Kısa cevap
Önemli her hesap için büyük ve küçük harf, rakam ve sembol içeren, en az 16 karakterlik rastgele bir şifre kullan ve bunu bir şifre yöneticisine kaydet. Elle yazman ya da ezberlemen gereken yerlerde 6 veya daha fazla rastgele kelimeden oluşan bir parola daha pratik. En uzun şifreler şifre yöneticinin ana şifresine ve ana e-posta hesabına gitmeli, çünkü bu ikisi diğer her şeyi açar.
ABD standart kurumu NIST'in 2025'te güncellenen rehberi (SP 800-63B), şifre tek koruma olduğunda servislerin en az 15 karakter istemesini ve en az 64 karakterlik şifreleri kabul etmesini söylüyor. Aynı rehber düzenli şifre değiştirme zorunluluğunu ve "en az bir büyük harf, bir sembol" gibi kuralları bırakmayı, bunun yerine sızıntı listelerinde geçen şifreleri engellemeyi öneriyor. Kısacası: karmaşık kurallar değil, uzunluk ve her hesapta farklı şifre.
Burada dene: Şifre oluşturucu
Aracın tam sayfasını açEntropi sade dille
Şifre gücü bit cinsinden entropiyle ölçülür. Her ek bit, saldırganın yapması gereken tahmin sayısını ikiye katlar. Rastgele bir şifrenin entropisi uzunluk çarpı log2(karakter havuzu) kadardır. Sadece küçük harf karakter başına yaklaşık 4,7 bit, harf ve rakam yaklaşık 5,95 bit, bu sayfadaki oluşturucunun kullandığı 87 karakterlik tam set ise yaklaşık 6,44 bit verir.
Yani dört karakter türünü de içeren 16 karakterlik bir şifre yaklaşık 103 bit, 8 karakterlik bir şifre ise sadece 51 bit kadardır. Bir karakter eklemek 6,44 bit ekler, yani işi yaklaşık 87 kat zorlaştırır. Kısa bir şifreye sembol eklemek, birkaç karakter eklemekten çok daha az işe yarar.
Bu hesap sadece gerçekten rastgele şifreler için geçerli. Galatasaray1905! karışık karakterli ve uzun görünür, ama saldırganlar harf harf tahmin etmez: takım adları, isimler, yıllar, başta büyük harf ve sonda ünlem gibi kalıpları dener. Bu şifrenin gerçek gücü formülün söylediğinin çok küçük bir kısmıdır.
| Uzunluk | Sadece küçük harf | Harf ve rakam | 4 türün hepsi (87 karakter) |
|---|---|---|---|
| 8 karakter | 38 bit, yaklaşık 10 saniye | 48 bit, yaklaşık 3 saat | 51 bit, yaklaşık 2 gün |
| 12 karakter | 56 bit, yaklaşık 55 gün | 71 bit, yaklaşık 5.000 yıl | 77 bit, yaklaşık 300.000 yıl |
| 16 karakter | 75 bit, yaklaşık 69.000 yıl | 95 bit, bir ömrün çok ötesinde | 103 bit, bir ömrün çok ötesinde |
| 20 karakter | 94 bit, bir ömrün çok ötesinde | 119 bit, bir ömrün çok ötesinde | 129 bit, bir ömrün çok ötesinde |
Kırılma süreleri ne anlama geliyor
Tablodaki süreler, saniyede on milyar tahmin yapan çevrim dışı bir saldırı için ortalama sürelerdir; yukarıdaki oluşturucu da tahminini aynı varsayımla yapar. Bu hız, hızlı bir özet (hash) yöntemi kullanan sızmış bir veritabanına birkaç ekran kartıyla saldırırken gerçekçidir. bcrypt ya da Argon2 gibi yavaş yöntemler bu hızı kat kat düşürür, büyük bir bulut kümesi ise artırabilir. Bu yüzden süreleri bir söz olarak değil, karşılaştırma olarak oku.
Bir giriş sayfasına yapılan çevrim içi saldırılar deneme sınırları yüzünden çok daha yavaştır, ama bir sitenin şifreleri nasıl sakladığını bilemezsin. Şifrenin bir gün özet olarak sızacağını varsay ve buna dayanacak bir şifre seç. Yaklaşık 80 bit, her türlü çevrim içi hesap için çok güçlüdür; ana şifre ya da şifreleme anahtarı için 100 bit ve üstü rahat bir paydır.
Kelimeli parola mı, rastgele karakter mi
Kelimeli parola (passphrase), büyük bir listeden rastgele seçilmiş birkaç kelimedir; örneğin zarla ve 7.776 kelimelik Diceware ya da EFF listesiyle. Her kelime yaklaşık 12,9 bit ekler. Dört kelime yaklaşık 52, beş kelime 65, altı kelime 78, yedi kelime 90 bit eder. Altı rastgele kelime, 12 karakterlik rastgele bir şifre kadar güçlüdür ve telefonda ya da TV kumandasıyla yazması çok daha kolaydır.
