Ders 4.71: Sızmış parolalar, parola cümleleri ve parola yöneticileri
Ele geçirilmiş web sitelerinden milyarlarca gerçek parola sızdı ve saldırganlar onları her yerde deniyor. Bir kurala göre 'güçlü görünen' (büyük harf, rakam, sembol) bir parola yine de her saldırganın listesinde olabilir. NIST SP 800-63B gibi modern rehberler şunu söyler: uzun parola cümleleri, zorunlu dönemsel değişiklik yok ve yeni parolaları sızmış listelerle karşılaştırmak. Laboratuvarda bir parolayı Have I Been Pwned'in yaptığı gibi, parolayı hiçbir yere göndermeden sızmış bir parola listesiyle karşılaştırıyor, sonra bir parola cümlesi kuruyor ve bir parola yöneticisinin tüm bunları neden uygulanabilir kıldığını görüyorsun.
16 dk
Bu derste öğreneceklerin
- Kimlik bilgisi doldurmayı ve yeniden kullanımın neden tehlikeli olduğunu açıklamak
- Bir parolayı açığa çıkarmadan sızmış bir listeyle karşılaştırmak (k-anonimlik)
- Güncel parola rehberini açıklamak (uzunluk, zorunlu değişiklik yok)
- Uzun bir parola cümlesi kurmak
- Bir parola yöneticisinin neyi çözdüğünü açıklamak
Temel terimler
- Kimlik bilgisi doldurma
- Bir siteden sızmış kullanıcı adı/parola çiftlerini birçok başka sitede denemek.
- Sızmış parola listesi
- İhlallerde açığa çıkmış gerçek parolalardan oluşan, saldırganların ve savunanların kullandığı koleksiyon.
- k-anonimlik
- Yalnızca birçok değerin paylaştığı bir özet önekini göndermek; böylece hizmet hangisinin senin olduğunu bilemez.
- Parola cümlesi
- Birkaç rastgele sözcükten oluşan uzun parola.
- Parola yöneticisi
- Her site için benzersiz bir parola üreten, saklayan ve dolduran şifreli bir kasa.
- NIST SP 800-63B
- Dijital kimlik üzerine ABD rehberi: uzunluğu, sızmış liste denetimini ve zorunlu dönemsel değişikliğin olmamasını önerir.
← Kapanış: mağazayı değerlendirmek ve sağlamlaştırmak · Tüm dersler · Üçüncü taraf riski →