Parola Gücü ve İlkeleri

MFA ve parolasız kimlik doğrulamanın yükselişine rağmen parolalar, en yaygın kimlik doğrulama faktörü olmaya devam ediyor. Zayıf bir parola, veri ihlallerinde ilk erişimin en yaygın noktasıdır.

Güçlü parolalarda şunlar bulunur:

• Uzunluk — 16 veya daha fazla karakter, entropiyi önemli ölçüde artırır
• Karmaşıklık — büyük harf, küçük harf, sayı ve sembollerin karışımı
• Öngörülemezlik — sözlük sözcükleri, klavye örüntüleri veya kişisel bilgiler içermez
• Benzersizlik — her hesap için farklı parola

Entropi, öngörülemezliği bit cinsinden ölçer. Yazdırılabilir 94 ASCII karakteri kullanan bir parolada her karakter yaklaşık 6,5 bit ekler. 16 karakterlik bir parola yaklaşık 104 bit entropiye sahiptir ve kaba kuvvetle kırılması pratikte mümkün değildir.

Uzunluk, karmaşıklıktan daha etkilidir: "correcthorsebatterystaple" > "P@ss1".

Saldırganlar, kullanıcıların şunları seçtiğini bilir:

• Basit değiştirmeler içeren sözlük sözcükleri (p@ssw0rd)
• Kişisel bilgiler (doğum tarihi, evcil hayvan adı)
• Klavye örüntüleri (qwerty, 123456)
• Şirket adı + yıl
• Her yerde aynı parola

Etkili parola politikaları (NIST SP 800-63B uyarınca):

• En az 8 karakter (12 veya daha fazlası tercih edilir)
• Bilinen veri ihlallerinde açığa çıkmış parola listeleriyle karşılaştırma
• Sık ve zorunlu parola değişikliği GEREKTİRMEYİN (zayıf parolaları teşvik eder)
• Kullanıcıların kötüye kullanabileceği keyfi karmaşıklık kuralları GEREKTİRMEYİN
• Parola yöneticilerinin kullanılabilmesi için yapıştırmaya izin verin

Bir parola yöneticisi, tek bir ana parolanın arkasında her hesap için benzersiz ve güçlü parolalar oluşturup saklar. Böylece kimlik bilgisi doldurma saldırılarının temel nedeni olan parola yeniden kullanımını ortadan kaldırır.

Yaygın seçenekler: Bitwarden (açık kaynak), 1Password, KeePass, Dashlane.

Bir parola cümlesi — dört veya daha fazla rastgele sözcük — akılda kalıcılığı yüksek entropiyle birleştirir. "TrafficLampFrogBridge", "T!@#k7" ifadesinden daha güvenlidir ve hatırlanıp yazılması çok daha kolaydır.

Kurumsal ortamlarda:

• Grup İlkesi / IdP aracılığıyla en düşük uzunluğu zorunlu kılın
• Yaygın olarak kullanılan parolaları engelleyin (en çok kullanılan 100.000 parola listesi)
• Tüm hesaplar için MFA'yı etkinleştirin
• Günlüklerde parola püskürtme ve kaba kuvvet örüntülerini izleyin
• Yerel yönetici parolalarının değiştirilmesi için LAPS kullanın

Troy Hunt tarafından geliştirilen HaveIBeenPwned (HIBP), milyarlarca çalınmış kimlik bilgisi içerir. Kuruluşlar, bilinen veri ihlallerinde bulunan parolaları engellemek için HIBP API'sini kullanabilir.

Kullanıcılar e-posta adreslerini haveibeenpwned.com üzerinde denetleyebilir.

Biyometrik yöntemler (parmak izi, yüz) kullanışlıdır ancak sınırlamaları vardır: ele geçirildiklerinde değiştirilemezler. Bunları bir yedek olarak değil, güçlü bir parolanın yanında ikinci faktör olarak kullanmak en iyisidir.

Geçiş anahtarları (FIDO2/WebAuthn), parolaların yerini şifreli anahtar çiftleriyle alıyor. Özel anahtar cihazdan asla ayrılmaz. Tasarım gereği kimlik avına dayanıklıdır; çalınacak parola yoktur. Apple, Google ve Microsoft tarafından benimsenmiştir.

Güçlü parolalar, karmaşık karakter kurallarından çok uzunluğa ve benzersizliğe dayanır. Parola yöneticileri yeniden kullanım sorununu çözer. NIST yönergeleri, sık sık parola değişikliğini zorunlu kılmak yerine parolaların veri ihlali veritabanlarına karşı denetlenmesini önerir. Geçiş anahtarları (FIDO2), kimlik avına dayanıklı kimlik doğrulamanın geleceğidir.