Yıllar önce tüm hesaplarımda aynı şifreyi kullanıyordum. Küçük bir forum sitesine üye olmuşum, o site sızdırılmış ve bir sabah e-posta hesabıma giriş yapamadığımı fark ettim. O gün öğrendiğim şey şuydu: en zayıf halka, en önemsiz sandığınız hesabınızdır. O günden sonra şifre yönetimi konusunu ciddiye aldım ve kendime oturttuğum sistemi burada baştan sona anlatmak istiyorum.
İşin özü sanıldığı kadar karmaşık değil. Ezberlenecek tek bir güçlü şifre, doğru kurulmuş bir şifre yöneticisi ve ikinci bir doğrulama katmanı. Bu üçünü halledince geri kalanı otomatik akıyor.
"Güçlü şifre" denince çoğu kişinin aklına P@ssw0rd! tarzı, karakter değiştirilmiş kelimeler geliyor. Oysa saldırı araçları bu değiştirme kalıplarını yıllardır biliyor. Kırılmayı zorlaştıran şey karakter cambazlığı değil, uzunluk ve tahmin edilemezlik.
Ben artık 8 karakterlik hiçbir şifreyi kabul etmiyorum. Alt sınırım 16 karakter. Bunu ezberlenebilir hale getirmek için birbirine bağlı olmayan kelimeleri birleştirme yöntemini kullanıyorum: kavun-teneke-defter-42 gibi. Anlamsız olduğu için tahmin edilemiyor, hikâyeleştirilebildiği için akılda kalıyor. Burada kritik nokta, kelimelerin sizinle ilgili olmaması. Memleketiniz, doğum yılınız, çocuğunuzun adı, tuttuğunuz takım — bunların hepsi sosyal medya profillerinizden toplanabilecek bilgiler.
Bu, listedeki tek "asla"m. Bir sitede sızan e-posta ve şifre çifti, otomatik araçlarla yüzlerce başka siteye deneniyor. Buna kimlik doldurma saldırısı deniyor ve tamamen otomatik çalışıyor. Yani şifreniz ne kadar güçlü olursa olsun, tekrar kullanıldığı anda gücünü kaybediyor. Ben bunu fark ettikten sonra bir hafta sonumu tüm hesaplarımın şifresini teker teker değiştirmeye ayırdım; o birkaç saat, sonradan yaşayacağım baş ağrılarının yanında hiçbir şeydi.
Onlarca 16 karakterlik farklı şifreyi ezberleyemezsiniz; kimse ezberleyemez. Bu yüzden şifre yöneticisi bir lüks değil, sistemin merkezi. Mantığı şu: siz tek bir ana şifreyi ezberliyorsunuz, yönetici geri kalan her şeyi şifreli bir kasada tutuyor ve gerektiğinde otomatik dolduruyor.
| Tür | Avantajı | Dikkat edilecek |
|---|---|---|
| Bulut tabanlı | Tüm cihazlarda senkron, telefonda da çalışır | Sağlayıcıya güven gerekir, ana şifre çok güçlü olmalı |
| Yerel (dosya tabanlı) | Kasa sizin cihazınızda kalır | Yedeklemeyi kendiniz yönetirsiniz |
| İşletim sistemi/tarayıcı kasası | Kurulum gerektirmez | Platform dışına taşınması zor |
Ben bulut tabanlı bir yönetici kullanıyorum çünkü telefon ve bilgisayar arasında sürekli geçiş yapıyorum. Yerel çözüm tercih edenlerin kasa dosyasını düzenli yedeklemesi şart; bulut depolama seçenekleri tam olarak bu iş için işe yarıyor.
Ana şifre kasanın tek anahtarı, dolayısıyla en uzun ve en özenli şifreniz olmalı. Ben ana şifremi hiçbir yere dijital olarak yazmıyorum; bir kâğıda yazıp evdeki güvenli bir yerde tutuyorum. Kulağa eski usul gelebilir ama internete bağlı olmayan bir kâğıt, uzaktan çalınamaz. Çoğu yönetici bir de kurtarma kodu veriyor — onu da aynı yerde saklıyorum.
Yöneticiyi kurunca hemen her şeyi değiştirmeye kalkmayın, ben öyle yapıp yorulmuştum. Şu sırayı öneriyorum:
Bu sırayla ilerlerken her hesapta iki adımlı doğrulamayı da açın. Doğrulama kodunu SMS yerine bir kimlik doğrulama uygulamasından almak daha güvenli, çünkü SIM kart kopyalama saldırıları SMS'i devre dışı bırakabiliyor. Bir de şu alışkanlığı edindim: yöneticinin "sızmış şifre" uyarısını ayda bir kontrol ediyorum. Bir hesabım listede çıktıysa, o şifreyi değiştirmek beş dakikamı alıyor.
Son olarak, şifreler cihazınız temiz olduğu sürece işini yapar. Klavye kaydeden bir kötü amaçlı yazılım varsa dünyanın en uzun şifresi bile size yardım etmez; bu yüzden gü