Bu ay üçüncü kez "Şifremi unuttum" bağlantısına tıklıyorsunuz ve site yeni şifrenizi, daha önce kullandığınız için kabul etmiyor. Ya da e-postanızda, bankanızda ve geçen yıl müşteri listesini sızdıran bir alışveriş sitesinde aynı şifreyi kullanıyorsunuz. Şifre yöneticisi iki sorunu birden çözer: her hesap için ayrı ve güçlü bir şifre tutar, size de yalnız onu nasıl açacağınızı hatırlamak kalır.
Bu yazıda şifre yöneticisinin ne olduğunu, şifreleri nasıl şifreleyip doldurduğunu, seçebileceğiniz üç türü ve ne kadar güvenli olduklarını anlatıyoruz. Telefonunuzun ya da tarayıcınızın zaten kaydettiği şifrelerin Google'da ve Apple'da nerede durduğunu da adım adım gösteriyoruz. Yerleşik yöneticilerin adını veriyoruz, çünkü büyük ihtimalle birini zaten kullanıyorsunuz; yazıda bir uygulama sıralaması yok.
Şifre yöneticisi nedir?
Şifre yöneticisi, kullanıcı adlarınızı ve şifrelerinizi genellikle "kasa" (vault) denen şifreli tek bir depoda tutan ve giriş yaparken bunları sizin yerinize yazan yazılımdır. Hiçbir şifreyi ezberlemeniz gerekmediği için her biri uzun, rastgele ve yalnız tek bir sitede kullanılan bir şifre olabilir.
Kasa iki yoldan biriyle açılır. Bağımsız bir uygulama bir ana şifre (master password) ister; bu uzun şifre, artık ezberlemeniz gereken tek şifredir. Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (NCSC) buna birincil şifre diyor. Yerleşik bir yönetici ise zaten kullandığınız hesaplara dayanır: Google'da ya da Apple'da bir kez oturum açarsınız, sonrasında şifreleri telefonunuzun ekran kilidi, parmak iziniz ya da yüzünüz açar.
Asıl amaç, aynı şifreyi birden çok yerde kullanmaya son vermektir. Tek bir şifre birkaç hesabı koruyorsa o sitelerden birindeki sızıntı hepsini açığa çıkarır, çünkü saldırganlar sızan e-posta ve şifre çiftlerini başka sitelerin giriş sayfalarında otomatik olarak dener. Bu saldırıların nasıl yapıldığını Credential Stuffing Nedir? yazısında anlattık.
Şifre yöneticisi nasıl çalışır?
Şifre yöneticisi, kasayı açmaktan içindekileri denetlemeye kadar altı adımda çalışır:
- Kasayı açarsınız. Ana şifreyle ya da hesabınızla oturum açılmış bir cihazın ekran kilidi, parmak izi veya yüz tanımasıyla.
- Kasayı şifreli tutar. Şifreleme, verileri bir anahtarla karıştırır; o anahtar olmadan saklanan kopya okunamaz. Kasanın ne kadar gizli kalacağını anahtarı kimin tuttuğu belirler.
- Kasayı eşitler. Şifreli bir kopya sağlayıcının sunucularına gider; böylece telefonunuz ve bilgisayarınız aynı hesapla oturum açmışsa ikisinde de aynı şifreleri görürsünüz.
- Şifre üretir. Kayıt formunda uzun, rastgele bir şifre önerir ve onu hemen kaydeder. Chrome bu seçeneğe bilgisayarda Güçlü şifre kullan, Android'de Güçlü şifre öner der.
- Şifreyi yalnız doğru sitede doldurur. Her şifre kaydedildiği web adresine bağlıdır. Bankanızın giriş sayfasının benzer bir adresteki kopyasında doldurma önerisi çıkmaz; NCSC'nin otomatik doldurmayı oltalamaya (phishing) karşı bir savunma saymasının nedeni budur.
