Birçok teknik makalede iki kavramın sıklıkla karıştırıldığını görürüz: parola ve şifre. Teknik olarak kullanım amaçları farklı olmasına rağmen bu iki kelime çoğu yazıda aynı anlamda kullanılır. Siz de okuduğunuz makalelerde bunun sıkça tekrarlandığına denk gelmişsinizdir.
Bu kavramların karıştırılması, güvenlik eğitimlerinde bile yanlış terminoloji kullanılmasına neden olabiliyor.
Parola, bir kullanıcının sisteme kimliğini doğrulamak için sağladığı gizli bilgidir. Şifre ise bir veriyi belirli bir algoritmayla okunamaz hale getiren işlem ya da yöntemdir. Bu ayrım hem uygulama geliştiriciler hem de güvenlik mimarileri açısından önem taşır.
Parola, kimlik doğrulama zincirinin ilk basamağıdır. Bir uygulama genelde kullanıcı adı ve parola kombinasyonunu alır, bu bilgiyi tek yönlü bir özet fonksiyonu ile işler ve veritabanındaki hash değeriyle karşılaştırır. Buradaki kritik nokta, parolanın kendisinin asla düz metin olarak saklanmamasıdır.
Maalesef birçok uygulamada veya veritabanında, yönetici ya da uygulama hesaplarına ait parolaların hâlâ düz metin olarak saklandığı örneklerle karşılaşabiliyoruz.
“Parola oluştururken tek hedefiniz onu kolay hatırlamak olmamalı. Asıl amaç, hesabınızı ve verinizi gerçekten güvende tutmak olmalı.”
2025 yılında sızdırılmış 2 milyardan fazla veriyi analiz eden Comparitech, en çok kullanılan parolaları açıkladı.
“123456”, toplamda 7,6 milyon adet hesapta kullanılarak en çok kullanılan parola oldu. İlk 10’da bu parolayı sırasıyla “12345678”, “123456789”, “admin”, “1234”, “Aa123456”, “12345”, “password”, “123” ve “1234567890” takip etti. Comparitech, en çok kullanılan 1000 parola yüzde 38,6’sında “123” dizisi yer aldığına ve sadece yüzde 3,2’sinde 16 veya daha fazla karakterli bir dizi tercih edildiğine dikkat çekti.
Peki güvenli bir parola nasıl oluşturulur? Birçok kullanıcı 12–14 karakterlik parolalarını yeterince güvenli gördüğünü düşünüyor. Oysa parolanın gerçek gücü uzunluğunda, çeşitliliğinde ve tahmin edilmesini zorlaştıran yapısında yatar. Rastgele kelimelerden oluşan uzun passphrase’ler, semboller ve rakamlarla desteklenmiş ifadeler daha güvenlidir. Parola yöneticileri kullanmak da güçlü parolalar üretmeyi ve saklamayı kolaylaştırır.
Passphrase, klasik paroladan daha uzun ve daha güvenli olan bir parola türüdür.
Temel fark, tek bir kelime ya da kısa bir karakter dizisi yerine birden fazla kelimenin, bazen de ek sembollerin bir araya gelmesiyle oluşturulmasıdır.
Bunu şöyle düşünebilirsin:
- Parola: “Kedi123!”
- Passphrase: “Mavi_Bisiklet_Orman_2026!”
- ya da “Kahve sabah bilgisayar ışık!”
Şifre ise paroladan tamamen farklı bir kavramdır. Şifreleme, veriyi saklarken veya aktarırken korunmasını hedefler. AES gibi simetrik algoritmalar veriyi tek bir anahtarla şifreleyip çözebilir. RSA ve ECC gibi asimetrik yöntemler ise açık ve özel anahtar yapısıyla çalışır. TLS kullanan HTTPS bağlantıları bu iki yöntemi birlikte kullanarak hem güvenli anahtar değişimi hem de hızlı veri şifreleme sağlar. Burada amaç kullanıcıyı doğrulamak değil, veriyi dış müdahalelere karşı korumaktır.
Günlük kullanımda bu fark şöyle görünür. Bir e-posta servisine giriş yaparken parola girersiniz. Sunucu, girilen parolayı aynı algoritmayla tekrar hash eder ve elde ettiği değeri veritabanında saklanan hash ile karşılaştırarak kimliğinizi doğrular. Giriş yaptıktan sonra gönderdiğiniz e-postanın sunucuya giderken şifrelenmesi ise şifreleme protokollerinin görevidir. Yani parola sizin kapıdan girişinizi sağlar. Şifreleme ise içeride dolaşan veriyi korur.
Kısaca: Parola mı, Şifre mi?
- Parola: kullanıcının kimliğini doğrular. Hesaba ve sisteme girişte kullanılır (örneğin e-posta girişi). Sistemde geri çözülemeyen bir hash olarak tutulur. İngilizce karşılığı: password, passphrase.
