Güçlü Şifre Oluşturucu

Şifre oluşturucu nedir, bu araç şifreyi nasıl üretir?

Şifre oluşturucu, sizin yerinize tahmin edilemez bir karakter dizisi seçen araçtır. İnsanlar şifreyi kendileri bulurken doğum yılına, takım adına ya da klavye sırasına kayar; saldırganların sözlükleri de tam olarak bu alışkanlıkları dener. Bu yüzden asıl değer, seçimi bir kriptografik rastgelelik kaynağına bırakmaktadır.

Bu aracı yazarken üç kuralı kendime şart koştum:

• Yalnız tarayıcının kriptografik üreteci: araç her karakteri crypto.getRandomValues ile seçer; tahmin edilebilir Math.random fonksiyonunu hiç kullanmaz.
• Modulo yanlılığı yok: 32 bitlik rastgele sayı havuz boyuna tam bölünmüyorsa artan kısmı reddeder ve yeniden çeker. Böylece her karakterin çıkma olasılığı eşit kalır.
• Hiçbir şey sunucuya gitmez: şifre yalnız sizin ekranınızda oluşur. Bağlantıyı kopyala düğmesi de adrese yalnız uzunluk ve tür ayarlarını yazar, şifrenin kendisini asla yazmaz.

Sonuç kutusunda rakamları ve sembolleri harflerden farklı renkte görürsünüz. Bu renkler yalnız okumayı kolaylaştırır; kopyaladığınız metin düz karakterlerden oluşur.

NIST ve KVKK şifre uzunluğu için ne diyor?

Uzunluk konusunda en net çerçeveyi ABD standart kurumu NIST çiziyor. Ağustos 2025'te yayımlanan SP 800-63B-4 rehberinin öne çıkan maddeleri şunlar:

• Tek başına kullanılan şifre en az 15 karakter olmalı; çok faktörlü doğrulamanın parçası olan şifre için alt sınır 8 karakter.
• Sistemler en az 64 karaktere izin vermeli. Bu araç da 64 karaktere kadar üretir.
• Sistemler karakter türü karışımı gibi ek kompozisyon kuralları dayatmamalı; bunun yerine yeni şifreyi sızmış ve yaygın şifre listeleriyle karşılaştırmalı.

Türkiye tarafında ise Kişisel Verileri Koruma Kurumu, 2022 tarihli kamuoyu duyurusunda veri sorumlularına en az 10 karakter ve büyük harf, küçük harf, rakam ile özel karakterin birlikte kullanılmasını tavsiye ediyor.

Benim önerim şu: parola yöneticisine kaydedeceğiniz hesaplarda en az 16, kritik yönetici hesaplarında 20 ve üzeri. Örneğin elle yazılacak bir Wi-Fi şifresinde Kolay yazılır ayarıyla 20 karakter seçin ve ağı misafirlere Wi-Fi QR kodu ile paylaşın. Kısacası uzunluğu önce seçin, türleri sonra düşünün.

Entropi nedir, araçtaki bit değeri neyi ölçer?

Entropi, bir şifrenin kaç olası seçenek arasından çekildiğini bit cinsinden anlatır. Her ek bit, saldırganın deneyeceği seçenek sayısını iki katına çıkarır. Dolayısıyla 80 bit ile 90 bit arasında on bitlik fark, yaklaşık bin kat daha büyük bir arama alanı demektir.

Araçtaki işlem satırı bu hesabı açıkça yazar. Örneğin Standart ayarda 16 × log₂(86) + log₂(0,851) = 102,6 bit görürsünüz. İlk terim havuz ve uzunluktan gelir, ikinci terim ise her türden en az bir kuralının küçük maliyetidir.

Burada önemli bir sınır var: bu değer yalnız rastgele üretilmiş şifreler için anlamlıdır. Kendi uydurduğunuz Ankara1923! gibi bir şifrenin karakter sayısı yüksek görünse de gerçek entropisi çok düşüktür, çünkü saldırgan onu karakter karakter değil kalıp kalıp dener. Araç sizin yazdığınız bir şifreyi ölçmez; yalnız kendi ürettiğini değerlendirir ve bu tercih bilinçlidir.

Güç rozeti de aynı sayıya bağlıdır: 80 bitin üstü güçlü, 110 bitin üstü çok güçlü. Kırılma süresi kartı ise aynı entropiyi zamana çevirir, ama sızmış ya da oltalamayla ele geçmiş bir şifreyi hiçbir süre korumaz.

Her türden en az bir karakter kuralı neden açık gelir?

Birçok kayıt formu hâlâ en az bir rakam veya sembol ister. Tamamen rastgele bir şifre bu şartı her zaman sağlamaz: dört türün seçili olduğu 16 karakterlik bir şifrede hiç rakam çıkmama olasılığı yaklaşık yüzde 14. Formun reddettiği şifre, kullanıcıyı elle düzeltmeye iter; elle eklenen rakam ise genellikle sona gelen 1 olur.

Bu nedenle kuralı varsayılan olarak açık bıraktım. Araç bir adayı bütünüyle üretir, seçili türlerden biri eksikse adayı tamamen atar ve baştan çeker. Eksik türü rastgele bir yere yerleştirmek gibi kısayollara başvurmaz; böylece kurala uyan şifreler arasında dağılım eşit kalır.

