Entropi değeri nasıl okunur
Aşağıdaki bantlar bit sayısının sunum amaçlı gruplanmasıdır ve çevrim dışı saldırıya boyun eğen parolaları eğmeyenlerden ayıracak biçimde seçilmiştir. Yanlarında gösterilen sonuçlar atanmış değil, entropiden hesaplanmıştır.
| Entropi | Bant | Uygulamada ne anlama gelir |
|---|---|---|
| 40 bitten az | Zayıf | Çevrim dışı bir saldırıyla neredeyse anında taranıp tükenir |
| 40 – 59 bit | Orta | Gelişigüzel tahmine direnir; kararlı bir çevrim dışı saldırıya boyun eğer |
| 60 – 79 bit | Güçlü | İyi seçilmiş bir özet fonksiyonuyla olağan çevrim dışı saldırının erimi dışında |
| 80 bit ve üzeri | Çok güçlü | Zayıf nokta tüketici arama değil, yeniden kullanım ve oltalamadır |
- Parola, platformun kriptografik olarak güvenli rastgelelik kaynağıyla tarayıcınızda üretilir ve bu sitedeki bütün analiz ve yapay zekâ özelliklerinin dışında bilinçli olarak tutulur. Hiçbir zaman gönderilmez.
- NIST SP 800-63B, doğrulayıcılara karakter türlerinin karıştırılmasını şart koşmamalarını ve düzenli parola değişikliğini dayatmamalarını, ancak ihlal kanıtı varsa değişikliği zorunlu kılmalarını önerir.
Parola entropisi neyi ölçer
Entropi, üretecin üretebileceği eşit olasılıklı parola sayısını ölçer ve bit cinsinden ifade edilir. Her karakteri N karakterlik bir kümeden bağımsız olarak çekip L uzunluğunda parola kuran bir üretecin entropisi L x log2(N) bittir ve her ek bit, saldırganın denemesi gereken aday sayısını ikiye katlar.
Entropi üretecin bir özelliğidir, ürettiği dizginin değil. Belirli bir parolanın kendine ait bir entropisi yoktur — soru yalnızca, çekildiği uzayın ne kadar büyük olduğudur. Kendi uydurduğunuz bir parolaya dürüstçe bir bit sayısı atfedilememesinin, üretilmiş bir parolaya atfedilebilmesinin nedeni budur.
Uzunluğun karmaşıklığı yenmesinin nedeni de budur. 76 simgelik bir kümeden çekilmiş 20 karakterlik bir parolaya bir karakter eklemek yaklaşık 6,2 bit katar; kısa bir parolaya bütün bir karakter sınıfı eklemek ise çok daha azını katar. NIST'in yönlendirmesi bunu yansıtır: SP 800-63B, doğrulayıcılara karakter türlerinin karıştırılmasını şart koşan bileşim kuralları dayatmamalarını ve en az 64 karakterlik parolalara izin vermelerini söyler.
Parola üreteci nasıl kullanılır
- Bir uzunluk seçin. Uzunluğu artırmak yapabileceğiniz tek başına en etkili değişikliktir.
- Hangi karakter sınıflarının ekleneceğini seçin. Her sınıf kümeyi büyütür ve böylece karakter başına entropiyi yükseltir.
- Parola sesli okunacak ya da elle kopyalanacaksa birbirine benzeyen karakterleri çıkarın — bir miktar entropiyi daha az kopyalama hatasıyla takas edersiniz.
- Entropi değerini okuyun. Gücün dürüst ölçüsü odur; tümünü tarama yılı ise aynı sayının süre olarak ifadesidir.
- Parolayı yeniden kullanmak yerine bir parola yöneticisinde saklayın. Yeniden kullanım, entropi ne kadar olursa olsun onu boşa çıkarır.
Entropi değerinin ardındaki formül
Her karakter kümeden bağımsız ve düzgün biçimde çekilir; bu yüzden olası parola sayısı, küme büyüklüğünün uzunluk kuvvetidir. Entropi ise bu sayının 2 tabanındaki logaritmasıdır.
