Parola politikanız hâlâ büyük harf, simge ve 90 günde bir değişiklik istiyor olabilir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) bu üçünden de vazgeçti. NIST’in güncel kılavuzu SP 800-63B-4, 2025’te son hâlini aldı ve SP 800-63B’nin 2020 baskısının yerini aldı.
NIST bu kılavuzları ABD federal sistemleri için yazar, ancak her kurum için yararlı bir başvuru kaynağıdır. Aşağıda ne söylediklerini ve nasıl uygulanacaklarını bulabilirsiniz.
SP 800-63B-4’teki parola kuralları
Bölüm 3.1.1.2, parolaları kontrol eden sistemlere yönelik şartları belirler. NIST zorunluluklar için SHALL (-malıdır), öneriler için SHOULD (-malı, önerilir) ifadesini kullanır.
| Konu | NIST ne diyor |
|---|---|
| Asgari uzunluk, yalnızca parola | SHALL: en az 15 karakter |
| Asgari uzunluk, MFA’nın parçası olarak parola | SHALL: en az 8 karakter |
| Azami uzunluk | SHOULD: en az 64 karaktere izin verilmeli |
| Karakterler | SHOULD: tüm yazdırılabilir ASCII karakterleri, boşluklar ve Unicode kabul edilmeli |
| Karakter kuralları | SHALL NOT: “bir büyük harf, bir rakam, bir simge” gibi kurallar dayatılmamalı |
| Periyodik değişiklik | SHALL NOT: zorunlu tutulmamalı |
| Bilinen ele geçirilme | SHALL: parolanın ele geçirildiğine dair kanıt varsa değişiklik zorunlu tutulmalı |
| Engel listesi | SHALL: yeni parolalar bilinen yaygın, tahmin edilebilir ya da ele geçirilmiş değerlere karşı kontrol edilmeli |
| İpuçları ve güvenlik soruları | SHALL NOT: ipucu saklanmamalı, bilgiye dayalı sorular sorulmamalı |
| Parola yöneticileri | SHALL: parola yöneticilerine ve otomatik doldurmaya izin verilmeli; SHOULD: yapıştırmaya izin verilmeli |
| Başarısız denemeler | SHALL: deneme sayısı sınırlanmalı |
| Kırpma | SHALL: parolanın girildiği hâliyle tamamı kontrol edilmeli |
Eski kurallar neden kalktı
Karakter kuralları ve zorunlu değişiklik sıkı görünür, ancak insanları tahmin edilebilir kalıplara iter. Autumn2026! (Sonbahar2026!) parolasını değiştirmek zorunda kalan bir kullanıcı pekâlâ Winter2026! (Kış2026!) seçebilir; eski parolayı ele geçirmiş bir saldırgan da yenisini tahmin edebilir.
NIST bunun yerine uzunluğa ve bir engel listesine dayanır. Uzun bir parola cümlesini hatırlamak, kısa ve rastgele bir diziyi hatırlamaktan daha kolaydır. Parola değiştirmek ancak parola sızdıktan sonra işe yarar; bu yüzden NIST değişikliği takvime değil, ele geçirilme kanıtına bağlar.
Gerçek filtre olarak karakter kurallarının yerini engel listesi alır. Liste, saldırganların ilk denediği parolaları reddeder: yaygın seçimleri, kurumunuzla ilişkili kelimeleri ve sızıntılarda daha önce görülmüş parolaları.
Sızmış parolalara karşı kontrol
Have I Been Pwned’ın “Pwned Passwords” servisi, bir parolayı göndermeden sızıntı verilerine karşı kontrol etmenizi sağlar. Sisteminiz parolanın SHA-1 hash değerini hesaplar ve bu değerin yalnızca ilk beş karakterini gönderir. Servis, bu beş karakterle başlayan tüm hash sonlarını bir sayaçla birlikte döndürür; karşılaştırmayı siz yerelde yaparsınız.
# SHA-1 of "password" is 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
curl -s -H "Add-Padding: true" https://api.pwnedpasswords.com/range/5BAA6Yukarıdaki yorum satırı, “password” kelimesinin SHA-1 hash değerini gösterir. k-anonimlik adı verilen bu yaklaşım sayesinde servis hangi parolayı kontrol ettiğinizi hiçbir zaman öğrenmez. Tipik bir yanıt birkaç yüz hash sonu içerir; Add-Padding başlığı da gerçek yanıt boyutunu trafiği izleyen herkesten gizler. Parola aralığı (range) araması için API anahtarı gerekmez.
Bu kontrolü parola belirleme ve değiştirme ekranlarına ekleyin. Active Directory ortamlarında, etki alanı parola değişikliklerine sızmış parola listesi uygulayan araçlara göz atın.
İnsanların parola yöneticisi kullanmasına izin verin
NIST, doğrulayıcıların parola yöneticilerine ve otomatik doldurmaya izin vermesini şart koşar. Bu mantıklıdır: parola yöneticisi uzun ve benzersiz parolaları kullanılabilir kılar ve parolayı yalnızca kaydedildiği alan adında doldurur. Oturum açma formlarında yapıştırmayı engellemek bunun önüne geçer.
