Durmadan tekrarlanan bir arama var: şifre fikirleri. Ve anlaşılır bir arama, çünkü form orada bekliyor, bir şey uydurmak gerekiyor ve kimse sana bunun nasıl yapıldığını anlatmadı.
Sorun şu ki fikir kelimesi zaten hatanın kendisi. İyi bir şifre iyi bir fikir değildir. Arkasında hiçbir fikir olmayan şifredir.
Bu, yazıya girmek için bulunmuş güzel bir cümle değil: bir saldırı tam olarak böyle çalışıyor.
Aklına gelen fikirlerin listesi, onun ilk denediği listedir
Sözlük saldırısı aaaaaaaa ile başlayıp yukarı doğru saymaz. Milyonlarca kez
sızmış şifrelerle başlar, sonra kişi adları, sözcükler, şehirler, futbol takımları
ve dört haneli yıllar gelir. Ve bu temelin üstüne kurallar uygular: başa büyük
harf, sona rakam ya da !, a yerine @, e yerine 3, o yerine 0,
kelimenin tersi, kelimenin iki kez yazılmışı.
Bu kurallar ne sır ne de yeni. Onlarca yıldır yazılı ve her saldırı aracında fabrika çıkışı geliyor. Başka türlü söylersek: senin «şifre fikirleri» diye adlandıracağın buluşlar kataloğu, aşağı yukarı aynı sırayla, sana saldıran kişinin yapılandırma dosyasıdır.
Buradan sonraki bütün rakamlar bu evin kontrol aracından çıkıyor; o araç hızlı bir özete karşı çevrimdışı, saniyede 10¹² deneme varsayar. Bu, sonucun altında yazılıdır ve bu bilgi olmadan hiçbir süre bir şey ifade etmez. Her sayıyı kendin üretebilirsin: örneği yaz ve bak.
Bir numaralı fikir: adın ve doğduğun yıl
Merve1985. Dokuz karakter, bir büyük harf, dört rakam. İnternetin yarısının
istediğini karşılıyor.
Kontrol aracı bir bakışta ikiye ayırıyor: Merve için «Sözlüklerimizde var»,
1985 için «Yıl ya da tarih gibi». Sonuç: 263.600 deneme, yani bu hızda
bir saniyeden az.
Ve neden 263.600 olduğuna dikkat et; astronomik bir sayı değil. Mesele kısalık değil. Mesele bunun dokuz karar değil iki karar olması: hangi isim ve hangi yıl. Yaygın isimler binlerle sayılır; insanların gerçekten şifreye koyduğu yıllar onlarla. Çarpıyorsun ve bitiyor: dokuz karakter yazdın ve üç yüz binden az olası şifre arasından seçim yaptın.
İki numaralı fikir: harfleri rakamlarla değiştirmek
Bu, herkesin işe yaradığına inandığı ve en kötü yaşlanan numara.
M3rve1985 517.200 deneme veriyor. Yükseldi, evet: tam olarak iki katına. Ve
hiçbir şeyin iki katı yine hiçbir şeydir — kontrol aracı hâlâ bir saniyenin
altında ölçüyor — çünkü bu değişim yeni bir şifre yaratmadı. Saldırganın zaten
hesaba kattığı tek bir evet-hayır sorusu ekledi: bu kişi e harfini değiştirdi
mi, değiştirmedi mi?
Dikkatli bak: kontrol aracı kararını bile değiştirmiyor. Yine «Sözlüklerimizde var» diyor, bu kez harf yerine rakamlarla notuyla. Kelimeyi yine de buldu.
İşin nereye vardığını görmek istersen klasik örneği dene. P@ssw0rd — büyük
harfi, kuyruklu a’sı, sıfırı ve iyi düşünülmüş havasıyla — 17 denemede
düşüyor. On yedi. İki elin parmaklarıyla ve biraz sabırla sayılır.
Üç numaralı fikir: tersten yazmak
evrem1985 263.600 deneme veriyor. Son basamağına kadar Merve1985 ile aynı
sayı.
Tersine çevirmek az yardım ediyor değil. Hiçbir şeyi değiştirmiyor. Kelimeyi tersine çevirmek, sözlüğün fabrika çıkışı getirdiği kurallardan biri; kontrol aracı onu aynı şekilde buluyor ve aynı şekilde etiketliyor, bu kez tersten yazılmış notuyla.
Tekrarlamak için de aynısı geçerli: MerveMerve 5.075 denemeye düşüyor — iki
katı harf yazmak seni öncekinden daha kötü durumda bırakıyor, çünkü «bir parçayı
tekrarlıyor» da adı olan bir desen.
Dört numaralı fikir: parmaklarla klavyede yürümek
İnsan düşünmek istemediğinde klavyeye bakar ve bir şekli takip eder. Ortaya
qwerty123 çıkar, ya da 1qaz2wsx, ya da 1q2w3e4r, ya da asdfghjkl.
Rastgele hissettirir, çünkü hiçbir anlamı yoktur. Ama klavyenin sabit ve çok küçük bir geometrisi var ve onu dolaşmak tam da bir programın senden iyi yaptığı şey:
qwerty123→ 273 deneme.1qaz2wsx→ 29 deneme.
Yirmi dokuz. Bu şifreler o kadar eskimiş ki klavye kurallarına bile gerek yok: sızmış şifre listelerinde aynen bu hâlleriyle duruyorlar ve kontrol aracı onları kuru bir «Sözlüklerimizde var» ile geçiştiriyor.
