Veritaban\u0131nda \u015fifreleri g\u00fcvenli saklamak g\u00fcn\u00fcm\u00fcz\u00fcn en kritik siber g\u00fcvenlik konular\u0131ndan biridir. Kullan\u0131c\u0131 bilgilerinin korunmas\u0131, hem yasal y\u00fck\u00fcml\u00fcl\u00fckler hem de \u015firket itibar\u0131 a\u00e7\u0131s\u0131ndan hayati \u00f6nem ta\u015f\u0131r. Bu kapsaml\u0131 rehberde, parola g\u00fcvenli\u011finin temellerini, nedenlerini ve en iyi uygulamalar\u0131 ad\u0131m ad\u0131m inceleyece\u011fiz. Modern algoritmalar, pratik senaryolar ve kod \u00f6rnekleri ile donat\u0131lm\u0131\u015f bu yaz\u0131, \u015fifre g\u00fcvenli\u011fi konusunda sizi s\u0131f\u0131rdan uzman seviyesine ta\u015f\u0131yacak.<\/p>\n
Dijital d\u00fcnyada ki\u015fisel verilerimiz, online hizmetlerin vazge\u00e7ilmez bir par\u00e7as\u0131 haline gelmi\u015f durumda. Ancak bu kolayl\u0131\u011f\u0131n bir bedeli var: g\u00fcvenlik. \u00d6zellikle kullan\u0131c\u0131 \u015fifreleri, bir sistemin en hassas ve en \u00e7ok hedef al\u0131nan veri t\u00fcrlerinden biridir. Peki, neden \u015fifreleri veritabanlar\u0131m\u0131zda t\u0131pk\u0131 bir e-posta adresi gibi “d\u00fcz metin” (plaintext) olarak saklamak b\u00fcy\u00fck bir hata te\u015fkil eder?<\/p>\n
Cevap olduk\u00e7a basit: Sald\u0131r\u0131ya u\u011frad\u0131\u011f\u0131n\u0131zda. Bir siber sald\u0131r\u0131 veya veri ihlali, ne kadar k\u00fc\u00e7\u00fck olursa olsun, sisteminizdeki d\u00fcz metin \u015fifrelerini if\u015fa etti\u011finde, sonu\u00e7lar\u0131 y\u0131k\u0131c\u0131 olabilir. Bir an i\u00e7in senaryoyu d\u00fc\u015f\u00fcnelim: Uygulaman\u0131z\u0131n veritaban\u0131, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 nedeniyle sald\u0131rganlar\u0131n eline ge\u00e7iyor. E\u011fer \u015fifreleri hi\u00e7bir i\u015flem yapmadan, okunakl\u0131 bir \u015fekilde saklad\u0131ysan\u0131z, bu durum, sald\u0131rganlar\u0131n t\u00fcm kullan\u0131c\u0131lar\u0131n\u0131z\u0131n hesaplar\u0131na an\u0131nda eri\u015febilmesi anlam\u0131na gelir. Bu, sadece sizin uygulaman\u0131zla s\u0131n\u0131rl\u0131 kalmaz; \u00e7o\u011fu kullan\u0131c\u0131 ayn\u0131 \u015fifreyi birden fazla platformda kulland\u0131\u011f\u0131ndan, di\u011fer online hesaplar\u0131 da tehlikeye at\u0131lm\u0131\u015f olur. Bu zincirleme etki, “kimlik av\u0131” (phishing) sald\u0131r\u0131lar\u0131n\u0131, “kullan\u0131c\u0131 ad\u0131 ve \u015fifre doldurma” (credential stuffing) sald\u0131r\u0131lar\u0131n\u0131 ve hatta finansal doland\u0131r\u0131c\u0131l\u0131klar\u0131 tetikleyebilir.<\/p>\n
D\u00fcz metin \u015fifre saklaman\u0131n yol a\u00e7t\u0131\u011f\u0131 tehlikeleri daha yak\u0131ndan inceleyelim:<\/p>\n
Vaka Analizi: “Hedef Odakl\u0131 Sald\u0131r\u0131” Senaryosu<\/strong><\/p>\n B\u00fcy\u00fck bir e-ticaret \u015firketi olan “Ma\u011fazaX”, milyonlarca kullan\u0131c\u0131s\u0131na hizmet vermekteydi. Geli\u015ftirme ekibi, sistemin h\u0131zl\u0131 \u00e7al\u0131\u015fmas\u0131n\u0131 sa\u011flamak amac\u0131yla, kullan\u0131c\u0131 \u015fifrelerini veritaban\u0131nda “\u015fifreleme anahtar\u0131n\u0131” veritaban\u0131 ile ayn\u0131 sunucuda saklayarak \u015fifreliyordu. Bir g\u00fcn, sunuculardan birinde eski bir yaz\u0131l\u0131m a\u00e7\u0131\u011f\u0131 tespit edildi ve sald\u0131rganlar bu a\u00e7\u0131\u011f\u0131 kullanarak sunucuya s\u0131zmay\u0131 ba\u015fard\u0131lar. Sunucudaki hassas veritaban\u0131 eri\u015fim bilgilerini ele ge\u00e7iren sald\u0131rganlar, veritaban\u0131na ula\u015ft\u0131lar. Daha da k\u00f6t\u00fcs\u00fc, \u015fifreleme anahtar\u0131 da ayn\u0131 sunucuda oldu\u011fu i\u00e7in, \u015fifrelenmi\u015f gibi g\u00f6r\u00fcnen t\u00fcm \u015fifreler kolayca \u00e7\u00f6z\u00fcld\u00fc ve d\u00fcz metin halleriyle ele ge\u00e7irildi.