bitwarden

• 2 üstteki yazar neden güvenli olduğunu açıkça yazmış ama yine de emanete ihanet edebileceğini düşünenler için şunu tavsiye ederim:
  
  bitwarden'da kayıtlı her şifrenizin sonuna aklınızda bulunan bir kelimeyi koyup ilgili platformdaki şifreyi o şekilde güncelleyin. bu şekilde bitwarden bile sizin esas şifrelerinizi bilemez, çünkü bitwarden'daki şifrelerin sonuna bir kelime ekleyip kullanıyorsunuz ve bu kelime sizin zihninizde.
  
  en basit anlatımı şu şekilde:
  
  instagram'da abc123 şifresini kullanıyorsunuz.
  bitwarden'a da abc123 şifresini kaydettiniz ve benim üstte yazdığımı okudunuz.
  aklınızdan bir kelime olarak "xyz" kelimesini seçtiniz.
  instagram'daki şifrenizi abc123xyz olarak güncellediniz fakat bitwarden kasasını güncellemediniz ve hala abc123 şeklinde depolanıyor.
  instagram'a giriş yaparken "otomatik doldur ama giriş yapma" seçeneğini seçip abc123 şifresini otomatik doldurmasını sağladınız, aklınızdaki "xyz" kelimesini de otomatik doldurulan şifrenin sonuna siz yazıp giriş yaptınız.
  
  sonuç:
  instagram şifreniz: abc123xyz
  bitwarden'da tutulan şifre: abc123
  
  ekşi şifreniz: def456xyz
  bitwarden'da tutulan şifre: def456
  
  mail şifreniz: ghi789xyz
  bitwarden'da tutulan şifre: ghi789
  gibi gibi...
  
  tabii bu kelime ekleme olayını tüm şifreler için uyguluyoruz. kelime 1 tane olacağından dolayı ezberlik bir durum da yok. kelime yerine sayı da ekleyebilirsiniz.
  
  bu kelime ekleme yöntemini tüm şifreleriniz için yaparsanız basit bir ev yapımı salting işlemi uygulamış olursunuz. eğer bitwarden'daki tüm şifreleriniz çalınsa dahi, şifrelerin sonuna eklediğiniz kelime yüzünden çalınma olayından etkilenmezsiniz.
  
  şifrenizi rastgele büyük küçük harfler, sayılar, özel karakterler ile uzunca bitwarden şifre oluşturucuyu kullanarak oluşturmanızı ve kafada tuttuğunuz kelimeyi de sayıyla birlikte kullanmanızı öneririm: parabolx2, xanax873 gibi.
• güvenlik konusu koymuş olduğunuz master password ile doğru orantılıdır.
  
  teknoloji olarak uçtan uca şifrelemenin yanısıra aes-256şifreleme algoritması kullanmaktadır. yine buna ek olarak girmiş olduğunuz bilgileri yalnızca sizin bildiğiniz master password ile şifreleyip hash saltingile daha karmaşık hale getirmektedir.
  
  brute forcesaldırılarına karşılık pbkdf2ile koruma sağlamaktadır.
  
  şifre çözme işlemini yalnızca istemci tarafında yapmakta ve bu bilgileri ram üzerinde saklamaktadır.
  
  hepsine ek olarak open sourcebir yazılımdır.
  
  sözün özü: iyi bir master password ve iki faktörlü doğrulamaile son derece güvenli bir sistemdir. öyle ki bir gün hacklenip veri sızıntısı olsa bile günümüz bilgisayarları ile şifrelenmiş bu verileri anlamlı hale getirmek imkansıza yakındır.
  
  siz master password ü güvenli bir yerde saklayın yeter. bu parolayı unutmanız durumunda size beyninizden ve hatırlama kabiliyetinizden başka kimse yardımcı olamaz
• güvenli değil diyenler, şifrenizi yenilediğiniz halde birileri hesabınıza girmeye çalışıyorsa bi zahmet işletim sisteminiz içinde detaylı virüs taraması yapın. belli ki bir malware bilgisayarınıza kanca atmış ve siz şifrenizi her değiştirdiğinizde, tarayıcı çerezlerinde kayıtlı yeni şifreyi araklayıp tekradan login olmaya çalışıyor.
  
  şu sitede (bazıları) açık kaynak kodlu olmak üzere, tamamen ücretsiz ve güvenli tool kitler mevcut. özellikle hitmanpro'yu tavsiye ederim.
  yani sizin şifrenizi düzenli olarak kaptırmanızın bitwarden ile hiçbir alakası yok. gayet de güvenli, hatta agresif derecede fazla güvenlik katmanına sahip on numara bir şifreleme yöneticisidir.
  
