Bir parola yöneticisi, ele geçirildiğinde diğer her şeyi teslim eden tek servistir ve aynı zamanda kullanıcının kendi başına denetleyemediği tek servistir. Bu asimetri yüzünden doğru soru "güvenli mi" değil; "kasa tam olarak neye karşı koruyor, neye karşı korumuyor, ve çalınan bir yedeğin bir hafta içinde mi yoksa bir yüzyıl sonra mı okunabilir hale gelmesini hangi ayarlar belirliyor".
Kısa cevap: kasa, parola tekrarına ve ezberlenmiş zayıf parolalara karşı güçlü bir kontrol, ele geçirilmiş bir cihaza karşı ise zayıf bir kontroldür. Bu rehberi iki cümleye indirmenin bedeli, kasadan vazgeçmek olur; oysa doğru okuma, kasayı kullanmaya devam edip hangi noktada korumanın bittiğini bilmek. Yazı boyunca hesapları açıkça yazacağım: saniyedeki tahmin hızı, kelime listesinin büyüklüğü, iterasyon sayısı gibi değişkenleri siz kendi kasanıza uyarlayabilesiniz diye.
Karşılaştırma yapmayacağım, çünkü bu yazının okuru için "hangi ürün" sorusu "hangi tehdit" sorusundan sonra gelir. Gazeteci kaynaklarını koruyan bir kasa ile orta ölçekli bir şirketin operasyonel paylaşılan parolalarını koruyan kasa aynı kategoriden ama farklı özelliklere ihtiyaç duyar. Bu yüzden son bölümde ürün sıralaması değil, bir gereksinim listesi var.
Uzaktan İzleme Teklifleri
Sphnix ile başlayın ve mSpy ile Eyezy'yi karşılaştırın.
Kasa neyi çözer, neyi çözmez
Parola yöneticisinin çözdüğü problem, insan hafızasının ölçeklenmemesi. Kırk hesap için kırk farklı, uzun, rastgele parola ezberlemek mümkün değil; bu yüzden insanlar ya tek parolayı tekrar ediyor ya da tahmin edilebilir varyantlar üretiyor. Kasa bu işi makineye devrediyor ve iki şeyi aynı anda yapıyor: her hesap için benzersiz bir parola üretiyor, ve o parolayı doğru adrese dolduruyor. İkinci kısım az konuşulur ama en az birincisi kadar değerli, çünkü otomatik doldurma alan adı eşleşmediğinde çalışmaz ve bu, kimlik avına karşı sessiz bir savunmadır.
Çözmediği problem ise şu: kasa, çalışan bir makinede açık duran bir kasadır. Kötü amaçlı kod sizin oturumunuzla aynı arayüzü kullanır, şifreleme modeli ne olursa olsun ekrandaki düz metni okur. Kasa ayrıca sizin yerinize karar vermez: parolayı hangi siteye dolduracağını, kasanın hangi cihazda açık kalacağını, yedeğin nereye gideceğini siz belirlersiniz. Dolayısıyla kasadan beklenen fayda, yapılandırma kalitesiyle doğrudan orantılı.
| Soru | Kasa ne diyor | Gerçekte ne oluyor |
|---|---|---|
| Parolalarım şifreli mi? | Evet, AES-256 ve sıfır bilgi | Doğru, ama anahtar ana paroladan türetiliyor; ana parolanın entropisi kasanın direnci |
| Sağlayıcı okuyabilir mi? | Hayır | Kurtarma veya yönetici sıfırlaması varsa, "kontrollü olarak evet" demek daha dürüst |
| Cihazım ele geçirilirse? | Konuşmuyor | Kasa açıksa her şey açık; kilit süresi ve cihaz hijyeni belirleyici |
| Tek parola unutulursa? | "Kurtarma seçenekleri var" | Sıfır bilgi mimarisinde kurtarma, tanımlı bir baypas yolu demek; kimin onayladığı önemli |
Ana parola: entropinin gerçek hesabı
Kasanın direnci ana parolanın entropisine bağlı, entropi de tahmin uzayının logaritmasına. Dört kelimelik bir Diceware parolası, 7.776 kelimelik listeden bağımsız seçilmiş dört kelime demek: 7.776 üzeri 4, yaklaşık 3,66 x 10^15 olasılık, yani 51,7 bit. Aynı hesabı sekiz karakterlik rastgele bir dize için yaparsak, 62 karakterlik alfabede 62 üzeri 8 yaklaşık 2,18 x 10^14 olasılık, yani 47,6 bit. Dört kelime, sekiz karakterden yaklaşık dört bit daha güçlü ve hatırlanabilir.
Aşağıdaki tabloda iki farklı saldırı hızı var. "Düz hash" sütunu, ana parolanın tek bir SHA-256 turundan geçtiği kötü bir tasarımı temsil ediyor: modern bir ekran kartı saniyede yaklaşık 10 milyar deneme yapar. "PBKDF2 600 bin" sütunu ise tuzlu ve yavaş türetmeyi temsil ediyor: aynı donanım, her denemede 600 bin SHA-256 turu hesaplamak zorunda kaldığı için saniyede yaklaşık 16.667 denemeye düşer. Aradaki fark 600 bin kat; tablodaki yıl farkı da bundan geliyor.
| Ana parola biçimi | Tahmin uzayı | Entropi | Düz hash (10 milyar/s) | PBKDF2 600 bin (16.667/s) |
|---|---|---|---|---|
| 4 kelime (Diceware) | 3,66 x 10^15 | 51,7 bit | 4 gün | 6.951 yıl |
| 5 kelime | 2,84 x 10^19 | 64,6 bit | 90 yıl | 54 milyon yıl |
| 6 kelime | 2,21 x 10^23 | 77,5 bit | 701 bin yıl | 420 milyar yıl |
| 8 karakter rastgele (62 harf) | 2,18 x 10^14 | 47,6 bit | 6,1 saat | 415 yıl |
| 12 karakter rastgele | 3,23 x 10^21 | 71,5 bit | 10 bin yıl | 6,1 milyar yıl |
| 16 karakter rastgele | 4,77 x 10^28 | 95,3 bit | 151 milyar yıl | 90 milyon kere milyar yıl |
Tablonun en önemli satırı burada değil, tablonun dışında: popüler parola listelerinden seçilmiş bir ana parola. "Ankara2019!" gibi bir dize, karakter çeşitliliği açısından güçlü görünse de ilk on binlerce parola listesinde ve onun varyant üretim kurallarında bulunur; bu durumda tahmin uzayı 10^15 değil 10^4 mertebesinde, yani saniyenin çok altında. Kasa üreticilerinin "en az 12 karakter, bir büyük harf, bir rakam" kuralı tam olarak bu yüzden yetmiyor: kural, listeye karşı direnci ölçmüyor. Doğru kural, sözlükte olmayan bir cümle ya da rastgele üretilmiş uzun bir dize.
