Alfasayısal Şifre Nedir? Örnekler

Alfasayısal (alfanümerik) ne demek?

"Alfasayısal" (İngilizcesiyle alphanumeric, Türkçede alfanümerik olarak da kullanılır) kelimesi "alfabe" ve "sayı" sözcüklerinin birleşimidir. Bilgisayar dünyasında harflerden ve rakamlardan oluşan karakter kümesini anlatır. Şifre kurallarında harf genellikle İngilizce alfabedeki 26 harf demektir; büyük ve küçük harfler ayrı sayıldığı için toplam havuz 26 + 26 + 10 = 62 karakter olur.

Türkçe harfler (ç, ğ, ı, ö, ş, ü) dil açısından elbette harftir, ama çoğu şifre sisteminde "alfasayısal" tanımına girmez ve bazı sitelerde reddedilir. Nedenlerini şifrede özel karakter nedir yazımızda anlattık.

Alfasayısal karakter ve alfasayısal olmayan karakter

Alfasayısal karakter, tek bir harf ya da rakamdır: a, K, 7 gibi. Alfasayısal olmayan karakter ise bunların dışında kalan her işarettir: ! @ # $ % - _ . gibi semboller, noktalama işaretleri ve boşluk. Şifre kurallarında bunlara "özel karakter" denir. Yani bir site "alfasayısal olmayan en az bir karakter" istiyorsa şifrenize bir sembol eklemeniz gerekir; "yalnızca alfasayısal" diyorsa sembol kullanamazsınız.

Siteler alfasayısal şifreyi neden ister?

"Şifreniz alfasayısal olmalıdır" uyarısı sitelerde iki farklı anlamda kullanılır:

• Harf ve rakam birlikte olmalı: Site, şifrenin en az bir harf ve en az bir rakam içermesini ister. Amaç, yalnızca kelimeden ya da yalnızca sayıdan oluşan şifreleri engellemektir. Bu durumda sembol de kullanabilirsiniz.
• Yalnızca harf ve rakam olmalı: Site sembol kabul etmez. Bu genellikle eski yazılımlarda, bazı cihaz ve kurum sistemlerinde ya da şifrenin telefon tuş takımı veya uzaktan kumanda gibi sınırlı bir klavyeyle girilmesi gereken durumlarda görülür.

Hangisinin kastedildiğini hata mesajından veya kayıt sayfasındaki şifre kurallarından anlayabilirsiniz. Her iki kurala da uyan en pratik çözüm, harf ve rakamdan oluşan uzun ve rastgele bir şifredir.

Siteden bağımsız olarak alfasayısal şifre tercih edebileceğiniz durumlar da vardır: şifreyi telefonda sık yazıyorsanız (sembol için klavye değiştirmek gerekmez), birine sesli okumanız gerekiyorsa ya da televizyon gibi zor klavyeli bir cihaza girecekseniz. Bu durumlarda uzunluğu artırmak, sembol kullanmamanın açığını kapatır.

Alfasayısal (alfanümerik) şifre örnekleri

Aşağıdaki örnekler yalnızca yapıyı göstermek için bu yazı için üretildi. Yayımlanmış hiçbir örneği, bu sayfadakiler de dahil, kendi şifreniz olarak kullanmayın; yayımlanan bir şifre artık gizli değildir ve tahmin listelerine eklenebilir.

Her açılışta sizin için yeniden üretilen alfasayısal örnekleri şifre örnekleri sayfasında bulabilirsiniz.

Alfasayısal şifre ne kadar güçlü?

Rastgele bir şifrenin olası kombinasyon sayısı havuz^uzunluk formülüyle hesaplanır. Alfasayısal şifrede havuz 62, klavyedeki tüm yazdırılabilir karakterleri (harf, rakam ve 32 sembol) kullanan şifrede 94'tür. Aşağıdaki tablo, rastgele üretilmiş şifrelerde bu iki havuzu karşılaştırır. Süreler, çalınmış bir şifre veritabanına saniyede 10 milyar tahminle yapılan saldırıda şifrenin ortalama ne kadar sürede bulunacağını gösterir.

Hesaplar yalnızca her karakteri rastgele seçilmiş şifreler için geçerlidir. İnsan tarafından seçilen, kelime veya tarih içeren şifreler aynı uzunlukta olsalar bile çok daha kısa sürede bulunabilir. Şifreleri yavaş algoritmalarla (bcrypt, Argon2) saklayan sitelerde saldırı çok daha yavaş ilerler.

