karakter ister, hizmetlerin en az 64 karakterlik parolaları kabul etmesini önerir ve ele geçirilme belirtisi yoksa düzenli parola değişikliğini zorunlu kılmayı yasaklar. Birbirinden bağımsız dört beş sözcükten oluşan bir parola cümlesi hatırlanması kolaydır; insanların tahmin edilebilir kalıplarla kurduğu sekiz karakterlik sembol karışımından daha çok olasılığa sahiptir.
Bu bölümdeki parola aracı, istediğiniz uzunluk ve karakter kümesi için hesabı gösterir.
Asıl tehlike tekrar kullanımdır
Bir site ele geçirildiğinde sızan e-posta ve parola çiftleri başka hizmetlerde otomatik olarak denenir. Buna kimlik bilgisi doldurma denir ve yalnızca parola tekrar kullananlar üzerinde işe yarar. İki yerde kullanılan güçlü bir parola, iki sitenin zayıf olanı kadar korunur. Kural basittir: her hesap için ayrı bir parola.
Parola yöneticisi kuralı uygulanabilir kılar
Onlarca benzersiz parolayı kimse aklında tutamaz; parola yöneticisi bu işi üstlenir. Her hesap için rastgele bir parola üretir ve onu doldurur. Yararlı bir yan etkisi de vardır: parolayı yalnızca kaydettiği tam adreste doldurur, benzer görünen sahte bir alan adında hiçbir şey vermez. Siz de tek bir şeyi hatırlarsınız: başka hiçbir yerde kullanmadığınız, uzun bir parola cümlesi olan ana parolayı.
- Başkalarının parolasını sıfırlayabilen hesaplardan başlayın: önce ana e-postanız, sonra bankacılık, sonra bulut depolama.
- Yöneticinin kendisinde çok adımlı doğrulamayı açın.
- Kurtarma anahtarını ya da acil durum kitini kâğıda yazıp güvenli bir yerde saklayın.
Ana parolayı seçmek
Dört beş ilgisiz sözcük seçin; mümkünse bir şarkıdan ya da atasözünden değil, rastgele seçin. Başkalarının bulabileceği ya da tahmin edebileceği ad, doğum tarihi ve yer gibi kişisel bilgileri kullanmayın. Ezberlerken bir kez yazın, ezberleyince notu yok edin.
Akılda kalacaklar
- Uzunluk ve benzersizlik, sembolden daha önemlidir.
- Parolayı asla tekrar kullanmayın; yönetici bunu mümkün kılar.
- Ezberlediğiniz tek parola ana paroladır: uzun olmalı ve başka yerde kullanılmamalıdır.
Kendinizi sınayın
Açıklamayı görmek için bir yanıt seçin. İstediğiniz zaman baştan başlayabilirsiniz.
1. İkisi de rastgele seçildiğine göre hangi parolanın tahmini en zordur?
Uzunluk, olasılıkları ek karakter türlerinden daha hızlı çoğaltır; bilinen bir sözcükte basit harf değişimi ise tahmin eden kişinin ilk denediği kalıptır.
2. Yıllar önce üye olduğunuz küçük bir forum kullanıcı listesini sızdırıyor. Başlıca risk nedir?
Sızan çiftler başka yerlerde otomatik denenir. Tek bir sızıntıyı birçok hesabın ele geçirilmesine çeviren şey parola tekrarıdır.
3. Parola yöneticiniz, bankanız gibi görünen bir sayfada parolayı doldurmuyor. En olası neden nedir?
Yöneticiler tam alan adını eşleştirir. Doğru görünen bir sayfada doldurmaması, durup adresi kontrol etmek için bir nedendir.
4. Ana parola için doğru yaklaşım hangisidir?
Ana parola geri kalan her şeyi korur; bu yüzden benzersiz olmalıdır. Kurtarma anahtarı da onu zayıflatmadan hesabın kilitli kalmasını önler.
Daha fazlası
Kaynaklar
Bu bölüm savunma ve öğrenme içindir. Sahibi olmadığınız ya da test etmek için yazılı izin almadığınız sistemleri denemeyin: bir bilişim sistemine hukuka aykırı olarak girmek suçtur (Türk Ceza Kanunu m. 243).