Parola ifadesi

Açılış

Kaan'ın şirket dizüstüsü yenilenmişti ve ilk açılışta iki parola istendi: disk şifrelemesinin açılış parolası ve yeni kurduğu parola yöneticisinin ana parolası. Kaan ikisi için de aynı yöntemi kullandı: en sevdiği şarkının nakaratından bir dize aldı, birkaç harfi rakama çevirdi, sonuna bir ünlem koydu. Yirmi altı karakter. Uzunluk kuralını rahatça geçiyordu.

Gülay Hanım kurulumu kontrol ederken ona sordu: "Bu dizeyi kaç kişi biliyor?" Kaan güldü; şarkı yıllardır listelerdeydi. "Peki bir saldırgan insanların aklına gelen uzun cümleleri denemek istese, nereden başlardı?"

Kaan cevap veremedi. Gülay Hanım çekmecesini açtı, beş tane zar ve birkaç sayfalık basılı bir kelime listesi çıkardı. "Uzunluk iyi," dedi, "ama uzunluğu senin aklın değil şans üretmeli." Bu ders, akılda kalan ama tahmin edilemeyen uzun bir parolayı kurmanın yolunu ve böyle bir parolanın hangi yerlerde gerçekten gerektiğini anlatıyor.

Tek fikir

Parola ifadesinin gücü cümlenin uzunluğundan değil, kelimelerin rastgele seçilmesinden gelir. İnsanın seçtiği uzun cümle tahmin edilebilir; zarın seçtiği altı sıradan kelime hem hatırlanır hem de tahmin edilemez.

Nasıl çalışır

Parola yöneticisi dersinden geriye birkaç parola kaldı: yöneticinin ana parolası, bilgisayarın açılış parolası ve disk şifrelemesinin parolası. Bunlar yöneticiye emanet edilemez, çünkü yöneticiyi açmak için ya da yönetici henüz çalışmazken gerekirler. Bu birkaç parola hem uzun, hem tahmin edilemez, hem de her gün elle yazılabilir olmalıdır.

Ama Kaan'ın gördüğü gibi uzunluk tek başına bir ölçü değildir. Bir parolanın gücünü ölçmenin doğru yolu, saldırganın onu bulmak için kaç tahmin yapması gerektiğidir.

Bu yüzden Kaan'ın şarkı dizesi, yirmi altı karakter olmasına rağmen, milyonlarca şarkı sözü ve atasözünden oluşabilecek bir listenin içindeki tek bir satırdır. Harfleri rakama çevirmek de çok az şey ekler; bu dönüşümler bilinen ve sınırlı sayıda olduğu için tahmin programları onları da sırayla dener. Çözüm, seçimi insandan alıp şansa vermektir.

Sayıların anlamını görmek için küçük bir hesap yapalım. Altı kelimelik ifadenin olası sayısı, yedi bin yedi yüz yetmiş altının altıncı kuvvetidir; bu, iki ile başlayan yirmi dört basamaklı bir sayıdır, yani yaklaşık yetmiş yedi buçuk bit. Dört kelime yaklaşık elli iki bit verir; bu, klavyedeki bütün basılabilir karakterlerden tamamen rastgele seçilmiş sekiz karakterlik bir parolayla aynı düzeydedir. Ama o sekiz karakteri ezberlemek zor, dört sıradan kelimeyi ezberlemek kolaydır. Altıncı kelime eklendiğinde tahmin uzayı, dört kelimeye göre altmış milyon kat büyür.

Türkçe konuşan biri için bir soru doğar: liste İngilizcedir. İngilizce kelimeleri hatırlamak zor geliyorsa iki yol vardır. Biri, parola yöneticisinin kelimeli üretecini kullanmaktır. Diğeri, büyük ve kimsenin elle seçmediği bir Türkçe kelime listesini numaralandırıp zarla seçmektir; ama listeyi kendin yirmi sevdiğin kelimeden kurarsan seçim yeniden insana döner. Türkçe karakterler bir de pratik soru getirir: bazı cihazlarda açılış ekranı farklı bir klavye düzeniyle gelebilir. İfadeyi kullanmaya başlamadan önce her cihazda, özellikle disk şifrelemesinin açılış ekranında bir kez denemek gerekir.

Sahada

Savunma

Parola ifadesinin savunmadaki yeri dar ama kritiktir: insanın gerçekten elle yazması gereken birkaç parola.

Önce nerede kullanılacağı. Parola yöneticisinin ana parolası, bilgisayar hesabının açılış parolası, disk şifrelemesinin parolası ve belki ev ağının parolası. Bunların dışındaki her hesap için yöneticinin ürettiği rastgele parola daha iyidir; ifadeyi her yerde kullanmaya çalışmak, onu yeniden tekrar kullanılan bir parolaya dönüştürür. Bir ifade yalnız bir yerde kullanılır.

Sonra nasıl kurulacağı. Kelimeleri zar ya da güvenilir bir üreteç seçer; insan değil. Altı kelime çoğu kişisel kullanım için yeterlidir; çok önemli bir şifreli arşiv için yedi kelime daha geniş bir pay bırakır. Kelimelerin arasına boşluk ya da tire konabilir; büyük harf, rakam ya da sembol eklemek gerekmez, eklenen bir şey varsa o da rastgele seçilmelidir. Zarın verdiği sırayı değiştirmemek, kulağa daha hoş gelen kelimeyi seçmemek gerekir; her müdahale seçimi insana geri verir.