- Şifreleri denetler. Kayıtlı şifrelerinizi, bilinen veri sızıntılarında yayımlanmış şifrelerle karşılaştırır; zayıf ve birden çok yerde kullanılan şifreleri işaretler.
Kayıtlı bir şifreyi yöneticinin içinde düzenlemek, onu web sitesinde değiştirmez: şifreyi sitede değiştirirsiniz, yönetici de yenisini kaydeder.
Şifre yöneticisi türleri nelerdir?
Üç tür vardır; aralarındaki fark çoğunlukla hangi cihaz ve tarayıcılarda kullanılabildikleridir:
| Tür | Örnekler | Kime uygun? | Dikkat edilecek nokta |
|---|---|---|---|
| Tarayıcıya yerleşik | Chrome'da Google Şifre Yöneticisi, Edge'de Microsoft Parola Yöneticisi | Her cihazda aynı tarayıcıyı kullanana | O tarayıcının hesabına bağlıdır |
| Sisteme yerleşik | Apple Parolalar uygulaması, Android'de Google Şifre Yöneticisi | Tek bir platformun cihazlarını kullanana | Başka markaların cihazlarında ek adım ister |
| Bağımsız uygulama | Her sistem için üçüncü taraf uygulamalar | Karışık cihazlara, aile ya da ekiple paylaşıma | Korunması gereken ayrı bir ana şifre |
NCSC, kendi cihazlarınızda şifreleri tarayıcınızın ya da cihazınızın kaydetmesine izin vermenin güvenli ve en kolay yol olduğunu söylüyor. Farklı tarayıcı ve cihazları bir arada kullanıyorsanız üçüncü taraf yöneticiler işe yarar, çünkü tarayıcının kendi yöneticisi her cihazda bulunmayabilir.
Yerleşik yöneticiler, adlarının düşündürdüğünden daha geniş bir alanda çalışır: Google'a kaydettiğiniz şifreler her tarayıcıda passwords.google.com adresinden açılır, Apple da Windows bilgisayarlar için bir iCloud Parolaları uygulaması sunuyor. Bağımsız bir uygulama seçmeden önce belgelerinden üç şeyi kontrol edin: şifreleme anahtarını kimin tuttuğunu, iki adımlı doğrulamayı destekleyip desteklemediğini ve uygulamayı bırakırsanız verilerinizi dışa aktarıp aktaramayacağınızı.
Şifre yöneticisi güvenli mi?
Çoğu kişi için evet: şifre yöneticisi, aynı şifreyi her yerde kullanmaktan ya da şifreleri bir not uygulamasında tutmaktan çok daha güvenlidir. Ama her şeyi tek bir kapının arkasına koyar; bu yüzden o kapının sağlam olması gerekir.
Kasa, onu açan şey kadar güçlüdür. Ana şifreniz uzun, yeni ve başka hiçbir yerde kullanılmamış olsun; rastgele seçilmiş birkaç kelimeden oluşan bir şifre iyi iş görür. Kasanın arkasındaki hesapta, yani Google Hesabınızda, Apple Hesabınızda ya da uygulamanın kendi hesabında iki adımlı doğrulamayı, yani şifreden sonra telefonunuza gelen bir kod ya da onay gibi ikinci bir kontrolü açın. NCSC'nin deyişiyle böylece birincil şifrenizi bilen bir suçlu bile hesaba giremez.
Şifreleme anahtarını kimin tuttuğu önemlidir. Apple, iCloud Anahtar Zinciri'ndeki parolaların standart veri korumasında bile uçtan uca şifrelendiğini belirtiyor: anahtarlar Apple'da bulunmaz, hesabınıza erişimi kaybederseniz şirket bu verileri kurtarmanıza yardım edemez.