Bir de pratik not: ana parolayı yazmak zorunda kaldığınız an tek bir yer olmalı. Kasa girişi dışında hiçbir forma yazılmayan bir ana parola, oltalama saldırısının yakalayamayacağı tek paroladır. Bu, oltalama farkındalığı programının ölçmesi gereken davranışlardan biri; çünkü eğitim materyali "parolanızı kimseye vermeyin" dediğinde çalışanın aklına gelen şey genellikle iş hesabı oluyor, kasa olmuyor.
Anahtar türetme: çalınan kasanın okunma süresini belirleyen ayar
Kasa, ana paroladan türetilmiş bir anahtarla şifrelenir; türetme fonksiyonunun varlık sebebi tahmini pahalı hale getirmek. Üç parametre önemli: fonksiyon, iş faktörü ve tuz. Pratikte kritik olan ise ürünün yeni hesaplar için önerdiği değer değil, sizin kasanızda duran değer ve kuruluşunuzdaki en az teknik kullanıcının kasasında duran değer.
Bu teorik bir endişe değil. 2022'de büyük bir sağlayıcının ihlalinde şifrelenmiş kasa yedekleri sağlayıcının deposundan çıktı; o günden sonra kullanıcıların güvenliği, ana parolalarının kalitesiyle kasa biçimindeki iterasyon sayısının çarpımına kaldı. Aynı sağlayıcı on yıl boyunca varsayılan iterasyon sayısını yükseltti - 2012'de 500, 2013'te 5.000, 2018'den itibaren 100.100 - ama eski hesaplar kendilerine kaydedilen değeri kullanmaya devam etti; kullanıcı ayarı elle değiştirmedikçe kasa eski iş faktörüyle şifreli kalıyor. Bu, "sağlayıcı varsayılanı yükseltti" cümlesinin ne kadar dar bir bilgi olduğunu gösteriyor: kapsamı yalnızca yeni hesaplar.
Aynı dört kelimelik ana parolayı üç farklı iş faktörüyle deneyelim. 500 iterasyonda saniyede 20 milyon deneme yapılabilir ve kasa 6 yılda açılır. 100.100 iterasyonda hız 99.900 denemeye düşer ve süre 1.160 yıla çıkar. 600.000 iterasyonda ise 6.951 yıl. Aynı parola, aynı donanım, üç ayrı sonuç - fark yalnızca bir yapılandırma satırından geliyor. Bu tablodan çıkan denetim sorusu "PBKDF2 mi Argon2 mi" değil, "benim kasamda hangi değer yazıyor, en zayıf kullanıcının kasasında hangi değer yazıyor, ve sağlayıcı eski kasaları taşıdı mı".
| Türetme ayarı | Saniyedeki deneme | 4 kelimelik ana parola | 8 karakter rastgele |
|---|---|---|---|
| SHA-256, tuzsuz, tek tur (kötü tasarım) | 10.000.000.000 | 4 gün | 6,1 saat |
| PBKDF2-SHA256, 500 tur | 20.000.000 | 6 yıl | 126 gün |
| PBKDF2-SHA256, 100.100 tur | 99.900 | 1.160 yıl | 69 yıl |
| PBKDF2-SHA256, 600.000 tur (güncel öneri) | 16.667 | 6.951 yıl | 415 yıl |
| Argon2id, 64 MiB bellek, 3 tur (model) | 2.000 - 5.000 | 23.000 - 58.000 yıl | 1.400 - 3.500 yıl |
Argon2id satırı bir model, bir ölçüm değil: bellek sertliği paralel denemeyi kısıtladığı için ekran kartı hızı binler mertebesine iner, ama tam sayı donanıma ve parametrelere göre değişir. Yine de yönü doğru gösteriyor: bellek sertliği, aynı entropiyi çok daha pahalı hale getirir. Bir kasanın kullandığı fonksiyonu öğrenmenin pratik yolu, kasayı dışa aktarıp dosya başlığını okumak; çoğu format şifreleyiciyi, iterasyon sayısını ve tuzu düz metin olarak yazar, çünkü istemcinin sonradan çözebilmesi için bunlara ihtiyacı var.
"Sıfır bilgi" neyi kapsar, neyi kapsamaz
Sıfır bilgi, sağlayıcının yalnızca şifreli metin tuttuğu ve kasayı çözecek anahtar malzemesine sahip olmadığı mimariyi anlatır. Doğru olduğunda gerçek bir özellik, ama sık sık gevşek kullanılıyor. Denetim testi yapısaldır: kasa anahtarı nerede üretiliyor, kim yeniden sarabiliyor, ve kasa içeriğini koruyan bir parola sıfırlama sırasında ne oluyor?
Ana parolasını unutan bir kullanıcının kasasını geri getirebilen sağlayıcı, tanım gereği anahtara bir yoldan ulaşabiliyor. Bu tek başına yanlış değil; çoğu tüketici ürünü tam olarak bunu yapıyor çünkü her parolayı kaybetmek bir destek felaketi. Ama model değişiyor: "sağlayıcı kasamı okuyamaz" değil, "sağlayıcı kontroller altında okuyabilir". Değerlendirilecek şey o kontroller - sıfırlamayı kim başlatabilir, saldırganın taklit edemeyeceği bir kimlik doğrulaması gerekiyor mu, kayıt tutuluyor mu, müşteri bu yolu kapatabiliyor mu, kuruluş kendi anahtarını tutabiliyor mu.
