- Zorunlu periyodik parola değişiklikleri, zayıf anahtarlar ve tahmin edilebilir kalıpları teşvik ederek gerçek güvenliği azaltır.
- Şifreler uzun, benzersiz ve güçlü olmalı ve yalnızca şüphe veya güvenlik ihlali kanıtı olduğunda değiştirilmelidir.
- Çok faktörlü kimlik doğrulama ve parola yöneticileri, hesapları veri sızıntılarına ve saldırılara karşı korumanın başlıca araçlarıdır.
- Gelecek, geleneksel parolalara olan bağımlılığı ve bunların çalınma ve tekrar kullanılma sorunlarını azaltan parola sistemleri gibi sistemlerde yatıyor.
Yıllardır, sorumlu davranmanın en doğru yolunun , tıpkı vergi beyannamesi vermek gibi, şifrelerimizi sık sık değiştirmek olduğu söyleniyordu : bu bir zorunluluktu. Ancak son yıllarda, ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) gibi önde gelen siber güvenlik kuruluşları bu tavsiyeyi tamamen gözden geçirdi ve çarpıcı bir sonuca ulaştı: sık sık şifre değiştirme zorunluluğu genellikle güvenliği iyileştirmek yerine kötüleştiriyor.
Bu yaklaşım değişikliği, büyük çaplı kimlik bilgisi ihlallerinden, kullanıcı davranış çalışmalarından ve şirketlerin ve üniversitelerin pratik deneyimlerinden elde edilen verilerle desteklenmektedir. Günümüzde yaygın öneri, güçlü, uzun ve benzersiz şifreler kullanmak , bunları yalnızca şüphe veya güvenlik ihlali kanıtı olduğunda değiştirmek ve imkansız şifreleri ezberleme zorluğundan kaçınmak için çok faktörlü kimlik doğrulama (MFA) ve şifre yöneticileri gibi araçlara güvenmektir.
ABD hükümet kurumları için teknik standartlar belirleyen ve dünya çapındaki şirketler için bir ölçüt görevi gören NIST, SP 800-63-4 kılavuzunda, güvenlik ihlali olduğuna dair bir kanıt yoksa kullanıcıların şifrelerini periyodik olarak yenilemelerinin gerekmediğini açıklığa kavuşturmuştur . Bu, geleneksel "30/60/90 günde bir değiştirin" politikasından radikal bir sapmadır.
Bu yönergelerin kamuoyuna açık taslak metninde, bir parola doğru seçildiğinde (uzun, rastgele ve benzersiz olduğunda), her bir veya üç ayda bir değiştirme zorunluluğunun güvenliği azalttığı açıklanmaktadır : Yeni parolaları hatırlama yükü, insanları parolalarını basitleştirmeye, tekrar kullanmaya veya tahmin edilebilir kalıplar uygulamaya iter; saldırganlar da tam olarak bundan faydalanır.
Mevcut önerilere göre, hizmet sağlayıcılar ve kimlik doğrulayıcılar periyodik parola geçerlilik süreleri uygulamamalıdır . Bunun yerine, veri ihlali, şüpheli erişim veya parolanın sızdırılmış veritabanlarında bulunması gibi kimlik doğrulayıcının tehlikeye girdiğine dair işaretler olduğunda derhal parola değişikliği uygulamakla yükümlüdürler.
Dahası, NIST, katı kompozisyon kuralları (büyük harflerin, sayıların ve sembollerin bir arada kullanılmasını zorunlu kılan) veya "ilk evcil hayvanınızın adı" gibi kötü şöhretli güvenlik soruları gibi diğer geleneksel gereksinimleri de sorguluyor . Kanıtlar, bu kuralların kullanıcıların çok tahmin edilebilir şekillerde davranmasına neden olduğunu ve Password2023, Password2024 veya Password1! gibi saldırganlar için adeta birer nimet olan şifreler ürettiğini gösteriyor.
Çalınan şifrelerin yer aldığı devasa veri tabanlarının analizi, bu klasik kuralların gerçek faydasının daha önce düşünüldüğünden çok daha az olduğunu , buna karşılık kullanılabilirlik ve hatırlanabilirlik üzerindeki olumsuz etkisinin ise muazzam olduğunu ortaya koyuyor. Kısacası: insanlar kolay kısayollar aramaya başlıyor ve bu kısayollar neredeyse her zaman birbirine uyuyor.
