Güçlü parolalar ve iki adımlı doğrulama

Herkesin zaten bir basamağında durduğu merdiven

Hesap güvenliği, ya sahip olduğunuz ya olmadığınız ikili bir durum değildir. Bir merdivendir ve herkes şu anda onun bir basamağında duruyor. Alt basamak, birkaç sitede tekrarlanan tek bir paroladır. Üst basamak ise geçiş anahtarıdır; orada çalınacak bir parola hiç yoktur.

Bu bakışın bir pratik faydası var. Her şeyi bir gecede düzeltmesi gerektiğini düşünen biri genelde hiçbir şey yapmaz ve olduğu yerde kalır. Bir basamak çıkan biri ise bu gece dünkünden daha iyi durumdadır.

Basamakların sırası da keyfi değil. Tekrarlanan parola en kötü durumdur, kısa olandan da kötüdür ve sebebin parolanın kendi gücüyle ilgisi yoktur. Tekrarlanan parola, hesabınızın güvenliğinin bir zamanlar kaydolduğunuz en zayıf siteye bağlı olması demektir; yıllardır güncellenmemiş o eski forum, bir gün kullanıcı listesi dışarı dökülür. O gün parolanız bir sır olmaktan çıkar ve kimsenin bir şey kırması gerekmemiştir.

İkinci basamak benzersizlik, üçüncüsü uzunluk, sonra da benzersizliği mümkün kılan araç gelir. Parola yöneticisi ikinci basamağın yerine geçmez; onu uygulanabilir kılan şeydir, çünkü hiçbir insan yetmiş benzersiz parolayı ezberlemez.

Paroladan sonra da ikinci katman. İki adımlı doğrulama, parola sızsa bile sızmasının tek başına yetmemesi demektir. Kulağa basit geliyor ve bu dersin bütün değeri orada: işleri öyle kurun ki bir hata son hatanız olmasın.

Uzunluk neden karmaşıklıktan önemli

Yıllarca herkese bir parolanın büyük harf, küçük harf, rakam ve sembol gerektirdiği söylendi. Sonuç, insanın hatırlamakta zorlandığı, bilgisayarın kırmakta zorlanmadığı parolalar oldu; mümkün olan en kötü bileşim. P@ssw0rd! tam olarak herhangi bir tahmin listesinin ilk denediği kalıptır.

Arkasındaki hesap basit. Parolaya eklediğiniz her karakter, olası bileşim sayısını alfabenin boyutuyla çarpar. Sekiz karakterlik bir parolaya bir sembol eklemek alfabeyi yalnızca biraz büyütür. Dört karakter daha eklemek ise bütün uzayı kat kat büyütür. Uzunluk her zaman kazanır ve bu yalnızca tahmin körken doğrudur; parola tanıdık bir kalıptan kuruluysa bu hesapların hiçbiri geçerli değildir.

Bu bizim görüşümüz değil. Amerikan hükümetinin kimlik doğrulama standardı olan NIST SP 800-63B kılavuzu üç şeyi açıkça yazar ve üçü de çoğu İran sitesinin dayattığının tersidir: tek giriş faktörü olarak kullanılan bir parolanın asgari uzunluğu 15 karakterdir, ikinci bir faktörün yanında ise 8; bir hizmet karakter türü karışımını zorunlu kılamaz; ve ele geçirilme kanıtı yoksa kullanıcıya takvimle parola değiştirtemez.

Genelde düşen ve önemli olan bir nokta var: o belge gereklilikleri hizmete koyar, size değil. Parolanız 15 karakter olmalı demez; yalnızca parolayla girdiğiniz bir sitenin 15ten azını kabul etmeye hakkı olmadığını söyler. Sizi ilgilendiren sonuç yine de güvenle çıkarılabilir: ikinci faktörün olmadığı yerde kısa parola yetmez.

Uzunluğa giden pratik yol parola cümlesidir. Yalnızca sizin yan yana koyduğunuz dört beş ilgisiz kelime yirmi karakteri rahat geçer ve kalabalık sekiz karakterlik bir paroladan daha kolay hatırlanır. Tek bir şartı var: kelimeler gerçekten rastgele seçilmeli. Bir şiir dizesi ya da bir atasözü, ne kadar uzun olursa olsun, listelerde zaten var.