Bir şirket için bu bir tedarik şartı haline geliyor. Kasa, şirketi ele geçirecek kimlik bilgilerini tutuyorsa - kök hesaplar, ödeme sağlayıcısı anahtarları, kimlik sağlayıcının kurtarma kodları - cevabın doğrulanabilir, sözleşmeye yazılmış ve bir test hesabında denenmiş olması gerekiyor. Cevabı belirsiz bir ürün kullanılamaz değil; riski adı belli bir kişi tarafından yazılı olarak kabul edilmesi gereken bir ürün. Tedarikçi tarafındaki bu soruları tedarikçi risk rehberi ayrıntılı açıyor; kasa, tedarikçi listesinde genellikle en yüksek yetkili kalem olarak duruyor.
Bir de tarihsel uyarı: şifreleme parametreleri donuyor. Bir kasa beş yıl önce kurulduysa, bugünün varsayılanıyla değil, o günün varsayılanıyla şifreli. Sağlayıcının sürüm notundaki iyileştirme sizin kasanıza dokunmuyor olabilir; dokunup dokunmadığını ancak kendi hesabınızda ayarı görerek anlarsınız. Kurumsal tarafta bu, "mevcut kullanıcı popülasyonunda parametre dağılımı nedir" sorusuna dönüşmeli, çünkü yeni hesap varsayılanı bu soruya cevap vermiyor.
Kasanın tehdit yüzeyi: altı saldırı ve her birinin karşılığı
Aşağıdaki tablo, bir kasanın gerçekten karşılaştığı altı saldırıyı ve her biri için somut kontrolü listeliyor. Sıralama rastgele değil: gerçekleşme sıklığına göre değil, kontrolün ne kadar sık atlandığına göre dizildi. İlk iki satır, yani eklenti ve pano, pratikte en çok istismar edilen iki yüzey; üçüncü satır, yani kurtarma e-postası, en çok ihmal edilen.
| Saldırı | Ne gerekiyor | Somut kontrol | Ölçüm |
|---|---|---|---|
| Eklenti ele geçirme veya kötü niyetli güncelleme | Her siteye script enjekte etme izni | İzin listesini manifest üzerinden oku, sürüm sabitle, otomatik güncellemeyi kurumsal kullanıcıda ertele | Eklenti izin seti, sürüm kaydı |
| Pano ve ekran yakalama | Parolanın panoya kopyalanması, arka planda çalışan yakalayıcı | Pano temizleme süresi, doğrudan doldurma tercihi, ekran yakalama kısıtı | Kopyala-sonra-ne-oluyor testi |
| Kurtarma e-postası ele geçirme | Posta kutusuna erişim veya yönlendirme kuralı | Kurtarma adresini kasadan ayrı, ikinci faktörlü bir kutuda tut; yönlendirme kurallarını aylık denetle | Kutudaki kural listesi |
| Senkron hesabı devralma | Bulut hesabı oturumu veya parolası | Kasa hesabında parolasız/FIDO2 giriş, cihaz listesi denetimi, yeni cihazda onay | Cihaz listesi, oturum sayısı |
| Çalınan kasa dosyası + çevrimdışı tahmin | Yedek dosyası veya sağlayıcı deposu | Yüksek iterasyon, bellek sertliği, uzun ana parola, yedekte ek şifreleme | Kasa başlığındaki KDF değeri |
| Dışa aktarma dosyasının sızması | Bir kez alınmış CSV, indirilenler klasöründe | Dışa aktarmayı kayıt altına al, dosyayı iş bitince sil, mümkünse şifreli biçim kullan | Dışa aktarma kaydı, dosya sayısı |
Tabloda dikkat çeken şey, ilk dört satırın şifreleme modeliyle ilgili olmaması. Kasa ne kadar iyi şifrelenmiş olursa olsun, eklentinin izin seti genişse saldırganın şifre kırmasına gerek kalmıyor; parolaları kasanın kendi arayüzü üzerinden okuyor. Bu yüzden bir kasa değerlendirmesinde kriptografiden önce cihaz üzerindeki yetkiler konuşulmalı.
Tarayıcı eklentisi ve pano: asıl saldırı yüzeyi
Her sitede parola dolduran bir eklenti, yetki açısından her şeyin anahtarı: sayfayı okuyabilir, içerik enjekte edebilir, form gönderimlerini gözleyebilir ve saklanan kasaya erişebilir. Bu yetkinin dürüst tanımı pazarlama sayfası değil, manifest dosyası. Kurulumdan önce okunması gereken şey tam olarak orası.
Bakılacak fark, kasanın ihtiyaç duyduğu erişim ile istediği erişim arasındaki fark. Bir sayfaya parola doldurmak için o sayfanın bağlamında script çalıştırmak gerekir; tüm sekmeleri okumak, panoyu sürekli izlemek veya tüm gezinme geçmişine ulaşmak gerekmez. Tüm siteler için ana makine izni isteyen ve ek olarak "tüm verilerinizi okuma ve değiştirme" isteyen bir eklentinin, bunu neden yaptığını açıklayan yayımlanmış bir mimari belgesi olmalı.
Otomatik doldurma davranışı da bir güvenlik kararı ve bir kullanılabilirlik bedeli var. Agresif doldurma, giriş alanına benzeyen her alanı doldurur; bu da meşru bir sayfadaki gizli bir iframe aracılığıyla saldırganın alan adına ait kimlik bilgisinin toplanmasını mümkün kılar. Muhafazakâr doldurma her alan için tıklama ister, kullanıcılar bunu sinir bozucu bulur, ürünler bu yüzden kolaylığa kayar. Denetim sorusu net: ürün varsayılan olarak hangisini yapıyor, ayar değiştirilebiliyor mu, ve iframe doldurma yalnızca aynı kaynaklı çerçevelerle sınırlı mı.
Pano ayrı bir satırı hak ediyor çünkü kasadan kopyalanan parola, diğer uygulamaların okuyabildiği paylaşılan bir belleğe taşınır. İyi uygulamalar panoyu bir süre sonra temizler, temizlemenin güvenilir olmadığı platformlarda kopyalamayı reddeder ve panoyu tamamen atlayan doğrudan doldurma yolu sunar. Kötü uygulamalar parolayı, başka bir şey üzerine yazana kadar panoda bırakır; paylaşılan bir iş istasyonunda bu saatler sürebilir. Kasadaki parolayı bir mesajlaşma uygulamasına yapıştıran kullanıcı ise tüm bu tasarımı tek hamlede geçersiz kılıyor - ve bu davranış, kurumsal ortamda en sık görülen "kasa var ama kullanılmıyor" biçimi.
