Şifre yöneticisi nasıl seçilir ve doğru kullanılır?

Bir web sitesi saldırıya uğradığında çalınan e-posta ve şifre çiftleri nadiren ilk saldırganın elinde kalır. Alınıp satılır, ardından aynı kombinasyonu e-posta sağlayıcılarında, alışveriş sitelerinde, sosyal ağlarda ve oyun platformlarında deneyen otomatik araçlara yüklenir. Kimlik bilgisi doldurma (credential stuffing) adı verilen bu yöntem yalnızca insanlar şifrelerini tekrar kullandığında işe yarar ve sıradan hesapların ele geçirilmesinin en yaygın yollarından biridir.

Benzersiz şifreler bu zinciri kırar. Her hesabın kendine ait uzun ve rastgele bir şifresi varsa bir hizmetteki sızıntı o hizmetle sınırlı kalır. Sorun şu ki kimse onlarca rastgele karakter dizisini aklında tutamaz; şifre yöneticisi de tam olarak bu iş için tasarlanmıştır.

Şifre yöneticisi giriş bilgilerinizi tek bir ana şifreyle, güvenilir cihazlarda çoğu zaman parmak izi ya da yüz tanımayla açılan şifreli bir kasada saklar. Kaydolurken ya da şifre değiştirirken uzun ve rastgele şifreler üretir, giriş yaparken de bunları sizin yerinize doldurur.

Otomatik doldurma aynı zamanda sessiz bir oltalama önlemidir. Yönetici kayıtlı girişleri web sitesinin tam adresiyle eşleştirir; bu nedenle banka şifrenizi taklit bir alan adında önermez. Sık kullandığınız bir giriş sayfasını yöneticiniz birden tanımıyorsa durun ve elle bir şey yazmadan önce adresi kontrol edin.

Çoğu yönetici şifre saklamaktan fazlasını yapar. Yaygın ek özellikler arasında yedek kodlar ve kurtarma bilgileri için güvenli notlar, geçiş anahtarlarını (passkey) saklama, kayıtlı bir şifre bilinen bir sızıntıda göründüğünde uyarı, zayıf ya da tekrar kullanılan şifreler için uyarılar ve aile üyeleriyle ya da ekiple güvenli paylaşım bulunur.

Önce şifrelemeye bakın. Bazen sıfır bilgi (zero-knowledge) tasarımı olarak da anılan uçtan uca şifreleme arayın; bu, kasanızın kendi cihazınızda şifrelendiği ve sağlayıcının onu okuyamadığı anlamına gelir. Yayımlanmış güvenlik belgeleri ve bağımsız denetimler, şirketin bu konuyu ciddiye aldığının iyi işaretleridir.

Ardından yöneticinin sizin çalıştığınız her yerde çalıştığından emin olun: kullandığınız tarayıcılarda, telefonunuzda ve bilgisayarınızda, aralarında güvenilir bir eşitlemeyle. Kasanın kendisi de iki faktörlü doğrulamayı, tercihen doğrulama uygulaması ya da güvenlik anahtarıyla desteklemeli; böylece çalınan bir ana şifre tek başına kasayı açmaya yetmez.

Son olarak, başlamadan önce çıkış yolunu düşünün. İyi bir yönetici verilerinizi standart bir biçimde dışa aktarmanıza izin verir; böylece hiçbir hizmete mahkûm kalmazsınız. Ana şifrenizi unutursanız ne olacağını okuyun: bazı hizmetler bir kurtarma kiti ya da güvenilir kişi seçeneği sunar, katı sıfır bilgi tasarımlarında ise hiç kurtarma yolu olmayabilir. Bu da güvenli bir yerde saklanan bir acil durum sayfasını vazgeçilmez kılar.

Tarayıcılar ve işletim sistemleri artık gayet işlevsel şifre yöneticileriyle birlikte geliyor. Google Şifre Yöneticisi Chrome'a ve Android'e yerleşiktir, Apple cihazlarında iCloud Anahtar Zinciri üzerinden eşitlenen bir şifre yöneticisi bulunur, Microsoft Edge ise şifreleri Microsoft hesabınıza kaydeder. Ek ücret gerektirmezler, zaten cihazınızdadırlar ve kendi ekosistemleri içinde otomatik olarak eşitlenirler.