Sonra nasıl saklanacağı. İlk haftalarda ifadeyi bir kâğıda yazıp kilitli bir yerde saklamak, unutmaya karşı en iyi önlemdir; Bora'nın zarfı bunun kurumsal hâlidir. İfadeyi telefonda fotoğraf olarak, e-postada ya da bir not uygulamasında tutmak ise onu, korumaya çalıştığın şeyin içine koymaktır.

Son olarak ifadenin tek başına yetmediğini hatırlamak gerekir. Klavyeyi kaydeden bir program ya da sahte bir giriş sayfası, en güçlü ifadeyi bile olduğu gibi alır. Uzun ifade tahmine karşı korur; ele geçirilmeye karşı koruma bir sonraki dersin konusu.

Uygulama

Zarla bir parola ifadesi kuracak ve onu parola yöneticinin ana parolası olarak kullanacaksın. Geçen derste kurduğun ana parola uzun ve tek olsun diye seçilmişti; şimdi onu şansın seçtiği bir ifadeyle değiştireceksin.

Hafızana güvenmek zorunda değilsin; ilk iki hafta kâğıt bunun için orada.

Defter: Ana parolanın zarla yeniden kurulduğu tarih ve kaç kelime olduğu, ama kelimelerin kendisi değil. Hangi cihazda hangi tür parolanın kullanıldığı: ifade, kısa kod ya da yöneticinin ürettiği parola. Kâğıdın yerini doğruladığın tarih.

Hata köşesi

Etik ve sınırlar

Bir başkasına parola ifadesi kurmasında yardım ederken, Ece'nin yaptığı gibi zarları ona attır ve sonucu görme. Yardımcının ifadeyi bilmesi, ifadenin sahibinden başka birinin elinde olması demektir ve bu, yardım amacıyla bile olsa onun izni olmadan bir anahtarın kopyasını tutmaktır. Kurumlarda Bora'nın hastanesinde olduğu gibi bazı ifadelerin birden fazla kişi tarafından bilinmesi gerekebilir; o durumda kimin bileceği yazılı bir yetkiyle belirlenir, iki kişi kuralı uygulanır ve ifadenin her açılışı kayda geçer. Başkasının ifadesini ona sormak ya da onu yazarken izlemek ise, bir anlık bile olsa, yetkisiz bir erişim girişimidir.

Kapanış

1. Parola ifadesi, rastgele seçilmiş birkaç kelimeden kurulan uzun parolalardır; gücü cümlenin uzunluğundan değil kelimelerin rastgele seçilmesinden gelir.
2. Zar yöntemiyle yedi bin yedi yüz yetmiş altı kelimelik bir listeden seçilen her kelime yaklaşık on üç bit ekler; altı kelime yaklaşık yetmiş yedi bitlik bir güç verir ve insan seçimi bu hesabı geçersiz kılar.
3. İfade yalnız elle yazılması gereken birkaç yerde kullanılır: yöneticinin ana parolası, cihaz ve disk açılışı; her yerde ayrı bir ifade, ilk haftalarda kilitli yerde bir kâğıt, ve tahmine karşı güçlü ama ele geçirilmeye karşı tek başına yetersiz olduğunu bilmek.

Üç soru

1. Kaan'ın yirmi altı karakterlik şarkı dizesi neden zayıftı?
2. Altı kelimelik bir zar ifadesinin gücü nasıl hesaplanır ve kelimeleri insan seçerse bu hesaba ne olur?
3. Nilüfer Hanım'ın telefonunda neden uzun bir ifade yerine altı haneli bir kod yeterli görüldü?

Yanıtlar

1. Dize uzundu ama Kaan tarafından seçilmişti ve milyonlarca kişinin bildiği bir şarkıdan geliyordu. Saldırgan yaygın metinleri ve bilinen harf rakam dönüşümlerini tahmin listesine kolayca ekleyebilir; bu yüzden dizenin gerçek tahmin uzayı, uzunluğunun düşündürdüğünden çok küçüktü.
2. Her kelime yedi bin yedi yüz yetmiş altı olasılıktan biridir; altı kelime için bu sayının altıncı kuvveti, yani yaklaşık yetmiş yedi buçuk bit elde edilir. Bu hesap yalnız her kelime zarla, eşit olasılıkla seçildiğinde geçerlidir; insan seçerse sevdiği, yakınındaki ya da sık kullandığı kelimelere yönelir ve gerçek güç ölçülemeyecek kadar düşer.
3. Telefon yanlış denemelerden sonra giderek uzayan beklemeler koyar; bu yüzden tahmin edilemez bir altı haneli kod bile kısa sürede bulunamaz. Uzun ifadenin gerçekten gerektiği yer, böyle bir sınırlama olmadan denenebilecek ya da her şeyi açan parolalardır; Nilüfer Hanım ifadeyi yöneticinin ana parolası için ayırdı.

Sonraki derse köprü

Bu modülün ilk üç dersi parolanın kendisini güçlendirdi: her hesaba ayrı, uzun, tahmin edilemez. Ama hiçbiri Tolga'nın karşılaştığı sahte sayfaya ya da tuş vuruşlarını kopyalayan bir yazılıma karşı koruma vermiyor; en iyi parola bile bir kez görüldüğünde biter. Ders 6.4 çok faktörlü doğrulamayı ele alıyor: bildiğin, sahip olduğun ve olduğun şey ayrımını ve ikinci bir faktörün çalınmış bir parolanın önünde neyi durdurduğunu.