Ekran yakalama ve erişilebilirlik arayüzleri de aynı kategoriye giriyor: kasa açıkken çalışan bir yakalayıcı, kriptografiyi atlayarak parolayı görüntü olarak alabilir. Kurumsal cihazlarda bu, uç nokta güvenliği politikasının konusu; kişisel cihazda ise yalnızca kurulu uygulamaları tanıma meselesi. Kasanın kilit süresi burada en ucuz savunma: kasa açık kaldığı süre boyunca tüm bu yüzeyler açık kalıyor.
Senkron hesabı ele geçirilirse kasa dosyası şifreli olsa bile ne açığa çıkar
Kasa dosyası şifreli olduğu için, senkron hesabını ele geçiren birinin kasanızı okuyamayacağı söylenir. Teknik olarak doğru, operasyonel olarak eksik. Hesabı ele geçiren kişi kasayı okumasa bile şunlara ulaşır: hesabın bağlı olduğu e-posta adresi, cihaz listesi, kasa öğelerinin sayısı ve bazen başlıkları, paylaşılan kasaların üyeleri, faturalama ve adres bilgileri, ve en önemlisi hesabı sıfırlama yetkisi. Şifreli bir kasa, ele geçirilmiş bir hesabın ortasında duran bir kutu; kutunun içeriğini koruyor, çevresindeki yetkiyi korumuyor.
Bu yüzden kasa hesabı, parola kalitesi en yüksek hesap olmalı ve parolasız giriş destekliyorsa oradan girilmeli. FIDO2 anahtarı veya passkey, kimlik avına karşı koddan üstün: kod, gerçek zamanlı bir proxy sayfasıyla yakalanıp pencere kapanmadan tekrar oynatılabiliyor, FIDO2 kimliği ise kaynağa kriptografik olarak bağlı olduğu için taklit alan adında çalışmıyor. Bir kasa ürününde aranacak en yüksek değerli tek özellik bu; ve kurumsal tarafta "yönetici tüm kuruluşa zorunlu kılabiliyor mu" sorusu, "kullanıcı isterse açar" cevabından tamamen farklı bir kontrol seviyesi.
İkinci konu oturum ömrü. Kasa hesabından çıkış yapmak, cihazdaki açık oturumu kapatmaz; sunucu her istekte parolayı değil çerezi doğrular. Yani "parolamı değiştirdim" cümlesi, kasa hesabına bağlı açık bir oturumu sonlandırmıyor. Doğru sıra: önce tüm oturumları sunucu tarafında sonlandır, sonra parolayı değiştir, sonra cihaz listesini gözden geçir. Bu, hesap devralma sonrası yapılan en yaygın hatanın aynısı; sızıntı triyajı rehberinde oturum çerezlerinin parola değişiminden sonra neden yaşamaya devam ettiği ayrıntılı anlatılıyor.
| Ele geçirilen şey | Kasa içeriği okunur mu | Yine de açığa çıkan | İlk adım |
|---|---|---|---|
| Kasa hesabı oturumu (çerez) | Evet, kasa açıksa | Her şey | Tüm oturumları sonlandır, ana parolayı değiştir |
| Kasa hesabı parolası (MFA yok) | Evet | Her şey | MFA ekle, parolayı değiştir, cihazları temizle |
| Kasa hesabı parolası (FIDO2 var) | Hayır | Hesap bilgileri, cihaz listesi, kasa meta verisi | Anahtarı yenile, oturumları kapat |
| Sağlayıcı deposundaki şifreli yedek | Çevrimdışı tahmine bağlı | Şifreli blob, KDF parametreleri | Ana parolayı değiştir, KDF değerini yükselt |
| Kurtarma e-postası | Sıfırlama ile evet | Sıfırlama yetkisi | Kurtarma adresini değiştir, kutudaki kuralları sil |
| Dışa aktarma dosyası | Evet, çoğu zaman düz metin | Tüm parolalar, notlar | Neredeyse tüm parolaları sırayla değiştir |
Tablodaki dördüncü satır, şifreleme modelinin gerçekten işe yaradığı tek satır; diğer beş satır yetki ve süreç meseleleri. Bu dağılım, kasa güvenliğinde mühendislikten çok yapılandırma ve alışkanlık konuşulması gerektiğini gösteriyor.
Dışa aktarma ve yedek: üründeki en tehlikeli özellik
Her kasa, kasayı dosyaya aktarmaya izin verir; çünkü kullanıcı taşınabilirlik ister, sağlayıcı da geçiş yolu sunmak zorunda. O dışa aktarma, üründeki en tehlikeli özellik: her kimlik bilgisinin düz metin ya da zayıf şifreli bir kopyasını üretir, tam bir aciliyet anında elle alınır, ve düzenli olarak indirilenler klasöründe, yeni dizüstüne e-postayla gönderilmiş halde ya da yanlışlıkla bir depoya işlenmiş olarak kalır.
Bu riski yönetilebilir kılan kontroller teknik olduğu kadar prosedürel. Dışa aktarma nadir, kayıtlı ve kullanım sonrası silinmiş olmalı; ürün şifreli bir dışa aktarma biçimi sunuyorsa o kullanılmalı; dosya, ana parolayla aynı korumayla saklanmalı, aynı e-postada duran bir parolayla değil. Kuruluş için dışa aktarma aynı zamanda bir içeriden sızdırma yolu: denetim, dışa aktarmaların kaydedilip kaydedilmediğini ve yönetici grubu için kapatılıp kapatılamadığını sormalı. Kimlik bilgilerinin derleme hattına sızmaması konusu API güvenlik testi rehberinde ayrı bir başlık; burada kastedilen, depoya işlenmiş bir kasa dışa aktarmasının aynı sınıfa girdiği.
Yedek tarafında dikkat edilecek sayı basit: bir kasa dışa aktarması, kaç kalem içeriyorsa o kadar kimlik bilgisini tek dosyaya indiriyor. 180 kalemlik bir kasa, bir kez dışa aktarıldığında 180 ayrı hesabın anahtarını taşıyan tek bir dosya demek. O dosyanın bir yere kopyalanmış olma olasılığı, tek tek parolaların sızmasından çok daha yüksek bir etki yaratıyor; çünkü kayıp bir dosya, kayıp 180 hesap.