Günümüzde şifrelerinizin gerçekte nasıl tehlikeye atıldığı
Şifrenizi üç ayda bir değiştirseniz de değiştirmeseniz de, siber suçluların hesaplarınıza ulaşma yöntemleri nedeniyle hesaplarınız savunmasızdır . Hırsızlık genellikle şifrenizin mucizevi bir şekilde tahmin edilmesiyle değil, daha ziyade çok özel ve iyi bilinen çeşitli yöntemlerle gerçekleşir.
En yaygın yöntemlerden biri, çevrimiçi hizmetlerden kaynaklanan büyük veri sızıntılarıdır . Sosyal ağlar, forumlar, oyun platformları, e-ticaret siteleri ve bulut sağlayıcıları, milyonlarca kullanıcı adı-şifre kombinasyonunu, bazen şifrelenmemiş veya bozuk algoritmalarla, açığa çıkaran güvenlik ihlallerine maruz kalır. Bu veritabanları, korsanlık forumlarında ve karanlık web'de yeniden satılır.
Bir diğer klasik neden ise parolanızın zayıf veya çok yaygın olmasıdır . İspanya gibi ülkelerde en çok kullanılan parolaların listeleri, "admin", "123456", "000000", "password" gibi gerçekten berbat parolaları veya "carl0s" veya "barcelona" gibi bariz isimleri ve şehirleri göstermektedir. Bu tür kombinasyonlar, otomatik kaba kuvvet araçlarıyla bir saniyeden kısa sürede kırılabilir.
Ayrıca, saldırganın sizi banka, e-posta veya sosyal medya sitenizi taklit eden sahte bir web sitesine şifrenizi girmeye kandırdığı kimlik avı ve sosyal mühendislik saldırıları da vardır . Bazen bu, girdiğiniz kimlik bilgilerini yakalamak için tuş vuruşlarını kaydeden keylogger kötü amaçlı yazılımıyla birleştirilir.
Son olarak, yazılım ve donanım güvenlik açıklarını da unutmamalıyız . Eski sistemler, eski bellenime sahip yönlendiriciler, güvenlik açıkları olan uygulamalar; bunların hepsi üçüncü bir tarafın kayıtlı şifrelerinize erişmesine, hatta bunları değiştirmesine ve meşru erişiminizi engellemesine olanak tanıyabilir. Bu nedenle uzmanlar, sistemlerin ve cihazların güncel tutulması konusunda ısrarcıdır.
Neden "her ihtimale karşı" değiştirmek kötü bir fikir olabilir?
Bu bağlamda, birçok kullanıcı şifrelerini sık sık değiştirmenin evrensel bir güvenlik önlemi olduğunu varsaymaktadır. Bununla birlikte, hem NIST hem de Carnegie Mellon gibi üniversitelerden yapılan çalışmalar, sık ve mantıksız şifre değişikliklerinin kötü amaçlı faaliyet riskini artırdığı konusunda hemfikirdir.
Bir sistem sizi sürekli şifrelerinizi değiştirmeye zorladığında, çoğu insan bunu fazla düşünmeyi bırakır ve küçük, önemsiz değişiklikler uygular : sonuna bir sayı eklemek veya artırmak, yılı değiştirmek, bariz bir sembolü değiştirmek... saldırganların sözlüklerinde zaten bulunan kalıpların aynısı.
Dahası, bu değişikliklerin yarattığı rahatsızlık, insanları giderek daha kısa ve basit şifreler kullanmaya , hatta farklı hizmetlerde aynı şifreyi küçük değişikliklerle yeniden kullanmaya itiyor. Bir saldırgan bu hesaplardan birini ele geçirirse, diğerleri için çok net ipuçlarına sahip olacak ve potansiyel zararı katlayacaktır.
Birçok uzman, şirketlerin üç ayda bir parola değiştirme zorunluluğuna harcadıkları zaman ve parayı , kullanıcılara güçlü ve benzersiz parolalar oluşturmayı öğretmeye , parola yöneticileri ve iki adımlı doğrulama sistemlerini kullanmaya ayırmaları durumunda, güvenlikte gerçek iyileşmenin çok daha büyük olacağını belirtiyor .
