Hızlı cevap: Yıllarca "standart" sayılan parola politikası (90 günde bir zorunlu değiştirme, zorunlu büyük/küçük/rakam/sembol karmaşıklığı) bugün NIST ve diğer otoriteler tarafından yanlış kabul ediliyor, çünkü kullanıcıyı Parola1!, Parola2! gibi tahmin edilebilir desenlere ve parolayı not etmeye itiyor. Modern yaklaşım (NIST SP 800-63B): uzunluğu ödüllendir (uzun passphrase'lere, 64+ karaktere izin ver), zorunlu karmaşıklık kurallarını kaldır, parolayı YALNIZCA sızıntı şüphesinde değiştirt (periyodik zorla-rotasyon yok), her yeni parolayı bilinen-sızmış parola listesine karşı kontrol et, parola yöneticisine ve yapıştırmaya izin ver, ve asıl güvenliği MFA ile passkey'e taşı. Özet: daha az sürtünme + sızıntı kontrolü + MFA, karmaşık kurallardan daha güvenlidir.

Parola politikası, güvenlikte en çok yanlış-miras taşıyan alandır. Birçok kurum hâlâ 2000'lerin kurallarını uyguluyor ve bunun güvenlik sağladığını sanıyor; oysa bu kurallar hem kullanıcıyı yoruyor hem de pratikte daha zayıf parolalara yol açıyor. Bu rehber, NIST SP 800-63B'nin modern parola yaklaşımını, neden eski kuralların terk edildiğini ve bir kurumsal politikayı nasıl güncelleyeceğinizi anlatır.

Neden eski kurallar yanlış

İki eski kural en çok zarar vereni: zorunlu periyodik rotasyon ve zorunlu kompozisyon (karmaşıklık) kuralları.

Zorunlu periyodik rotasyon (örneğin 90 günde bir): araştırmalar, kullanıcıların yeni parolayı sıfırdan güçlü seçmediğini, eskisini küçük bir değişiklikle türettiğini (Kis2024! → Kis2025!) gösterdi. Yani rotasyon öngörülebilir desen üretir ve güvenliği artırmaz, hatta azaltır; üstelik parolayı not etmeye iter. NIST bu yüzden periyodik zorla-değiştirmeyi kaldırdı: parola yalnız sızıntı/ele geçirilme şüphesinde değiştirilmeli.

Zorunlu kompozisyon (en az bir büyük, bir rakam, bir sembol): kullanıcıyı Parola1! gibi tahmin edilebilir, minimum-uyan parolalara iter. Entropi (gerçek rastgelelik) uzunluktan gelir, zorunlu sembolden değil. NIST artık kompozisyon kurallarını önermiyor; bunun yerine uzunluğu teşvik ediyor.

NIST SP 800-63B modern ilkeleri

İlke Eski (yanlış) Modern (NIST 800-63B)
Uzunluk 8, karmaşıklık zorunlu min 8, uzun passphrase'e 64+ izin
Karmaşıklık zorunlu büyük/rakam/sembol kural dayatma, uzunluğu teşvik et
Rotasyon 60-90 günde zorunlu yok, yalnız sızıntıda
Sızıntı kontrolü yok bilinen-sızmış listesine karşı kontrol
Parola yöneticisi engellenir, yapıştırma kapalı teşvik et, yapıştırmaya izin ver
İpucu/güvenlik sorusu yaygın kaldır (tahmin edilebilir)

Ek modern ilkeler: Unicode ve boşluğa izin ver (passphrase için), ekranda "göster" seçeneği sun, kayıt anında ve değiştirirken yeni parolayı bir sızmış-parola kara listesine karşı kontrol et (sık kullanılan, sözlük ve bilinen-ihlal parolalarını reddet). Böylece 123456, password, şirket-adı gibi parolalar baştan engellenir.

Passphrase: uzun ama hatırlanır

Modern yaklaşımın kalbi passphrase'dir: birbirinden bağımsız birkaç kelimeden oluşan uzun ama akılda kalan bir dize (örneğin dört rastgele kelime). Uzunluk entropiyi artırır, karmaşık sembol ezberlemeye göre hem daha güçlü hem daha kullanıcı-dostudur. Kurum, kullanıcıyı passphrase'e teşvik etmeli ve 64+ karaktere izin vermelidir; parola yöneticisi kullananlar için ise rastgele-üretilmiş uzun parola en iyisidir. Parola yöneticisi seçimini ve kullanımını parola yöneticisi nasıl seçilir yazımızda ele aldık.

