Anahtar Türetme İşlevleri: PBKDF2, bcrypt ve Argon2

Parolaları depolamak, parola özütleme işlevi (PHF) veya anahtar türetme işlevi (KDF) adı verilen özel bir kriptografik işlev sınıfı gerektirir. SHA-256 gibi normal kriptografik özetler hızlı olacak şekilde tasarlanmıştır; modern bir GPU saniyede milyarlarca SHA-256 özeti hesaplayabilir. Bu hız, parola depolama açısından felaket niteliğindedir: bir özet veritabanını ele geçiren saldırgan saniyede milyarlarca tahmin deneyebilir. Parola KDF'leri kasıtlı olarak yavaştır; meşru oturum açmaya milisaniyeler içinde izin verirken kaba kuvvet saldırılarını hesaplama açısından uygulanamaz hâle getirecek şekilde ayarlanabilir.

Özel parola KDF'leri ortaya çıkmadan önce saldırganlar, özet değerlerinden düz metin parolalara önceden hesaplanmış eşlemeler içeren gökkuşağı tablolarını kullanıyordu. Salt, özetleme işleminden önce parolanın başına veya sonuna eklenen ve kullanıcı başına benzersiz olan rastgele bir değerdir; aynı parolalar için bile her özetin benzersiz olmasını sağlar. Salt'lar veritabanında özetle birlikte saklanır; gizli değildir, yalnızca rastgele olmalıdır. Uygun bir salt en az 16 bayt uzunluğunda olmalı, kriptografik açıdan güvenli bir rastgele sayı üreteciyle oluşturulmalı ve kullanıcı başına saklanmalıdır (hesaplar arasında hiçbir zaman yeniden kullanılmamalıdır).

PBKDF2 (Password-Based Key Derivation Function 2), RFC 8018'de tanımlanmış ve NIST tarafından onaylanmıştır. Yapılandırılabilir sayıda Iterations boyunca parolaya ve salt'a (genellikle HMAC-SHA-256 kullanarak) bir HMAC işlevini art arda uygulayarak çalışır. Iterations sayısı iş yükü katsayısıdır; NIST, 2023 itibarıyla PBKDF2-HMAC-SHA256 için en az 600.000 Iterations önerir. PBKDF2 yaygın olarak kullanılır (Django, iOS Keychain, WPA2-PSK); ancak bir zayıflığı vardır: GPU'larda verimli şekilde uygulanabilir ve bu nedenle alternatiflere kıyasla GPU saldırılarına daha az dirençlidir.

bcrypt, 1999'da Niels Provos ve David Mazieres tarafından tasarlanmış ve günümüzde de yaygın olarak kullanılmaktadır. Temel yeniliği, her artışta hesaplama süresini iki katına çıkaran bir Cost factor (rounds parametresi) kullanmasıdır. bcrypt, Eksblowfish key setup adı verilen ve hem CPU hem de bellek açısından yoğun olan bir kurulum işlemesine sahip, değiştirilmiş bir Blowfish şifresi kullanır; bu da PBKDF2'ye kıyasla GPU'larda hızlandırılmasını önemli ölçüde zorlaştırır. bcrypt ayrıca parola girdisini 72 baytla sınırlar (daha uzun parolalar kesilir); bu nedenle bazı uygulamalarda uzun parolaların önce SHA-256 ile özetlenmesi gerekir.

Argon2, 2015'te Password Hashing Competition'ı kazandı ve günümüzde OWASP tarafından önerilmektedir. Üç çeşidi vardır: Argon2d (daha hızlıdır, yan kanal saldırılarına açıktır ve en iyi kullanım alanı kripto para birimleridir), Argon2i (sabit sürelidir ve parola özetleme için en uygunudur) ve Argon2id (hibrittir ve çoğu kullanım için Recommended seçenektir). Argon2id üç boyutta yapılandırılabilir: time cost (Iterations), memory cost (gereken RAM) ve Parallelism (iş parçacıkları). Yüksek bellek gereksinimleri, GPU'larda paralelleştirmeyi son derece zorlaştırır ve ASIC'lerde tamamen uygulanamaz hâle getirir.

GPU'larda binlerce çekirdek bulunur, ancak çekirdek başına bellek sınırlıdır; basit ve az bellek kullanan hesaplamaları paralelleştirmede başarılıdırlar. Argon2 ve scrypt gibi bellek-zor işlevler, her özet hesaplaması için yüksek miktarda RAM gerektirir. Saldırganın her biri 64 MB bellek gerektiren 10.000 paralel Argon2id hesaplaması çalıştırmak istediğini düşünün; bunun için 640 GB GPU RAM'i gerekir ve bu miktar herhangi bir GPU kümesinin sağlayabileceğinin çok üzerindedir. Bellek zorluğu adı verilen bu özellik, saldırganları ya yavaş ve sıralı hesaplamalar kullanmaya ya da saldırıları ekonomik olmaktan çıkaran olağanüstü donanım maliyetlerini üstlenmeye zorlar.

