Parol menecerləri: necə işləyir və təhlükəsizdirmi?

Parol meneceri nədir?

Parol meneceri parollarınızı yaradan, saxlayan və avtomatik dolduran proqramdır ^[2]. O, veb brauzerinizə və ya telefonunuza daxil edilmiş ola bilər, yaxud üçüncü tərəfin ayrıca tətbiqi ola bilər ^[1]. Onu bir əsas parolla (çox vaxt master parol adlanır) açırsınız, buna görə də yalnız bir güclü parolu yadda saxlamalısınız ^[2].

Əsas üstünlük odur ki, hər xidmət üçün unikal paroldan istifadə edə bilərsiniz, çünki artıq onları yadda saxlamağa ehtiyac qalmır ^[1]. Bu vacibdir, çünki təkrar istifadə olunan parollar zərəri yayır. NCSC izah edir ki, bir hesab ələ keçirilsə, haker eyni parolu digər hesablarınızda sınaya bilər ^[1].

Menecerlərin çoxu həmçinin bunları təklif edir ^[1]:

• Parol yaradılması: hər hesab üçün güclü, unikal parol yaratmaq.
• Avtomatik doldurma: parolu sizin əvəzinizə daxil etmək; bu, həm də fişinqə qarşı kömək edir, çünki parol yalnız düzgün saytda doldurulur.
• Sinxronlaşdırma: parollarınızı bütün cihazlarınızda əlçatan etmək.
• Sızma xəbərdarlıqları: saxlanılmış parol sızdıqda sizi xəbərdar etmək.

Təhlükəsizlik qurumları onları tövsiyə edirmi?

Bəli. ABŞ-ın kibertəhlükəsizlik agentliyi CISA bütün parolları saxlamaq üçün parol menecerindən istifadə etməyi və seyfi güclü parol ifadəsi ilə qorumağı tövsiyə edir ^[3]. NIST-in 2025-ci il təlimatları saytlar üçün daha da irəli gedir: xidmətlər parol menecerlərinə və avtomatik doldurmaya icazə verməli, parolların yapışdırılmasına da icazə verməlidir ^[4].

Parol meneceri parolları necə qoruyur?

Saxlanılmış parollarınız seyf (vault) adlanan şifrələnmiş faylda yerləşir. Bitwarden-in dərc etdiyi təhlükəsizlik sənədi bulud əsaslı menecerin onu necə qoruduğuna dair ətraflı nümunələrdən biridir ^[5]:

1. Master parolunuz şifrələmə açarı yaratmaq üçün açar törətmə funksiyası ilə gücləndirilir; standart olaraq bu, 600,000 iterasiyalı PBKDF2-SHA256-dır. İstifadəçilər bunun əvəzinə Argon2id-ə keçə bilər ^[5].
2. Seyf hər hansı məlumat yüklənməzdən əvvəl cihazınızda AES-256 ilə şifrələnir ^[5].
3. Master parol və ondan törədilən şifrələmə açarları heç vaxt Bitwarden-in serverlərinə göndərilmir və orada saxlanılmır; server yalnız girişləri yoxlamaq üçün istifadə olunan master parol heşini alır ^[5].
4. Serverlər seyf məlumatlarını yalnız şifrələnmiş formada saxlayır və sinxronlaşdırır, Bitwarden isə işçilərinin parollarınızı görə bilmədiyini bildirir ^[5].

Bu dizayn çox vaxt sıfır bilik şifrələməsi (zero-knowledge encryption) kimi təqdim olunur: serverləri sındırılsa belə, şirkət seyfinizi oxuya bilməməlidir. Tədqiqatçılar qeyd edir ki, satıcıların iddiaları hətta tamamilə zərərli serverə qarşı qorumanı nəzərdə tutur ^[6]. Açar gücləndirilməsi master parolu təxmin etmək üçün hər cəhdi yavaşladır; şifrələnmiş seyf nə vaxtsa oğurlanarsa, uzun master parolun vacib olmasının səbəbi budur. Tədqiqatçılar köhnə LastPass hesablarında zəif master parollara və aşağı iterasiya saylarına diqqət çəkiblər ^[9].

