Güçlü Parola ve İki Adımlı Doğrulama (2FA): NIST Önerileri, Parola Yöneticisi ve Passkey

Hesap ele geçirmelerinin büyük bölümü karmaşık hacking tekniklerinden değil, zayıf, tekrar kullanılan veya çalınmış parolalardan kaynaklanır. Yıllardır süren "büyük harf, rakam ve sembol içersin" alışkanlığı da artık en iyi uygulama değildir. Bu yazıda güncel önerileri, parola yöneticisinin neden önemli olduğunu ve iki adımlı doğrulamanın türlerini anlatıyoruz.

Güçlü parola nedir?

ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) dijital kimlik rehberi (SP 800-63B), parola politikaları için şu ilkeleri öne çıkarır:

Uzunluk, karmaşıklıktan önemlidir. Uzun ve tahmin edilmesi zor bir parola veya parola cümlesi (örneğin birbiriyle ilgisiz dört beş kelimeden oluşan) çoğu zaman "P@ssw0rd!" tarzı kısa parolalardan çok daha güçlüdür. Sistemler uzun parolaları (en az 64 karaktere kadar) kabul etmelidir.
Zorunlu karakter kuralları (bir büyük harf, bir sembol…) önerilmez. Kullanıcıları tahmin edilebilir kalıplara (başa büyük harf, sona 1!) iter.
Düzenli zorunlu değişim önerilmez. Parolanın çalındığına dair bir işaret yoksa, periyodik değişim yalnızca zayıf ve tahmin edilebilir değişikliklere yol açar. Sızıntı şüphesinde ise hemen değiştirin.
Sızdırılmış ve yaygın parolalar reddedilmelidir. Sistemler, bilinen veri ihlallerindeki parolalara ve en yaygın parolalara karşı kontrol yapmalıdır.
Parola yöneticisi ve yapıştırmaya izin verilmelidir. Yapıştırmayı engellemek, kullanıcıyı kısa ve akılda kalır parolalara iter.

Not: Standartlar güncellenir; NIST'in güncel yayınını kontrol edin.

Altın kural: her hesap için ayrı parola

Aynı parolayı birden çok yerde kullanmak en büyük risklerden biridir. Bir sitede olan veri ihlali, parolanızı saldırganlara verir; onlar da aynı e-posta ve parolayı diğer hizmetlerde otomatik olarak dener (credential stuffing). Her hesap için benzersiz bir parola kullanmak bunun etkisini tek hesapla sınırlar.

Parola yöneticisi

Onlarca benzersiz ve uzun parolayı akılda tutmak imkânsızdır; çözüm bir parola yöneticisidir. Güçlü parolalar üretir, saklar ve doğru sitede otomatik doldurur. Böylece yalnızca bir güçlü ana parolayı hatırlamanız yeterli olur. Seçerken: şifrelenmiş depolama, ana parola dışında iki aşamalı doğrulama desteği, bağımsız güvenlik denetimleri, farklı cihazlarda eşitleme ve güvenli paylaşım (ekipler için) gibi özelliklere bakın. Tarayıcıların yerleşik yöneticileri de hiç kullanmamaktan iyidir ancak ayrı bir yönetici genellikle daha fazla özellik sunar.

Parolanız çalındı mı?

"Have I Been Pwned" gibi hizmetler, e-posta adresinizin bilinen veri ihlallerinde görünüp görünmediğini kontrol etmenizi sağlar. Görünüyorsanız o hizmetteki ve aynı parolayı kullandığınız her yerdeki parolayı hemen değiştirin.