Google Şifre Yöneticisi ise kayıtlı şifreleri hem aktarım sırasında hem de sunucularında şifreleyerek korur, ama varsayılan olarak anahtar Google Hesabınızda durur; Google, passwords.google.com sayfası ve Şifre Güvenliği kontrolü için şifreleri bu anahtarla açar. İsteğe bağlı cihaz üzerinde şifreleme özelliğinde ise anahtar sizde kalır. Google bu özelliğin bir kez kurulduktan sonra kaldırılamayacağı ve anahtarı kaybederseniz şifrelerinizi de kaybedebileceğiniz konusunda uyarıyor. Pek çok bağımsız uygulama da kasayı ana şifrenizden türetilen bir anahtarla şifrelediğini, bu yüzden şirketin kasanızı okuyamadığını söylüyor.
Sağlayıcının ihlale uğraması kasanın sonu değildir. Şirketin sunucularına sızılırsa saldırganın eline şifreli kasalar geçer. Uzun bir ana şifre onları kilitli tutar; kısa bir ana şifre ise saldırganın kendi bilgisayarlarında, hiçbir giriş sınırının yavaşlatmadığı denemelerle tahmin edilebilir. Sağlayıcınız bir ihlal duyurursa önce ana şifrenizi, sonra en önemli hesaplarınızın şifrelerini değiştirin.
Kötü amaçlı yazılım bulaşmış bir cihazda hiçbir kasa işe yaramaz. Kilidi açık bir bilgisayarda ya da telefonda çalışan kötü amaçlı yazılım, yazdıklarınızı ve yöneticinin doldurduğu şifreleri okuyabilir. NCSC, tarayıcıda saklanan şifrelerin ancak cihazlarınız ve hesaplarınız kadar güvenli olduğunu hatırlatıyor. Otomatik güncellemeleri açık tutun ve ortak kullanılan ya da herkese açık bir bilgisayara asla şifre kaydetmeyin.
Kayıtlı şifrelerim nerede? Google ve Apple
Chrome'un ya da Android telefonunuzun kaydettiği şifreler Google Şifre Yöneticisi'nde, iPhone, iPad veya Mac'te kaydedilenler ise Apple'ın Parolalar uygulamasında durur; aşağıdaki yollar her birini açar.
Bilgisayarda Chrome
Chrome'u açın ve sağ üstteki Diğer (üç nokta) > Şifreler ve otomatik doldurma > Google Şifre Yöneticisi yolunu izleyin. Şifreler bölümünden bir site seçin ve şifreyi görmek için göz simgesine, yani Şifreyi göster'e tıklayın. Chrome'da oturum açmadan kaydedilen şifreler yalnız o bilgisayarda kalır; aradaki farkı Google'ın Chrome yardım sayfası anlatıyor.
Android telefon
Chrome'da Diğer > Ayarlar > Otomatik doldurma ve şifreler > Google Şifre Yöneticisi'ne dokunun. Chrome kullanmıyorsanız Ayarlar uygulamasını açıp Şifre Yöneticisi diye aratın. Telefonunuza Google Şifre Yöneticisi uygulamasını kurduysanız o da yalnızca Google Hesabınızdaki aynı listeye açılan bir kısayoldur.
Her tarayıcıdan: passwords.google.com
passwords.google.com adresine gidip Google Hesabınızla oturum açın. Bu hesaba kaydedilmiş şifreleri ve geçiş anahtarlarını, iPhone'daki Safari dahil her tarayıcıdan görürsünüz.
e-Devlet şifrenizi Chrome'a kaydettiyseniz listede "turkiye" diye aratarak bulabilirsiniz. e-Devlet Kapısı'nın şifre politikası, şifrenin hiçbir yere yazılmamasını ve kimseyle paylaşılmamasını istiyor; bu yüzden şifreyi tarayıcıda tutuyorsanız kasayı açan Google Hesabınızın da iki adımlı doğrulamayla korunduğundan emin olun.
iPhone ve iPad
iOS 18 ve sonraki sürümlerde Parolalar uygulamasını açın ve Face ID, Touch ID ya da cihaz parolanızla giriş yapın; ardından Tümü'nü seçip web sitesine ya da uygulamaya dokunun. iOS 17 ve öncesinde Ayarlar > Parolalar yolunu izleyin. Bir kayıt görünmüyorsa Apple'ın rehberi Silinenler'e bakmanızı ve iCloud Anahtar Zinciri'nin açık olduğundan emin olmanızı öneriyor.
