passwords.xml

<?xml version="1.0" encoding="utf-8"?>
<!-- $Revision$ -->
<!-- EN-Revision: b8e1b1357def73f310c9f7405035b3acc0cb1eaf Maintainer: nilgun Status: ready -->
<!-- CREDITS: oguzc -->

 <chapter xml:id="faq.passwords" xmlns="http://docbook.org/ns/docbook" xmlns:xlink="http://www.w3.org/1999/xlink">
  <title>Güvenli Parola aşlama</title>
  <titleabbrev>Parola aşlama</titleabbrev>

  <para>
   Bu bölümde, parolaları güvenlik altına alma da kullanılan
   aşlama (hashing) işlevinin arka planını ve etkin
   bir şekilde nasıl uygulayabileceğimizi ele alacağız.
  </para>

  <qandaset>
   <qandaentry xml:id="faq.passwords.hashing">
    <question>
     <para>
      Kullanıcıların girmiş olduğu parolaları neden aşlamalıyım?
     </para>
    </question>
    <answer>
     <para>
      Parola aşlama, kullanıcıların parola girerek kullandıkları bir
      uygulamanın tasarımında, mutlaka göz önüne alınması gereken en
      temel güvenlik faktörlerinden birisidir. Parola aşlama tekniği
      kullanılmadığı takdirde, uygulamanızın veri tabanında saklanan
      her türlü parola veritabanınızı ele geçirenler tarafından çalınabilir
      ve ardından sadece uygulamanız değil uygulamanızı kullanan kullanıcılar
      aynı parolayı başka servisler için de kullanıyorlarsa risk altında
      kalırlar.
     </para>
     <para>
      Kullanıcılarınızın parolalarını veri tabanına kaydetmeden önce,
      uygulayacağınız aşlama algoritması ile saldırganın özgün parolayı
      tahminini imkansız kılarken, ilerleyen süreçte de özgün parolayı
      bulma çabalarını da (kaba kuvvet saldırısı tekniğiyle) zorlaştırmış
      olursunuz.
     </para>
     <para>
      Ancak, dikkat edilmesi gereken önemli nokta, parola aşlama sadece
      veri kaynağınızın ele geçirilmesine karşı koruma sağlarken, uygulamanıza
      isteminiz dışında yerleştirilmiş zararlı kodlar aracılığıyla şifreleri
      ele geçirmede koruma sağlamaz.
     </para>
    </answer>
   </qandaentry>
   <qandaentry xml:id="faq.passwords.fasthash">
    <question>
     <para>
      <function>MD5</function> ve <function>SHA1</function> gibi genel
      aşlama işlevlerini parolalar için kullanmak neden uygun değildir?
     </para>
    </question>
    <answer>
     <para>
      MD5, SHA1 ve SHA256 gibi aşlama algoritmaları verimli ve çok hızlı
      olmaları için tasarlanmıştır. Modern teknikler ve bilgisayar
      ekipmanları ile, Kaba kuvvet (brute force) atak tekniği kullanarak özgün
      değere ulaşma sıradan bir hale gelmiştir.
     </para>
     <para>
      Çünkü, modern bir bilgisayar, oldukça hızlı olarak bu aşlama
      tekniklerini tersine çevirir, çoğu güvenlik uzmanı da bunların parola
      aşlama da kullanımına  karşı aleyhte tavsiye de bulunur.
     </para>
    </answer>
   </qandaentry>
   <qandaentry xml:id="faq.passwords.bestpractice">
    <question>
     <para>
      Genel aşlama teknikleri kullanışlı olmadıklarına göre,
      parolalarımı nasıl aşlamalıyım?
     </para>
    </question>
    <answer>
     <para>
      Parolaları aşlamada, dikkate alınması gereken iki husus vardır;
      hesaplamanın maliyeti ve tuzlama.
      aşlama algoritmasında daha fazla hesaplama maliyeti demek
      kaba kuvvet ataklarının daha fazla zaman gerektirmesi demektir.
     </para>
     <para>
      PHP, güvenli bir şekilde
      <link linkend="function.password-hash">aşlama</link> ve
      <link linkend="function.password-verify">parola doğrulamayı</link>
      birlikte güvenle sağlayan bir <link linkend="book.password">yerel parola
      aşlama APIsi</link> sağlamaktadır. Ayrıca PHP 5.3.7 sürümünden itibaren
      kullanılabilen <link xlink:href="&url.password.compat;">saf bir PHP
      uyumluluk kütüphanesi</link> de vardır.
     </para>
     <para>
      Diğer bir seçenek çeşitli aşlama
      algoritmalarını destekleyen <function>crypt</function>
      işlevidir. Bu işlevi kullanırken, PHP, desteklenen her bir algoritmayı
