Kaba Kuvvet ve Güvenilir Þifre Oluþturma
Fatih KOPUZ
29 Kasým 2013
Günümüzde eriþim saðladýðýmýz web siteleri, uygulamalar, bankalarýn internet þubeleri, bir nevi kimlik doðrulama sistemi olarak þifreleri kullanmaktadýr. Örneðin bir sosyal paylaþým sitesi olan Facebook’u kullanmak için e-posta ve daha önce bizim oluþturduðumuz þifreden oluþan bir dizi güvenlik tedbirini geçmek zorundayýzdýr. Bu ilk yazýmýzda deðindiðimiz veri güvenliðinin saðlanmasý için gereklidir. Eðer hesaplarýmýz þifre ile korunuyor olmasaydý, dileyen herkes hesabýmýza eriþerek özel mesajlarýmýzý okuyabilir, kiþisel verilerimize eriþebilirdi.
Gelelim can alýcý soruya; Gerçekten güvenli mi?
Ýnternet’in ortaya çýktýðý yýllarda þifre anlayýþý, þu an cep telefonlarýnda kullanýlan basit PÝN kodu mantýðýyla 4 karakter ve sadece rakamlardan oluþuyordu. Ancak ilerleyen teknoloji ve birazdan söz edeceðimiz þifre kýrma yöntemlerinden bazýlarý olan "Deneme-Yanýlma" diðer bir deðiþle bilgisayar dünyasýnda "Kaba Kuvvet" ve "Tahmin Yöntemi" ile bu yöntemleri destekleyen programlarýn çoðalmasýyla þifre algoritmalarý da deðiþerek geliþti.
KABA KUVVET ve TAHMÝN YÖNTEMÝ
Bilinen ilk þifre kýrma yöntemi "Kaba Kuvvet" yöntemidir. Ben de ilk þifreyi bu yöntemle kýrdým, rahmetli dedemin evraklarýný içinde tuttuðu siyah bir bond çantasý vardý. Çanta bizim evin sýrlar odasý gibi bir þeydi, ben 7 yaþýndaydým ve gerçekten içinde ne olduðunu çok merak ediyordum. Bir gün dedem evde yokken çantayla baþ baþa kaldým, çantanýn açma kapama kilidinin olduðu yerde 3 haneli bir þifre kilidi vardý. Hepimiz bu tür çantalar görmüþüzdür. Çantayý yere koyduðumda þifre aklýma hiç gelmedi, düðmeyi heyecanla çektim ama çanta açýlmadý, dedem kodu deðiþtirmiþti. Ben kilide baktým ve düþündüm henüz 7 yaþýndayým ve birici sýnýftaydým, ne "Olasýlýk Teorisi" hakkýnda birþey biliyordum, ne de matematik konusunda. Ama bunun o an için hiç önemi yoktu yapmam gereken 001’den baþlayarak 999’a kadar bütün olasýlýklarý denemekti. Netice’de 53’üncü olasýlýðý denediðim sýrada çantadan “klik” sesi geldi. Dedem akýlda kalýcý bir numara seçmiþti güzel memleketimiz Rize’nin plaka kodu, kod 053. Her iki kilidi de ayný kodla açarak sýrlar odasýnýn sýrlarýna vakýf oldum. Sosyal sigorta belgeleri, pasaportlar, evimize ait tapunun bir örneði, eski resimler gibi bir çok eski ve önemsiz ama benim gözümde büyük anlam ifade eden sýrlarla dolu bond çantanýn içerisinde ki evraklar.
Kaba kuvvet yönteminin, olasýlýk teorisine göre iþe yaramamasý imkansýzdýr. Er yada geç olasýlýk sayýsý azalýr ve sonunda tükenir. Anlattýðým anýmda þifremiz onluk sayý sisteminde 3 basamaklý olarak düzenlenmiþti yani kýsaca 999 olasýlýk bulunmaktaydý. Halen kullandýðýmýz PIN sisteminde yine onluk sayý sistemi kullanýlarak 4 basamaklý bir þifre oluþturulmaktadýr, bu sistemde olasýlýk sayýsý 9.999’dur.
