Şifre Kaç Karakter Olmalı? Şifre Kaç Yılda Kırılır? (Süre Tablosu)

Şifre uzunluğu gücü nasıl belirler?

Rastgele bir şifrenin kaç farklı olasılık içerdiğini bulmak için tek bir formül yeterlidir: karakter havuzu^uzunluk. Havuz, her karakterin alabileceği değer sayısıdır. Yalnızca küçük harf kullanıyorsanız her karakter 26 değerden birini alır; 8 karakterli bir şifrede 26⁸, yani yaklaşık 209 milyar olasılık vardır.

Formülün önemli sonucu şudur: havuzu büyütmek tabanı, uzunluğu artırmak üssü büyütür. Üs büyüdükçe sonuç çok daha hızlı artar; bu yüzden şifreye bir karakter eklemek, bir sembol türü eklemekten genellikle daha etkilidir. Güç çoğu zaman bit (entropi) olarak da ifade edilir: uzunluk × log₂(havuz). Her ek bit olasılık sayısını ikiye katlar; 60 bitin altı hızlı saldırılara karşı zayıf, 80 bit ve üstü pratikte kırılamaz kabul edilebilir. Ayrıntılar şifre entropisi nedir yazımızda.

Karakter havuzları

94 sayısı, İngilizce klavyede boşluk dışındaki tüm yazdırılabilir ASCII karakterlerden gelir: 26 küçük harf, 26 büyük harf, 10 rakam ve 32 sembol. Şifre üreticimiz bu 32 sembolün 25'ini kullanır; tırnak işaretleri, ters bölü, ters tırnak, dikey çizgi ve < > işaretlerini formlarda ve komut satırında sorun çıkarmasın diye dışarıda bırakır. Varsayılan olarak açık olan “Benzerleri çıkar” seçeneği I, l, 1, O, 0 ve o karakterlerini de çıkardığında havuz 81'e iner. Hangi sembollerin neden sorun çıkardığını şifrede özel karakter nedir yazımızda anlattık.

Şifre kaç yılda kırılır? Uzunluğa göre süre tablosu

Aşağıdaki süreler, şifre üreticimizin gösterdiği tahmini kırılma süresiyle aynı varsayıma dayanır: saldırgan bir sitenin şifre veritabanını çalmıştır ve şifre özetleri (hash) üzerinde, güçlü ekran kartlarıyla saniyede 10 milyar tahmin yapar. Tablo ortalama süreyi gösterir; şifre, olasılıkların ortalama yarısı denendiğinde bulunur, en kötü durum bunun iki katıdır. Karşılaştırma için: evrenin yaşı yaklaşık 13,8 milyar yıldır.

Bu süreler yalnızca her karakteri rastgele seçilmiş şifreler için geçerlidir. “Ankara2026!” gibi insan tarafından seçilmiş bir şifre, 11 karakter olsa da sözlük ve kalıp saldırılarıyla saniyeler içinde bulunabilir. Daha önce bir sızıntıda görülmüş şifreler de uzunluğu ne olursa olsun saldırganın listesindedir.

Tablodaki en önemli sıçrama 8'den 12 karaktere geçiştir: tüm türlerle üretilmiş bir şifrede ortalama süre birkaç günden yüz binlerce yıla çıkar. Yalnızca harf ve rakamdan oluşan 14 karakterli bir şifre (20 milyon yıl), tüm türleri kullanan 12 karakterli bir şifreden (298 bin yıl) çok daha dayanıklıdır; 16 karakterde ise hangi havuzu seçtiğiniz pratikte önemini yitirir.

Saldırı türü süreyi binlerce kat değiştirir

Yukarıdaki tablo en kötü senaryoyu gösterir. Sitenin giriş ekranında şifre denemek yavaştır: birkaç yanlış denemeden sonra hesap kilitlenir veya ek doğrulama istenir. Asıl tehlike, bir sitenin veritabanı çalındığında ortaya çıkar; saldırgan şifre özetlerini kendi bilgisayarında, deneme sınırı olmadan dener. Şifre güç testimiz bu yüzden dört senaryo için ayrı süre gösterir:

Kart ve telefon PIN'leri bu yüzden kısa olmalarına rağmen iş görür: deneme sınırı vardır. Ama bir sitenin şifreleri nasıl sakladığını ve ne zaman sızıntı yaşayacağını bilemezsiniz; şifrenizi en alttaki satıra göre seçmek en güvenli yaklaşımdır. Saldırı türlerini brute force ve şifre kırma yöntemleri yazımızda anlattık.

Uzunluk mu, sembol mü?

