Şifre değiştirme ekranına her geldiğinizde aynı sahne tekrar eder: aklınıza gelen ilk kelime, sonuna bir ünlem, başına büyük harf. Sistem "güçlü" yazar, siz de rahatlarsınız. Oysa o "güçlü" etiketi çoğu zaman sadece karakter çeşitliliğine bakar; şifrenin gerçekten tahmin edilebilir olup olmadığını ölçmez. Aşağıda, kırma denemelerinin nasıl çalıştığını temel alarak güçlü şifre nasıl yapılır sorusuna pratik ve kalıcı bir cevap kuruyoruz.
Saldırgan tek tek tüm kombinasyonları mı deniyor? Nadiren. Kaba kuvvet yani her karakteri sırayla denemek en yavaş yöntem. Gerçek hayatta önce sızmış şifre listeleri denenir, sonra o listelerdeki kelimelere bilinen dönüşümler uygulanır: "a" yerine "@", sona eklenen "123", ilk harfin büyütülmesi, doğum yılı gibi.
Yani "P@rol@2019" neden zayıf? Çünkü içindeki her hamle standart bir kuralın parçası. Kırma araçları bu kuralları listeler halinde tutar ve saniyeler içinde uygular. Şifreniz uzun görünse de tahmin uzayı küçük kalır.
Buradan çıkan iki temel ilke şu:
Rastgelelik ile akılda kalıcılık aynı anda mümkün mü? Evet, ama rastgeleliği kelime düzeyine taşıyarak. Karakter karakter rastgele bir dizi (örneğin xQ7#vLm2) hem kısa hem hatırlanamaz olur; sonunda bir kâğıda yazarsınız. Bunun yerine birbiriyle ilgisi olmayan kelimeleri birleştirin.
Yöntem şöyle işler:
Neden ilgisiz kelimeler? Çünkü anlamlı bir cümle, dil modelleri tarafından tahmin edilebilir. "kahve içmeyi seviyorum" ifadesi dört kelime olmasına rağmen düşük entropi taşır. Buna karşılık zihninizde saçma bir sahne kuran kelime dizisi hem güçlü hem akılda kalıcıdır: kürek tutan bir zeytin, elinde fener.
Türkçe karakter kullanmalı mıyım? Sözlük saldırılarını biraz zorlaştırır ama bazı eski sistemler ve yabancı klavyeler sorun çıkarabilir. Kritik hesaplarda ASCII sınırında kalmak daha az baş ağrıtır.
En güçlü şifreyi kurup her yerde kullansam olmaz mı? Hayır, ve bu en yaygın hata. Kullandığınız küçük bir forum sızdığında, o şifre e-postanızda da denenir. Tek şifre, en zayıf halkanın gücüne iner. Bu yüzden strateji şudur: tek bir güçlü ana şifreyi ezberleyin, kalanını bir parola yöneticisine bırakın.
Pratik dağılım şöyle olabilir:
Parola yöneticisi tek nokta arıza değil mi? Teoride öyle, pratikte alternatiften çok daha iyi. Şifreleri tarayıcıda ya da not uygulamasında tutmakla karşılaştırdığınızda kazanç nettir. Ana şifreyi güçlü kurun, yöneticiye ikinci doğrulama ekleyin, kasa yedeğini ayrı bir yerde tutun.
Her üç ayda bir değiştirmek gerekiyor mu? Zorunlu periyodik değişiklik artık önerilen bir uygulama değil; insanları küçük ve tahmin edilebilir varyasyonlara iter. Şifreyi olay bazlı değiştirin:
Şifreden daha etkili bir katman var mı? Var: iki adımlı doğrulama. Mümkünse SMS yerine uygulama tabanlı kod üreticisini ya da fiziksel güvenlik anahtarını seçin. Şifreniz sızsa bile ikinci katman saldırganı durdurur.
Bir de gözden kaçan taraf: şifrenin girildiği ortam. Güncellemeleri erteleyen bir tarayıcı, kontrolsüz uzantılar veya açık bir kablosuz ağ, en güçlü şifreyi bile anlamsız kılabilir. Tarayıcı eklentilerini seçerken izinlerine bakmak, ev ağınızın yönetici şifresini fabrika ayarında bırakmamak ve halka açık ağlarda VPN kullanmak bu zincirin diğer halkaları.