Sözlük saldırısı, olası tüm kombinasyonları denemek yerine önceden hazırlanmış kelime listelerinin parola olarak denenmesidir. Liste, gerçek dildeki kelimelerden, geçmiş ihlallerden çıkan parolalardan ve hedefe özel terimlerden oluşur. Yöntem, insanların rastgele değil anlamlı parolalar seçme eğiliminden yararlanır.

Bu eğilim, saldırının etkinliğini belirler. Tamamen rastgele üretilmiş bir parola sözlükte bulunmaz; buna karşılık bir kelime ile birkaç rakamın birleşimi büyük olasılıkla listelerde yer alır. Bu nedenle parola seçim yöntemi, parola uzunluğu kadar önemlidir.

Sözlük Saldırısı Nedir?

Sözlük saldırısı, olası parolaların önceden derlenmiş kelime ve parola listelerinden seçilerek denendiği, insan davranışındaki öngörülebilirliği hedef alan saldırı yöntemidir.

Yöntem hem çevrimiçi hem çevrimdışı uygulanabilir. Çevrimiçi kullanımda liste kısa tutulur ve denemeler yavaş yapılır; çevrimdışı kullanımda ise milyonlarca girdilik listeler yüksek hızda denenir. Çevrimdışı senaryo, savunmanın en zor olduğu durumdur.

Kaba Kuvvetten Farkı

Kaba kuvvet saldırısı olası tüm kombinasyonları sırayla dener ve sonuç garantilidir ama süre çoğu zaman uygulanamaz uzunluktadır. Sözlük saldırısı ise garanti sunmaz; buna karşılık gerçekçi sürelerde sonuç verme olasılığı çok daha yüksektir. Bu nedenle pratikte tercih edilen yöntemdir.

İki yöntem çoğu zaman birlikte kullanılır. Önce sözlük denenir, sonuç alınamazsa kısa kombinasyonlar için kaba kuvvete geçilir. Bu sıralama, hesaplama gücünün verimli kullanılmasını sağlar.

Kural Tabanlı Üretim

Modern araçlar sözlüğü olduğu gibi denemez; üzerine dönüşüm kuralları uygular. Baş harfin büyütülmesi, sonuna yıl eklenmesi, harflerin benzer rakamlarla değiştirilmesi gibi kurallar, tek bir kelimeden yüzlerce aday üretir. Bu kurallar, insanların parola karmaşıklaştırma alışkanlıklarını taklit eder.

Bu nedenle klasik karmaşıklık kuralları beklenen korumayı sağlamaz. Büyük harf, rakam ve özel karakter zorunluluğu, kullanıcıları tam olarak bu tahmin edilebilir dönüşümlere yönlendirir. Sonuçta parola politikaya uyar ama saldırıya karşı güçlenmez.

Kurumsal ortamlarda ayrıca hedefe özel listeler hazırlanır. Kurum adı, ürün adları, şehir ve takım isimleri gibi terimler listeye eklendiğinde başarı oranı belirgin biçimde artar. Bu nedenle kurum adının parolalarda kullanımı ayrıca yasaklanmalıdır.

• Genel dil sözlükleri ve isim listeleri
• Geçmiş ihlallerden derlenmiş gerçek parola listeleri
• Kuruma özel terimler: marka, ürün, şehir, takım adları
• Klavye örüntüleri ve ardışık karakter dizileri
• Kural tabanlı dönüşümlerle üretilen türev adaylar

Neden Hâlâ Etkili?

Parola seçimi insan davranışına bağlı olduğu sürece öngörülebilirlik ortadan kalkmaz. Kullanıcılar hatırlanabilir parolalar seçer ve hatırlanabilirlik ile tahmin edilebilirlik arasında doğrudan bir ilişki vardır. Bu ilişki, teknik önlemlerle değil parola üretim yönteminin değiştirilmesiyle kırılır.

İkinci neden, listelerin sürekli zenginleşmesidir. Her yeni veri ihlali, gerçek kullanıcıların gerçekten kullandığı parolaları listeye ekler. Bu birikim, saldırıların zamanla daha etkili hâle gelmesine yol açar.

Üçüncü neden, hesaplama gücünün ucuzlamasıdır. Kiralanabilir işlem gücü sayesinde büyük listelerin denenmesi artık pahalı değildir. Bu durum, çevrimdışı senaryolarda savunmayı tamamen özetleme tasarımına bırakır.

Nasıl Korunulur?

İlk önlem, parola üretiminin kullanıcıdan alınmasıdır. Parola yöneticisinin ürettiği rastgele dizeler hiçbir sözlükte bulunmaz ve kural dönüşümleriyle de üretilemez. Parola kasası kullanımının yaygınlaştırılması, bu saldırı ailesine karşı en kalıcı çözümdür.

İkinci önlem, parola belirleme anında liste kontrolü yapılmasıdır. Seçilen parolanın bilinen listelerde bulunması hâlinde reddedilmesi, en zayıf seçimleri baştan eler. Bu kontrol, karmaşıklık kurallarından çok daha etkilidir.

