Şifre Kuralları ve İnsan Faktörü: Arayüzde Ne Değişmeli

Şifre politikası tartışmaları kriptografiyle başlar, oysa zayıf halka neredeyse her zaman arayüzdedir. En az sekiz karakter, bir büyük harf, bir rakam ve bir sembol isteyen form güvenliği artırmaz; kullanıcının şifreyi nereye yazacağına karar vermesini sağlar. Ölçülmesi gereken şey kuralın sıkılığı değil, kullanıcının o kuralla ne yaptığı.

Karmaşıklık kuralı aslında neyi ölçüyor

Genel kabul, karakter çeşitliliğinin şifreyi güçlendirdiği yönünde. Sayılara bakınca durum değişiyor. 94 karakterlik bir havuzdan rastgele seçilmiş sekiz karakter yaklaşık 52 bit entropi taşır. 2048 kelimelik bir listeden rastgele seçilmiş beş kelimelik bir parola cümlesi 55 bit taşır, üstelik insan bunu bir kerede aklında tutabilir. Yani kurala uyan taraf daha güvenli değil, sadece daha zahmetli.

İşin bir de şu tarafı var: kullanıcı rastgele davranmaz. Parola1! dört kuralın dördünü birden sağlar ve saldırganın deneyeceği ilk yüz kalıbın içindedir. Karmaşıklık kuralı burada güvenliği değil, kuralın kendisine uyumu ölçüyor.

Zorunlu değişim kendi gerekçesini çürütüyor

Aynı politika belgesinde iki cümle yan yana durur: kullanıcı zor şifreyi unutup kâğıda yazar, bu yüzden dikkatli olunmalı; ve şifreler doksan günde bir değiştirilmelidir. İkincisi birincisinin sebebidir. Akılda tutulan bir şifreyi düzenli aralıklarla değiştirmeye zorlarsanız kullanıcı ezberi bırakır, sonuna sayaç ekler ya da bir yere not alır.

NIST'in kimlik doğrulama rehberi bu iki maddeyi de terk etti: ne zorunlu periyodik değişim öneriliyor, ne de karakter kompozisyonu kuralları. Değişim yalnızca sızıntı şüphesi varsa isteniyor. Rehberin ilgili bölümü burada.

Yapıştırmayı engellemek

Şifre alanına yapıştırmayı kapatan siteler hâlâ var. Gerekçe genelde "güvenlik" diye özetlenir ama pratikte tek yaptığı şey şifre yöneticisi kullanan kişiyi cezalandırmak, yani rastgele ve uzun şifre üreten tek kullanıcı grubunu elle yazılabilecek bir şeye geri itmek.

Şifre yöneticisini zorunlu periyodik değişimden daha güvenilir bulurum. Değişim zorunluluğu kullanıcının belleğine yük bindirip kaliteyi düşürürken, yöneticiye geçiş her hesap için ayrı ve rastgele bir şifreyi mümkün kılıyor; kredinin yeniden kullanıldığı senaryoyu, yani gerçekte en sık görülen ihlal biçimini doğrudan kapatıyor.

Güç göstergesi dürüst olsun

Çoğu şifre gücü göstergesi karakter sınıflarını sayan kısa bir düzenli ifadedir. Parola1! böyle bir ölçerde yeşil yanar. Kullanıcıya yalan söylemiş olursunuz, üstelik güven verici bir tonla.

Gerçek ölçüm sözlük araması ister. zxcvbn gibi kütüphaneler tam da bunu yapar: yaygın şifreleri, klavye dizilerini, tarihleri ve basit karakter değişimlerini tanır. Bedeli de vardır, sözlük dosyası yüzünden istemci tarafında hafif bir paket değildir ve kayıt formunun ilk yüklenmesini yavaşlatır. Kayıt akışını bozmadan çözmek isteyen ekip bunu ayrı bir parçaya alıp şifre alanı ilk odağı aldığında yükler. Ölçümü sunucuya taşımak da mümkün, o zaman her tuş vuruşu değil, gönderim anı kontrol edilir.

Tek oturum açma neyi çözer, neyi taşır

Kurum içinde onlarca ayrı giriş ekranı varsa tek oturum açma arayüz tarafında net bir kazanç: kullanıcı tek bir şifreyi ciddiye alır, parolayı hatırlama yükü de tek noktaya iner. Bunun "verimliliği artırdığı" iddiasını her ortam için geçerli saymam; kazanç, günde kaç kez giriş ekranıyla karşılaşıldığına bağlı.

Asıl mesele riskin yoğunlaşması. Tek şifre tüm kapıları açıyorsa o şifrenin ele geçmesi her şeyin ele geçmesi demektir. Tek oturum açmayı tek başına değil, ikinci faktörle birlikte tasarlayın; ikinci faktör yoksa sistem kolaylığı alıp korumayı bırakmış olur.