Her yerde aynı parolayı kullanmayın!

Herhangi bir web sitesine veya mail hesabına, yalnızca sizin bildiğiniz kullanıcı adınız ve parolanızla kayıt oluyorsunuz ve artık hazırsınız. Tekrar oturum açmak için yalnızca kullanıcı bilgilerinizi hatırlayarak giriş yapmanız yeterli. Kendinizce bazı önlemler alarak, hesabınızı hatırlaması kolay bir şifreyle oluşturuyorsunuz. ESET Güvenlik Araştırmacısı Tomas Foltyn’e göre, sorun işte burada başlıyor.

“Hatırlaması kolay”, genelde kısa ve basit demek olduğu gibi, aynı zamanda kolay tahmin edilebilir anlamına da geliyor. Bu, özellikle hesabınıza kaba kuvvet saldırısı (brute force attack) uygulayarak giriş yapmaya çalışan parola kırma yazılımları için doğru bir ifadedir. Bu tip yazılımlar, bazı hazinelerin kapağını açabilirler.

Zor parola, zor hatırlanıyor

Diğer taraftan; uzun, karışık ve rastgele bir parolanın kırılması zor olduğu gibi, hatırlanması da aynı zamanda zordur. Ve sorun burada devam ediyor. Tahmin edilmesi neredeyse imkansız parolaları ve bunların her birinin hangi çevrimiçi servise ait olduğunu hatırlamak, eğer çok güçlü bir hafızaya sahip değilseniz epey uzun bir liste oluşturacaktır. Ayrıca tüm kullanıcılardan her online hesaba ait ayrı bir anahtar kelime veya parolayı hatırlamalarını beklemek mantıklı mı?

Kötü parolayla huzurlu hayat olabilir mi?

Çoğu kişinin yaptığı şey, "123456" gibi felaket sayılabilecek bir parola kullanıp hayatlarına mutlu mesut devam etmektir. Ta ki hesapları ele geçirilerek çevrimiçi kimlikleri ifşa edilinceye veya daha da kötüsü, kimlik bilgileri ve paraları çalınıncaya kadar.

Aynı parolayı kullanma hatası

Siber suç örgütlerinin dişlilerini yağlayan çok önemli bir başka hata ise; aynı parolanın tekrar tekrar kullanımı. Ne yazık ki bu, çok yaygın yapılıyor. Sıklıkla tercih edilen bir diğer hata ise, her hesabın parolasının hafifçe değiştirilerek kullanılması. Bu yaklaşım da, parolanın kolay kırılabilirliğini engellemiyor.

Neden aynı parola kullanımı bu kadar riskli?

“Her yerde aynı parolayı kullanmayın“ uyarısında bulunan ESET Güvenlik Araştırmacısı Tomas Foltyn, aynı parolayı kullanmanın riskleri hakkında şunları söylüyor: “Farklı hesaplarda aynı parola kullanımı, siber suçluların işini hayli kolaylaştırıyor. Kimlik bilgisi depolama/doldurma olarak bilinen saldırılarda, birden fazla hesapta kullanılan giriş detayları suistimal ediliyor. Siber saldırgan, çalınmış veya sızdırılmış giriş bilgilerini kullanarak genelde daha değerli farklı bir hesabı ele geçirmeyi hedefliyor. Yani örneğin ele geçirdiği mail hesabı parolasını, bu kez banka giriş hesaplarında deneyerek kazanç elde etmeyi amaçlıyor. Sık kullanılan parola yığınları sayesinde, kullanıcı/parola kombinasyonlarını elde etmek ne yazık ki oldukça kolay. Parolanın birden fazla online servise erişim amacıyla kullanılması durumunda, bir sızıntı meydana geldiğinde, güçlü bir parola, hatta bir anahtar kelime dahi hesabın ele geçirilmesini önlemek için yeterli olmayacaktır.”

Ne yapılabilir?

ESET Güvenlik Araştırmacısı Tomas Foltyn’e göre birçok hesap ele geçirme girişimi, iki aşamalı kimlik doğrulama (2FA) ile engellenebilir. Eklenen doğrulama birimi, basit bir kod/parola/anahtar kelime dışında ekstra bir koruma katmanı oluşturarak, suistimale set çekebilir. Sorun şu ki, birçok çevrimiçi hizmet sağlayıcı, kimlik doğrulama planlarına henüz 2FA uygulamamıştır. Ek olarak, aktif Google hesaplarında 2FA kullanımını benimsenme oranı son araştırmalara göre %10'un altında. Yıllardır böyle bir seçenek mevcut olsa bile, çoğu kullanıcı bundan habersiz ya da ilgili değil.

Elbette başka doğrulama yöntemleri de bulunuyor. Parmak izi ya da retina algılama gibi biyometrik yöntemler veya yazı yazma ritmi gibi davranışsal tespitleri ölçen algoritmalar da var. Bununla birlikte, bunların kullanılabilirliği ve buna bağlı olarak benimsenmeleri yaygınlaşmamıştır.