Nasıl kullanılır
- "Uzunluk" değerini kaydırıcıyla veya sayı alanıyla belirleyin. Bir parola yöneticisinde saklanan parolalar için 16 veya daha fazla karakter iyi bir varsayılandır.
- Karakter türlerini seçin: büyük harfler, küçük harfler, rakamlar ve semboller. "Seçilen her türü kullan" varsayılan olarak açıktır ve her parolaya her türden en az bir karakter koyar.
- Gerekirse l, 1 ve O gibi birbirine benzeyen karakterleri "Benzer karakterleri hariç tut" ile, sorun çıkarabilecek sembolleri "Belirsiz sembolleri hariç tut" ile dışarıda bırakın ya da bir sitenin kabul etmediği belirli karakterleri "Hariç tutulacak karakterler" alanına yazın.
- "Oluştur" düğmesine tıklayın, "Güç" derecesini ve entropiyi kontrol edin, ardından tek bir parolayı ya da "Tümünü kopyala" ile hepsini kopyalayın.
Bir parolayı güçlü yapan nedir?
Rastgele oluşturulmuş bir parolanın gücü entropiyle ölçülür: length × log2(pool size) bit; burada havuz, parolanın içinden seçildiği karakter kümesidir. Her ek bit, gereken tahmin sayısını iki katına çıkarır. Uzunluk entropiyi çarparken daha büyük bir havuz karakter başına yalnızca biraz katkı sağlar; bu yüzden kazanan uzunluktur: yalnızca küçük harflerden oluşan 16 karakterlik bir parola, dört türün hepsini karıştıran 8 karakterlik bir paroladan yaklaşık 11 milyon kat daha fazla olasılığa sahiptir.
| Uzunluk | Karakterler | Havuz | Entropi |
|---|---|---|---|
| 4 | Rakamlar (PIN) | 10 | 13,3 bit |
| 8 | Küçük harfler | 26 | 37,6 bit |
| 8 | Dört türün tümü | 89 | 51,8 bit |
| 12 | Harfler ve rakamlar | 62 | 71,5 bit |
| 16 | Küçük harfler | 26 | 75,2 bit |
| 16 | Dört türün tümü | 89 | 103,6 bit |
| 20 | Dört türün tümü | 89 | 129,5 bit |
Burada dört türün tümü 89 karakterlik bir havuz oluşturur: 26 + 26 + 10 + 27 sembol. Araç entropiyi aşağı yuvarlayarak tam bit olarak gösterir. Bu değerler yalnızca rastgele parolalar için geçerlidir; bir insanın uydurduğu parolanın entropisi, uzunluğunun düşündürdüğünden çok daha düşüktür.
NIST SP 800-63B ne öneriyor?
ABD'nin dijital kimlik doğrulamaya ilişkin federal yönergesi olan NIST SP 800-63B, parolaları doğrulayan hizmetlere yöneliktir. Güncel revizyonu SP 800-63B-4'e göre bu hizmetler:
- parola tek faktör olduğunda en az 15, başka bir faktörle birlikte kullanıldığında en az 8 karakter şartı koymak zorundadır ve en az 64 karaktere izin vermelidir;
- "bir büyük harf, bir rakam ve bir sembol" gibi bileşim kuralları ya da periyodik parola değişikliği dayatamaz, ancak parolanın ele geçirildiğine dair kanıt varsa değişikliği şart koşmak zorundadır;
- yeni parolaları yaygın olarak kullanılan, tahmin edilebilir veya ele geçirilmiş parolalardan oluşan bir engelleme listesiyle karşılaştırmak zorundadır;
- tüm yazdırılabilir ASCII karakterlerini ve boşluğu kabul etmeli, parola yöneticilerinin çalışabilmesi için yapıştırmaya izin vermelidir.
Kullanıcılar için çıkarılacak ders de aynıdır: önemli olan uzunluk ve rastgeleliktir; P@ssw0rd1 gibi tahmin edilebilir karakter değişiklikleri işe yaramaz.
Parola yöneticileri ve parola cümleleri
Yeniden kullanılan bir parola çoğu zaman kısa bir paroladan daha büyük bir risktir: bir veri ihlalinin ardından saldırganlar sızdırılan e-posta ve parola çiftlerini başka sitelerde dener (credential stuffing). Her hesap için farklı bir rastgele parola kullanın ve bunları parola yöneticinizin hatırlamasına bırakın; böylece 20 karakterlik bir parola, 8 karakterlik bir paroladan daha fazla çaba gerektirmez.
