Gökkuşağı tablosu, parola özetlerini hızlıca çözmek için önceden hesaplanmış değerleri saklayan bir veri yapısıdır. Saldırgan her denemeyi yeniden hesaplamak yerine hazır tabloda arama yapar. Bu yaklaşım, hesaplama süresini depolama alanıyla takas eder.

Yöntem, parola saklama tasarımının neden bu kadar önemli olduğunu gösteren klasik bir örnektir. Doğru tasarlanmış bir saklama düzeninde tablolar tamamen işlevsiz kalırken, hatalı tasarımda tüm parola veri tabanı kısa sürede çözülebilir.

Gökkuşağı Tablosu Nedir?

Gökkuşağı tablosu, özet fonksiyonu çıktılarının önceden hesaplanıp sıkıştırılmış zincirler hâlinde saklandığı ve böylece özetten parolaya hızlı geri dönüş sağlayan veri yapısıdır.

Basit bir arama tablosunda her parola ve özeti yan yana saklanır; bu yaklaşım çok fazla yer kaplar. Gökkuşağı tabloları ise zincir yapısı kullanarak yalnızca zincirin başını ve sonunu saklar. Böylece depolama ihtiyacı belirgin biçimde azalır.

Nasıl Çalışır?

Yöntem, özet fonksiyonu ile bir indirgeme fonksiyonunun dönüşümlü olarak uygulanmasına dayanır. Bir parolanın özeti alınır, bu özet indirgeme fonksiyonuyla yeni bir parola adayına dönüştürülür ve işlem tekrarlanır. Ortaya çıkan zincirin yalnızca ilk ve son değeri saklanır.

Arama sırasında hedef özet aynı dönüşümlerden geçirilir ve zincir sonlarıyla karşılaştırılır. Eşleşme bulunduğunda ilgili zincir baştan yeniden üretilir ve aranan parola bulunur. Bu yeniden üretim, depolamadan tasarruf etmenin bedelidir.

İndirgeme fonksiyonlarının zincir boyunca değiştirilmesi, farklı zincirlerin birleşmesini azaltır. Bu ayrıntı, yöntemin adındaki renk benzetmesinin kaynağıdır. Tablonun etkinliği, bu tasarım ayrıntılarına doğrudan bağlıdır.

• Hedef özet fonksiyonu ve parola uzayı önceden belirlenir
• Özet ve indirgeme fonksiyonları dönüşümlü uygulanarak zincirler üretilir
• Yalnızca zincir başları ve sonları saklanır
• Arama sırasında hedef özet zincir sonlarıyla karşılaştırılır
• Eşleşen zincir yeniden üretilerek parola bulunur

Tuzlama Neden Etkisiz Kılar?

Tuz, her parolaya eklenen benzersiz ve rastgele bir değerdir. Aynı parolayı kullanan iki kullanıcının özetleri, farklı tuzlar nedeniyle tamamen farklı olur. Bu durumda önceden hesaplanmış bir tablo hiçbir işe yaramaz.

Saldırganın tablo hazırlaması için her tuz değeri için ayrı bir tablo üretmesi gerekir. Yeterince uzun ve rastgele tuzlarda bu maliyet, saldırıyı tamamen ekonomik olmaktan çıkarır. Tuzlama ve biberleme bu nedenle temel bir gerekliliktir.

Tuzun gizli tutulması gerekmez; benzersiz ve tahmin edilemez olması yeterlidir. Tuz genellikle özetle birlikte saklanır. Asıl korunması gereken değer, uygulama tarafında saklanan ve tüm parolalara eklenen biber değeridir.

Modern Bağlamda Ne Kadar Geçerli?

Gökkuşağı tabloları, tuzlamanın yaygınlaşmasıyla eski önemini kaybetmiştir. Doğru uygulanmış bir parola saklama tasarımında bu yöntem uygulanamaz hâle gelir. Buna karşılık kavram, saklama tasarımının neden önemli olduğunu anlatmak için hâlâ öğreticidir.

