Güçlü Şifre Nasıl Oluşturulur, Şifre Yöneticisi Ne İşe Yarar?

Aynı şifreyi birden çok sitede kullanmak neden zincirleme hasar verir?

Şifreniz çoğu zaman sizin hatanızla değil, üye olduğunuz bir sitenin veritabanı sızdığında açığa çıkar. Yıllar önce üye olup unuttuğunuz bir forum, bir alışveriş sitesi ya da küçük bir oyun sitesi yeterlidir. Sızan listede e-posta adresiniz ve şifreniz yan yana durur.

Saldırganlar bu listeleri elle denemez. Otomatik araçlar aynı e-posta ve şifre çiftini yüzlerce başka sitede sırayla dener; buna kimlik bilgisi doldurma (credential stuffing) denir. Forumda kullandığınız şifre e-postanızda da geçerliyse e-postanız açılır. E-posta açıldığında bahis hesabınızın, cüzdanınızın ve diğer üyeliklerinizin 'şifremi unuttum' bağlantıları da saldırganın gelen kutusuna düşer. Tek bir eski sızıntı böylece bütün hesaplarınıza uzanan bir zincire dönüşür. Zinciri kıran şey şifrenin karmaşıklığı değil, her sitede farklı olmasıdır.

Güçlü şifre uzunlukla mı ölçülür, karmaşıklıkla mı?

Uzunlukla. Bir şifreyi deneme yoluyla bulmanın zorluğu olası kombinasyon sayısına bağlıdır ve bu sayı her ek karakterle katlanır. Basit bir karşılaştırma:

Dört sıradan kelime, sekiz harflik şifreden yaklaşık 77 kat fazla ihtimal barındırır ve akılda tutması daha kolaydır. Koşul, kelimelerin rastgele seçilmesidir. Tuttuğunuz takımın adı ile kuruluş yılı ya da adınızın sonuna eklenmiş doğum yılınız uzun görünür ama saldırganların ilk denediği kalıplardandır. Sık kullanılan şifre listelerinin başında takım adları, tarihler ve klavye sıraları yer alır.

Parola cümlesi nasıl kurulur?

Parola cümlesi (passphrase), birbiriyle ilgisi olmayan dört beş kelimenin yan yana yazılmasıdır: 'bardak tren mavi çekirdek sabah' gibi. Bu örneği kullanmayın, yayımlanmış her örnek artık bir tahmin listesindedir. Kendi cümlenizi kurarken şunlara bakın:

• Kelimeleri kafanızdan değil rastgele seçin. Bir kitabın farklı sayfalarından birer kelime almak ya da şifre yöneticisinin kelime üreticisini kullanmak işe yarar.
• Şarkı sözü, atasözü, film repliği gibi bilinen cümleleri kullanmayın.
• Adınız, çocuğunuzun adı, plakanız, doğum tarihiniz gibi sosyal medyadan öğrenilebilecek bilgileri katmayın.
• Site büyük harf ve rakam zorunlu tutuyorsa ekleyin, ama güvenliği bunlardan beklemeyin.

Parola cümlesini ezberlemeniz gereken yer sayısı azdır: şifre yöneticinizin ana şifresi, e-posta hesabınız ve telefonunuzun kilidi. Gerisini ezberlemeye çalışmayın.

Şifre türüne göre kırılma süresi nasıl düşünülür?

Saldırganın saniyede kaç tahmin yapabildiği saldırı yöntemine göre değişir. Aşağıdaki rakamlar varsayımsal bir hıza dayanır: saniyede 10 milyar tahmin. Gerçek hızlar şifrenin saklanma biçimine göre bunun çok altında ya da üstünde olabilir.

Tablonun öğrettiği: uzunluk, karmaşık simge eklemekten çok daha hızlı büyür. Sekiz karakterli şifre bile rakam ve simgeyle yetersiz kalabilir. Her ek kelime işi katlar.

Şifre yöneticisi nasıl çalışır?

Şifre yöneticisi, bütün şifrelerinizi şifrelenmiş tek bir kasada saklar. Kasa yalnızca sizin bildiğiniz ana şifreyle açılır. Uygulama her site için 20 karakterlik rastgele bir şifre üretir, kaydeder ve giriş sayfasında sizin yerinize doldurur. O şifreleri görmek ya da hatırlamak zorunda kalmazsınız.

Az bilinen bir faydası daha vardır: yönetici, şifreyi kaydettiği alan adını hatırlar. Sizi kopya bir sayfaya götüren bağlantıya tıkladığınızda adres farklı olduğu için otomatik doldurma çalışmaz. Doldurma teklifinin gelmemesi, durup adres çubuğuna bakmanız için bir işarettir. Kopya sayfaların diğer belirtileri sahte site rehberinde yer alıyor.

Zayıf noktası ana şifredir. O şifre ele geçerse kasanın tamamı açılır, unutursanız çoğu üründe kurtarma yolu yoktur. Ana şifreyi uzun bir parola cümlesi yapın, başka hiçbir yerde kullanmayın ve kasaya iki adımlı doğrulama ekleyin. Kurtarma kodunu kâğıda yazıp evde saklamak, telefonda not olarak tutmaktan daha sağlamdır.

