Parola yöneticisi nasıl çalışır, tek bir parola neden daha güvenli

“Bütün parolalarımı tek bir yere koymak riskli değil mi?” Sezgi bunu söylüyor, pratik tersini gösteriyor: parola yöneticisi kullanmayan insanların neredeyse tamamı aynı parolayı birden çok yerde kullanıyor ve asıl zarar buradan geliyor.

Çözdüğü gerçek problem

Bir sitenin veri tabanı sızdığında saldırganlar elde ettikleri e-posta ve parola çiftlerini otomatik araçlarla diğer servislerde dener (credential stuffing). Parolanız her yerde farklıysa bir sızıntı bir hesapla sınırlı kalır. Aynıysa, en önemsiz forumun sızıntısı e-postanızı ve bankanızı riske atar.

İkinci problem: insan belleğinin ürettiği parolalar tahmin edilebilir. Yönetici, her site için uzun ve rastgele bir dizi üretir; hatırlamanız gerekmediği için karmaşıklığı da sorun olmaz.

Kasa nasıl korunuyor

Yönetici, kayıtlarınızı tek bir şifreli dosyada (kasa) tutar. Şifreleme anahtarı, ana parolanızdan özel bir anahtar türetme işlemiyle üretilir — bu işlem kasten yavaştır (Argon2, PBKDF2 gibi), böylece deneme yanılma saldırıları pahalı hâle gelir.

İyi tasarlanmış sistemlerde şifreleme ve çözme cihazınızda yapılır; sunucuya yalnızca şifreli veri gider. Sağlayıcı da içeriği göremez — buna sıfır bilgi mimarisi deniyor. Pratik sonucu şu: sağlayıcının sunucuları sızsa bile, elde edilen şey şifreli kasalardır. Ana parolanız uzun ve benzersizse çözülmesi beklenen bir iş değildir.

Bu yüzden kural tek: ana parola hiçbir yerde kullanılmamış, uzun bir parola olmalı. Üç dört rastgele kelimeden oluşan bir cümle, hatırlanabilir ve güçlü bir seçimdir.

Beklenmeyen fayda: oltalama koruması

Parola yöneticisi, kaydı alan adına bağlar. Sahte bir siteye düştüğünüzde otomatik doldurma çalışmaz, çünkü adres eşleşmez. Göz yanılabilir, yönetici yanılmaz. Bu, çoğu kullanıcının farkında olmadığı en değerli özelliktir; doldurmanın çalışmaması bir arıza değil, bir uyarıdır.

Gerçek riskler ve karşılıkları

• Zayıf ana parola: tüm güvenlik buna dayanıyor. Kısa veya başka yerde kullanılmış bir ana parola, mimariyi anlamsızlaştırır.
• Ele geçmiş cihaz: kasa açıkken bilgisayarınıza sızan bir yazılım kayıtları okuyabilir. İşletim sistemini güncel tutmak ve otomatik kilitleme süresini kısa ayarlamak işe yarar.
• Kurtarma yolu: ana parolayı kaybederseniz çoğu sağlayıcı kasayı açamaz — tasarım böyle. Kurtarma kodunu yazdırıp fiziksel olarak saklayın.
• Tek hesaba bağımlılık: kasa yedeğini dışa aktarıp şifreli bir yerde tutmak, sağlayıcı sorununa karşı sigortadır.

Tarayıcıya gömülü mü, ayrı uygulama mı

Tarayıcıların kendi parola yönetimi, hiç kullanmamaktan kat kat iyidir ve çoğu kişi için yeterlidir. Ayrı uygulamaların artıları: tarayıcı ve işletim sistemi bağımsız kullanım, güvenli not ve dosya saklama, aile veya ekip paylaşımı, sızıntı uyarıları ve daha ayrıntılı kilit ayarları.

Passkey ile ilişkisi

Passkey’ler parolayı tümüyle ortadan kaldırmayı amaçlıyor ve modern parola yöneticileri bunları da saklayıp cihazlar arasında eşitliyor. Geçiş dönemi uzun sürecek: bir süre daha hem parolalara hem passkey’lere ihtiyaç olacak, ikisini aynı kasada tutmak en pratik yol.

Bugün yapılacaklar

• Bir yönetici seçin, ana parolayı belirleyin, kurtarma kodunu çevrimdışı saklayın.
• Önce e-posta, sonra banka, sonra sosyal medya parolalarını değiştirin — e-posta diğer her şeyin sıfırlama kapısı.
• Yöneticinin “tekrar kullanılan parola” raporunu çalıştırıp listeyi eritin.
• Kasanın kendisine en güçlü ikinci doğrulama adımını ekleyin.