Şifre Oluşturucu

8 ila 20 karakter uzunluğunda yeni bir rastgele şifre oluşturun ve izin verilen karakter gruplarını seçin: küçük ve büyük Latin harfleri, rakamlar ve özel semboller. Sıradan bir kişisel hesap için hizmetin desteklediği maksimum uzunluğu seçin (bu araçta 16–20 karakter) ve elde edilen şifreyi tekrar kullanmayın.

Bir şifreyi güçlü yapan nedir?

Rastgele oluşturulan bir şifre için özellikle önemli olanlar:

1. Uzunluk. Ne kadar çok bağımsız rastgele karakter varsa, olası kombinasyon sayısı o kadar artar.
2. Öngörülemezlik. İsim, doğum tarihi, site adı, tuş dizilimi veya bilinen bir alıntı, rastgele bir diziden daha kolay tahmin edilir.
3. Benzersizlik. Aynı şifre birden fazla hizmette kullanılmamalıdır.
4. Güvenli depolama. Karmaşık bir şifre, açık bir dosyada saklanıyorsa veya üçüncü kişilere iletilirse işe yaramaz.
5. Sızıntı sonrası tekrar kullanıma karşı koruma. Tehlikeye giren bir şifre, kullanıldığı her yerde değiştirilmelidir.

Farklı karakter türleri eklemek, olası kombinasyon kümesini genişletir. Ancak modern öneri, kısa uzunluğu "bir büyük harf, bir rakam ve bir sembol" gibi zorunlu bir şemayla telafi etmeye çalışmamaktır. Rastgele bir şifre için uzunluk ve benzersizlik, yapay olarak karmaşık bir kalıptan genellikle daha önemlidir.

Hangi uzunluğu seçmeli

Güncel NIST SP 800-63B-4 yayını, sistemlerin tek faktörlü şifre için en az 15 karakter kabul etmesini gerektirir; şifre yalnızca çok faktörlü kimlik doğrulamanın faktörlerinden biri olarak kullanıldığında minimum 8'e izin verilir. Hizmetler ayrıca en az 64 karakter uzunluğundaki şifrelere izin vermelidir.

Bunlar sistemler için gereksinimlerdir, 15 karakterlik herhangi bir şifrenin otomatik olarak güvenli olduğu iddiası değildir. 20 karaktere kadar aralığı olan bir oluşturucu için pratik seçim şöyledir:

• 16–20 karakter — çoğu yeni hesap için tercih edilen aralık;
• 20 karakter — site bu uzunluğu kabul ediyorsa makul varsayılan seçenek;
• 8–14 karakter — yalnızca belirli sistem kısıtlamaları veya özel bir çok faktörlü senaryo durumunda kullanın, daha uzun bir şifrenin daha iyi olduğunu bilerek.

Özellikle önemli sistemler için, hizmet destekliyorsa daha uzun değerler oluşturabilen ve saklayabilen bir şifre yöneticisi kullanmak daha iyidir.

Tüm karakter grupları dahil edilmeli mi?

Önce belirli sitenin kurallarını göz önünde bulundurun. Bazı sistemler:

• en az bir rakam veya özel sembol ister;
• yalnızca sınırlı bir karakter listesine izin verir;
• boşluk, tırnak veya diğer işaretleri hatalı işler;
• güncel olmayan bir maksimum uzunluk sınırına sahiptir.

Hizmet kabul ediyorsa küçük ve büyük harfleri, rakamları ve özel sembolleri ekleyin. Ancak tüm gereksinimleri manuel olarak karşılamak için şifreyi kısaltmayın.

Bir şifre neden tekrar kullanılmamalı?

Bir sitedeki sızıntıdan sonra saldırganlar, aynı e-posta ve şifre çiftini diğer hizmetlerde otomatik olarak deneyebilir. Benzersiz bir şifre, hasarı tek bir hesapla sınırlar.

Şu tür varyasyonlar oluşturmayın:

Ortak temel tahmin edilebilir kalır. Her hizmet için tamamen bağımsız bir değer oluşturun.

Oluşturulan şifreler nasıl saklanır

En iyi pratik seçenek bir şifre yöneticisidir. Bu, şunları sağlar:

• her hesap için ayrı bir şifre saklamak;
• verileri yalnızca ilgili alan adında otomatik olarak doldurmak;
• uzun rastgele değerler oluşturmak;
• yeniden kullanılan veya tehlikeye girdiği bilinen şifreleri görmek;
• şifreli depolamayı cihazlar arasında senkronize etmek.

Yöneticinin ana şifresi uzun, hatırlanabilir ve benzersiz olmalıdır. Mümkün olduğunda çok faktörlü kimlik doğrulama veya erişim anahtarı etkinleştirin.

Şifre ne zaman değiştirilmeli

Şifreyi değiştirin:

• hizmet bir sızıntı bildirirse;
• şüpheli bir sitede girdiyseniz;
• güvenli olmayan bir yolla gönderildiyse;
• erişime artık ihtiyacı olmayan biri biliyorsa;
• cihaz veya depolama tehlikeye girmiş olabilirse;
• şifre başka bir hesapta tekrarlanıyorsa.

