Şifre Ne Kadar Sürede Kırılır? Uzunluğa Göre Süre Tablosu

Süreler hangi varsayıma dayanıyor?

Bu sayfadaki tüm süreler, şifre üreticimizin gösterdiği tahmini kırılma süresiyle aynı formülle hesaplandı:

• Saldırı hızı: saniyede 10 milyar tahmin. Bu, bir sitenin şifre veritabanının çalındığı ve şifrelerin hızlı bir özet (hash) algoritmasıyla saklandığı, saldırganın güçlü ekran kartları kullandığı kötü senaryodur.
• Ortalama süre. Saldırgan doğru şifreyi ortalama olarak olasılıkların yarısını denediğinde bulur. En kötü durumda süre iki katına çıkar, şanslı bir saldırgan ise çok daha erken bulabilir.
• Rastgele şifre. Her karakterin seçilen havuzdan rastgele seçildiği varsayılır. İnsanların seçtiği, kelime ve tarih içeren şifreler tabloda gösterilenden çok daha kısa sürede bulunur.

Birimler saniye, dakika, saat, gün ve yıl olarak ilerler; yıldan sonra bin, milyon, milyar ve trilyon yıl gelir. Trilyonlarca yılı aşan süreler "binlerce trilyon yıldan uzun" diye gösterilir. Karşılaştırma için: evrenin yaşı yaklaşık 13,8 milyar yıl olarak kabul edilir.

Uzunluğa göre şifre kırılma süresi tablosu

Parantez içindeki sayı karakter havuzudur. 87, üreticimizde büyük harf, küçük harf, rakam ve 25 sembolün tamamı seçildiğinde oluşan havuzdur. 81 ise varsayılan olarak açık gelen "Benzerleri çıkar" seçeneğiyle I, l, 1, O, 0 ve o karakterleri çıkarıldığında kalan havuzdur.

Tablodan okunacak en önemli ders şudur: karakter türü eklemek süreyi uzatır, ama uzunluk eklemek çok daha fazla uzatır. Yalnızca harf ve rakamdan oluşan 14 karakterli bir şifre (20 milyon yıl), tüm türleri kullanan 12 karakterli bir şifreden (298 bin yıl) çok daha dayanıklıdır. Hangi hesap için kaç karakter seçmeniz gerektiğini şifre kaç karakter olmalı yazımızda ayrıca ele aldık.

Şifre kaç günde kırılır? Saldırı türü her şeyi değiştirir

Yukarıdaki tablo en kötü senaryoyu gösterir. Aynı şifrenin dayanma süresi, saldırının nerede ve nasıl yapıldığına göre binlerce kat değişir. Şifre güç testimiz bu yüzden dört senaryo için ayrı süre gösterir. Aynı varsayımlarla birkaç örnek:

Gerçek hayatta deneme sınırı olan siteler çoğu zaman saatte 100 denemeye bile izin vermez; birkaç yanlış denemeden sonra hesabı kilitler veya ek doğrulama ister. Bu yüzden kart ve telefon PIN'leri kısa olmalarına rağmen iş görür. Ama siz bir sitenin şifreleri nasıl sakladığını ve ne zaman sızıntı yaşayacağını bilemezsiniz. Şifrenizi en alttaki satıra, yani hızlı özetle saklanmış ve çalınmış bir veritabanına göre seçmek en güvenli yaklaşımdır. Saldırı türlerini savunma açısından şifre kırma yöntemleri yazımızda anlattık.

Şifre kırılma süresi hesaplama

Süreyi kendi varsayımlarınızla hesaplamak için dört adım yeterlidir:

1. Olası şifre sayısı: karakter havuzu^uzunluk. Örneğin 81¹² ≈ 7,98 × 10²². Bu sayıların nasıl bulunduğunu kaç farklı şifre oluşturulabilir yazımızda örneklerle gösterdik.
2. Ortalama deneme sayısı: bu sayının yarısı.
3. Süre (saniye): ortalama deneme sayısı ÷ saniyedeki tahmin sayısı. 10 milyar tahminle yaklaşık 3,99 × 10¹² saniye.
4. Birim çevirme: gün için 86.400'e, yıl için 31.536.000'e (365 gün) bölün. Sonuç: yaklaşık 126 bin yıl.

Aynı hesabı bit cinsinden de yapabilirsiniz: şifrenin entropisi E bit ise ortalama deneme sayısı 2^E−1'dir. Entropinin ne olduğunu ve nasıl hesaplandığını şifre entropisi nedir yazımızda anlattık.

Excel ile şifre kırılma süresi tablosu

Kendi tablonuzu oluşturmak isterseniz bir çalışma sayfasına şu sütunları açın: A sütununa uzunluğu, B sütununa karakter havuzunu, C sütununa saniyedeki tahmin sayısını yazın. D2 hücresine aşağıdaki formülü girip aşağı doğru kopyalayın; sonuç yıl cinsindendir:

=B2^A2/2/C2/31536000

Örneğin A2'ye 12, B2'ye 81, C2'ye 10000000000 (10 milyar) yazdığınızda D2 yaklaşık 126.469 gösterir. Formül yalnızca üs alma (^) ve bölme işlemleri kullandığı için Türkçe ve İngilizce Excel'de aynı biçimde çalışır. Çok büyük sonuçları okumak için hücre biçimini bilimsel gösterime çevirebilirsiniz. Gün cinsinden sonuç için 31536000 yerine 86400 yazın.

Tablodaki süreler neden sizin şifreniz için geçerli olmayabilir?

• Kelime ve tarih içeren şifreler: "Ankara2026!" 11 karakterdir, ama saldırganlar şehir adlarını ve yılları ilk sırada dener. Böyle bir şifre tablodaki 10-12 karakter satırlarında değil, saniyeler içinde düşen satırlarda yer alır. Şifrenizin kalıp içerip içermediğini şifre güç testimizde görebilirsiniz.
• Daha önce sızmış şifreler: Bir sızıntıda görülmüş şifre, uzunluğu ne olursa olsun saldırganın listesindedir ve ilk denemelerde bulunur.
• Donanım gelişir: Bugün yüz yıl süren bir saldırı, daha hızlı donanımla kısalabilir. Bu yüzden sınırda kalan uzunluklar yerine rahat bir pay bırakın.
• Kırma dışındaki saldırılar: Oltalama, zararlı yazılım veya aynı şifrenin başka sitede sızması, kırılma süresinden bağımsız olarak şifreyi doğrudan ele geçirir.

Pratik sonuç

Tablo tek bir cümlede özetlenebilir: rastgele üretilmiş ve en az 12, önemli hesaplarda 16 karakterli bir şifre, bilinen hiçbir kırma saldırısının makul sürede bulamayacağı kadar dayanıklıdır. Bunun için şifreyi kendiniz uydurmak yerine bir üreticiye bırakın ve her hesaba ayrı şifre verin. Ezberlemeniz gereken birkaç şifre için kelimelerden oluşan uzun parolalar iyi bir seçenektir; beş rastgele kelimeye bir sayı eklenmiş bir parola bile aynı varsayımla ortalama 37 yıl dayanır, altı kelimede bu süre on binlerce yıla çıkar.