Kısaca cevap
Akılda kalıcı ve güçlü bir şifre için 5-6 kelimeyi bir araçla rastgele seçtirip aralarına tire gibi bir ayraç koyun. Birbiriyle ilgisiz kelimeler kolay hatırlanır ama tahmin edilemez. İsim, doğum tarihi, takım adı veya klavye dizisi gibi "kolay" kalıplar ise ilk denenen şifrelerdir. En pratik düzen: tek bir güçlü parolayı ezberleyip şifre yöneticisinin ana parolası yapmak, diğer tüm hesaplarda rastgele şifreler kullanmak.
Bu sayfada
Kolay hatırlanan şifreler neden çoğu zaman zayıftır?
Kendi başımıza şifre uydururken hatırlamayı kolaylaştıran şeylere yöneliriz: sevdiğimiz birinin adı, doğum yılı, tuttuğumuz takım, bir şehir, klavyede yan yana duran tuşlar. Sorun şu ki saldırganlar da bu alışkanlıkları bilir. Şifre kırma programları rastgele harf denemeye başlamadan önce sözlükleri, isim listelerini, yılları ve sızıntılardan derlenen gerçek şifreleri dener.
Yani bir şifreyi sizin için akılda kalır yapan şey, çoğu zaman onu saldırgan için de tahmin edilebilir yapar. Çözüm, akılda kalıcılığı kalıplardan değil, kelimelerden almaktır; ama kelimeleri rastgele seçerek.
Hangi "kolay" şifre kalıpları zayıftır?
| Kalıp | Örnek | Neden zayıf? |
|---|---|---|
| İsim + doğum yılı | Ayse1987 | Yaygın isimler ve son yüz yıl birleştirildiğinde olasılık sayısı yalnızca birkaç milyon civarındadır; güçlü bir bilgisayar bunu anında dener. Üstelik bu bilgiler sosyal medyada çoğu zaman açıktır. |
| Takım adı + kuruluş yılı | takımadı1905 tarzı | Türkiye'de çok yaygın bir kalıptır; saldırganların sözlüklerinde doğrudan bulunur. |
| Klavye dizileri | qwerty, asdfgh, 1q2w3e4r | Klavye düzeni herkes için aynıdır; bu diziler sızıntı listelerinin üst sıralarında yer alır. |
| Harf yerine rakam/sembol | P@ssw0rd, S1fre! | a→@, o→0, i→1 gibi değişimler deneme programlarının standart kurallarıdır; gücü çok az artırır. |
| Kelimenin sonuna ek | sifre123, Istanbul34! | Sona rakam, plaka kodu veya ünlem eklemek, ilk denenen varyasyonlardır. |
Kendi şifrenizde bu tür parçalar olup olmadığını şifre güç testi ile tarayıcınızdan çıkmadan kontrol edebilirsiniz.
Kelime yöntemi (passphrase): Nasıl çalışır?
Kelime yönteminde, uzun bir listeden birkaç kelime tamamen rastgele seçilir ve aralarına bir ayraç konur. Örneğin:
Kiraz-Pusula-Bulut-Tava-Merdivenlimon.ahize.kurabiye.vapur.sepet.kuzey
Beyniniz birbiriyle ilgisiz kelimelerden kolayca bir sahne kurar (merdivende duran bir tava, içinde kiraz...) ve bu parolayı birkaç kullanımda ezberlersiniz. Saldırgan açısından ise durum çok farklıdır: kelimelerin hangileri olduğunu ancak tüm kombinasyonları deneyerek bulabilir.
Yukarıdaki örnekleri kullanmayın; yayımlanmış her parola artık zayıftır. Kendi parolanızı bir araçla üretin.
Parolanın gücü nasıl hesaplanır?
Kelime yönteminin gücü, saldırganın kelime listesini bildiği en kötü durumda bile hesaplanabilir. Sitemizdeki akılda kalır parola üreticisi, günlük hayatta sık kullanılan, 3-9 harfli 2.162 Türkçe kelimelik bir liste kullanır. Her kelime bu listeden rastgele seçildiğinde parolaya log2(2.162) ≈ 11,08 bit entropi ekler.
