Brute Force Nedir? Şifre Kırma Yöntemleri ve Korunma

Brute force nedir?

Brute force nedir sorusunun en kısa cevabı: şifreyi tahmin etmek yerine denemek. Saldırgan bir program çalıştırır ve program "aaaa", "aaab", "aaac" diye bütün olasılıkları sırayla dener. Doğru şifreye er ya da geç ulaşılır; asıl soru bunun ne kadar süreceğidir.

Türkçede "kaba kuvvet saldırısı" olarak da geçen brute force attack, şifre güvenliğinin temel ölçüsünü de belirler. Güçlü bir şifre, kaba kuvvetle denenmesi pratikte imkânsız olacak kadar çok olasılık arasından rastgele seçilmiş şifredir. Bu yazı saldırıların nasıl çalıştığını savunma amacıyla ve genel hatlarıyla anlatır; hiçbir araç veya kırma tarifi içermez.

Şifre kırma yöntemleri nelerdir?

Güvenlik kaynaklarında "kaba kuvvet" başlığı altında birkaç farklı teknik toplanır. MITRE ATT&CK bilgi tabanı bunları şifre tahmini, şifre kırma, parola püskürtme ve kimlik bilgisi doldurma olarak dört alt başlıkta sınıflandırır. Uygulamada sık karşılaşılan yöntemler şunlardır:

• Saf kaba kuvvet: Belirli bir uzunluktaki bütün karakter kombinasyonlarını dener. Kısa şifrelerde hızlı sonuç verir, şifre uzadıkça umutsuzlaşır.
• Sözlük saldırısı: Yalnızca olası adayları dener: gerçek kelimeler, isimler, takım adları, tarihler, "123456" gibi yaygın şifreler ve bunların "Kartal2025!" gibi bilinen varyasyonları. İnsan eliyle seçilmiş şifrelere karşı saf kaba kuvvetten çok daha etkilidir.
• Kimlik bilgisi doldurma (credential stuffing): Bir sitede sızmış e-posta ve şifre çiftleri başka sitelerde denenir. Burada tahmin yoktur; saldırgan şifreyi zaten bilir ve yalnızca başka nerede kullandığınızı arar.
• Parola püskürtme (password spraying): Tek hesapta çok sayıda şifre denemek yerine, birçok hesapta birkaç yaygın şifre denenir. Microsoft'un Entra belgelerine göre bu saldırılar her hesaba yalnızca birkaç deneme yaptığı için hesap kilitleme gibi eşiklere takılmamayı hedefler.
• Oltalama ve zararlı yazılım: Kırma değil çalma yöntemidir ama sonuç aynıdır. Sahte bir giriş sayfası veya tuş kaydedici, en uzun şifreyi bile olduğu gibi ele geçirir. Ayrıntılar oltalama ve sosyal mühendislik yazısında.
• Veri sızıntısı: Bir sitenin veritabanı çalındığında şifreler ya açık metin olarak ya da özet (hash) biçiminde saldırganın eline geçer. Özetlenmiş şifreler de aşağıda anlatılan çevrimdışı saldırıyla çözülmeye çalışılır.

Çevrimiçi ve çevrimdışı saldırı: fark neden önemli?

Çevrimiçi saldırıda saldırgan gerçek giriş ekranına tahmin gönderir. Her deneme sunucudan geçtiği için site bunu sınırlayabilir. NIST'in dijital kimlik rehberi SP 800-63B-4, doğrulayıcıların başarısız denemeleri etkili biçimde sınırlaması gerektiğini söyler; ek bir kural yoksa tek bir hesaptaki art arda başarısız deneme sayısı 100'ü geçmemelidir. Bu sınır varken yalnızca en zayıf şifreler tahmin edilebilir.

Çevrimdışı saldırıda ise saldırgan, bir sızıntıda ele geçirdiği şifre özetlerini kendi bilgisayarında dener. Ortada sunucu olmadığı için deneme sınırı, kilitleme veya uyarı da yoktur; hız yalnızca saldırganın donanımına ve özetleme algoritmasının yavaşlığına bağlıdır. Microsoft'un hesap kilitleme ayarına ilişkin belgesi de bu ayarın çevrimdışı şifre saldırılarına karşı koruma sağlamadığını açıkça belirtir.

Bu yüzden şifrenizin yalnızca giriş ekranına karşı değil, bir gün sızabilecek bir veritabanına karşı da dayanıklı olması gerekir. Uzunluk ve rastgelelik tam da bu senaryoda işe yarar.

Uzunluk neden karmaşıklıktan önemli?

Kaba kuvvetin karşılaştığı kombinasyon sayısı, karakter setinin büyüklüğünün şifre uzunluğu kadar kuvvetidir. Aşağıdaki tablo, rastgele seçilmiş şifreler için olası kombinasyon sayılarını gösteriyor (basit matematik; belirli bir kırma süresi iddiası değildir):

Tablodaki en önemli ders şu: 12 küçük harften oluşan rastgele bir şifre, her türden karakter içeren 8 karakterli bir şifreden daha fazla olasılığa sahiptir. Bu nedenle NIST, tek başına kullanılan şifreler için en az 15 karakteri zorunlu tutar ve sitelerin "büyük harf, rakam, sembol şart" gibi karışım kuralları koymasını yasaklar. Hangi uzunluğu seçmeniz gerektiğini şifre kaç karakter olmalı yazısında karşılaştırdık.

