Güçlü Şifre Oluşturma ve Yönetme Kılavuzu

Yıllar önce tüm hesaplarımda aynı şifreyi kullanıyordum: bir kelime, sonuna da doğum yılım. Küçük bir forumun veritabanı sızdırıldığında, o forumla hiç ilgisi olmayan bir alışveriş sitesindeki hesabıma giriş denemesi geldi. O gün anladım ki sorun şifremin "zor" olup olmaması değildi; sorun tek bir şifreyi her yere dağıtmış olmamdı. O günden bu yana kurduğum düzeni ve yol boyunca öğrendiklerimi anlatacağım.

Güçlü şifre neye benzer?

Kafamızdaki "büyük harf, sayı, ünlem işareti" formülü aslında yanıltıcı. Parola1! bu kuralların hepsine uyar ama saldırganların ilk denediği kalıplardan biridir. Şifrenin gücünü belirleyen iki şey var: uzunluk ve tahmin edilemezlik. 16 karakterlik, anlamsız kelimelerden oluşan bir dizi, 9 karakterlik karmaşık görünen bir şifreden kat kat dayanıklıdır. Bu yüzden güçlü şifre oluşturma işini artık "karmaşık karakter bulmaca" değil, "uzunluk üretme" işi olarak görüyorum.

Adım adım kurduğum düzen

1. Önce bir şifre yöneticisi seçtim. Bu, işin temeli. Onlarca hesabın şifresini akılda tutmanın tek dürüst yolu, tutmamaya karar vermek. Tarayıcıya gömülü olanlar başlangıç için idare eder, ama bağımsız bir uygulama hem masaüstünde hem telefonda daha rahat çalışıyor. Seçerken şuna baktım: verilerimi kendi cihazımda şifreleyip mi saklıyor, dışa aktarma seçeneği var mı, kilit ekranı biyometrik açılışı destekliyor mu.
2. Ana şifreyi kendim uydurdum. Yöneticinin kasasını açan tek şifreyi ezberlemem gerekiyordu. Dört-beş alakasız kelimeyi birleştirdim, aralarına kendi belirlediğim bir ayırıcı koydum: örneğin bakır-fener-yosun-42-tramvay. Anlamsız ama sahnesi zihnimde canlanıyor, bu yüzden bir haftada kaslarıma yerleşti. Kritik nokta: bu şifreyi başka hiçbir yerde kullanmıyorum.
3. Kalan şifreleri makineye ürettirdim. Yönetici içindeki üretici ile 20 karakter uzunluğunda, rastgele diziler oluşturuyorum. Ezberlemeye çalışmıyorum çünkü gerek yok. Bazı bankalar hâlâ karakter sınırı veya sembol yasağı koyuyor; o durumda üreticinin ayarlarını o sitenin kurallarına göre kısıtlıyorum, uzunluğu izin verilen en yüksek değere çekiyorum.
4. Kritik hesapları önceliklendirdim. Hepsini bir günde değiştirmeye kalkmak insanı bezdiriyor. Sıralamam şöyleydi: e-posta, telefon operatörü hesabı, bankalar, bulut depolama, sosyal medya, sonra gerisi. E-posta ilk sırada çünkü diğer tüm hesapların sıfırlama bağlantısı oraya düşüyor; e-postanız düşerse hepsi düşer.
5. İki adımlı doğrulamayı açtım. Şifre ne kadar sağlam olursa olsun, sızıntı ihtimali sıfırlanmıyor. Doğrulama kodunu SMS ile almak yerine bir doğrulayıcı uygulama kullanıyorum; SIM kart devralma vakalarına karşı belirgin biçimde daha güvenli. Kurtarma kodlarını da yazıcıdan çıkarıp evde kilitli bir çekmecede tutuyorum.
6. Sızıntı takibi kurdum. Şifre yöneticilerinin çoğu, kasadaki adresler bilinen bir veri sızıntısında göründüğünde uyarı veriyor. Bu uyarıyı ciddiye alıp o hesabın şifresini aynı gün değiştiriyorum. Tarayıcıların şifre kontrol panelleri de benzer bir uyarı sunuyor; sekmelerimi düzenlerken bu paneli de arada bir açmayı alışkanlık yaptım.
7. Yedek planı yazdım. Telefonum kaybolursa, ana şifremi unutursam ne olacak? Yöneticinin kasa yedeğini şifreli bir dosya olarak harici diskte tutuyorum. Bir de acil durum notu var: güvendiğim bir kişinin nereye bakacağını bildiği, kapalı bir zarf. Kulağa aşırı gelebilir, ama veri kurtarma denemelerinin ne kadar can sıkıcı olduğunu bir kez yaşayan herkes anlar.

Şifre türlerinin karşılaştırması

Sık yapılan hatalar

• Aynı şifreyi ufak değişikliklerle çoğaltmak. Sifre!facebook ve Sifre!gmail ayrı şifre değil; biri ele geçince kalıp anlaşılır.
• Şifreleri tarayıcıya değil, not defterine yazmak. Masaüstündeki "sifreler.txt" en çok aranan dosyalardan biri. Not tutacaksanız hiç olmazsa şifreli bir kasa kullanın.
• Güvenlik sorularına gerçek cevap vermek. Annenizin kızlık soyadı, sosyal medyada zaten yazıyor olabilir. Ben bu alanlara da rastgele diziler üretip yöneticiye not olarak ekliyorum.
• Zorunlu olmadan sürekli şifre değiştirmek. Her 30 günde bir değiştirme baskısı insanı basit kalıplara sürükler. Sızıntı yoksa uzun ve tekil bir şifre yerinde kalabilir.
• Halka açık ağda kritik giriş yapmak. Kafenin WiFi'ında bankaya girmemeye çalışıyorum; sinyal zayıfsa telefonun mobil verisiyle bağlanmak da