Ekranın altında beliren o küçük pencerede bir kez olsun «Şifreyi kaydet» dediyseniz, zaten bir şifre yöneticisi kullanıyorsunuz. Kimse size söylemedi, hiçbirini seçmediniz, yine de bir taneniz var. Muhtemelen içinde yüz kayıtla.
Bu, şifrelerle ilgili en çok tekrarlanan sorunun neden «nasıl iyi bir tane yaparım» değil de «benimkiler nerede» olduğunu açıklıyor. İnsanlar bir güvenlik kılavuzu aramıyor: var olduğunu bildikleri ama bulamadıkları bir liste arıyorlar.
Liste var. Ama nerede saklandığı, neredeyse kimsenin sormadığı bir sonraki sorunun cevabından çok daha az önemli: onu açmak için ne gerekiyor?
Nerede oldukları, ne kullandığınıza göre
Chrome’da Google’ın şifre yöneticisindeler. Aynı anda iki yerde yaşıyorlar:
bilgisayarınızda bir kopya ve Google hesabınızda bir başkası, eşitlenmiş halde.
passwords.google.com adresinden ya da tarayıcının kendi ayarlarından görülüyor.
Safari, iPhone ve Mac’te iCloud anahtar zincirindeler; kısa süre önce kendi uygulaması da oldu: Parolalar. Aynı fikir: cihazda ve Apple hesabınızda.
Firefox’ta profilinizin içindeki iki dosyadalar ve adlarını bilmekte fayda
var: kullanıcı adları ve şifreler şifrelenmiş halde logins.json dosyasında,
onları çözen anahtar ise key4.db dosyasında. Mozilla tam olarak böyle
belgeliyor, bu adlarla.
Edge’de Microsoft hesabınızdalar, Chrome ile aynı düzende. Android’de ise telefon ayarlarından açsanız bile Chrome’un kullandığı aynı Google yöneticisi.
Aradığınız cevap buraya kadar. Şimdi bir şeyi değiştiren kısım.
Üç model ve neden eşdeğer olmadıkları
Üçü de «şifreleriniz şifrelenmiştir» diyor. Üç durumda da doğru ve hiçbirinde aynı anlama gelmiyor, çünkü değişen şey anahtarın kimde olduğu.
Apple’ın anahtar zinciri uçtan uca şifreli. Onu açan anahtarları Apple bilmiyor; yalnızca güvendiğiniz cihazlarınızda bulunuyorlar. Apple bunu güvenlik belgelerinde yayımlıyor ve takdir edilecek bir ayrıntı ekliyor: sistem denemeleri sınırlıyor, tam da kendi altyapısının içinden bile kimse kaba kuvvetle deneyemesin diye. Etkinleştirilecek bir şey yok. Zaten öyle.
Google’da bu kip var ama isteğe bağlı. Varsayılan olarak şifreleriniz şifreli gidiyor ve şifreli saklanıyor, ama anahtarları Google yönetiyor. Bunu değiştirebilirsiniz: bir eşitleme parolası —ya da nereden girdiğinize göre cihazda şifreleme— anahtarları yalnızca sizin elinizde bırakır. Pratikteki fark çok büyük ve çoğu insan bunu hiç açmadı, çünkü kimse var olduğunu söylemedi. Bedeli var ve tamamı söylenmeli: o parolayı unutursanız, kayıtlı şifrelerinizi kimse geri getiremez. «Yalnızca siz» sözünün anlamı tam olarak budur.
Firefox’ta ana parola olmadan şifreleme sizi dosyalarınıza sahip olan kişiden
korumaz. Bu yazının en rahatsız edici kısmı ve bunu Mozilla söylüyor, biz değil:
ayarlanmış bir ana parola yoksa, profilinizden logins.json ve key4.db
dosyalarını kopyalayan herkes kimlik bilgilerinizi okuyabilir. İki dosya birlikte
yolculuk ediyor: biri kilidi taşıyor, öbürü anahtarı. Ana parola koymak işte o
anahtarı şifreler ve çifti bozar.
Gerçek senaryo bir film değil
İnsan şifrelerinin çalınmasını hayal ederken sunuculara saldıran birini gözünde canlandırır. Pratikte yaşanan iki durum çok daha evcil.