Beş numaralı fikir: köpek ve asla unutulmayan tarih
Toby2015! biyografisi olan bir şifre: köpeğin adı, eve geldiği yıl ve formu
memnun etmek için bir ünlem. 1,2 × 10⁸ deneme veriyor ve yine bir saniyeden
az.
En yaygın evcil hayvan adları birkaç bin tane ve kişi adlarıyla aynı listelerde
duruyorlar. Sondaki !, herkesin uyguladığı bir kuralın kattığı kadarını katıyor:
hiç.
Özel tarihte durum daha da rahatsız edici. 24121985 — bir gün, bir ay, bir yıl —
sekiz rakam gibi okunuyor, ama kontrol aracı onu «Tarih içeriyor» diye
etiketliyor ve 14.966 denemede çözüyor. Sebebi takvimde: 31 gün, 12 ay ve
makul yılların oluşturduğu bir asırdan biraz fazlası var. On milyon kombinasyon
gibi görünen sekiz rakam, gerçekte on beş bin civarı.
Tarihin tuzağı bu: sana uzunluk veriyor ama belirsizlik vermiyor — ve bedeli ödenen tek şey belirsizlik.
Altı numaralı fikir: plaka ve kontrol aracının göremediği şey
4521KDR farklı bir durum ve durup bakmaya değer.
Burada kontrol aracı «Bilinen bir desen bulamadık» diyor ve 3,9 × 10¹⁰ deneme hesaplıyor. Ama bu sayıyı bir tavan olarak işaretliyor ve önemli olan tam da bu kelime: senin desenini bulamadı, bu da senin bir desenin olmadığını kanıtlamaz. Böyle olsa bile, cömert davranarak, süre yine bir saniyeden az.
Ve anlaşılması gereken boşluk burada. Kontrol aracı hangi arabayı kullandığını bilmiyor. Seni tanıyan biri, Instagram’ın karşısında duran biri ya da plakanın yer aldığı bir veri dökümünü satın almış biri 3,9 × 10¹⁰ denemeye ihtiyaç duymaz: bir denemeye duyar. Desen yokken gördüğün sayı, bir yabancının bilgisizliğini ölçer; seni araştırmış birinin bilgisizliğini değil.
Aynısı kapı numarası, kimlik numarası, telefon ve düğün tarihi için de geçerli.
Altısının ortak noktası
Bu fikirlerin hiçbiri «yeterince karmaşık değil» diye başarısız olmuyor. Hepsi aynı sebepten başarısız oluyor: hepsi otobiyografi ve otobiyografi tahmin edilir. Adın, yılın, köpeğin, araban, klavyeyi dolaşma tarzın. Bu kararların her biri sana kişisel ve kendine ait geliyor; işte tam da bu yüzden birinin çoktan yazdığı kısa bir listeye ait.
Üstüne karmaşıklık eklemek hiçbir şeyi düzeltmiyor, çünkü senin uyguladığın
karmaşıklık da senin bir kararın ve o da listede. M3rve1985 bu yüzden zavallı bir
iki katı kazanıyor, evrem1985 ise onu bile kazanmıyor.
Argümanı sayılarla istersen entropi bitlerinde duruyor: önemli olan kaç şifre yazabilecek olduğun değil, zevklerin hakkında bilinen her şey düşüldükten sonra geriye kaç tanesinin kaldığı.
Çıkış daha iyi bir fikir değil: fikir sahibi olmayı bırakmak
Bu listeden çıkmanın tek yolu, şifrenin senin kafandan çıkmaması.
Diceware tam olarak bunu yapıyor: beş zar atıyorsun, sayıyı 7.776 kelimelik bir listede arıyorsun ve çıkanı yazıyorsun. Her atış 12,9 bit ediyor ve bunlar gerçek 12,9 bit, çünkü zarların ne zevkleri var, ne hafızaları, ne de senin doğum yılın. Altı kelime yaklaşık 77 bit yapıyor.
Bunu kontrol aracına yaz ve neyin değiştiğini gör: zarla seçilmiş altı sıradan kelime «Çok Zayıf»tan **«Çok Güçlü»**ye geçiyor ve süre artık saniyeyle ölçülmüyor. Karmaşık oldukları için değil — değiller, altı normal kelimeler — şifrenin senin karar vermediğin tek parçası oldukları için. Zarları tarayıcı atsın istersen, üreteç aynı çekilişi yapıyor ve bu arada bitleri sana gösteriyor.
Yani «bana şifre fikirleri ver» sorusunun dürüst cevabı şu: fikirlere ihtiyacın yok, hatta fazlasıyla var. Eksik olan bir zar.
Kaynaklar: bu yazıdaki bütün rakamlar password.es’in kontrol aracından çıkıyor; araç modelini sonucun altında ilan ediyor — saniyede 10¹² deneme, çevrimdışı saldırı, hızlı özet — ve her örneği /tr/sifre-kontrol/ adresine yazarak yeniden üretilebilirler · desen çözümleme motoru, Daniel Lowe Wheeler’ın (Dropbox) USENIX Security 2016’da «zxcvbn: Low-Budget Password Strength Estimation» başlığıyla sunduğu zxcvbn · aktarılan değiştirme, ters çevirme ve tekrarlama kuralları, sözlük saldırısı araçlarının fabrika çıkışı getirdiği kurallardır · Arnold G. Reinhold, «The Diceware Passphrase Home Page» (1995), 7.776 kelime ve atış başına 12,9 bit için.
Fotoğraf: RDNE Stock project · Pexels