Yıllarca aynı şifreyi ufak değişikliklerle her yere yazdım. "Ali1234" bir yerde "Ali1234!" oldu, başka yerde "ali_1234" oldu ve ben kendimi akıllı sandım. Sonra bir gün eski bir forum sitesinin veri sızıntısına düştüğünü öğrendim ve o gece sabaha kadar hangi hesaplarda o şifreyi kullandığımı hatırlamaya çalıştım. Sekiz hesap saydım, muhtemelen daha fazlaydı. İşte o geceden sonra şifre yöneticisi kullanmaya başladım ve dürüst olmak gerekirse, bilgisayar hayatımda aldığım en rahatlatıcı karar oldu. Bu yazıda neyi nasıl yaptığımı, yeni başlayan birinin anlayacağı şekilde anlatacağım.
İnsan beyni rastgelelikte çok kötüdür. Ben "kimse bunu tahmin edemez" dediğim şifrelerin aslında kalıplı olduğunu fark ettim: bir isim, bir tarih, bir ünlem işareti. Saldırganlar bu kalıpları biliyor ve deneme yazılımları tam olarak bunları önce deniyor.
İkinci ve daha büyük problem şuydu: aynı şifreyi tekrar kullanmak. Tek bir sitenin veritabanı sızdığında, o e-posta ve şifre ikilisi otomatik olarak onlarca başka sitede deneniyor. Yani en zayıf halkanız, kayıt olup unuttuğunuz o küçük site oluyor. Sosyal medya hesaplarının güvenliğini anlattığım yazıda da benzer bir şeye değinmiştim: hesabı korumak sadece güçlü şifreyle değil, o şifrenin eşsiz olmasıyla ilgili.
Aklımda tuttuğum kaba kural şöyle oldu:
Mantığı çok basit: şifrelenmiş bir kasa var, bütün hesap bilgileriniz bunun içinde duruyor ve kasayı tek bir ana şifreyle açıyorsunuz. Tarayıcıya eklenti olarak kurduğunuzda, bir siteye girdiğinizde kullanıcı adı ve şifreyi kendisi dolduruyor. Yeni bir yere kayıt olurken de "sana rastgele bir şifre üretelim mi?" diye soruyor.
Beni ilk başta korkutan şey şuydu: "Bütün şifrelerimi tek yere koyarsam ve o yer ele geçerse?" Buradaki kritik nokta, düzgün araçların kasayı cihazınızda şifrelemesi. Yani sunucuya giden veri, ana şifreniz olmadan okunamayan bir yığın karakter oluyor. Ana şifreyi de servis bilmiyor. Bunun bir yan etkisi var: ana şifreyi kaybederseniz kimse size geri getiremez. Bu yüzden ana şifreyi belirlerken uzun ama sizin için anlamlı bir cümle seçmenizi öneririm — birbiriyle ilgisiz üç dört kelimeyi birleştirmek hem güçlü hem akılda kalıcı oluyor.
Bu son madde önemli: hepsini bir hafta sonunda halletmeye çalışırsanız sıkılıp bırakırsınız. Ben "girdiğim yerde değiştir" yöntemiyle yaklaşık iki ayda listeyi temizledim.
Şifreyi güçlendirmek tek başına yeterli değil. Şifre bir şekilde ele geçse bile ikinci bir onay adımı varsa saldırgan giremiyor. Ben SMS yerine uygulama tabanlı kodları tercih ediyorum, çünkü telefon numarası taşıma yoluyla yapılan dolandırıcılıklar SMS'i zayıf bırakıyor.
Bir de şu tuzağa dikkat: kurtarma kodlarını mutlaka kaydedin. Telefonunuz kaybolduğunda o kodlar sizin tek yedek anahtarınız. Ben kurtarma kodlarını hem kasada bir not olarak hem de yedekleme rutinime dahil ettiğim şifreli bir klasörde tutuyorum. Dosya yedekleme konusunda yazdıklarımdaki aynı mantık burada da geçerli: tek kopya, kopya sayılmaz.
Ücretsiz sürümler çoğu insan için fazlasıyla yeterli. Seçim yaparken şu üçüne bakın: kasa cihazda mı şifreleniyor, telefon ve bilgisayar arasında senkronizasyon var mı, verilerinizi dışa aktarabiliyor musunuz. Üçüncüsü özellikle önemli, çünkü bir gün başka bir araca geçmek isteyebilirsiniz ve verinizin rehin kalmasını istemezsiniz.
İlk hafta biraz yavaşlayacaksınız, bu normal. Otomatik doldurma bazen çalışmaz, bazen yanlış alanı doldurur, sinirlenirsiniz. Ama üçüncü haftada "şifremi hatırlamıyorum" cümlesini hayatınızdan çıkardığınızı fark ede