Güçlü Şifre Oluşturucu — Güvenli ve Rastgele

Güncel öneri, önemli hesaplar için en az 16 karakterdir; 12 karakter bugün makul bir alt sınır sayılır, 8 karakter ise modern donanımla saatler içinde kırılabildiği için artık yetersizdir. Mantığı şu: her ek karakter, deneme yanılma (brute force) saldırısının süresini katlanarak uzatır. Dört karakter kümesinin tamamı açıkken 8 karakterlik bir şifrenin olasılık uzayı saniyeler-saatler mertebesinde taranabilirken, 16 karakterlik şifre için bu süre evrenin yaşını aşan değerlere çıkar. Uzunluk, karmaşıklıktan daha fazla güvenlik üretir: 20 karakterlik harf-rakam şifresi, 10 karakterlik sembollü şifreden çok daha güçlüdür. Bu araçtaki güç göstergesi entropi bitini gösterir; 60 bit üstü çoğu kişisel hesap için yeterli, 80 bit üstü ise banka ve e-posta gibi kritik hesaplar için rahat bir emniyet payıdır. Şifreyi hatırlamak zorunda değilseniz, yani bir şifre yöneticisi kullanıyorsanız, uzunluğu cömert tutmanın hiçbir maliyeti yoktur. Tek istisna, bazı sistemlerin şifre uzunluğuna üst sınır koymasıdır; öyle bir sınırla karşılaşırsanız izin verilen en uzun değeri seçip tüm karakter kümelerini açık tutun.

Şifre, tarayıcının kriptografik rastgele sayı üreteci olan crypto.getRandomValues ile üretilir. Bu üreteç, işletim sisteminin donanım kaynaklı entropi havuzundan beslenir ve kumarhane yazılımlarından TLS anahtar üretimine kadar güvenlik kritik her yerde kullanılan standarttır. Math.random gibi tahmin edilebilir üreteçlerle ilgisi yoktur; çıktısı bilinen hiçbir yöntemle öngörülemez. Uygulama tarafında iki ek önlem daha var. Birincisi modulo bias düzeltmesi: rastgele sayı karakter kümesine indirgenirken bazı karakterlerin istatistiksel olarak daha sık çıkmasına yol açan matematiksel sapma, reddetme örneklemesiyle sıfırlanır. İkincisi karıştırma: her seçili kümeden en az bir karakter garanti edilirken bu karakterlerin şifrenin başında kümelenmemesi için sonuç Fisher-Yates algoritmasıyla karıştırılır. Sonuç olarak üretilen şifrede konum bilgisinden veya karakter dağılımından yararlanılarak tahmin yapılamaz; her karakter, havuzdaki her karaktere eşit olasılıkla denk gelir.

Hayır. Üretim tamamen tarayıcınızın içinde gerçekleşir: düğmeye bastığınızda cihazınız rastgele sayılar üretir, karakterlere çevirir ve ekranda gösterir. Bu süreçte ağa hiçbir istek çıkmaz; şifre sunucumuza ulaşmaz, günlük dosyalarına yazılmaz, analitik araçlarına gitmez. Biz dahil hiç kimse ürettiğiniz şifreyi göremez. Kopyala düğmesi şifreyi yalnızca cihazınızın panosuna alır; pano içeriği de bizim erişimimiz dışındadır. Sayfayı kapattığınızda şifre bellekten silinir. Burada bir uyarı da yerinde: şifre üretmek için yapay zekâ sohbet araçlarını kullanmayın. Sohbete yazdığınız veya botun ürettiği her şey o servisin sunucularında kayıt altına alınır ve eğitim ya da denetim süreçlerinde insan gözüne değebilir; şifre gibi bir sırrı sohbet geçmişine emanet etmek, onu bir başkasının defterine yazdırmakla aynı şeydir. Rastgelelik gerektiren sırlar her zaman cihazda üretilmelidir. Doğrulamak isteyen için somut bir yol da var: tarayıcının geliştirici araçlarında ağ sekmesini açın ve üret düğmesine basın; dışarı giden tek bir istek bile görmezsiniz.