      kendi bünyesinde barındırdığı için, algoritmalardan bir veya
      bir kaçı sisteminizde bulunmasa da seçtiğiniz algoritmanın
      varlığını ve kullanımını garanti eder.
     </para>
     <para>
      Parola aşlama de tavsiyemiz Blowfish algoritmasını kullanmanızdır,
      parola aşlama APIsi tarafından da öntanımlı olarak kullanılan bu
      algoritma MD5 veya SHA1 den daha fazla hesaplama gerektirmesine rağmen
      hala ölçeklenebilir durumdadır.
     </para>
     <para>
      Bir parolayı doğrulamak için <function>crypt</function> kullanıyorsanız,
      bir sabit zaman dizgesi karşılaştırması kullanarak zamanlama saldılarını
      engellemeyi düşünmeniz gerekir. Ne PHP'nin <link
      linkend="language.operators.comparison">== ve === işleçleri</link> ne de
      <function>strcmp</function> işlevi sabit zaman dizgesi karşılaştırması
      yapar. <function>password_verify</function> bunu sizin için yapacak gibi
      görünse de mümkün olduğunca <link linkend="book.password">yerel parola
      aşlama APIsini</link> kullanmanızı şiddetle öneririz.
     </para>
    </answer>
   </qandaentry>
   <qandaentry xml:id="faq.passwords.salt">
    <question>
     <para>
      Tuzlama nedir?
     </para>
    </question>
    <answer>
     <para>
      Bir şifreleme tuzu, gökkuşağı tablosu olarak bilinen, daha önceden
      hesaplanarak oluşturulmuş aşlama listesinden karşılaştırma yaparak
      eşleştirme ihtimalini ortadan kaldırmak için, aşlama işlemi esnasında
      uygulanan bir değerdir.
     </para>
     <para>
      Basit anlamda tuz, haşlanmış değerinizi kırma teşebbüslerini
      zorlaştırmada kullanılan ek bir veridir. İnternet üzerinde, daha önceden
      hesaplanmış kapsamlı aşlama değerlerinin yanı sıra özgün değerleri de
      barındıran bir dizi liste hizmeti vardır. Tuz kullanmak bu listelerden
      aşlama değerini bulmayı mantıksız veya imkansız kılar.
     </para>
     <para>
      Bir tane sağlanmamışsa <function>password_hash</function> rasgele bir
      tuz oluşturacaktır ve bu genelde en kolay ve en güvenilir yaklaşımdır.
     </para>
    </answer>
   </qandaentry>
   <qandaentry xml:id="faq.password.storing-salts">
    <question>
     <para>
      Tuzlarımı nasıl saklarım?
     </para>
    </question>
    <answer>
     <para>
      <function>password_hash</function> veya <function>crypt</function>
      işlevini kullanırken, dönen değer üretilen aşlanmış parola olup tuzu
      da içerir. Parolaları doğrularken <function>password_verify</function>
      veya <function>crypt</function> işlevine doğrudan verilebilecek şekilde
      aşlama bilgisini içeren bu değer veritabanınızda hiç değiştirilmeden
      harfi harfine saklanmalıdır.
     </para>
     <para>
      Aşağıdaki şekil, <function>crypt</function> veya
      <function>password_hash</function> işlevinden dönen değerin biçimini
      gösterir. Görebileceğiniz gibi, ileriki bir parola doğrulaması için
      gereken tuzu ve algoritma ile ilgili tüm bilgiyi içinde barındırmaktadır.
     </para>
     <para>
      <mediaobject>
       <alt>
        password_hash veya crypt işlevinden dönen değerin bileşenleri:
        sırasıyla, seçilen algoritma, algoritmanın seçenekleri, kullanılan tuz
        ve aşlanmış parola.
       </alt>
       <imageobject>
        <imagedata fileref="en/faq/figures/crypt-text-rendered.svg" width="690"
        depth="192" format="SVG" />
       </imageobject>
      </mediaobject>
     </para>
    </answer>
   </qandaentry>
  </qandaset>

 </chapter>

<!-- Keep this comment at the end of the file
Local variables:
mode: sgml
sgml-omittag:t
sgml-shorttag:t
sgml-minimize-attributes:nil
sgml-always-quote-attributes:t
sgml-indent-step:1
sgml-indent-data:t
indent-tabs-mode:nil
sgml-parent-document:nil
sgml-default-dtd-file:"~/.phpdoc/manual.ced"
sgml-exposed-tags:nil
sgml-local-catalogs:nil
sgml-local-ecat-files:nil
End:
vim600: syn=xml fen fdm=syntax fdl=2 si
vim: et tw=78 syn=sgml
vi: ts=1 sw=1
-->