Güvenlik şirketleri bile, veri ihlali kanıtı olmadığı sürece , şifrenizi düzenli olarak değiştirmenin onu daha güvenli hale getirmediğini kabul ediyor. Hatta, aynı şifreyi birden fazla sitede tekrar kullanmak veya çok faktörlü kimlik doğrulamasını (MFA) etkinleştirmemek gibi daha ciddi güvenlik açıkları devam ederken, bu durum yanlış bir güvenlik hissi yaratabilir.
Parolanızı tereddüt etmeden ne zaman değiştirmelisiniz?
Zorunlu parola değiştirme artık iyi bir uygulama olmasa da, bu her durumda aynı parolayı kullanmanız gerektiği anlamına gelmez. Riski azaltmak için parolayı hemen değiştirmek şart olduğu durumlar vardır.
Hesabınızın bulunduğu bir şirket veri ihlali duyurusu yaparsa , en akıllıca şey, o hizmet için şifrenizi ve (eğer daha önce kullandıysanız) yeniden kullandığınız diğer hesaplarınız için de şifrenizi mümkün olan en kısa sürede güncellemek olacaktır. Bazen bu ihlallerin bildirilmesi haftalar sürebilir, bu nedenle karanlık web izleme araçları veya "Have I Been Pwned" gibi hizmetler, e-posta adresinizin sızdırılmış bir listede görünüp görünmediğini daha erken tespit etmenize yardımcı olabilir.
Bir diğer açık uyarı işareti ise istenmeyen giriş veya parola değiştirme girişimleridir . "Parola sıfırlama talebinde bulundunuz mu?" diye soran meşru e-postalar veya bilinmeyen yerlerden veya cihazlardan giriş uyarıları alıyorsanız, hemen (şüpheli bağlantılara tıklamadan) kendiniz hizmete giriş yaparak parolanızı değiştirmeli ve henüz etkinleştirmediyseniz çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmelisiniz.
Cihazınızın kötü amaçlı yazılımla enfekte olduğundan şüpheleniyorsanız , cihazınızı temizledikten sonra şifrelerinizi de değiştirmeniz gerekir. Saldırgan yazdığınız her şeyi hala görebiliyorsa şifre değiştirmek anlamsızdır. Sistem dezenfekte edildikten sonra, kritik hizmetler (e-posta, bankacılık, sosyal medya, bulut depolama vb.) için kimlik bilgilerini güncellemeniz gerekir.
Hesaplarınızdan birinin açıkça ele geçirildiği (göndermediğiniz mesajlar, yapmadığınız alışverişler, garip profil değişiklikleri) tespit edilirse, aynı şifreyi veya benzer varyasyonlarını kullanan tüm hesapların tehlikeye girmiş olduğu kabul edilmeli ve şifreleri derhal değiştirilmelidir.
Kurumsal ortamlarda, yönetici hesapları veya özellikle hassas sistemler için birçok kuruluş, ayrıcalıklı kimlik bilgilerini belirli bir sıklıkta değiştirmeyi tercih etmektedir; ancak bunu, manuel değişikliklerle ilişkili insan hatalarını önlemek amacıyla, otomatik bir şekilde ve güçlü rastgele parolalar oluşturarak yapmaktadırlar.
Günümüzde güvenli bir parola nedir (ve ne değildir)?
Parola, basitçe size özel bilgilere veya değerli kaynaklara erişim sağlayan bir karakter dizisidir : e-posta, sosyal medya, çevrimiçi bankacılık, web sitenizin kontrol paneli, şirket VPN'iniz, mobil cihazlar vb. Dijital yaşamınız ile bir saldırgan arasındaki tek engel olması, onu ciddiye almanız için yeterli bir sebep olmalıdır.
Uzmanlar uzun zamandır iyi bir şifrenin uzun, karmaşık ve benzersiz olması gerektiğini savunuyor . Geleneksel olarak bu, büyük ve küçük harfleri, rakamları ve sembolleri birleştiren, sözlük kelimelerinden veya kişisel bilgilerden (tarihler, isimler, plaka numaraları vb.) kaçınan en az sekiz karakter anlamına geliyordu.
En son NIST yönergeleri uzunluğa daha da fazla önem veriyor: En az 8 karakter gerektirmeyi öneriyorlar , ancak çıtayı 15 veya daha fazla karaktere çıkarmayı arzu edilir buluyorlar ve maksimum 64 karaktere kadar izin veriyorlar. İfade ne kadar uzun olursa, tahmin edilebilir bir ifade olmadığı sürece otomatik saldırılarla kırılması o kadar zor olur.