Çalışanlar için, kişilerin kendi araçlarını seçmesine bırakmak yerine kurumsal bir parola yöneticisi sağlayın. Parola yöneticisinin kendisini güçlü bir ana parola cümlesi ve oltalamaya dayanıklı MFA ile koruyun.
Her MFA eşit değildir
İkinci bir faktör olduğunda çalınmış bir parola tek başına artık yeterli olmaz, ancak bazı yöntemler yine de oltalamayla aşılabilir. Saldırganın sahte oturum açma sayfası bir kod isteyip onu gerçek zamanlı olarak iletebilir. NIST oltalamaya dayanıklılığı, protokolün kullanıcının dikkatine bağlı kalmadan gizli bilgilerin açığa çıkmasını engelleme yeteneği olarak tanımlar.
| Yöntem | Oltalamaya dayanıklı mı? | NIST’in notları |
|---|---|---|
| SMS ya da sesli arama kodu | Hayır | “Kısıtlı” bir doğrulayıcı; doğrulayıcılar alternatif sunmalı ve SIM kartı değişimi ile numara taşıma işlemlerine dikkat etmelidir |
| Doğrulama uygulaması kodu (TOTP) | Hayır | Kodlar elle yazıldığı için aktarılabilir |
| Anlık bildirim onayı ya da bant dışı uygulama | Hayır | Bant dışı yöntemler oltalamaya dayanıklı değildir |
| E-posta kodu ya da bağlantısı | Bant dışı doğrulama için izin verilmez | E-posta bant dışı kimlik doğrulama için kullanılmamalıdır (SHALL NOT) |
| FIDO2 / WebAuthn güvenlik anahtarı ya da geçiş anahtarı | Evet | Yanıt, doğrulanmış site adına bağlıdır |
NIST’in orta güvence düzeyi olan AAL2’de doğrulayıcılar en az bir oltalamaya dayanıklı seçenek sunmalıdır (SHALL). En yüksek düzey olan AAL3’te doğrulayıcı oltalamaya dayanıklı olmalı ve dışa aktarılamayan bir özel anahtar kullanmalıdır.
Geçiş anahtarları
Geçiş anahtarı (passkey), WebAuthn üzerine kurulu bir FIDO kimlik bilgisidir. Cihazınız her site için bir anahtar çifti oluşturur. Site yalnızca açık anahtarı saklar, özel anahtar sizde kalır. Özel anahtarı, cihazınızın kilidini açtığınız yöntemle, örneğin parmak izi, yüz tanıma ya da PIN ile açarsınız. FIDO Alliance, biyometrik verilerin cihazda kaldığını ve siteye hiçbir zaman gönderilmediğini belirtir.
Her geçiş anahtarı tek bir siteye bağlı olduğu için benzer görünümlü bir oltalama alan adında hiç çalışmaz. Sunucuda çalınabilecek paylaşılan bir gizli bilgi de yoktur.
Geçiş anahtarlarının iki türü vardır:
- Senkronize geçiş anahtarları, bir sağlayıcının eşitleme servisi üzerinden cihazlarınız arasında kopyalanır. NIST bunlara eşitlenebilir doğrulayıcılar der ve AAL2’de kullanılmalarına izin verir. Anahtar dışa aktarılabildiği için AAL3’te kullanılmamalıdır (SHALL NOT).
- Cihaza bağlı geçiş anahtarları, donanım güvenlik anahtarı gibi tek bir cihazda kalır. Yöneticiler ve diğer yüksek riskli hesaplar için uygundur.
Hesap kurtarmayı da düşünün. Birisi geçiş anahtarı kullanan bir hesabı e-posta bağlantısıyla ya da destek masasına bir telefonla sıfırlayabiliyorsa saldırganlar doğrudan bu yolu hedef alır. Kurtarma yöntemini en az yerini aldığı oturum açma yöntemi kadar güçlü yapın.
Benimseyebileceğiniz bir politika
- Parolanın tek faktör olduğu yerlerde en az 15 karakter isteyin ve en az 64 karaktere izin verin.
- Karakter kuralı ve belirli aralıklarla süre dolumu olmasın.
- Her yeni parolayı sızmış ve yaygın parolalardan oluşan bir listeye karşı kontrol edin.
- Parola değişikliğini yalnızca ele geçirilme kanıtı varsa zorunlu tutun.
- Bir parola yöneticisi sağlayın; yapıştırmaya ve otomatik doldurmaya izin verin.
- MFA’yı kullanılabildiği her yerde, yöneticiler, e-posta ve uzaktan erişim için ise oltalamaya dayanıklı MFA’yı zorunlu tutun.
- Sistemleriniz destekliyorsa yüksek riskli hesaplardan başlayarak geçiş anahtarlarını devreye alın.
- Başarısız oturum açma denemelerini sınırlayın ve hesap kurtarmayı oturum açma kadar güçlü yapın.
Nereden başlamalı
Bir parolanın sızıntı verilerinde geçip geçmediğini Pwned Passwords kontrol aracımızla öğrenin, bir parola cümlesinin ne kadar uzun olması gerektiğini de parola gücü aracımızla test edin.
Kimlik politikanızı yeniden düzenliyor ya da geçiş anahtarlarına geçişi planlıyorsanız danışmanlık ekibimiz planlamanıza yardımcı olabilir.
