CodeKitHubNasıl Kullanılır
- Kaydırma çubuğunu kullanarak istediğiniz uzunluğu ayarlayın (16+ önerilir).
- İstediğiniz karakter türlerinin önünü işaretleyin — ne kadar çok tür seçerseniz, şifre o kadar güçlü olur.
- Şifreyi elle girecekseniz, isterseniz belirsiz karakterleri hariç tutabilirsiniz.
- "Şifre Oluştur" seçeneğine tıklayın (bir seçeneği her değiştirdiğinizde yeni bir şifre de görünür).
- "Kopyala" düğmesine tıklayın ve bunu bir şifre yöneticisine kaydedin.
Örnek
Giriş
Length: 16, all character types enabledÇıkış
K7#mQv9!xR2pWz@eYaklaşık 105 bit entropi — modern bir GPU kümesi, bunu kaba kuvvet yöntemiyle kırmak için evrenin yaşından daha uzun bir süreye ihtiyaç duyacaktır.
Bu Araç Nedir?
Bir şifre oluşturucu (parola üretici), bir insanın uydurabileceğinden çok daha güçlü rastgele şifreler üretir. İnsanlar hatırlanması kolay kalıplar seçer — isimler, tarihler, klavye dizileri — ve saldırganlar bu kalıpların her birini bilir. Tam karakter kümesinden oluşturulan rastgele 16 karakterlik bir şifre, yaklaşık 100 bit entropiye sahiptir; bu da herhangi bir gerçekçi kaba kuvvet saldırısının ötesindedir.
Bu üreteç, Web Crypto API’sini kullanır (işletim sisteminizin şifreleme anahtarları için kullandığı güvenli rastgelelik mekanizmasıyla aynıdır), seçtiğiniz her kümeden en az bir karakterin bulunacağını garanti eder ve her seçeneğin etkisini görebilmeniz için entropiye dayalı bir güvenlik seviyesi tahmini gösterir.
Bunu destekleyen bir kaynak da var: NIST'in şifre yönergesi SP 800-63B, uzun şifrelerin (en az 64 karaktere kadar) desteklenmesini, adayların bilinen sızıntı listeleriyle karşılaştırılmasını ve zorunlu karakter kuralları ile periyodik sıfırlamaların kaldırılmasını öneriyor — çünkü gerçek gücü belirleyen şey zorunlu semboller değil, uzunluk ve rastgeleliktir.
Pratik ipuçları
- Uzunluk, zekâdan üstündür: Yalnızca küçük harfler ve rakamlardan oluşan 20 karakterlik bir şifre, tüm özel karakterleri içeren 10 karakterlik bir şifreden daha güvenlidir — bunu kendiniz görmek için kaydırıcıyı hareket ettirirken entropi göstergesini izleyin.
- Bazı siteler karakter sayısını sınırlar veya özel karakterleri yasaklar (özellikle bankalar bu konuda kötü şöhretlidir). Şifreyi elle düzenlemek yerine, onay kutularını kullanarak sitenin kurallarına uyun — elle yapılan düzenlemeler, tam da o noktalarda şifrenin tahmin edilebilirliğini artırır.
- Her site için yeni bir şifre oluşturun. Bir şifre, güvenliği ihlal edilmiş bir sitede tekrar kullanıldığında, ne kadar güçlü olursa olsun bir önemi kalmaz.
- Ezberlemeniz gereken bir şifre için (dizüstü bilgisayar giriş şifresi, şifre yöneticisi ana şifresi gibi), 20 karakterden uzun ve hiçbir özel karakter içermeyen bir şifre, genellikle yazması daha kolaydır ve aynı derecede güvenlidir.
"Güçlü" ne kadar güçlüdür? Bir karşılaştırma
Bağlam için somut rakamlar: 8 karakterlik bir şifre (~52 bit), sitenin hash değeri sızdırılırsa modern bir GPU sisteminde birkaç saat içinde kırılabilir. 12 karakterlik bir şifre (~78 bit) yıllarca dayanır. 16 karakterlik bir şifre (~105 bit) ise ona saldıracak donanımın ömrünü aşar. Çevrimiçi tahmin, bu çevrimdışı rakamlara kıyasla çok daha yavaştır — hız sınırlamaları, saldırganların deneme sayısını trilyonlar değil, binlerce ile sınırlar — ancak hangi tür bir güvenlik ihlali yaşanacağını kontrol edemezsiniz, bu nedenle çevrimdışı senaryo için şifre oluşturun.
