Şifre Yöneticiniz Hacklendiyse Ne Yapmalısınız?

Şifre yöneticisi servislerinde yaşanan güvenlik ihlalleri, kullanıcıların tek bir noktada topladığı tüm parolaları tehdit ettiği için diğer veri sızıntılarından farklı bir ağırlık taşır. 2022'deki LastPass ihlali, bu senaryonun ne kadar karmaşık sonuçlar doğurabileceğini somut biçimde gösterdi; ihlal duyurulduğunda kullanıcıların büyük çoğunluğu ne yapacağını bilemez hale geldi ve bu belirsizlik panikle birleşince yanlış adımlar atıldı.

Paniğin hızlı hamlelerle beslenmesi kaçınılmaz görünse de sıraya uymak, her şeyi aynı anda değiştirmeye çalışmaktan çok daha koruyucudur. Hangi verinin ele geçirildiğini anlamadan atılan adımlar zaman kaybettirir; kimi durumlarda ek güvenlik açıkları bile yaratır.

Resmi ihlal duyurusu yoksa spekülasyonla kasa taşımak yeni bir açık üretir. Duyuru varsa önce kasanın şifreli mi çalındığı okunur; ana parola gücü, hangi hesabın aynı gün değişeceğini belirler.

İhlalin boyutunu anlamak: kasanız şifrelendi mi, şifrelenmedi mi?

Her şifre yöneticisi ihlali aynı anlama gelmez. Saldırganların eline geçen şeyin tam olarak ne olduğunu anlamak, atacağınız adımların aciliyetini doğrudan belirler. Üç temel senaryo vardır ve bunların her biri farklı bir müdahale planı gerektirir.

Birinci senaryoda yalnızca altyapı verileri çalınmıştır: kullanıcı adları, e-posta adresleri, faturalandırma bilgileri. Parola kasanız bu senaryoda dokunulmamış olabilir. İkinci senaryoda şifrelenmiş kasa verisi ele geçirilmiştir; saldırgan şifreli veriyi elde etmiştir ama içeriği görebilmek için ana parolanızı kırmak zorundadır. Üçüncü senaryo en kötüsüdür: hem kasa verisi hem de şifreleme altyapısıyla ilgili ek bilgiler (anahtar türetme parametreleri, tuz değerleri, iterasyon sayıları) birlikte ele geçirilmiştir.

Servisin resmi ihlal bildirimini satır satır okuyun. "Şifreli kasa verisi" ifadesi geçiyorsa ikinci senaryodasınız demektir ve ana parolanızın gücü her şeyi belirler. "Parola kasaları etkilenmedi" yazıyorsa birinci senaryodasınız; ama bu ifadeye körü körüne güvenmek de doğru değildir, zira bazı şirketler ihlali küçümseyerek açıklar ve gerçek kapsam haftalar sonra netleşebilir.

İlk 24 saat: hangi parolayı önce değiştirirsiniz?

Kasanızdaki tüm parolaları aynı anda değiştirmeye çalışmak hem pratik olmaktan uzaktır hem de gereksizdir. Öncelik sırasını belirleyen iki kriter vardır: hesabın içerdiği verinin hassasiyeti ve hesabın başka hesaplara kapı açıp açmaması.

Önce şu dört kategoriyi değiştirin: birincil e-posta hesabı (parola sıfırlama bağlantılarının gittiği adres), bankacılık ve yatırım hesapları, birincil sosyal medya hesapları (başka servislere kimlik sağlayıcısı olarak kullanılanlar), iş ve kurumsal hesaplar. Bu kategoriler, kötü aktörün doğrudan veya dolaylı biçimde her şeye ulaşmasını sağlayan zincirin halkalarıdır; biri çözüldüğünde diğerlerinin kilidi de açılır.

Hız burada güvenliği belirler. Ama parolaları değiştirirken yeni parolaları doğrudan tarayıcıya veya bir kağıt parçasına not etmeyin; geçici olarak yerel ve şifreli bir belgeye ya da kurduğunuz yeni şifre yöneticisine aktarın, aksi halde değiştirdiğiniz parolaları takip edemez hale gelirsiniz ve yaptığınız değişiklikler kaybolur.

Acele değiştirmeniz gerekmeyen hesaplar da vardır: uzun süredir kullanmadığınız alışveriş siteleri, haber bülteni abonelikleri, ücretsiz deneme için kaydolduğunuz ve artık aktif kullanmadığınız servisler. Bu hesaplar için kritik olanları güvene aldıktan sonra kalan listeyi sakin bir tempoyla işlemek yeterlidir; aynı anda tüm listeye girişmek hem hata oranını artırır hem de gözden kaçan hesap sayısını.

