Parola uzunlugu vs parola karmasikligi: gercekte hangisi daha onemli

Insanlar guclu parola dusundugunde genellikle once karmasikliga odaklanir: bir sembol, bir buyuk harf, belki bir unlu yerine rakam. Bu, parola insan gozuyle daha daginik gorundugu icin daha guvenli hissettirir. Ama bir saldirgan parolanin zeki gorunup gorunmedigine bakmaz. Arama alanina, yapi ne kadar ongorulebilir olduguna ve ayni sirrin baska yerde tekrar edilip edilmedigine bakar.

Bu yuzden cogu durumda parola uzunlugu, dekoratif karmasikliktan daha yuksek onceligi hak eder. Daha uzun bir parola, sadece birkac ozel karakter eklenmis kisa bir parolaya gore olasilik sayisini cok daha hizli buyutur. Ustelik parola ayni zamanda rastgele ve her hizmet icin benzersizse, fark daha da onemli hale gelir.

Bu, karmasikligin ise yaramadigi anlamina gelmez. Sadece daha sonra geldigi anlamina gelir. Parola zaten yeterince uzunsa ve iyi uretilmisse, karakter cesitliligi yardim eder. Ama temel zayif kalirsa, karmasiklik tek basina parolayi kurtarmaz.

Karmasikligi anlatmak da denetlemek de kolaydir. Eski parola politikalarinin kullanicilara ogrettigi sey, kontrol listesi mantigiydi: bir buyuk harf, bir kucuk harf, bir rakam, bir sembol. Bunlar kontrol etmesi kolay kurallardir, ancak ayni zamanda insanlari cok tahmin edilebilir kaliplara iter. Kullanici kurali yerine getirir ama parolayi ayni zamanda kisa ve akilda tutulur tutar.

Boylece karmasik gorunen ama hala insan aliskanliklarini takip eden parolalar ortaya cikar. Ortak bir kelimenin sonuna unlem eklemek gercek rastgelelik degildir. `a` yerine `@`, `o` yerine `0` koymak da gercek belirsizlik yaratmaz. Bunlar saldirganin ilk bakacagi kaliplardir.

Baska bir deyisle, karmasikligi taklit etmek kolaydir. Uzunlugu taklit etmek ise daha zordur. Parola gercekten uzadiginda, ozellikle uydurulmak yerine uretildiginde, saldirganin problemi cok daha ciddi bicimde degisir.

Her ek karakter arama alanini buyutur. Bu soyut gelebilir ama pratik etkisi basittir: daha uzun parolalar, taniyabildigimiz parcalardan kurulmadiklarinda hem brute-force hem de tahmin etme acisindan daha zor hedefler olur. Kesin matematik ayrintilarina girmeden bile yon bellidir. 16 ila 20 karakterlik guclu bir parola, sembollerle suslenmis 8 karakterlik bir paroladan cok daha rahatsiz bir hedeftir.

Uzunluk modern workflowlarla da iyi uyusur. Bir parola olusturucu ve parola yoneticisi kullaniyorsaniz, ek karakterlerin kullanisli olmama maliyeti ciddi bicimde duser. Her karakteri aklinizda tutmak zorunda olmadiginiz icin daha guvenli varsayimlar secebilirsiniz.

Bu nedenle bir parola ureticisinde artirmaya deger ilk ayar genellikle uzunluktur. Sadece tek bir seyi degistirecekseniz, elle karmasiklik kurallarina takilmadan once parolayi uzatin.

Karmasiklik hala onemlidir, sadece bircok kisinin bekledigi sirada degil. Iki parola ayni uzunlukta ve ayni rastgelelikteyse, daha genis karakter kumesi kullanan parola daha fazla direnc sunabilir. Cesitlilik, guclu bir temeli desteklediginde faydalidir; zayif temelin yerine gecmeye calistiginda degil.

Burada onemli ayrim, gercek karmasiklik ile kozmetik karmasiklik arasindadir. Gercek karmasiklik, yeterli uzunluk uzerine dagitilmis gercek rastgelelikten gelir. Kozmetik karmasiklik ise akilda kalici bir deseni sadece politika gecsin diye suslemektir.

