Parola Güvenliğine Başlangıç Rehberi: 7 Temel Adım

Parola güvenliğiyle ilgilenmeye başlamak için genellikle bir şeyin ters gitmesi gerekir: bir hesabın ele geçirilmesi, bir veri sızıntısı bildirimi ya da başka birinin yaşadığı bir olay. İlk adımı atmak için o ana kadar beklemenizi gerektiren hiçbir şey yok. Temel bir güvenlik düzeni kurmak, sıfırdan başlayan biri için birkaç saatlik planlı çalışmayla gerçekleştirilebilir.

Büyük ihtimalle şu tabloyla karşı karşıyasınız: onlarca hesap, bunların çoğunda birbirine benzer ya da aynı parolalar, güncellenmemiş kurtarma bilgileri ve aktif olmayan eski hesaplar. Tüm bunları tek bir oturumda çözmek hem zor hem gereksiz. Neyin önce geleceğini bilmek, konuya boğulmadan ilerlemenizi sağlar.

Kontrol listesi, tamamlanan ile atlananı ayırır. Uzunluk, benzersiz parola, yönetici, 2FA, öncelikli hesaplar, atıl hesap kapatma ve sızıntı kontrolü; hiç alışkanlığı olmayandan başlayan sıra bu yedidir. Hepsi aynı haftada bitmez.

Uzunluk önce gelir

Parola direnci iki şeyle belirlenir: uzunluk ve tahmin edilemezlik. Çoğu kişi karmaşıklığa odaklanır; büyük harf, sembol, rakam. Ama asıl belirleyici olan boyuttur.

Bunu matematiksel olarak düşünebilirsiniz. Küçük harf, büyük harf, rakam ve yaygın semboller bir araya geldiğinde yaklaşık 94 karakterlik bir havuz oluşur. 8 karakterli bir parola bu havuzdan 94⁸, yani yaklaşık 6,1 katrilyon kombinasyon üretir. Modern grafik işlemciler saniyede milyarlarca karma (hash) değeri hesaplayabilir; hedefli saldırılarda bu eşik saatler ile günler arasında aşılabilir. 16 karaktere geçtiğinizde aynı havuz 94¹⁶ kombinasyon üretir; fark katlanarak büyür ve pratikte kırılması imkansız bir eşiğe ulaşır. Uzunluk her karakterde entropi (entropy) biriktirir; karmaşıklık ise havuzu büyütür ama uzunluğun verdiği kazancı yakalayamaz.

Parola ifadeleri de bu mantıkla çalışır. Birbirinden anlam olarak kopuk dört ya da beş kelime, "Kalem Nehir Tahta Sonbahar" gibi, hem yeterli uzunluğu hem de hatırlanabilirliği bir arada sunar. Ancak bu kelimelerin gerçekten rastgele seçilmesi şarttır; aklınıza gelen ilk kelimeler değil. Zar atarak ya da bir rastgele kelime üreteci kullanarak seçmek, tahmin edilemezliği sağlar.

Karmaşıklık kurallarını karşılamak için parolayı kısaltmak ters etki yaratır. Bir sembol eklemek yerine bir kelime daha ekleyin.

Her hesap için farklı parola kullanın

Aynı parolayı birden fazla yerde kullanmak, en zayıf halkayı tüm zinciri belirleyici kılar. Bir servis veri sızıntısına uğradığında, saldırganlar ele geçirdikleri e-posta ile parola kombinasyonunu otomatik araçlarla yüzlerce farklı serviste dener. Bu saldırı türüne kimlik bilgisi doldurma (credential stuffing) denir ve hedefli değil, toplu çalışır; siz farkında olmadan hesabınız listeye girer.

Formül tabanlı varyasyonlar da, "Hesap123", "Hesap2024" gibi kalıplar, saldırı araçlarının test listeleri arasındadır. Çünkü bu yaklaşım insanlar arasında öngörülebilir bir davranış kalıbı oluşturur. Bir hesabınızın parolasını bilen biri, diğerlerini birkaç denemeyle tahmin edebilir.

Her hesabınız ayrı bir savunma hattına kavuşur. Bir servis ele geçirildiğinde diğerleri etkilenmez, çünkü ortak bir parola yok. Bunu uygulamanın gerçekçi tek yolu bir parola yöneticisidir; yüzlerce farklı, rastgele değeri bellekte tutmak mümkün değil, yönetici ise hem üretiyor hem saklıyor hem de giriş yaparken dolduruyor.