Bahis hesabına özel e-posta adresi ne sağlar?

Bahis üyeliği için yalnızca o işte kullandığınız ayrı bir e-posta adresi açmak üç sorunu birden hafifletir. İlki, zincir kısalır: alışveriş sitesinden sızan adresiniz bahis hesabınızın kullanıcı adı olmadığı için otomatik denemeler boşa düşer. İkincisi, sahte iletileri ayırmak kolaylaşır; günlük adresinize gelen 'bahis hesabınız askıya alındı' iletisi, o adresle üye olmadığınız için baştan sahtedir. Bu iletilerin diğer işaretlerini oltalama e-postaları yazısında anlattık. Üçüncüsü, pazarlama iletileri ana gelen kutunuza karışmaz.

Bu adresin şifresi de kendine özel olsun ve iki adımlı doğrulaması açık dursun. Bahis hesabının güvenliği, şifre sıfırlama bağlantısının gittiği e-postanın güvenliğini geçemez.

Şifre yöneticisi seçerken hangi özelliklere bakılır?

Bir yönetici yazılımının sizi koruması için birkaç temel özelliğe sahip olması gerekir. Seçimden önce şu soruları sorun.

• Şifreleme: Kasa, cihazınızda şifrelenip saklanıyor mu, yoksa şifresiz mi bulutta tutuluyor?
• Ana şifre: Ana şifreyi sağlayıcının bile bilmediği bir yapı var mı?
• İki adımlı doğrulama: Kasanıza ikinci adım ekleyebiliyor musunuz? İki adımlı doğrulama yazısı yöntem seçimini anlatıyor.
• Kurtarma: Ana şifreyi unutursanız ne olur? Kurtarma kodu mu, güvenilir kişi mi, hiçbir şey mi?
• Alan adı eşleştirme: Yalnızca kayıtlı alan adında doldurma yapıyor mu?
• Güvenlik raporu: Tekrarlanan ya da sızmış şifreleri listeleyebiliyor mu?

Tarayıcı içi kaydetme işe yarar bir başlangıçtır ama ana şifre, cihaz paylaşımı ve aktarım konularında özel yönetici uygulamaları genellikle daha fazla denetim sunar. Karar vermeden önce hizmetin güvenlik denetimi hakkında yayımladığı belgeleri okuyun. Kurulumdan sonra ilk iş e-posta hesabınızın şifresini yenilemek olmalı; neden önce oradan başlandığı yazının başında açıklandı. Telefonunuzu kaybederseniz yöneticiye başka bir cihazdan girebilmek için kurtarma kodunuzun elinizin altında olması gerekir.

Bugün yarım saatte yapabileceğiniz beş şey

1. E-posta hesabınızın şifresini uzun bir parola cümlesiyle değiştirin. Diğer bütün hesapların anahtarı odur.
2. Bir şifre yöneticisi kurun, ana şifresini belirleyin, kurtarma kodunu kâğıda yazın.
3. Para tutan hesaplardan başlayın: banka, e-cüzdan, bahis hesabı. Her birine yöneticinin ürettiği ayrı bir şifre verin.
4. Tarayıcıda kayıtlı eski şifreleri yöneticiye aktarın. Çoğu yönetici tekrar eden şifreleri listeler; onları haftaya yayarak sırayla değiştirin.
5. Şifrenizi yazışmayla, ekran görüntüsüyle ya da telefonda kimseye iletmeyin. Gerçek bir destek ekibi şifre sormaz.

Şifre işi bittikten sonra telefonun kendisine bakın: ekran kilidi, güncellemeler ve uygulama izinleri için mobil bahis güvenliği yazısındaki kontrol listesi işinizi görür.

Sık yapılan şifre hataları

1. Küçük değişikliklerle aynı şifreyi sürdürmek. "Şifre1" yerine "Şifre2" yazmak sızıntı sonrası tahmin edilebilir bir kalıptır.
2. Şifreyi e-postayla ya da mesajla kendine göndermek. Mesaj geçmişi çalınan hesaplarda ilk bakılan yerlerden biridir.
3. Güvenlik sorularına gerçek cevap vermek. Anne kızlık soyadı gibi bilgiler sosyal medyadan öğrenilebilir; cevabı rastgele bir kelime yapıp yöneticide saklayın.
4. Ortak cihazda "beni hatırla" demek. Kafe, iş yeri ya da arkadaşın bilgisayarında oturum açık kalır.
5. Sahte "şifreniz sızdı" mesajına şifre girmek. Gerçek bir sızıntıyı kontrol ederken bile şifrenizi hiçbir forma yazmayın. İletiyi oltalama e-postaları yazısındaki işaretlerle karşılaştırın.

Telefon tarafındaki kilit ve izin ayarları için mobil bahis güvenliği yazısına, kopya sayfaların işaretleri için sahte site rehberine da bakın. Hesabınız çalındıysa panik yapmadan hesabım çalındı rehberindeki sırayı izleyin. Güvenlik önlemlerinin toplu görünümü için güvenlik merkezine, ödeme tarafı için ödeme güvenliği kontrol listesine göz atabilirsiniz.