Şifrenizin bilinen bir sızıntıda olup olmadığını bir saniyede öğrenebilirsiniz ve şifrenin kendisi bu sırada cihazınızdan çıkmaz. Çelişki gibi duruyor, ancak mekanizma basit: tarayıcınız şifreden bir hash (metnin kısa parmak izi, ondan metne geri dönülemez) hesaplar, dışarı yalnızca bu parmak izinin ilk beş karakteri gider ve sızıntı veri tabanıyla karşılaştırma sizin tarayıcınızda yapılır.

Aşağıda bunun neden gerekli olduğunu, denetimin nasıl çalıştığını, sonucun ne anlama geldiğini ve şifreniz çıkarsa ne yapacağınızı anlatıyoruz.

  DENETİM NASIL İLERLER

  şifreniz → SHA-1 hash
       └─ dışarı: ilk 5 karakter
  sunucu → o başlangıçlı bütün kuyruklar
       └─ yüzlercesi, karşılaştırma sizde
  [!] şifrenin kendisi hiçbir yere gitmez

Neden denetlemeli

Eski site sızıntılarından milyarlarca şifre açıkta duruyor. Sizin siteleriniz değil, herhangi bir site: on yıl önce üye olduğunuz forum, bir mağaza, bir yemek uygulaması. Böyle bir veri tabanı sızdığında içindeki şifreler doğrudan deneme sözlüklerine girer. Şifreniz o sözlükteyse bulunması saniyeler sürer; program listeyi yukarıdan aşağı okur, o kadar.

Tehlike o eski forumun hacklenmesi değil. Tehlike, aynı şifrenin e-posta dâhil beş yerde daha duruyor olması. E-posta ise geri kalan her şeyin anahtarı: banka, sosyal medya ve e-Devlet erişimi oradan kurtarılır. Yani soru «hacklendim mi» değil, «şifrem ilk denenen listede mi».

Denetim sırasında şifre sızmasın diye nasıl çalışıyor

Şifrenin sızıp sızmadığını öğrenmek için onu başka bir siteye göndermek akıl kârı olmazdı. Bu yüzden denetim başka türlü kurulmuş.

  1. Tarayıcınız şifreden SHA-1 hash'i hesaplar. Bu tek yönlü bir işlem: hash'ten şifreye geri dönülemez.
  2. Dışarı yalnızca bu hash'in ilk beş karakteri gider. Milyonlarca farklı şifrenin hash'i aynı beş karakterle başlar; bu yüzden istekten tam olarak neyi denetlediğinizi anlamak imkânsız.
  3. Veri tabanı sunucusu, o beş karakterle başlayan bütün hash kuyruklarını döndürür. Genellikle birkaç yüz satır.
  4. Tarayıcı bunların arasında kendi hash'inizin kuyruğunu arar. Eşleşirse şifre veri tabanında. Eşleşmezse yayımlanmış sızıntılarda yok.

Yöntemin adı k-anonimlik (yüzlerce benzer isteğin arasına saklanırsınız) ve Have I Been Pwned veri tabanıyla çalışmanın standart yolu bu; o veri tabanı yıllardır bilinen sızıntılardaki şifreleri topluyor. Yalnızca hash saklar, e-posta ya da isimle bağlantı yok.

Bunu bize inanmadan denetleyebilirsiniz. Şifreniz sızdı mı sayfasını, ardından tarayıcının geliştirici araçlarını ve «Ağ» sekmesini açın, şifreyi yazın. Giden tek istek, adresinde beş karakter olan api.pwnedpasswords.com isteğidir. Şifre içinde yok.

Sonuç ne anlama geliyor

«Bulunamadı». Bu şifre yayımlanmış sızıntılarda yok. Hiçbir yerden çalınmadığının garantisi değil: veri tabanı yalnızca bildirilen sızıntıları bilir. Henüz yayımlanmamış taze bir sızıntı orada yoktur. Ancak «bulunamadı» artı uzun, benzersiz bir şifre iyi bir yerdir.

«12.000 kez görüldü». Sayı, bütün sızıntılarda bu şifreyle kaç kayıt bulunduğunu söyler. Sizin 12.000 kez hacklendiğiniz anlamına gelmez. On iki bin kişinin daha aynı şifreyi düşündüğü ve bu şifrenin yıllardır deneme sözlüklerinin başında durduğu anlamına gelir. Böyle bir şifre, nereden sızdığından bağımsız olarak, kullanıldığı her sitede saniyeler içinde bulunur.

