Brute Force Nedir, Deneme Saldırısı Nasıl Yürütülüyor?

---

Bir saldırganın parolanızı bilmesi gerekmiyor; yeterince deneme hakkı olması yetiyor. Kaba kuvvet saldırısının mantığı tam olarak bu: zekâ değil, tekrar.

Bu yazı brute force'un tanımını, sözlük saldırısıyla farkını, hangi durumlarda gerçekten işe yaradığını ve deneme hakkının neden kritik olduğunu iki standart kaynağa dayanarak açıklıyor.

Tanım​

RFC 4949 Internet Güvenlik Sözlüğü kaba kuvveti şöyle tanımlıyor: probleme yönelik çok sayıda olası çözümü deneyen tüketici bir yordam içeren kriptanaliz tekniği veya başka türden bir saldırı yöntemi.

Sözlük tanımı örnekle sürdürüyor. Çözme algoritmasının bilindiği bir şifreli metinde, eşleşen açık metni bulmak için kaba kuvvet yaklaşımı mesajı olası her anahtarla çözmeyi deniyor.

Tanımın önemli bir ayrıntısı var: kaba kuvvet her zaman bütün olasılıkları denemek anlamına gelmiyor. Sözlüğe göre bazı durumlarda çok sayıda ama hepsinden belirgin biçimde az olasılık deneniyor.

• Yöntem: Çok sayıda olasılığı sırayla deneme.
• Ayrım: Bütün olasılıklar her zaman denenmiyor.
• Belirleyen: Deneme sayısı ve denemenin maliyeti.

Saldırı pratikte nasıl işliyor?​

OWASP'ın kaba kuvvet sayfası süreci üç adımda özetliyor: saldırgan önceden belirlenmiş değerleri yapılandırıyor, bu değerlerle sunucuya istek gönderiyor ve dönen yanıtı çözümlüyor.

Yanıtın çözümlenmesi işin kalbi. Sunucu doğru ile yanlış denemeye farklı yanıt veriyorsa, saldırgan hangi denemenin işe yaradığını anlıyor.

OWASP verimlilik için iki yol sayıyor: sözlük saldırısı (değişimli ya da değişimsiz) veya belirli karakter sınıflarıyla yürütülen geleneksel kaba kuvvet. Karakter sınıfları alfasayısal olabiliyor, özel karakter içerebiliyor, büyük-küçük harf duyarlı ya da duyarsız olabiliyor.

Sözlük saldırısı farkı​

RFC 4949 sözlük saldırısını ayrı bir madde olarak tanımlıyor: geniş ve tüketici bir listedeki bütün kelimeleri sırayla deneyen kaba kuvvet tekniği kullanan saldırı.

Verdiği örnek doğrudan konuya bakıyor: bir kimlik doğrulama hizmetine olası bütün parolalar denenerek saldırılması.

Fark şurada: geleneksel kaba kuvvet karakter uzayını tarıyor, sözlük saldırısı ise insanların gerçekte seçtiği kelimelere yoğunlaşıyor. İkincisi çok daha az deneme ile sonuca ulaşabiliyor.

Püf nokta' Alıntı:

Parolanın uzunluğu kadar tahmin edilebilirliği de önemli; sözlük saldırısı tam olarak tahmin edilebilirliği hedefliyor.

Genişletmek için tıkla ...

Süre hesabı neye bağlı?​

OWASP, saldırganın süreyi kabaca hesaplayabildiğini söylüyor. Hesaba giren değişkenler şunlar: seçilen yöntem, deneme sayısı, saldırıyı yürüten sistemin verimliliği ve saldırılan sistemin tahmini verimliliği.

Listedeki son madde savunma tarafının elindeki kaldıraç. Saldırılan sistem denemeleri yavaşlatıyor veya sınırlıyorsa, aynı deneme sayısı çok daha uzun sürüyor.

RFC 4949'un karma fonksiyonu örneği de aynı mantığı gösteriyor: N bitlik sonuç üreten bir karma için aynı sonucu veren iki girdi bulma olasılığı, yalnızca N bölü iki üssü kadar rastgele deneme sonrasında yarıdan büyük oluyor.

