Parola hâlâ en yaygın anahtar
Parolasız giriş yöntemleri yaygınlaşsa da hesaplarımızın büyük çoğunluğu hâlâ bir parola ile korunuyor. Bu nedenle saldırganların en çok aradığı şeylerden biri de geçerli bir kullanıcı adı ve parola çiftidir. Bu derste parolaların gerçekte hangi yollarla ele geçirildiğini, savunma açısından anlamanız için kavramsal olarak ele alıyoruz.
1. Veri sızıntıları
Bir web sitesinin veritabanı ele geçirildiğinde kullanıcı adları, e-posta adresleri ve parola özetleri (hash) sızabilir. İyi tasarlanmış sistemler parolaları güçlü ve yavaş özet algoritmalarıyla saklar; yine de kısa veya yaygın parolalar bu özetlerden çevrimdışı olarak tahmin edilebilir. Sızan veriler daha sonra yeraltı forumlarında el değiştirir.
Kendi e-posta adresinizin bilinen sızıntılarda yer alıp almadığını Have I Been Pwned veya platformumuzdaki Veri Sızıntısı Kontrolü aracıyla kontrol edebilirsiniz.
2. Kimlik bilgisi doldurma (credential stuffing)
Saldırganlar sızmış e-posta ve parola çiftlerini otomatik araçlarla başka sitelerde dener. Aynı parolayı birden fazla hesapta kullanıyorsanız, hiç saldırıya uğramamış bir sitedeki hesabınız da bu yolla ele geçirilebilir. Bu saldırının başarısı tamamen parola tekrar kullanımına dayanır.
3. Oltalama
Sahte bir giriş sayfası, en güçlü parolayı bile doğrudan saldırgana teslim etmenize yol açabilir. Parolanın uzunluğu oltalamaya karşı koruma sağlamaz; bu yüzden ikinci bir doğrulama katmanı ve özellikle oltalamaya dayanıklı yöntemler önemlidir.
4. Bilgi hırsızı zararlı yazılımlar
Infostealer olarak adlandırılan zararlı yazılımlar, bulaştıkları cihazdaki tarayıcıda kayıtlı parolaları, oturum çerezlerini ve otomatik doldurma verilerini toplayıp saldırgana gönderir. Çalınan oturum çerezleri, bazı durumlarda MFA adımını atlayarak oturumu doğrudan devralmaya imkân tanır. Bu nedenle cihaz güvenliği, hesap güvenliğinin ayrılmaz parçasıdır.
5. Tahmin ve deneme saldırıları
| Yöntem | Kavramsal açıklama | Etkili savunma |
|---|---|---|
| Kaba kuvvet | Tek hesaba çok sayıda olası parola denenir | Uzun parola, deneme sınırı, MFA |
| Sözlük saldırısı | Yaygın kelimeler ve bilinen parolalar denenir | Tahmin edilemez parola cümlesi |
| Parola püskürtme | Birkaç yaygın parola çok sayıda hesapta denenir | Yaygın parolaların engellenmesi, MFA |
| Kişisel bilgi tahmini | Doğum tarihi, takım adı, evcil hayvan adı denenir | Kişisel bilgi içermeyen parola |
6. Omuz sörfü ve fiziksel erişim
Parolanın yazıldığı kâğıtlar, ekran kilidi olmayan bilgisayarlar veya kalabalık ortamda parola girerken izlenmek de klasik ama hâlâ geçerli risklerdir.
Bu bilgilerden çıkan sonuçlar
- Her hesap için benzersiz parola kullanmak, kimlik bilgisi doldurmayı etkisiz kılar.
- Uzun parolalar, tahmin ve çevrimdışı kırma girişimlerini zorlaştırır.
- MFA, parola çalınsa bile saldırganın işini büyük ölçüde zorlaştırır.
- Oltalamaya dayanıklı yöntemler (passkey, güvenlik anahtarı) sahte sayfa riskini ortadan kaldırmaya en çok yaklaşan seçeneklerdir.
- Cihaz güvenliği olmadan hesap güvenliği eksik kalır.