Güvenli Şifre Oluşturma ve Saklama

Kısa cevap: Güçlü şifre nasıl yapılır sorusunun en pratik yanıtı şu: tek tek şifre "uydurmayı" bırakıp bir şifre yöneticisine geçmek. Kendi ezberlediğim tek bir şifre var — o da şifre yöneticisinin ana şifresi ve dört rastgele kelimeden oluşan uzun bir cümle. Geri kalan her hesabın şifresini program üretiyor: 16-20 karakter, harf-rakam-sembol karışık, hiçbiri birbirinin benzeri değil. Buna iki adımlı doğrulamayı eklediğinizde, sızan bir veritabanı yüzünden bütün dijital hayatınızın çökme riski neredeyse sıfıra iner.

Yıllarca yaptığım hata: "akıllı" şifre kalıpları

Eskiden kendimce bir sistem kurmuştum. Ortak bir gövde seçip sonuna sitenin baş harflerini ekliyordum: Kadikoy1987!fb, Kadikoy1987!tw gibi. Kendime çok zekice gelmişti. Sonra bir forumun veritabanı sızdı ve ne olduğunu anladım: tek bir şifreyi gören biri, kalıbı üç saniyede çözer. Saldırganların elinde milyonlarca gerçek şifreden derlenmiş listeler var ve bu listelerdeki kalıpları deneyen araçlar kullanıyorlar.

Kırılan bir diğer efsane de karakter değiştirme: a→@, s→$, o→0. Kırma yazılımları bu dönüşümleri varsayılan olarak deniyor. "Ş1fr3m!" gibi bir şey size karmaşık görünür ama makine için düz "sifrem" ile aynı hızda çözülür. Karmaşıklık hissi ile gerçek dayanıklılık aynı şey değil.

Gerçekten işe yarayan ölçüt: uzunluk ve tahmin edilemezlik

Bir şifrenin gücünü belirleyen şey semboller değil, öngörülemeyen bilgi miktarı. 8 karakterlik karışık bir şifre, modern donanımla saatler içinde denenebilir. 16 karakterlik bir şifreyi denemek ise pratikte anlamsız hale gelir. Bu yüzden benim kuralım basit:

• Ezberleyeceğim şifreler: 4-5 rastgele kelime, aralarında ayırıcı. Örneğin "kiremit-fasulye-oktav-durbun" tipi bir yapı. Kelimeleri kendim seçmiyorum, zar veya rastgele üretici seçiyor — çünkü insan beyni rastgele seçim yapamaz, hep anlamlı çağrışımlara kayar.
• Ezberlemeyeceğim şifreler (yani çoğu): en az 16 karakter, tamamen rastgele, şifre yöneticisi üretsin.
• Hiçbir şifrede doğum yılı, çocuk/evcil hayvan adı, takım adı, telefon numarası, plaka yok. Bunlar sosyal medyanızdan toplanabilecek veriler.

Bir de sık atlanan nokta: şifre ipuçları ve güvenlik soruları. "Annenizin kızlık soyadı" gibi sorular çoğu insan için tahmin edilebilir. Ben bu alanlara da rastgele üretilmiş metin yazıp yöneticiye not olarak kaydediyorum.

Şifre yöneticisi seçerken baktığım şeyler

Bulut tabanlı bir yönetici mi, tamamen yerel bir kasa mı? İkisini de kullandım. Bulut çözümleri telefonla bilgisayar arasında senkronizasyonu kendiliğinden çözdüğü için pratik; yerel kasa dosyası ise verinin nerede olduğunu tam kontrol etmek isteyene hitap ediyor. Yerel kasa kullanıyorsanız o dosyayı kendiniz yedeklemek zorundasınız — bulut depolama seçeneklerini karşılaştıran yazıda anlattığım mantıkla, en az iki ayrı yerde kopyası olsun.

Karar verirken şu maddelere bakıyorum:

• Uçtan uca şifreleme: Sağlayıcı sizin ana şifrenizi bilmemeli, kasayı çözememeli.
• Dışa aktarma imkânı: Yarın vazgeçtiğinizde verinizi standart bir formatta alabilmelisiniz. Kilitli kalmak istemezsiniz.
• Tarayıcı ve telefon desteği: Otomatik doldurma çalışmıyorsa insan er ya da geç kolaya kaçar.
• Sızıntı uyarısı: Bir hesabınızın şifresi bilinen sızıntı listelerinde görünürse haber vermesi çok işe yarıyor.

Tarayıcıya yerleşik şifre kasaları hiç yoktan iyidir ama bilgisayarın başında oturan biri oturum açıkken listeyi görebilir. Windows tarafında yazılım sorunlarını çözerken sık sık gördüğüm bir şey: kullanıcı profili bozulunca tarayıcıya kayıtlı şifreler de gidiyor. Ayrı bir yönetici bu riski dağıtıyor.

Saklama kısmı: kasayı nasıl koruyorum

Şifre oluşturmak işin kolay yarısı. Zor yarısı, ana şifreyi ve kurtarma yollarını doğru saklamak.

1. Ana şifreyi hiçbir yere dijital olarak yazmıyorum. Kâğıda yazıp evde, göz önünde olmayan bir yerde tutmakta sakınca görmüyorum; sizin tehdidiniz internetteki yabancılar, mutfak dolabınız değil.
2. İki adımlı doğrulama her kritik hesapta açık: e-posta, banka, bulut, sosyal medya. SMS yerine uygulama tabanlı kod veya fiziksel güvenlik anahtarı tercih ediyorum, çünkü SIM kart devralma gerçek bir yöntem.
3. Kurtarma kodlarını yazdırıp fiziksel olarak saklıyorum. Telefon kaybolduğunda hayat kurtarıyor.
4. E-posta hesabı ana kapı. Oradaki şifre en uzunu, en özeni olan olmalı; çünkü diğer her hesabı sıfırlama yetkisi orada.
5. Şifreyi asla sohbet penceresinden, not uygulamasından veya masaüstündeki bir metin dosyasından geçirmiyorum. Silinen dosyaları geri yüklemenin ne kadar kolay olduğunu bilen biri olarak, "sildim" demenin güvenlik anlamı taşımadığını söyleyebilirim.

Nereden başlamalı: 30 dakikalık geçiş planı