Parola katmanı
İyi bir parolanın üç ölçütü uzunluk, rastgelelik ve tekrarsızlıktır; gözle karmaşık görünmek bunların arasında yer almaz. Bu bölüm dört beş kelimelik dizi yöntemini, parola yöneticisinin işleyişini ve sık tekrarlanan üç hatayı sırayla ele alır.
Üç ölçütün anlamı
İyi bir parolanın üç özelliği vardır ve gözle karmaşık görünmek bunların arasında yer almaz. Parola yeterince uzun olmalı, tahmin edilebilir bir kalıp taşımamalı ve başka hiçbir hesapta kullanılmamalıdır. Ad ile doğum yılını birleştiren diziler karışık dursa da otomatik denemelerde hızla çözülür. Saldırı araçları harf oyunlarıyla ilgilenmez, bilinen kalıpları sırayla dener.
Bir parolanın gücü, onu kuran kişinin ne kadar zeki göründüğüyle değil, saldırganın kaç deneme yapması gerektiğiyle ölçülür. Gözle karmaşık duran kısa bir dizi, sade ama uzun bir diziden çok daha erken çözülür.
Uzunluk ve rastgelelik
Uzunluk, üç ölçüt arasında en çok iş göreni sayılır. Her eklenen karakter deneme sayısını katlayarak büyüttüğü için 16 karakterlik sade bir dizi, 8 karakterlik karmaşık bir dizinin önüne geçer. Rastgelelik ise dizinin içinde ad, tarih, takım veya klavye sırası gibi tanıdık parçaların bulunmamasıdır. İki ölçüt birlikte sağlandığında deneme yoluyla bulunma ihtimali hızla düşer.
Tekrarsızlığın kapsamı
Tekrarsızlık üçüncü ölçüttür ve bir hesabın düşmesi durumunda zararın oraya hapsedilmesini sağlar (aynı parolanın ikinci bir hesapta kullanılması bu duvarı kaldırır). Kapsam yalnızca birebir aynı diziyle sınırlı kalmaz, sonuna rakam eklenerek türetilen kopyalar da tekrar sayılır. Sızmış listeleri işleyen araçlar bu türetmeleri sıradan bir varyasyon olarak dener. Her hesap için ayrı bir dizi kurulması, ölçütün tek pratik karşılığıdır.
Üç ölçüt birbirinin yerine geçmez ve biri diğerinin eksiğini kapatmaz. Çok uzun ama başka bir hesapta da kullanılan bir dizi, tekrarsızlık ölçütünü karşılamadığı için sızıntı senaryosunda koruma üretmez. Aynı biçimde tamamen benzersiz ama 8 karakterlik bir dizi, uzunluk ölçütü karşılanmadığı için otomatik denemelere açık kalır.
Dört beş kelimelik dizi yöntemi
Pratikte en kolay yöntem, birbiriyle ilgisiz dört beş kelimeyi yan yana dizmektir. Ortaya çıkan dizi hatırlaması kolay, tahmin etmesi zor bir yapı taşır ve uzunluk ölçütünü kendiliğinden karşılar. Kelimeler arasında anlamlı bir bağ kurulmaması önemlidir, çünkü anlamlı bir cümle sözlük saldırılarına açık kalır. Dizinin arasına bir rakam veya noktalama işareti eklenmesi, hatırlama yükünü artırmadan çeşitliliği yükseltir.
Kelimelerin seçilmesi
Kelimeler kişisel bilgilerden uzak tutulur, çünkü ad, şehir ve takım adları tahmin listelerinin ilk sıralarında bulunur. Rastgele açılan bir kitaptan seçilen kelimeler veya somut nesne adları bu iş için uygun düşer. Dört kelime alt sınır sayılır, beş kelime ise günlük kullanımda dengeli bir uzunluk üretir. Aynı dizinin küçük değişikliklerle ikinci bir hesapta kullanılması tekrarsızlık ölçütünü bozar.
Dizinin sınanması
Kurulan dizi, hesaba tanımlanmadan önce iki basit sınamadan geçirilir. Birinci sınama dizinin içinde tanıdık bir kalıp bulunup bulunmadığına bakar (ad, doğum yılı, klavye sırası ve tekrar eden karakter grupları bu kapsama girer). İkinci sınama aynı dizinin başka bir hesapta kullanılıp kullanılmadığını sorgular. İki sınamadan da temiz çıkan bir dizi, parola katmanı için yeterli kabul edilir.
Uzunluk eşiği.
16 karakterin altına inen diziler, karmaşık görünseler bile otomatik denemeler karşısında zayıf kalır. Dört kelimelik bir dizi bu eşiği kendiliğinden aşar.
