Güçlü Parola Nasıl Oluşturulur? Parola Yöneticisi ve MFA Rehberi

Güçlü parola; uzun, rastgele ve her hesap için benzersiz olan paroladır. Bunu sürdürülebilir kılmanın en pratik yolu bir parola yöneticisinin her hesap için rastgele parola üretmesine izin vermek, yalnızca ana parolayı uzun bir parola cümlesi olarak ezberlemek ve önemli hesaplarda çok faktörlü kimlik doğrulamayı (MFA) açmaktır.

Parola güvenliği neden hâlâ önemli?

Hesap ele geçirme saldırılarının büyük kısmı karmaşık tekniklerle değil, basit yöntemlerle gerçekleşir:

• Kimlik bilgisi doldurma (credential stuffing): Bir sitede sızdırılan e-posta ve parola çiftleri, başka sitelerde otomatik olarak denenir. Aynı parolayı birden çok yerde kullanıyorsanız tek bir ihlal tüm hesaplarınızı tehlikeye atar.
• Parola püskürtme (password spraying): Yaygın parolalar çok sayıda hesapta denenir.
• Oltalama: Kullanıcı sahte bir giriş sayfasına parolasını kendisi yazar.

Uzun ve benzersiz parolalar ilk iki saldırıyı etkisiz kılar; MFA ve passkey ise oltalamaya karşı ek koruma sağlar.

Güçlü parolanın özellikleri

NIST SP 800-63B, parola politikaları için modern ve kanıta dayalı öneriler sunar. Öne çıkan ilkeler:

Adım adım parola düzeni kurma

1. Bir parola yöneticisi seçin. Uçtan uca şifreleme sunan, bağımsız güvenlik denetimlerinden geçmiş ve kullandığınız tüm cihazlarda çalışan bir ürün tercih edin. Tarayıcıların ve işletim sistemlerinin yerleşik parola yöneticileri de iyi bir başlangıçtır.
2. Güçlü bir ana parola belirleyin. Birbiriyle ilişkisiz beş veya daha fazla kelimeden oluşan bir parola cümlesi kullanın. Örnek yapı: kavanoz-pusula-mavi-tren-lale (bu örneği kendiniz kullanmayın).
3. Kasanızı MFA ile koruyun. Parola yöneticisi hesabınızda kimlik doğrulama uygulaması veya donanım güvenlik anahtarı kullanın.
4. Önemli hesaplardan başlayın. E-posta, bankacılık, e-Devlet, sosyal medya ve iş hesaplarınızın parolalarını yönetici tarafından üretilen rastgele parolalarla değiştirin.
5. Yinelenen parolaları temizleyin. Çoğu parola yöneticisi tekrar kullanılan ve zayıf parolaları raporlar; bunları sırayla değiştirin.
6. Passkey desteğini kullanın. Bir hizmet passkey sunuyorsa etkinleştirin; passkey'ler oltalamaya karşı dirençlidir.
7. Kurtarma kodlarını saklayın. MFA kurtarma kodlarını çevrimdışı ve güvenli bir yerde tutun.

Kurumlar için parola politikası önerileri

Bir kurumda parola güvenliği yalnızca çalışanların dikkatine bırakılmamalıdır. NIST SP 800-63B ile uyumlu bir yaklaşım için:

1. Uzun parolalara izin verin ve parola cümlelerini teşvik edin; "en az bir sembol" gibi karmaşıklık kurallarını kaldırın.
2. Yeni parolaları bilinen sızıntı listelerine ve kurum adı gibi tahmin edilebilir kelimelere karşı otomatik olarak kontrol edin.
3. Belirli aralıklarla zorunlu parola değişikliğinden vazgeçin; yalnızca ele geçirilme şüphesinde değişiklik isteyin.
4. Başarısız oturum açma denemelerinde hız sınırlama uygulayın.
5. Çalışanlara kurumsal bir parola yöneticisi sağlayın ve ortak hesap parolalarının yalnızca bu araçla paylaşılmasını zorunlu kılın.
6. E-posta, uzak erişim ve yönetici hesaplarında MFA'yı zorunlu hâle getirin.

Bu kuralları yazılı bir parola ve kimlik doğrulama politikasında toplamak, uygulamanın tutarlı olmasını sağlar.

Sık yapılan hatalar

• Kişisel bilgilerden parola üretmek: Doğum tarihi, takım adı, çocuk ismi gibi bilgiler sosyal medyadan kolayca bulunur.
• Küçük değişikliklerle tekrar kullanım: Parola2024! yerine Parola2025! kullanmak tahmin edilebilir bir örüntüdür.
• Parolaları not defterinde veya e-postada saklamak: Şifrelenmemiş metin dosyaları kötü amaçlı yazılımların ilk hedefidir.
• SMS'i tek MFA yöntemi olarak bırakmak: SMS hiç yoktan iyidir, ancak SIM kartı değiştirme dolandırıcılığına açıktır; mümkünse uygulama veya güvenlik anahtarı kullanın.

Nasıl doğrularım?

Parola gücü testi aracımız, yazdığınız bir parolanın uzunluğunu ve tahmin edilebilirliğini tarayıcınızda değerlendirir. Gerçek parolalarınızı hiçbir çevrimiçi araca yazmamak en güvenli yaklaşımdır; aracı benzer yapıda bir örnekle deneyin. Tüm araçlarımıza araçlar sayfasından ulaşabilirsiniz.

Sık sorulan sorular

Parolamı düzenli olarak değiştirmeli miyim?

NIST SP 800-63B, belirli aralıklarla zorunlu parola değişikliğini önermez. Parolayı yalnızca ele geçirildiğine dair bir belirti olduğunda, örneğin bir veri ihlalinde görüldüğünde değiştirmek gerekir.

Parola yöneticisi güvenli mi?

Saygın bir parola yöneticisi, kasayı yalnızca sizin bildiğiniz ana parolayla şifreler. Tek bir güçlü ana parola ve MFA ile korunan bir kasa, tüm hesaplarda aynı parolayı kullanmaktan çok daha güvenlidir.

Parola cümlesi nedir?

Parola cümlesi, birbiriyle ilişkisiz birkaç kelimenin bir araya getirilmesiyle oluşturulan uzun bir paroladır. Hatırlaması kolay, tahmin edilmesi zor olduğu için özellikle ana parola ve cihaz kilidi gibi ezberlenmesi gereken parolalar için uygundur.

MFA açıksa zayıf parola kullanabilir miyim?

Hayır. MFA önemli bir ek katmandır ancak parolanın yerini almaz. Bazı kurtarma akışları veya eski protokoller yalnızca parolayla çalışabilir; bu nedenle güçlü ve benzersiz parola ile MFA birlikte kullanılmalıdır.

Sık sorulan sorular

Kaynaklar

1. NIST SP 800-63B — Digital Identity Guidelines: Authentication
2. CISA — Use Strong Passwords
3. OWASP Authentication Cheat Sheet

#mfa #parola #kimlik #parola-yoneticisi