Dogru sonuc, karmasikligi yok saymak degildir. Onu ana kaldirac gibi gormeyi birakmaktir. Cogu pratik durumda daha iyi sira sunudur: once uzunluk, sonra rastgelelik, benzersizlik her zaman, karmasiklik ise destekleyici unsur.

Parola tavsiyelerinin cogu, gercekci olmayan ornekleri karsilastirdigi icin yanlis yone gider. Mukemmel karmasik kisa bir parola, daginik uzun bir parola ile karsilastirilir ya da elle kurulmus bir ifade, gercekten rastgele bir uretici ciktiyla yan yana getirilir. Gercek kullanicilar genelde baska tavizler verir.

Yaygin bir ornek olarak `P@ssw0rd!23` dusunun. Farkli karakter turleri icerse de hala bilinen bir temel kelimeyi ve cok insani bir yapilasmayi ele verir. Bunu guvenilir bir parola yoneticisinden cikan 18 karakterlik uretilmis bir parolayla karsilastirin. Ikinci secenek pratikte genellikle cok daha gucludur; cunku akilda kalici olmaya calismaz.

Ana ders, gercek workflowlari karsilastirmaktir. Iyi saklanan uzun uretilmis bir parola, gunluk hesaplarin cogu icin kisa ve elle optimize edilmis bir parolayi gecer.

Insanlarin istikrarli bicimde uygulayamadigi bir guvenlik kurali uzun sure guclu kalmaz. Karmasiklik once yaklasiminin en cok takildigi yer tam olarak burasidir. Bu politikalar kullanicilari elle rahatsiz parolalar uydurmaya zorlar; bunun sonucu da yeniden kullanim, guvensiz notlar, tahmin edilebilir degisimler veya surekli resetler olur.

Hafiza yukunu kaldirdiginizda uzunlugu benimsemek cok daha kolay hale gelir. Bir olusturucu saniyeler icinde uzun bir parola uretebilir ve yonetici onu hemen kaydedebilir. Bu workflow, insanlardan onlarca kisa karmasik dizeyi kendi kendine uydurmasini istemekten hem daha guvenli hem daha pratiktir.

Bu ayni zamanda benzersizligin neden cok onemli oldugunu da aciklar. Uzun bir parola her yerde tekrar kullaniliyorsa stratejik degerini kaybeder. Gercek guvenlik tekrar edilebilir bir surecten dogar: uret, kaydet, benzersiz tut ve onemli hesaplari MFA ile guclendir.

Birincil e-posta, banka, is, yonetici erisimi ve kurtarmaya bagli hesaplar en guclu varsayimlarinizi hak eder; cunku oradaki bir ihlal kolayca diger hizmetlere sicrama yapabilir. Bu hesaplar icin uzun uretilmis parolalar ve MFA normal standart olmalidir.

Daha az onemli hesaplar bile benzersiz parolalara ihtiyac duyar; her zaman en uzun ayari kullanmasaniz bile. Kucuk bir hesabin zarari cogu zaman dolaylidir. Daha dusuk onemli bir ihlalden sizan yeniden kullanilmis bilgiler daha kritik hesaplari acabilir.

Bu yuzden pratik soru, teoride uzunlugun mu karmasikligin mi kazandigi degildir. Asil soru, farkli hesap turlerinde tekrar tekrar uygulayabileceginiz parola politikasinin ne oldugudur. Cogu durumda cevap yine aynidir: once uzunluk ve benzersizlik.

Tekrar kullanabileceginiz basit bir kural istiyorsaniz, su olabilir: once yeterli uzunluk secin, mumkun oldugunda uydurmak yerine uretin, her parolayi benzersiz tutun ve onemli hesaplarda MFA ekleyin. Bu parcilar yerine oturdugunda karmasiklik kirilgan bir koltuk degnegi olmaktan cikarak faydali bir bonus haline gelir.

Bu kural, bir parolada yeterince sembol veya buyuk harf var mi diye takintili bicimde saymaktan cok daha gercekcidir. Modern parola araclarinin gercekte nasil calistigiyla daha iyi uyum saglar ve akilda kalici ama tahmin edilebilir kaliplar kurma istegini azaltir.

Kisacasi uzunluk genellikle daha onemlidir; cunku problemin yapisini degistirir. Karmasiklik da onemlidir, ama esas olarak daha buyuk sorunlari zaten cozduktan sonra.