Tablo yalnızca gerçekten rastgele şifreler için geçerlidir. "Galatasaray1905!" 16 karakterdir ama sözlük saldırısının ilk denediği adaylardandır. İnsan eliyle "karmaşık" yapılan şifreler öngörülebilir kalıplar izler.

Yavaş hash (bcrypt, Argon2) neden işe yarar?

İyi tasarlanmış bir site şifrenizi açık metin olarak saklamaz; şifreden türetilen bir özeti saklar. Siz giriş yaptığınızda yazdığınız şifrenin özeti hesaplanıp kayıtlı özetle karşılaştırılır. Sızıntıda çalınan da bu özetlerdir.

Burada algoritma seçimi belirleyicidir. OWASP'ın şifre saklama rehberine göre SHA-256 gibi hızlı özet algoritmaları şifre saklamaya uygun değildir, çünkü saldırgana çok hızlı deneme yapma imkânı verir. Şifreler için bilerek yavaş ve bellek isteyen algoritmalar tasarlanmıştır: OWASP'ın öncelik sırası Argon2id, ardından scrypt, FIPS uyumu gerekiyorsa PBKDF2 ve eski sistemlerde bcrypt şeklindedir. Her tahmin pahalı olduğunda çevrimdışı saldırının hızı büyük ölçüde düşer.

İkinci önlem tuz (salt) kullanmaktır: her şifreye özel rastgele bir değer eklenir. NIST en az 32 bitlik tuz ister. Tuz sayesinde önceden hesaplanmış tablolar (rainbow table) işe yaramaz ve saldırgan her şifre için ayrı uğraşmak zorunda kalır. MD5 ve SHA-1 gibi algoritmalar şifre saklamak için kullanılmamalıdır. Geliştiriciyseniz ayrıntılar için şifreler nasıl saklanmalı yazısına bakabilirsiniz.

Brute force saldırısından nasıl korunulur?

Kullanıcı olarak

• Uzun ve rastgele şifre: En az 15, mümkünse 16 veya daha fazla karakter. Şifre üreticimiz tarayıcınızda çalışır ve ürettiği şifreyi hiçbir yere göndermez.
• Her hesaba ayrı şifre: Credential stuffing'in tek kesin panzehiri budur. Nedenini aynı şifreyi her yerde kullanmak yazısında anlattık.
• Şifre yöneticisi: Onlarca benzersiz şifreyi ezberlemek mümkün değildir. Şifre yöneticisi ayrıca sahte sitelerde şifreyi otomatik doldurmayarak oltalamaya karşı da bir işaret verir.
• İki adımlı doğrulama: Şifre tahmin edilse veya sızsa bile ikinci adım olmadan giriş yapılamaz. Mümkünse SMS yerine uygulama veya güvenlik anahtarı seçin; bkz. iki faktörlü doğrulama.
• Sızıntı uyarılarını ciddiye alın: Tarayıcınız veya şifre yöneticiniz bir şifrenin sızıntıda göründüğünü söylüyorsa o şifreyi hemen değiştirin.

Site veya sistem yöneticisi olarak

• Başarısız giriş denemelerini sınırlayın; hesabın saldırganlarca kasıtlı kilitlenmesine karşı da bir plan yapın.
• Yeni şifreleri yaygın, tahmin edilebilir ve sızmış şifre listeleriyle karşılaştırıp reddedin (NIST bunu zorunlu tutar).
• Şifreleri tuzlu ve yavaş bir algoritmayla (Argon2id, scrypt, bcrypt veya PBKDF2) saklayın.
• Şifre yöneticilerinin ve yapıştırma işlevinin çalışmasına izin verin; uzun şifreleri engelleyen üst sınırlar koymayın (NIST en az 64 karaktere izin verilmesini önerir).
• Çok faktörlü kimlik doğrulamayı zorunlu kılın. Kurumlar için ayrıntılı öneriler şirket şifre politikası yazısında.

Şifrenizin ne kadar dayanıklı olduğunu nasıl anlarsınız?

Bir şifrenin gücünü sezgiyle değerlendirmek yanıltıcıdır; özel karakter eklemek insanı rahatlatır ama şifre bir kalıba uyuyorsa fayda sağlamaz. Şifre güç testi aracımız tahmini kırma süresini ve zayıf noktaları tarayıcınızda, şifreyi hiçbir yere göndermeden gösterir. Gerçek şifrenizi yazmak istemiyorsanız aynı yapıda bir örnekle deneyebilirsiniz.

Kaynaklar (İngilizce): NIST SP 800-63B-4, MITRE ATT&CK T1110, OWASP Password Storage Cheat Sheet, Microsoft Learn: Entra Password Protection.