İnsanlar için iyi bir strateji , parola cümleleri kullanmaktır : semboller ve büyük harflerle karıştırılmış rastgele kelime dizileri; hatırlaması kolay, ancak bilgisayarın kırması çok zordur. "Mars-Balina-Yakın4-Erimiş" veya "Dakika.Kamyon.Nerede2.Deneme" gibi örnekler, tipik kalıplara dayanmadan çok yüksek entropi sunar.
Yıllar geçtikçe en çok kullanılan şifreler arasında yer alan "123456", "password", "qwerty", "111111", "admin" gibi şifrelerden , bariz klavye kombinasyonlarından, tek kelimelerden, sayı veya tuş dizilerinden (eşinizin adı, futbol takımınız, doğum tarihiniz...) ve herkesin sosyal ağlarınızdan kolayca elde edebileceği bilgilerden kaçınmanız gerekir.
Aynı derecede önemli olan bir diğer nokta ise her hizmetin farklı bir şifre kullanmasıdır . E-posta, sosyal medya, bankacılık ve alışveriş için aynı şifreyi tekrar kullanmak, eviniz, arabanız ve kasanız için aynı anahtarı kullanıp bir kopyasını da paspasa bırakmaya benzer. Bu web sitelerinden birine sızılırsa, saldırgan bu kombinasyonu diğer popüler hizmetlerde de deneyebilir.
Çok faktörlü kimlik doğrulama, parola yöneticileri ve parola anahtarları
Bu paradigma değişiminin diğer önemli yönü ise, ne kadar güçlü olursa olsun, yalnızca tek bir parolaya güvenmekten uzaklaşmaktır. Günümüzde, hizmetin izin verdiği her durumda parolaları çok faktörlü kimlik doğrulama (MFA) ile desteklemek şart olarak kabul edilmektedir.
Çok faktörlü kimlik doğrulama (MFA), bildiğiniz bir şey (parolanız), sahip olduğunuz bir şey (cep telefonu, fiziksel belirteç, kod uygulaması) veya olduğunuz bir şey (parmak izi, yüz, iris) olabilen ikinci bir kimlik doğrulama yöntemi ekler . Bu sayede, birisi parolanızı çalsa bile, bu ikinci faktör olmadan erişim sağlaması çok daha zor olacaktır.
E-posta, sosyal medya, çevrimiçi bankacılık, bulut hizmetleri veya uzaktan çalışma erişimi için çok faktörlü kimlik doğrulamanın (MFA) etkinleştirilmesi, çalınmış veya zayıf şifrelere dayanan birçok otomatik saldırıyı engeller . Şifreniz bir veri ihlalinde ortaya çıksa bile, saldırgan aşılması zor ek bir engelle karşılaşacaktır.
Uzun ve benzersiz onlarca şifreyi hatırlama sorununu çözmek için uzmanlar şifre yöneticisi kullanmayı öneriyor . Bu araçlar son derece karmaşık, rastgele şifreler oluşturur, bunları güvenli bir kasada şifrelenmiş olarak saklar ve giriş yaptığınızda sizin için otomatik olarak doldurur. Tek yapmanız gereken güçlü bir ana şifreyi korumak ve mümkünse çok faktörlü kimlik doğrulamayı (MFA) etkinleştirmektir.
İyi bir parola yöneticisi, parolaları kağıda yazmak, şifrelenmemiş elektronik tablolara kaydetmek veya telefonunuzdaki notlara yazmak ya da tarayıcınızın bunları kaydetmesine izin vermek gibi riskli uygulamaları engeller. Ayrıca, kendi başınıza hatırlayabileceğinizden çok daha uzun parolalar kullanmanızı teşvik ederek saldırılara karşı direncinizi artırır.
Bu arada, parola anahtarları veya erişim anahtarları giderek daha popüler hale geliyor. Geleneksel parolalara modern bir alternatif olan bu anahtarlar, açık anahtar şifrelemesine dayanmaktadır. Parola anahtarları cihazda veya uyumlu bir yöneticide saklanır ve kullanıcıların sunucuya yeniden kullanılabilir bir parola göndermeden parmak izi, yüz tanıma veya yerel bir PIN kullanarak oturum açmalarına olanak tanır.