Aynı gücü iki yoldan elde edebilirsiniz: havuzu büyüterek ya da şifreyi uzatarak. 94 karakterlik havuzla 12 karakter yaklaşık 78,7 bit; yalnızca harf ve rakamla (62) 14 karakter ise yaklaşık 83,4 bit eder. Yani sembol kullanmayan ama iki karakter daha uzun bir şifre, tüm sembolleri kullanan şifreyi geçer. Bu, sembol kabul etmeyen sitelerde işinize yarar. Sembollerin faydası ise aynı uzunlukta daha fazla güç sağlaması ve “en az bir sembol” isteyen sitelerin kuralına uymasıdır.

“En az 8 karakter” ne demek?

Kayıt formlarındaki “şifreniz en az 8 karakter olmalıdır” uyarısı, sitenin kabul ettiği en kısa şifreyi belirtir; harf, rakam, sembol ve site izin veriyorsa boşluk dahil her işaret bir karakter sayılır. Yukarıdaki tablolarda görüldüğü gibi 8 karakter, çalınmış bir veritabanına yapılan hızlı saldırıda güvenli bir uzunluk değildir. Uyarıya çoğu zaman başka koşullar da eklenir:

• “Büyük/küçük harfe duyarlı”: “A” ile “a” farklı karakterlerdir; Caps Lock açıkken yazılan şifre tutmaz.
• “En az bir büyük harf, bir küçük harf ve bir rakam”: Bu üç türden en az birer karakter bulunmalıdır; sembol de isteniyorsa özel karakter ekleyin.
• “En az 8 karakter ve içinde 1 harf”: Şifre yalnızca rakamdan oluşamaz.

Bu koşulların hepsini şifre üreticimizde tüm karakter türlerini açık bırakıp uzunluğu 12–16 karaktere ayarlayarak tek seferde karşılayabilirsiniz; üretici seçtiğiniz her türden en az bir karakter koyar. 8, 10 ve 12 karakterli hazır örnekler şifre örnekleri sayfasında.

Hangi site kaç karakter istiyor?

Kurallar zamanla değişebileceği için güncel koşulu şifre belirleme ekranında kontrol edin ve alt sınırda kalmak yerine aşağıdaki önerilere göre uzunluk seçin.

Hangi hesap için kaç karakter?

Bazı siteler hâlâ azami uzunluk sınırı koyar; fazlasını reddeden ya da sessizce kesen sistemler görülebilir. Böyle bir sitede izin verilen en uzun rastgele şifreyi kullanın ve kaydettikten sonra çıkış yapıp yeniden girerek şifrenin kesilmeden kabul edildiğini kontrol edin. NIST'in SP 800-63B rehberinin 2025 sürümü (Rev. 4) de uzunluğu öne çıkarıyor: tek başına giriş yöntemi olarak kullanılan şifreler için en az 15 karakteri zorunlu tutuyor.

Kırılma süresini kendiniz hesaplayın

1. Olası şifre sayısı: karakter havuzu^uzunluk. Örneğin 81¹² ≈ 7,98 × 10²². Örnekler kaç farklı şifre oluşturulabilir yazımızda.
2. Ortalama deneme sayısı: bu sayının yarısı.
3. Süre (saniye): ortalama deneme sayısı ÷ saniyedeki tahmin sayısı. 10 milyar tahminle yaklaşık 3,99 × 10¹² saniye.
4. Birim çevirme: gün için 86.400'e, yıl için 31.536.000'e bölün. Sonuç: yaklaşık 126 bin yıl.

Excel'de kendi tablonuzu oluşturmak için A sütununa uzunluğu, B sütununa karakter havuzunu, C sütununa saniyedeki tahmin sayısını yazın ve D2 hücresine şu formülü girip aşağı kopyalayın (sonuç yıl cinsindendir):

=B2^A2/2/C2/31536000

A2'ye 12, B2'ye 81, C2'ye 10000000000 yazdığınızda D2 yaklaşık 126.469 gösterir. Formül Türkçe ve İngilizce Excel'de aynı çalışır; gün cinsinden sonuç için 31536000 yerine 86400 yazın.

Pratik sonuç

Rastgele üretilmiş ve en az 12, önemli hesaplarda 16 karakterli bir şifre, bilinen hiçbir kırma saldırısının makul sürede bulamayacağı kadar dayanıklıdır. Donanım geliştikçe sınırda kalan uzunluklar kısalabileceği için rahat bir pay bırakın. Uzun şifreleri ezberlemeniz gerekmez: bir şifre yöneticisinde saklayın, ezberlemeniz gereken birkaç parola için akılda kalır parola üreticimizi kullanın. Güçlü şifrenin diğer kuralları için güçlü şifre nasıl oluşturulur rehberimize bakın.