A Guessing-Based Security and Usability Analysis of Password Generation Strategies

Öz

Parola tabanlı kimlik doğrulama, dijital sistemlerin en yaygın güvenlik katmanı olmayı sürdürmekte; ancak kullanıcı kaynaklı zayıf parolalar bu katmanı kırılgan hâle getirmektedir. Bu çalışmada dört parola üretim stratejisi (sızdırılmış parolalar, kurallı insan parolaları, parola cümleleri ve kriptografik rastgele parolalar) nicel ve tahmin temelli (guessing-based) bir çerçevede karşılaştırılmıştır. Sızdırılmış kategori için, literatürün standart referansı olan RockYou derleminin tamamı (14.339.975 geçerli parola) işlenmiş; diğer üç kategori, belgelenmiş üretim parametreleriyle her biri 500.000 örnekten oluşacak biçimde sentezlenmiştir. Önceki çalışmalardan farklı olarak güvenlik, ham karakter sınıfı entropisiyle değil, kategoriye özgü optimal saldırıda gereken tahmin sayısının ikili logaritması (efektif güvenlik biti) ile ölçülmüştür. Sızdırılmış parolalarda tahmin sayısı, sıklığa göre sıralı derlemdeki sıra (rank) değerine; sentetik gruplarda ise üretim sürecinin anahtar uzayına karşılık gelmektedir. Kırılma süreleri, çevrimiçi kısıtlı erişimden GPU kümesine uzanan beş saldırgan donanım profili altında kestirilmiştir. Bulgular, sızdırılmış ve kurallı parolaların medyan efektif güvenliğinin sırasıyla yalnızca 22,8 ve 19,6 bit düzeyinde kaldığını ve her iki grubun tamamının bir yıllık güvenlik eşiğinin altında yer aldığını göstermektedir. Buna karşılık parola cümleleri (medyan 64,6 bit) ile kriptografik parolalar (medyan 78,7 bit), yeterli uzunlukta seçildiklerinde güçlü bir koruma sağlamaktadır. Kruskal-Wallis testi kategoriler arasında anlamlı bir fark ortaya koymuş (H = 342.881; p < 0,001), ikili karşılaştırmalarda etki büyüklükleri 0,56-1,00 aralığında hesaplanmıştır. Literatüre dayalı kavramsal değerlendirme, düşük bilişsel yük ile yüksek güvenliği bir araya getiren parola cümlelerinin en dengeli seçenek olduğuna işaret etmektedir. Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.

Anahtar Kelimeler

• password security
• guessing-based metric
• effective entropy
• passphrase
• RockYou dataset
• cracking time

Etik Beyan

This article does not require ethical committee approval. There is no conflict of interest with any individual or organization in this article.

Parola Üretim Stratejilerinin Tahmin Temelli Güvenlik ve Kullanılabilirlik Analizi

Öz

Parola tabanlı kimlik doğrulama, dijital sistemlerin en yaygın güvenlik katmanı olmayı sürdürmekte; ancak kullanıcı kaynaklı zayıf parolalar bu katmanı kırılgan hâle getirmektedir. Bu çalışmada dört parola üretim stratejisi (sızdırılmış parolalar, kurallı insan parolaları, parola cümleleri ve kriptografik rastgele parolalar) nicel ve tahmin temelli (guessing-based) bir çerçevede karşılaştırılmıştır. Sızdırılmış kategori için, literatürün standart referansı olan RockYou derleminin tamamı (14.339.975 geçerli parola) işlenmiş; diğer üç kategori, belgelenmiş üretim parametreleriyle her biri 500.000 örnekten oluşacak biçimde sentezlenmiştir. Önceki çalışmalardan farklı olarak güvenlik, ham karakter sınıfı entropisiyle değil, kategoriye özgü optimal saldırıda gereken tahmin sayısının ikili logaritması (efektif güvenlik biti) ile ölçülmüştür. Sızdırılmış parolalarda tahmin sayısı, sıklığa göre sıralı derlemdeki sıra (rank) değerine; sentetik gruplarda ise üretim sürecinin anahtar uzayına karşılık gelmektedir. Kırılma süreleri, çevrimiçi kısıtlı erişimden GPU kümesine uzanan beş saldırgan donanım profili altında kestirilmiştir. Bulgular, sızdırılmış ve kurallı parolaların medyan efektif güvenliğinin sırasıyla yalnızca 22,8 ve 19,6 bit düzeyinde kaldığını ve her iki grubun tamamının bir yıllık güvenlik eşiğinin altında yer aldığını göstermektedir. Buna karşılık parola cümleleri (medyan 64,6 bit) ile kriptografik parolalar (medyan 78,7 bit), yeterli uzunlukta seçildiklerinde güçlü bir koruma sağlamaktadır. Kruskal-Wallis testi kategoriler arasında anlamlı bir fark ortaya koymuş (H = 342.881; p < 0,001), ikili karşılaştırmalarda etki büyüklükleri 0,56-1,00 aralığında hesaplanmıştır. Literatüre dayalı kavramsal değerlendirme, düşük bilişsel yük ile yüksek güvenliği bir araya getiren parola cümlelerinin en dengeli seçenek olduğuna işaret etmektedir. Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.

