Parola neden zayıflar?

Açılış

Duru bir pazar sabahı telefonuna gelen bildirimle uyandı: alışveriş yaptığı sitede, adını hiç duymadığı bir ilçeye teslim edilecek bir kulaklık siparişi onaylanmıştı. Kayıtlı kartıyla ödenmişti. Duru hesabına girmeye çalıştı; parolası değiştirilmişti.

Bir saat sonra müşteri hizmetleriyle konuşurken asıl soruyu kendine sordu: parolası zayıf değildi ki. Büyük harf, küçük harf, rakam ve noktalama içeriyordu; sitenin kayıt sayfası onu "güçlü" diye yeşille işaretlemişti. Kimseye söylememiş, hiçbir yere yazmamıştı.

Ece akşam onunla oturup birkaç soru sordu ve cevap üçüncü soruda çıktı. Duru aynı parolayı lise yıllarında üye olduğu bir yemek tarifi forumunda da kullanmıştı. O forumun veritabanı yıllar önce sızmıştı ve Duru'nun e-posta adresi ile parolası, internette dolaşan listelerden birindeydi. Kimse Duru'nun parolasını tahmin etmemişti; parola zaten biliniyordu. Bu ders bir parolanın hangi yollardan zayıfladığını ve gücünün neden karmaşıklıktan çok uzunlukta ve tekliğinde yattığını anlatıyor.

Tek fikir

Bir parola üç yoldan düşer: tahmin edilir, başka bir yerden sızar ya da sızdığı yerden başka hesaplarda denenir. Karmaşıklık kuralları bu üçünün yalnız birine karşı biraz işe yarar; uzunluk ve her hesaba ayrı parola üçüne de yarar.

Nasıl çalışır

Parola, bilgisayarın sana "sen kimsin" diye sorduğunda verdiğin cevabın en eski biçimidir. Gücü tek bir şeye dayanır: onu yalnız senin bilmen. Bir parolayı zayıflatan her şey, bu "yalnız" kelimesini aşındıran şeydir. Saldırganın elinde üç yol vardır.

Birinci yol tahmindir. Saldırgan bir hesabın giriş sayfasına sırayla parolalar dener. Bunun en kaba hâli, bütün olası karakter dizilerini tek tek denemektir.

Tahminin bir de tersine çevrilmiş hâli vardır. Bir hesaba çok sayıda parola denemek, birkaç yanlış denemeden sonra hesabı kilitler ve dikkat çeker. Saldırgan bu yüzden bazen tersini yapar.

İkinci yol sızıntıdır. Parolan senin elinde güvende olabilir, ama onu kullandığın her site de onu bir biçimde saklar. Sitelerden biri ele geçirildiğinde kullanıcı adları ve parolalar ya da parolalardan türetilmiş değerler dışarı çıkar. İyi tasarlanmış bir site parolayı geri çevrilemeyen bir biçimde saklar; bu, saldırganın işini zorlaştırır ama kısa ve sık kullanılan parolaları korumaz, çünkü saldırgan kendi bilgisayarında, hiçbir kilitlenmeye takılmadan milyarlarca tahmini o saklanan değerlerle karşılaştırabilir. Kötü tasarlanmış bir site ise parolayı açık metin olarak saklar ve sızıntı anında parolan olduğu gibi ortadadır. Hangisinin olduğunu sen bilemezsin.

Üçüncü yol, Duru'nun başına geleni açıklar.

Bu üç yolu yan yana koyunca karmaşıklık kurallarının neden beklenen işi yapmadığı görünür. Büyük harf, rakam ve noktalama zorunluluğu, saldırganın rastgele dizi denediği varsayımına karşı yazılmıştır. Ama insanlar bu kurala tahmin edilebilir biçimde uyar: baş harfi büyütür, sona bir yıl ve bir ünlem ekler. Duru'nun parolası bu kalıptaydı. Kurallar sızıntıya ve tekrar kullanıma ise hiç dokunmaz; karmaşık bir parola sızdığında da aynı kolaylıkla başka kapılarda denenir.

Uzunluk neden işe yarar? Her eklenen karakter, olası parolaların sayısını çarpar; on beş karakterlik bir parolanın tahmin uzayı, sekiz karakterlik bir parolanınkinden kat kat büyüktür ve bu büyüme, karakter türü eklemekten çok daha hızlıdır. Ama uzunluk da tek başına yetmez: bir şarkının ilk dizesi uzundur ama tahmin listelerinde yer alır. Güçlü parola uzun, tahmin edilemez ve tek bir hesaba aittir. Bu üçünü aynı anda sağlamanın pratik yolunu sonraki iki ders ele alacak.

Sahada

Savunma

Parolanın üç düşüş yoluna karşı savunma da üç katmanlıdır ve her katman başka birine düşer.

Kullanıcıya düşen ilk iş, her hesaba ayrı parola kullanmaktır. Bu, kimlik bilgisi doldurmayı tamamen boşa çıkarır: bir site sızdığında yalnız o sitedeki parola kaybedilir. İkinci iş uzunluktur: on beş karakterin altına inmemek, akılda tutulacak parolalarda birkaç kelimeden oluşan bir ifade kullanmak. Üçüncü iş, bir sızıntıdan haberdar olmaktır: e-posta adresinin bilinen sızıntılarda geçip geçmediğine bakmak ve geçtiği sitedeki ve o parolayı paylaşan her yerdeki parolayı değiştirmek. Bu üç işi insan hafızasıyla yürütmek zordur; bu yüzden bir sonraki ders parola yöneticisine ayrılmıştır.