NIST, ihlal belirtisi olmadan periyodik değişim talep edilmesini önermez. Takvime göre sık zorunlu değişiklikler genellikle SifreMayis → SifreHaziran gibi tahmin edilebilir varyasyonlara yol açar. Benzersizlik, yeterli uzunluk ve gerçek bir risk sonrası hızlı değişim çok daha önemlidir.

Geçici şifreler ve yüklenici erişimi

Geçici erişim için, sahibinin ana şifresini iletmek yerine minimum haklara ve son kullanma tarihine sahip ayrı bir hesap oluşturmak daha güvenlidir.

Sistem geçici şifre kullanıyorsa:

1. üzerinde anlaşılmış güvenli bir kanaldan iletin;
2. kullanıcı adı ve şifreyi tek bir açık mesajda göndermeyin;
3. ilk girişte değiştirilmesini isteyin;
4. çalışma tamamlandıktan hemen sonra erişimi iptal edin;
5. giriş günlüğünü ve aktif oturumları kontrol edin.

Oluşturucu diziyi oluşturur, ancak hakları, iletimi veya iptali yönetmez.

"Benzersiz şifre" ne anlama gelir?

Sayfada bunu "bağımsız olarak oluşturulmuş yeni bir şifre" olarak anlamak doğrudur. Çevrimiçi bir oluşturucu, bu kombinasyonun daha önce hiç kimsede bulunmadığını kanıtlayamaz. Yeterince büyük bir rastgele varyant alanıyla eşleşme son derece düşük olasılıktır, ancak hizmet mutlak küresel benzersizliği kontrol etmez.

Araç, teknik doğrulama olmadan ne vaat etmemelidir?

Uygulama tarafından doğrulanmadıkça, şifrenin kriptografik olarak güvenli bir rastgele sayı üreteci tarafından oluşturulduğu otomatik olarak iddia edilemez. Böyle bir vaat için geliştiricilerin, tarayıcının crypto.getRandomValues() gibi bir kriptografik API kullandığını ve normal Math.random() kullanmadığını kontrol etmeleri gerekir.

Uygulama için önerilen dahili kontrol:

• tarayıcının CSPRNG'si ile oluşturma;
• sapma olmadan düzgün karakter seçimi;
• şifrenin analitik, günlük ve URL'ye kaydedilmemesi;
• değerin sunucuya gönderilmemesi;
• sıfırlamada hassas değerin DOM'dan temizlenmesi;
• her karakter grubu devre dışı bırakıldığında doğru çalışma.

Bu doğrulanana kadar, kullanıcı metninde "kriptografik olarak güvenli" yerine "rastgele şifre" yazmak daha güvenlidir.

Hesap için ek koruma

Şifre sadece bir koruma katmanıdır. Önemli hesaplar için:

• çok faktörlü kimlik doğrulamayı etkinleştirin;
• hizmet destekliyorsa erişim anahtarı, donanım anahtarı veya kimlik doğrulayıcı uygulaması tercih edin;
• yedek kodları güvenli bir yerde saklayın;
• şifreyi girmeden önce alan adını kontrol edin;
• beklenmeyen giriş taleplerini onaylamayın;
• bilinmeyen aktif oturumları sonlandırın.

Sık sorulan sorular

Uzun şifre neden kısa karmaşık olandan daha iyidir?

Uzunluk, olası rastgele kombinasyon sayısını artırır. a → @ gibi tahmin edilebilir değiştirmeler içeren kısa bir şifre, biçimsel olarak farklı karakter türleri içerse bile zayıf kalabilir.

Şifremi her 30 veya 90 günde bir değiştirmeli miyim?

Sebepsiz yere değil. Sızıntı, şüpheli giriş, üçüncü bir tarafa aktarım veya başka bir ihlal belirtisinden sonra değiştirin. Düzenli takvim değişikliği, benzersizlik ve uzunluğun yerini tutmaz.

Şifreyi tarayıcıda saklayabilir miyim?

Modern bir tarayıcının yerleşik yöneticisi, genellikle basit şifreleri yeniden kullanmaktan veya açık dosyada saklamaktan daha güvenlidir. Cihazın kendisini, senkronizasyon hesabını koruyun ve ek kimlik doğrulamayı etkinleştirin.

Site neden özel bir karakter kabul etmiyor?

Hizmetin sınırlı bir izin verilen karakter kümesi veya güncel olmayan bir doğrulaması olabilir. Yalnızca desteklenen gruplarla yeni bir varyant oluşturun, mümkün olan maksimum uzunluğu koruyun.

Şifreyi normal bir mesajlaşma uygulamasında gönderebilir miyim?

Hassas erişim için, güvenli bir sır iletim işlevi, ayrı bir hesap ve ilk girişten sonra geçici şifreyi değiştirmek daha iyidir. Kalıcı şifreleri ortak bir sohbet geçmişinde bırakmayın.

Oluşturucu, şifrenin hiçbir yerde saklanmadığını garanti eder mi?

Bu, sayfanın teknik uygulamasına bağlıdır. Böyle bir vaat, geliştiriciler tarafından ağ istekleri, analitik ve günlük kaydı kontrol edildikten sonra yayınlanmalıdır.

İlgili araçlar: Base64; Metin düzenleyici.

Resmi öneri:

• NIST SP 800-63B-4 — Digital Identity Guidelines: Authentication and Authenticator Management: https://pages.nist.gov/800-63-4/sp800-63b.html