<\/p>\n Bu olay, Ma\u011fazaX’in milyonlarca kullan\u0131c\u0131s\u0131n\u0131n \u015fifrelerinin \u00e7al\u0131nmas\u0131na neden oldu. Kullan\u0131c\u0131lar aras\u0131nda b\u00fcy\u00fck bir panik ya\u015fand\u0131 ve \u015firketin itibar\u0131 yerle bir oldu. Ma\u011fazaX, milyonlarca dolarl\u0131k para cezalar\u0131 \u00f6demek zorunda kald\u0131, kullan\u0131c\u0131 g\u00fcvenini kaybetti ve pazar pay\u0131nda ciddi d\u00fc\u015f\u00fc\u015fler ya\u015fad\u0131. Bu vaka, \u015fifreleri “sadece \u015fifrelemekle” i\u015fin bitmedi\u011fini, anahtar y\u00f6netiminin de ayr\u0131 bir uzmanl\u0131k gerektirdi\u011fini ve d\u00fcz metin veya kolayca \u00e7\u00f6z\u00fclebilen \u015fifrelerin nas\u0131l bir felakete yol a\u00e7abilece\u011fini ac\u0131 bir \u015fekilde g\u00f6sterdi. \u015eifrelerin do\u011fru bir \u015fekilde “hash’lenmesi” bu senaryoda \u015firket i\u00e7in \u00e7ok daha g\u00fcvenli bir durum yaratabilirdi.<\/p>\n Sonu\u00e7 olarak, \u015fifreleri d\u00fcz metin olarak saklamak, bir g\u00fcvenlik ihlalinin olas\u0131 sonu\u00e7lar\u0131n\u0131 katlayarak felaket d\u00fczeyine \u00e7\u0131kar\u0131r. Bu y\u00fczden, \u015fifre g\u00fcvenli\u011fi, her yaz\u0131l\u0131m geli\u015ftiricisinin ve sistem y\u00f6neticisinin \u00f6ncelikli konusu olmal\u0131d\u0131r. \u015eifrelerinizi asla ve asla d\u00fcz metin olarak saklamay\u0131n; bunun yerine, modern ve g\u00fcvenli hashing algoritmalar\u0131 kullan\u0131n.<\/p>\n \u015eifreleri d\u00fcz metin olarak saklaman\u0131n ne kadar tehlikeli oldu\u011funu anlad\u0131k. Peki, do\u011fru y\u00f6ntem nedir? \u0130\u015fte burada “hashing” (\u00f6zetleme) ve “salting” (tuzlama) devreye giriyor. Bu iki kavram, \u015fifre g\u00fcvenli\u011finin temel ta\u015flar\u0131n\u0131 olu\u015fturur ve modern uygulamalar\u0131n olmazsa olmaz\u0131d\u0131r.<\/p>\n Hashing, kriptografik bir \u00f6zet fonksiyonu kullanarak, herhangi bir boyuttaki veriyi sabit uzunlukta benzersiz bir karaktere d\u00f6n\u00fc\u015ft\u00fcrme i\u015flemidir. Bu karaktere “hash de\u011feri” veya “\u00f6zet” denir. \u015eifreler ba\u011flam\u0131nda, kullan\u0131c\u0131n\u0131n girdi\u011fi \u015fifre, bir hashing algoritmas\u0131ndan ge\u00e7irilir ve veritaban\u0131na orijinal \u015fifre yerine bu hash de\u011feri kaydedilir. Hashing’in en \u00f6nemli \u00f6zellikleri \u015funlard\u0131r:<\/p>\n Ge\u00e7mi\u015fte MD5 ve SHA-1 gibi hashing algoritmalar\u0131 pop\u00fclerdi. Ancak bu algoritmalar\u0131n g\u00fcn\u00fcm\u00fczde zay\u0131fl\u0131klar\u0131 tespit edilmi\u015ftir. \u00d6zellikle “\u00e7arp\u0131\u015fma” (collision) sald\u0131r\u0131lar\u0131, yani farkl\u0131 girdilerin ayn\u0131 hash de\u011ferini \u00fcretmesi durumu, bu algoritmalar\u0131n g\u00fcvenli\u011fini tehlikeye atmaktad\u0131r. Ayr\u0131ca, MD5 ve SHA-1 gibi algoritmalar \u00e7ok h\u0131zl\u0131d\u0131r, bu da sald\u0131rganlar\u0131n “rainbow table” (\u00f6nceden hesaplanm\u0131\u015f hash tablolar\u0131) kullanarak yayg\u0131n \u015fifrelerin hash’lerini kolayca bulmas\u0131n\u0131 sa\u011flar.<\/p>\n Hashing tek ba\u015f\u0131na yeterli de\u011fildir. \u0130\u015fte bu noktada “salting” (tuzlama) devreye girer. Salt, her kullan\u0131c\u0131n\u0131n \u015fifresine eklenen rastgele, benzersiz bir veri dizisidir. \u015eifre, veritaban\u0131na kaydedilmeden \u00f6nce, salt ile birle\u015ftirilir ve ard\u0131ndan hashlenir. Bu salt de\u011feri, hash de\u011feriyle birlikte veritaban\u0131nda saklan\u0131r.<\/p>\n Salting’in temel amac\u0131 \u015funlard\u0131r:<\/p>\n Uygulamal\u0131 \u00d6rnek: Hashing ve Salting Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/strong><\/p>\n Bir kullan\u0131c\u0131 “gizlisifrem” \u015fifresini girdi\u011finde, bu \u015fifre do\u011frudan hashlenmez. \u00d6ncelikle sisteme \u00f6zg\u00fc, rastgele \u00fcretilmi\u015f bir “salt” eklenir. \u00d6rne\u011fin, \u0130\u015fte basit bir hashing ve salting konseptini g\u00f6steren (ancak \u00fcretimde kullan\u0131lmamas\u0131 gereken) bir pseudo-kod ve Python \u00f6rne\u011fi:<\/p>\n <\/code><\/p>\n Bu b\u00f6l\u00fcm, hashing ve salting'in temellerini anlaman\u0131z i\u00e7in \u00f6nemli bir ad\u0131md\u0131. Ancak modern g\u00fcvenlik ihtiya\u00e7lar\u0131, bu basit yakla\u015f\u0131mlar\u0131n \u00f6tesine ge\u00e7meyi gerektirir. Bir sonraki b\u00f6l\u00fcmde, daha g\u00fc\u00e7l\u00fc ve sald\u0131r\u0131lara kar\u015f\u0131 daha diren\u00e7li modern hashing algoritmalar\u0131n\u0131 inceleyece\u011fiz.