Siber Güvenlik
Modern şifre politikası: NIST bugün şirketlere ne öneriyor?
Karmaşık kurallar ve 90 günde bir zorunlu değişiklik, zayıf ve tahmin edilebilir şifrelere yol açar. Güncel NIST önerilerinin ne söylediğini ve bunları şirketinizde nasıl uygulayacağınızı anlatıyoruz.
Q-entra Editör EkibiYayın tarihi 5 dk okuma
İçindekiler
Kısaca
- Uzunluk karmaşıklıktan daha önemlidir: Güncel NIST kılavuzu, tek başına kullanılan şifreler için en az 15 karakter ister ve belirli karakter türlerini zorunlu tutmaz.
- Şifreler sabit bir takvime göre değil, yalnızca ele geçirildiğine dair bir belirti olduğunda değiştirilir.
- Yeni şifreler yaygın, tahmin edilebilir ve sızdırılmış şifre listelerine karşı kontrol edilir.
- Şifre yöneticileri ve otomatik doldurma desteklenmeli, yapıştırmaya da izin verilmelidir. Benzersiz şifreleri gerçekçi kılan, kurumsal bir şifre yöneticisidir.
- MFA, ayrı yönetici hesapları ve belgelenmiş servis hesapları politikayı tamamlar.
Modern bir şifre politikası nasıl görünür?
Birçok şirketin politikası hâlâ 2000'lerin başından kalma kurallara dayanıyor: en az sekiz karakter, büyük ve küçük harf, bir rakam, bir özel karakter ve her 90 günde bir yeni şifre. Bu kurallar katı görünür, ancak pratikte mevsim adı ile yılın birleştirildiği tahmin edilebilir şifrelere, klavyenin altına yapıştırılan notlara ve bıkkın çalışanlara yol açar.
ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), önerilerini güncel revizyonu 2025'te yayımlanan SP 800-63B kılavuzunda açıklar. Kılavuz ABD federal kurumları için yazılmış olsa da dünya genelinde birçok kuruluş tarafından referans olarak kullanılır. Temel mesajlar şunlardır: karmaşıklık yerine uzunluk, sebepsiz değişiklik yapmamak, bilinen şifrelere karşı kontrol, şifre yöneticilerine destek ve önemli erişimler için ek bir faktör.
Uzunluk karmaşıklığı yener
Bir şifre ne kadar uzunsa tahmin edilmesi veya kırılması o kadar zordur. Güncel NIST revizyonuna göre tek faktör olarak kullanılan şifreler en az 15 karakter uzunluğunda olmalıdır. Yalnızca ikinci bir faktörle birlikte kullanılıyorsa alt sınır 8 karakterdir. Sistemler en az 64 karakteri kabul etmeli ve boşluk dahil tüm yazdırılabilir karakterlere izin vermelidir.
Buna karşılık kılavuz, belirli karakter türlerini zorunlu kılan kurallara açıkça izin vermez. Bu kurallar güvenliği pek artırmaz, çünkü insanlar hep aynı kalıplarla karşılık verir: başta bir büyük harf, sonda bir rakam ve bir özel karakter. Saldırganlar bu kalıpları bilir ve önce onları dener.
Şifre cümleleri: Uzun ve akılda kalıcı
Bir şifre cümlesi (passphrase), birbiriyle ve kişiyle ilgisi olmayan dört veya beş rastgele kelimeden oluşur. Uzundur, kolay yazılır ve karmaşık bir karakter dizisinden daha kolay hatırlanır. Şarkı sözleri, bilinen alıntılar veya şirket adı uygun değildir, çünkü bunlar saldırganların kelime listelerinde yer alır. Şirketler için pratik bir öneri: tüm hesaplar için tek bir alt sınır olarak 15 karakter. Bu, kuralları basit tutar ve NIST'in daha sıkı şartını da karşılar.
Sebepsiz zorunlu şifre değişikliğine son
Düzenli zorunlu değişiklikler mantıklı görünür, ancak çoğu zaman ters etki yapar. Her üç ayda bir yeni şifre bulmak zorunda kalan kişi genellikle yalnızca sondaki rakamı değiştirir; eski şifreyi bilen biri de yenisini kolayca tahmin eder. Bu nedenle NIST periyodik zorunlu değişikliklere izin vermez ve bunun yerine şifrenin ele geçirildiğine dair bir belirti olduğunda değiştirilmesini şart koşar. Hemen değişiklik gerektiren tipik durumlar şunlardır:
- Şifre, bilinen bir veri sızıntısında veya bir sızıntı bildiriminde yer alıyor.
- Birisi şifreyi şüpheli bir oltalama sayfasına girmiş.
- Şifrenin kullanıldığı bir cihazda zararlı yazılım bulunmuş.
- Ortak kullanılan bir şifreyi, şirketten ayrılan biri biliyor.
Yeni şifreleri yasaklı şifre listelerine karşı kontrol edin
Şifre yaygın kullanılan bir şifreyse, uzunluk tek başına yeterli değildir. Bu nedenle güncel öneriler, yeni şifrelerin yaygın kullanılan, tahmin edilebilir veya ele geçirilmiş şifrelerden oluşan bir listeyle karşılaştırılmasını şart koşar. Buna bilinen veri sızıntılarından gelen şifreler, sözlük kelimeleri, 123456 gibi basit diziler ve şirket adı, hizmetin adı veya kullanıcı adı gibi bağlama ait terimler dahildir.
