Güvenli Parola Yönetimi ve Depolama

Parola güvenliği, teknoloji alışkanlıkları arasında getirisi en yüksek ama en çok ertelenen konudur. Bir tarayıcı temizliği ya da disk bakımı gibi işler haftalar içinde etkisini gösterirken, zayıf bir parolanın bedeli tek bir olayda, bir anda ödenir. Aşağıda parola üretiminin arkasındaki matematikten başlayıp, gerçek bir parola yöneticisi kullanım düzenine kadar tüm zinciri adım adım ele alıyoruz.

Kuvvetli Parola Üretiminin Matematiği

Bir parolanın gücü "karışık görünmesiyle" değil, olası kombinasyon sayısıyla ölçülür. Bu değere entropi denir ve bit cinsinden ifade edilir. Formül basittir: karakter havuzunun büyüklüğü, parola uzunluğu kuvvetine yükseltilir.

Uzunluk mu, karmaşıklık mı?

İki değişkenden hangisinin daha etkili olduğunu görmek için karşılaştırma tablosuna bakmak yeterli:

Tablodaki fark çarpıcı: simge eklemek 8 karakterlik parolaya yaklaşık 15 bit katarken, uzunluğu 8'den 16'ya çıkarmak entropiyi ikiye katlıyor. Uzunluk çarpan, karmaşıklık ise yalnızca taban etkisi yaratır. Pratik eşik olarak 12 karakter altını riskli, 16 karakter ve üzerini rahat kabul etmek makul bir yaklaşımdır.

Sözcük dizisi (passphrase) yöntemi

İnsan hafızasına emanet edilmesi gereken tek bir parola varsa, rastgele karakter dizisi yerine rastgele sözcük dizisi seçmek daha akıllıcadır. 7.776 kelimelik bir listeden zar ya da yazılım yardımıyla rastgele seçim yapıldığında:

• 4 sözcük ≈ 3,7 × 10¹⁵ kombinasyon ≈ 51,7 bit
• 5 sözcük ≈ 2,8 × 10¹⁹ kombinasyon ≈ 64,6 bit
• 6 sözcük ≈ 2,2 × 10²³ kombinasyon ≈ 77,5 bit

Kritik nokta: sözcükler gerçekten rastgele seçilmelidir. Kendi kurduğunuz anlamlı bir cümle, dil modellerinin tahmin edebileceği bir yapı olduğu için hesaplanan entropiyi taşımaz. "Doğum tarihi + soyad + ünlem" kalıbı ise saldırgan sözlüklerinde zaten mevcuttur.

Yeniden kullanımın gerçek maliyeti

Aynı parolanın birden fazla serviste kullanılması, entropi ne olursa olsun zinciri en zayıf halkaya indirir. Küçük bir forumun veritabanı sızdığında, otomatik araçlar aynı e-posta/parola çiftini onlarca büyük servise deneyerek ilerler. Bu yönteme kimlik bilgisi doldurma denir ve tek savunma, her hesapta farklı bir parola bulunmasıdır. 40-50 hesabı olan ortalama bir kullanıcı için bu, hafızayla çözülebilecek bir problem değildir; dolayısıyla otomasyon zorunlu hale gelir.

Parola Yöneticisi Kullanımı ve Güvenli Depolama

Depolama modellerinin karşılaştırması

Tarayıcıya kayıtlı parolalar, cihaz oturumu açıkken kasa mantığı olmadan görüntülenebildiği için kritik hesaplar (e-posta, bankacılık, alan adı paneli) için uygun değildir. Chrome performansı ve eklenti düzeni üzerine yazdığımız rehberde de değindiğimiz gibi, tarayıcı ne kadar çok işlev üstlenirse saldırı yüzeyi de o kadar genişler.

Ana parolayı doğru kurmak

Kasanın tamamı tek bir ana parolaya bağlıdır; bu yüzden onu 5-6 sözcüklük rastgele bir dizi