Parola tek başına yeterli değil: MFA ve passkey

Modern politikanın en önemli kabulü şudur: en iyi parola bile tek başına yeterli değildir, çünkü oltalama, sızıntı ve yeniden-kullanım parolayı ele geçirebilir. Bu yüzden asıl güvenlik çok faktörlü doğrulama (MFA) ve giderek passkey'dedir.

Passkey (FIDO2/WebAuthn), parolayı tümden ortadan kaldırıp cihaz-bağlı kriptografik kimliğe geçer; oltalamaya dayanıklıdır çünkü sahte siteye verecek bir "sır" yoktur. MFA'da da hepsi eşit değildir: SMS kodu, SIM-swap ve araya-girmeye zayıftır; authenticator uygulaması daha iyi; passkey/donanım anahtarı en güçlüsüdür. MFA türlerinin karşılaştırmasını iki adımlı doğrulama ve passkey yazımızda inceledik. Parola ele geçirilse bile MFA/passkey ikinci kapıyı kapatır; hesap ele geçirme senaryolarını hesap ele geçirme ve kurtarma yazımızda ele aldık.

Kurumsal politikayı sertleştirme

Parolayı korumak kadar, parolaya yapılan saldırıyı sınırlamak da politika işidir. Giriş uçlarına hız sınırı (rate limiting) ve hesap-kilitleme eşiği koyun ki brute-force ve credential stuffing işlemesin; bunu edge'de uygulamayı Cloudflare güvenlik yapılandırması yazımızda ele aldık. Parolaları her zaman güçlü, yavaş bir karma algoritmasıyla (bcrypt, scrypt, Argon2) ve tuz (salt) ile saklayın; asla düz-metin veya zayıf karma (MD5/SHA1-tek) değil. İş e-postası ve yönetici hesaplarını önceliklendirin; bunlar BEC ve CEO-dolandırıcılığının hedefidir, konuyu BEC sahte havale yazımızda anlattık.

KAOS ve DSET yaklaşımı

DSET olarak kurumsal parola politikası değerlendirmesinde eski-miras kuralları (zorla rotasyon, zorunlu karmaşıklık, yapıştırma engeli) işaretler, bunları NIST 800-63B'ye göre modernleştiririz: uzunluk-temelli, sızıntı-kontrollü, MFA/passkey-öncelikli. Geliştirdiğimiz KAOS aracı tarama sırasında zayıf parola saklama (düz-metin, MD5), eksik hesap-kilitleme/rate-limit ve MFA-yokluğu gibi kimlik zayıflıklarını arar ve bulguyu doğrulamadan abartmaz. Kurumunuzun kimlik ve parola güvenliğini modernleştirmek için Ankara Hacettepe Teknokent bünyesindeki ekibimizle DSET ile iletişime geçin.

Sık sorulan sorular

Parolayı 90 günde bir değiştirtmeyi bırakırsam güvenlik azalmaz mı? Hayır, modern kanıt tersini gösteriyor. Zorunlu periyodik rotasyon kullanıcıyı öngörülebilir desenlere (Kis2024!→Kis2025!) ve parolayı not etmeye itiyor, yani güvenliği artırmıyor hatta azaltıyor. Doğru yaklaşım, parolayı yalnız sızıntı/ele geçirilme şüphesinde değiştirtmek, bunun yerine uzunluk, sızıntı-kontrolü ve MFA'ya yatırım yapmaktır.

Zorunlu karmaşıklık (sembol, rakam) kuralını kaldırırsam zayıf olmaz mı? Hayır. Zorunlu karmaşıklık kullanıcıyı Parola1! gibi minimum-uyan tahmin edilebilir parolalara itiyor. Gerçek güç uzunluktan (entropi) gelir. Uzun bir passphrase, zorunlu sembollü kısa bir paroladan hem daha güçlü hem daha kullanıcı-dostudur. Kompozisyon kuralı yerine uzunluğu teşvik edin ve yeni parolayı sızmış-liste kontrolünden geçirin.

Parola yöneticisine ve yapıştırmaya izin vermek riskli değil mi? Tersine, NIST yapıştırmaya izin verilmesini ve parola yöneticisinin teşvik edilmesini öneriyor. Yapıştırmayı engellemek, kullanıcıyı basit-akılda-kalan (dolayısıyla zayıf) parolalara iter. Parola yöneticisi, her hesap için benzersiz ve uzun rastgele parolalar üretip saklayarak yeniden-kullanımı bitirir, bu da en büyük pratik parola riskini ortadan kaldırır.

Kaynaklar