Saklamaya değer bir parola: uzunluk, rastgelelik ve "güçlü" ne demek

Neden yapmak isteyebilirsiniz

Zayıf parolaların çoğu, birinin simge kullanmayı unutması yüzünden zayıf değildir. Zayıftırlar, çünkü onları bir insan seçmiştir. İnsanlar adları, tarihleri, klavye dizilimlerini ve eski bir parolada yapılan küçük değişiklikleri seçer; saldırganlar da tahmin listelerini tam olarak bu alışkanlıklardan oluşturur. Bir makinenin çok geniş bir olasılıklar kümesinden çektiği parolada sömürülecek bir alışkanlık yoktur.

Bir parolanın tahmin edilmesinin ne kadar zor olduğunu iki şey belirler: kaç olasılık arasından çekildiği ve çekilişin gerçekten rastgele olup olmadığı. Bu rehber ikisini de ele alır, Parola oluşturucu ile parola ya da parola cümlesinin nasıl üretileceğini gösterir ve güç etiketinin fazla güvenmeden nasıl okunacağını açıklar.

Adım adım, adı geçen araçla

Parola oluşturucunun iki sekmesi vardır, Oluştur ve Denetle; her şey tarayıcınızda çalışır.

1. Oluştur sekmesinde kalın. Tür altından Rastgele karakterler, Okunabilir veya Parola cümlesi (sözcükler) seçeneğini belirleyin.
2. Seçenekleri ayarlayın. Karakterler için Uzunluk kaydırıcısı 8 ile 64 arasındadır ve 20’de başlar. Kaydolduğunuz sitenin izin verdiğine göre Büyük harf (A-Z), Küçük harf (a-z), Rakam (0-9) ve Simge (!@#$…) kutularını işaretleyin. Parolayı hiç sesli okuyacaksanız ya da kâğıttan yazacaksanız Karışabilecek karakterleri dışarıda bırak (I l 1 O 0 o) kutusunu işaretleyin. Parola cümlesi için Sözcük sayısını 3 ile 10 arasında ayarlayın, bir Ayırıcı seçin ve isterseniz Sona bir rakam ekle seçeneğini işaretleyin.
3. Kaç tane istediğinizi seçin. Kaç parola (1-20) bir grup çekip içinden birini seçmenizi sağlar.
4. Oluşturun ve kopyalayın. Oluştur düğmesine dokunun, ardından istediğinizin yanındaki Kopyala düğmesine dokunun. Yeniden oluştur yeni bir küme çeker. Sonucu doğrudan bir parola yöneticisine yapıştırın.
5. Var olan bir parolayı denetleyin. Denetle sekmesine geçin, ardından bir parola yazın ya da yapıştırın. Çok zayıf ile Güçlü arasında bir puan, Kırılma süresi (çevrimdışı saldırı) altında bir tahmin ve öneriler görürsünüz.

Parolayı oluşturucu ürettiği için, zaten kullandığınız bir parolayı görmesi gerekmez.

Dikkat edilecekler

Rastgelelik, Math.random’dan değil, tarayıcının güvenli kaynağından gelir. Araç, tarayıcının kriptografik üreteci olan crypto.getRandomValues işlevini kullanır; oyunlar ve animasyonlar için tasarlanmış, gizli bilgiler için güvenli olmayan Math.random işlevini asla kullanmaz. Bir incelik daha var: rastgele bir sayıyı bir listeye eşlemek bazı öğeleri sessizce öne çıkarabilir. 32 bitlik rastgele bir sayıyı alıp liste uzunluğuna bölümünden kalanı hesaplarsanız, uzunluk eşit bölünmediğinde ilk birkaç öğe biraz daha sık çıkar. Araç bunu ret örneklemesiyle önler. Eşit bölünen en büyük aralığı hesaplar, bu aralığın dışına düşen her çekilişi atar ve yeniden çeker. Böylece her karakterin ve her sözcüğün çıkma şansı eşit olur.