- Şifre (şifreleme): veriyi okunamaz hale getirir. Saklanan ya da iletilen veriye uygulanır (örneğin HTTPS, disk şifreleme, AES). Doğru anahtarla geri çözülebilir. İngilizce karşılığı: encryption, cipher.
Temel Şifreleme Yöntemleri
1-Simetrik Anahtarlı Şifreleme
Simetrik şifrelemede veriyi şifrelemek ve tekrar çözmek için aynı anahtar kullanılır. Bu yöntem oldukça hızlı olduğu için büyük miktardaki verilerin korunmasında tercih edilir.
En yaygın örneklerden biri AES (Advanced Encryption Standard) algoritmasıdır. Disk şifreleme, veritabanı şifreleme ve HTTPS oturumlarında aktarılan verilerin korunmasında yaygın olarak kullanılır.
2-Asimetrik Anahtarlı Şifreleme
Asimetrik şifrelemede biri açık (public), diğeri özel (private) olmak üzere iki farklı anahtar bulunur.
Açık anahtar ile şifrelenen veri yalnızca özel anahtar ile çözülebilir. Bu yöntem, güvenli anahtar paylaşımı, dijital sertifikalar ve dijital imza süreçlerinde yaygın olarak kullanılır.
En bilinen algoritmalar RSA ve ECC’dir.
3-Blok Şifreleme
Blok şifreleme, veriyi belirli büyüklükte bloklara ayırarak her bloğu ayrı ayrı şifreler.
Yüksek güvenlik sağladığı için dosya şifreleme, disk şifreleme ve kurumsal uygulamalarda en yaygın kullanılan yöntemlerden biridir. AES, blok şifreleme algoritmalarının en bilinen örneğidir.
4-Akış Şifreleme
Akış şifreleme, veriyi bloklar yerine bit bit veya bayt bayt şifreler.
Gerçek zamanlı veri iletişimi gerektiren uygulamalarda düşük gecikme ve yüksek performans sağladığı için tercih edilir. Günümüzde ChaCha20, en güvenli ve yaygın kullanılan akış şifreleme algoritmalarından biridir.
Mimari Düzeyde Şifreleme
Uçtan Uca Şifreleme (E2EE)
Teknik olarak bir şifreleme türü değil, bir mimaridir. Veri, gönderen tarafından şifrelenir ve yalnızca alıcı çözer. Aradaki sunucu mesajı çözemez.
Signal protokolü, WhatsApp, iMessage.
Parolalar Sistemlerde Nasıl Saklanmalı?
Parolayı doğrulamak için onun kendisini bilmek gerekmez; sistemin yalnızca girilen parolanın doğru olup olmadığını kontrol edebilmesi yeterlidir. Bu yüzden parolalar şifrelenerek değil, hash’lenerek saklanır. MD5, SHA-1 ya da tek başına SHA-256 gibi hızlı özet fonksiyonları bu iş için uygun değildir: saldırgan saniyede çok sayıda deneme yapabilir. Parola için tasarlanmış, bilerek yavaş ve bellek yoğun algoritmalar kullanılmalıdır.
OWASP’ın Password Storage Cheat Sheet önerisi şöyledir: ilk tercih Argon2id (en az 19 MiB bellek, 2 iterasyon, 1 paralellik); bu yoksa scrypt; yalnızca eski sistemlerde bcrypt (work factor en az 10); FIPS uyumu gerekiyorsa PBKDF2 (HMAC-SHA-256 ile en az 600.000 iterasyon).
Her parola için benzersiz ve rastgele bir salt üretilmelidir. Böylece aynı parolalar aynı hash’i vermez ve hazır hash tabloları işe yaramaz. Veritabanından ayrı tutulan gizli bir “pepper” ek bir savunma katmanıdır. Parolaları düz metin saklayan bir uygulamada veritabanı sızdığında tüm kullanıcıların parolası anında ele geçirilmiş olur.
Güçlü Parola İçin Güncel Öneriler
Parola kuralları son yıllarda değişti. NIST’in SP 800-63B Revizyon 4 rehberi (Bölüm 3.1.1.2), parolaları doğrulayan sistemler için şunları öngörüyor:
- Parola tek başına kimlik doğrulama yöntemiyse en az 15 karakter; çok faktörlü doğrulamanın bir parçasıysa en az 8 karakter olmalıdır.
- Sistemler en az 64 karakterlik parolalara izin vermelidir.
- Büyük harf, rakam, sembol gibi zorunlu karakter karışımı kuralları uygulanmamalıdır.
- Parola, belirli aralıklarla değiştirmeye zorlanmamalı; yalnızca ele geçirildiğine dair bir kanıt olduğunda değiştirilmelidir.