Yöntem, tuzlanmamış eski sistemlerde ve bazı eski protokollerde hâlâ geçerlidir. Bazı kimlik doğrulama protokollerinde kullanıcı adına bağlı olmayan özetler üretilir ve bu özetler önceden hesaplanmış tablolarla çözülebilir. Bu nedenle eski protokollerin kapatılması ayrıca önemlidir.

Günümüzde saldırganlar çoğunlukla tablo yerine doğrudan yüksek hızlı deneme yöntemlerini tercih eder. Grafik işlemcilerinin ucuzlaması, önceden hesaplama ihtiyacını azaltmıştır. Bu değişim, savunmanın yavaş özet fonksiyonlarına dayanmasını daha da kritik hâle getirir.

Doğru Parola Saklama Tasarımı

Parolalar hiçbir zaman düz metin olarak ya da geri çevrilebilir şifreleme ile saklanmaz. Saklama için tek yönlü ve kasıtlı olarak yavaş çalışan anahtar türetme fonksiyonları kullanılır. Bu fonksiyonlar, hem işlem hem bellek maliyeti parametreleriyle ayarlanabilir.

Maliyet parametreleri donanım gelişimine göre dönemsel olarak artırılmalıdır. Yıllar önce belirlenen bir maliyet değeri, bugünkü donanım karşısında yetersiz kalabilir. Bu güncelleme, kullanıcı bir sonraki girişinde şeffaf biçimde uygulanabilir.

Ayrıca parola veri tabanına erişim ayrıca kısıtlanır. Uygulamanın veri tabanına yönetici yetkisiyle bağlanmaması ve parola tablosuna erişimin ayrı denetlenmesi, sızıntı olasılığını düşürür. En az yetki ilkesi burada da geçerlidir.

Sızıntı sonrası ne yapılır?

Parola veri tabanının sızdığından şüphelenildiğinde, kullanılan özetleme yöntemi ne olursa olsun toplu parola yenileme başlatılır. Yavaş fonksiyonlar zaman kazandırır ama sonsuz koruma sağlamaz. Bildirim yükümlülükleri de ayrıca değerlendirilir.

Sık Yapılan Hatalar

En yaygın hata, hızlı özet fonksiyonlarının parola saklama için kullanılmasıdır. Dosya bütünlüğü için tasarlanmış fonksiyonlar hız için optimize edilmiştir ve parola saklamaya uygun değildir. Bu ayrım geliştiriciler arasında sıkça karıştırılır.

İkinci hata, tuz değerinin tüm kullanıcılar için aynı olmasıdır. Sabit tuz, tablonun yeniden üretilmesini gerektirir ama tek seferlik bir maliyettir; benzersiz tuzun sağladığı korumayı vermez. Tuz her kullanıcı için ayrı üretilmelidir.

Üçüncü hata, kendi özetleme yönteminin geliştirilmesidir. Birden çok özet fonksiyonunun üst üste uygulanması güvenliği artırmaz ve çoğu zaman zayıflatır. Standart ve incelenmiş fonksiyonların kullanılması esastır.

Zaman ve Bellek Takası

Yöntem, kriptografide bilinen zaman-bellek takasının klasik bir uygulamasıdır. Saldırgan, çalışma anında harcayacağı işlem süresini önceden yapılmış hesaplamalarla değiştirir.

Tam bir arama tablosu en hızlı sonucu verir ama depolama ihtiyacı uygulanamaz büyüklüktedir. Hiç tablo kullanmamak ise her denemeyi baştan hesaplamayı gerektirir.

Gökkuşağı tabloları bu iki uç arasında bir denge kurar. Zincir uzunluğu artırıldığında depolama azalır ama arama süresi uzar; azaltıldığında tersi olur.

Bu ayar, hedef parola uzayının büyüklüğüne göre yapılır. Küçük uzaylarda daha kısa zincirler, büyük uzaylarda daha uzun zincirler tercih edilir.

Zincir Çakışmaları Sorunu

Farklı zincirlerin aynı değere ulaşması, o noktadan sonra aynı yolu izlemelerine yol açar. Bu çakışmalar, tablonun kapsadığı gerçek parola sayısını düşürür.