Üçüncü önlem, uzun parola cümlelerinin teşvik edilmesidir. Birbiriyle ilgisiz kelimelerden oluşan uzun ifadeler hem hatırlanabilir hem de deneme uzayı açısından çok geniştir. Kullanıcılara bu yöntemin öğretilmesi pratik bir kazanç sağlar.

Saklama tarafındaki önlemler

Parolaların yavaş anahtar türetme fonksiyonlarıyla ve benzersiz tuz değerleriyle saklanması, çevrimdışı denemeleri yavaşlatır. Tuzlama ve biberleme uygulandığında, aynı parolayı kullanan iki kullanıcının özetleri de farklı olur. Bu, toplu çözümleme girişimlerini engeller.

Kurum İçi Parola Denetimi

Olgun kurumlar kendi parola veri tabanlarını dönemsel olarak denetler. Kontrollü koşullarda yapılan bu çalışma, kurum içinde ne kadar zayıf parola bulunduğunu ölçer. Sonuçlar kişi bazında değil, oran olarak raporlanır.

Denetimin amacı kullanıcıları cezalandırmak değil, politikanın etkinliğini ölçmektir. Zayıf parola oranı yüksek çıkıyorsa sorun kullanıcıda değil politikadadır; parola üretim yönteminin değişmesi gerekir. Bu bakış, çalışmanın kurum içinde kabul görmesini sağlar.

Denetim sonuçları ayrıca ikinci faktör önceliklendirmesinde kullanılır. Zayıf parolaya sahip hesaplar öncelikli olarak güçlü doğrulama kapsamına alınır. Böylece sınırlı kaynak en yüksek riskli alana yönlendirilmiş olur.

Liste Kaynakları Nasıl Oluşur?

Kullanılan listelerin büyük bölümü geçmiş veri ihlallerinden derlenmiştir. Bu listeler gerçek kullanıcıların gerçekten seçtiği parolaları içerdiği için, teorik kelime listelerinden çok daha etkilidir.

Listeler sıklık sırasına göre düzenlenir; en çok kullanılan parolalar başa alınır. Bu sıralama, ilk birkaç yüz denemede yüksek başarı olasılığı sağlar.

Dil bazlı listeler de ayrıca hazırlanır. Türkçe konuşan kullanıcıların seçtiği parolalar, İngilizce listelerden farklı kalıplar taşır ve ayrı listeler bu farkı yakalar.

Bu nedenle kurum içi parola denetimlerinde dil uyumlu listeler kullanılmalıdır. Yalnızca İngilizce listelerle yapılan bir denetim, gerçek zayıflığı olduğundan düşük gösterir.

Çevrimdışı Denemede Donanımın Rolü

Grafik işlemcileri, paralel hesaplama yetenekleri sayesinde özet denemelerinde çok yüksek hızlara ulaşır. Bu hız, hangi özet fonksiyonunun kullanıldığına göre büyük farklılık gösterir.

Hız için tasarlanmış fonksiyonlarda saniyede milyarlarca deneme mümkün olabilirken, bellek yoğun anahtar türetme fonksiyonlarında bu sayı kat kat düşer. Fark, tasarımın kasıtlı yavaşlığından gelir.

Bulut üzerinden kiralanabilen işlem gücü, bu yeteneği herkes için erişilebilir kılmıştır. Saldırganın kendi donanımına yatırım yapması gerekmez.

Bu durum, savunmanın tek dayanağının doğru saklama tasarımı olduğunu gösterir. Hesaplama gücü tarafında savunmanın yapabileceği bir şey yoktur.

Kurumsal Ortamda Yaygın Zayıflıklar

Servis hesaplarının parolaları çoğu zaman yıllarca değişmez ve genellikle tahmin edilebilir kalıplarla üretilir. Bu hesaplar aynı zamanda ikinci faktör kullanmadığı için öncelikli hedeftir.

Paylaşılan hesaplar da benzer bir risk taşır. Birden çok kişinin kullandığı bir hesabın parolası hem basit tutulur hem de nadiren değiştirilir.

Eski sistemlerde parola uzunluğu sınırı bulunması bir başka yaygın sorundur. Kısa parola zorunluluğu, dayanıklılığı doğrudan sınırlar ve kullanıcı ne yaparsa yapsın aşılamaz.

Bu tür kısıtlar tespit edildiğinde telafi edici kontroller devreye alınır. Kaynak kısıtlaması, ek izleme ve erişim sınırlaması bu kapsamdadır.

Kullanıcı İletişimi

Parola politikası değişikliklerinin kullanıcılara gerekçesiyle birlikte anlatılması, benimsenmeyi kolaylaştırır. Yalnızca kural bildiren duyurular direnç üretir.

Parola cümlesi örneklerinin verilmesi de pratik bir yöntemdir. Kullanıcıya somut bir alternatif sunulduğunda, alışkanlık değişimi çok daha hızlı gerçekleşir.

Parola yöneticisi kullanımının kurum tarafından desteklenmesi belirleyicidir. Araç sağlanmadan yapılan tavsiyeler uygulamada karşılık bulmaz.

Privia Security olarak kurumların parola dayanıklılığını kontrollü çalışmalarla ölçüyor, sonuçları siber risk analizi kapsamında politika önerileriyle birlikte sunuyoruz.