Hash'lere Daha Yakından Bakmak: Fonksiyonlar, Algoritmalar ve Uygulamalar
Türevsel şifre yöneticisi nedir?
Günümüzün dijital dünyasında parola güvenliği her zamankinden daha önemlidir. Siber suçlular hesaplarımıza erişmek ve verilerimizi çalmak için sürekli yeni yollar aradıklarından, kendinizi korumanın en iyi yollarından biri her hesap için güçlü ve benzersiz parolalar kullanmaktır.
Ancak, tüm hesaplarımız için güçlü ve benzersiz parolaları hatırlamak zor olabilir. Bu nedenle parola yöneticilerinin kullanımı giderek daha popüler bir çözüm haline gelmektedir. Genel olarak, geleneksel bir parola yöneticisindeki kimlik doğrulama verileri hem kullanıcıyı hem de parolayı, ana parola ile şifrelenmiş tek bir veri kümesine dahil eder. Ana parolanın bilinmesi, geleneksel parola yöneticisi tarafından korunan tüm kimlik doğrulama verilerini ortaya çıkarır ve bu nedenle, tek bir kritik veri parçasını belirlemeye yönelik bir saldırı, feci bir güvenlik ihlaliyle sonuçlanabilir.
LISTHASH, birden fazla kontrol noktası içeren ve kullanıcı kimlik doğrulama verilerinin mutlak gizliliğini garanti eden yeni bir parola yönetimi biçimi uygular. Hash fonksiyonlarını kullanarak, parola oluşturma sürecinde kullanıcı tarafından sağlanan verilerden türetilen güçlü ve güvenli parolalar oluşturmak için gereken mekanizmaları sağlar. Bu nedenle, LISTHASH; temel veriden kaotik ancak deterministik bir şekilde, parola olarak kullanılabilecek kadar karmaşık yeni veriler türettiği için türev parola yöneticisi olarak adlandırılmaktadır.
Ana Tohumdan Parola Türetme Nedir?
Ana tohumdan parola türetme, ana tohum olarak bilinen gizli bir veri kümesinden güvenli ve benzersiz parolalar üretmeye yönelik bir yöntemdir. Ana tohum, bir cümle, bir metin parçası veya bir dizi veri olabilir; tek koşul, saldırganın tahmin etmesini zorlaştıracak kadar uzun ve karmaşık olması, aynı zamanda dijital güvenlik konusunda kapsamlı bilgiye sahip bir kullanıcı tarafından kolayca hatırlanabilir olmasıdır.
Bir ana tohumunuz olduğunda, her hesap için benzersiz parolalar oluşturmak üzere bir hash fonksiyonu kullanabilirsiniz. Daha önce de bahsettiğimiz gibi, hash fonksiyonu, bir girdiyi (bu durumda ana tohum) alıp onu bir çıktıya (bu durumda parola) dönüştüren matematiksel bir fonksiyondur. Hash fonksiyonunun çıktısı, aynı girdi için her zaman aynıdır, ancak çıktıyı girdiye geri çevirmek, yani fonksiyonu tersine çevirmek imkansızdır.
Şifre Oluşturmak İçin Hash'ler Nasıl Çalışır?
Parola oluşturmak için hash kullanmak, kimlik doğrulama verilerini korumanın basit ama etkili bir yoludur. Akılda kalıcı fakat istatistiksel olarak karmaşık bir ifade, anahtar veya veri öğesini, güvenli bir hash işleviyle birleştirerek, verilerinizi siber suçlulardan koruyacak benzersiz ve tahmin edilmesi zor parolalar oluşturabilirsiniz. İzlenecek temel süreç aşağıdaki gibidir:
1. Karmaşık ve güvenli bilgileri temsil eden, ancak hatırlanması kolay ve kullanıcı tarafından kolayca ilişkilendirilemeyen bir ifade, anahtar veya veri öğesi seçin; bu, tohumunuz olacaktır. Örneğin, bir kitap parçası, belirli bir görüntü veya çıplak gözle görülebilen ancak bir saldırgan için belirsiz olan bir veri öğesi.