<\/p>\n SHA-256 gibi kriptografik hash fonksiyonlar\u0131, verilerin b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc do\u011frulamak i\u00e7in harika ara\u00e7lard\u0131r, ancak \u015fifre hashing i\u00e7in tek ba\u015f\u0131na yeterli de\u011fildirler. Bunun temel nedeni, bu algoritmalar\u0131n kas\u0131tl\u0131 olarak h\u0131zl\u0131 olacak \u015fekilde tasarlanmas\u0131d\u0131r. H\u0131zl\u0131 hash fonksiyonlar\u0131, sald\u0131rganlar\u0131n g\u00fc\u00e7l\u00fc donan\u0131mlar kullanarak saniyede milyarlarca \u015fifre denemesi yapmas\u0131na (brute-force sald\u0131r\u0131s\u0131) olanak tan\u0131r. Bu nedenle, \u015fifreler i\u00e7in \u00f6zel olarak tasarlanm\u0131\u015f, \"i\u015flem maliyetli\" (computationally expensive) ve \"adaptif\" (adaptive) algoritmalar kullanmam\u0131z gerekir. Bu algoritmalar, kas\u0131tl\u0131 olarak yava\u015f \u00e7al\u0131\u015f\u0131r ve bu yava\u015fl\u0131\u011f\u0131 donan\u0131m g\u00fcc\u00fcne g\u00f6re ayarlamam\u0131za olanak tan\u0131r. \u0130\u015fte en yayg\u0131n ve g\u00fcvenli modern algoritmalar:<\/p>\n PBKDF2, NIST (Ulusal Standartlar ve Teknoloji Enstit\u00fcs\u00fc) taraf\u0131ndan \u00f6nerilen ve yayg\u0131n olarak kullan\u0131lan bir anahtar t\u00fcretme fonksiyonudur. Temel \u00f6zelli\u011fi, bir \u015fifreyi ve bir salt'\u0131 alarak, karma\u015f\u0131k bir d\u00f6ng\u00fcde (iterasyonlar) bir\u00e7ok kez hashing i\u015flemine tabi tutmas\u0131d\u0131r. Bu d\u00f6ng\u00fc say\u0131s\u0131, algoritman\u0131n i\u015flem maliyetini belirler.<\/p>\n Bcrypt, OpenBSD'de Blowfish \u015fifreleme algoritmas\u0131na dayal\u0131 olarak tasarlanm\u0131\u015f, \u015fifre hashing i\u00e7in \u00f6zel bir algoritmad\u0131r. PBKDF2'den farkl\u0131 olarak, Bcrypt kendisi adaptif bir algoritmad\u0131r.<\/p>\n Argon2, \u015fifre hashing yar\u0131\u015fmas\u0131 Password Hashing Competition (PHC) galibi olan en yeni ve en modern \u015fifre hashing algoritmas\u0131d\u0131r. PBKDF2 ve Bcrypt'in zay\u0131fl\u0131klar\u0131n\u0131 gidermek i\u00e7in tasarlanm\u0131\u015ft\u0131r ve \u00fc\u00e7 farkl\u0131 versiyonu bulunur (Argon2d, Argon2i, Argon2id).<\/p>\n Hangi algoritmay\u0131 se\u00e7ece\u011finize karar verirken ihtiya\u00e7lar\u0131n\u0131z\u0131 ve sisteminizin yeteneklerini g\u00f6z \u00f6n\u00fcnde bulundurman\u0131z \u00f6nemlidir. \u0130\u015fte h\u0131zl\u0131 bir kar\u015f\u0131la\u015ft\u0131rma tablosu:<\/p>\n Uygulamal\u0131 \u00d6rnek: Bcrypt ile \u015eifre Hashing (Python)<\/strong><\/p>\n Bcrypt, bir\u00e7ok dilde kolayca entegre edilebilir ve kullan\u0131m\u0131 olduk\u00e7a basittir. \u0130\u015fte Python'da <\/code><\/p>\n Bu \u00f6rnekte g\u00f6rebilece\u011finiz gibi, Bcrypt'in kullan\u0131m\u0131 olduk\u00e7a pratik ve karma\u015f\u0131k salt y\u00f6netimi gibi detaylar\u0131 sizin i\u00e7in hallediyor. Argon2 de benzer \u015fekilde k\u00fct\u00fcphaneler arac\u0131l\u0131\u011f\u0131yla kolayca kullan\u0131labilir. \u015eifre g\u00fcvenli\u011finde, bu modern algoritmalar\u0131 kullanmak, sisteminizin direncini \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131racakt\u0131r.