Aşağıdaki tabloda tahmini kırılma süresi, aracımızla aynı varsayımla hesaplanmıştır: şifre saklama biçimi zayıf bir sitenin verileri sızdırılmış ve saldırgan saniyede 10 milyar tahmin yapabiliyor; parola ortalama olarak olasılıkların yarısı denendiğinde bulunuyor.
| Kelime sayısı | Olası kombinasyon | Entropi | Ortalama kırılma süresi (saniyede 10 milyar tahmin) |
|---|---|---|---|
| 4 kelime | ≈ 2,2 × 1013 | ≈ 44 bit | yaklaşık 18 dakika |
| 5 kelime | ≈ 4,7 × 1016 | ≈ 55 bit | yaklaşık 28 gün |
| 6 kelime | ≈ 1,0 × 1020 | ≈ 66 bit | yaklaşık 165 yıl |
| 7 kelime | ≈ 2,2 × 1023 | ≈ 78 bit | yüz binlerce yıl |
Aracın varsayılan ayarı (5 kelime, her kelimenin ilk harfi büyük, bir kelimenin sonuna 0-99 arası rakam) yaklaşık 64 bit eder: rakam 100 farklı değer (≈6,6 bit), eklendiği kelimenin yeri de 5 seçenek (≈2,3 bit) ekler. Her kelimenin ilk harfini büyük yazmak ise saldırgan bunu bildiği varsayımıyla güce bir şey katmaz. Önemli hesaplar için 6 kelime iyi bir başlangıç noktasıdır.
Karşılaştırma için: ana sayfadaki şifre üreticinin tüm karakter türleri seçiliyken kullandığı 87 karakterlik havuzla üretilen 12 karakterlik rastgele bir şifre yaklaşık 77 bit, 16 karakterlik bir şifre yaklaşık 103 bit eder. Yani şifre yöneticisinde saklayacağınız şifreler için rastgele karakterler daha güçlüdür; kelime yöntemi, ezberlemeniz gereken birkaç parola için idealdir.
Kelime yöntemini doğru kullanmak için ipuçları
- Kelimeleri kendiniz seçmeyin. "Rastgele" diye seçtiğiniz kelimeler bile sık kullanılan ve birbiriyle bağlantılı kelimeler olur. Gücün kaynağı rastgele seçimdir.
- Cümle kurmayın, şarkı sözü veya atasözü kullanmayın. Bilinen ifadeler, kelime sayısı ne olursa olsun saldırganın listelerinde bulunur.
- Beğenmediğiniz parolayı değiştirmek serbest, ama seçip durmayın. Onlarca kez yenileyip "en hoşa gideni" seçmek rastgeleliği biraz azaltır; birkaç denemede karar verin.
- Türkçe karakter sorununu düşünün. Bazı sistemler ç, ş, ğ harflerini kabul etmez. Araçtaki "Türkçe karakter kullanma" seçeneği bunları c, s, g gibi karşılıklarına çevirir; kelime listesi, çevrilince iki kelime aynı olmayacak şekilde hazırlandığından parolanın gücü düşmez.
- Her yerde aynı parolayı kullanmayın. En güçlü parola bile bir sitede sızarsa diğer hesaplarınızı tehlikeye atar.
Şifre nasıl hatırlanır? Parolayı kalıcı olarak ezberleme
Rastgele kelimeler ilk bakışta akılda kalmayacakmış gibi görünebilir, ama birkaç basit teknikle birkaç gün içinde kalıcı hale gelir:
- Bir sahne kurun: Kelimeleri sırasıyla birbirine bağlayan tuhaf, görsel bir hikâye düşünün. "Kiraz-Pusula-Bulut-Tava-Merdiven" için pusulası olan bir kirazın bulutların üstünde bir tavaya düştüğünü ve tavanın merdivenden yuvarlandığını hayal edin. Görüntü ne kadar absürt olursa o kadar iyi hatırlanır.
- İlk günlerde sık yazın: Parolayı ilk hafta her gün birkaç kez yazmak, onu parmaklarınızın alışkanlığı haline getirir. Şifre yöneticisinin ana parolasını otomatik doldurmaya bırakmayın.
- Ek süsleri sabit tutun: Rakam ve sembol eklediyseniz bunların hangi kelimede durduğunu sahnenize katın (ör. "tavada 42 kiraz").
- Kâğıdı geçici tutun: Ezberleyene kadar kâğıda yazmak sorun değildir, yeter ki kâğıt bilgisayarınızın yanında veya cüzdanınızda değil, evde güvenli bir yerde dursun.
Parolayı unutma ihtimaline karşı, şifre yöneticinizin sunduğu kurtarma seçeneklerini (kurtarma kodu, acil durum erişimi gibi) de kurulum sırasında ayarlayın ve kurtarma kodunu parolanızdan ayrı, güvenli bir yerde saklayın. Ana parolayı unutursanız bazı şifre yöneticilerinde kasanıza bir daha erişemeyebilirsiniz; bu, onları güvenli yapan tasarımın bir sonucudur.
Kelime yönteminin bir avantajı da telefonda yazmanın kolay olmasıdır: sembol klavyesi ile harf klavyesi arasında sürekli geçiş yapmak yerine çoğunlukla harf yazarsınız.