Parola yöneticisi: seçim ve kurulum

Parola yöneticisi (password manager), parolalarınızı şifreli bir kasada tutar ve tek bir ana parola (master password) ile kasaya erişmenizi sağlar. İki ana kategori vardır: yerel depolayan araçlar ve bulut tabanlı olanlar.

Yerel araçlar veriyi yalnızca sizin cihazınızda tutar. Sunucu tarafında sızıntı riski yoktur. Dezavantajı, farklı cihazlar arasında senkronizasyonu kendiniz kurmanız gerekmesidir; bu basit ama ek bir adımdır. Bulut tabanlı araçlar otomatik senkronizasyon sunar; güvenlik modeli ise farklı çalışır. Veri sunucuda şifrelenmiş olarak durur, sağlayıcı içeriği göremez çünkü şifre çözme işlemi yalnızca cihazınızda gerçekleşir. Açık kaynak yapısındaki araçlar için bu iddia bağımsız olarak denetlenebilir.

Ana parola kasanın tek kilididir. Unutursanız içeriğe erişemezsiniz; sağlıklı bir araçta kurtarma mekanizması yoktur ve olmamalıdır. Bu parolayı 16 karakterin üzerinde, rastgele ve hem dijital hem de fiziksel bir yedekle oluşturun. Kağıda yazıp kilitli bir yerde tutmak, "unutacağım" kaygısını ve bununla birlikte gelen güvensiz kapasite sınırını ortadan kaldırır.

Kurulumun ardından tarayıcı eklentisini yükleyin. Mevcut parolalarınızı tarayıcının dahili kasasından CSV olarak dışa aktarıp yöneticiye aktarabilirsiniz; aktarımdan sonra tarayıcının kasasını temizleyin. Bundan sonra yeni hesap oluşturduğunuzda ya da bir parolayı güncellediğinizde, yöneticinin rastgele parola üretecini kullanın. Eskiden kaydettiğiniz parolaları da zaman içinde birer birer bu şekilde yenileyin; hepsini aynı anda yapmak zorunda değilsiniz.

İki aşamalı doğrulama nasıl kurulur?

İki aşamalı doğrulama (2FA), parolanız ele geçirilse bile hesabınıza girişi engeller. Parolanın tek başına sağlayabileceğinin ötesinde ayrı bir katman ekler. İkinci faktör olarak ne kullandığınız önemli bir fark yaratır.

SMS tabanlı doğrulama en yaygın olanıdır ve hiç olmamaktan iyidir. Ancak SIM takas (SIM swap) saldırılarına karşı zayıftır: saldırgan, operatörünüzü arayıp sizi taklit ederek numaranızı kendi SIM kartına aktarabilir. Bu yöntem çoğu durumda yüksek değerli hesaplara yönelik hedefli saldırılarda kullanılır; sıradan bir kullanıcı için anlık risk daha düşük olmakla birlikte, daha güçlü bir seçenek varken tercih edilmemesi gereken bir yöntemdir.

Zamana dayalı tek kullanımlık kod (TOTP) üreten kimlik doğrulayıcı uygulamaları çok daha sağlam bir seçenektir. Bu uygulamalar her 30 saniyede bir yeni kod üretir; kod hesabınıza bağlı bir sırra dayanır ve sunucuyla iletişim kurmaz. 2FA kurulumu sırasında size gösterilen QR kodunu ya da metin anahtarını yöneticinize de kaydedin; telefon kaybolduğunda ya da değiştiğinde hesaplarınıza tekrar erişmek için bu yedeğe ihtiyaç duyarsınız.

Kurulum sırası şu şekilde işler: hesabın güvenlik ayarlarına girin, iki aşamalı doğrulamayı etkinleştirin, QR kodu uygulamayla tarayın, ardından bir test kodu girerek bağlantıyı onaylayın. Sunulan kurtarma kodlarını (backup codes) yöneticinize kaydedin; tek seferlik kullanım için tasarlanmışlardır ve bir daha gösterilmezler.

Öncelikli hesaplar: nereden başlayacaksınız?

Her hesabı aynı anda güncellemek yerine önceliklendirin. Saldırganlar da önceliklendirir.

En kritik hesap e-postanızdır. Çünkü neredeyse her servis "parolayı unuttum" akışında e-postanıza bağlıdır. E-posta hesabınız ele geçirilirse diğer hesaplara giriş, parola sıfırlama ve kurtarma süreçleri tehlikeye girer. Banka ve finans hesapları ikinci sırada gelir; doğrudan maddi kayıpla sonuçlanabilirler. Üçüncü sıra, kişisel verilerinizi barındıran hesaplardır: devlet servisleri, sağlık uygulamaları, bulut depolama.