Bəs brauzer və telefon parol menecerləri?

NCSC bildirir ki, brauzerinizin və ya əməliyyat sisteminizin parolları öz cihazlarınızda saxlamasına icazə vermək təhlükəsizdir və Chrome, Edge və Safari bunu təklif edir ^[1]. iOS 18 ilə təqdim olunan Apple-ın Passwords tətbiqi parolları, passkey-ləri, Wi-Fi parollarını və təsdiq kodlarını saxlayır. O, həmçinin asan təxmin edilən, təkrar istifadə olunan və ya məlum məlumat sızmalarında aşkarlanmış parollar barədə xəbərdarlıq edir ^[10]. NCSC qeyd edir ki, brauzerdə saxlanılan parollar yalnız cihazlarınız və hesablarınız qədər təhlükəsizdir, buna görə də avtomatik təhlükəsizlik yeniləmələrini aktiv saxlayın ^[1].

Parol menecerləri təhlükəsizdirmi?

Parol menecerləri sirlərinizi bir yerdə cəmləşdirir, buna görə də onların təhlükəsizliyi həm hücumçular, həm də tədqiqatçılar tərəfindən açıq şəkildə sınaqdan keçirilib. Bilməyə dəyər iki hadisə var.

LastPass sızmasında nə baş verdi?

2022-ci ilin avqustunda hücumçular bir-biri ilə əlaqəli iki insidentdə LastPass-a daxil oldular. İkincisində onlar baş mühəndisin şəxsi kompüterindəki media server proqramında olan boşluqdan istifadə edib onun master parolunu oğurlamaq üçün keylogger quraşdırdılar ^[8]. Bu, onlara LastPass-ın ehtiyat verilənlər bazasını endirmək üçün lazım olan açarları verdi ^[8]. 2025-ci ilin dekabrında Birləşmiş Krallığın İnformasiya Komissarı İdarəsi (ICO) LastPass-ı 1.2 milyon funt-sterlinq cərimələdi. İdarə şirkətin kifayət qədər möhkəm təhlükəsizlik tədbirləri tətbiq etmədiyini müəyyən etdi ^[8]. Birləşmiş Krallıqda 1.6 milyona qədər istifadəçi zərər çəkdi. Adlar, e-poçt ünvanları, telefon nömrələri və saxlanılmış sayt URL-ləri oğurlandı ^[8].

ICO müştəri parollarının deşifrə edildiyinə dair sübut tapmadı ^[8]. Bundan ayrı olaraq, 2023-cü ildə təhlükəsizlik tədqiqatçıları 150-dən çox qurbanı və 35 milyon dollardan çox kriptovalyuta oğurluğunu LastPass-da saxlanılan seed ifadələri ilə əlaqələndirdilər. Onlar oğurlanmış seyflərdəki zəif master parolların oflayn sındırıldığından şübhələnirdilər ^[9]. Tədqiqatçılar oğurluqları sızma ilə qəti şəkildə əlaqələndirə bilməyəcəklərini bildirdilər, buna görə də bu, təsdiqlənmiş nəticə deyil, şübhə olaraq qalır ^[9].

2026-cı il ETH Zurich araşdırması nə aşkarladı?

ETH Zurich və Università della Svizzera italiana (USI) tədqiqatçıları dörd bulud menecerinin «sıfır bilik» iddialarının, məsələn, sızmadan sonra şirkətin serveri tamamilə zərərli olduqda qüvvədə qalıb-qalmadığını yoxladılar ^[6]. Onlar Bitwarden-ə qarşı 12, LastPass-a qarşı 7, Dashlane-ə qarşı 6 və 1Password-ə qarşı 6 fərqli hücum təqdim etdilər ^[6]. Onların çoxu parolların bərpasına imkan verir, ən ağırları isə təşkilatdakı bütün seyflərin tam ələ keçirilməsinə qədər gedib çıxır ^[6].