Unutulan şifre nasıl hatırlanır?
En iyi yöntemle bile bir şifreyi unutabilirsiniz. Böyle bir durumda şu sırayı izleyin:
- Kayıtlı mı diye bakın. Şifre, tarayıcınızın veya telefonunuzun şifre yöneticisinde kayıtlı olabilir. Nereye bakacağınızı Google Şifre Yöneticisi, iPhone'da kayıtlı şifreler ve Android'de kayıtlı şifreler yazılarında anlattık.
- Tahminde ısrar etmeyin. Aklınıza gelen birkaç olasılığı deneyebilirsiniz, ama art arda yanlış denemeler bazı hizmetlerde hesabı geçici olarak kilitleyebilir veya ek doğrulama isteyebilir.
- Resmi sıfırlama yolunu kullanın. Giriş ekranındaki "Şifremi unuttum" bağlantısıyla yeni şifre belirleyin. Yeni şifreyi eskisinin küçük bir varyasyonu yapmak yerine baştan üretin ve hemen şifre yöneticinize kaydedin.
- Bir dahaki sefere hazırlıklı olun. Kurtarma e-postanızı ve telefon numaranızı güncel tutun. Şifrenin kendisini ele vermeyen bir ipucu bırakmak isterseniz yöntemini şifre ipucu nasıl yazılır yazısında bulabilirsiniz.
Pratik çözüm: Tek güçlü parola + şifre yöneticisi
Onlarca hesabınız için ayrı ayrı akılda kalır parolalar ezberlemek gerçekçi değildir. Bu yüzden güvenlik uzmanlarının çoğunun önerdiği düzen şudur:
- Akılda kalır parola üreticisiyle 6 kelimelik bir parola üretin ve bunu yalnızca şifre yöneticinizin ana parolası olarak kullanın.
- Diğer bütün hesaplarınız için şifre yöneticisinin ya da ana sayfadaki şifre üreticinin ürettiği 16 karakterlik rastgele şifreler kullanın. Bunları ezberlemenize gerek yoktur.
- Ana parolayı birkaç gün boyunca her gün yazarak pekiştirin; ilk günlerde bir kâğıda yazıp güvenli bir yerde saklayabilir, ezberleyince imha edebilirsiniz.
- Şifre yöneticisi hesabınızda ve e-posta hesabınızda mutlaka iki adımlı doğrulamayı açın.
Şifre yöneticilerinin nasıl çalıştığını ve nasıl seçileceğini Şifre Yönetimi yazısında anlatıyoruz. Bu düzende ezberlemeniz gereken tek şey güçlü bir parola olur; geri kalanını araçlar halleder.
Sık sorulan sorular
Akılda kalır bir parola kaç kelime olmalı?
Kelimeler gerçekten rastgele seçildiyse, önemli hesaplar ve şifre yöneticisinin ana parolası için en az 5, tercihen 6 kelime öneriyoruz. Akılda kalır parola üreticimizin 2.162 kelimelik listesinde her kelime yaklaşık 11 bit ekler; 6 kelime yaklaşık 66 bit eder.
Kelimeleri kendim seçsem olmaz mı?
Önerilmez. İnsanlar kelime seçerken sık kullanılan, birbiriyle anlam bağı olan veya cümle kuran kelimelere yönelir; bu da tahmin edilmeyi kolaylaştırır. Kelime yönteminin gücü, kelimelerin rastgele seçilmesinden gelir. Bu işi bir araca bırakın.
Unuttuğum şifreyi nasıl hatırlayabilirim?
Önce tarayıcınızın veya telefonunuzun şifre yöneticisine bakın; şifre orada kayıtlı olabilir. Kayıtlı değilse tahmin ederek çok sayıda deneme yapmak yerine hizmetin resmi "Şifremi unuttum" seçeneğiyle yeni şifre belirleyin, çünkü art arda yanlış denemeler bazı hizmetlerde hesabı geçici olarak kilitleyebilir.
Şifremin sonuna yıl ve ünlem eklemek onu güçlendirir mi?
Çok az. "Ahmet1990!" gibi eklemeler saldırganların deneme programlarının ilk denediği kalıplardır. Şifreyi güçlendiren şey tahmin edilebilir süsler değil, rastgelelik ve uzunluktur.
Bütün şifrelerimi ezberlemem gerekiyor mu?
Hayır. Pratik çözüm, yalnızca bir veya iki güçlü parolayı (şifre yöneticisinin ana parolası ve gerekirse bilgisayar girişi) ezberlemek, diğer tüm hesaplar için şifre yöneticisinin ürettiği ve sakladığı rastgele şifreleri kullanmaktır.