Kurtarma, acil erişim ve paylaşılan kasalar
Kurtarma, acil erişim ve miras özellikleri, kalıcı kaybı önlemek için var ve her biri şifreleme modelinin tasarlanmış bir baypası. Test edilecek şey, her birinin birden fazla bağımsız onay gerektirip gerektirmediği, zaman gecikmesi olup olmadığı, kasa sahibine bildirim gidip gitmediği ve en yüksek değerli sırları tutan hesaplar için kapatılabilir olup olmadığı.
İş hayatı için pratik kural: herkesin parolasını sıfırlayabilen kişinin kasasında kimseye acil erişim tanımlı olmamalı, ve üretim kimlik bilgisi tutan her kasanın kurtarılması iki yönetici artı kayıtlı bir iş gerekçesi gerektirmeli. Bu, bir olay yaşayana kadar çoğu ekibe fazla sürtünme gibi görünüyor; oysa tam olarak bu yol üzerinden yapılan bir hesap devralması, sonrasında hiçbir sürtünmenin sorgulanmadığı bir olay haline geliyor.
Paylaşılan kasalar ise kasanın kişisel araçtan altyapıya dönüştüğü yer ve varsayılan izinler neredeyse her zaman fazla cömert. Yaygın desen şu: ekip başına bir klasör, birkaç yönetici, belirsiz bir üye listesi, ve aylar önce ayrılmış kişilerin hâlâ okuyabildiği üretim parolaları. 240 kişilik bir kuruluşta altı paylaşılan kasa, kasa başına kırk üye demek; bu sayıda üyeli bir kasada "kim neyi görebiliyor" sorusunun cevabı genellikle kimsede yok.
Paylaşım modelinin denetimi dört soruya cevap arar: paylaşılan kasayı kim oluşturabilir ve bu yöneticiyle sınırlı mı; bir kişi gruptan çıktığında erişimi otomatik mi kalkıyor yoksa birinin hatırlaması mı gerekiyor; bir üye kimlik bilgisini grup dışına yeniden paylaşabiliyor mu ve bu kaydediliyor mu; en yüksek değerli öğelerde erişimin süresi var mı, yani bir yüklenicinin üretim veritabanına erişimi iş bitince sona eriyor mu. Cevaplar genellikle "ürün destekliyor" ile "kimse yapılandırmamış" arasında bir karışım çıkıyor; bulgu tam olarak bu boşluk.
Her yerde aynı paroladan kasaya geçiş: sıra ve süre
Kurulumu yapmak işin kolay kısmı; sıkıntı göçte. On iki sitede aynı parolayı kullanan biri için doğru sıra, "hangi hesap en çok şeyi açar" sorusuna göre belirlenir ve cevap neredeyse her zaman e-posta. Çünkü e-posta kutusu, diğer tüm hesapların parola sıfırlama yetkisini taşır; kutusu ele geçirilebilen birinin diğer parolaları bilmesine gerek yok.
Bu yüzden göç sırası şu: birincil e-posta, sonra e-postaya bağlı kimlik sağlayıcı ve MFA kayıtları, sonra banka ve ödeme hesapları, sonra iş hesapları ve bulut konsolları, sonra sosyal medya, en son alışveriş ve düşük değerli forumlar. Sıranın mantığı basit: bir üst halka ele geçirildiğinde alt halkadaki parolanın bir anlamı kalmıyor, dolayısıyla en çok yetkiyi taşıyan halka önce kapatılmalı.
Süre hesabını açık yapalım. Kırk hesabı olan bir kullanıcı, kasa kurulumu için yaklaşık 25 dakika harcıyor. On iki kritik hesabın her biri ortalama 3 dakika - parola değiştirme, MFA yeniden kaydı, bağlı uygulamaları gözden geçirme - yani 36 dakika. Kalan yirmi sekiz hesap, çoğu tek tıkla değiştirilebildiği için ortalama 2,5 dakika, yani 70 dakika. Toplam yaklaşık 2 saat 11 dakika. Bu süre bir öğleden sonraya sığar ve sonunda tek bir parolanın tekrarı kalmaz.
| Hesap sınıfı | Adet | Süre | Ne kırılır |
|---|---|---|---|
| Birincil e-posta | 1 | 6 dk | Posta istemcileri, uygulama parolaları, yönlendirme kuralları |
| Kimlik sağlayıcı ve MFA kayıtları | 2 | 8 dk | Yedek kodlar, kayıtlı cihazlar, tek oturum açma oturumları |
| Banka ve ödeme | 3 | 8 dk | Mobil uygulama eşleşmesi, SMS doğrulama, kart kayıtları |
| İş hesapları ve bulut konsolu | 4 | 10 dk | API anahtarları, CI/CD sırları, VPN profilleri |
| Uygulama parolası üreten servisler | 2 | 4 dk | E-posta istemcisi, yazıcı, NAS, yedekleme ajanı |
| Sosyal medya | 5 | 7 dk | Bağlı üçüncü taraf uygulamalar, iş hesabı yetkileri |
| Alışveriş, forum, düşük değerli | 23 | 58 dk | Genellikle hiçbir şey; bazılarında yeniden giriş gerekir |
Tablodaki "ne kırılır" sütunu, göçün neden ertelendiğini açıklıyor: asıl iş parola değiştirmek değil, parolaya bağlı türetilmiş erişimleri yeniden kurmak. Uygulama parolaları bu listenin en sinsi kalemi, çünkü parola değişse bile çalışmaya devam ediyorlar; yani göç tamamlandı sanılırken eski parolayla üretilmiş bir uygulama parolası posta kutusunu açık tutmaya devam ediyor. Kurumsal tarafta aynı liste, adı "servis hesabı envanteri" oluyor.
Göçün bir de başarısızlık biçimi var: her hesap için farklı, rastgele bir parola üretip hiçbirini kaydetmemek. Kasa kullanmayan biri için bu, parolaları unutup sıfırlama döngüsüne girmek demek. Dolayısıyla göç, kasa kurulumuyla aynı gün yapılmalı; ertesi hafta "önce kurarım sonra taşırım" planı genellikle yarıda kalıyor ve yarısı taşınmış bir hesaplar kümesi, hiç taşınmamış olandan daha karmaşık.