Google, Apple, Microsoft, Amazon, PayPal ve GitHub gibi dev şirketler zaten parola kullanımını destekliyor ve yüzden fazla web sitesi ve uygulama da bu sisteme katılıyor. Parolalar bir gecede ortadan kaybolmayacak olsa da, gelecekte hırsızlık ve yeniden kullanım gibi mevcut sorunların çoğunu azaltacak parolasız sistemler ön plana çıkacak.
Günlük yaşam için iyi parola güvenliği uygulamaları
Şifrelerin geçerlilik süresinin sona ermesiyle ilgili tartışmanın ötesinde, hedefiniz şifrelerinizin oluşturduğu saldırı yüzeyini en aza indirmek olmalıdır . Bu, dikkatlice yapıldığında uygulaması kolay olan birkaç basit en iyi uygulamayı birleştirmeyi içerir.
Öncelikle, özellikle e-posta, bankacılık, kayıtlı kredi kartı bilgilerine sahip çevrimiçi mağazalar ve iş hesapları gibi kritik hizmetler için aynı şifreyi birden fazla hesapta tekrar kullanmamaya özen gösterin . Zaten aynı şifreyi tekrar kullanıyorsanız, bu şifreleri değiştirmeyi ve bir şifre yöneticisi kullanarak ayrı tutmayı öncelik haline getirin.
Parolanızı güncellerken, yalnızca bir karakteri değiştirerek (sonuna bir rakam eklemek, bir harfi benzer bir sembolle değiştirmek vb.) "hile yapmaktan" kaçının. Siber suçlular bu kalıpların farkındadır ve saldırı araçları bunları varsayılan olarak içerir.
Hatırlamak istediğiniz hesaplar için uzun parola cümleleri kullanmayı düşünün (örneğin, hesap yöneticiniz için ana parolanız). Birbiriyle alakasız gibi görünen birkaç kelimeyi birleştirin, daha az belirgin yerlere büyük harfler ekleyin ve karmaşıklığı artırmak için aralarına bir sayı veya sembol ekleyin.
Parolanızı ezberlemenize gerek kalmadığında, bir parola yöneticisi kullanıyorsanız, parola ve parola cümlesi oluşturucularından yararlanın . Bunlar otomatik olarak "3>ZfrT61(9#X;?Kdk4FQ" gibi rastgele dizeler veya karmaşık ifadeler oluşturur ve bunları kasanızda saklar. Burada önemli olan, bunları ezberden söyleyebilmekten ziyade, başkalarının tahmin edememesini sağlamaktır.
Pratik açıdan, şifrelerinizi bilgisayarınızda veya mobil cihazınızda, notlarda, ayrı belgelerde, yapışkan notların fotoğraflarında veya kendinize gönderdiğiniz e-postalarda düz metin olarak saklamaktan her ne pahasına olursa olsun kaçının. Herhangi bir kötü amaçlı yazılım, cihaz hırsızlığı veya yetkisiz fiziksel erişim, tüm bunları bir saldırgan için bir hazine haritasına dönüştürecektir.
Son olarak, veri ihlali tespit hizmetlerini veya kendi parola yöneticinizin veya tarayıcınızın güvenlik özelliklerini kullanarak hesaplarınızın bilinen veri ihlallerinde yer alıp almadığını düzenli olarak kontrol etme alışkanlığı edinin . Bir parolanın ifşa edildiğini tespit ederseniz, tereddüt etmeden değiştirmeniz gerekir.
Milyarlarca veri ihlalinin yaşandığı ve çok faktörlü kimlik doğrulama (MFA) ve parola gibi alternatiflerin ortaya çıktığı bir dünyada, kazanan strateji artık sürekli parola değiştirmek değil, sağlam ve yönetilebilir bir erişim ekosistemi oluşturmaktır : uzun ve benzersiz parolalar, çok faktörlü kimlik doğrulama, yönetimi kolaylaştıran araçlar ve gerçek bir güvenlik açığının belirtilerine dikkat etmek. Alışkanlıklarınızı bu yönde ayarlarsanız, parolanızı en son ne zaman değiştirdiğinizi "takvim bazında" hatırlamasanız bile hesaplarınız çok daha iyi korunacaktır.
