Akademik Bilişim '10 10 - 12 Şubat 2010 Muğla

Öncül Parola Denetimi Yöntemiyle Parola Seçim Sistemi: Türkçe Parolalar için Bir Araştırmaİlker Korkmaz, Mehmet Emin DalkılıçArdıl parola denetimi, sistemde kullanılanparolaların zaman içinde sistem yöneticileritarafından denetimi ve genellikle parola kırıcıyazılımlar aracılığıyla yapılan bu denetimlerdekırılabilen zayıf parolaların sahiplerinin yeniparola seçmeye zorlanması ilkesine dayanmaktadır.Bu yöntemde sonradan ek denetimişi mevcut olup bu işin akasayabildiği ve birkez sisteme giren zayıf parolaların değiştirilinceyekadar kullanılması ile sistemde güvenlikzafiyeti oluştuğu bilinmektedir [1].Öncül parola denetimi yöntemi ise kullanıcınınilk parola seçimi ve her parola yenilemesi sırasındaseçtiği parolanın anında denetlenmesi,zayıf olduğu tespit edilirse kabul edilmemesive bu durumda kullanıcının yeni bir parolaseçmesine itilmesi ilkesi üzerine kuruludur.Öncül parola denetim yazılımları temel olarakbir zayıf parola modeli oluşturur ve aday parolalarıbu modele göre değerlendirerek modeleuyanları zayıf olarak belirleyip onların sistemegirişine izin vermez.Türkçe kelimeleri dikkate alan bir öncül paroladenetim yaklaşımının Türkiye’deki bilgisayarsistemlerinin güvenliğinin sağlanması konusundakatkı sağlayabileceği düşünülmektedir [1].Bu bildiride, ilk yazarın Yüksek Lisans Tezi[1] kapsamında, Türkçe parolaların denetlenebilmesiiçin öncül parola denetleme araçlarından“Hyppocrates” [4] yazılımının kullanımınayönelik araştırmaların verileri sunulmaktadır.Bu bildirinin ilerleyen bölümlerinde düzen şuşekildedir: 2. bölümde öncül parola denetimihakkında literatür taraması aktarılmakta, 3.bölümde “Hyppocrates” programı kullanılarakTürkçe parola adayları ile yapılan deneylersunulmakta, son bölümde de sonuçlar ve ilgiliöneriler verilmektedir.2. Öncül Parola DenetimiBu bölümde öncül parola denetiminde kullanılantemel yaklaşımlar aktarılacak ve karar ağacı yöntemiyleöncül parola denetimi açıklanacaktır.1722.1 Öncül Parola Denetimi YaklaşımlarıÖncül parola denetiminin temelinde, denetlenenaday parolanın güçlü veya zayıf olarak değerlendirilmesiyatmaktadır. Çeşitli yöntemlerkullanılarak oluşturulan öncül parola denetimimekanizmalarından geçirilen parolalar, ilgiliprosedürler tarafından değerlendirilip kullanılanparola kriterlerine uygun değilse zayıf olarak,uygunsa güçlü olarak sınıflandırılır.Öncül parola denetimi için kullanılan yaklaşımlar;kural tabanlı modeller, Bloom filtreleriyaklaşımı, Markov modeli yaklaşımı ve kararağaçları modeli bazlı denetim yöntemleri olaraksınıflandırılabilir.Kural tabanlı modellerin kullanıldığı öncül paroladenetimi yöntemlerinde, belirlenen çeşitlikurallara uygun şekilde seçilen parolalar denetimdenbaşarıyla geçerken, karakter nitelikleriaçısından herhangi bir kurala uymayan parolalarzayıf olarak sınıflandırılmaktadır ve sistemtarafından bu parolaların seçimlerine izinverilmemektedir. Kurallara dayalı kullanılandenetleme politikaları içeriğinde, genel olarak,parolanın en az 8 karakter uzunlukta olması,parolanın ilk 8 karakteri içinde en az 1 büyükharf ve 1 rakamsal karakter bulunması gibi kurallarmevcuttur [3]. Ancak, bu yöntemde kurallarınçok sıkı olması, kullanıcıları sistemdensoğutabilir.Kural tabanlı modele dayalı olarak çalışan öncülparola denetleyici programları, merkezindebir konfigürasyon dosyası barındırır. Bu dosya,ilgili kuralları ve bu kurallara dayalı denetlemeninkontrol yapılarını içerir. Genelde, budosya aracılığıyla, ilgili sistemlerin parola yönetimmekanizmalarına, öncül parola denetimmekanizması, yama (patch) şeklinde de eklenebilmektedir.Bu dosyanın sistem yöneticisitarafından ayarlanması sonucu, program denetlemeişlemine hazır duruma getirilir. UNIXsistemlerde kullanılmak üzere hazırlanmış biröncül parola denetleyicisi olan “pwcheck” buşekilde kullanılabilmektedir [5].Diğer bir öncül parola denetimi yaklaşımı olarak,Bloom [6] filtresi kullanımına dayananmodel öne sürülmüştür. Öncelikle Bloom filtresitanımlanmak istenirse, bir Bloom filtresi, birparolayı ilgili bir öz (hash) fonksiyonu aracılığıylasonlu bir değerle eşleştirir. “k.” derecedenbir Bloom filtresi, k adet bağımsız öz fonksiyonundanoluşmaktadır. 