<\/p>\n \u015eifreleri g\u00fcvenli bir \u015fekilde hashleme ve tuzlama tekniklerini anlad\u0131k, ancak sa\u011flam bir parola g\u00fcvenli\u011fi stratejisi sadece algoritma se\u00e7iminden ibaret de\u011fildir. Genel sistem g\u00fcvenli\u011fi, operasyonel s\u00fcre\u00e7ler ve kullan\u0131c\u0131 davran\u0131\u015flar\u0131 da b\u00fcy\u00fck rol oynar. \u0130\u015fte veritaban\u0131nda \u015fifreleri saklarken g\u00f6z \u00f6n\u00fcnde bulundurman\u0131z gereken en iyi uygulamalar:<\/p>\n \u015eifreleri hash'lerken kulland\u0131\u011f\u0131n\u0131z anahtarlar veya salt'lar, veritaban\u0131 sald\u0131r\u0131lar\u0131na kar\u015f\u0131 korunmal\u0131d\u0131r. Bu kritik verileri, anahtar y\u00f6netim sistemleri (KMS - Key Management System) gibi \u00f6zel ve g\u00fcvenli ortamlarda saklamak, g\u00fcvenli\u011fi \u00f6nemli \u00f6l\u00e7\u00fcde art\u0131r\u0131r. AWS KMS, Google Cloud KMS veya Azure Key Vault gibi hizmetler, bu t\u00fcr kritik bilgileri y\u00f6netmek i\u00e7in tasarlanm\u0131\u015ft\u0131r. Ayr\u0131ca, uygulaman\u0131z\u0131n veritaban\u0131 ba\u011flant\u0131 bilgilerini (kullan\u0131c\u0131 ad\u0131, \u015fifre, sunucu adresi) do\u011frudan kod i\u00e7inde (hardcode) de\u011fil, ortam de\u011fi\u015fkenlerinde veya g\u00fcvenli konfig\u00fcrasyon dosyalar\u0131nda tutmaya \u00f6zen g\u00f6sterin. Bu, hassas bilgilerin kaynak kontrol sistemlerine s\u0131zmas\u0131n\u0131 engeller ve deployment s\u00fcre\u00e7lerini daha g\u00fcvenli hale getirir.<\/p>\n<\/div>\n Bu en iyi uygulamalar\u0131n b\u00fct\u00fcn\u00fc, \u015fifre g\u00fcvenli\u011finizin sadece bir k\u0131sm\u0131n\u0131 de\u011fil, tamam\u0131n\u0131 kapsayan g\u00fc\u00e7l\u00fc bir savunma hatt\u0131 olu\u015fturur. G\u00fcvenlik, tek seferlik bir i\u015flem de\u011fil, s\u00fcrekli bir s\u00fcre\u00e7tir. Bu prensiplere ba\u011fl\u0131 kalarak, kullan\u0131c\u0131lar\u0131n\u0131z\u0131n verilerini en \u00fcst d\u00fczeyde koruyabilirsiniz.<\/p>\n Ger\u00e7ek d\u00fcnya senaryolar\u0131, teorik bilgilerin \u00f6tesine ge\u00e7erek bize en de\u011ferli dersleri sunar. \u0130nternet tarihine damga vurmu\u015f bir\u00e7ok veri ihlali, \u015fifre g\u00fcvenli\u011finin ne kadar kritik oldu\u011funu ve yanl\u0131\u015f uygulamalar\u0131n nelere yol a\u00e7abilece\u011fini ac\u0131 bir \u015fekilde g\u00f6stermi\u015ftir. \u0130\u015fte size, genel hatlar\u0131yla, b\u00fcy\u00fck bir veri ihlalinin nas\u0131l ger\u00e7ekle\u015fti\u011fini ve bu t\u00fcr olaylardan hangi dersleri \u00e7\u0131karabilece\u011fimizi g\u00f6steren kurgusal ama ger\u00e7ek\u00e7i bir vaka analizi:<\/p>\n SosyalPayla\u015f, milyonlarca kullan\u0131c\u0131s\u0131 olan pop\u00fcler bir sosyal medya platformuydu. Kullan\u0131c\u0131lar\u0131n kolayca foto\u011fraf ve durum g\u00fcncellemelerini payla\u015fmas\u0131na olanak tan\u0131yordu. Platform, geli\u015ftirmenin ilk a\u015famalar\u0131nda h\u0131z ve basitli\u011fi \u00f6n planda tutmu\u015f, g\u00fcvenlik uygulamalar\u0131n\u0131 ise \"daha sonra\" ele almay\u0131 planlam\u0131\u015ft\u0131. Ne yaz\u0131k ki, bu \"daha sonra\" hi\u00e7 gelmedi.<\/p>\n \u015eirketin sistem y\u00f6neticileri, \u015fifreleri veritaban\u0131nda d\u00fcz metin olarak depoluyorlard\u0131. Yani, bir kullan\u0131c\u0131n\u0131n \u015fifresi \"benimcokgizlisifrem\" ise, veritaban\u0131nda da aynen bu \u015fekilde yaz\u0131yordu. Salting veya hashing gibi temel g\u00fcvenlik \u00f6nlemleri hi\u00e7 uygulanmam\u0131\u015ft\u0131. Veritaban\u0131 ba\u011flant\u0131lar\u0131 da \u015fifresizdi ve zay\u0131f bir kullan\u0131c\u0131 ad\u0131\/\u015fifre kombinasyonuyla korunuyordu.<\/p>\n Bir g\u00fcn, platformun eski bir s\u00fcr\u00fcm\u00fcnde, d\u0131\u015far\u0131dan eri\u015filebilen bir test API'sinde basit bir kimlik do\u011frulama a\u00e7\u0131\u011f\u0131 (\u00f6rne\u011fin, varsay\u0131lan admin \u015fifresi) ke\u015ffedildi. Bir sald\u0131rgan, bu a\u00e7\u0131\u011f\u0131 kullanarak SosyalPayla\u015f'\u0131n veritaban\u0131na eri\u015fim sa\u011flamay\u0131 ba\u015fard\u0131. Veritaban\u0131nda, milyonlarca kullan\u0131c\u0131n\u0131n e-posta adresleri ve bunlara kar\u015f\u0131l\u0131k gelen d\u00fcz metin \u015fifreleri, hi\u00e7bir engel olmadan okunabiliyordu.