Neden bu kadar sık deneniyor?​

OWASP önemli bir gözlem paylaşıyor: kimlik doğrulama söz konusu olduğunda kaba kuvvet saldırıları çoğunlukla hesap kilitleme politikası bulunmadığında düzenleniyor.

Saldırının hedefi de yalnız parola değil. OWASP, web uygulaması içindeki gizli içerik veya sayfaların keşfi için de aynı yöntemin kullanıldığını, bu isteklerin genelde GET ve POST ile gönderildiğini belirtiyor.

Verdiği örnek şu: yaygın bir içerik yönetim sisteminden alınan bilinen sayfa listesiyle her sayfa tek tek isteniyor ve HTTP yanıt kodu incelenerek sayfanın hedef sunucuda bulunup bulunmadığı anlaşılıyor.

Kilitleme tek başına yeterli mi?​

Hesap kilitleme, OWASP'ın işaret ettiği eksiği kapatıyor ama tek başına bir denge sorunu doğuruyor. Eşik çok düşükse gerçek kullanıcılar parolasını iki kez yanlış yazdığında dışarıda kalıyor; çok yüksekse saldırgana yeterince deneme kalıyor.

İkinci sorun, kilitlemenin kendisinin bir saldırı yüzeyi olması. Kullanıcı adları tahmin edilebiliyorsa, art arda yanlış parola göndererek hesapları kilitlemek de mümkün.

Bu yüzden savunma genellikle tek bir kurala değil katmanlara dayanıyor: denemeler arasına gecikme koymak, aynı kaynaktan gelen istekleri sınırlamak, doğru ve yanlış denemeye aynı yanıtı vermek. Son madde OWASP'ın çözümleme adımını doğrudan hedefliyor; saldırgan yanıttan bilgi çıkaramazsa deneme sayısını artırmanın anlamı kalmıyor.

Savunma tarafında ne yapılıyor?​

Parolanın kendisini güçlendirmek ilk katman; güncel yaklaşımı şifre politikası yazımızda aktarmıştık.

İkinci katman, parola doğru tahmin edilse bile girişi tamamlamayı engelliyor; bunun işleyişini iki faktörlü doğrulama yazımızda ele almıştık.

Saldırının hangi zemine oturduğunu anlamak içinse açık kavramına bakmak gerekiyor; tanımı zafiyet yazımızda vermiştik.

Sık Sorulan Sorular​

Brute force nedir?
RFC 4949'a göre çok sayıda olası çözümü deneyen tüketici bir yordam içeren saldırı yöntemi.

Bütün olasılıklar mı deneniyor?
Hayır. Sözlüğe göre bazı durumlarda hepsinden belirgin biçimde az sayıda olasılık deneniyor.

Sözlük saldırısı ne farklı yapıyor?
Geniş bir listedeki kelimeleri sırayla deniyor; karakter uzayını taramaktan daha hedefli.

Sadece parola mı hedef oluyor?
Hayır. OWASP, gizli sayfa ve içeriklerin keşfi için de aynı yöntemin kullanıldığını söylüyor.

Hangi eksik saldırıyı kolaylaştırıyor?
OWASP'a göre kimlik doğrulamada hesap kilitleme politikasının bulunmaması.

Özetle​

Kaba kuvvet, çok sayıda olasılığı sırayla deneyip yanıtı çözümlemeye dayanan bir saldırı yöntemi. Sözlük saldırısı bunun hedefli biçimi; insanların seçtiği kelimelere yoğunlaşıyor. Saldırının süresi yöntem, deneme sayısı ve iki tarafın sisteminin verimliliğiyle hesaplanıyor. Savunmanın kaldıracı da burada: denemeyi sınırlayan bir politika, aynı saldırıyı pratikte anlamsız hale getiriyor.

Sitenizde art arda başarısız giriş denemelerinde ne oluyor, kontrol ettiniz mi?

Güncelleme: 2 Eylül 2026. OWASP kaba kuvvet saldırısı sayfası ve RFC 4949 Internet Güvenlik Sözlüğü kontrol edildi.

---