Bu sorunun cevabı iki parçadır ve ikincisi genellikle atlanır. Birinci parça <strong>kontrol</strong>dür: e-posta adresinizin ya da bir şifrenin bilinen sızıntı listelerinde olup olmadığı, şifreyi hiçbir yere göndermeden öğrenilebilir. İkinci parça <strong>kapsam</strong>dır: sızan şifreyi kaç yerde kullandığınız, olayın maliyetini belirleyen asıl değişkendir. Tek bir sitede kullanılan sızmış bir şifre tek bir sorundur; on sitede kullanılan aynı şifre <strong>on ayrı hesabın anahtarıdır</strong> ve saldırgan bunu denemek için sizi tanımak zorunda değildir.
Güncellendi:
Sızıntı sorgulama servislerine bakarken akla gelen ilk itiraz haklıdır: şifreyi bir siteye yazmak, tam olarak kaçınmaya çalıştığınız şeydir. Ciddi servisler bu itirazı ortadan kaldıran bir yöntem kullanır ve yöntemin adı <em>k-anonimlik</em>tir.
İşleyişi şudur: tarayıcınız ya da parola yöneticiniz şifrenin özetini yerel olarak hesaplar. Bu özet, şifreden geri döndürülemeyen sabit uzunlukta bir dizidir. Ardından sunucuya <strong>yalnızca özetin ilk beş karakteri</strong> gönderilir. Sunucu, o beş karakterle başlayan bütün özetleri geri yollar — genellikle birkaç yüz kayıt. Karşılaştırma cihazınızda yapılır.
Sonuç olarak sunucu ne şifrenizi ne de tam özetini görür; hangi kaydın sizinle eşleştiğini de bilemez, çünkü size yüzlerce kayıt göndermiştir. Bu tasarım, sorgulamanın kendisini yeni bir sızıntı kaynağına dönüştürmemek için vardır ve bugün tarayıcıların yerleşik şifre kontrolü de aynı mantıkla çalışır.
Pratik sonuç: şifre kontrolü için ayrı bir siteye gidip şifrenizi yazmanıza gerek yoktur. Tarayıcınızın parola bölümü ya da kullandığınız parola yöneticisi bu kontrolü zaten arka planda yapar ve sızmış kayıtları işaretler. Bir siteye düz şifre yazmanızı isteyen herhangi bir "kontrol" aracına ise girmeyin — güvenli yöntem varken bunu istemek başlı başına bir uyarı işaretidir.
Bir sızıntının ciddiyeti, çalınan verinin biçimine bağlıdır. Aşağıdaki hızlar tek bir güçlü ekran kartıyla yapılan kaba kuvvet denemeleri için büyüklük mertebesi değerleridir; kesin sayı donanıma göre değişir.
| Saklama biçimi | Deneme hızı (mertebe) | 8 karakterlik karma şifre | Sizin için anlamı |
|---|---|---|---|
| Düz metin | Deneme gerekmez | Anında | Şifre zaten açıkta |
| MD5 (tuzsuz) | Saniyede milyarlar | Saatler | Kırılmış varsayın |
| SHA-1 (tuzsuz) | Saniyede milyarlar | Saatler | Kırılmış varsayın |
| SHA-256 (tuzsuz) | Saniyede yüz milyonlar | Günler | Kırılmış varsayın |
| bcrypt / argon2 (tuzlu) | Saniyede birkaç bin | Pratikte ulaşılamaz | Süre kazandınız, ama değiştirin |
Son satır bile "güvendesiniz" demez; "acele etmenize gerek yok" der. Sızıntı duyurusunda saklama biçimi çoğu zaman açıklanmaz ya da geç açıklanır. Karar kuralı basittir: biçim bilinmiyorsa en kötüsünü varsayın ve şifreyi değiştirin — maliyeti birkaç dakikadır.
Sızıntının size dokunma biçimi, o şifreyi kaç yerde kullandığınıza doğrudan bağlıdır. Saldırgan sizi tanımak zorunda değildir; elindeki listeyi otomatik olarak yüzlerce siteye dener.
| Şifre kaç yerde kullanılıyor | Sızıntıda etkilenen hesap | Müdahale süresi | Zincirleme risk |
|---|---|---|---|
| 1 (her yere farklı şifre) | 1 | Birkaç dakika | Yok |
| 3-5 (benzer şifreler) | 3-5 | Yarım saat | Orta |
| 10+ (tek şifre, her yerde) | 10+ | Saatler | Yüksek |
| E-posta hesabı da aynı şifre | Tümü + kurtarma zinciri | Belirsiz | Kritik |
Son satır diğerlerinden farklı bir kategoridir. E-posta hesabı, diğer bütün hesapların şifre sıfırlama zincirinin ucunda durur. E-posta ele geçirildiğinde saldırganın diğer şifreleri bilmesine gerek kalmaz; hepsini sıfırlatabilir. Bu yüzden e-posta şifresi, hiçbir yerde tekrar kullanılmaması gereken tek şifredir.
Saldırganlar sızan kullanıcı adı-şifre çiftlerini otomatik olarak başka sitelerde dener. Bu yönteme kimlik bilgisi doldurma denir ve başarı oranı düşük olmasına rağmen ölçek nedeniyle işe yarar.
Buradaki en önemli satır sonuncusudur. Başarı oranını üreten tek şey şifre tekrarıdır; farklı şifre kullanan kullanıcılar bu istatistiğin dışında kalır. Yani tekrar kullanımı bırakmak, saldırının etkisini azaltmaz — <strong>sizin için tamamen ortadan kaldırır</strong>.
