Şifre Seçimi

Kerberos gibi kimlik denetim servisleri bir çok soruna çözüm getirse bile kötü şifre seçimine karşı bir yenilik getirmemektedir. Bu noktada sorumluluk kullanıcılara bırakılmıştır. Bu yazımızda şifre seçimi nasıl yapılır, şifre seçerken nelere dikkat etmemiz gerektiğinden bahsedeceğiz.

Kerberos’un kırılabilmesiyle ilgili çıkan sonuçları incelerken basit anlamda şifre seçerken nelere dikkat etmemiz gerektiğinden bahsetmiştik. Kerberos gibi kimlik denetim servislerinin kötü şifre seçimine karşı bir yenilik getirmemektedirler. Ne kadar güvenli bir sistem kurarsanız kurun, kolay tahmin edilebilir bir şifre seçerek tüm güvenlik mekanizmasını çöpe atmış alıyorsunuz. Şifre seçerken çok kısa ve ya kolay tahmin edilebilir bir şifre seçmemeliyiz. Ancak çok uzun ya da akılda tutulamayacak bir şifre seçmek de şifreleri hatırlamamızı zorlaştıracaktır. Şifre seçerken hatırlayabileceğiniz fakat tahmin edilemeyecek bir şifre seçmelisiniz. Örneğin kişisel bilgisayarınız için seçtiğiniz şifreyi e-posta hesabınızın şifresi olarak kullanmamalısınız. Mümkün olduğunca tüm şifrelerinizin farklı olmasına özen göstermelisiniz. Fakat çok fazla şifre ezberlememek için şifre seçimi ile ilgili kendinize bir algoritma geliştirmelisiniz. Örneğin, msakademik sitesindeki üyeliğiniz için seçeceğiniz şifreyi msakademik sitesine girer girmez sadece sizin hatırlayacağınız bir şifre seçmelisiniz. Örneğin, msakademik sitesine girdiğinizde “Microsoft .NET Teknolojileri ile uygulama geliştirmek çok kolay” ifadesi kafanızda oluşuyorsa; şifre olarak “_M.N1iugçk_” seçebilirsiniz. Burada şifrenin başına ve sonuna alt çizgi karakterleri ekledik, her kelimenin ilk harfini aldık ve teknoloji için 1 rakamını kullandık, şifremiz 11 karakterden oluştu. Bu işlem basit anlamda bir hash algoritması gibidir. Şifre seçiminde dikkat etmeniz gereken özellikler şunlar olmalıdır: 1.     Seçtiğiniz şifre sadece sizin için hatırlanabilir, fakat tahmin edilememelidir 2.     Seçtiğiniz şifre içerisinde büyük harf, küçük harf, sayı ve noktalama işaretleri kullanmalısınız 3.     Şifre uzunluğu en az sekiz karakter olmalıdır 4.     Klavyeden yazılması kolay olmalıdır ki hızlı bir şekilde yazılabilsin 5.     Çok kullanılan şifreler arasında yer almamalıdır. Seçilen şifre içerisinde büyük harf, küçük harf , sayı ve noktalama işaretlerinin bulunması, şifrenin en az sekiz karakterden oluşması brute force saldırılarıyla şifrenin ele geçirebilmesi için gereken süreyi uzatacaktır. Basit anlamda türkçe klavyede 32 harf, 10 rakam ve yaklaşık 40 noktalama işareti bulunmaktadır. Buna göre sekiz karakterli bir şifre için tüm olasılıklar aşağıda listelenmiştir. Şifre Özelliği Olası Şifre Sayısı Sadece küçük harf 1.099.511.627.776 Küçük ve büyük harfler 281.474.976.710.656 Küçük ve büyük harfler ve rakamlar 899.194.740.203.776 Küçük ve büyük harfler, rakamlar ve noktalama işaretleri 28.525.864.220.672.256 Sadece küçük harften oluşan bir şifre ilk bakışta yeterince güvenilir olarak düşünülebilir. Ancak küçük harf, büyük harf, sayı ve noktlama işareti kullanarak bu güvenilirliği 28000 kat daha arttırabiliriz. Şifre seçimini paranoya haline getiren