Mac
macOS Sequoia'da Parolalar uygulamasını açın ve Touch ID ya da kullanıcı parolanızla giriş yapın. macOS Sonoma ve öncesinde Apple menüsü > Sistem Ayarları > Parolalar yolunu izleyin ya da Safari'de Ayarlar > Parolalar'ı seçin.
Microsoft Edge
Edge'de sağ üstteki üç noktayı seçin ve Ayarlar > Parolalar ve otomatik doldur > Microsoft Parola Yöneticisi yolunu izleyin, ardından şifrenin yanındaki oka ve göz simgesine tıklayın. Bu özellik kişisel bir Microsoft hesabı profiliyle çalışır; Windows önce cihaz PIN'inizi ya da parolanızı sorabilir.
Geçiş anahtarları (passkey) nerede saklanır?
Geçiş anahtarları, şifrelerinizle aynı şifre yöneticisinde durur. Şifrenin yerini alan bu giriş anahtarının gizli yarısı cihazınızda kalır; cihazınız onu yalnız oluşturulduğu siteye sunar, bu yüzden sahte bir sayfaya yazılacak hiçbir şey yoktur. Google Şifre Yöneticisi, Apple'ın Parolalar uygulaması ve Microsoft Parola Yöneticisi geçiş anahtarlarını saklar ve cihazlarınız arasında eşitler.
NCSC artık, site sunuyorsa ilk tercih olarak geçiş anahtarını, sunmuyorsa iki adımlı doğrulamayla korunan güçlü ve benzersiz bir şifreyi öneriyor. Geçiş anahtarının kopya bir giriş sayfasına neden verilemediğini Phishing (Oltalama) Nedir? yazısında anlattık.
Şifre kontrolü ve ihlal uyarıları nasıl çalışır?
Şifre kontrolü, kayıtlı şifrelerinizi bilinen veri sızıntılarında yayımlanmış şifrelerle karşılaştırır ve zayıf ya da birden çok yerde kullanılan şifreleri işaretler; siz de işaretlenen her şifreyi kendi sitesinde değiştirirsiniz.
- Chrome: Diğer > Şifreler ve otomatik doldurma > Google Şifre Yöneticisi > Kontrol. Chrome siz gezinirken de uyarabilir; ayar Ayarlar > Gizlilik ve güvenlik > Güvenlik > Standart koruma altında, Bir şifre, veri ihlalinde açığa çıkarsa uyarı alın adıyla durur.
- Her tarayıcıdan: passwords.google.com > Şifre Güvenliği'ne git > Şifreleri kontrol et.
- iPhone: Parolalar uygulamasının Güvenlik bölümü. Sızan şifre uyarıları Ayarlar > Uygulamalar > Parolalar > Riskli Parolaları Sapta ile açılır.
İşaretlenen şifreyi önce gerçek sitede, sonra aynı şifreyi kullandığınız her yerde değiştirin. Uyarı, verilerinizi sızdıran bir hizmetin adını veriyorsa banka hesap dökümlerinden ardından gelen oltalama iletilerine kadar diğer adımları Veri İhlali Nedir? yazısında bulabilirsiniz.
Proxy ve API şifreleri nerede saklanmalı?
İş için kullanılan kimlik bilgilerinin yeri de kasadır; üstelik ortalıkta en çok bırakılanlar bunlardır. Bir proxy'nin kullanıcı adı ve şifresi çoğu zaman ortak bir tabloya, bir sohbet mesajına ya da bir betiğin (script) kaynak koduna yazılır; dosyayı açabilen herkes de onu kopyalayabilir. Bu bilgiyi ekibinizin şifre yöneticisinde tutun, betiklerin de onu kodun dışında duran bir ayardan, yani bir ortam değişkeninden okumasını sağlayın. Bir araç şifre saklayamıyorsa IP whitelist (izinli IP listesi) ile doğrulama şifre ihtiyacını ortadan kaldırır: ISP Proxy dahil her Proxynet ürünü, ya username:password (kullanıcı adı ve şifre) ya da en fazla 10 IP adresinden oluşan bir izin listesi kabul eder.