Sınırları da bu ekosistemdir. iPhone'u Windows bir bilgisayarla birlikte kullanıyorsanız ya da birkaç tarayıcı arasında gidip geliyorsanız, yerleşik bir yönetici sizi her yerde rahatça takip edemeyebilir. Proton gibi gizlilik odaklı sağlayıcıların sundukları da dâhil olmak üzere bağımsız yöneticiler platformlar ve tarayıcılar arasında çalışır, genellikle daha zengin paylaşım, güvenli notlar ve daha esnek düzenleme imkânları sunar.

Hangisini seçerseniz seçin, şifreleri tekrar kullanmaktan çok daha iyidir. Her gün gerçekten kullanacağınız seçeneği tercih edin ve girişlerinizi birkaç yöneticiye dağıtmaktan kaçının; aksi hâlde hangi kopyanın güncel olduğunu takip etmek zorlaşır.

Ana şifreniz aklınızda tutmanız gereken tek şifredir; bu yüzden kısa ve karmaşık değil, uzun ve akılda kalıcı olsun. Birbiriyle ilgisiz birkaç kelimeden oluşan bir parola cümlesi, kısa bir sembol dizisine göre hem yazması daha kolay hem de tahmin edilmesi çok daha zordur. Bu şifreyi başka hiçbir yerde kullanmayın.

Yönetici için iki faktörlü doğrulamayı hemen açın ve yedek kodlarını ya da acil durum kitini çevrim dışı saklayın; örneğin kâğıda basılı olarak evde güvenli bir yerde. Yöneticiniz bir kurtarma yöntemi sunuyorsa bunu hesabınız kilitlendikten sonra değil, şimdi kurun.

Ardından birkaç ayarı düzenleyin: kısa bir hareketsizlik süresinden sonra kasanın kilitlenmesini sağlayın, yeniden başlatmanın ardından ana şifre ya da biyometrik doğrulama isteyin, güvenlik düzeltmelerini alabilmek için uygulamaları ve tarayıcı eklentilerini güncel tutun.

Çoğu yönetici, tarayıcınızda kayıtlı ya da başka bir yöneticiden dışa aktarılmış şifreleri, genellikle bir CSV dosyası olarak içe aktarabilir. Bu dosya şifrelenmemiş düz metindir; bu yüzden dosyayı dışa aktarır aktarmaz içe aktarın, ardından İndirilenler klasöründeki ve geri dönüşüm kutusundaki kopyaları dâhil tamamen silin.

İçe aktarmanın ardından bağımsız bir yöneticiye geçtiyseniz tarayıcının kendi şifre kaydetme özelliğini kapatın; böylece yeni girişler iki farklı yere kaydedilmez. Sonra yöneticinin güvenlik raporunu açın ve tekrar kullanılan ya da zayıf şifreleri düzeltmeye başlayın. Diğer her şeyi sıfırlayabildikleri için e-posta hesaplarınızla başlayın, ardından finans, iş ve sosyal medya hesaplarına geçin.

Her şeyi tek bir akşamda değiştirmeniz gerekmez. Kalan şifreleri o siteye bir sonraki girişinizde güncelleyin; birkaç hafta içinde kasanızın büyük kısmı benzersiz, üretilmiş şifrelerden oluşacaktır.

Size bir e-postayla, paylaşılan bir belgeyle ya da bir sipariş sayfasında ulaşan giriş bilgilerinin yeri ekran görüntüleri ya da düz notlar değil, şifre yöneticinizdir. Web sitesi adresi, kullanıcı adı ve şifreyle yeni bir kayıt oluşturun; kurtarma e-postasını, yedek kodları ve diğer kurulum ayrıntılarını kaydın not bölümüne ekleyin.

rStock'ta bir hesap satın aldıysanız teslim edilen içerik, siparişinize bağlı bir teslimat kaydı olarak sipariş sayfanızda görünür. Bunu yöneticinize kopyalayın, ardından şifreyi yeni üretilmiş bir şifreyle değiştirin, kendi kurtarma seçeneklerinizi belirleyin ve iki faktörlü doğrulamayı açın. Bunu vakit kaybetmeden yapmak, her şeyin çalıştığını teslimattan sonraki sınırlı süre içinde, yani hâlâ anlaşmazlık açabilecekken teyit etmenizi de sağlar. Bu tür hesapları her zaman markanın kullanım koşullarına uygun şekilde kullanın.

Hesap güvenli hâle geldikten sonra notlara, sohbetlere ya da metin dosyalarına yapıştırdığınız fazladan kopyaları silin. Güncel şifrenin bulunduğu tek yer şifre yöneticiniz olmalı; böylece güncellemesi kolay, başkalarının bulması ise zor olur.