Parola yöneticileri, satış konuşması olmadan

Parola yöneticisi, parolaları şifreli tutan ve tek bir ana parolayla açılan bir programdır. Aslında yaptığı şey parolaları güvenli kılmak değil; benzersizliği bir dilekten günlük bir alışkanlığa çevirmektir. Parolalar ezberlenmek zorunda kaldığı sürece insanlar onları tekrarlar, çünkü başka seçenekleri yoktur.

Şimdi öbür yüzü, satıcıların atladığı taraf. Parola yöneticisi tek bir kırılma noktası yaratır. Her şey tek bir ana parolanın arkasına geçer ve o bir tanesi sızarsa hepsi birlikte sızmış olur. Bu itiraz gerçektir ve ona merak etmeyin diye cevap vermek anlamsızdır.

İtirazı katlanılır kılan üç şey var ve üçü de gerekli. Birincisi, ana parola başka hiçbir yerde kullanılmayan uzun bir parola cümlesi olmalı. İkincisi, yöneticinin kendisinde iki adımlı doğrulama açık olmalı; bir sonraki bölümün konusu bu ve burada her yerdekinden önemli. Üçüncüsü, ana parolayı unutursanız ne olacağını bilmelisiniz. Bu programların çoğunda cevap, kimsenin size yardım edemeyeceğidir, çünkü şirketin de ana parolanız yoktur. Bu bir kusur değil bir özelliktir, ama geçerli olacağı günden önce bilmek istersiniz.

Görüşümüz basit: parola yöneticisi, yukarıdakilerin hepsiyle birlikte, çoğu insanın bugünkü halinden güvenlidir, çünkü çoğu insanın bugünkü hali yetmiş sitede tek bir paroladır. Ama biri size yöneticinin riski sıfırladığını söylüyorsa bir şey satıyordur.

Nadiren söylenen son bir nokta: tarayıcınıza gömülü yönetici, bütün sınırlarıyla birlikte, parola tekrarlamaktan çok daha iyidir. Hangi ürün tartışması ancak ikinci basamağı çıktıktan sonra bir anlam taşır. Çıkmadıysanız, bu gece gerçekten kullanacağınız hangisiyse en iyisi odur.

Hangi iki adımlı doğrulama gerçekten daha güçlü

İki adımlı doğrulamayı açın, hikayenin yarısını anlatan doğru bir cümledir. Yaygın dört tür eşit güvenlikte değildir ve aralarındaki fark küçük değildir.

SMS en zayıfıdır. Yukarıda alıntılanan aynı NIST kılavuzu kısıtlı doğrulayıcıların bir listesini tutar ve okuduğumuz sürümde bu listenin tam olarak tek bir üyesi var: kodu iletmek için telefon şebekesini kullanmak. Yani standart kurumu, var olan bütün yöntemler içinden tam da bunu işaretlemiş. Sebebi, telefon numaranızın kendisinin operatörünüzde duran başka bir hesap olması ve taşınabilmesidir.

Doğrulayıcı uygulama kodu, otuz saniyede bir değişen o altı hane, bir basamak yukarıdadır. Telefon şebekesinden hiçbir şey geçmez ve kod cihazın kendisinde üretilir. Ama yüksek sesle nadiren söylenen yapısal bir zayıflığı var: kod okunabilir ve yeniden kullanılabilir. Onu sahte bir sayfaya yazarsanız, o sayfayı kuran kişi aynı otuz saniye içinde aynı kodu gerçek siteye yazabilir. Uygulamanın nerede olduğunuzdan haberi yoktur.

Bildirimle onay, o evet benim istemi, güçte uygulama kodlarına yakındır ama insani bir zayıflık ekler: bildirimler arka arkaya geldiğinde insan yorulur ve birini bıkkınlıkla onaylar. Hizmet, ekranda görünen bir sayıyı seçtiğiniz türü sunuyorsa onu seçin; düşüncesiz onayı ortadan kaldırır.

Donanım anahtarları ve geçiş anahtarları başka türden şeylerdir ve fark yalnızca daha güçlü olmak değildir. Bunlar sitenin adresine bağlanır. NIST bu özelliğe kimlik avına direnç adını verir ve mekanizmayı açıklar: anahtarın ürettiği imza, anahtarın konuştuğu sitenin kimliğine bağlıdır, dolayısıyla sahte sayfa gerçek sitede işe yaramayan bir şey alır. Kodumu yanlış yere yazdım sorununu zorlaştırmak yerine kökünden kaldıran tek aile budur.