Sıra bilinçlidir. Yanlış sırayla yapılan müdahale, saldırganın açık bir oturum üzerinden değişiklikleri geri almasına imkân verir.
E-posta, bütün kurtarma akışlarının merkezidir. Diğer hesapları önce değiştirirseniz ve e-posta saldırganın elindeyse, yeni şifreleri de sıfırlatabilir. Zinciri baştan kesmek gerekir.
Şifre değişikliği tek başına yetmez; iki adımlı doğrulama, çalınmış bir şifrenin gelecekte de işe yaramamasını sağlar. Kimlik doğrulayıcı uygulama, SMS'e göre belirgin biçimde daha güvenlidir.
Şifreyi değiştirmek, halihazırda açık olan oturumları her zaman düşürmez. Hesap güvenliği bölümündeki cihaz listesinden tanımadığınız oturumları sonlandırın; bu adım atlanırsa saldırgan mevcut oturumuyla çalışmaya devam eder.
Listeyi hafızadan çıkarmaya çalışmak yerine parola yöneticinizin "tekrar kullanılan şifreler" raporunu açın. Bu rapor işi dakikalara indirir ve unutulan hesapları da ortaya çıkarır.
Saldırganın en sık yaptığı kalıcılık hamlesi, hesaba kendi kurtarma e-postasını veya telefonunu eklemektir. Şifreyi değiştirseniz bile bu kayıt duruyorsa erişimi geri kazanabilir. Kurtarma adreslerini, yönlendirme kurallarını ve bağlı uygulamaları tek tek gözden geçirin.
Üçü de sezgisel görünür ve üçü de korumayı gerçek anlamda artırmaz.
"Sifre1" yerine "Sifre2" yazmak, saldırgan araçlarının standart olarak denediği bir varyasyondur. Sızan şifreden türetilen her yeni şifre, kırılmış sayılmalıdır. Değişiklik türetme değil, tamamen yeni ve rastgele bir üretim olmalıdır.
Sızıntının asıl bedeli, o sitede değil aynı şifrenin kullanıldığı diğer sitelerde ödenir. Saldırgan zaten sızan siteyle ilgilenmiyor; listeyi başka yerlerde deniyor. Müdahale, şifrenin kullanıldığı her yeri kapsamalıdır.
Önemsiz görünen bir forum hesabı, kayıtlı e-posta adresini ve o adresle ilişkili şifreyi doğrular. Ayrıca birçok kişi aynı şifreyi "önemsiz" ve "önemli" hesaplar arasında paylaşır. Ayrım pratikte saldırgan için yoktur.
En güvenli yol, tarayıcınızın parola bölümündeki ya da parola yöneticinizin içindeki yerleşik kontroldür. Bu araçlar şifrenin özetini cihazda hesaplar, sunucuya yalnızca özetin ilk beş karakterini gönderir ve karşılaştırmayı yerelde yapar. Şifrenizin kendisi hiçbir yere gitmez. Düz şifre yazmanızı isteyen kontrol araçlarını kullanmayın.
Evet. Listeler el değiştirir ve denemeler aylar sonra da yapılabilir; ayrıca sızıntının ne zaman gerçekleştiği çoğu zaman duyurulduğu tarihten çok öncedir. Bir şey olmamış olması, o şifrenin hâlâ değerli olmadığı anlamına gelmez. Değiştirmenin maliyeti birkaç dakikadır.
Hayır. Saldırgan araçları sızan şifreden türetilen varyasyonları — sona rakam ekleme, harf büyütme, benzer karakter değiştirme — standart olarak dener. Sızmış bir şifreden türetilen her şifre sızmış sayılır. Yeni şifre, eskisiyle ilişkisiz ve tercihen üretilmiş olmalıdır.
E-posta hesabını. Diğer bütün hesapların şifre sıfırlama zinciri e-postaya bağlıdır; e-posta saldırgandaysa değiştirdiğiniz her şifreyi tekrar sıfırlatabilir. Önce e-posta şifresi değiştirilir, iki adımlı doğrulama açılır, açık oturumlar kapatılır; ancak ondan sonra diğer hesaplara geçilir.
İki sebep vardır. Birincisi, şifre değişikliği açık oturumları otomatik düşürmemiş olabilir; hesap güvenliği bölümünden tüm oturumları sonlandırmanız gerekir. İkincisi, saldırgan hesaba kendi kurtarma e-postasını, telefonunu ya da bir yönlendirme kuralını eklemiş olabilir. Bu kayıtlar temizlenmeden erişim kesilmez.
Önemsiz değil ama etkisi büyük ölçüde sınırlanır. İki adımlı doğrulama, çalınan şifreyle girişi tek başına engeller. Yine de şifreyi değiştirin: doğrulama kodları oltalama yoluyla istenebilir, SMS tabanlı doğrulama SIM takasıyla aşılabilir ve aynı şifreyi doğrulaması olmayan başka sitelerde kullanıyor olabilirsiniz.
Gerçek bildirim sizi bağlantıya tıklamaya zorlamaz ve şifre istemez. Şüphelendiğiniz her durumda e-postadaki bağlantıyı kullanmayın; adresi tarayıcıya kendiniz yazıp hesap ayarlarından kontrol edin. Aciliyet dili, kısaltılmış bağlantı ve doğrudan şifre talebi, üçü bir aradaysa bildirim değil oltalama girişimidir.