Süre değeri, hızlı ve kötü korunan bir özet fonksiyonuna saniyede bir trilyon tahmin hızıyla yapılan çevrim dışı bir saldırıyı varsayar ve uzayın yarısını taramak için beklenen süreyi bildirir. Bu bir öngörü değil, ölçek örneğidir: doğru biçimde uzatılmış bir parola özeti saldırıya kat kat daha yavaş boyun eğer, düz metin olarak sızmış bir parola ise hiç süre gerektirmez.
Sık yapılan hatalar
- Uzunluk yerine bir karakter sınıfı eklemek. Uzunluk entropiyi çok daha hızlı yükseltir.
- Güçlü bir parolayı birden çok sitede yeniden kullanmak. O zaman bir hizmetteki ihlal, entropi ne olursa olsun hepsini tehlikeye atar.
- Bilindik bir sözcüğün içindeki karakterleri değiştirmek — 'password' yerine 'P@ssw0rd' yazmak gibi. Kırma araçları tam da bu değiştirmeleri uygular.
- Kendi uydurduğunuz bir parola için bir güç göstergesinin verdiği hükmü entropi ölçümü sanmak. Entropi bir üreteci tanımlar, bir dizgiyi değil.
- Parolaları takvim uğruna takvime göre değiştirmek; NIST bunu önermez, bunun yerine ihlal kanıtı olduğunda değiştirin.
Sıkça Sorulan Sorular
Bir parola ne kadar uzun olmalı?
NIST SP 800-63B, kullanıcının seçtiği parolalar için 8 karakterlik bir alt sınır koyar ve doğrulayıcıların en az 64 karaktere izin vermesini şart koşar. Üretilmiş bir parolada en belirleyici kaldıraç uzunluktur: 76 karakterlik bir kümede her ek karakter yaklaşık 6,2 bit entropi katar, yani arama uzayı kabaca her karakterde ikiye katlanır.
Bit cinsinden parola entropisi nedir?
Üretecin üretebileceği parola sayısının 2 tabanındaki logaritmasıdır: uzunluk x log2(küme büyüklüğü). 76 karakterlik bir kümeden çekilmiş 20 karakterlik bir parola 20 x log2(76) = 125 bit taşır. Her ek bit, saldırganın sınaması gereken aday sayısını ikiye katlar.
Karakter türlerini karıştırmak parolayı güçlendirir mi?
Kümeyi büyüttüğü için karakter başına entropiyi yükseltir — ama uzunluğun yükselttiğinden çok daha azını; ayrıca NIST SP 800-63B, doğrulayıcılara böyle bir karışımı şart koşan bileşim kuralları dayatmamalarını açıkça önerir. Tek sınıftan oluşan uzun bir parola cümlesi, dört sınıftan oluşan kısa bir parolayı yener.
Parola herhangi bir yere gönderiliyor mu?
Hayır. Tarayıcınızda, işletim sisteminin kriptografik olarak güvenli rastgelelik kaynağından üretilir ve bu hesaplayıcı, sitenin diğer özelliklerini besleyen sonuç yayımlamanın dışında özel olarak tutulur; bu yüzden hiçbir zaman gönderilmez ya da kaydedilmez.
Parolalarımı düzenli olarak değiştirmeli miyim?
NIST SP 800-63B, insanları öngörülebilir varyasyonlara ittiği gerekçesiyle gelişigüzel düzenli değişikliği önermez. Ancak kimlik bilgilerinin ele geçirildiğine dair kanıt varsa değişikliği şart koşar. Her site için ayrı parolalar, bir parola yöneticisinde tutulduğunda, herhangi bir değişim takviminden daha çok işe yarar.
Kaynaklar
- Grassi PA, Garcia ME, Fenton JL. NIST Special Publication 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management. National Institute of Standards and Technology, 2017 (with subsequent errata). Section 5.1.1 on memorized secrets.
- Shannon CE. A Mathematical Theory of Communication. Bell System Technical Journal 1948; 27(3): 379-423 — entropy as a measure of uncertainty.
- World Wide Web Consortium. Web Cryptography API — Crypto.getRandomValues(), the cryptographically strong random source used here. w3.org.
- National Cyber Security Centre (UK). Password policy: updating your approach. ncsc.gov.uk.