10 Bin olasýlýk bir bilgisayar için komik bir rakamdýr, 10 Bin olasýlýðý elle girmemiz günler alsa da bu iþlem günümüzde kullanýlan bilgisayarlarla saniyeler içerisinde yapýlabilmektedir. Ama bu PIN sisteminin güvenilir olmadýðý anlamýna gelmez, çünkü sistem giriþ sýnýrlamasý kullanmaktadýr. Yani 3’üncü yanlýþ denemede PIN Bloke olur. Facebook’ta benzer bir sistemle kullanýcýlarý korumaya çalýþmaktadýr ancak yinede sadece sayýdan oluþan þifreler kullanmanýzý önermiyorum. "Kaba Kuvvet" yöntemini kullanan hackerler günümüzde kalmadý, ama facebook’un þifre bloke sistemini aldatmak imkânsýz bir þey deðildir.
Karmaþýk bir þifre çok daha güvende olmanýzý saðlayacaktýr. Siz þifrenize bir harf eklediðinizde aslýnda farkýnda olmadan þifrenizin olasýlýk sayýsýna 29 çarpanýný eklemiþ olursunuz. Örneðin; 4 basamaklý sayýdan oluþan bir þife için 9.999 olasýlýk varsa, 5 basamaktan oluþan, bir harf ve 4 rakam kullanýlan bir þifrenin olasýlýk teorisine göre olasýlýk sayýsý 29 x 9999 = 289.971’dir. Büyük ve küçük harf duyarlýlýðý ve sembol kullanýmý da iþin içine katýldýðýnda 6 basamaklý bir sayýnýn olasýlýk sayýsý 1 milyara ulaþmaktadýr.
Tahmin yöntemi de iþleyiþ olarak "Kaba Kuvvet" yöntemine yakýndýr, hatta bir çok durumda kaba kuvvetten önce tahmin yöntemine baþ vurulur. Tahmin yönteminde basit olarak þifrenizin ne olduðu tahmin edilmeye çalýþýlýr. Bu nedenle 1234, 123456..9, doðum tarihi, Yaþadýðýnýz yeri, Kýzlýk soyadýnýzý, adýnýz ve plaka numarasý gibi türevleri kullanmamanýzý öneririm bunlar ilk denenen sayý ve harf dizeleridir.
GÜVENÝLÝR ÞÝFRE OLUÞTURMA
Þifreler karmaþýk seçilmek zorundadýr, þifrelerinizde doðum tarihi, arka arkaya sayýlar (1234, 123456..9 gibi), doðum yeri, yaþadýðýnýz yer, adýnýz veya soyadýnýza eklenen sayý türevleri, oðlunuzun/kýzýnýzýn adý, eþinizin adý gibi türevler kullanmamalýsýnýz. Bu tür þifrelerin tahmin edilmesi çok kolaydýr.
Ayrýca yeri gelmiþken söylemekte fayda görüyorum, 2007 yýlýnda yapýlan bir araþtýrmaya göre (hala deðiþen bir þeyler olmadýðýndan eminim) internetteki kullanýcýlarýn %87’si bütün internet iþlemlerinde tek þifre kullanýyor. Bu unutma açýsýndan risksiz ancak kullaným açýsýndan çok riskli bir hareket þeklidir. Öyle ki düþük güvenlikli bir forum sitesine e-mail ve þifrenizle üye olursanýz, bu forum sitesi de birkaç ay sonra maruz kalacaðý bir saldýrý sonucu veri tabanýný korsanlara kaptýrýrsa, e-mail adresiniz ve þifreniz korsanlarýn eline geçmiþ olur, yapmalarý gereken tek þey facebook hesabýnýza girerek þifrenizi deðiþtirmek olacaktýr, pek tabii e-mail þifreniz farklý deðilse, ama endiþe etmeyin nasýl olsa e-mail þifrenizde ayný ve korsanlarýn saldýrýlarýna tamamen açýk durumdasýnýz. Bu aramýzda kalsýn hemen deðiþtirin. [:)]
Farklý sistemlere yapýlacak saldýrýlar sonucu kiþisel verilerinizin ele geçirilme riskini göz önünde bulundurarak, forum sitesi gibi düþük güvenlik önlemlerine tabii internet sitelerine kayýt olurken farklý, bankacýlýk, sosyal paylaþým siteleri gibi mecralarda farklý þifre kullanýn. Böylece baþkalarýnýn hatalarý yüzünden saldýrýya uðrama olasýlýðýnýzý azaltabilirsiniz.
