Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), en kafa karıştırıcı ve verimsiz parola politikalarından bazılarının ortadan kaldırılmasını önerdi. Zorunlu parola sıfırlama işlemlerinin sona erdirilmesi, belirli karakterlerin kullanımının kısıtlanması ve güvenlik sorularının durdurulması önemli değişiklikler arasında yer alıyor.
Güçlü, kırılamaz, güvenli parolalar oluşturmak ve bunları yönetebilmek siber güvenliğin en zor alanlarından biridir. Bu görev, sistem yöneticileri, kurumlar ve çevrimiçi hizmet sağlayıcılar tarafından uygulanan parola kurallarıyla daha da karmaşık hale getirilmektedir. Bu kuralların amacı güvenliği artırmak olsa da bazen tam tersi etkiye sahip olabilmektedir. Buna rağmen, bu tür kurallara uyum hâlâ yaygın biçimde dayatılmaktadır.
NIST, güncellenmiş Dijital Kimlik Yönergelerinin SP 800-63-4 olarak bilinen ikinci halka açık taslağını yayınladı. Yönerge, dijital kimliklerin doğrulanması için hem zorunlu teknik gereklilikleri hem de önerilen en iyi uygulamaları özetliyor. Parolalara odaklanan bir bölüm, geleneksel politikalar için birkaç mantıklı değişikliği tanıtıyor. Dikkate değer güncellemelerden biri, kullanıcıların parolalarını düzenli olarak değiştirme zorunluluğunun kaldırılmasıdır. Yıllar önce insanlar genellikle kolayca tahmin edilebilecek isimleri ve kelimeleri parola olarak kullanıyorlardı. Parola güvenliğinin yeterince önemsenmediği dönemlerde uygulanan bu politika artık geçerliliğini yitirmiştir.
Şu anki uygulamalar daha sağlam, rastgele oluşturulmuş parolalar veya parola cümleleri gerektiriyor. Bu kadar güçlü parolalar kullanıldığında, kullanıcılardan birkaç ayda (genelde üç ayda) bir parolalarını değiştirmelerinin istenmesi güvenliği zayıflatabilir. Kullanıcıların sürekli parola değiştirmeye zorlanması daha basit, akılda kalması daha kolay parolalar oluşturmasına yol açabilir.
Bir diğer kural ise sayıların, özel karakterlerin ve hem büyük hem de küçük harflerin birlikte kullanılması zorunluluğudur. Parolalar yeterince uzun ve rastgele olduğunda, bu karakter gereklilikleri gerçek bir güvenlik avantajı sağlamaz. Aslında bu tür kurallar da kullanıcıları daha zayıf parolaları seçmeye itebilir.
NIST’in güncellenen yönergelerinde belirtildiğine göre;
- Doğrulayıcılar ve kimlik bilgisi hizmeti sağlayıcıları, karakter türlerinin bir karışımını zorunlu kılmak gibi belirli karakter kompozisyonu kuralları uygulamamalıdır.
- Doğrulayıcılar ve kimlik bilgisi hizmeti sağlayıcıları, güvenlik ihlaline dair kanıtların olduğu durumlar haricinde, periyodik parola değişikliği gerektirmemelidir.
Güncellenen yönergeler ayrıca başka değişiklikler de vardır;
- Parolalar en az sekiz karakter uzunluğunda olmalı ve minimum 15 karakter uzunluğunda olması da önerilir.
- Sistemler, parolaların en fazla 64 karakter uzunluğunda olmasına izin vermelidir.
- Parolalarda tüm yazdırılabilir ASCII karakterlere, boşluklar da dahil olmak üzere izin verilmelidir.
- Parola uzunluğu, her karakter bir birim olarak sayılarak, Unicode karakterlere de izin verilmelidir.
- Parolanın kesilmesine izin verilmemeli, yani parolanın tamamı doğrulanmalıdır.
- Sistemler, yetkisiz kullanıcıların erişebileceği parola ipuçları sunmamalıdır.
- Bilgiye dayalı kimlik doğrulama gibi güvenlik soruları artık kullanılmamalıdır.
Eleştirmenler, yıllarca yaygın olarak kullanılan parola politikalarının birçoğunun kusurlarına ve risklerine dikkat çekti, ancak bankalar, çevrimiçi hizmetler ve devlet kurumları bunları kullanmayı büyük ölçüde sürdürdü. Yeni yayınlanan NIST yönergeleri nihai hale getirilirse, evrensel olarak bağlayıcı olmayabilir. Ancak geçerliliğini yitirmiş uygulamaların yeniden değerlendirilmesi ve terk edilmesi konusunda ikna edici bir argüman olarak görev yapabilir.