<\/p>\n SosyalPayla\u015f vakas\u0131 (ve benzeri ger\u00e7ek olaylar), \u015fifre g\u00fcvenli\u011finin sadece bir \"ek \u00f6zellik\" de\u011fil, birincil bir gereklilik oldu\u011funu g\u00f6stermi\u015ftir:<\/p>\n Bu vaka, g\u00fcvenlikte yap\u0131lan en temel hatan\u0131n bile y\u0131k\u0131c\u0131 sonu\u00e7lara yol a\u00e7abilece\u011fini ac\u0131 bir \u015fekilde kan\u0131tlam\u0131\u015ft\u0131r. Gelecekteki projelerde bu dersleri ak\u0131lda tutarak, \u00e7ok daha g\u00fcvenli sistemler in\u015fa edebiliriz.<\/p>\n Veritaban\u0131nda \u015fifreleri g\u00fcvenli bir \u015fekilde saklamak, g\u00fcn\u00fcm\u00fcz dijital d\u00fcnyas\u0131nda sadece bir en iyi uygulama de\u011fil, ayn\u0131 zamanda zorunlu bir g\u00fcvenlik standard\u0131d\u0131r. Kullan\u0131c\u0131 verilerinin korunmas\u0131, hem yasal y\u00fck\u00fcml\u00fcl\u00fckler hem de \u015firket itibar\u0131 a\u00e7\u0131s\u0131ndan en y\u00fcksek \u00f6ncelik olmal\u0131d\u0131r. G\u00f6rd\u00fc\u011f\u00fcm\u00fcz gibi, d\u00fcz metin \u015fifre saklaman\u0131n riskleri kabul edilemez d\u00fczeydedir ve y\u0131k\u0131c\u0131 veri ihlallerine yol a\u00e7abilir.<\/p>\n Bu makalede, \u015fifre g\u00fcvenli\u011finin temel prensiplerini, yani hashing ve salting'i derinlemesine inceledik. MD5 veya SHA-1 gibi h\u0131zl\u0131 algoritmalar\u0131n yetersiz kald\u0131\u011f\u0131n\u0131 ve modern, i\u015flem maliyetli algoritmalar olan PBKDF2, Bcrypt ve Argon2'nin neden tercih edilmesi gerekti\u011fini \u00f6\u011frendik. \u00d6zellikle Argon2id'nin, bellek ve i\u015flemci g\u00fcc\u00fcn\u00fc dengeleyerek en g\u00fcncel tehditlere kar\u015f\u0131 en g\u00fc\u00e7l\u00fc korumay\u0131 sa\u011flad\u0131\u011f\u0131n\u0131 vurgulad\u0131k. Ayr\u0131ca, do\u011fru algoritma se\u00e7imi, g\u00fc\u00e7l\u00fc \u015fifre politikalar\u0131, katmanl\u0131 veritaban\u0131 g\u00fcvenli\u011fi ve iki fakt\u00f6rl\u00fc kimlik do\u011frulama gibi pratik uygulamalar\u0131n da genel g\u00fcvenlik duru\u015funu nas\u0131l g\u00fc\u00e7lendirece\u011fini detayland\u0131rd\u0131k.<\/p>\n Unutmay\u0131n ki g\u00fcvenlik, s\u00fcrekli bir yolculuktur. Teknolojiler geli\u015ftik\u00e7e, sald\u0131r\u0131 y\u00f6ntemleri de evrilir. Bu nedenle, en iyi uygulamalar\u0131 takip etmek, sistemlerinizi d\u00fczenli olarak denetlemek ve g\u00fcvenlik bilincini canl\u0131 tutmak hayati \u00f6nem ta\u015f\u0131r. Gelecekte \u015fifresiz kimlik do\u011frulama gibi yenilikler parolas\u0131z bir d\u00fcnya vaat etse de, mevcut sistemlerdeki \u015fifreleri en g\u00fcvenli \u015fekilde y\u00f6netmek, hala \u00fczerinde durulmas\u0131 gereken en kritik konulardan biridir.<\/p>\n Soru 1: \u015eifreleri \u015fifrelemek yerine hashlemek neden daha iyi?<\/strong><\/p>\n Cevap:<\/strong> \u015eifreleme (encryption) geri d\u00f6nd\u00fcr\u00fclebilir bir i\u015flemdir; yani do\u011fru anahtara sahipseniz \u015fifrelenmi\u015f veriyi tekrar orijinal haline getirebilirsiniz. \u015eifreleri bu \u015fekilde saklamak, sald\u0131rgan \u015fifreleme anahtar\u0131n\u0131 ele ge\u00e7irdi\u011finde t\u00fcm \u015fifrelerin de\u015fifre olmas\u0131na yol a\u00e7ar. Hashing (\u00f6zetleme) ise tek y\u00f6nl\u00fc bir fonksiyondur; bir hash de\u011ferinden orijinal \u015fifreyi geri elde etmek pratik olarak imkans\u0131zd\u0131r. Bu durum, bir sald\u0131rgan hash de\u011ferlerini ele ge\u00e7irse bile, kullan\u0131c\u0131 \u015fifrelerini do\u011frudan bilemeyece\u011fi anlam\u0131na gelir ve g\u00fcvenli\u011fi art\u0131r\u0131r.<\/p>\n Soru 2: Her kullan\u0131c\u0131 i\u00e7in farkl\u0131 salt kullanmak neden \u00f6nemli?