Şifre yöneticisiyle nerelerde karşılaşırsınız?
Oturum açtıktan sonra tarayıcınızın gösterdiği "Şifre kaydedilsin mi?" sorusunda. Telefonunuzda bir giriş ekranında, klavyenin üstünde beliren önerilerde. Bir kayıt formunda, güçlü bir şifre kullanma önerisi olarak. Kayıtlı bir şifrenin bir veri sızıntısında görüldüğünü söyleyen uyarıda. İş yerinde, BT ekibinin yönettiği şirket kasasında. Evde, elektrik ya da doğalgaz aboneliği gibi ortak bir hesabın girişini Google'ın aile grubu paylaşımıyla ya da Apple'ın Paylaşılan Gruplar özelliğiyle ailenizle paylaştığınızda.
Sık yapılan hatalar
- Eski bir şifreyi ana şifre yapmak. Bir kez sızdıysa artık her şeyi açar.
- Kasanın arkasındaki hesapta iki adımlı doğrulamanın kapalı olması. Yerleşik yöneticilerde bu hesap, Google Hesabınız ya da Apple Hesabınızdır.
- Ortak ya da herkese açık bir bilgisayara şifre kaydetmek. Bilgisayarın başına oturan bir sonraki kişi o şifreleri devralır.
- Dışa aktarılan şifre dosyasını diskte bırakmak. Google'ın içe aktarma yardım sayfası, cihazı kullanan herkesin bu dosyayı açıp şifreleri okuyabileceği konusunda uyarıyor; içe aktarma bitince dosyayı silin.
- Şifre kontrolü uyarılarını görmezden gelmek. Sızdığı bildirilen bir şifre, saldırganların kullandığı listelerde zaten yer alıyor demektir.
- Yönetici doldurmayı önermediğinde şifreyi elle yazmak. Tanıdığınızı sandığınız bir sayfada bu sessizlik bir uyarı işaretidir; yazmadan önce adresi kontrol edin.
- Kurtarma kodlarını yalnız kasanın içinde saklamak. Kasaya erişimi kaybederseniz kodları da onunla birlikte kaybedersiniz.
Karar rehberi
| Durumunuz | Ne yapmalısınız? |
|---|---|
| Her cihazda Chrome kullanıyorsunuz | Google Şifre Yöneticisi; Google Hesabınızda 2 Adımlı Doğrulama açık olsun |
| Yalnız Apple cihazları kullanıyorsunuz | iCloud Anahtar Zinciri açıkken Parolalar uygulaması |
| Windows, Android ve Apple cihazlarını birlikte kullanıyorsunuz | Google Şifre Yöneticisi ya da bağımsız bir uygulama |
| Şifreleri ailenizle paylaşıyorsunuz | Google aile grubu paylaşımı ya da Apple Paylaşılan Gruplar |
| Anahtarı yalnız siz tutmak istiyorsunuz | iCloud Anahtar Zinciri, Google'da cihaz üzerinde şifreleme ya da bağımsız bir uygulama |
| Ekip, proxy ya da API girişlerini paylaşıyor | Ortak bir iş kasası; şifre saklayamayan araçlar için IP whitelist |
Sıkça sorulan sorular
Ana şifremi unutursam ne olur?