Ürün seçimi: sıralama değil, gereksinim listesi
Kategori olarak beş farklı şey var ve karıştırılmaları en sık yapılan hata: tarayıcıya gömülü kasa, bağımsız tüketici kasası, kendi sunucunuzda barındırılan kasa, sır yöneticisi ve parolasız geçiş anahtarı (passkey) çözümleri. Bunlar aynı ihtiyaca cevap vermiyor. Tarayıcı kasası kurulum kolaylığı ve cihaz entegrasyonu sunar, kurumsal denetim ve paylaşım özellikleri zayıftır; sır yöneticisi makine kimliklerini ve API anahtarlarını yönetir, insanların günlük girişleri için tasarlanmamıştır.
Bu yüzden "en iyi kasa" sorusu yerine, tehdit modelinize göre doldurulacak bir gereksinim listesi öneriyorum. Aşağıdaki tablo, her satırı bir testle eşleştiriyor; testi bir deneme hesabında on dakikada yapabilirsiniz.
| Gereksinim | Neden | Test |
|---|---|---|
| KDF parametreleri görünür ve değiştirilebilir | Çalınan kasanın okunma süresini bu belirler | Kasa dışa aktarımının başlığını oku, ayarı bul |
| Parolasız veya FIDO2 giriş | Ana parolayı oltalamaya karşı tek kalıcı savunma | Deneme hesabında güvenlik anahtarı kaydet |
| Yeni cihazda zorunlu ikinci faktör | Çalınan ana parola tek başına yetmesin | Yeni tarayıcı profilinde giriş dene |
| Öğe düzeyinde paylaşım ve süre | Grup paylaşımı zamanla genişliyor | Tek öğe paylaş, süre koy, süre sonunda kontrol et |
| Denetim kaydı ve dışa aktarma kaydı | İçeriden sızdırma ve olay incelemesi | Dışa aktarma yap, kaydın düştüğünü gör |
| Acil erişimde çoklu onay ve gecikme | Kurtarma yolu tasarlanmış bir baypas | Test hesabında acil erişim başlat, süreyi ölç |
| Şifreli dışa aktarma biçimi | Düz CSV, tek dosyada tüm hesaplar | Dışa aktarma menüsündeki biçimleri listele |
| SAML/OIDC ve SCIM | Ayrılan kişinin erişimi dizinle birlikte bitsin | Dizinden test kullanıcısını sil, kasayı kontrol et |
| Kendi barındırma veya bölgesel veri konumu | Veri aktarımı ve saklama yükümlülüğü | Mimari belgesinde barındırma seçeneklerini ara |
| Çevrimdışı erişim | Ağ yokken kasa kilitli kalmasın | Uçak modunda aç |
Listeyi doldurduğunuzda genellikle tek bir ürün kalmıyor; iki ürün kalıyor ve biri diğerinden daha iyi olduğu için değil, sizin kısıtınıza daha uyduğu için öne çıkıyor. Bir gazeteci için kaynak koruma ve çevrimdışı çalışma ağır basar; orta ölçekli bir şirket için SCIM, denetim kaydı ve acil erişim politikası. Bu iki profil aynı üründe buluşmak zorunda değil.
İş yeri tarafı: kişisel kasa, paylaşılan kasa ve sır yöneticisi ayrımı
Bir kuruluşta üç ayrı ihtiyaç var ve bunlar üç ayrı araç gerektiriyor. Birincisi çalışanın kendi hesapları; ikincisi ekibin birlikte kullandığı operasyonel parolalar - ortak posta kutuları, tedarikçi panelleri, sosyal medya hesapları; üçüncüsü makinelerin kullandığı kimlikler - API anahtarları, servis hesapları, dağıtım boru hattı sırları. İlk ikisi kasa, üçüncüsü sır yöneticisi. Üçüncüyü kasaya koymak yaygın ve pahalı bir hata: kasa insan arayüzü için tasarlandığı için anahtar rotasyonu, erişim politikası ve denetim izi makine hızında çalışmıyor.
İkinci ayrım daha az konuşuluyor: çalışanın kişisel kasasında müşteri kimlik bilgisi tutması. Bu, kolaylık açısından mantıklı görünüyor - zaten kasa var, neden ayrı bir araç - ama üç sonucu var. Birincisi, müşteri verisi çalışanın kişisel hesabında, yani şirketin denetleyemediği bir yerde duruyor; çalışan ayrıldığında o veriyle birlikte gidiyor. İkincisi, o kasada bir ihlal olduğunda şirket bunu öğrenmeyebilir, öğrense bile müdahale edemez. Üçüncüsü, veri sorumlusu yükümlülüğü şirkette kalmaya devam eder.
| İhtiyaç | Doğru araç | Yaygın hata | Sonucu |
|---|---|---|---|
| Çalışanın kişisel hesapları | Kurumsal kimlikle açılan kasa hesabı | Kişisel hesapla açılmış kasa | Ayrılışta erişim kapanmıyor |
| Ekip operasyonel parolaları | Paylaşılan kasa, öğe düzeyinde izin | Tek bir ekip klasörü, herkes yönetici | Denetim izi yok, sızıntıda kaynak bulunamıyor |
| Müşteri kimlik bilgileri | Sır yöneticisi veya yetkilendirilmiş erişim sistemi | Kişisel kasa notu | KVKK md. 12 ihlali riski, ayrılışta veri kaybı |
| API anahtarları, servis hesapları | Sır yöneticisi, rotasyon otomasyonu | Kasa öğesi olarak saklamak | Rotasyon elle kalıyor, süresiz çalışan anahtar |
| Acil durum erişimi | Çoklu onaylı, gecikmeli, kayıtlı akış | Tek yöneticinin kasasına acil erişim | Tek kişiyle tüm kuruluşun açılması |
Ayrılış anı, kasanın değerini gösterdiği tek an. Doğru yapılandırmada çalışanın dizin hesabı kapatıldığında kasa erişimi de kapanır ve paylaşılan kasalardaki üyeliği düşer. Yanlış yapılandırmada çalışan, kişisel parolasıyla açtığı kasayı aylarca kullanmaya devam eder; kuruluş o kasada ne olduğunu bilmez. Bu yüzden denetim sorusu kasa var mı değil, kasa kimlik sağlayıcıya bağlı mı, ayrılış testi yapıldı mı, ve bu testin kaydı var mı.