Anahtar Kelimeler

• parola güvenliği
• tahmin temelli metrik
• efektif entropi
• parola cümlesi
• RockYou veri seti
• kırılma süresi

Etik Beyan

Hazırlanan makalede etik kurul izni alınmasına gerek yoktur. Hazırlanan makalede herhangi bir kişi/kurum ile çıkar çatışması bulunmamaktadır.

Kaynakça

1. [1] J. Bonneau, C. Herley, P. C. van Oorschot, ve F. Stajano, “The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 553-567. doi: 10.1109/SP.2012.44.
2. [2] S. Özçelik ve C. Özarpa, “Personel Kaynaklı Siber Risklerin Analizi ve Yapay Zekâ Destekli Siber Farkındalık Eğitim Modeli”, içinde 1. Uluslararası Türk Dünyası Yapay Zekâ ve Dijital Dönüşüm Kongresi (TURKWAI 2026), Bişkek, Kırgızistan: Kırgızistan-Türkiye Manas Üniversitesi, May. 2026.
3. [3] D. Florêncio, C. Herley, ve P. C. van Oorschot, “An Administrator’s Guide to Internet Password Research”, içinde Proceedings of the 28th USENIX Conference on Large Installation System Administration (LISA’14), USA: USENIX Association, 2014, ss. 35-52.
4. [4] R. Morris ve K. Thompson, “Password Security: A Case History”, Commun. ACM, c. 22, sy 11, ss. 594-597, Kas. 1979, doi: 10.1145/359168.359172.
5. [5] İ. Kara, “Kaba Kuvvet Saldırı Tespiti ve Teknik Analizi”, Sakarya University Journal of Computer and Information Sciences, c. 2, sy 2, ss. 61-69, Ağu. 2019, doi: 10.35377/saucis.02.02.561844.
6. [6] M. Weir, S. Aggarwal, B. de Medeiros, ve B. Glodek, “Password Cracking Using Probabilistic Context-Free Grammars”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2009, ss. 391-405. doi: 10.1109/SP.2009.8.
7. [7] P. G. Kelley vd., “Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 523-537. doi: 10.1109/SP.2012.38.
8. [8] M. Weir, S. Aggarwal, M. Collins, ve H. Stern, “Testing Metrics for Password Creation Policies by Attacking Large Sets of Revealed Passwords”, içinde Proceedings of the 17th ACM Conference on Computer and Communications Security (CCS ’10), New York, NY, USA: Association for Computing Machinery, 2010, ss. 162-175. doi: 10.1145/1866307.1866327.