Birincisi: kilidi açık bilgisayarınıza erişimi olan biri. Hiçbir şey bilmek gerekmiyor. Liste tarayıcı ayarlarında iki tık ötede ve açık göstermek için sistem parolasını istese bile, o parolayı sizinle yaşayan ya da yazarken gören kişi biliyor.
İkincisi: tarayıcı profilinizi kopyalayan bir program. Hiçbir şeyi kırmıyor. Dosyaları alıp başka bir yerde rahatça açıyor. Bu tür yazılım sektörde kendi adına sahip olacak kadar yaygın, infostealer, ve «ama şifreliler ya» cümlesinin neden her zaman bir sonraki soruyu gerektirdiğinin tam sebebi bu: şifreli, tamam — peki anahtar nerede?
Bu ikinci senaryoya karşı Apple’ın modeli dayanıyor, Google’ınki parolayı açtıysanız dayanıyor, ana parolasız Firefox ise hiçbir şeye dayanmıyor.
Ne yapmalı, en çok fark yaratandan başlayarak
Bir. Firefox kullanıyorsanız bir ana parola koyun. Gizlilik ayarlarında bir kutucuk ve bu listede en az çabayla en çok koruyan değişiklik, hem de farkla.
İki. Chrome ya da Android kullanıyorsanız Google’ın yöneticisine girin ve cihazda şifrelemeyi veya eşitleme parolasını açın. Açmadan önce fiziksel bir yere yazın ve neyi imzaladığınızı anlayın: o andan itibaren o cümle tek kapıdır.
Üç. Diğer her şeyi saklayan hesabın şifresine bakın. Google hesabınız, Apple kimliğiniz ya da Microsoft hesabınız, içine şifre kaydetmeye başladığınız anda «bir hesap daha» olmaktan çıktı: artık gerisinin anahtarı onlar. O şifreyi sekiz yıl önce kendiniz uydurduysanız, şifre kontrolünden geçirin ve ne dediğine bakın. Canınız isterse üreticiden bir tanesiyle değiştirin.
Dört. O hesapta ikinci faktörü açın. «Şifrenizi biliyorlar»ı «yine de giremiyorlar»a çeviren adım budur.
Bu yeterli mi, yoksa gerçek bir yönetici mi lazım?
Ne için olduğuna bağlı ve burada dürüst cevap, satan cevap değil.
Çoğu insan için tarayıcının yöneticisi şifreleme doğru ayarlanmışsa yeterlidir ve gerçek alternatiften kat kat iyidir; o alternatif daha iyi bir yönetici değil: kırk sitede tekrarlanan aynı şifredir.
Ayrı bir yönetici, tarayıcınınkinin kötü yaptığı ya da hiç yapmadığı şeyler çıktığında kazanır: iki farklı tarayıcıyı delirmeden kullanmak, bir şifreyi eşinizle WhatsApp’tan göndermeden paylaşmak, şifre olmayan şeyleri saklamak, bir ekosistemden her şeyi kaybetmeden çıkmak ya da sırlarınızı saklayanın kodunu denetleyebilmek. Bunu başka bir yazıda konuşuyoruz ve özeti şu: büyük sıçrama bir yöneticiden diğerine değil, hiçbirinden herhangi birine.
Aslında aradığınız şey
Bir liste arıyordunuz. passwords.google.com adresinde, iPhone’unuzdaki Parolalar
uygulamasında ya da tarayıcınızın ayarlarında, ne kullandığınıza göre.
Ama madem oradasınız, bir şeye daha bakın: aynı şifrenin o listede kaç kez tekrarlandığına. Üç yönetici de sorarsanız söyler. O sayı gerçek durumunuzu, şifreleme hakkında okuyabileceğiniz her şeyden —bu yazı dahil— daha iyi anlatır.
Kaynaklar: Apple’ın iCloud anahtar zinciri hakkındaki güvenlik belgeleri —Apple’ın
bilmediği anahtarlarla uçtan uca şifreleme ve deneme sınırı— · Google Chrome’un
eşitleme, eşitleme parolası ve cihazda şifreleme hakkındaki yardım sayfaları ·
Mozilla’nın Firefox’un şifreleri nasıl sakladığına (logins.json ve key4.db) ve
ana parolaya dair belgeleri.
Fotoğraf: Ron Lach · Pexels