Yıllarca uygulanan parola kuralları neden artık önerilmiyor?

Günümüzde hâlâ kullanılan birçok parola kuralının temeli, NIST tarafından 2004 yılında yayımlanan SP 800-63 standardına dayanıyor. Belgenin parola odaklı sekiz sayfalık ekinin hazırlanmasında Bill Burr önemli rol oynadı. Amaç, kullanıcıların oluşturduğu parolaların tahmin edilmesinin ne kadar zor olduğunu hesaplamaktı. Ancak o dönemde insanların farklı kurallar karşısında nasıl davrandığını gösteren kapsamlı gerçek dünya verileri bulunmuyordu. Tahminler kısmen Claude Shannon’ın İngilizce metinlerin öngörülebilirliği üzerine yaptığı çalışmalardan ve parola entropisi modelinden yararlanılarak hazırlandı. Büyük-küçük harf, rakam ve özel karakter içeren sekiz karakterli parolalara teorik bir güvenlik bonusu verildi. Federal sistemler için hazırlanan bu yaklaşım daha sonra işletmeler, üniversiteler, internet siteleri ve BT departmanları tarafından yaygın biçimde benimsendi.

Kurallar kullanıcıları tahmin edilebilir hâle getirdi

Belge aslında kullanıcıların karmaşıklık kurallarını en kolay yöntemlerle aşmaya çalışacağını öngörüyordu. Büyük harf genellikle parolanın başına, sayı ve noktalama işareti ise sonuna ekleniyordu. “S” harfinin “$” işaretiyle değiştirilmesi gibi basit dönüşümler de sürekli tekrarlanıyordu. Böylece “parola” yerine “Parola1!” yazmak güvenli kabul edilirken saldırganların kolayca tahmin edebileceği yeni bir kalıp oluşuyordu. Karmaşık görünen parolaların hatırlanmasının zorlaşması, kullanıcıların bunları kâğıda yazmasına veya farklı hesaplarda tekrar kullanmasına da yol açtı. Parola kırma araçları aynı dönüşümleri deneme listelerine ekleyerek bu davranışlardan yararlanabildi. Kurallar teorik olarak olası parola sayısını artırsa da insanların benzer kısayollar kullanması beklenen güvenlik artışını büyük ölçüde azalttı.

Düzenli parola sıfırlamaları da benzer bir sorun yarattı. Arşivlenen 2004 ekinde doğrudan 90 günlük değişim zorunluluğu bulunmasa da parola ömrü örnekler üzerinden ele alınıyordu. Burr’ın çalışması daha sonra periyodik parola değişiklikleriyle yakından ilişkilendirildi. Kullanıcılar her değişiklikte tamamen yeni bir parola oluşturmak yerine mevcut parolanın sonundaki sayıyı artırmaya başladı. “Pa55word!1” parolası kısa süre sonra “Pa55word!2” biçimine dönüşüyordu. Eski parolayı bilen bir saldırganın bu değişikliği tahmin etmesi oldukça kolaydı. Sonraki araştırmalar da kullanıcıların zorunlu değişiklikleri benzer ve öngörülebilir kalıplarla yaptığını gösterdi.

Bill Burr tavsiyelerinden pişman olduğunu açıkladı

Bill Burr, emekli olduktan sonra 2017 yılında yaptığı açıklamada eski tavsiyelerin önemli bölümünden pişmanlık duyduğunu söyledi. Kullanıcılara dayatılan karmaşıklığın beklediğinden çok daha az güvenlik sağladığını kabul etti. Ancak yaşananları tek bir kişinin interneti yanlış yönlendirmesi şeklinde değerlendirmek doğru değil. Orijinal belge, kullanılan entropi tahminlerinin yaklaşık olduğunu açıkça belirtiyordu. Kullanıcıların kuralları aşmak için başvuracağı bazı yöntemler de önceden tahmin edilmişti. Temel sorun, bu uyarılara rağmen karakter bileşimi kurallarına kurumların katı politikalar oluşturabileceği kadar önem verilmesiydi. 2017’ye gelindiğinde araştırmacılar, sızdırılmış parolalar sayesinde kullanıcıların gerçek davranışlarını gösteren çok daha büyük veri kümelerine ulaşmıştı.

NIST’in eski ve güncel parola önerileri

NIST, 2017’de yayımladığı SP 800-63B ile tavsiyelerini önemli ölçüde değiştirdi. Büyük harf, küçük harf, rakam ve sembolü birlikte kullanma zorunluluğu kaldırıldı. Parolanın ele geçirildiğine ilişkin kanıt bulunmadıkça düzenli sıfırlama yapılması da önerilmedi. Bunun yerine “123456” ve “password123” gibi yaygın seçeneklerin reddedilmesine ağırlık verildi. Yeni parolaların daha önce veri ihlallerinde ortaya çıkan listelerle karşılaştırılması istendi. Have I Been Pwned ve platformlara entegre parola kontrol araçları, kullanıcıların mevcut parolalarının ihlallerde görülüp görülmediğini kontrol etmesini sağlayabiliyor. Böylece güvenlik değerlendirmesi, yalnızca karakter türlerine değil parolanın gerçekten tahmin edilebilir veya ele geçirilmiş olup olmadığına dayanıyor.

Uzunluk artık karmaşıklıktan daha önemli

2025 tarihli SP 800-63B-4, 2017’de benimsenen temel yaklaşımı sürdürüyor. Parola tek kimlik doğrulama faktörü olarak kullanılıyorsa minimum uzunluğun 15 karakter olması öneriliyor. Hizmetlerin en az 64 karakterlik parolaları desteklemesi de isteniyor. Bu alan, kullanıcıların birkaç rastgele kelimeden oluşan uzun ve hatırlanabilir parola cümleleri oluşturmasına imkân tanıyor. Parola yöneticileri ise her hesap için benzersiz ve rastgele değerler üretebiliyor. Buna rağmen eski alışkanlıklar tamamen ortadan kalkmış değil. 2023’te 20 binden fazla siteyi inceleyen bir araştırma, sitelerin yüzde 15’inin modern kılavuzların önermediği karakter bileşimi kurallarını hâlâ zorunlu tuttuğunu gösterdi.