- Yeni parola, yaygın ya da sızmış parolalar listesine karşı kontrol edilmelidir.
- Parola yöneticilerine ve otomatik doldurmaya izin verilmeli, yapıştırma engellenmemelidir.
Kullanıcı açısından pratik sonuç: “P@ssw0rd!” gibi kısa ama karmaşık görünen bir parola yerine uzun ve rastgele bir passphrase; her hesap için ayrı bir parola; ve bunları ezberlemek yerine bir parola yöneticisinde tutmak.
Parolanın Tek Başına Yetmediği Yerde: Çok Faktörlü Doğrulama
En güçlü parola bile oltalama (phishing) ile ele geçirilebilir ya da başka bir sızıntıdan tekrar kullanılabilir. Bu nedenle özellikle yönetici, e-posta, uzaktan erişim ve bulut hesaplarında çok faktörlü doğrulama (MFA) kullanılmalıdır. Genel kabul gören sıralama şöyledir: SMS ile gelen kod, uygulama tabanlı tek kullanımlık kod (TOTP), donanım anahtarı veya passkey (FIDO2/WebAuthn). Sonuncusu oltalamaya karşı en dirençli yöntemdir.
Kurumlar İçin Parola ve Şifreleme Kontrol Listesi
Kurumunuzda aşağıdaki soruların kaçına “evet” diyebiliyorsunuz? Bu başlıkların her biri Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı kapsamında ele alınır.
- Parolalar; yönetici ve servis hesapları dahil, düz metin ya da geri çözülebilir şifreleme yerine Argon2id/bcrypt gibi parola hash’iyle mi saklanıyor?
- Yönetici, uzaktan erişim ve e-posta hesaplarında MFA zorunlu mu?
- Parola politikası uzunluğa dayanıyor mu, sızmış parolalar engelleniyor mu?
- Çalışanlara parola yöneticisi sağlanıyor mu?
- Servis ve uygulama parolaları kodda, betikte ya da paylaşılan dosyalarda düz metin duruyor mu?
- Sunucu ve istemci diskleri ile yedekler şifreli mi?
- Web trafiği TLS (HTTPS) ile korunuyor mu, sertifika yenilemeleri izleniyor mu?
- Kişisel veri işleyen sistemlerde bu tedbirler, 6698 sayılı Kanun’un 12. maddesi kapsamında teknik tedbir olarak kayıt altında mı?
Sık Sorulan Sorular
Parola ile şifre aynı şey mi?
Hayır. Parola, kimliği doğrulamak için kullanılan gizli bilgidir. Şifre (şifreleme) ise veriyi bir anahtarla okunamaz hale getiren yöntemdir. Günlük dilde ikisi sık sık karıştırılır.
Passphrase nedir?
Birden fazla kelimeden oluşan, klasik paroladan uzun ve genellikle daha güvenli bir parola türüdür. Uzunluğu sayesinde tahmin edilmesi zordur, ama yine de her hesapta ayrı olmalıdır.
Parola hash’lenir mi, şifrelenir mi?
Hash’lenir. Şifrelenen veri anahtarla geri çözülebilir; hash geri çözülemez, sistem yalnızca girilen parolanın hash’ini saklanan hash ile karşılaştırır.
Parolamı ne sıklıkla değiştirmeliyim?
NIST, belirli aralıklarla zorunlu parola değişikliği istenmemesini şart koşuyor. Uzun ve her hesap için benzersiz bir parola kullanın; bir sızıntıdan ya da şüpheli bir durumdan haberdar olursanız hemen değiştirin.
Parola yöneticisi güvenli mi?
Güvenilir bir parola yöneticisi, güçlü bir ana parola ve MFA ile kullanıldığında parolaları tekrar kullanmaktan ya da not defterinde tutmaktan genellikle daha güvenlidir. Tek hata noktası olduğu için ana hesabınızı MFA ile korumalısınız.
AES ile RSA arasındaki fark nedir?
AES simetriktir: aynı anahtarla şifreler ve çözer, hızlıdır ve büyük veri için kullanılır. RSA asimetriktir: açık ve özel anahtar çifti kullanır, anahtar değişimi ve dijital imza için uygundur. HTTPS ikisini birlikte kullanır.
Son olarak: Bir sohbet sırasında, teknik bir içerikte ya da bir uygulama ayarında “şifre” kelimesinin yanlış kullanıldığını fark ettiğinizde bunun aslında “parola” olması gerektiğini söylemek, bu kavramların doğru kullanımını yaygınlaştırmaya yardımcı olur.
Kurumunuzda parola politikası, çok faktörlü doğrulama ve veri şifreleme uygulamalarını gözden geçirmek isterseniz Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı hizmetimizi inceleyebilir veya bizimle iletişime geçebilirsiniz.