  standart kullancılar için ayrı bir uyarıda bulunmak isterim:
  
  lastpass hacklendikten sonra hacker grupları gözlerini bitwarden kullancılarına diktiler. son günlerde binlerce kişiye mail yoluyla phishing attack yapıyorlar. şayet bitwarden'dan gelmiş gibi görünen şöyle bir mail alırsanız kesinlikle giriş yapmayın ve maili spam olarak işaretleyin. bitwarden kasa erişim adresi aşağıdaki gibidir. bunun dışındakilerin tamamı sahtedir:
  
  https://vault.bitwarden.com/
  
  not: imkanınız varsa şayet, hem bu harika yazılımı hem de arkasındaki ekibi desteklemek, ayrıca ekstra güvenli giriş seçeneklerine erişebilmek için 1 yıllık paketini satın almanızı şiddetle tavsiye ederim. yıllık sadece 10 dolar. kur bugünkü seviyelere gelmemiş olsa, eski kurla 50-60 tl'ye bir yıllık üyelik alabilecektik. peh... "ehonomi çoh eyi" demiş miydim?
• lastpass'ın mavi arayüzlüsü olmayan parola yöneticisi. farklarına gelirsek:
  
  * lastpass gibi arkasında güvenilmez bir şirket yok. bitwarden tamamen açık kaynaklı bir yazılım ve her satır kodu kullanıcılar tarafından denetlenebilir.
  * lastpass gibi birkaç sene arayla güvenlik açığı haberlerini duymazsınız, yine açık kaynaklı olmasından mütevellit güvenlidir.
  * bitwarden zaten tamamıyla ücretsiz bir yazılım. dolayısıyla ücretsiz sürümde herhangi bir özellik kısıtlaması yok. ticari ve aile hesapları ücretli ancak üyeler arası veri paylaşımı ve ekstra destek gibi özellikleri var. yani standart bir kullanıcının ihtiyaç duymayacağı özellikler. satın alırsanız uygulamayı desteklemiş oluyorsunuz, bağış gibi düşünün.
• bir şifre yöneticisinin en önemli özelliklerinden biri "custom field" yani kullanıcı adı ve şifre dışında, bir formda doldurulacak bir alan varsa bu alanı doldurma başarısıdır, örnek olarak halkbank kurumsal internet bankacılığı giriş formunda
  "firma müşteri numarası" "kullanıcı müşteri numarası" "parola" şeklinde alan bulunmakta, neredeyse bitwarden dahil bütün şifre yöneticileri sadece kullanıcı adı ve şifre girdiğinizde "kullanıcı müşteri numarası" ve "parola" alanını doldurup "firma müşteri numarası" alanını boş bırakır. bu durumda doldurulacak başka alan varsa "firma müşteri numarası" isimli bir custom field oluşturup müşteri numaranızı buraya giriyorsunuz ve voila işiniz halloluyor. bitwarden bu durumda ali sami yen'i bilenler için söylüyorum, html form elementinin sırası ile id, name, label, aria-label, placeholder attributeleri ile sizin custom field'e verdiğiniz ismi eşleştirmeye çalışıyor.
  
  not olarak evet lastpass'da bu işlem çok daha kolay, forma bütün verileri girip bütün formu save edince işiniz çözülüyor fakat koyayım lastpassa afedersin.
• uzun zamandır devam ettirdiğim kötü bir alışkanlığım vardı, o da unutkan bir adam olduğumdan, benzer şifreleri ve türevlerini neredeyse tüm hesaplarımda kullanmamdı. kendimi güvende tutan tek şey, hesaplarımın hepsi, kullandığım e-posta hesabına bağlı ve bu e-posta hesabı üzerinde de 2fa bulunmakta. tahmin etmek zor olmayacaktır ama bu e-posta hesabımın da ana maili benzer şifre kombinasyonundaydı. tek bir 2fa tüm hesaplarımın ana güvenliğiydi yani...
  
  aynı ve benzer şifreleri kullanmamın sıkıntılı olduğunu ve birşeyler yapmam gerektiğini ise yaklaşık 1 sene önce steam hesabıma farklı ıp adreslerinden, sürekli şifre kurtarma isteği gelmeye başlayınca fark ettim. mail hesabım 2fa ile korunduğu için rahattım ama şifre sıfırlama istekleri gelmeye devam etti 1 sene boyunca, vaktim olmadığı için göz ardı ettim hep.
  
  2 hafta önce yeniden steam'dan ve birkaç farklı hesabımdan daha şifre sıfırlama istekleri geldi... bir iki araştırma sonunda, şifrelerimin tüm kombinasyonlarının internette belirli databaselerde olduğunu öğrendim. bunu şu an apple'ın keychain'i bile yapıyor, isteyen bakabilir. işte o zaman artık tüm hesap parolalarımı değiştirmek için gerçekten vaktin geldiğini, hatta geçtiğini fark ettim.
  
  baştan soracaklara cevaplayayım, ben basit, sıradan bir vatandaşım, bu kadar paniğe ne gerek var değil mi? yukarıda bahsettiğim steam hesabımda, kaç tane oyun var sayısını bilmiyorum... kredi kartı bilgilerim ve güncel adresimin sistemde kayıtlı olması diğer bir nokta. bunun gibi diğer hesapları (oyun, sosyal medya, iş ...vs.) göz önüne getirin, işte o zaman işler korkutucu olmaya başlıyor.
  
  bir kaç password manager'a baktım, bir çok seçenekten bitwarden'da karar kıldım, en büyük sebebi opensource olmasıydı aslında. ikincil sebebi de arayüzü hoşuma gitti. keychain'lerimde bulunan tüm hesaplarımı tek tek, şifrelerini değiştirerek buraya aktardım. eski dataları içeren keychain'lerimi de sildim komple. bitwarden sunucusuna bir şekilde erişilemez ise diye de, tüm database'i indirip, offline şekilde flashdiskte, bir lokasyonda şu an tutuyorum.
  
  bitwarden'daki hesabıma girişim ise, tek bir şifre ve yine 2fa. bunlar ile sonrasında yubikey anahtarımı eşleştirdim.
  