Uygun iş yükü katsayısı donanımınıza ve kabul edilebilir gecikmeye bağlıdır. Genel hedef, her kimlik doğrulama için sunucunun üretim donanımında 100-300 ms değerine ulaşmaktır. Donanım geliştikçe iş yükü katsayısını artırmalısınız; bcrypt ve Argon2'nin parametreleri özetin yanında saklamasının nedeni budur. Bu, saydam yükseltmelere olanak tanır: bir sonraki oturum açmada parolayı doğrulayın, ardından yeni ve daha yüksek parametrelerle yeniden özetleyin. OWASP, PBKDF2, bcrypt ve Argon2id için her yıl gözden geçirilmesi gereken güncel Recommended minimum parametreleri yayımlar.

scrypt, 2009'da Colin Percival tarafından tasarlanmış, yaygın olarak benimsenen ilk bellek-zor KDF'dir ve Litecoin ile birçok parola yöneticisi tarafından kullanılır. scrypt; N (CPU/bellek maliyeti), r (blok boyutu) ve p (paralelleştirme katsayısı) parametreleriyle yapılandırılır. Argon2'de olduğu gibi yüksek N değerleri, her hesaplama için büyük miktarda RAM gerektirir. scrypt güvenli kabul edilir; ancak Password Hashing Competition'ı kazandığı ve daha fazla kriptografik incelemeden geçtiği için yeni uygulamalarda genellikle Argon2id tercih edilir. Her ikisi de kabul edilebilir seçeneklerdir.

Parolalar için çeşitli özetleme yaklaşımları hiçbir zaman kullanılmamalıdır: MD5 (kırılmıştır; tüketici donanımında saniyede milyarlarca özet hesaplanabilir), SHA-1 (aynı sorun), salt eklenmemiş SHA-256 (hızlıdır ve gökkuşağı tabloları kullanmak çok kolaydır) ve basit şifreleme (tersine çevrilebilir; anahtarın çalınması tüm parolaların ele geçirilmesi demektir). LinkedIn (2012) gibi geçmişteki veri ihlallerinde salt eklenmemiş SHA-1 kullanılmış ve 117 milyon parola açığa çıkmış; bu parolalar birkaç gün içinde kırılmıştır. Adobe (2013) ise parolaları özetlemek yerine şifrelemiştir; bu temel bir yanlış anlama nedeniyle 153 milyon hesap açığa çıkmıştır. Bu olaylar Security+ sınavının bilgi kapsamındadır.

KDF'ler, parola özetlerini depolamak yerine parolalardan şifreleme anahtarları türetmek için de kullanılır. Kullanıcı şifrelenmiş bir kasa için ana parola belirlediğinde uygulama, bu paroladan gerçek AES-256 şifreleme anahtarını türetmek için bir KDF kullanır. Parola yöneticileri kasanızın şifresini yerel olarak bu nedenle çözebilir: anahtar türetme işlevini ana parolanız üzerinde çalıştırarak aygıtınızdan hiçbir zaman ayrılmayan şifreleme anahtarını yeniden oluştururlar. HKDF (HMAC tabanlı Anahtar Türetme İşlevi), yüksek entropili tek bir gizli değerden birden çok anahtar türetme standardıdır; TLS 1.3'te el sıkışma ve uygulama anahtarlarını türetmek için kullanılır.

Kimlik bilgisi doldurma saldırıları, bir veri ihlalinde çalınan kullanıcı adı/parola çiftlerini diğer hizmetlerde yeniden dener. Güçlü KDF'ler, bir ihlalden sonra çevrim dışı parola kırma süresini uzatır — saldırganın her tahmin için mikrosaniyeler yerine 300 ms harcaması gerekiyorsa, 10 karakterlik rastgele bir parolayı kırmak hesaplama açısından uygulanamaz hâle gelir. Ancak KDF'ler, siteler arasında parola yeniden kullanımına karşı koruma sağlamaz — bunun için kullanıcıların benzersiz parolalar kullanması gerekir. Benzersiz parolalar + Argon2id depolaması + MFA birleşimi, kimlik bilgisine dayalı saldırıları pratikte etkisiz hâle getirir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: parola KDF'leri, çevrim dışı kaba kuvvet saldırılarını hesaplama açısından uygulanamaz hâle getirmek için ayarlanabilir iş faktörleriyle kasıtlı olarak yavaştır; Argon2id ve scrypt gibi bellek açısından zorlayıcı işlevler, her hesaplama için büyük miktarda RAM gerektirerek GPU paralelleştirmesini engeller; MD5, SHA-1 ve tuzlanmamış özetler, çok sayıda yüksek profilli veri ihlalinin de gösterdiği gibi parola depolama için tamamen yetersizdir. Sırada, RSA ve ECC'nin yerini alması için NIST tarafından seçilen algoritmaları ve kuantum sonrası kriptografiyi inceliyoruz.