<\/strong><\/p>\n Cevap:<\/strong> E\u011fer t\u00fcm kullan\u0131c\u0131lar i\u00e7in ayn\u0131 salt kullan\u0131l\u0131yorsa, ayn\u0131 \u015fifreye sahip kullan\u0131c\u0131lar i\u00e7in ayn\u0131 hash de\u011feri elde edilir. Bu durum, \"rainbow table\" sald\u0131r\u0131lar\u0131n\u0131 ve toplu \"brute-force\" denemelerini kolayla\u015ft\u0131r\u0131r. Sald\u0131rgan, ele ge\u00e7irdi\u011fi hash listesinde ayn\u0131 hash'i arayarak birden fazla kullan\u0131c\u0131n\u0131n \u015fifresini tek seferde k\u0131rabilir. Her kullan\u0131c\u0131 i\u00e7in benzersiz ve rastgele bir salt kullanmak, ayn\u0131 \u015fifreye sahip olsalar bile her hash'in farkl\u0131 olmas\u0131n\u0131 sa\u011flar. Bu sayede, sald\u0131rgan\u0131n her bir hash'i ayr\u0131 ayr\u0131 k\u0131rmas\u0131 gerekir, bu da sald\u0131r\u0131n\u0131n maliyetini ve zaman\u0131n\u0131 katlanarak art\u0131r\u0131r.<\/p>\n Soru 3: SHA-256 gibi algoritmalar neden art\u0131k tek ba\u015f\u0131na yeterli de\u011fil?<\/strong><\/p>\n Cevap:<\/strong> SHA-256 gibi kriptografik hash fonksiyonlar\u0131, verilerin b\u00fct\u00fcnl\u00fc\u011f\u00fcn\u00fc do\u011frulamak i\u00e7in harikad\u0131r, ancak \u015fifre hashing i\u00e7in tek ba\u015f\u0131na yeterli de\u011fildirler \u00e7\u00fcnk\u00fc \u00e7ok h\u0131zl\u0131 \u00e7al\u0131\u015f\u0131rlar. Modern donan\u0131mlar (\u00f6zellikle GPU'lar), saniyede milyarlarca SHA-256 hash'i hesaplayabilir. Bu h\u0131z, sald\u0131rganlar\u0131n yayg\u0131n \u015fifrelerin veya tahmini \u015fifrelerin hash'lerini \u00e7ok h\u0131zl\u0131 bir \u015fekilde hesaplayarak ele ge\u00e7irdikleri hash de\u011ferleriyle kar\u015f\u0131la\u015ft\u0131rmas\u0131na (brute-force sald\u0131r\u0131s\u0131) olanak tan\u0131r. PBKDF2, Bcrypt, Argon2 gibi algoritmalar ise kas\u0131tl\u0131 olarak yava\u015f \u00e7al\u0131\u015facak ve i\u015flemci\/bellek t\u00fcketimi y\u00fcksek olacak \u015fekilde tasarlanm\u0131\u015ft\u0131r. Bu \"i\u015flem maliyetli\" yap\u0131, sald\u0131r\u0131lar\u0131 \u00e7ok daha pahal\u0131 ve zaman al\u0131c\u0131 hale getirir.<\/p>\n Soru 4: \u015eifrelerinizi asla kaydetmeyin veya kimseyle payla\u015fmay\u0131n ne anlama geliyor?<\/strong><\/p>\n Cevap:<\/strong> Bu uyar\u0131, birka\u00e7 farkl\u0131 katman\u0131 kapsar. Birincisi, son kullan\u0131c\u0131lar i\u00e7in: Taray\u0131c\u0131lar\u0131n sundu\u011fu \"\u015fifreleri kaydet\" \u00f6zelli\u011fini kullanmak veya \u015fifrelerini bir yere not almak genellikle g\u00fcvenli de\u011fildir (taray\u0131c\u0131lar da sald\u0131r\u0131lara hedef olabilir). \u0130kincisi, kullan\u0131c\u0131lar\u0131n \u015fifrelerini e-posta, sohbet mesaj\u0131 gibi g\u00fcvenli olmayan yollarla ba\u015fkalar\u0131yla payla\u015fmaktan ka\u00e7\u0131nmalar\u0131 gerekti\u011fi anlam\u0131na gelir. \u00dc\u00e7\u00fcnc\u00fcs\u00fc, \u015firketler ve hizmet sa\u011flay\u0131c\u0131lar i\u00e7in: G\u00fcvenilir bir \u015firket asla kullan\u0131c\u0131lar\u0131ndan \u015fifrelerini e-posta veya telefon yoluyla istememelidir. Bu t\u00fcr talepler genellikle kimlik av\u0131 (phishing) doland\u0131r\u0131c\u0131l\u0131klar\u0131n\u0131n bir par\u00e7as\u0131d\u0131r.<\/p>\n Soru 5: \u015eifresiz kimlik do\u011frulama (passwordless authentication) nedir ve gelecekte \u015fifreleri tamamen ortadan kald\u0131racak m\u0131?<\/strong><\/p>\n Cevap:<\/strong> \u015eifresiz kimlik do\u011frulama, kullan\u0131c\u0131lar\u0131n bir sisteme eri\u015fmek i\u00e7in geleneksel \u015fifreler kullanmas\u0131n\u0131 gerektirmeyen y\u00f6ntemleri ifade eder. Bunun yerine biyometrik veriler (parmak izi, y\u00fcz tan\u0131ma), donan\u0131m anahtarlar\u0131 (USB g\u00fcvenlik anahtarlar\u0131 - FIDO2\/WebAuthn), tek kullan\u0131ml\u0131k kodlar (e-posta veya SMS ile g\u00f6nderilen) veya sihirli ba\u011flant\u0131lar (magic links) gibi alternatif y\u00f6ntemler kullan\u0131l\u0131r. Bu sistemler, phishing ve brute-force gibi \u015fifre tabanl\u0131 sald\u0131r\u0131lara kar\u015f\u0131 daha diren\u00e7lidir. Gelecekte \u015fifreleri tamamen ortadan kald\u0131rmas\u0131 zaman alacak olsa da, giderek daha pop\u00fcler hale gelmekte ve bir\u00e7ok platform taraf\u0131ndan benimsenmektedir. Tamamen \u015fifresiz bir d\u00fcnyaya ge\u00e7i\u015f, teknolojinin ve kullan\u0131c\u0131 al\u0131\u015fkanl\u0131klar\u0131n\u0131n geli\u015fimine ba\u011fl\u0131 olarak kademeli olacakt\u0131r, ancak \u015fifrelerin rol\u00fc kesinlikle azalacakt\u0131r.