Bu sıralamanın tamamında tek bir cümleyi kaybetmeyin: SMS hiç yoktan iyidir. Bir site yalnızca SMS sunuyorsa açın. Bu, seçenekler arasında seçim tartışmasıdır, hiçbirine sahip olmamanın mazereti değil.

Geçiş anahtarı nedir ve neyi değiştirir

Geçiş anahtarı, paylaşılan bir parola yerine bir anahtar çifti kurar. Özel yarısı cihazınızda kalır ve oradan hiç çıkmaz; genel yarısını site saklar. Girişte site bir meydan okuma gönderir, cihazınız onu özel yarısıyla imzalar ve site imzayı genel yarısıyla doğrular. Aralarında giden şey yeniden kullanılabilir bir sır değildir.

Bu tek değişiklikten iki sonuç doğar ve ikisi de önemlidir. Birincisi, sitede artık sızacak bir sır yoktur; veritabanı dökülse bile genel anahtarlar kimseye yaramaz. İkincisi, sahte sayfa hiçbir yere varamaz, çünkü imza gerçek sitenin adresine bağlıdır. Önceki bölümdeki kimlik avına direnç burada ek bir özellik değil, varsayılan durumdur.

Şimdi nadiren söylenen kısım. NIST bu aileye ayrı bir ek ayırır ve adı senkronize edilebilir doğrulayıcılardır; yani cihazlarınız arasında eşitlenen anahtarlar. Eşitleme, geçiş anahtarlarını kullanılabilir kılan şeydir ve aynı zamanda yeni bir baskı noktası yaratır: anahtarlarınızın güvenliği, onları eşitleyen bulut hesabının güvenliğine bağlanır. Apple hesabınız, Google hesabınız ya da parola yöneticiniz artık sahip olduğunuz en güçlü korumaya ihtiyaç duyar.

Bugün hakkında da dürüst olalım. Geçiş anahtarları her yerde yok ve İrandan, destekleyen hizmetlerin bir kısmı zaten açılmıyor. Geçiş anahtarı olan yerlerde bile eski parola neredeyse her zaman yedek olarak kalır ve o yedek açıkken hesap hala parolaya ve kurtarma yoluna bağlıdır. Yani geçiş anahtarlarını var oldukları yerde açın ve arkalarındaki parolayı benzersiz ve uzun tutun.

Yalnızca bir saatiniz varsa buradan başlayın

Bütün hesaplar aynı değerde değildir ve aynı şekilde ele alınmamalıdır. Doğru sıra tek bir basit sorudan çıkar: bu hesap giderse onunla birlikte başka ne gider?

Ana e-posta adresi rakipsiz biçimde ilk sıradadır. E-posta, diğer bütün sitelerin parolamı unuttum düğmesinin vardığı yerdir, dolayısıyla e-postayı elinde tutan gerisini de tutar. Ardından, bir site işletiyorsanız, alan adı kayıt hesabı ve sonra barındırma kontrol paneli; bunlar da maliyetleri yüzünden değil aynı sebeple tepeye yakın durur. Sonra bankacılık ve ödeme, sonra mesleki itibarınızın üzerinde yaşadığı sosyal hesaplar, sonra geri kalan her şey.

Bu ilk dört beş hesapta bu gece üç şey yapın: parolayı benzersiz ve uzun yapın, o hizmetin sunduğu en iyi iki adımlı doğrulamayı açın ve kurtarma kodlarını alıp o cihazın dışında bir yerde saklayın. Kurtarma kodları, herkesin atladığı ve sonra bedelini ödediği adımdır.

Az kişinin andığı dördüncü bir iş daha var: bu hesapların her birinin ayarlarında etkin oturumlar ve bağlı cihazlar listesini açın ve tanımadığınız her şeyi dışarı atın. İki yıl önce sattığınız bir telefonun eski girişi hala açık bir kapıdır.

Hesapların geri kalanı sonraki aylarda acele etmeden düzeltilebilir. Önemli olan ilk ikisinin bu gece düzeltilmesidir.