  SAYI NE DEMEK

  bulunamadı         bilinen sızıntıda yok
  1–10 kez           sözlükte, değiştirin
  binlerce kez       saniyede bulunur
     └─ sayı «kaç kez hacklendiniz»
        değil, «kaç kişi bunu
        düşündü» demek

Çıktı: ne, hangi sırayla değiştirilir

Sıra hızdan önemli. Panikle her şeyi değiştirmek gerekmez; önce en değerlisi kapatılır.

  1. E-posta. Geri kalan her şey oradan kurtarılır. Yeni şifre: uzun ve eskisine benzemeyen.
  2. Banka ve ödeme uygulamaları. Paranın durduğu yer.
  3. e-Devlet ve kimlik bilgilerinizin olduğu her yer.
  4. Aynı şifrenin durduğu siteler. Asıl sorun işte burada çıkar: başka nerede kullandığınızı hatırlamak neredeyse imkânsız. Birkaç sitede tek şifre bu yüzden tehlikeli: birinin sızması hepsini açar.
  5. İki aşamalı doğrulama e-postada ve bankada. Şifre yeniden sızsa bile ikinci adım olmadan işe yaramaz. SMS yerine uygulama tercih edin; SIM kartı değiştiren dolandırıcılık Türkiye'de de görülüyor.

Yeni şifreyi aklınızdan uydurmayın: insanın kendi düşündüğü, neredeyse her zaman sözlükte zaten var. Şifre oluşturucu rastgele ve uzun bir şifre üretir; ezberlemeniz gerekmez, onun için şifre yöneticisi var.

Her ay denetlememek için

Sızıntı denetimi belirtiyi tedavi eder. Neden, şifrelerin tekrar etmesi ve elle uydurulması. Her sitenin kendi rastgele şifresi olursa herhangi birinin sızması yalnızca o hesabı vurur ve denetlenecek bir şey kalmaz.

Şifre yöneticisi tam olarak bunu yapar: üretir, saklar, formlara yazar ve en önemlisi, adresi benzeyen sahte siteye yazmaz. Tarayıcıya gömülü olan, bulut tabanlı olan ve yerel olan arasında seçim yaparken bakılacak ilk şey cihazda şifreleme: veri tabanı buluta gitmeden önce şifrelenir, servis okuyamaz.

Açıkçası ben olsam şöyle yapardım: e-postamda, bankamda ve e-Devlet'te duran üç şifreyi denetlerdim. Hangisi çıkarsa bugün değiştirirdim. Gerisini tek tek denetlemez, bir akşamda yöneticiye taşırdım ki bu konuya bir daha dönmeyeyim.

  DENETİMDEN SONRA

  [ ] e-posta: yeni şifre
  [ ] banka: yeni şifre
  [ ] ikisinde de iki aşamalı doğrulama
  [ ] gerisi yöneticiye
      └─ bir akşam, sonra denetim
         gerekmez

Bu denetimin yapmadığı şey

E-posta adresinizi sızıntıya karşı denetlemez. Adrese göre denetim, adresin kendisini göndermeyi gerektirir ve o artık anonim değildir. O denetim haveibeenpwned.com sitesinde ayrı kurulmuştur.

Henüz bildirilmemiş sızıntıları görmez. Ve bu şifrenin başka nerede durduğunu bilmez; onu yalnızca siz bilirsiniz.

Son bir şey: şifre denetiminin VPN ile ilgisi yok. Tünel adresinizi ağdan saklar; ancak şifre ağdan sızmaz, bir zamanlar yazdığınız sitenin veri tabanından sızar. Ayrı tehdit, ayrı araç.

Şifre çıktıysa ve nereden başlayacağınız belli değilse durumu yapay zekâya verin.

Yapay zekâ için komut
Şifre sızıntı denetiminden sonra ne yapacağımı
anlamama yardım et.

Sonuç: (bulunamadı / N kez görüldü).
Bu şifre nerede duruyor: (e-posta / banka /
sosyal medya / başka nerede, hatırlamıyorum).
İki aşamalı doğrulama: (var / yok / bilmiyorum).
Şifre yöneticisi: (var / yok).

Önce neyi, hangi sırayla değiştireceğimi ve aynı
şifrenin durabileceği siteleri nasıl bulacağımı
söyle. «Bütün şifreleri değiştir» deme, sıra ver.

Kısaca

Sızıntı denetimi güvenli: dışarı hash'in beş karakteri gider, şifre sizde kalır. «N kez görüldü» demek, şifre deneme sözlüklerinde ve her yerde saniyeler içinde bulunur demek. Çıktıysa: e-posta, banka, e-Devlet, iki aşamalı doğrulama, bu sırayla. Bir daha denetlememek için de her sitenin yöneticiden gelen kendi rastgele şifresi olsun.