İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Password Spraying Nedir?

Yayın: · Son güncelleme:

Password Spraying Nedir? Kısaca

Password spraying (şifre püskürtme), tek bir hesapta çok sayıda şifre denemek yerine birkaç yaygın şifrenin çok sayıda farklı hesapta denendiği ve hesap kilitleme önlemlerinden kaçmayı amaçlayan saldırı yöntemidir.

Password Spraying nedir?
İçindekiler
  1. Password spraying nedir?
  2. Neden hesap kilitlemeyi atlatır?
  3. Nasıl korunulur?

Password spraying nedir?

Password spraying, Türkçede "şifre püskürtme" olarak anlatılabilir. Klasik kaba kuvvet saldırısı tek bir kapıyı yüzlerce anahtarla zorlar. Password spraying ise yüzlerce kapıyı tek bir anahtarla dener. Saldırgan "Sirket2026" ya da "Yaz.2026" gibi tahmin edilebilir birkaç şifre seçer ve bunları bir kurumun tüm çalışan hesaplarında dener.

Yöntem özellikle kurumsal ortamlarda, çalışan e-posta adreslerinin belirli bir kalıpla (ad.soyad@sirket.com gibi) oluşturulduğu yerlerde görülür.

Neden hesap kilitlemeyi atlatır?

Çoğu sistem, bir hesapta art arda birkaç hatalı denemeden sonra o hesabı geçici olarak kilitler. Password spraying her hesapta yalnız bir ya da iki deneme yaptığı için bu eşiğe ulaşmaz. Böylece alarm çalmadan yüzlerce hesabı test etmiş olur.

Örneğin 500 çalışanlı bir şirkette yalnız beş kişinin şifresi tahmin edilebilir bir kalıpta olsa bile saldırgan beş hesaba erişim kazanır. Bu hesaplardan biri yöneticiyse etkisi çok daha büyük olabilir.

Nasıl korunulur?

Kurumlar için önlemler şunlardır:

  • Çok faktörlü kimlik doğrulamayı tüm çalışan hesaplarında zorunlu tutmak
  • Yaygın ve tahmin edilebilir şifreleri yasaklayan bir şifre politikası uygulamak
  • Farklı hesaplarda aynı kaynaktan gelen hatalı giriş denemelerini izlemek
  • Eski ve kullanılmayan hesapları kapatmak

Çalışan olarak yapabileceğiniz en iyi şey, mevsim, yıl ya da şirket adı içeren şifrelerden kaçınmak ve bir şifre yöneticisiyle rastgele şifre üretmektir.

Sıkça Sorulan Sorular

Password spraying ile kaba kuvvet farkı nedir?

Kaba kuvvet tek bir hesapta çok sayıda şifre dener, password spraying ise az sayıda şifreyi çok sayıda hesapta dener. Bu yüzden password spraying hesap kilitleme önlemlerine daha az takılır.

Password spraying'e karşı en etkili önlem nedir?

Çok faktörlü kimlik doğrulamadır. Şifre doğru tahmin edilse bile ikinci doğrulama adımı olmadan hesaba girilemez.

İlgili terimler

Kaba Kuvvet Saldırısı(Brute Force Attack)Kaba kuvvet saldırısı (brute force), bir şifreyi ya da şifreleme anahtarını, doğru olanı bulana kadar olası tüm kombinasyonları otomatik olarak deneyerek kırmaya çalışan saldırı yöntemidir.Credential StuffingCredential stuffing, bir veri ihlalinde sızdırılan kullanıcı adı ve şifre çiftlerinin, aynı bilgilerin başka sitelerde de kullanıldığı varsayımıyla çok sayıda farklı sitede otomatik olarak denenmesidir.Şifre Politikası(Password Policy)Şifre politikası, bir kurum ya da sistemdeki parolaların uzunluk, karmaşıklık, yenileme ve kullanım kurallarını belirleyen yazılı kurallar bütünüdür. Amaç, zayıf parolaların sisteme girişini engellemektir.Çok Faktörlü Kimlik Doğrulama(Multi-Factor Authentication)Çok faktörlü kimlik doğrulama (MFA), bir hesaba girerken şifreye ek olarak telefon, doğrulama kodu ya da parmak izi gibi farklı türden en az bir kanıt daha isteyen ve hesap ele geçirmeyi zorlaştıran güvenlik yöntemidir.Parola(Password)Parola, bir hesaba ya da cihaza girerken kimliğinizi kanıtlamak için kullandığınız, yalnızca sizin bilmeniz gereken gizli karakter dizisidir. Gündelik dilde çoğunlukla 'şifre' olarak da anılır.DoS Saldırısı(DoS Attack)DoS (Denial of Service, hizmet engelleme) saldırısı, bir web sitesini, sunucuyu ya da ağ hizmetini aşırı istek veya hatalı veri göndererek gerçek kullanıcılara hizmet veremez hâle getirme girişimidir.