Kelimeleri sen değil, zar ya da program seçmeli. Bir şarkı sözü, atasözü ya da anlamlı bir cümle saldırganların sözlüklerinde zaten var. Ayraç ya da büyük harf eklemek az şey katar; fazladan kelime ise çok şey katar.
Şifre yöneticisinde duran ve hiç elle yazmadığın şifreler için rastgele karakter kullan. Ezberlemen gereken birkaç sır için kelimeli parola seç: şifre yöneticisinin kendisi, bilgisayar girişin ve belki ana e-postan.
| Yöntem | Örnek uzunluk | Entropi | En uygun olduğu yer |
|---|---|---|---|
| Rastgele karakter, tüm türler | 16 karakter | yaklaşık 103 bit | Şifre yöneticisinde saklanan hesaplar |
| Rastgele karakter, tüm türler | 20 karakter | yaklaşık 129 bit | Wi-Fi şifresi, API anahtarı, şifreleme |
| Rastgele kelime (7.776 kelimelik liste) | 6 kelime | yaklaşık 78 bit | Ana şifre, cihaz girişi |
| Rastgele kelime (7.776 kelimelik liste) | 7 kelime | yaklaşık 90 bit | Şifre yöneticisinin ana şifresi |
| Rastgele rakam | 6 haneli PIN | yaklaşık 20 bit | Sadece deneme sınırı olan telefon ve kartlar |
Zor kısmı şifre yöneticisi yapar
Kimse 100 farklı 16 karakterlik şifreyi ezberleyemez; insanlar bu yüzden aynı şifreyi tekrar kullanır ve hesapların çoğu tam olarak böyle ele geçirilir: bir site sızar, saldırganlar aynı e-posta ve şifreyi başka her yerde dener. Şifre yöneticisi her site için ayrı rastgele bir şifre saklar ve senin yerine doldurur, böylece uzunluğun sana hiçbir maliyeti olmaz.
Çoğu kişi için yerleşik seçenekler yeterli: Chrome, Edge, Firefox ve Safari'nin şifre yöneticileri, iPhone ve Mac'te Şifreler uygulaması, Android'de Google Şifre Yöneticisi cihazlar arasında eşitlenir. Ayrı uygulamalar paylaşım, acil durum erişimi ve her tarayıcı desteği ekler. Yöneticiyi uzun bir kelimeli parolayla koru, onda ve e-postanda iki adımlı doğrulamayı aç.
PIN kodları ayrı bir durum
4 haneli bir PIN'in sadece 10.000, 6 haneli bir PIN'in bir milyon olasılığı vardır; şifre olarak işe yaramaz. PIN'ler cihaz deneme sınırı koyduğu için çalışır: telefon birkaç yanlış denemeden sonra saatlerce kilitlenir ya da kendini siler, banka kartı üç yanlışta bloke olur. Bu koruma sadece cihazda vardır, bu yüzden bir PIN'i asla web sitesi şifresi olarak kullanma.
Herkesin seçtiği PIN'lerden uzak dur: 1234, 0000, 1111, doğum yılları ve tarihler. Cihaz izin veriyorsa 6 hane seç ve rakamları bu aracın PIN oluşturucu sayfasına bırak.
Şifreleri zayıflatan şeyler
- Tekrar kullanmak: iki sitede aynı şifre, birindeki sızıntının ikisini de açması demek.
- Kişisel bilgi: isimler, evcil hayvan, doğum günü, tuttuğun takım ve memleket sosyal medyada bulunabilir.
- Kalıplar: baştaki büyük harf, sondaki yıl ve ünlem, araçların ilk denediği varyasyonlardır.
- Klavye yürüyüşleri: qwerty, 123qwe, asdfgh her listede var.
- Harf yerine sembol: S1fre123! ve benzeri hileler bilinir, neredeyse hiç güç katmaz.
- Küçük değişiklikler: zorunlu değişiklikten sonra sifre1'i sifre2 yapmak hemen tahmin edilir.
- Kısalık: 12 karakterin altında rastgele bir şifre bile çevrim dışı saldırıda düşebilir.
Oluşturucuyu kullanırken ipuçları
Bir site sembolleri reddetmiyorsa dört karakter türünü de açık bırak; reddediyorsa sembolleri kapat ve aynı gücü korumak için 2 ya da 3 karakter ekle. Sesli okuyacağın ya da kâğıttan yazacağın şifreler için, örneğin modem etiketindeki Wi-Fi şifresi için, Karışan karakterleri çıkar seçeneğini aç. Bu, 0 ve O ya da 1, l ve I gibi karakterleri çıkarır ve entropiyi biraz düşürür, o yüzden bir iki karakter ekle.
Toplu şifre gerekirse, örneğin yeni personel hesapları için geçici şifreler, Kaç tane alanını artır. Şifre tarayıcının güvenli rastgele sayı üreteciyle oluşturulur, hiçbir yere gönderilmez ve saklanmaz; sayfadan çıkmadan önce şifre yöneticine kopyala.