Kuralın bir bedeli var, ama küçük:

• 16 karakter, dört tür: 102,8 bitten 102,6 bite iner.
• 8 karakter, dört tür: 51,4 bitten 50,4 bite iner.
• Tek tür seçiliyken hiçbir fark oluşmaz.

NIST, sistemlerin böyle kompozisyon kuralları dayatmamasını öneriyor. Yine de siz o sistemi değiştiremezsiniz; şifreyi kabul ettirmeniz gerekir. Formun hiç sembol kabul etmediği durumlarda sembol kutusunu kapatın ve uzunluğu birkaç karakter artırın.

Kolay yazılır ayarı ve karışan karakterler ne zaman işe yarar?

Her şifre kopyala yapıştır ile girilmez. Akıllı televizyon, oyun konsolu, yazıcı ya da misafir Wi-Fi ağı gibi cihazlarda şifreyi ekran klavyesiyle harf harf yazarsınız. Bazen de telefonda birine okursunuz. Bu durumlarda l ile 1, I ile l ve O ile 0 karışır; yanlış girilen tek karakter de dakikalar kaybettirir.

Kolay yazılır ayarı bu iş için var:

• 20 karakter uzunluğunda gelir.
• Yalnız harf ve rakam kullanır, sembolleri kapatır.
• Karışan karakterleri (l, 1, I, O, 0) havuzdan çıkarır ve 57 karakterlik bir havuzla 116,6 bit verir.

Karakterleri çıkarmanın maliyeti düşüktür. Dört türlü 16 karakterlik şifrede havuz 86'dan 81'e iner ve entropi 102,6 bitten 101,1 bite düşer; kayıp yaklaşık yüzde 1,4.

Öte yandan yalnız kopyala yapıştır kullanacağınız hesaplarda bu seçeneği kapalı tutmanın sakıncası yok. Ekrandaki eş aralıklı (monospace) yazı tipi ve renkler de benzer karakterleri ayırt etmenize yardım eder. Ayrıca Wi-Fi şifresini misafirlere okumak yerine QR kod olarak paylaşırsanız yazım hatası riski tamamen ortadan kalkar.

Şifre oluşturucu ile ürettiğiniz şifreyi nerede saklamalısınız?

Güçlü şifrenin en zayıf anı, ekrandan çıktığı andır. Kopyaladığınız şifreyi e-postaya, mesajlaşma uygulamasına ya da masaüstündeki bir not dosyasına yapıştırırsanız bütün uğraş boşa gider. Benim önerim tek bir yer: parola yöneticisi.

• Parola yöneticisi: her hesap için ayrı ve uzun şifre tutmanın tek sürdürülebilir yolu. Siz yalnız ana parolayı hatırlarsınız.
• İki adımlı doğrulama: şifre sızsa bile hesabı korur. E-posta hesabınızda mutlaka açın, çünkü diğer hesapların sıfırlama bağlantıları oraya gelir.
• Hesap başına ayrı şifre: bir sitedeki sızıntı diğerlerini açmasın.

İşletmelerde sorun çoğu zaman şifrenin kendisi değil, kimde durduğudur. Alan adı, hosting, reklam ve sosyal medya hesaplarının sahipliğini ve erişimini nasıl düzenleyeceğinizi dijital varlık yönetimi yazısında anlattım. Web tasarım projelerinde de teslim günü yönetici şifresini müşteriyle birlikte yenilemeyi ve yeni şifreyi onun parola yöneticisine kaydetmeyi öneriyorum. Böylece geliştirme sürecinde dolaşan şifre teslimden sonra geçerliliğini yitirir.

Kurumsal hesaplarda şifre politikası nasıl kurulur?

Tek kullanıcı için iyi şifre yeterlidir; bir şirket içinse politika gerekir. KVKK'nın kullanıcı güvenliği duyurusu veri sorumlularına şu tedbirleri tavsiye ediyor:

• En az 10 karakter ve dört karakter türünün birlikte kullanılması.
• Şifrelerin güvenli ve güncel karma (hash) algoritmalarıyla saklanması.
• Başarısız giriş denemelerinin sınırlandırılması ve çift kademeli doğrulama.
• Yeni şifrenin son üç şifreyle aynı olmaması ve belirli aralıklarla değiştirilmesi.

Son maddede NIST farklı düşünüyor ve zorunlu periyodik değişim yerine ele geçirilme belirtisi olduğunda değişimi şart koşuyor. Kurumunuz için hangisinin geçerli olacağına hukuk ve bilgi işlem ekibinizle birlikte karar verin; kritik işlemlerde güncel mevzuatı kontrol edin.

Web sitesi tarafında şifrelerin nasıl saklandığı ve aktarıldığı ayrı bir konu. Bunu kurumsal web sitesinde veri güvenliği ve şifreleme rehberinde ele aldım. Ayrıca form ve üyelik sistemi kuruyorsanız KVKK ve GDPR uyumlu web sitesi yazısı kontrol listenizi tamamlar.