Paylaşılan kasada denetim izi ayrı bir kalem. Bir müşteri parolasının kim tarafından, ne zaman görüntülendiğini söyleyemiyorsanız, bir sızıntı sonrası yapabileceğiniz tek şey herkesin parolasını değiştirmek olur. Kayıt varsa, aynı iş birkaç kişiyle sınırlı kalır. Bu, olay müdahalesini doğrudan etkileyen bir fark; olay müdahale planı hazırlanırken kasa denetim kaydının hangi günlük toplama hattına gittiği ayrıca yazılmalı.
KVKK tarafı: kasa bir kolaylık değil, teknik tedbir sorusudur
Müşteriye ait kimlik bilgileri kişisel veri; onları bir kasada tutmak, 6698 sayılı Kanun'un 12. maddesindeki yükümlülüklerin konusu. Madde 12/1 üç şeyi istiyor: kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı olarak erişilmesini önlemek, ve muhafazasını sağlamak. Bu üç fiil, kasa yapılandırmasında üç ayrı ayara karşılık geliyor ve her biri kanıtlanabilir olmalı.
| Yükümlülük | Kasa tarafındaki karşılığı | Kanıt |
|---|---|---|
| Hukuka aykırı işlemeyi önleme (md. 12/1-a) | Öğe düzeyinde erişim, rol ayrımı, paylaşımın süreli olması | Erişim matrisi, paylaşım kaydı |
| Hukuka aykırı erişimi önleme (md. 12/1-b) | Zorunlu MFA, parolasız giriş, yeni cihaz onayı, kilit süresi | Politika ekran görüntüsü, cihaz listesi |
| Muhafazayı sağlama (md. 12/1-c) | Şifreleme, yedek, KDF parametreleri, barındırma konumu | Kasa başlığı, yedek testi, veri işleme sözleşmesi |
| İhlal bildirimi (md. 12/5) | Kasa olayının tespiti ve etkilenen kalem listesi | Denetim kaydı, bildirim metni |
| Saklama süresi (md. 7) | Süresi geçen kimlik bilgisinin silinmesi | Silme kaydı, imha tutanağı |
Bildirim tarafı, çoğu ekibin yanlış anladığı yer. Madde 12/5, verilerin kanuni olmayan yollarla elde edilmesi halinde durumun en kısa sürede ilgilisine ve Kurula bildirilmesini şart koşuyor; Kurul'un 24.01.2019 tarihli 2019/10 sayılı kararı bu süreyi ihlalin öğrenildiği andan itibaren 72 saat olarak yorumladı. Kasa bağlamında bu, hangi kalemler etkilendi listesinin saatler içinde çıkabilmesi demek. Bir paylaşılan kasada denetim kaydı yoksa, o liste ancak tahminle çıkar; yani 72 saat kâğıt üzerinde kalıyor.
Özel nitelikli veri ayrı bir katman: md. 6 kapsamındaki sağlık, biyometrik, din, etnik köken gibi veriler bir kasada tutuluyorsa, erişim listesi ve saklama gerekçesi daha dar olmak zorunda. Bir de ceza tarafı var: başkasının kasa hesabına izinsiz girmek TCK 243, kişisel verileri hukuka aykırı olarak ele geçirmek veya yaymak TCK 136, haberleşmenin gizliliğini ihlal TCK 132 kapsamında; bu yollarla elde edilen bilgiyle dolandırıcılık yapılırsa TCK 158/1-f devreye giriyor. İçeriğin yayından kaldırılması için 5651 sayılı Kanun'un 9. maddesi ayrı bir yol: içerik sağlayıcıya başvuru 24 saat içinde cevaplanır, cevaplanmazsa 15 gün içinde sulh ceza hâkimine gidilir. Bu çerçeve KVKK teknik tedbirler rehberinde kanıt tarafıyla birlikte ele alınıyor.
Bir uyarı: kasa, KVKK uyumu için bir teknik tedbir sayılabilir ama tek başına yeterli değil. Tedbir, kasanın varlığı değil, kasaya kimin erişebildiğinin tanımlı ve kayıtlı olması. Denetimde sorulan soru kasa kullanıyor musunuz değil, hangi veri hangi kasada, kim görebiliyor, ne zaman siliyorsunuz.
Bir öğleden sonrada yapılabilecek üç tatbikat
Kasa güvenliğinde en büyük risk, yapılandırmanın ilk günkü halinde kalması. Üç tatbikat, gerçek bir olayda ne olacağını önceden gösteriyor ve her biri bir öğleden sonraya sığıyor.
| Tatbikat | Süre | Adımlar | Başarı ölçütü |
|---|---|---|---|
| Kurtarma tatbikatı | 30 dk | Test hesabında ana parolayı unut, kurtarma akışını başlat, ne istendiğini kaydet | Kurtarma süresi ve onay sayısı yazılı; süre 24 saati aşmıyorsa kabul |
| Dışa aktarma ve imha | 20 dk | Şifreli dışa aktarma al, dosyayı aç, sonra güvenli sil, kaydı kontrol et | Dosya açılabiliyor, silme kaydı var, düz CSV kalmamış |
| Cihaz kaybı | 45 dk | Bir cihazı kayıp say, oturumu kapat, ana parolayı değiştir, yeni cihazda giriş yap | Eski cihazda erişim yok, yeni cihazda MFA istendi |
Üçüncü tatbikat en öğretici olanı, çünkü kasadaki cihaz listesinin gerçekte kaç cihaz içerdiğini ilk kez orada görüyorsunuz. Kayıp sandığınız cihazın yanında, iki yıl önce kullandığınız bir dizüstü, bir sanal makine ve bir tablet çıkıyor; her biri kasanın bir kopyasını taşıyor. Bu liste, kasa güvenliğinin en somut ölçüsü ve en çok ihmal edilen ekranı.