9. [9] M. Keith, B. Shao, ve P. J. Steinbart, “The Usability of Passphrases for Authentication: An Empirical Field Study”, Int. J. Hum. Comput. Stud., c. 65, sy 1, ss. 17-28, Oca. 2007, doi: 10.1016/j.ijhcs.2006.08.005.
10. [10] Z. Li, W. He, D. Akhawe, ve D. Song, “The Emperor’s New Password Manager: Security Analysis of Web-Based Password Managers”, içinde Proceedings of the 23rd USENIX Conference on Security Symposium (SEC’14), USA: USENIX Association, 2014, ss. 465-479.
11. [11] S. Pearman vd., “Let’s Go in for a Closer Look: Observing Passwords in Their Natural Habitat”, içinde Proceedings of the ACM Conference on Computer and Communications Security, Association for Computing Machinery, Eki. 2017, ss. 295-310. doi: 10.1145/3133956.3133973.
12. [12] V. Gültekin ve N. Özel, “Üniversite Öğrencilerinin Bilgi Güvenliği Farkındalığı: Ankara Üniversitesi Örneği”, Bilgi Yönetimi, c. 6, sy 2, ss. 310-331, Ara. 2023, doi: 10.33721/by.1366855.
13. [13] A. Özdemir ve Ç. Uluyol, “Kamu Kurum ve Kuruluşlarında Bilgi Güvenliği Farkındalığı”, Türkiye Sosyal Araştırmalar Dergisi, c. 25, sy 3, ss. 649-666, Ara. 2021, doi: 10.20296/tsadergisi.815635.
14. [14] A. Karacı, H. İ. Akyüz, ve G. Bilgici, “Üniversite Öğrencilerinin Siber Güvenlik Davranışlarının İncelenmesi”, Kastamonu Eğitim Dergisi, c. 25, sy 6, ss. 2079-2094, Kas. 2017, doi: 10.24106/kefdergi.351517.
15. [15] J. Bonneau, “The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 538-552. doi: 10.1109/SP.2012.49.
16. [16] W. E. Burr, D. F. Dodson, ve W. T. Polk, “Electronic Authentication Guideline”, NIST SP 800-63, Version 1.0.2, National Institute of Standards and Technology, Gaithersburg, MD, Nis. 2006. doi: 10.6028/NIST.SP.800-63v1.0.2.
17. [17] D. L. Wheeler, “zxcvbn: Low-Budget Password Strength Estimation”, içinde 25th USENIX Security Symposium (USENIX Security 16), Austin, TX: USENIX Association, Ağu. 2016, ss. 157-173.
18. [18] W. Melicher vd., “Fast, Lean, and Accurate: Modeling Password Guessability using Neural Networks”, içinde Proceedings of the 25th USENIX Conference on Security Symposium (SEC’16), USA: USENIX Association, 2016, ss. 175-191.
19. [19] B. Ur vd., “How Does Your Password Measure Up? The Effect of Strength Meters on Password Creation”, içinde Proceedings of the 21st USENIX Conference on Security Symposium (Security’12), USA: USENIX Association, Ağu. 2012, ss. 65-80.
20. [20] X. de Carné de Carnavalet ve M. Mannan, “A Large-Scale Evaluation of High-Impact Password Strength Meters”, ACM Transactions on Information and System Security (TISSEC), c. 18, sy 1, ss. 1-32, May. 2015, doi: 10.1145/2739044.
21. [21] S. Houshmand, S. Aggarwal, ve R. Flood, “Next Gen PCFG Password Cracking”, IEEE Transactions on Information Forensics and Security, c. 10, sy 8, ss. 1776-1791, Ağu. 2015, doi: 10.1109/TIFS.2015.2428671.
22. [22] D. Florêncio ve C. Herley, “A Large-Scale Study of Web Password Habits”, içinde 16th International World Wide Web Conference, WWW2007, May. 2007, ss. 657-666. doi: 10.1145/1242572.1242661.
23. [23] M. B. İmamoğlu ve A. Eser, “Bilişsel Uyumsuzluk ve Parola Güvenliği: Kullanıcı Eğilimlerinin Analizi”, Gümüşhane Üniversitesi Sosyal Bilimler Dergisi, c. 16, sy 3, ss. 1187-1203, Eyl. 2025, doi: 10.36362/gumus.1638715.
24. [24] A. G. Reinhold, “Diceware Passphrase Home”. Erişim: 11 Mart 2026. [Çevrimiçi]. Erişim adresi: https://theworld.com/~reinhold/diceware.html
25. [25] J. Bonneau ve E. Shutova, “Linguistic Properties of Multi-Word Passphrases”, içinde Financial Cryptography and Data Security: FC 2012 Workshops, Lecture Notes in Computer Science, c. 7398, Springer, 2012, ss. 1-12. doi: 10.1007/978-3-642-34638-5_1.
26. [26] M. Dell’Amico, P. Michiardi, ve Y. Roudier, “Password Strength: An Empirical Analysis”, içinde Proceedings IEEE INFOCOM, San Diego, CA, USA: IEEE, Mar. 2010. doi: 10.1109/INFCOM.2010.5461951.
27. [27] D. Temoshok vd., “Digital Identity Guidelines: Authentication and Authenticator Management”, NIST SP 800-63B-4, National Institute of Standards and Technology, Gaithersburg, MD, Ağu. 2025. doi: 10.6028/NIST.SP.800-63B-4.
28. [28] S. Özçelik, “Akıllı Şebekelerde Personel Kaynaklı Yaşanan Siber Risklerin Analizi ve Siber Farkındalık Olgunluk Modeli Önerisi”, Yüksek Lisans Tezi, Ankara Medipol Üniversitesi, Ankara, 2026.
29. [29] S. Özçelik, “password-analysis-py-code”, GitHub deposu. Erişim: 19 Temmuz 2026. [Çevrimiçi]. Erişim adresi: https://github.com/sinanozcelikk/password-analysis-py-code