Microsoft ortamlarında Microsoft Entra Password Protection bu görevin bir kısmını üstlenir ve şirkete özgü terimleri de engelleyebilir. Politikaya başka kurallar da girmelidir: Başarısız giriş denemeleri sınırlanır; şifre ipuçları ve ilk evcil hayvanın adı gibi güvenlik soruları kullanılmaz, çünkü cevaplar çoğu zaman sosyal medyada bulunabilir.
| Eski kural | Güncel öneri |
|---|---|
| Büyük harf, rakam ve özel karakter karışımı | Uzunluk önemli, tek faktörde en az 15 karakter |
| Her 90 günde bir değişiklik | Yalnızca ele geçirilme belirtisinde değişiklik |
| Şifre alanında yapıştırma engelli | Yapıştırmaya ve şifre yöneticilerine izin var |
| Güvenlik soruları ve şifre ipuçları | İpucu yok, güvenlik sorusu yok |
| Seçilen şifre kontrol edilmiyor | Yaygın ve sızdırılmış şifrelerle karşılaştırma |
| Tek başına şifre yeterli | E-posta, uzaktan erişim ve yöneticiler için MFA |
Şirkette şifre yöneticisine geçiş
Onlarca hizmet için uzun ve benzersiz şifreler ancak bir şifre yöneticisiyle gerçekçidir. Bu nedenle NIST, sistemlerin şifre yöneticilerine ve otomatik doldurmaya izin vermesini şart koşar, şifre alanına yapıştırmaya da izin verilmesini önerir. Şirketler, her çalışanı kişisel bir araçla veya tarayıcıyla baş başa bırakmak yerine merkezi yönetime sahip kurumsal bir çözüm kullanmalıdır. Şu özelliklere dikkat edin:
- Kullanıcıların ve grupların merkezi yönetimi, ideal olarak şirket dizinine bağlı
- Ekipler için net yetkilere sahip ortak kasalar
- Şifre yöneticisinin kendisine erişim için MFA
- Unutulan ana şifreler ve ayrılan çalışanlar için bir kurtarma süreci
- Veri konumu, şifreleme ve GDPR hakkında açık bilgiler
Geçişin kendisi için şu sıralamayı öneriyoruz:
- Bir araç seçin ve neyin nerede saklanacağını belirleyin.
- Yönetimi, kurtarma sürecini ve ortak kasaları kurun.
- BT ekibi ve bir departmanla pilot uygulama yapın.
- Çalışanları ana şifre cümlesi, şifre oluşturucu ve otomatik doldurma konusunda eğitin.
- Tarayıcılardaki, tablolardaki ve notlardaki şifreleri aktarın, ardından eski kopyaları silin.
- İşten ayrılma sürecine dahil edin: erişimleri kaldırın ve kişinin bildiği ortak şifreleri değiştirin.
Yönetici ve servis hesapları
Yönetici hesapları için daha sıkı kurallar geçerlidir, çünkü tek bir hesabın ele geçirilmesi tüm şirketi etkiler. Yöneticiler, yönetim görevleri için ayrı bir hesap, e-posta ve internet kullanımı için ise normal bir hesap kullanır; her ikisi de MFA ile korunur, yönetici hesabı mümkünse oltalamaya dayanıklı yöntemlerle. Windows bilgisayarlardaki yerel yönetici şifreleri her cihazda farklı olmalıdır. Windows LAPS bunları otomatik olarak oluşturur ve değiştirir. Bu, zorunlu değişikliğe karşı kuralla çelişmez, çünkü bu şifreleri kimsenin ezberlemesi gerekmez.
Uygulamaların, yedekleme sistemlerinin veya belge tarayıcılarının kullandığı servis hesapları çoğu zaman unutulur ve sıklıkla geniş yetkilere sahiptir. Bu hesaplar için şunlar geçerlidir:
- Şifre yöneticisinde saklanan, betiklerde asla düz metin olarak yer almayan uzun ve rastgele oluşturulmuş şifreler
- Yalnızca hizmetin gerçekten ihtiyaç duyduğu yetkiler ve etkileşimli oturum açmanın kapalı olması
- Adı belli bir sorumlu kişi ve hesabın nerede kullanıldığına dair belgeler
- Şifreyi bilen biri ayrıldığında veya en ufak bir şüphede şifre değişikliği
- Mümkünse şifresini otomatik olarak değiştiren yönetilen servis hesapları, örneğin Active Directory'de gMSA
MFA: İkinci savunma hattı
Uzun ve benzersiz bir şifre bile ikna edici bir oltalama sayfası veya zararlı yazılım yoluyla çalınabilir. Bu nedenle modern bir politika yalnızca şifrelere güvenmez. E-posta, uzaktan erişim, bulut hizmetleri ve tüm yönetici hesapları için MFA zorunlu olmalıdır. Hangi yöntemlerin hangi rollere uygun olduğunu ve geçişi nasıl planlayacağınızı çok faktörlü kimlik doğrulamaya geçiş rehberimizde bulabilirsiniz.
Sonuç: Tek sayfada modern bir şifre politikası
- En az 15 karakter, şifre cümleleri özellikle tercih edilir
- Zorunlu karakter türleri ve sabit bir değişiklik aralığı yok
- Her ele geçirilme belirtisinde hemen değişiklik
- Yaygın, sızdırılmış ve şirkete özgü şifrelerle karşılaştırma
- Herkes için MFA ile korunan kurumsal bir şifre yöneticisi
- Ayrı yönetici hesapları ve belgelenmiş servis hesapları
Böyle bir politikaya uymak çalışanlar için daha kolaydır ve aynı zamanda eski kurallardan daha güvenlidir. En iyi sonucu teknik önlemler ve eğitim birlikte ele alındığında verir; örneğin düzenli güvenlik farkındalığı eğitimleriyle. Politikanızı güncellemek ve teknik ayarları hayata geçirmek isterseniz Q-entra, siber güvenlik hizmeti kapsamında size destek olur.
