Güvenli Şifre Oluşturma ve Yönetme

Birkaç yıl önce bir sabah e-postama giriş yapamadığımda, "bana bir şey olmaz" rahatlığının ne kadar kırılgan olduğunu anladım. Şifrem çok kötü değildi — en azından ben öyle sanıyordum. Ama aynı şifreyi yıllar önce üye olduğum, adını bile hatırlamadığım bir forumda da kullanmıştım. O forumun veritabanı sızdı, birileri o listeyi alıp e-posta servislerinde denedi ve iş oldu bitti. O günden sonra şifre alışkanlıklarımı sıfırdan kurdum. Aşağıda anlattıklarım teorik tavsiyeler değil, o süreçte kendi kendime uygulayarak oturttuğum bir sistem.

Güvenli şifre nasıl belirlenir: uzunluk her şeyden önemli

Uzun yıllar bize "büyük harf, küçük harf, sayı, özel karakter" formülü öğretildi. Sonuçta hepimiz Ankara2019! gibi şifreler ürettik; teknik olarak kuralları karşılıyor ama tahmin edilmesi hiç de zor değil. Kırma yazılımları bu tür kalıpları — kelime + yıl + ünlem — ilk denedikleri şeylerin arasında tutuyor.

Benim için işleri değiştiren fikir şu oldu: karmaşıklıktan çok uzunluk önemli. Her eklediğiniz karakter, denenmesi gereken kombinasyon sayısını katlıyor. 8 karakterlik "karmaşık" bir şifre, 16 karakterlik anlamsız bir kelime dizisinin yanında çok zayıf kalıyor.

Bu yüzden akılda kalması gereken şifrelerde parola cümlesi yöntemine geçtim: birbiriyle alakası olmayan 4-5 kelimeyi yan yana diziyorum. Örneğin "mandalina-tornavida-bulut-yedi" gibi bir şey. Hem yazması kolay, hem hatırlaması, hem de 25 karakteri geçiyor. Önemli olan kelimelerin gerçekten rastgele olması; bir şarkı sözü ya da atasözü kullanırsanız avantajı kaybediyorsunuz.

• En az 12, kritik hesaplarda 16+ karakter hedefleyin.
• Adınızı, doğum yılınızı, çocuğunuzun veya evcil hayvanınızın adını kullanmayın.
• Klavye dizilimlerinden (qwerty, 123456, asdf) uzak durun.
• Harf yerine sembol koyma oyunları (a→@, o→0) sizi kurtarmıyor; bu ikameler zaten sözlüklerde var.
• Tek bir "ana şifre" belirleyip sonuna site adı ekleme yöntemi de riskli — bir tanesi sızarsa mantık çözülür.

Her hesaba ayrı şifre: benim asıl hatam buydu

Yaşadığım olayın sebebi şifremin zayıflığı değil, tekrar kullanılmasıydı. Bu saldırı türünün adı bile var: sızan kullanıcı adı–şifre çiftlerinin başka sitelerde otomatik olarak denenmesi. Yani en güçlü şifreniz bile, onu iki yerde kullandığınız anda en zayıf sitenin güvenliği kadar güvenli hale geliyor.

Şimdi tüm hesaplarımda birbirinden bağımsız şifreler var. Ama insan aklıyla 80 farklı şifre taşımak mümkün değil — burada devreye şifre yöneticisi giriyor.

Şifre yöneticisi kullanmaya alışmak

İtiraf edeyim, ilk başta "tüm şifrelerimi tek bir programa vermek" fikri bana ters geldi. Sonra şu şekilde düşününce ikna oldum: alternatifim, aynı üç şifreyi her yerde tekrarlamaktı. Şifre yöneticisi, kasadaki her kaydı sizin ana şifrenizle şifreliyor; servis sağlayıcı bile içeriği okuyamıyor.

Geçiş sürecinde işe yarayan yaklaşımım şu oldu:

1. Önce yalnızca ana şifreyi belirledim: uzun, kelime dizisi tarzında ve hiçbir yerde kullanılmayan bir parola. Bunu ezberledim.
2. Hepsini bir gecede değiştirmeye çalışmadım. Sadece e-posta, banka ve ana sosyal medya hesaplarımla başladım. E-posta hesabı en kritik olan; çünkü diğer her şeyin sıfırlama linkleri oraya düşüyor.
3. Sonraki haftalarda, hangi siteye girersem onun şifresini değiştirip kasaya kaydettim. Birkaç ay içinde liste kendiliğinden tamamlandı.
4. Kullanmadığım eski hesapları tespit ettiğimde şifresini değiştirmek yerine hesabı tamamen kapattım. Var olmayan hesap sızdırılamıyor.

Ana şifreyi kaybetme korkusu için de bir önlem aldım: kağıda yazıp evde, bilgisayarımın yanında olmayan bir yerde sakladım. "Şifre kağıda yazılmaz" klişesi, internetten gelen saldırıları düşünürsek burada geçerli değil; sizin çekmecenizle Rusya'daki bir botnet arasında ciddi bir mesafe var.

İki aşamalı doğrulama olmadan tablo eksik

Şifre ne kadar iyi olsa da bir gün sızabilir. Bu yüzden kritik hesaplarda ikinci bir katman kullanıyorum. Ama hepsi eşit değerde değil:

Bir de çoğu insanın atladığı bir detay var: kurtarma kodları. Doğrulama uygulamasını kurduğunuzda site size tek kullanımlık yedek kodlar veriyor. Telefonum bir kez suya düştüğünde bu kodlar sayesinde hesaplarıma erişebildim. Onları da şifre kasasına değil, ayrı bir yere kaydediyorum — çünkü kasaya girmek için ihtiyaç duyabilirsiniz.

Şifre dışındaki zayıf noktalar

Şifre düzenimi oturttuktan sonra fark ettim ki asıl risk çoğu zaman teknik değil, davranışsal. En sık düştüğüm tuzaklar şunlardı:

• Halka açık Wi-F
  © 2026 Ağ ve Telefon