İşte bu yüzden şifre yöneticileri oyunun kurallarını değiştirdi: Hatırlanması gereken hiçbir şey kalmadığında, her şifre 16 karakterden fazla rastgele karakterlerden oluşabilir ve tek bir güvenlik ihlali, diğer hesaplarınız için artık bir sorun teşkil etmez.
Yaygın kullanım örnekleri
- Belirli bir şifre politikası uygulayan bir sitede (minimum uzunluk, sembol içermesi zorunlu) yeni bir hesap oluştururken — şifreyi uygun hale getirmek için elle düzenlemek yerine, buradaki eşleştirme seçeneklerini ayarlayın.
- Aynı anda birden fazla hesap veya test kullanıcısı oluştururken, benzersiz şifrelerden oluşan bir grup oluşturmak.
- Bir güvenlik ihlali bildiriminin ardından tekrar kullanılan şifrelerin değiştirilmesi; etkilenen her hesap için tek bir benzersiz şifre.
- Yazdırılmış bir karttan girecek olanlar için, güçlü ancak belirsiz karakterler içermeyen bir Wi-Fi yönlendirici veya paylaşımlı cihaz şifresi oluşturmak.
Uzunluğa göre yaklaşık kırılma süresi
Aşağıdaki tablo, tam karakter kümesinden (büyük/küçük harf, rakam, sembol) rastgele üretilmiş şifreler için modern donanımla çevrimdışı kaba kuvvet saldırısında yaklaşık kırılma sürelerini gösterir. Rakamlar donanım geliştikçe değişir, ama sıralama her zaman aynı kalır: her ek karakter, süreyi katlanarak artırır.
| Uzunluk | Yaklaşık entropi | Tahmini kırılma süresi |
|---|---|---|
| 8 karakter | ~52 bit | Birkaç saat |
| 12 karakter | ~78 bit | Yıllar |
| 16 karakter | ~105 bit | Pratikte kırılamaz |
| 20+ karakter | ~131 bit | Kırılamaz — donanımın ömrünü aşar |
Neden Kullanmalısınız?
Bir banka veya e-Devlet uygulaması için yeni hesap açıyorsunuz ve şifrenin en az bir büyük harf, bir rakam, bir sembol içermesini ama belirli sembolleri yasaklamasını istiyor — karakter kümelerini ayarlayıp kuralına uyan bir şifre üretin.
Ofisteki paylaşımlı Wi-Fi yönlendiricisinin şifresini değiştiriyorsunuz ve bunu bir kağıda yazıp duvara asacaksınız — belirsiz karakterleri hariç tutarak 0 ile O'yu karıştırma riskini ortadan kaldırın.
Bir güvenlik ihlali bildirimi e-postası aldınız ve aynı şifreyi kaç sitede kullandığınızı hatırlamıyorsunuz — her hesap için tek seferde benzersiz, 16+ karakterlik yeni şifreler üretip şifre yöneticinize kaydedin.
Serbest çalışıyorsunuz ve bir müşteriye teslim edeceğiniz test ortamı için birden fazla kullanıcı hesabı açmanız gerekiyor — her biri için ayrı, tahmin edilemez şifreler saniyeler içinde hazır.
Şifreyi telefonunuzdan görüp masaüstü uygulamasına elle gireceksiniz — kriptografik rastgelelik kullanılsa da, karakterleri gözünüzle net ayırt edebilmeniz için belirsiz karakterleri kapatabilirsiniz.
Sıkça Sorulan Sorular
Bir web sitesinde şifre oluşturmak güvenli midir?
Bu konuda evet — şifre oluşturma işlemi tamamen tarayıcınızda Web Crypto API kullanılarak gerçekleştirilir. Şifre, hiçbir ağ isteği yoluyla aktarılmaz; hatta sayfayı yükledikten sonra internet bağlantınızı kesip çevrimdışı olarak şifre oluşturabilirsiniz.
