Güçlü Parola Oluşturucu

Bir parolanın gücü, saldırganın onu kaç denemede bulabileceğiyle ölçülür. İnsanların seçtiği parolalar sözlük kelimeleri, tarihler ve klavye dizileri içerdiği için gerçek güçleri uzunluklarının çok altında kalır. Rastgele üretilmiş bir parolada ise her karakter bağımsızdır ve güç doğrudan hesaplanabilir: uzunluk × log₂(havuz boyutu).

Bu sayfadaki oluşturucu varsayılan olarak 20 karakter ve 85 karakterlik havuz kullanır; bu yaklaşık 128 bit eder. 128 bit, modern simetrik şifreleme anahtarlarıyla aynı güvenlik düzeyidir.

• Parola yöneticisinin ana parolası her gün elle yazıldığı için hatırlanabilir olmalıdır; burada 8 veya daha fazla kelimelik bir parola ifadesi daha pratik olabilir.
• E-posta, bulut ve banka hesapları gibi kurtarma zincirinin merkezindeki hesaplarda 20+ karakterlik rastgele parola ve iki adımlı doğrulama birlikte kullanılmalıdır.
• Sunucu, API ve şifreleme anahtarları için 32 karakter (yaklaşık 205 bit) tercih edin; insan bunları hiç yazmayacağı için uzunluğun maliyeti yoktur.
• Hiçbir parolayı birden fazla serviste kullanmayın. Bir servisten sızan parola diğerlerinde otomatik olarak denenir (credential stuffing).

Sızıntılarda saldırganın eline geçen şey çoğunlukla parolanın kendisi değil, hash’idir. Servis parolaları Argon2id veya bcrypt gibi yavaş bir fonksiyonla saklıyorsa her deneme pahalıdır; MD5 veya SHA-1 gibi hızlı hash’lerle saklıyorsa saniyede milyarlarca deneme yapılabilir. Rastgele 20 karakterlik bir parola her iki durumda da pratikte bulunamaz; kısa ve tahmin edilebilir parolalar ise ikinci durumda dakikalar içinde düşer.

Matematiksel olarak her parola deneme yoluyla bulunabilir; pratikte ise 128 bitlik bir arama alanını taramak, saniyede bir trilyon denemeyle bile evrenin yaşının çok üzerinde süre alır. Gerçek riskler genellikle parolanın tekrar kullanılması, oltalama ve cihazın ele geçirilmesidir.

NIST SP 800-63B, parolanın ele geçirildiğine dair bir işaret yoksa periyodik değişiklik zorunluluğunu önermez. Sızıntı şüphesinde hemen değiştirin.