Ana parola güçlü olsa bile risk sıfıra inmez

Şifre yöneticileri çoğunlukla PBKDF2, bcrypt veya Argon2 gibi yavaş anahtar türetme fonksiyonlarıyla ana parolayı saklarlar; bu yöntemler kaba kuvvet (brute force) saldırılarını yavaşlatır. Kırma süresini belirleyen temel etkenler iterasyon sayısı, parolanın uzunluğu ve karakter çeşitliliğidir. 8 karakterli, sözlük sözcüklerinden oluşan bir parola saatler içinde kırılabilirken, 16 karakterli rastgele bir parola için gereken süre modern donanımla bile astronomik boyutlara çıkar.

"Güçlü parolam var, sorun yok" sonucuna varmak erken bir rahatlamadır. LastPass ihlaline ilişkin teknik analizler, kasa içindeki URL'lerin şifresiz metin olarak depolandığını ortaya koydu; bu, saldırganların hangi sitelerde hesabınız olduğunu bilebildiği anlamına gelir. Bu bilgi, hedefli kimlik avı (phishing) saldırıları için yeterlidir; parolayı kırmak bile gerekmez.

Ana parolanızı ihlalin hemen ardından değiştirin. Yeni ana parola en az 16 karakter içermeli, büyük-küçük harf, rakam ve özel karakterleri birleştirmeli, kasadaki hiçbir başka parolayı hatırlatmamalıdır. Birbirinden alakasız dört-beş sözcükten oluşan bir parola cümlesi (passphrase) bu noktada güçlü bir seçenektir: 30 karakteri aşan böyle bir cümle hem yüksek entropi sunar hem de ezberlemesi kolaylaşır, çünkü rastgele bir karakter dizisi değil, zihinsel bir görüntüye bağlanabilen sözcüklerdir.

Kurtarma kodları ve 2FA tohumları da tehlikede olabilir

Şifre yöneticileri yalnızca parolaları saklamaz; çoğu kullanıcı TOTP tohumlarını (Google Authenticator veya benzeri uygulamalar için kullanılan gizli anahtarları), kurtarma kodlarını, güvenlik sorularının cevaplarını ve kimi zaman ödeme bilgilerini de aynı kasaya ekler. İhlal bu verileri de kapsıyorsa tehdidin boyutu parolalardan çok daha geniş bir alana yayılır.

Kasanızda TOTP tohumları saklıyorsanız, etkilenen hesaplarda iki aşamalı doğrulamayı yeniden kurmanız gerekir. Mevcut tohumları silin ve hesabın 2FA ayarlarından yeni QR kodu tarayarak baştan kayıt yapın; eski tohum artık işe yaramayacaktır. Kurtarma kodları da aynı şekilde geçersiz kılınmalıdır; bu kodlar genellikle hesap güvenlik ayarlarında "yeni kodlar oluştur" seçeneğiyle yenilenir ve eski kodları otomatik olarak iptal eder.

Kasada güvenlik sorusu cevapları saklıyorsanız bu soruları kullanan hesaplarda cevapları değiştirin. Güvenlik sorusu cevaplarını gerçek bilgilerle değil, rastgele üretilmiş sahte yanıtlarla doldurmak her zaman doğru bir pratiktir; ama o sahte yanıtlar artık ele geçirilmişse yenilerini üretmek gerekir. Yeni cevapları da doğrudan parola yöneticisine değil, güvenli notlar bölümüne ve farklı bir kasaya kaydedin.

Şifre yöneticisini değiştirmeye karar verirken

İhlal haberi çıkar çıkmaz servisten ayrılmak her zaman doğru hamle değildir. Bazı durumlarda beklemek, hatta aynı serviste kalmak daha mantıklıdır.

Ayrılmayı haklı kılan durumlar şunlardır: şirketin ihlali aylar sonra açıkladığı ya da kapsamı kasıtlı biçimde küçümseyerek sunduğu anlaşıldıysa, güvenlik mimarisinde temel bir tasarım hatası kanıtlandıysa (URL'lerin şifresiz saklanması bunun somut örneğidir), ya da bağımsız güvenlik denetimi geçmişi yoksa. Kalmak için de geçerli argümanlar mevcuttur: yeni bir servise geçerken geçici bir güvensizlik penceresi açılır, iyi yönetilmiş bir ihlal şirketin güvenlik olgunluğunu da gösterebilir, ve piyasadaki alternatiflerin ciddiye alınabilir değerlendirmesi zaman alır.