İki adımlı doğrulama (2FA/MFA)

Parola çalınsa bile, ikinci bir doğrulama faktörü saldırganın girişini engeller. Faktörler genellikle üç grupta toplanır: bildiğiniz bir şey (parola), sahip olduğunuz bir şey (telefon, anahtar) ve sizin olduğunuz bir şey (parmak izi, yüz). 2FA yöntemleri güvenlik düzeyine göre farklılaşır:

Yöntem	Güvenlik	Not
SMS ile kod	Düşük-orta	SIM değiştirme saldırısına ve yönlendirmeye açıktır. Hiç yoksa yine de yoktan iyidir.
Kimlik doğrulayıcı uygulama (TOTP)	İyi	Telefondaki uygulamanın ürettiği 30 saniyelik kodlar; internet bağlantısı gerekmez.
Anlık bildirim onayı	İyi	Kullanışlıdır; ancak bitkin kullanıcıyı sürekli onay isteğiyle yormaya dayalı saldırılara (MFA yorgunluğu) açık olabilir.
Donanım güvenlik anahtarı (FIDO2)	Çok iyi	Oltalamaya karşı dayanıklıdır; anahtar yalnızca gerçek siteyle çalışır.
Passkey	Çok iyi	Parolanın yerini alan, cihaz veya hesapta saklı, oltalamaya dayanıklı kimlik bilgisi.

Passkey nedir?

Passkey, FIDO standartlarına dayanan parolasız giriş yöntemidir. Cihazınızda (parmak izi, yüz tanıma veya PIN ile açılan) bir kriptografik anahtar çifti saklanır; site yalnızca genel anahtarı bilir, bu yüzden bir sızıntıda çalınacak bir parola yoktur ve sahte siteye girseniz de anahtar çalışmaz. Desteği hızla yaygınlaşıyor; kullanılabiliyorsa tercih edin.

Öncelik sırası: hangi hesaplar?

E-posta hesabınız: Diğer tüm hesapların "parolamı unuttum" bağlantısı oraya gelir; e-posta ele geçirilirse hepsi gider. En güçlü korumayı buraya uygulayın.
Parola yöneticisi ana hesabı.
Bankacılık ve ödeme hesapları.
Alan adı kayıt kuruluşu ve hosting hesabı: Ele geçirilirse siteniz ve e-postanız gider (alan adı yönetimi).
Bulut depolama ve sosyal medya hesapları.

Yedek kurtarma yollarını unutmayın

2FA'yı etkinleştirdiğinizde hizmetin verdiği kurtarma kodlarını kaydedin (güvenli bir yerde, örneğin parola yöneticisinde veya çıktı alınmış olarak). Telefonunuzu kaybederseniz hesabınıza erişim için tek yol olabilir. Kimlik doğrulayıcı uygulamanın yedeğini de etkinleştirin.

İşletmeler için

Paylaşılan hesap parolalarını mesaj uygulamalarında veya e-postayla göndermeyin; ekip parola yöneticisi kullanın.
Çalışan ayrıldığında erişimleri aynı gün kapatın.
Yönetici ve finans hesaplarında 2FA'yı zorunlu kılın.
Çalışanlara oltalama konusunda eğitim verin (oltalama rehberi).

Kaynaklar ve ileri okuma

Sık Sorulan Sorular

Parola yöneticisine tüm parolalarımı koymak riskli değil mi?

Tek noktaya güvenmek riskli görünür; ancak şifreli bir yönetici ve güçlü ana parola ile 2FA birlikte, parolaları tekrar kullanmaktan çok daha güvenlidir. Önemli olan ana parolanızı güçlü tutmak ve başka yerde kullanmamaktır.

SMS ile 2FA hiç kullanılmamalı mı?

Hiç 2FA olmamasından iyidir. Mümkünse kimlik doğrulayıcı uygulama veya güvenlik anahtarı gibi daha güçlü bir yönteme geçin.

Parolaları kâğıda yazmak güvensiz mi?

Eve veya ofise kilitli ve güvenli saklanıyorsa, uzaktan saldırılara karşı korur; ancak kaybolma ve yetkisiz fiziksel erişim riski vardır. Çoğu kişi için parola yöneticisi daha pratik ve güvenlidir.