Hizmeti işletene düşen iş, Selin'in ve Gülay Hanım'ın yaptığıdır. Tahmin denemelerini sınırlamak, yani aynı hesaba ve aynı kaynaktan gelen denemeleri yavaşlatmak; yeni parolaları sık kullanılan ve sızmış parolalar listesine karşı kontrol etmek; karmaşıklık ve periyodik değiştirme kurallarını kaldırıp yerine uzunluk koymak; olağandışı girişlerde kullanıcıya bildirim göndermek. Parolanın kendisini de geri çevrilemeyen, yavaş hesaplanan bir biçimde saklamak; bu ayrıntıyı kriptografi modülünde göreceğiz.

Herkese düşen son iş, parolanın tek başına kalmamasıdır. Uzun ve tek bir parola bile oltalama sayfasına yazıldığında ya da klavyeyi kaydeden bir programa yakalandığında düşer; NIST rehberi de bu saldırıların uzunluk ve karmaşıklıktan etkilenmediğini açıkça yazar. Bu yüzden önemli hesaplarda parolanın yanına ikinci bir doğrulama adımı eklemek gerekir; bu modülün dördüncü dersi bunu ele alıyor.

Uygulama

Kendi e-posta adresinin bilinen sızıntılarda geçip geçmediğine bakacak ve hangi hesaplarının aynı parolayı paylaştığını çıkaracaksın. Hiçbir parolayı bir yere yazmayacak, yalnız hesap adlarını listeleyeceksin.

Listenin uzun çıkması seni şaşırtmasın; tekrar kullanım, insanların hafızasıyla baş etme biçimidir, bir karakter kusuru değil.

Defter: Hesaplar bölümüne iki sütun ekle: parola başka bir hesapla ortak mı, ve son bilinen sızıntı tarihi. E-posta parolasının değiştirildiği tarih. Takvime üç ayda bir: sızıntı sorgusunu ve tarayıcının parola denetimini yinele.

Hata köşesi

Etik ve sınırlar

Sızıntı sorgulama hizmetine yalnız kendi e-posta adresini ya da bakmaya yetkili olduğun adresleri yaz. Bir kurumun güvenlik ekibi, çalışanlarının kurum adreslerini izleyebilir; bir başkasının kişisel adresini merak yüzünden sorgulamak ise onun hakkında izinsiz bilgi toplamaktır. Daha da ötesi açıktır: internette dolaşan sızıntı dökümlerini indirmek, içlerinde başkalarının parolasını aramak ya da bir parolanın başka bir sitede çalışıp çalışmadığını denemek, o hesapların sahiplerinin yetkisi olmadan sisteme girme girişimidir ve suçtur. Ece, Duru'nun hesaplarına onun yanında, onun izniyle baktı; sızıntı listesinin kendisine hiç dokunmadı.

Kapanış

1. Bir parola tahmin edilerek, kullanıldığı sitelerden biri sızarak ya da sızdığı yerden başka hesaplarda denenerek düşer; kimlik bilgisi doldurma, tekrar kullanılan parolayı en zayıf sitenin güvenliğine bağlar.
2. Karmaşıklık kuralları tahmin edilebilir kalıplar üretir ve sızıntıya karşı hiçbir şey yapmaz; NIST rehberi onların yerine en az on beş karakter ve sızmış parola kontrolünü koyar, periyodik değiştirmeyi yasaklar.
3. Savunma, her hesaba ayrı ve uzun parola, sızıntılardan haberdar olma ve önemli hesaplarda parolanın yanına ikinci bir doğrulama adımıdır; e-posta parolası ilk korunacak paroladır.

Üç soru

1. Duru'nun karmaşık parolası neden düştü?
2. Kaan'ın gördüğü giriş denemeleri neden hesap kilitleme eşiğine takılmadı ve politikaya uyan bir parola neden işe yaramadı?
3. Defne Hanım'ın bürosundaki doksan günlük değiştirme kuralı güvenliği neden azaltıyordu?

Yanıtlar

1. Parola tahmin edilmedi; Duru aynı parolayı yıllar önce sızan bir forumda da kullanmıştı ve e-posta ile parola çifti sızıntı listelerindeydi. Saldırgan bu çifti alışveriş sitesinde denedi ve kapı açıldı. Bu, kimlik bilgisi doldurmadır; karmaşıklık, sızmış bir parolayı korumaz.
2. Saldırgan her hesaba yalnız bir kez ve aynı parolayla girmeyi denedi; tek hesaba çok deneme yapmadığı için kilitlenme eşiği hiç devreye girmedi. Mevsim, yıl ve ünlemden oluşan parola karmaşıklık politikasına uyuyordu ama insanların sık seçtiği bir kalıptı; üç hesap onu kullanıyordu.
3. Sık değiştirme zorunluluğu, çalışanları hatırlayabilecekleri tahmin edilebilir sıralara itti: şehrin adı ve sıra numarası. Bir eski parolayı bilen biri yenisini kolayca tahmin edebilirdi. Kural kaldırılıp yerine uzunluk ve sızıntıda değiştirme kondu.

Sonraki derse köprü

Bu ders bir talep bıraktı: her hesaba ayrı, en az on beş karakterlik ve tahmin edilemez bir parola. Bir insanın yüz hesap için bunu akılda tutması mümkün değil; Nilüfer Hanım'ın kilitli çekmecedeki defteri de bir yere kadar taşır. Ders 6.2 parola yöneticisini ele alıyor: her hesaba ayrı parolayı nasıl mümkün kıldığını, ana parolanın neden her şeyin anahtarı olduğunu ve yöneticinin kendi taşıdığı riski.