0 ila N-1 arasındakitamsayı değerlerini cevap olarak döndüren bufonksiyonların her birisi, aynı parolayı N bitlikbir öz tablosu içindeki ilgili bit değeri ile eşleştirir.Tablodaki her bit 0 değerine kurulduktansonra, hazır olarak bulundurulan mevcut sözlükteyer alan her parola için öz değeri hesapedilir ve sonuçlarla ilişkili bütün bit değerleri1 olarak kurulur.Eğitim sırasında tüm parolaların aynı işleme tabitutulması sonrasında kurulan bitlerle öz tablosuhazırlanmış olur. Denetleme amacıyla, bir adayparola değerlendirilirken, eğitimde kullanılantüm öz fonksiyonlarından ayrı ayrı geçirilir veeşleştirildiği sonuçla ilişkili bitler kontrol edilir.Eğer fonksiyonların döndürdüğü sonuçlarlailişkili bit değerlerinin hepsi de tabloda kurulukonumda ise parola reddedilir. Eşleştirilen sonuçlaragöre tabloda gösterilen herhangi bir bitkurulmamış konumda ise parola kabul edilir.Bloom filtreleri modeliyle oluşturulan bir öncülparola denetimi yazılımına “Obvious PasswordUtility System (OPUS)” [7] örnek verilebilir.Bu modelde parola kontrol zaman karmaşıklığıO(1) olarak sabit ve çok hızlı olsa da, düşükhata oranları için ihtiyaç duyulan çok sayıda parolaadayı içeren sözlükten üretilen öz tablosununkapladığı alan sorun olabilmektedir [7].Yer ve zaman sorununa çözüm getirmek amacıyladüşünülen bir öncül parola denetimi yaklaşımı,Markov zinciri modeline dayanmaktadır.Genel olarak bir Markov modeli, [m, A,T, k] şeklinde bir dörtlü (quadruple) ile ifadeedilebilir [3]. Bu ifadede, m, modeldeki durum(state) sayısını; A, modeldeki durum uzayını;T, geçiş olasılıkları matrisini; k ise modelinderecesini belirtmektedir. “k.” dereceden birMarkov modelinde, belirtilen bir harfe geçişAkademik Bilişim’10 - XII. Akademik Bilişim Konferansı Bildirileri10 - 12 Şubat 2010 Muğla Üniversitesi173yapma olasılığı üretilmiş olan geçmiş k adetharfe bağlı olmaktadır.Markov modeli ile parola denetimi için önceliklezayıf parolaları barındıran bir eğitimsözlüğü derlenir. Daha sonra, bu sözlüktekiparolalar kullanılarak, modeldeki olası geçişmatrisleri hesaplanır. Böylece, sözlükteki parolalarınyapısı modellenmiş olur. Test edilirken,değerlendirilen bir parolanın zayıf olupolmadığına, parolanın ilgili Markov modeli ileüretilip üretilememesi çıkarsamasına göre kararverilir [3]. Örnek olarak, “BApasswd” [8],üçlü harf grupları ile Markov modeli kullananbir yazılımdır.Karar ağacı modeline dayanan bir yaklaşımlaöncül parola denetimi yapabilmek üzere, eğitimsafhasında, zayıf veya güçlü olarak sınıflandırılmışolan parolaları barındıran sözlükler ile birkarar ağacı yapısı derlenir. Oluşturulan kararağacı yapısının kök düğümüne, denetlenmeküzere verilen bir aday parola, karar ağacı üzerindeçeşitli niteliklere göre değerlendirilerekyaprak düğümlere doğru yönlendirilir ve ulaştığıterminal düğümde verilen son karara görezayıf veya güçlü olarak sınıflandırılmış olur.2.2 Karar Ağacı Yöntemi ile ParolaSınıflandırılması ve Öncül Parola DenetimiKarar ağacı yapıları, çeşitli niteliklere göre, belirlibir sonlu küme içindeki sınıf değerlerindenbirine karar vermek amacıyla birçok alandakullanılabilmektedir. İlk defa Bergadano v.d.[2] tarafından, öncül bir parola denetleyicisinineğitim aşaması bir çeşit makine öğrenme (machinelearning) problemi olarak değerlendirilipkarar ağacının öğrenme yöntemi ile kendisinioluşturması ve üretilen karar ağacı yapısının,parolaları zayıf veya güçlü olarak sınıflandırmasıdüşünülmüştür. Sözlüklerde yer alan kelimelerzayıf parola adayları olarak, sözlüklerdeyer almayacak şekilde rastgele üretilen parolalarda güçlü adaylar olarak kümelenerek, kararağacı yapısı eğitilmiştir. Denetleme esnasındakarar ağacının kök düğümüne verilen bir parola,düğümlerde sorgulanan niteliklere göre uy-