Kontekst vacibdir. Hücumlar hücumçunun artıq satıcının serverlərinə nəzarət etdiyini fərz edir ^[7]. Onların çoxu daha sonra hesaba daxil olmaq və ya sinxronlaşdırma kimi adi istifadəçi hərəkətləri tələb edir; digərləri isə paylaşma və ya açar rotasiyası kimi hərəkətlərə ehtiyac duyur ^[7]. Tədqiqatçılar nəticələri satıcılara açıqladılar və düzəlişlər üzərində iş gedir ^[6]. Dashlane ən ciddi probleminin səbəbi olan köhnə kriptoqrafiyanı sildiyini bildirdi, LastPass isə ciddilik qiymətləndirməsinin bəzi hissələrinə etiraz etdi ^[7]. Tədqiqatçılar qabaqcıl hücumçuların bu zəif cəhətlərdən artıq xəbərdar olması ehtimalını istisna edə bilmədiklərini bildirdilər ^[7].

Bəs yenə də ondan istifadə etməlisinizmi?

Rəsmi tövsiyə yenə də «bəli»dir. Həm NCSC ^[1], həm də CISA ^[3] parol menecerlərini tövsiyə edir, çünki insanların çoxu üçün alternativ zəif parolları təkrar istifadə etməkdir. Bu hadisələrdən çıxan dərslər güclü master parol seçmək, iki addımlı yoxlamanı aktivləşdirmək və proqramı yenilənmiş saxlamaqdır ^[1][3].

Parol menecerləri parolları saxlamağın digər yolları ilə necə müqayisə olunur?

Hər yanaşma rahatlıqla müxtəlif riskləri qarşı-qarşıya qoyur. NCSC bəzi insanlar, məsələn, hesablarını idarə etmək üçün ailə üzvlərinin köməyinə ehtiyacı olanlar üçün parolları dəftərə yazmağı məqbul sayır, çünki hücumçuya fiziki giriş lazım olardı ^[1]. Lakin o xəbərdarlıq edir ki, bəzi banklar parolları yazmağı qadağan edir, girişi olan hər kəs onları köçürə bilər və siz avtomatik doldurmanın fişinq saytlarına qarşı qorumasını itirirsiniz ^[1]. CISA parolları kompüterdəki faylda saxlamamağı tövsiyə edir ^[2].

Parol menecerini necə seçmək və qurmaq olar?

NCSC bildirir ki, ən yaxşı parol meneceri ehtiyaclarınıza cavab verən və istifadəsini ən asan hesab etdiyiniz menecerdir ^[1]. Nəzərə alınacaq amillərə onun bütün cihazlarınızda və əməliyyat sistemlərinizdə işləyib-işləmədiyi, yaratdığı parollara nəzarət edə bilib-bilmədiyiniz, pul ödəyəcəyiniz və ya pulsuz versiyadan istifadə edəcəyiniz, həmçinin parol paylaşma və ya sızma xəbərdarlıqları kimi əlavə funksiyalar daxildir ^[1]. Üçüncü tərəf menecerinin brauzer menecerindən əsas üstünlüyü müxtəlif brauzerlər və cihazlar arasında sinxronlaşdırmadır ^[1].