Kapanış: yedi maddelik kontrol listesi
Bu rehberi tek bir sayfaya indirmek gerekirse, sırasıyla şunlar: ana parolayı sözlükte olmayan dört-beş kelimelik bir cümle olarak seç ve hiçbir yere yazma; kasa hesabında FIDO2 veya passkey kullan; kasa başlığındaki KDF değerini oku ve yükselt; eklentinin izin listesini manifest üzerinden denetle, pano temizleme süresini ayarla; kurtarma e-postasını kasadan ayrı ve ikinci faktörlü tut; dışa aktarmayı kayıtlı ve nadir bir işlem haline getir; ve cihaz listesini üç ayda bir gözden geçir.
Bunların hiçbiri kasanın sizi ele geçirilmekten koruyacağı anlamına gelmiyor; her biri, ele geçirilme gerçekleştiğinde ne kadarının ayakta kalacağını belirliyor. Kasa, parola tekrarını bitiren bir araç olarak bugün mevcut en yüksek fayda/maliyet oranına sahip kontrollerden biri; aynı zamanda tek bir parolanın arkasına yerleştirilmiş tek bir hata noktası. İkisini aynı anda doğru okumak gerekiyor.
Hesabınızın zaten ele geçirildiğini düşünüyorsanız sıra farklı: önce oturumları kapatın, sonra ele geçirilmiş hesabı kurtarma rehberini izleyin, kasa parolasını en son değiştirin - çünkü açık bir oturum varken parola değiştirmek saldırganı dışarı çıkarmıyor. Kurumsal tarafta aynı olay, kimlik bilgisi sayımı ve rotasyon sırası ile iş e-postası ele geçirildiğinde ne yapılmalı yazısında ayrıntılı.
Sphnix izleme paneli
Mesajları, konumu, sosyal medya ve etkinlik sinyallerini yetkili bir panelden takip edin.
Sphnix’i dene →Profesyonel yardıma mı ihtiyacınız var?
Yetkili kurtarma, güvenlik testi ve olay desteği için doğrulanmış etik hackerlarla çalışın.
Hacker kirala →Sorularınız mı var? Uzmanlarımız yardıma hazır.
Ücretsiz danışma için bize ulaşın →Sık sorulan sorular
Doğru yapılandırılmış bir kasa, parola tekrarını bitirdiği için ezberlenmiş parolalardan belirgin biçimde daha güvenli. Ama güvenlik kriptografiden değil yapılandırmadan geliyor: ana parolanın entropisi, kasada yazan iterasyon sayısı, eklentinin izin seti, kurtarma yolunun kim tarafından açılabildiği ve dışa aktarma alışkanlığı. Bu beş kalemden biri zayıfsa kasa, iyi şifrelenmiş ama açık bir kutu.
Karakter kuralı değil, entropi ölçütü kullanın. Sözlükte olmayan dört kelimelik bir cümle yaklaşık 51,7 bit entropi taşır; sekiz karakterlik rastgele bir dize 47,6 bit. Beş kelime 64,6 bite çıkar. İkinci nokta daha önemli: popüler parola listelerinden seçilmiş bir dize, karmaşık görünse de tahmin uzayını dört haneli bir sayı mertebesine düşürür.
Çalınan bir kasa dosyası çevrimdışı tahmin edilirken her denemenin maliyetini bu sayı belirler. Aynı dört kelimelik ana parola, 500 iterasyonda yaklaşık 6 yılda, 100.100 iterasyonda 1.160 yılda, 600.000 iterasyonda yaklaşık 6.951 yılda açılır. Sağlayıcının bugünkü varsayılanı yalnızca yeni hesaplar için geçerli; eski kasanın değerini kendi hesabınızda görmeniz gerekir.
Ana parolayı unutan kullanıcının kasasını geri getirebilen bir sağlayıcı, tanım gereği anahtara bir yoldan ulaşabiliyor. Bu yanlış değil, ama tanımı doğru yapmak gerekiyor: sağlayıcı kasayı okuyamaz değil, kontroller altında okuyabilir. Değerlendirilecek şey o kontroller - sıfırlamayı kim başlatabilir, hangi kimlik doğrulaması gerekiyor, kayıt tutuluyor mu, kullanıcı bu yolu kapatabiliyor mu.
Çoğu zaman evet, çünkü eklenti kasayı çözer ve her sayfaya script enjekte edebilir; kriptografi kırılmadan parolalar okunabilir. Bakılacak yer pazarlama sayfası değil manifest: tüm sitelerde okuma-yazma izni isteyen bir eklentinin yayımlanmış bir mimari gerekçesi olmalı. Pano da aynı kategoriye giriyor, kopyalanan parola diğer uygulamaların okuyabildiği belleğe taşınıyor.
Kasa içeriği şifreli kalır ama çevresindeki yetki korunmaz: e-posta adresi, cihaz listesi, kasa meta verisi, paylaşılan kasaların üyeleri ve sıfırlama yetkisi ele geçenin eline geçer. Sıfırlama yolu varsa içerik de açılır. Bu yüzden kasa hesabı, parola kalitesi en yüksek hesap olmalı ve FIDO2 veya passkey ile korunmalı; oturumlar sunucu tarafında sonlandırılmadan parola değiştirmek saldırganı dışarı çıkarmaz.
Teknik olarak evet, hukuken riskli. Müşteriye ait kimlik bilgisi kişisel veridir ve 6698 sayılı Kanun'un 12. maddesi işlemeyi, erişimi ve muhafazayı önlemeyi veri sorumlusuna yükler. Kişisel bir kasada tutulan veri şirketin denetiminde değil, ayrılışta çalışanla birlikte gider ve o kasada bir ihlal olduğunda bildirim yükümlülüğü şirkette kalır. Doğru araç, kurumsal kimlikle açılan ve denetim kaydı tutan bir kasa ya da sır yöneticisi.
En tehlikeli özellik. Düz CSV dışa aktarma, tüm kimlik bilgilerini tek dosyada toplar ve bu dosya genellikle indirilenler klasöründe, bir e-postada veya depoda kalır. 180 kalemlik bir kasa, bir kez dışa aktarıldığında 180 hesabın anahtarını taşıyan tek bir dosya demek. Kural: şifreli dışa aktarma biçimi varsa onu kullan, iş bitince dosyayı güvenli sil, kurumsal tarafta dışa aktarmayı kayıt altına al.