Gerekli, ve sebebi şifrenizin gücünden bağımsız: veri sızıntıları. Büyük siteler düzenli olarak saldırıya uğrar ve kullanıcı veritabanları internete düşer. Aynı şifreyi birden çok yerde kullanıyorsanız, en zayıf halkadan sızan tek bir parola, saldırganın e-postanıza, bankanıza ve sosyal medya hesaplarınıza denemesi için hazır anahtar olur; bu otomatik saldırı türünün adı credential stuffing'dir ve sızıntı sonrası saatler içinde başlar. 64 karakterlik mükemmel bir şifre bile üç sitede kullanılıyorsa, üç sitenin en kötü korunanı kadar güvendesiniz demektir. Pratik çözüm şifre yöneticisidir: tek bir güçlü ana parola ezberler, geri kalan her hesap için bu araçtakine benzer rastgele ve benzersiz şifreleri yöneticiye ürettirip kaydedersiniz. Tarayıcıların yerleşik şifre yöneticileri de hiç yoktan iyidir. Hangi yolu seçerseniz seçin kural aynı: bir şifre, bir hesap. Hesabınızın bir sızıntıda yer alıp almadığını merak ediyorsanız, e-posta adresinizi sızıntı veritabanlarını tarayan güvenilir servislerde sorgulayıp çıkan her hesabın şifresini hemen değiştirin.

Bazı sistemler, özellikle eski kurumsal yazılımlar ve kimi banka panelleri, sembol karakterlerini reddeder veya yalnızca belirli sembollere izin verir. Bu durumda sembol kümesini kapatıp uzunluğu artırın: güvenlik açısından net bir denklik kurulabilir, sembolsüz ama 4 karakter daha uzun bir şifre, sembollü kısa şifreyle aynı entropi düzeyini rahatça yakalar. Örneğin 62 karakterlik harf-rakam havuzuyla 20 karakter, 86 karakterlik tam havuzla 18 karakterden daha güçlüdür. Aynı yöntem 'Türkçe karakter kullanmayın' uyarısı veren sistemler için de geçerlidir; bu araç zaten yalnızca evrensel ASCII karakterleri kullandığı için o sorunla karşılaşmazsınız. Sitenin uzunluk üst sınırı varsa, örneğin en fazla 12 karakter kabul ediyorsa, kalan bütün kümeleri açık tutarak havuzu olabildiğince genişletin. Güç göstergesi her ayar değişikliğinde anında güncellendiği için seçtiğiniz kombinasyonun yeterli olup olmadığını üretmeden önce görürsünüz.

Rastgele şifrelerin ezberlenememesi tasarım gereğidir; ezberlenebilir şifre, tahmin edilebilir şifredir. Saklama için en iyi araç bir şifre yöneticisidir: tüm şifreleriniz şifrelenmiş bir kasada durur, siz yalnızca ana parolayı bilirsiniz ve tarayıcı eklentisi giriş alanlarını otomatik doldurur. Açık kaynaklı ve ücretsiz seçenekler dahil olgun bir ekosistem var. İkinci en iyi seçenek tarayıcının yerleşik şifre yöneticisidir; hesabınıza bağlı senkronizasyonla cihazlar arasında taşınır. Kağıda yazmak, evinizde güvenli bir yerde durduğu sürece sanıldığı kadar kötü değildir; internetteki saldırgan çekmecenize uzanamaz. Asıl kaçınılması gerekenler şunlardır: şifreleri telefonun not uygulamasında şifresiz tutmak, kendinize e-posta atmak, tarayıcıya her seferinde 'şifremi unuttum' yaptırmak ve aynı şifreyi her yerde kullanmak. Bir de çift aşamalı doğrulamayı açmayı unutmayın; en güçlü şifre bile ikinci bir kilitle daha güvenlidir.