Anlamlı cümle tuzağı.
Kelimeler bir araya geldiğinde anlamlı bir cümle kuruyorsa dizi sözlük saldırılarına açılır ve rastgelelik ölçütü düşer. Kelimeler arasındaki bağın kopuk olması bu tuzağı kapatır.
Parola yöneticisinin işleyişi
Parola yöneticisi tarayıcı içinde veya ayrı bir uygulama olarak çalışır. İki durumda da kayıtlar ana parolayla şifrelenmiş biçimde tutulur.
Parola yöneticisi, bütün parolaları tek bir ana parolanın arkasında saklayan bir kasa gibi çalışır. Her hesap için ayrı ve tamamen rastgele bir dizi kullanılabilir, hiçbirinin ezberlenmesi istenmez. Kayıtlar şifreli tutulduğu için kasanın kendisi ele geçse bile içerik ana parola olmadan okunamaz. Kurulum tek seferliktir ve sonraki girişlerde parola alanı kendiliğinden dolar.
Ana parolanın rolü
Ana parola kasanın tek anahtarı olduğu için diğer bütün dizilerden uzun kurulur. Dört beş kelimelik yöntem burada da geçerlidir, ancak dizinin hiçbir yerde tekrarlanmaması daha kritik duruma gelir. Ana parolanın unutulması durumunda kasa açılamaz, çünkü çoğu yönetici bu diziyi kendi sunucusunda tutmaz. Kâğıda yazılıp fiziksel bir yerde saklanan bir kopya, tek noktada toplanan bu riski dengeler.
Otomatik doldurmanın sessiz uyarısı
Parola yöneticileri kayıtlı adresle açılan sayfayı tanımadığında otomatik doldurma önermez. Bu davranış, sahte giriş ekranlarını fark etmenin en pratik yollarından biridir. Gerçek adreste kendiliğinden dolan alanların sahte bir kopyada boş kalması, gözle yakalanması güç bir farkı görünür kılar. Betrupi giriş ekranında alanlar beklenmedik biçimde boş kalıyorsa adres çubuğunun harf harf okunması yerinde olur.
Sık tekrarlanan üç hata
Parola katmanında görülen hataların büyük bölümü üç başlık altında toplanır. Üçü de kolaylık tercihinden doğar ve düzeltilmesi birkaç dakika sürer. Hataların sırası önem taşımaz, ancak birincisi zincirleme etkisi nedeniyle en ağır sonucu üretir. Aşağıdaki üç başlık, parola katmanının pratikte nerede zayıfladığını gösterir.
Paylaşılan parola
Birinci hata, aynı dizinin e-posta hesabıyla oyun hesabında birlikte kullanılmasıdır. E-posta hesabı bütün kurtarma bağlantılarının geçtiği yer olduğu için orası düştüğünde diğer hesaplar sırayla düşer. Sızmış bir listede görünen tek bir dizi, aynı adresle açılmış onlarca hesabı aynı anda açar. Tekrarsızlık ölçütü tam da bu zincirleme etkiyi kırmak için konur.
Düz metin kayıt
İkinci hata, parolanın tarayıcı notlarına veya telefon rehberine düz metin olarak yazılmasıdır. Bu kayıtlar şifresiz tutulduğu için cihaza erişen herkes tarafından okunabilir (yedeklemeler aynı notları bulut hesaplarına da taşır). Rehbere kişi adı gibi eklenen diziler, uygulamaların kişi listesine erişmesiyle birlikte dışarı çıkabilir. Parola yöneticisi aynı ihtiyacı şifreli biçimde karşılar.
Geçici parolanın kalıcılaşması
Üçüncü hata, sonradan değiştirilmek üzere kurulan basit bir dizinin aylarca kullanılmasıdır. İlk kurulumdaki acele, hesabın en uzun dönem boyunca en zayıf diziyle korunmasına yol açar. Hesap açılırken ayrılan 5 dakika, sonraki aylarda bu düzeltmeyi hatırlama yükünü ortadan kaldırır. Geçici bir dizi kurulduysa aynı gün içinde kalıcı diziyle değiştirilmesi uygun olur.
- Parola dizisi en az dört ilgisiz kelimeden kurulur.Toplam uzunluk 16 karakterin altına inmez.
- Aynı dizi ikinci bir hesapta kullanılmaz.Küçük değişikliklerle türetilen kopyalar da tekrar sayılır.
- Kayıtlar parola yöneticisinde şifreli olarak tutulur.Not defteri ve telefon rehberi bu iş için uygun düşmez.
- Ana parolanın bir kopyası kâğıt üzerinde saklanır.Kasanın açılamaması durumunda tek çıkış yolu budur.