Bu, anahtarı kimin tuttuğuna bağlıdır. iCloud Anahtar Zinciri'nde ya da Google'ın cihaz üzerinde şifrelemesinde olduğu gibi anahtarı yalnız siz tutuyorsanız şirket kasanızı sizin için sıfırlayamaz; bu yüzden kurtarma seçeneklerini ihtiyacınız olmadan önce ayarlayın. Apple, verilere cihaz parolanızla, bir kurtarma kişisiyle ya da bir kurtarma anahtarıyla yeniden erişmenize izin verir. Bu ek katman olmayan yerleşik yöneticilerde Google Hesabınızı kurtarmak şifrelerinizi de geri getirir; NCSC de pek çok bağımsız uygulamanın şifre ipuçları ya da güvenilir bir kişi üzerinden acil erişim sunduğunu belirtiyor.
Tarayıcının şifre yöneticisi yeterli mi?
Kendi cihazlarınızda çalıştığı ve arkasındaki hesapta iki adımlı doğrulama açık olduğu sürece pek çok kişi için yeterlidir. Tarayıcılar ve sistemler arasında sık geçiş yapıyorsanız ya da şifreleri bir ekiple paylaşmanız gerekiyorsa bağımsız bir uygulama değerlendirilmeye değer.
Şifre yöneticisi hacklenebilir mi?
Her yazılım gibi saldırıya uğrayabilir, ama sağlayıcının sunucularına ulaşan kişinin eline uzun bir ana şifrenin kapalı tuttuğu şifreli kasalar geçer. Asıl risk kendi cihazınızdır: kötü amaçlı yazılım, şifreleri doldurulurken okuyabilir. Bu yüzden cihazınızı güncel tutun ve ihlal bildirimlerinin gereğini yapın.
Google Şifre Yöneticisi PIN'i nedir?
Bilgisayarda, iPhone'da ya da iPad'de ilk geçiş anahtarınızı kaydettiğinizde Google Şifre Yöneticisi'nin oluşturduğu bir PIN'dir. Geçiş anahtarlarınızı yeni bir cihazda kullanmak için bu PIN'i girersiniz; Google'a göre PIN, Google dahil hiç kimsenin şifrelenmiş verilerinize erişememesini sağlar. Değiştirmek ya da sıfırlamak için Chrome'da Google Şifre Yöneticisi > Ayarlar > Google Şifre Yöneticisi PIN'ini değiştir yolunu izleyin.
Şifre yöneticisi, şifreleri deftere yazmaktan daha mı iyi?
Genellikle evet. NCSC bazı durumlarda defteri de kabul edilebilir buluyor; örneğin hesaplarınızı yönetmenize bir yakınınız yardım ediyorsa. Koşulu, şifrelerin güçlü olması ve defterin yalnız güvendiğiniz kişilerin ulaşabileceği bir yerde durmasıdır. Ama defter, yazmadan önce sitenin adresini kontrol edemez, sızan şifreler için sizi uyaramaz ve 20 karakterlik bir şifreyi hatasız dolduramaz.
Geçiş anahtarı kullanıyorsam şifre yöneticisine yine de ihtiyacım var mı?
Evet. Geçiş anahtarları zaten bir şifre yöneticisinde saklanır, birçok site de hâlâ şifre istiyor ya da geçiş anahtarının yanında yedek olarak şifreyi tutuyor. Yönetici ikisini tek yerde tutar ve diğer cihazlarınıza eşitler.
Özet
Şifre yöneticisi, her hesap için güçlü ve farklı bir şifreyi şifreli bir kasada tutar ve onu yalnız ait olduğu sitede doldurur. Kapısı sağlamsa güvenlidir: uzun bir ana şifre ya da iyi korunan bir Google veya Apple Hesabı, iki adımlı doğrulama ve güncel bir cihaz. Büyük ihtimalle birini zaten kullanıyorsunuz: Chrome'da, Android'de ve passwords.google.com adresinde Google Şifre Yöneticisi, iPhone'da ve Mac'te Parolalar uygulaması. Şifre kontrolünü bugün çalıştırın ve işaretlediği şifreleri değiştirin. Ekibiniz proxy girişlerini de yönetiyorsa bu girişlerin ait olduğu ürünleri proxy hizmetleri sayfamızda karşılaştırabilirsiniz.