Parola yöneticisinin ana parolası gibi ezberden yazdığınız birkaç parola için bir parola cümlesi (passphrase) daha kolaydır: örneğin zar ve EFF uzun kelime listesiyle rastgele seçilmiş kelimeler. Bu listenin 7.776 girdisinden seçilen her kelime yaklaşık 12,9 bit ekler; dolayısıyla altı kelime yaklaşık 77,5 bit verir. Bu araç parola cümlesi değil, karakterlerden oluşan parolalar oluşturur; API anahtarları ve makinelerin kullandığı diğer gizli anahtarlar için rastgele Base64 oluşturucuyu kullanın.
Bu oluşturucu nasıl çalışır?
Parolalar cihazınızda, tarayıcının kriptografik olarak güvenli rastgele sayı üreteci crypto.getRandomValues() ile oluşturulur ve hiçbir zaman gönderilmez veya saklanmaz. Basit bir mod işlemi bazı karakterleri biraz daha olası kılacağından araç ret örneklemesi (rejection sampling) kullanır: havuz boyutunun en büyük katına eşit veya ondan büyük olan 32 bitlik rastgele değerler yeniden çekilir ve böylece her karakter tam olarak eşit olasılıkla seçilir.
Benzer karakterleri hariç tut seçeneği i l 1 L o 0 O karakterlerini kaldırır; bu, Wi-Fi anahtarlarında olduğu gibi parolanın sesli okunduğu veya kâğıttan bakılarak yazıldığı durumlarda kullanışlıdır. Belirsiz sembolleri hariç tut seçeneği ise bazı formların, kabukların ve yapılandırma dosyalarının düzgün işleyemediği parantezleri, eğik çizgiyi, tilde işaretini ve , ; : . karakterlerini kaldırarak geriye ! @ # $ % ^ & * - _ = + ? sembollerini bırakır. Her ikisi de havuzu küçülttüğünden bunu telafi etmek için bir iki karakter ekleyin.
Sıkça sorulan sorular
Bir parola ne kadar uzun olmalı?
Yalnızca parolayla korunan bir hesap için en az 15 karakter; bu, NIST SP 800-63B-4'ün tek faktörlü parolalar için belirlediği alt sınırdır. Bir parola yöneticisi kullanıyorsanız 16 ila 24 rastgele karakter size hiçbir ek zahmet getirmez. Sık yazdığınız parolalar için beş veya altı rastgele kelimeden oluşan bir parola cümlesini değerlendirin.
Bir web sitesinde oluşturulan parolayı kullanmak güvenli mi?
crypto.getRandomValues() ile çalışır; parolalar iletilmez, günlüğe kaydedilmez veya saklanmaz. İhtiyacınız olan parolayı doğrudan parola yöneticinize kopyalayın.Bit cinsinden entropi ne anlama gelir?
Ayarlarınızın üretebileceği parola sayısının 2 tabanında logaritmasıdır. 80 bit, 2 üzeri 80 olası parola demektir ve her ek bit tahmin etme işini iki katına çıkarır. Bu değer parolanın nasıl oluşturulduğunu tanımlar; bu nedenle yalnızca rastgele parolalar için geçerlidir.
Parolalarımı düzenli olarak değiştirmeli miyim?
Sabit bir takvime göre değil. NIST SP 800-63B-4, hizmetlerin periyodik değişiklikleri zorunlu kılmamasını söyler, çünkü insanlar buna tahmin edilebilir varyasyonlarla karşılık verir. Bir hizmet veri ihlali bildirdiğinde, parolanız bir sızıntıda ortaya çıktığında veya başka birinin onu bildiğinden şüphelendiğinizde parolayı değiştirin.
Her karakter türünü zorunlu tutmak parolayı daha güçlü yapar mı?
Hayır. Varsayılan olarak açık olan bu seçenek yalnızca bileşim kuralları olan sitelerin parolayı kabul etmesini sağlar. Araç, seçili bir türü içermeyen parolaları atıp yeniden oluşturur; bu da bazı kombinasyonları dışarıda bıraktığı için gerçek entropiyi biraz düşürür. Etki en çok kısa parolalarda belirgindir; bu yüzden gösterilen değer bir üst sınırdır. Güç kazanmanın daha iyi yolu uzunluk eklemektir.