<\/p>\n","protected":false},"excerpt":{"rendered":"Veritaban\u0131nda \u015fifreleri g\u00fcvenli saklamak g\u00fcn\u00fcm\u00fcz\u00fcn en kritik siber g\u00fcvenlik konular\u0131ndan biridir. Kullan\u0131c\u0131 bilgilerinin korunmas\u0131, hem yasal y\u00fck\u00fcml\u00fcl\u00fckler hem…","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1],"tags":[],"class_list":{"0":"post-33403","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-genel","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n\u015eifre G\u00fcvenli\u011finin Temel Ta\u015flar\u0131 Nelerdir: Hashing ve Salting?<\/h2>\n
Hashing Nedir?<\/h3>\n
\n
Salting Nedir ve Neden Hayati \u00d6neme Sahiptir?<\/h3>\n
\n
salt123<\/code> gibi. Bu durumda hashlenecek girdi “gizlisifrem” de\u011fil, “gizlisifrem salt123” olacakt\u0131r. Ard\u0131ndan bu birle\u015fik metin, g\u00fc\u00e7l\u00fc bir hashing algoritmas\u0131ndan ge\u00e7irilir ve veritaban\u0131na kaydedilir. Veritaban\u0131nda hem \u00fcretilen hash hem de kullan\u0131lan salt saklan\u0131r. Kullan\u0131c\u0131 tekrar giri\u015f yapmaya \u00e7al\u0131\u015ft\u0131\u011f\u0131nda, girdi\u011fi \u015fifre, veritaban\u0131ndan \u00e7ekilen salt ile birle\u015ftirilir ve tekrar hashlenir. Elde edilen yeni hash, veritaban\u0131ndaki kay\u0131tl\u0131 hash ile kar\u015f\u0131la\u015ft\u0131r\u0131l\u0131r. E\u011fer e\u015fle\u015firse, \u015fifre do\u011fru demektir.<\/p>\n\n\/\/ Pseudo-kod: \u015eifre Hashing ve Salting Mant\u0131\u011f\u0131\nfonksiyon kayitOl(kullaniciAdi, sifre):\n salt = rastgele_salt_uret() \/\/ Her kullan\u0131c\u0131 i\u00e7in benzersiz salt\n hashedSifre = hash_algoritmasi(sifre + salt) \/\/ \u015eifre ve salt birle\u015ftirilip hashlenir\n veritabaninaKaydet(kullaniciAdi, hashedSifre, salt)\n\nfonksiyon girisYap(kullaniciAdi, girilenSifre):\n (kayitliHashedSifre, kayitliSalt) = veritabanindanCek(kullaniciAdi)\n if kayitliHashedSifre is null:\n return \"Kullan\u0131c\u0131 bulunamad\u0131\"\n\n yeniHashedSifre = hash_algoritmasi(girilenSifre + kayitliSalt)\n if yeniHashedSifre == kayitliHashedSifre:\n return \"Giri\u015f ba\u015far\u0131l\u0131\"\n else:\n return \"Yanl\u0131\u015f \u015fifre\"\n\n\/\/ Python \u00f6rne\u011fi (sadece konsept i\u00e7in, g\u00fcvenli \u00fcretimde kullan\u0131lmamal\u0131d\u0131r!)\nimport hashlib\nimport os\n\ndef generate_salt():\n # Rastgele 16 byte'l\u0131k bir salt \u00fcretir ve hex string'e d\u00f6n\u00fc\u015ft\u00fcr\u00fcr\n return os.urandom(16).hex()\n\ndef basic_hash_with_salt(password, salt):\n # \u015eifre ve salt'\u0131 birle\u015ftirip SHA256 ile hashler\n salted_password = password + salt\n return hashlib.sha256(salted_password.encode('utf-8')).hexdigest()\n\n# Kay\u0131t olma sim\u00fclasyonu\nuser_password = \"gizlisifrem\"\nuser_salt = generate_salt()\nhashed_pass = basic_hash_with_salt(user_password, user_salt)\n\nprint(f\"Orijinal \u015eifre: {user_password}\")\nprint(f\"\u00dcretilen Salt: {user_salt}\")\nprint(f\"Hashlenmi\u015f \u015eifre (SHA256 ile): {hashed_pass}\")\n\n# Giri\u015f yapma sim\u00fclasyonu\ndef verify_password(entered_password, stored_hash, stored_salt):\n new_hash = basic_hash_with_salt(entered_password, stored_salt)\n return new_hash == stored_hash\n\n# Do\u011fru \u015fifre ile do\u011frulama\nis_correct = verify_password(user_password, hashed_pass, user_salt)\nprint(f\"Do\u011fru \u015fifre ile do\u011frulama ba\u015far\u0131l\u0131 m\u0131? {is_correct}\")\n\n# Yanl\u0131\u015f \u015fifre ile do\u011frulama\nis_wrong = verify_password(\"yanlissifre\", hashed_pass, user_salt)\nprint(f\"Yanl\u0131\u015f \u015fifre ile do\u011frulama ba\u015far\u0131l\u0131 m\u0131? {is_wrong}\")\n<\/pre>\nModern ve G\u00fcvenli \u015eifre Hashing Algoritmalar\u0131 Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/h2>\n
