Bir hesabın ele geçirilmesi genellikle filmlerdeki gibi olmuyor. Çoğu durumda saldırgan sizin sisteminizi kırmıyor; başka bir sitede sızan veritabanından çıkan e-posta ve şifre çiftini alıp, aynı kombinasyonu onlarca serviste tek tek deniyor. Yani asıl sorun şifrenin ne kadar "karmaşık" göründüğü değil, aynı şifreyi kaç yerde kullandığınız.
Peki "Ankara2019!" gibi bir şifre yeterince güvenli değil mi? Ne yazık ki hayır. İçinde büyük harf, sayı ve noktalama var, çoğu sitenin kuralına uyuyor, ama tahmin kalıbı çok bilinen bir kalıp: kelime + yıl + ünlem. Saldırı araçları bu kalıpları sözlük listelerine ekliyor. Bir şifreyi güçlü yapan şey görünüşteki dağınıklık değil, öngörülemezliği ve uzunluğu.
Sekiz karakterlik çok karışık bir şifre mi, yoksa uzun ama sade bir şifre mi? Uzun olan neredeyse her zaman kazanıyor. Her eklediğiniz karakter, denenmesi gereken olasılık sayısını katlıyor. 8 karakterlik simge yığını, 16 karakterlik dört kelimelik bir cümleden daha kolay kırılır.
Bu yüzden pratikte iki yaklaşım öne çıkıyor:
Neden hatırlamam gerekmiyor? Çünkü doğru yöntem, tüm şifreleri kafanızda taşımamak. Sadece bir tanesini — şifre kasanızın ana şifresini — ezberliyorsunuz. Gerisi kasada duruyor.
| Yöntem | Güvenlik | Kullanım kolaylığı | Zayıf noktası |
|---|---|---|---|
| Akılda tutmak | Düşük–orta | Zor | Az sayıda şifre hatırlanabildiği için tekrar kullanmaya zorlar |
| Not defterine yazmak | Orta | Orta | Fiziksel erişim, kaybolma, yedeği olmaması |
| Tarayıcının şifre yöneticisi | Orta–iyi | Çok kolay | Cihaz oturumu açıkken herkes görebilir; ana şifre ayarlanmazsa korunmasız |
| Bağımsız şifre kasası | Yüksek | Kolay | Ana şifre kaybedilirse kurtarma zor |
| Telefon notları / Excel dosyası | Düşük | Kolay | Şifresiz düz metin; bulut senkronu ile her yere yayılır |
Tarayıcıya kaydetmek gerçekten kötü mü? Kötü değil, ama eksik. Cihazınız kilitli, işletim sistemi hesabınız şifreliyse ve tarayıcı senkronizasyonu güçlü bir şifreyle korunuyorsa makul bir çözüm. Yine de bağımsız bir kasa; şifre paylaşımı, güvenli not tutma, sızıntı uyarısı gibi ek özellikler sunuyor. Tarayıcı ayarlarıyla uğraşırken hız ve eklenti temizliği tarafına da bakıyorsanız, tarayıcı hızlandırma konusundaki notlar işinizi kolaylaştırır.
Kasanın kapısı tek bir şifreye bakıyor, o yüzden buraya en iyi güçlü şifre örneğinizi koymalısınız. Öneriler:
Ya unutursam? Kasaların kurtarma anahtarı ya da acil erişim kodu vardır. Onu yazdırıp evde bir çekmecede, yani çevrimdışı saklayın. Bulut depolamayı verimli kullanma konusunu düşünürken de bu ayrımı hatırlayın: kurtarma anahtarını buluta koymak, kapının anahtarını kapının önündeki paspasın altına bırakmaya benzer.
Şifrem çok iyiyse iki faktörlü doğrulamaya gerek var mı? Var. Şifreniz oltalama sayfasına yazıldığı anda gücünün bir anlamı kalmıyor. İkinci faktör bu senaryoda devreye giriyor ve saldırganı durduruyor. Öncelik sırası şöyle:
E-posta hesabınızdan başlamanız şart, çünkü diğer tüm hesapların sıfırlama bağlantıları oraya düşüyor. Sitedeki iki faktörlü kimlik doğrulama kurulumu anlatımı bu adımı ekran ekran gösteriyor.
Takvime bağlı zorunlu değişiklik artık önerilmiyor; insanları "Sifre1", "Sifre2" gibi zayıf varyasyonlara itiyor. Değiştirin, ama bir sızıntı duyulduğunda, cihazınız kaybolduğunda ya da şifreyi birine söylediğinizde.