🧐 Siber Güvenlikte Doğru Bilinen Yanlışlar #5 — "Sık Sık Şifre Değiştirmek Güvenliği Artırır" Şehir Efsanesi Herkese Selamlar, Bugün sizlerle birlikte siber güvenlik dünyasında herkesin aydan aya değişiklik yaptığı, zamanla tam bir şehir efsanesine dönüşen o konuyu ele alıyoruz: (30-90 Günde Bir) Zorunlu Şifre Değişikliği. Ekranınızda beliren "Şifrenizin süresi doldu, lütfen yeni bir şifre belirleyin" uyarısı gerçekten sistemleri daha mı güvenli yapıyor, yoksa bizi saldırganların kucağına mı itiyor? Gelin, insan psikolojisini ve güvenlik standartlarının arkasındaki gerçekleri adım adım inceleyelim: İnsan Psikolojisi ve Tahmin Edilebilirlik: Şirketler kullanıcıları her 3 ayda bir şifre değişikliğine zorladığında, insanlar sıfırdan zor bir şifre oluşturmak yerine var olan şifrenin üzerine eklemeler yapar. Örneğin Sonbahar2026! olan bir şifreyi Sonbahar2026!! yaparak aslında kendilerini saldırganların açık hedefi haline getirirler. Peki NIST Bu Konuda Ne Diyor? (Ezber Bozan Standart): ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), dijital kimlik kılavuzunda (SP 800-63B) periyodik zorunlu şifre değişimini resmen kural dışı bıraktı. NIST; şüpheli bir durum veya ihlal olmadığı sürece kullanıcının periyodik olarak şifre değişikliği yapmaması gerektiğini açıkça belirtiyor. Uzunluk mu, Karmaşıklık mı? (Passphrase Mantığı): Sık şifre değiştirmek insanları kolay ve basit kalıplara iter. Tr0P@k! gibi 8 karakterli "karmaşık" bir şifre, PapatyaCayiIcerkenSiberGuvenlik2026! gibi uzun bir Parola Cümlesinden (Passphrase) çok daha hızlı kırılır. Parola güvenliğinde uzunluk ve tahmin edilmesi zor olması önemlidir. Uzun bir parola cümlesi güçlü olabilir; ancak yaygın veya kolay tahmin edilebilir ifadelerden oluşuyorsa uzunluğu tek başına yeterli değildir. Saldırganlar Açısından Gerçekler: Bir saldırgan veritabanı sızıntısıyla şifrenizin karmasını (hash) ele geçirdiyse,Saldırgan, ele geçirdiği parola karmasını çevrim dışı ortamda kırmayı hemen deneyebilir; 90 günlük değişim süresinin dolmasını beklemesi gerekmez. 📌 Siber Güvenlik Dersi: İnsan psikolojisiyle savaşan hiçbir güvenlik politikası başarılı olamaz. Kullanıcıları sürekli şifre değiştirmeye zorlamak güvenliği artırmaz; aksine kullanıcıları daha zayıf ve tahmin edilebilir şifre kalıplarına yönlendirir. Peki Doğru Yaklaşım Nasıl Olmalı? Zorunlu Periyodik Değişimi Kaldırın: Şifreler sadece bir ihlal, sızıntı veya şüpheli erişim tespiti durumunda değiştirilmelidir. Passphrase (Parola Cümlesi) Teşvik Edilmeli: Kullanıcılara anlamsız karakter birleşimleri yerine uzun, akılda kalıcı cümleler kullanması öğretilmelidir. MFA ve Parola Yöneticileri (Password Manager): Güvenliğin temeli insan hafızasına değil; Çok Faktörlü Kimlik Doğrulamaya (MFA) ve her site için benzersiz şifre üreten parola yöneticilerine dayanmalıdır. “Güvenli parola, takvim geldiği için değil; ele geçirildiğinde veya güvenlik riski tespit edildiğinde değiştirilir.” 💬 Mustafa soruyor: Çalıştığınız kurumda veya kullandığınız sistemlerde hâlâ "30-90 günde bir şifre değiştir" kuralı uygulanıyor mu? Eski şifrenizin sonuna bir ünlem veya rakam ekleyip yola devam edenlerden misiniz? Yorumlarda buluşalım! 👇