Sosyal medya hesapları ise önemi düşük gibi görünse de kimlik avı (phishing) saldırılarında sıkça kullanılır. Hesabınız ele geçirilirse çevrenize yönlendirilmiş sahte mesajlar gönderilebilir. Bu hesaplar için de güçlü parola ve 2FA uygulamak ertelenebilecek değil, program dahilinde yapılabilecek adımlar.

İlk hafta e-posta ve finansal hesapları güncelleyin. İkinci hafta diğer kritik hesaplara geçin. Her hafta birkaç hesap, birkaç ay içinde tablonun tamamını değiştirir.

Eski ve atıl hesapları kapatın

Artık kullanmadığınız her hesap, sizinle ilgili veri depolayan ve koruma sorumluluğunu başkasına bırakan bir yük. O servis bir veri sızıntısına uğradığında etkilenirsiniz; hesabı aktif tutmanızı gerektiren bir neden kalmamış olsa bile.

Kapatma işlemi genellikle birkaç dakika alır ama bulmak zahmetli olabilir. Eski e-posta kutunuzu "hoş geldiniz", "doğrulama", "hesabınız oluşturuldu" gibi terimlerle arayın; onlarca unutulmuş hesabın izi oradadır. Her biri için şu soruyu sorun: bu servisten herhangi bir şeye ihtiyacım var mı? Yanıt hayırsa, hesabı kapatın ve mümkünse veri silme talebinde bulunun.

Kapatamadığınız ya da kapatmak istemediğiniz eski hesaplar için en azından parolayı yöneticinize taşıyın ve mümkünse 2FA ekleyin. Varlığını unuttuğunuz ama açık kalan bir hesap, güvenlik düzeninizin dışında işleyen bir erişim noktasıdır.

Sızıntı kontrolü ve düzenli bakım

Parolalarınızı güçlü ve birbirinden farklı tutmak yetmez; kullandığınız servisler de sızıntıya uğrayabilir. Bir sızıntı gerçekleştiğinde bile haberi bazen aylarca almayabilirsiniz ya da hiç almayabilirsiniz.

E-posta adresinizin bilinen bir sızıntıda yer alıp almadığını kontrol etmek için kamuya açık sızıntı veritabanlarını kullanan araçlar vardır. Bir eşleşme bulunduğunda o servise ait parolayı hemen değiştirin; eğer aynı parolayı başka yerlerde de kullandıysanız onları da güncelleyin. Düzenli aralıklarla, üç ila altı ayda bir bu kontrolü tekrarlayın.

Bazı parola yöneticileri bu taramayı otomatik olarak yapar ve kasanızdaki parolalar için sizi uyarır. Parola yeniden kullanımı, zayıf parola ve bilinen sızıntılarda yer alan parolalar için ayrı ayrı uyarı sağlayan araçlar mevcuttur. Bu özellik, güvenlik bakımını reaktif olmaktan çıkarır; beklemek yerine önceden haberdar olursunuz.

Kurtarma bilgilerini de yılda bir gözden geçirin. Yedek telefon numarası, kurtarma e-postası, güvenlik sorularının yanıtları: bunların güncel ve erişilebilir olduğunu doğrulayın. Hesap kurtarma süreçleri, zayıf ya da atılmış bilgilere dayandığında amaçsız hale gelir.

Yedi adımın tamamı bir anda tamamlanmak zorunda değil. Her biri kendi başına somut bir iyileşme sağlar. E-posta hesabınızı bu hafta güçlendirmek, bir yıl sonra tüm hesapları planlamaktan çok daha değerlidir. Başlangıç noktasının mükemmel olmak zorunda olmadığı gerçeği, erteleme için değil, şimdi bir adım atmak için bir gerekçe.

Oluşturduğunuz düzen zamanla kendi inercisini kazanır. Yeni bir hesap açtığınızda yönetici otomatik olarak devreye girer, rastgele parola üretir ve kaydeder. 2FA zaten aktiftir. Sızıntı uyarıları geldiğinde neyi yapmanız gerektiğini bilirsiniz. Güvenlik, bir seferlik bir müdahaleden bir alışkanlığa dönüşür; bu noktaya ulaştığınızda geriye bakıp ne kadar az şeyin sizi koruduğunu görmek tuhaf gelir.