2. Tohumu, kimlik doğrulama verilerinin alınması için temel ve ara bir yapı taşı işlevi görecek benzersiz bir karma değere dönüştürmek amacıyla SHA-256 gibi bir karma işlev kullanın.
3. Güvenliği artırmak için tuz ekleyin (yani tuzlama yapın). Bu durumda, tuz, hash fonksiyonu ikinci kez uygulanmadan önce tohumla birleştirilen; örneğin bir ana parola gibi gizli bir değerdir ve bir saldırganın nihai oluşturulan parolayı kırmasını daha da zorlaştırır.
4. Son hash fonksiyonunun uygulanmasının sonucunu, tohumdan parola olarak kullanılabilecek bir alfanümerik karakter dizisiyle eşleştirin.
Bir ana tohumdan parola türetmenin herhangi bir riski var mı?
Bir ana tohumdan parola türetmeyi kullanmanın ana riski, ana tohumunuzu kaybetmeniz, hatırlamamanız ya da tohumu tuzlamak için kullanılan verileri unutmanız durumunda hesaplarınıza erişemeyeceğinizdir. Bu nedenle, yalnızca kullanıcı tarafından kolayca hatırlanabilen ancak bir saldırganın belirlemesi imkansız olan bir ana tohum seçmek çok önemlidir.
LISTHASH Kontrol Noktaları
Mutlak gizliliğe ulaşmak ve güçlü, güvenli parolalar üretmek için LISTHASH, türetme sürecinde üç kontrol noktası oluşturur:
1. Tohum: Başlangıçta, yalnızca benzersiz ve güvenli veri sağlamakla kalmayıp, aynı zamanda yönetici tarafından parola üretiminde kullanılacak karakter kümesini de belirleyen bir tohum kullanılır. LISTHASH, uygulama tarafından kabul edilebilmesi için tohumun en az 62 farklı karakter içermesini şart koşar.
2. Hesap Listesi: LISTHASH'te kayıtlı her hesabın benzersiz bir tanımlayıcısı bulunur ve ilgili hizmet verileri, kullanıcı bilgileri ile oluşturulacak parolanın uzunluğu üzerinden temsil edilir. Bu veriler, varsayılan olarak şifrelenir, böylece onları depolayan cihazın dışına aktarılabilir.
3. Gizli Kodlar: Son olarak, kullanıcı parolanın oluşturulması için yalnızca kendisinin hatırlayabileceği gizli kodları girer. Bu kodlar, nihai parola üretimine “tuz” ekleyerek hash fonksiyonlarının sonucunun belirsizliğini artırır.
Önemli: Yukarıdaki kontrol noktalarından herhangi birinde belirli bilgilerin eksik olması, doğru kimlik doğrulama verilerine erişimi imkansız hale getirir. Bu nedenle, yalnızca her bir kontrol noktasında yer alan özel verilerin tam olarak bilinmesi, bir parolanın kurtarılmasına izin verecektir. Bu süreç, kullanıcının kimlik doğrulama verilerini elde etmeye çalışan bir saldırgan için en fazla iki kontrol noktasının ihlal edilmesinin faydasız olmasını sağlar.
Buna ek olarak, geleneksel parola yöneticileri, yalnızca şifre çözme işlemiyle kimlik doğrulama verilerine erişim sağlayan okunabilir bir sonuç ürettiğinden, saldırgana ana parolayı ele geçirdiğine dair açık bir sinyal verir. Öte yandan, LISTHASH kontrol verileri her zaman okunabilir olmakla birlikte, geçersiz kimlik doğrulama değerleri üretir; çünkü her kontrol noktasında yalnızca tam ve doğru veriler, geçerli kimlik doğrulama verileriyle eşleşir. Bu koşullar altında, kaba kuvvet saldırısı, bir hesaba bağlı hizmet üzerinde tüm olası kombinasyonların doğrudan test edilmesini gerektirdiğinden daha da verimsizdir ve böyle bir saldırı, hizmetin izin verilen hataları aşmasıyla hızla azaltılabilir.
LISTHASH ile, yönetici kullanıcı gizliliklerinden vazgeçmek ya da verilerinin güvenliğini hacklenebilir bir bulut hizmetine emanet etmek zorunda kalmaz.