  şu anki konfigurasyonum overkill oldu belki ama kafam rahat, şifrelerimi bilmiyorum bile.
  
  not: yubikey ile bitwarden'ı kullanabilmek için senelik 10 dolar gibi bir ücret ödemek gerekiyor. 10 dolar fikrimi sorarsanız, giriş yöntemi kolaylığı ve güvenlik açısından senelik olarak verilebilir bir miktar. ayrıca bu tarz ödemeler, bu sistemlerin sürdürülebilirliklerini destekliyor sonuçta...
  
  not2: herhangi bir fiziksel doğrulama anahtarı ile bitwarden hesabını eşleştirdikten sonra, ki burada benim kullandığım fiziksel anahtar yubikey... bu anahtarı kaybetmeniz ile beraber, eğer recovery parola seti oluşturup bir kenara saklamaz iseniz, bu hesaba ulaşma imkanınız yok.
• bitwarden, dört sene önce lastpass'ten geçtiğim muhteşem bir şifre yöneticisi. açık kaynaklı olması nedeniyle, ne yapıldığını görebilmem ekstra bir güven sağlıyor. lastpass gibi her 1-2 senede bir veritabanı hacklenme problemi yaşamıyor ve temiz bir sicili bulunuyor.
  
  ücretsiz versiyonu bile her türlü ihtiyacınızı karşılıyor. eğer premium alırsanız (yıllık 10$, oldukça makul bir fiyat) yubikey gibi yüksek seviye bir 2fa kullanmanıza izin veriyor. ayrıca, kendi içindeki totp'yi (time based one time password) kullanabilirsiniz, bu sayede ikinci bir totp uygulaması kullanmanıza gerek kalmıyor.
  
  eğer bitwarden'i ücretsiz olarak kullanmayı düşünüyorsanız, authy gibi bir totp 2fa ile ekstra şifreleme öneririm ve authy'yi bulut yedeği ile kullanmanızı öneririm. bu sayede, birisi bitwarden hesabınızın e-posta ve şifresine erişse bile authy üzerinden totp şifresini almak zorunda kalır ki bu da sizin telefonunuza erişimi olmadıkça imkansız.
  
  bir uyarı yapayım, böyle bir şifre yöneticisi kullanacaksanız, 'genellikle' kullandığınız şifreyi kullanmayı bırakmalısınız. 90 siteye aynı şifreyi koymak, birisi patlarsa hepsinin patlaması anlamına gelir. bu tür uygulamaların amacı, 1 ana ve hiçbir yerde kullanmadığınız bir şifre belirlemek ve diğer şifrelerinizi hatırlamanıza gerek kalmamasıdır.
  
  ayrıca, bir arkadaş 'neden tarayıcı içerisindekini kullanmıyoruz, yeterli değil mi?' diye sormuş. kısa cevap: hayır, değil. uzun cevap: tarayıcılar çok fazla zaafiyete sahip ve google'ı kullanıyorsanız, google hesabınızın hacklenmesi tüm hesaplarınızın risk altında olması anlamına gelir. bitwarden gibi bir yazılım sayesinde, tarayıcıya veya işletim sistemine (android/chrome) bağımlı olmazsınız ve istediğiniz zaman, istediğiniz yere geçebilirsiniz çünkü her platformda kullanabilirsiniz.
• windows ortamında pano okuyan zararlı yazılımlara karşı önlem almayan şifre yöneticisi. keşke şifreyi seçip bir tuşa basarak kopyalama yapmadan klavye taklidi yaparak şifreyi yazabilme özelliği olsaydı.
  
  windows'ta pano erişimi izni istemeden her uygulama kopyalanan her şeye erişebiliyor. tarayıcı üzerinden otomatik doldurma çalışmayan durumlarda şifreleri kopyalayarak girmek gerekirse bu da güvenlik açığına sebep oluyor. arkada çalışan herhangi bir yazılım rahatlıkla kopyalanmış şifreyi okuyabilir.
• şifrenizi unutursanız ,resetleyemezler veya yenisini gönderemezler çünkü şifrenize onlar da sahip değiller.
• şifreyi unuttuğunuzda herşey çöpe gider ve öyle olması gerekir. bu bir güvenlik özelliğidir. bitwarden şifrelerinizin sadece şifrelenmiş halini tutuyor sunucularında.