Çakışmaları azaltmak için zincir boyunca farklı indirgeme fonksiyonları kullanılır. Bu, yöntemin klasik zaman-bellek tablolarından ayrılan temel yeniliğidir.

Buna rağmen çakışmalar tamamen ortadan kalkmaz. Bu nedenle tablolar hiçbir zaman parola uzayının tamamını kapsadıklarını garanti edemez.

Kapsama oranı, tablo üretilirken hesaplanan bir tasarım parametresidir. Yüksek kapsama isteyen tablolar, daha fazla üretim süresi ve depolama gerektirir.

Hangi Ortamlarda Hâlâ Risk Var?

Tuzlama uygulamayan eski uygulamalar bu yöntemin hâlâ geçerli olduğu başlıca ortamdır. Özellikle uzun yıllardır çalışan ve güncellenmemiş iç uygulamalar bu kategoriye girer.

Bazı eski ağ kimlik doğrulama protokollerinde de kullanıcıya özgü tuz bulunmaz. Bu protokollerde üretilen özetler önceden hesaplanmış tablolarla çözülebilir.

Bu nedenle eski protokollerin kapatılması yalnızca yeni saldırılara karşı değil, bu klasik yönteme karşı da koruma sağlar. Envanterde bu protokollerin nerede açık olduğu belirlenmelidir.

Ayrıca disk ve arşiv şifrelemesinde kullanılan bazı eski yöntemler de aynı zayıflığı taşır. Disk şifreleme çözümlerinde güncel yapılandırmaların kullanılması önemlidir.

Kurumsal Değerlendirme

Kurum içinde parolaların nasıl saklandığının envanteri çıkarılmalıdır. Kendi geliştirilen uygulamalarda kullanılan özetleme yöntemleri çoğu zaman belgelenmemiştir.

Envanter çıkarıldığında, hızlı özet fonksiyonu kullanan uygulamalar öncelikli iyileştirme listesine alınır. Geçiş, kullanıcı bir sonraki girişinde şeffaf biçimde yapılabilir.

Geçiş sırasında eski ve yeni yöntemin bir arada çalıştığı bir dönem olur. Bu dönemde eski özetlerin ayrıca korunması ve geçiş tamamlandığında silinmesi gerekir.

Üçüncü taraf uygulamalarda ise sağlayıcıdan bilgi istenir. Parola saklama yöntemi, tedarik değerlendirmesinin standart sorularından biri olmalıdır.

Gökkuşağı Tablosunun Tarihsel Önemi

Yöntem, parola saklama uygulamalarının bugünkü hâline gelmesinde belirleyici rol oynamıştır. Tuzlamanın standart hâle gelmesi, büyük ölçüde bu tabloların ortaya koyduğu riskin sonucudur.

2000’li yılların başında birçok uygulama parolaları tuzsuz özetlerle saklıyordu. Tabloların yaygınlaşmasıyla bu uygulamanın sürdürülemez olduğu görüldü.

Bugün hemen her modern çerçeve, parola saklama işlemini hazır ve doğru yapılandırılmış fonksiyonlarla sunar. Geliştiricinin kendi çözümünü yazması artık gerekmez ve önerilmez.

Buna rağmen kavramın öğretilmesi değerini korur. Saklama tasarımının neden bu kadar kritik olduğunu somut biçimde gösteren en anlaşılır örnektir.

Ayrıca aynı mantık, parola dışındaki alanlarda da geçerlidir. Öngörülebilir girdilerden üretilen her özet, önceden hesaplamaya açıktır.

Örneğin telefon numarası ya da kimlik numarası gibi dar uzaylı verilerin özetlenmesi, verinin korunduğu anlamına gelmez. Bu tür alanlarda özetleme tek başına bir gizlilik önlemi sayılmaz.

Privia Security olarak uygulamaların parola saklama ve kimlik doğrulama tasarımınıaltyapı ve mimari gözden geçirme kapsamında inceliyor, iyileştirme adımlarını önceliklendirilmiş biçimde sunuyoruz.