Uzunluk, karmaşıklıktan daha çok iş görür. Aracın harfleri, rakamları ve simgeleriyle her ek karakter olasılıkları çarpar. Büyük harf, küçük harf ve rakamlardan oluşan 20 karakterlik bir parola yaklaşık 119 bit öngörülemezlik taşır; bu, gerçekçi her tahmin çabasının çok ötesindedir. Bir simge sınıfı eklemek biraz yardımcı olur, ama daha uzun bir uzunluk daha çok yardımcı olur. Bazı siteler uzunluğu sınırlar ya da simgeleri reddeder; bu yüzden yalnızca sitenin kabul ettiklerini işaretleyin.

Parola cümleleriyle yaşamak daha kolaydır. Sözcük listesi yaklaşık 310 kısa, yaygın sözcükten oluşur; bu yüzden her sözcük yaklaşık 8,3 bit ekler. Varsayılan 4 sözcükle bu yaklaşık 33 bittir, yani mütevazı bir değerdir. Altı sözcük yaklaşık 50 bit, on sözcük yaklaşık 83 bit verir. Hatırlamanız gereken şey bir parola cümlesiyse, örneğin bir parola yöneticisinin ana parolası, altı veya daha fazla sözcük seçin ve ayırıcıyı koruyun. Bu rakamlar yalnızca rastgele çekilişi sayar; çünkü sözcükler bir listeden gelir ve saldırganın bu listeyi bildiği varsayılır.

Okunabilir seçeneği bir ödünleşimdir. Söylemesi ve yazması daha kolaydır, ama tamamen rastgele karakterlere göre karakter başına daha az öngörülemezlik taşır. Bunu dengelemek için daha uzun yapın.

Güç göstergesi bir tahmindir. Puan ve kırılma süresi, örüntü eşleştiren bir tahmin aracından gelir. Sözlük sözcüklerini, tekrarları ve klavye dizilerini arar ve yavaş bir yöntemle özetlenmiş (hash) bir parolaya yönelik çevrimdışı bir saldırı varsayar. Belirli bir web sitesinin parolaları nasıl sakladığını, parolanın başka bir yerde sızıp sızmadığını ya da bir kötü amaçlı yazılımın yazdıklarınızı izleyip izlemediğini bilemez. «Güçlü» ifadesini yardımcı bir işaret olarak görün; parolanın hiçbir şekilde kırılamayacağına dair bir söz olarak değil.

Hiçbir zaman saklanmaz veya gönderilmez. Yazdığınız veya oluşturduğunuz hiçbir şey saklanmaz, kaydedilmez ya da iletilmez; aracın geçmişi de yoktur. Paylaşılan bir bağlantı kullanırsanız yalnızca ayarlarınızı taşır, parolayı asla. Sekmeyi kapattığınızda parolalar gider; bu yüzden ayrılmadan önce kullanacağınız parolayı bir parola yöneticisine kopyalayın.

SSS

Parolam ne kadar uzun olmalı?

Para, e-posta veya bir parola yöneticisini koruyan her şey için en az 16 rastgele karakter ya da altı veya daha fazla parola cümlesi sözcüğü hedefleyin. Araç 20 karakterden başlar ve 64’e kadar izin verir. Önemli hesaplarda sitenin kabul ettiği en uzun uzunluğu kullanın ve her hesap için benzersiz bir parola tutun.

Parola cümlesi rastgele karakterlerden daha mı iyi?

Karakter başına rastgele karakterler daha yoğundur, ama parola cümlesini yazmak ve hatırlamak çok daha kolaydır. Ezberlemeniz gereken bir parola için daha uzun bir parola cümlesi kullanın. Bir parola yöneticisinin saklayacağı parola için rastgele karakterler kullanın ve hatırlamayı yöneticiye bırakın.

«Kırılma süresi» rakamına güvenebilir miyim?

İki parolayı karşılaştırmak için kullanın, bir öngörü olarak değil. Belirli bir saldırı türünü ve belirli bir tahmin hızını varsayar. Gerçek saldırganlar ve gerçek saklama yöntemleri değişir; bu yüzden güvenilir olan kısım uzun, rastgele bir paroladır, rakam ise yalnızca kabaca bir kılavuzdur.