Parola Güvenliği: Güçlü Parolaları Oluşturma, Saklama ve Denetleme
Hızlı Yanıt
Password Generator ile 16+ karakter rastgele parola üretin, asla yeniden kullanmayın ve password manager'da saklayın. Server'da bcrypt (work factor 12+), scrypt veya Argon2id ile hashleyin —asla MD5 veya SHA-256. Have I Been Pwned API ile breach audit yapın.
giriiş
Zayıf, yeniden kullanılan ve yanlış saklanan parolalar hesap ele geçirmelerin çoğuna neden olur. Bu kılavuz dört somut problemi çözer: (1) brute force'a direnecek yeterli entropy'ye sahip parola üretme, (2) hızlı hash yerine yavaş KDF ile parola hashleme, (3) servisler arası yeniden kullanımdan kaçınma ve (4) sızdırılmış credential'ları audit etme.
Adım adım
-
Yüksek entropili bir şifre oluşturun
Üst, alt, rakam ve sembolleri karıştırarak 16'dan fazla karakterli bir şifre oluşturmak için Şifre Oluşturucuyu kullanın. Entropi = log2(karakter kümesiBoyutu^uzunluk); 94 sembolden oluşan 16 karakterlik bir alfabe ~105 bit verir; bu, 10^12 tahmin/saniyede bile kaba kuvvete karşı mümkün değildir.
-
Hizmetler genelinde şifreleri asla yeniden kullanmayın
Bir parolanın yeniden kullanılması, tek bir ihlalin onu paylaşan her hesabı tehlikeye atması anlamına gelir. Hizmet başına benzersiz bir şifre oluşturun ve bunları bir şifre yöneticisinde (Bitwarden, 1Password, KeePassXC) saklayın. Ana şifre, hatırlamanız gereken tek şifredir; onu uzun bir şifre cümlesi haline getirin.
-
Sunucuda yavaş KDF ile şifreleri karma hale getirin
Şifreleri asla MD5, SHA-1 veya ham SHA-256 ile saklamayın; bunlar çok hızlıdır ve GPU'lar saniyede milyarlarca şifreyi deneyebilir. Çalışma faktörü 12+ olan bcrypt'i, N=2^17'li scrypt'i veya 64 MB belleğe sahip Argon2id'yi kullanın. Bu KDF'ler kasıtlı olarak yavaştır ve GPU/ASIC saldırılarını yenmek için hafızası zordur.
-
Gökkuşağı masalarını yenmek için tuz kullanın
Tuz, karma işleminden önce başına eklenen veya birleştirilen, şifre başına benzersiz bir rastgele değerdir. Aynı şifrelerin farklı karmalar üretmesini sağlayarak önceden hesaplanmış gökkuşağı tablolarını gereksiz hale getirir. bcrypt ve Argon2, tuzu otomatik olarak oluşturur ve gömer; kendiniz yuvarlamayın.
-
İhlal edilen şifreleri denetleme
Bir şifreyi kabul etmeden önce, k-anonimlik protokolünü kullanarak Şifreyi Sahip Oldum mu API ile kontrol edin: SHA-1 karmasının yalnızca ilk 5 karakterini gönderin, eşleşen son eklerin listesini alın ve yerel olarak karşılaştırın. Bu asla API şifresinin tamamını göstermez.
Örnekler
Güçlü oluşturulmuş şifre (16 karakter, ~105 bit entropi)
Giriş: Uzunluk 16, tüm karakter sınıfları
Çıkış: K9$mP2#vL7@nQ4!x (rastgele, benzersiz, asla yeniden kullanılmaz)
Ana parola için parola (unutulmaz + güçlü)
Giriş: 4 rastgele ortak kelime
Çıkış: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
Bir parolanın bcrypt karması (çalışma faktörü 12)
Giriş: şifre123 ile bcrypt maliyeti 12
Çıkış: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (tuz + maliyet + karma gömülü)
Yaygın Sorunlar
- Şifre karma işlemi için MD5 veya SHA-256 kullanma: her ikisi de hızlı karmalardır. Modern bir GPU ~10 milyar SHA-256/s işlem yaparak 8 karakterlik bir şifreyi dakikalar içinde kırar. Her zaman bcrypt, scrypt veya Argon2id kullanın.
- Bir şifreyi siteler arasında yeniden kullanmak: En zayıf sitedeki bir ihlal, tüm sitelerin şifresini sızdırır. Benzersiz şifreler oluşturun ve bunları bir yöneticide saklayın.
- Parolaları düz metin veya tersine çevrilebilir şifrelemede saklamak: Veritabanı sızdırılırsa tüm hesapların güvenliği anında tehlikeye girer. Karma işlemi tek yönlüdür ve geri döndürülemez; sunucu bile orijinali kurtaramaz.
- Bcrypt'te düşük çalışma faktörü: 2002'de maliyet 4 iyiydi; 2026'da kullanım maliyeti 12+ (kabaca 4096 yineleme) oldu. Parola sıfırlamayı zorlamadan eski karmaları yükseltmek için oturum açarken yeniden karma yapın.
İpuçları
- Yüksek değerli hesaplar için en az 100 bit entropi hedefleyin; bu, 94 sembollü bir alfabeden 16 rastgele karakter veya 6 rastgele zar kelimesi anlamına gelir.
- Destekleyen her hesap için iki faktörlü kimlik doğrulamayı (TOTP veya donanım anahtarı) açın. Parolanın kimlik avı yapılması durumunda güçlü bir parola tek başına yeterli değildir.
- Parolalar yüksek sesle okunacağında veya yazdırılarak yazılacağında Parola Oluşturucumuzun 'belirsiz karakterleri hariç tut' seçeneğini (0/O, 1/l/I) kullanın.
- Şifreleri sabit bir programa göre değil, yalnızca ihlal onaylandıktan sonra değiştirin; zorunlu rotasyon, kullanıcıları Bahar 2026 gibi öngörülebilir kalıplara yönlendirir!