Güvenilir bir þifrenin olmazsa olmaz unsuru fazla sayýda karakterdir, "Kaba Kuvvet ve Tahmin Yöntemi" bölümünde söz ettiðimiz matematiksel faktörler nedeni ile uzun þifre iyi bir þifredir. Bunun yanýnda þifrelerimizi oluþtururken büyük harf, küçük harf, sembol ve anlam ifade etmeyen, ardýþýk olmayan kelimeler kullanmamýz güvenliðimizi ciddi ölçüde etkiler.
Örnek: Kbx403[/52cPf)%&
Kýsaca bu þifreyi inceleyelim, 16 bitlik bir þifre, hatýrlamanýz açýsýndan çok riskli olduðu ortada ancak güvenlik bakýmýndan milyarlarca olasýlýða sahip oldukça güvenli bir þifre olduðunu söyleyebilirim. 8 Çekirdekli iþlemciye sahip bir bilgisayar tarafýndan, en iyi tahmin ve taný programlarý kullanýlarak çözülmesi 10 yýldan uzun zaman alýr.
Bu nedenle þifrelerinizi seçerken 8-16 karakter (daha fazla da olabilir, unutmadýðýnýz sürece çok uzun bir þifrenin herhangi bir sakýncasý yoktur) büyük ve küçük harf, sayý, sembol, içeren anlamsýz bir þifre seçmeniz "Kaba Kuvvet ve Tahmin Yöntemi" kullanan saldýrganlardan kesinlikle korunmanýzý saðlayacaktýr.
Yazýmýn sonlarýna yaklaþýrken, size bir iyi birde kötü haber vermek istiyorum...
Ýyi haber; "Kaba Kuvvet" kullanan hacker sayýsý günümüzde yok denecek kadar azdýr, geliþen teknolojiler, þifre sýnýrlama yöntemleri ve internet sitesi veritabanlarýnýn þifreler için her türlü karakteri destekler hale getirilmiþ olmasý bu yöntemin tedavülden kalkmasýna neden olmuþtur.
Kötü haber ise; Bu yöntemden çok daha kötü, tehlikeli, kurnazca düzenlenmiþ, profesyonel yöntemler kullanarak hazýrlanmýþ, fark edilmesi çok zor ve karanlýk yöntemler hala yaygýnlýkla kullanýlmaya devam edilmektedir.
Önümüzde ki hafta bu karanlýk yöntemlerden en yaygýn olan Fake Mail (Sahte Mail) ve Fake Page (Sahte Sayfa) yöntemlerini inceleyeceðiz.
Gizli, güvenli ve saðlýcakla kalýn.
Karanlýða ýþýk tutun.
ÝNTERNET ve GÜVENLÝK YAZI DÝZÝSÝ - FATÝH KOPUZ
Ýnternet ve Veri Güvenliði - 21 Kasým 2013
Kaba Kuvvet ve Güvenilir Þifre Oluþturma - 29 Kasým 2013
Veri Güvenliði ve Fake Uygulamalar - 13 Aralýk 2013
Virüsler ve Zararlý Yazýlým - 22 Aralýk 2013
Ýnternet ve Veri Güvenliði - 21 Kasým 2013
Kaba Kuvvet ve Güvenilir Þifre Oluþturma - 29 Kasým 2013
Veri Güvenliði ve Fake Uygulamalar - 13 Aralýk 2013
Virüsler ve Zararlý Yazýlým - 22 Aralýk 2013
Yorum Ekleyin
Misafir
29 Kasým, 2013
teskkur
fatihim bilgilendirdigin için teþekkurler meslek hayatýnda basarýlar
KÖÞE YAZARLARI
Gündem ve diðer konularla ilgili konular.
Query Error : (select yazarlar.Resim,yazarlar.Baslik as yazaradsoyad,yazarlar.Eposta as yazareposta,yazilar.*,yazarlar.Baslik as yazarbaslik,MAX(yazilar.Tarih) as yazitarih from yazilar,yazarlar where yazilar.Tarih = (SELECT MAX(Tarih) FROM yazilar where yazarID=yazarlar.ID) AND yazilar.onay=1 AND yazarID=yazarlar.ID group by yazarID order by yazilar.Tarih desc limit 0,3).Expression #4 of SELECT list is not in GROUP BY clause and contains nonaggregated column 'kma0002_sys.yazilar.ID' which is not functionally dependent on columns in GROUP BY clause; this is incompatible with sql_mode=only_full_group_by