1. Güclü master parol yaradın. CISA ən azı 16 simvoldan ibarət, ya təsadüfi, ya da 4-dən 7-yə qədər bir-biri ilə əlaqəsiz sözdən ibarət parol ifadəsi tövsiyə edir ^[2] və seyf parolunun uzun, unikal və təsadüfi olmalı olduğunu bildirir ^[3].
2. Menecer üçün iki addımlı yoxlamanı aktivləşdirin. NCSC bildirir ki, bu, cinayətkarlar əsas parolunuzu öyrənsələr belə, onları kənarda saxlayır ^[1].
3. Bərpanı qurun. Əsas parolu unutsanız, bir çox menecer parol ipucları və ya etibarlı şəxslər vasitəsilə təcili giriş təklif edir ^[1]. Bunları ehtiyac yaranmazdan əvvəl qurun.
4. Zəif parolları dəyişin. Mövcud parolları nəzərdən keçirin və uzun, unikal və təsadüfi olmayanları menecerin yaratdığı parollarla əvəz edin ^[3].
5. Ortaq kompüterlərdən çəkinin. Parolları heç vaxt ortaq və ya ictimai kompüterin brauzerində saxlamayın ^[1].
6. Təklif olunan yerlərdə passkey əlavə edin. NCSC indi passkey-ləri birinci giriş seçimi kimi, passkey olmayan yerlərdə isə güclü parollar və iki addımlı yoxlamanı tövsiyə edir ^[11]. Bir çox menecer passkey-ləri də saxlayır; NCSC bu alətləri giriş məlumatları menecerləri adlandırır ^[12].

Rəsmi təlimatlar indi hansı parol qaydalarını tövsiyə edir?

2025-ci ildə yekunlaşdırılmış NIST SP 800-63B-4 saytlar və xidmətlər üçün uzun müddət qüvvədə olan parol qaydalarını parol menecerlərinə uyğun şəkildə dəyişdi ^[4]:

• Yeganə faktor kimi istifadə olunan parollar ən azı 15 simvol, başqa faktorla birlikdə istifadə olunanlar isə ən azı 8 simvol olmalıdır ^[4].
• Xidmətlər ən azı 64 simvolluq parollara icazə verməlidir ^[4].
• Xidmətlər müxtəlif simvol növlərinin qarışığını tələb etmək kimi tərkib qaydaları tətbiq etməməlidir ^[4].
• Xidmətlər parolların dövri dəyişdirilməsini məcburi etməməlidir, lakin ələ keçirilmə sübutu olduqda dəyişikliyi tələb etməlidir ^[4].
• Yeni parollar geniş yayılmış, gözlənilən və ya ələ keçirilmiş parolların qadağan siyahısı ilə yoxlanılmalıdır ^[4].
• Xidmətlər parol menecerlərinə və avtomatik doldurmaya icazə verməli, yapışdırmaya da icazə verməlidir ^[4].

Bu qaydalar birbaşa sizə deyil, xidmətlərə aiddir. Onlar menecerin uzun təsadüfi parollar yaratmasını və doldurmasını asanlaşdırır.

Parol menecerlərini bundan sonra nə gözləyir?

Parol menecerləri ümumi giriş məlumatları menecerlərinə çevrilir. Apple-ın Passwords tətbiqi artıq parollarla yanaşı passkey-ləri və təsdiq kodlarını da saxlayır ^[10]. NCSC gözləyir ki, passkey-lər yayıldıqca insanlar passkey hələ təklif olunmayan yerlərdə parol meneceri ilə idarə olunan parollardan istifadə etməyə davam edəcək ^[11][12].

2026-cı il araşdırması satıcıların təhlükəsizlik iddialarına da təzyiq göstərdi. Tədqiqatçılar yeni istifadəçiləri standart olaraq ən son kriptoqrafiya ilə qoşmağı və mövcud müştərilərə keçid edib-etməmək seçimini verməyi tövsiyə edir ^[7]. Məqalənin son dəfə 2026-cı ilin avqustunda yenilənmiş tam versiyası 1Password barədə əlavə nəticələri ehtiva edir ^[6].

Bu, məhsul tövsiyəsi deyil, ümumi təhlükəsizlik məlumatıdır. Hesablarınızı menecerə etibar etməzdən əvvəl onun dərc etdiyi təhlükəsizlik sənədlərini və yeniləmə tarixçəsini yoxlayın.