PBKDF2 (Password-Based Key Derivation Function 2)<\/h3>\n
\n
Bcrypt<\/h3>\n
\n
Argon2<\/h3>\n
\n
Algoritmalar\u0131n Kar\u015f\u0131la\u015ft\u0131r\u0131lmas\u0131<\/h3>\n
\n\n
\n \nAlgoritma<\/th>\n Avantajlar\u0131<\/th>\n Dezavantajlar\u0131<\/th>\n \u00d6nerilen Kullan\u0131m<\/th>\n<\/tr>\n<\/thead>\n \n PBKDF2<\/td>\n G\u00fcvenilir, ayarlanabilir iterasyon, iyi desteklenir.<\/td>\n Bellek zorlu\u011funu optimize etmez, GPU'ya kar\u015f\u0131 zay\u0131ft\u0131r.<\/td>\n Eski sistemlerde veya \u00e7ok s\u0131n\u0131rl\u0131 kaynaklarda (ancak g\u00fcn\u00fcm\u00fczde daha g\u00fc\u00e7l\u00fcleri \u00f6nerilir).<\/td>\n<\/tr>\n \n Bcrypt<\/td>\n Adaptif, yerle\u015fik tuzlama, GPU'ya kar\u015f\u0131 daha iyi.<\/td>\n CPU a\u011f\u0131rl\u0131kl\u0131, bellek kontrol\u00fc s\u0131n\u0131rl\u0131.<\/td>\n Hala \u00e7ok pop\u00fcler ve yeni projeler i\u00e7in iyi bir se\u00e7enek.<\/td>\n<\/tr>\n \n Argon2<\/td>\n Bellek ve CPU kontrol\u00fc, Side-channel direnci, en g\u00fc\u00e7l\u00fc.<\/td>\n Yeni, daha az yayg\u0131n destek, daha fazla parametre.<\/td>\n Yeni projeler i\u00e7in en iyi ve en modern se\u00e7im (Argon2id).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n bcrypt<\/code> k\u00fct\u00fcphanesi ile bir \u00f6rnek:<\/p>\n\n# Python ile Bcrypt kullan\u0131m\u0131\nimport bcrypt\n\n# \u015eifre hash'leme fonksiyonu\ndef hash_password_bcrypt(password):\n # bcrypt.gensalt() otomatik olarak benzersiz bir salt \u00fcretir\n # ve maliyet fakt\u00f6r\u00fcn\u00fc (varsay\u0131lan 12) ayarlar.\n # password.encode('utf-8') ile \u015fifreyi byte dizisine d\u00f6n\u00fc\u015ft\u00fcr\u00fcr\u00fcz.\n hashed = bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt())\n return hashed.decode('utf-8') # Veritaban\u0131nda saklamak i\u00e7in string'e \u00e7eviririz\n\n# \u015eifre do\u011frulama fonksiyonu\ndef check_password_bcrypt(password, hashed_password):\n # bcrypt.checkpw() otomatik olarak verilen \u015fifreyi,\n # saklanan hash'in i\u00e7indeki salt ve maliyet fakt\u00f6r\u00fc ile hash'ler\n # ve kar\u015f\u0131la\u015ft\u0131rma yapar.\n return bcrypt.checkpw(password.encode('utf-8'), hashed_password.encode('utf-8'))\n\n# Kullan\u0131m \u00f6rne\u011fi\nuser_password = \"cokguvenlisifre123\"\nhashed_version = hash_password_bcrypt(user_password)\n\nprint(f\"Orijinal \u015eifre: {user_password}\")\nprint(f\"Hash'lenmi\u015f \u015eifre (Bcrypt): {hashed_version}\")\n\n# Do\u011frulama ba\u015far\u0131l\u0131 m\u0131?\nis_correct = check_password_bcrypt(user_password, hashed_version)\nprint(f\"\u015eifre do\u011frulama ba\u015far\u0131l\u0131 m\u0131? {is_correct}\")\n\n# Yanl\u0131\u015f \u015fifre ile do\u011frulama\nis_wrong = check_password_bcrypt(\"yanlissifre\", hashed_version)\nprint(f\"Yanl\u0131\u015f \u015fifre ile do\u011frulama ba\u015far\u0131l\u0131 m\u0131? {is_wrong}\")\n<\/pre>\nVeritaban\u0131nda \u015eifreleri G\u00fcvenli Saklamak \u0130\u00e7in En \u0130yi Uygulamalar Nelerdir?<\/h2>\n
Do\u011fru Algoritmay\u0131 Se\u00e7mek ve Y\u00f6netmek<\/h3>\n
\n
Tuzlar\u0131 (Salts) Ak\u0131ll\u0131ca Y\u00f6netmek<\/h3>\n
\n
\u015eifre Politikalar\u0131 ve Kullan\u0131c\u0131 E\u011fitimi<\/h3>\n
\n
Veritaban\u0131 G\u00fcvenli\u011fi \u00d6nlemleri<\/h3>\n
\n
Gereksiz \u015eifre Saklamaktan Ka\u00e7\u0131nmak<\/h3>\n
\n
Uzman \u0130pucu: \u015eifreleme Anahtarlar\u0131n\u0131z\u0131 ve Veritaban\u0131 Ba\u011flant\u0131 Bilgilerinizi G\u00fcvende Tutun<\/h3>\n
Vaka Analizi: B\u00fcy\u00fck Bir Veri \u0130hlali Sonras\u0131 Al\u0131nan Dersler<\/h2>\n
Senaryo: \"SosyalPayla\u015f\" Platformunun D\u00fcz Metin \u015eifre Felaketi<\/h3>\n
Sonu\u00e7lar ve Y\u0131k\u0131c\u0131 Etkiler:<\/h3>\n
\n
Al\u0131nan Dersler:<\/h3>\n
\n
Sonu\u00e7<\/h2>\n
S\u0131k\u00e7a Sorulan Sorular<\/h3>\n