Şifre Yönetiminin Doğru Yolu

Yıllarca aynı şifreyi kullandım. Utanarak söylüyorum: doğduğum yıl, bir kedi adı ve sonuna ünlem işareti. Banka hesabımdan spor salonu üyeliğime kadar her yerde o şifre vardı. Bir gün bir forum sitesinin veritabanı sızdı ve o şifre listelerde göründü. O gün, tek tek 40'a yakın hesabı elle değiştirmek zorunda kaldım. İşte şifre yönetimi konusuna gerçekten ilgi duymam o hafta sonunda başladı.

Asıl problem ne?

Şifreyle ilgili sıkıntı, bize iki imkânsız şeyi aynı anda yapmamızın söylenmesi: her hesap için farklı, uzun ve rastgele bir şifre kullan — ve hepsini akılda tut. İnsan beyni bunun için tasarlanmamış. Bu yüzden çoğumuz aynı şifreyi tekrar kullanıyoruz ya da "Ankara2019" gibi tahmin edilmesi kolay kalıplara sığınıyoruz.

Kötü niyetli birinin şifrenizi ele geçirmesi genelde filmlerdeki gibi olmuyor. Üç yol öne çıkıyor:

• Sızıntı listeleri: Kullandığınız bir site hacklenir, e-posta ve şifreniz listeye düşer. Aynı şifreyi başka yerde de kullandıysanız domino etkisi başlar.
• Tahmin ve deneme: Yaygın şifre listeleriyle otomatik denemeler yapılır. "123456" ya da "sifre123" saniyeler içinde çözülür.
• Oltalama (phishing): Şifrenizi kendi elinizle sahte bir giriş sayfasına yazarsınız. Bu durumda şifrenin ne kadar güçlü olduğu hiç fark etmez.

Bu üçünün üçü de farklı savunma gerektiriyor. Uzun şifre ilk ikisini çözer; üçüncüsü için ise iki adımlı doğrulama şart. E-posta hesabınız ele geçirildiğinde ne yapılacağını anlatan rehberde de göreceğiniz gibi, e-posta bütün diğer hesapların ana kapısı — orayı en güçlü şekilde kilitlemek gerekiyor.

İyi bir şifre gerçekten neye benziyor?

Eskiden "büyük harf, küçük harf, sayı, sembol" formülüne inanırdım. "P@ssw0rd!" gibi şifreler ürettim. Sonra fark ettim ki bu tür ikameler saldırı araçlarının ilk denediği şeyler. Önemli olan karmaşıklıktan çok uzunluk ve tahmin edilemezlik.

Bugün kullandığım yöntem şu: birbirine hiç bağlı olmayan dört beş kelimeyi yan yana dizmek. Örneğin "limon-vinç-yorgan-42-mavi". Yazması kolay, akılda tutulabilir ve uzunluğu sayesinde deneme-yanılmaya karşı çok dirençli. Ama dikkat: bu yöntemi yalnızca ezberlemem gereken bir iki şifre için kullanıyorum. Geri kalan her şey için makine üretiyor.

Seçenekleri karşılaştıralım

Şifrelerinizi nerede tutacağınız asıl kararın kendisi. Hepsini denedim, gözlemlerim şöyle:

Tarayıcıya kaydetme konusunda uzun süre tereddüt ettim. Şu ayrımı yapıyorum: haber siteleri, forumlar, alışveriş hesapları için tarayıcı yeter. Banka, e-posta, kurumsal hesaplar ve bulut depolama alanım — ki bulut hizmeti seçerken de bu noktayı önemsemiştim — mutlaka ayrı bir şifre yöneticisinde duruyor.

Benim kurduğum düzen

1. Bir ana şifre belirledim. Dört kelimelik, hiçbir yerde kullanmadığım, sadece kafamda olan bir şifre. Bunu bir kez de kağıda yazıp evdeki güvenli bir yere koydum.
2. Şifre yöneticisini kurdum ve telefon, tablet, bilgisayar arasında senkronize ettim.
3. Önce kritik hesapları geçirdim: e-posta, banka, telefon operatörü. Her biri için uygulamanın ürettiği 20 karakterlik rastgele şifreleri kullandım. Bu şifreleri hiç görmüyorum, bilmiyorum, gerek de yok.
4. İki adımlı doğrulamayı açtım. SMS yerine kimlik doğrulayıcı uygulama tercih ettim; SIM kart kopyalama saldırılarına karşı daha sağlam.
5. Yedek kodları yazdırdım. Telefonumu kaybettiğim gün bu kodlar hayat kurtarıyor. Bunları USB belleğe atmak yerine kağıda basmayı seçtim — taşınabilir belleklerin ne kadar kolay kaybolduğunu bilenler anlar.
6. Ayda bir gözden geçiriyorum. Kullanmadığım hesapları kapatıyorum. Sızıntı uyarısı gelen siteleri hemen değiştiriyorum.

Yeni başlayana üç uyarı

Her şeyi bir gecede değiştirmeye çalışmayın. Ben denedim, üçüncü saatte bıraktım. Haftada beş hesap tempoyla ilerlemek çok daha sürdürülebilir.

Ana şifrenizi asla dijital ortamda saklamayın. Ne e-postada, ne notlar uygulamasında, ne de kendinize gönderdiğiniz bir mesajda.

Güvenlik s