Parola Güvenliği ve Parola Yöneticileri Rehberi

Parola yöneticisi, tüm hesap parolalarını tek bir şifreli kasada saklayan ve giriş yaparken bunları senin için otomatik dolduran bir yazılımdır. Onlarca farklı sitede uzun, karmaşık ve birbirinden farklı parolalar kullanabilmenin en pratik yolu budur: sen yalnızca tek bir ana parolayı hatırlarsın, gerisini uygulama halleder.

Amaç, kendi dijital hesaplarını daha güvenli hale getirmen. İşin özünü yeni öğreniyorsan doğru yerdesin; hiçbir teknik geçmiş gerektirmiyor.

Parola yöneticisi nedir ve nasıl çalışır?

Parola yöneticisi, kullanıcı adlarını ve parolaları güçlü şifreleme ile korunan bir "kasada" tutan bir uygulamadır. Kasanın kilidini yalnızca senin bildiğin ana parola açar. Bir siteye girerken uygulama doğru parolayı otomatik doldurur, yeni hesap açarken de anında rastgele ve güçlü bir parola üretir. Böylece her hesaba özel, tahmin edilemez bir parola atayabilir ve hiçbirini ezberlemek zorunda kalmazsın.

Güçlü bir parola nasıl oluşturulur?

Güçlü bir parolanın en önemli özelliği uzunluğudur; genellikle karmaşık sembollerden çok, parolanın uzunluğu tahmin edilebilirliği düşürür. Akılda kalıcı ama uzun bir yöntem, birbiriyle alakasız kelimeleri birleştirdiğin bir "parola cümlesidir" (passphrase). Kişisel bilgi (doğum tarihi, isim, takım) kullanmaktan kaçın ve aynı parolayı iki farklı sitede asla tekrar etme.

Zayıf:  Ahmet1990!
Zayıf:  P@ssw0rd
Güçlü:  mor-fil-kahve-pencere-42
 
# Not: Yukarıdaki örnekleri OLDUĞU GİBİ kullanma.
# Fikri anla, kendi rastgele kelimelerini seç.

İyi haber şu: iyi bir parola yöneticisi bu işi senin yerine yapar. "Parola üret" düğmesine basmak, elle uğraşmaktan hem daha hızlı hem daha güvenlidir.

Parola yöneticisi kullanmak gerçekten güvenli mi?

Akla gelen en yaygın soru şu: "Tüm yumurtaları tek sepete koymuş olmuyor muyum?" Haklı bir endişe. Ancak alternatif çok daha risklidir: aynı parolayı her yerde kullanmak. Modern parola yöneticileri, kasanı senin cihazında şifreler; sağlayıcı bile içindekileri düz metin olarak göremez. Riski en aza indirmek için ana parolanı uzun ve benzersiz tut, üstüne mutlaka iki faktörlü doğrulama ekle.

Hangi tür parola yöneticisi bana uygun?

Parola yöneticileri kabaca üç gruba ayrılır. Doğru seçim, cihaz sayına ve senkronizasyon ihtiyacına bağlıdır. Aşağıdaki tablo temel farkları özetliyor:

Yeni başlıyorsan tarayıcının kayıtlı parola özelliği bir başlangıçtır, ama zamanla ayrı bir parola yöneticisine geçmek daha esnek ve güvenli olur. Açık kaynaklı ve incelenebilir seçenekleri tercih etmek, güven açısından iyi bir alışkanlıktır.

İki faktörlü doğrulama (2FA) parolayı nasıl güçlendirir?

İki faktörlü doğrulama, parolanın yanına ikinci bir kanıt daha ekler: telefonundaki bir uygulamanın ürettiği tek kullanımlık kod ya da fiziksel bir güvenlik anahtarı. Böylece biri parolanı ele geçirse bile, ikinci faktör olmadan hesaba giremez. Mümkün olduğunda SMS yerine bir doğrulayıcı uygulama (authenticator) kullan; SMS, SIM değiştirme saldırılarına daha açıktır. E-posta ve banka gibi kritik hesaplarda 2FA neredeyse zorunludur.

Parolam sızdırıldıysa nasıl anlar ve ne yaparım?

Büyük veri sızıntılarında milyonlarca hesabın bilgisi internete düşebilir. "Have I Been Pwned" gibi bilinen bir sorgulama servisiyle e-postanın bir sızıntıda geçip geçmediğini kontrol edebilirsin. Eğer bir parolan açığa çıktıysa: önce o sitedeki parolayı değiştir, aynı parolayı kullandığın diğer tüm hesapları da güncelle ve mümkünse 2FA'yı aç. Bu yüzden her hesaba farklı parola kullanmak bu kadar önemli; bir sızıntı zincirleme yayılmaz.

Yeni başlayanların en sık yaptığı parola hataları nelerdir?

Çoğu hesap ele geçirmesi karmaşık saldırılarla değil, basit alışkanlıklar yüzünden olur. En sık görülenler:

• Aynı parolayı birden fazla sitede kullanmak.
• Parolaya isim, doğum tarihi ya da telefon numarası koymak.
• Parolayı bir not defterine ya da telefon notlarına açık yazmak.
• Kritik hesaplarda iki faktörlü doğrulamayı açmamak.
• Şüpheli bir bağlantıya tıklayıp parolayı sahte bir sayfaya girmek (kimlik avı).

Yasal ve etik uyarı

Bu rehber yalnızca kendi hesaplarını korumana yöneliktir. Başkalarına ait hesapların parolalarını tahmin etmeye ya da kırmaya çalışmak Türkiye'de ve pek çok ülkede suçtur. Parola kırma araçları yalnızca kendi hesaplarında, yazılı izinli sızma testlerinde veya izole eğitim laboratuvarlarında kullanılmalıdır. Öğrenmek istiyorsan güvenli bir yol izle: pratik.altaysec.com.tr üzerindeki ücretsiz CTF alıştırmaları, hepsi izinli ve yasal bir ortamda pratik yapmanı sağlar.