kişilerin şifre seçerken kullandıkları bir diğer yöntem de, şifrelerinin içerisine kontrol karakterleri eklemektir. Klavyedeki alt tuşuna basılı tutarak kontrol karakterinin ASCII karşılığını girebilirsiniz. İnternet üzerinde en çok kullanılan ve kullanılmaması gereken şifre özellikleri ise şunlardır: Kişi İsimleri Kullanıcı Adı, Ardışık Karakterler Ardışık Sayılar Doğum Tarihi Takım İsimleri Şehir ve Ülke İsimleri Film ve Aktör İsimleri Çizgi Karakterler Ünlü isimler “password” “şifre” “1111” Sistem yöneticileri açısından kullanıcıların şifre seçimi oldukça önemli bir konudur. Kullanıcıların yanlış şifreleri seçmesini engellemek için çeşitli yöntemler geliştirilmiştir. En önemlisi kullanıcıların eğitimidir. Bir şifrede olması ve olmaması gereken özellikler kullanıcılara tanımlanmalıdır. Şifrelerini gizli tutmaları için uyarılmalıdır. Çoğunlukla tercih edilmeyen bir yöntem de bilgisayar tarafından oluşturulmuş şifreler kullanmaktır. Fakat kullanıcıların çoğu bu şifreleri akıllarında tutamadıkları için şifrelerini bir kağıda yazıp saklamaktadırlar. One Time Pad, Amerikan Deniz Kuvvetleri tarafından geliştirilmiş ve kullanılan bir yöntemdir. Bu yöntemde şifre sürekli değişmektedir. Kullanıcılar her seferinde farklı bir şifre kullanmak zorundadırlar. Ancak bu şifrelerin özelliği, bir şifreyi bilmek bir sonrakini bulabilmek için yeterli değildir. Ancak bir şifreyi bilmek bir önceki eski şifreyi bulabilmeniz mümkündür. Zaten yeni şifre bilgisayarda tutulmaz. Kullanıcı giriş yaptığında yeni şifre bir çok matematiksel işlemden geçirilerek eski şifre bulunmaya çalışılır. Eski şifre bulunursa kullanıcının oturum açmasına izin verilir, ve eski şifre kullanıcının şu an girdiği şifre ile değiştirilir. Sistem yöneticilerinin en çok kullandıkları iki yöntem şunlardır; Aktive etmeden şifre kontrolü (Proactive Password Checking), kullanıcı şifrelerinin sahip olması gereken özellikler önceden tanımlanır. Kullanıcı şifresini belirlerken şifrenin zayıf bir test olup olmadığı kontrol edilir. Kullanıcı yeterince güçlü bir şifre giresiye kadar şifresi kabul edilmez. Zaman içerisinde şifre kontrolü (Reactive Password Checking), kullanıcılar şifrelerini istedikleri gibi belirler. Ancak arka planda çalışan bir şifre kırıcı program, kullanıcı şifrelerini kırmaya çalışır. Şifresi kırılan kullanıcıların hesapları kilitlenir. Geçerli bir şifre belirleninceye kadar kullanıcı sisteme kabul edilmez.

Son Söz:

Bir çok sistem yöneticisi bu iki yöntemi de beraberce kullanmaktadır. Ayrıca, ağ trafiği ve kullanıcı hareketleri sürekli izlenmelidir. Örneğin hakkı olmayan yerlere erişmeye çalışan kişiler tespit edilip izlenmelidir. Ayrıca bir diğer önemli kontrol yöntemi de bilgisayarları fiziksel olarak kontrol etmektir. Ağ üzerinde kendisini göstermeyen sniffer olarak çalışan tek disketlik bir çok işletim sistemi bulunmaktadır. Bu işletim sistemleri bir disket aracılığıyla her hangi bir makineye yüklenebilir. Kendisini ağ üzerinde göstermediği için sizin kapalı olarak düşündüğünüz bir makine üzerinde çalışıyor olabilir. Bu gibi durumlarla karşılaşmamak için düzenli olarak belirli aralıkla bilgisayarları kontrol etmelisiniz.