Parola özeti (hash)

Parola özeti nedir?

Parola özeti (hash), bir parolanın özel bir matematiksel fonksiyonla geri döndürülemez biçimde dönüştürülmüş halidir. Sistemler parolanın kendisini değil özetini saklar. Giriş sırasında yazılan parola aynı şekilde özetlenip kayıtlı değerle karşılaştırılır; böylece veritabanı sızsa bile gerçek parolalar doğrudan görünmez.

Bu yöntem, parolaların düz metin saklanmasına kıyasla büyük bir güvenlik kazancı sağlar. Ancak yalnızca doğru algoritma ve tuzlama ile gerçekten koruyucu olur.

Nasıl çalışır?

Özet fonksiyonu tek yönlüdür: paroladan özete gidilir, geri dönülemez. Aynı girdi her zaman aynı çıktıyı verir. Saldırgan bir özet ele geçirirse, olası parolaları tek tek özetleyip karşılaştırarak (kaba kuvvet veya sözlük saldırısı) parolayı bulmaya çalışır.

Bunu zorlaştırmak için iki şey kullanılır:

• Tuz (salt): her parola için rastgele eklenen değerdir; aynı parolaların farklı özet üretmesini sağlar ve hazır tablolarla çözmeyi engeller.
• Yavaş algoritma: bcrypt, scrypt veya Argon2 gibi bilinçli olarak yavaş çalışan fonksiyonlar, deneme hızını ciddi biçimde düşürür.

MD5 ve SHA-1 gibi hızlı fonksiyonlar parola saklamak için uygun değildir.

Sunucu ve hosting ortamında

Linux sistemlerde kullanıcı parola özetleri /etc/shadow dosyasında tutulur ve yalnızca yetkili kullanıcılar okuyabilir. Modern dağıtımlar varsayılan olarak sha512-crypt veya yescrypt gibi tuzlanmış özetler kullanır. WordPress gibi uygulamalar da parolaları veritabanında özet olarak saklar.

Kendi uygulamanızı geliştiriyorsanız parola saklamak için çerçevenizin sunduğu hazır, güvenli işlevi (örneğin PHP’de password_hash) kullanın; kendi algoritmanızı yazmayın.

Nasıl uygulanır?

• Parolaları asla düz metin veya şifrelenmiş (geri çözülebilir) biçimde saklamayın.
• Argon2, bcrypt veya scrypt gibi parola için tasarlanmış algoritmaları seçin.
• Her parola için benzersiz ve rastgele tuz kullanın.
• Maliyet parametresini donanımınıza göre zamanla artırın.
• Eski algoritmayla saklananları kullanıcı girişinde yeni algoritmaya taşıyın.
• Veritabanı yedeklerini de koruyun; özetler orada da hassas veridir.

Sık yapılan hatalar

• MD5, SHA-1 veya tuzsuz SHA-256 ile parola saklamak.
• Tüm kullanıcılar için aynı tuzu kullanmak.
• Özet ile şifrelemeyi karıştırmak; özet geri çözülemez, şifreleme çözülebilir.
• Kendi özet algoritmasını icat etmek.