Tabloda 8 ve 10 karakterli (10 haneli) alfasayısal şifrelerin neden önerilmediği açıkça görülüyor: çalınmış bir veritabanına yapılan hızlı saldırıda ortalama birkaç saat ile bir iki yıl arasında dayanırlar. 12 karakterde süre binlerce yıla çıkar; 14 karakter ve üstünde ise pratikte kırılamaz hâle gelir.

Tablodan çıkan pratik sonuç şudur: aynı uzunlukta sembollü şifre daha güçlüdür, ama alfasayısal şifreyi uzatarak aradaki farkı kapatabilirsiniz.

• 14 karakterli alfasayısal şifre (~83,4 bit), 12 karakterli tüm karakterli şifreyi (~78,7 bit) geçer.
• 18 karakterli alfasayısal şifre (~107,2 bit), 16 karakterli tüm karakterli şifreyi (~104,9 bit) geçer.

Yani sembol kullanamıyorsanız şifreyi yaklaşık 2 karakter uzatmanız yeterlidir. Uzunluk hesabının tamamı şifre kaç karakter olmalı yazımızda.

Telefonda daha kolay yazmak için yalnızca küçük harf ve rakam (36 karakter) kullanırsanız uzunluğu biraz daha artırın: 16 karakterde yaklaşık 82,7 bit elde edersiniz; bu, 12 karakterli tüm karakterli şifreden fazladır.

Alfasayısal şifre, sayısal şifre ve PIN farkı

Alfasayısal şifre ile yalnızca rakamdan oluşan sayısal şifre sık karıştırılır. Sayısal şifrede havuz yalnızca 10'dur: 6 haneli bir sayısal şifrenin 1 milyon, 8 haneli bir şifrenin 100 milyon olasılığı vardır. Bu sayılar hızlı bir saldırıda bir saniyeden kısa sürede tükenir. Sayısal şifreler bu yüzden yalnızca yanlış deneme sayısının sınırlı olduğu yerlerde anlamlıdır: banka kartı PIN'i, telefon ekran kilidi, bazı mobil uygulamaların giriş kodu. Bu tür kodlar için tahmin edilmesi kolay kalıpları (1234, 1111, doğum yılı) eleyen PIN üreticimizi kullanabilirsiniz.

Bir site ya da uygulama sizden "şifre" isterken yalnızca rakam kabul ediyorsa, izin verilen en uzun rastgele sayıyı seçin ve hesapta ek bir doğrulama katmanı varsa açın.

Alfasayısal şifrelerde sık yapılan hatalar

• Kelime + sayı kalıbı: "Kelime + yıl" veya "isim + plaka" biçimindeki şifreler alfasayısal kuralına uyar ama tahmin listelerinde ilk sıralardadır.
• Rakamı sona eklemek: Site "en az bir rakam" istediğinde çoğu kişi sona "1" ekler. Saldırı araçları bu alışkanlığı bilir ve önce bu varyasyonları dener.
• Harf yerine rakam: "e" yerine "3", "a" yerine "4" yazmak şifreyi güçlendirmez; bu dönüşümler de otomatik denenir.
• Kısa tutmak: Sembol kullanmadığınız hâlde 8-10 karakterde kalmak, şifreyi hızlı saldırılara açık bırakır.
• Aynı şifreyi başka hesaplarda kullanmak: Rastgele ve uzun bile olsa, bir sitede sızan şifre diğer hesaplarınızı da açar.

Şifre ne kadar güçlü olursa olsun, önemli hesaplarda iki adımlı doğrulamayı açmak ikinci bir güvenlik katmanı sağlar.

Alfasayısal şifre nasıl oluşturulur?

1. Şifre üreticiyi açın ve "Sembol" kutusunun işaretini kaldırın.
2. Uzunluğu en az 14'e, önemli hesaplar için 16 veya daha fazlasına ayarlayın.
3. Şifreyi bakarak yazmanız gerekecekse "Benzerleri çıkar" seçeneğini açık bırakın. Bu seçenek 0/O/o ve 1/l/I gibi karışan karakterleri çıkarır; havuz 62'den 56'ya iner. Bu küçük kaybı telafi etmek için bir karakter daha ekleyebilirsiniz.
4. Üretilen şifreyi kopyalayıp doğrudan şifre yöneticinize kaydedin.

Üretici seçtiğiniz her türden (büyük harf, küçük harf, rakam) en az bir karakter koyar; bu sayede "en az bir rakam ve bir büyük harf" isteyen sitelerin kurallarına da uyar. Şifre tarayıcınızda, kriptografik olarak güvenli rastgele sayı kaynağıyla üretilir ve sunucumuza gönderilmez. Güçlü şifrenin diğer kuralları için güçlü şifre nasıl oluşturulur rehberimize bakın.