Parola yöneticisi ve passkey: Şifre ezberlemeyi bırakmanın zamanı

Ortalama bir internet kullanıcısının yüzden fazla hesabı var. Bu hesapların her biri için ayrı, uzun ve rastgele bir şifre ezberlemek insan hafızasının sınırlarını aşar. Sonuç da tahmin edilebilir: Aynı şifre ya da küçük farklarla türetilmiş şifreler (Kedi2024!, Kedi2025!) her yerde kullanılır.

Bu alışkanlığın en büyük tehlikesine credential stuffing denir. Bir sitenin veritabanı sızdığında, saldırganlar oradaki e-posta ve şifre çiftlerini otomatik olarak yüzlerce başka sitede dener. Siz o küçük forumu çoktan unutmuş olabilirsiniz, ama oradaki şifre e-postanızınkiyle aynıysa kapı açılır.

Parola yöneticisi nasıl çalışır?

Parola yöneticisi bütün şifrelerinizi şifreli bir kasada tutar. Kasanın tek bir anahtarı vardır: ana parolanız. Kasa sizin cihazınızda açılır ve sağlayıcının sunucusunda yalnızca şifreli hâli durur. İyi bir parola yöneticisinde sağlayıcı bile şifrelerinizi göremez.

Size kazandırdıkları:

• Her site için benzersiz, rastgele şifre. t7#Qm9!vLx2@pR4w gibi bir şifreyi ezberlemeniz gerekmez.
• Otomatik doldurma. Şifreyi yalnızca doğru alan adında doldurur. Bu, oltalama sitelerine karşı sessiz ama güçlü bir korumadır.
• Sızıntı uyarısı. Pek çoğu, kayıtlı şifrelerinizin bilinen sızıntılarda yer alıp almadığını kontrol eder.
• Güvenli paylaşım. Aile ya da ekip içinde şifreyi WhatsApp'tan göndermek yerine kasadan paylaşabilirsiniz.

Bitwarden, 1Password, KeePassXC (tamamen yerel) ya da tarayıcı ve telefonunuzun kendi parola yöneticisi bu iş için kullanılabilir. Hangisini seçtiğiniz, hiç kullanmamaktan çok daha az önemlidir.

Ana parola nasıl olmalı?

Artık ezberlemeniz gereken tek şifre bu, o yüzden uzun olsun. Rastgele seçilmiş dört beş kelimeden oluşan bir cümle hem güçlü hem akılda kalıcıdır:

mavi-çaydanlık-yürüyor-dokuz-bulut

Ana parolayı başka hiçbir yerde kullanmayın ve kasanızı mutlaka iki adımlı doğrulamayla koruyun.

Passkey: Şifresiz giriş

Passkey, şifrenin yerini alan yeni bir giriş yöntemidir. Bir sitede passkey oluşturduğunuzda cihazınız bir anahtar çifti üretir. Gizli anahtar cihazınızda (ya da parola yöneticinizde) kalır, siteye yalnızca genel anahtar gönderilir. Giriş yaparken parmak izi, yüz tanıma ya da cihaz PIN'i ile onay verirsiniz.

Neden daha güvenli?

• Sunucuda çalınacak şifre yoktur. Site ele geçirilse bile genel anahtar tek başına işe yaramaz.
• Oltalamaya dayanıklıdır. Passkey, oluşturulduğu alan adına bağlıdır. g00gle-giris.com adresindeki sahte bir sayfa, Google için oluşturulmuş passkey'i kullanamaz.
• Tahmin edilemez, tekrar kullanılamaz. Her site için ayrı bir anahtar vardır.

Google, Apple, Microsoft ve giderek artan sayıda site passkey destekliyor. Hesap ayarlarında genellikle "Güvenlik" ya da "Oturum açma yöntemleri" altında bulunur.

Geçiş planı

Hepsini bir günde yapmak zorunda değilsiniz. Şu sırayı öneririm:

1. Bir parola yöneticisi kurun ve tarayıcıdaki kayıtlı şifreleri içeri aktarın.
2. En kritik hesaplardan başlayın: E-posta (diğer bütün hesapları sıfırlamanın anahtarıdır), banka, telefon operatörü, iş hesapları.
3. Bu hesaplarda şifreyi rastgele bir şifreyle değiştirin ve mümkünse passkey ekleyin.
4. Kurtarma kodlarını kasaya ya da kâğıda kaydedin. Telefonunuzu kaybettiğinizde kendinizi dışarıda bırakmayın.
5. Geri kalan hesapları, her giriş yaptığınızda bir tane olmak üzere zamanla güncelleyin. Parola yöneticisinin "zayıf / tekrarlanan şifreler" raporu size bir yapılacaklar listesi verir.

Sık sorulan bir soru

"Bütün şifrelerimi tek bir yerde tutmak riskli değil mi?" Riskli olan, bütün hesapların aynı şifreyi kullanmasıdır. Güçlü bir ana parola ve iki adımlı doğrulamayla korunan bir kasa, ezberlenmiş üç beş şifrenin her yerde tekrar edilmesinden kat kat güvenlidir. Saldırganlar da bunu bilir. Onlar için asıl kolay hedef, şifresini tekrar kullanan kişidir.