Şifrem ne kadar uzun olmalı?
Önemli hesaplar için, farklı karakter türlerini içeren 16 karakterlik bir şifre güçlü bir varsayılan seçenektir. 12 karakter ise kabul edilebilir bir minimumdur. Uzunluk, karmaşıklıktan daha önemlidir: Daha uzun bir şifre, daha fazla sembol içeren kısa bir şifreden daha güvenlidir. Bir site sınırlama getiriyorsa ve daha kısa bir şifre kullanmak zorundaysanız, her karakter türünü etkinleştirerek telafi edin — ama fırsatınız varsa her zaman uzunluğu tercih edin; bu, NIST SP 800-63B'nin de görüşüdür.
Güç tahmini ne anlama geliyor?
Buna entropi denir: bir saldırganın tahmin etmesi gereken bit sayısı. Eklenen her bit, tahmin işini iki katına çıkarır. Çevrimiçi hesaplar için 45 bitin altı zayıf, 70 ve üzeri güçlüdür; 100 ve üzeri ise çalınan şifre hash’lerine yönelik çevrimdışı saldırılara bile direnç gösterir.
Aynı oluşturulmuş şifreyi birkaç sitede kullanmalı mıyım?
Hayır. Bir siteye saldırı düzenlendiğinde, saldırganlar sızdırılan şifreyi diğer tüm sitelerde de denerler. Her site için ayrı bir şifre oluşturun ve bunları bir şifre yöneticisinde saklayın — şifre yöneticileri işte bu amaçla vardır.
Neden belirsiz karakterleri hariç tutalım?
0/O ve 1/l/I gibi karakterler birçok yazı tipinde birbirinin aynısı gibi görünür. Şifreyi yüksek sesle okuyacaksanız ya da kağıttan yazacaksanız, bu karakterleri hariç tutmak sinir bozucu hataları önler. Bu, entropiyi biraz azaltır; güç göstergesi de bunu doğru bir şekilde yansıtır.
Rastgelelik gerçekten Math.random()'dan farklı mı?
Evet, aradaki fark önemlidir. Math.random() öngörülebilir bir sözde rastgele algoritma kullanır ve şifre üretimi için güvenli kabul edilmez; bu araç ise işletim sisteminizin şifreleme anahtarları için kullandığı aynı mekanizma olan crypto.getRandomValues() (Web Crypto API) üzerinden çalışır. Bu, üretilen dizinin bir sonraki karakterinin önceki karakterlerden tahmin edilemeyeceği anlamına gelir.
Bir bankanın veya kurumun tuhaf şifre kurallarına (özel karakter yasağı gibi) nasıl uyum sağlarım?
Karakter kümesi onay kutularını sitenin kurallarına göre ayarlayın — örneğin sembolleri kapatıp yalnızca harf ve rakam bırakabilirsiniz. Şifreyi oluşturduktan sonra elle düzenlemeyin; elle yapılan değişiklikler rastgeleliği bozar ve şifreyi tahmin edilebilir hale getirebilir.
Oluşturulan şifre herhangi bir sunucuya gönderiliyor veya kaydediliyor mu?
Hayır. Şifre tamamen tarayıcınızda, JavaScript ile üretilir ve hiçbir ağ isteğine dahil edilmez; bu araç şifreyi hiçbir yerde saklamaz veya günlüğe kaydetmez. Sayfayı kapattığınızda şifre yalnızca sizin kopyaladığınız yerde (panoda veya şifre yöneticinizde) kalır.
Oluşturulan bir şifre ne kadar uzun olmalı?
Bir site izin veriyorsa, tam bir karakter kümesinden 16 rastgele karakter, herhangi bir gerçekçi kaba kuvvet saldırısının ötesindedir; sıradan hesaplar için 12 makul bir alt sınırdır. Site sınırlaması nedeniyle daha kısa bir şifre kullanmak zorundaysanız, bunu tüm karakter türlerini etkinleştirerek telafi edin — ancak seçme şansınız olduğunda her zaman uzunluğu tercih edin; bu aynı zamanda NIST SP 800-63B'nin de görüşüdür.