Servis değiştirmeye karar verdiyseniz acele etmeyin. Yeni servise tüm kasayı aktarmadan önce bağımsız denetim (security audit) raporlarını ve açık kaynak durumunu kontrol edin. Yerel barındırmayı tercih ederseniz KeePassXC seçeneğini değerlendirin; ama yerel barındırma yedekleme sorumluluğunu tamamen size bırakır ve bulut servislerin sağladığı otomatik senkronizasyon kolaylığından vazgeçmiş olursunuz. Her iki modelin de farklı risk profilleri vardır; hangisini seçtiğiniz kişisel alışkanlıklarınıza ve teknik konfor seviyenize göre değişir.

Yeni şifre yöneticisine geçişte veri taşıma

Kasa dışa aktarma işlemi, güvenlik açısından en hassas adımdır. Tüm parolalarınız bu süreçte geçici olarak şifresiz bir dosyada bulunur; bu dosyayı yanlış yere kaydetmek ya da güvensiz bir ağ üzerinde işlem yapmak, ihlalin zararını bizzat büyütmek anlamına gelir.

Dışa aktarma öncesinde üç koşulu sağlayın: bağlı olduğunuz ağ güvenilir olmalıdır (ev ağı ya da mobil veri, kamuya açık Wi-Fi kesinlikle değil), cihazınızda güncel bir güvenlik taraması yapılmış olmalıdır, ve dışa aktarma tamamlanır tamamlanmaz geçici dosyayı geri dönüşümsüz biçimde sileceksiniz. Dosyayı sildikten sonra çöp kutusunu da boşaltın; mümkünse güvenli silme aracı kullanın.

Bulut yedekleme yazılımı arka planda çalışıyorsa geçici dosyanın otomatik olarak yedeklenmediğinden emin olun. Bazı sistemler masaüstüne veya İndirilenler klasörüne düşen her dosyayı anında buluta gönderir; böyle bir durumda şifresiz kasa verinizi farkında olmadan üçüncü bir konumda saklamış olursunuz.

Bir daha aynı duruma düşmemek için yapısal önlemler

İhlaller tekrarlanabilir. Servisi değiştirseniz de aynı serviste kalsanız da yapısal adımlar her iki seçenekte de geçerlidir.

2FA kurulumunu kasadan ayrı tutun. Parolalar ve TOTP tohumları aynı kasada yaşadığında tek bir ihlal her ikisini birden tehlikeye atar; tohumları ayrı bir cihazda veya ayrı bir uygulamada barındırmak bu riski dağıtır. Kasa yedeğini şifreli biçimde harici bir depolama ortamında saklayın; bulut yedeğine ek olarak ağa bağlı olmayan bir kopya, bulutun erişilemez olduğu anlarda da güvence sağlar ve fidye yazılımı (ransomware) senaryolarında kritik bir kurtarma seçeneği sunar.

Ana parolanızı hiçbir dijital ortamda saklamayın; ezberleyin. Unutma riskine karşı, el yazısıyla kağıda yazıp kilitli bir fiziksel yerde (not defteri değil, gerçek anlamda kilitli bir çekmece ya da kasa) muhafaza etmek, dijital ortama kaydetmekten çok daha güvenlidir. Yılda bir kez ana parolayı yenileyip kağıdı güncelleme alışkanlığı, zamanla ciddi bir güvence katmanı oluşturur.

Kasanızda hangi tür verilerin bulunduğunu düzenli aralıklarla gözden geçirin. Parola dışında bilgi (2FA tohumları, ödeme kartı numaraları, kimlik belgesi kopyaları) kasaya eklendiğinde olası bir ihlalin zararı da katlanır. Her veri türü için kasanın gerçekten en uygun yer olup olmadığını sorgulamak, güvenlik açısından olgunlaşmış bir alışkanlıktır.

Şifre yöneticisi kullanmak, güçlü ve benzersiz parolalar oluşturmanın hâlâ en pratik yoludur; mükemmel değil, ama alternatiflerin çok üzerinde. Bir ihlal bu denklemi değiştirmez, yalnızca şifre yöneticisinin tek savunma hattı olmadığını hatırlatır. Her hesap kendi benzersiz parolasına sahipse ve kritik hesaplarda iki aşamalı doğrulama aktifse, kasanın ele geçirilmesi felaket değil, can sıkıcı ama yönetilebilir bir temizlik sürecine dönüşür.