Şifre kaç sürede kırılır sorusunun cevabı üç şeye bağlıdır: şifrenin uzunluğu, kullandığı karakter türleri ve sitenin şifreyi nasıl sakladığı. Hive Systems'in 2026 şifre tablosuna göre harf, rakam ve sembol içeren rastgele 8 karakterli bir şifre, bcrypt ile saklandığında kaba kuvvet saldırısıyla yaklaşık 132 yılda kırılır. Aynı şifre eski bir MD5 veritabanında duruyorsa tek bir üst seviye ekran kartı tüm olasılıkları bir saatten kısa sürede dener. Şifreniz daha önce sızdıysa, başka sitelerde de kullanılıyorsa ya da bilinen kelimelerden oluşuyorsa uzunluğun pek önemi kalmaz ve şifre saniyeler içinde düşebilir.
Uzunluğa ve karakter türüne göre şifre kırma süresi tablosu
Aşağıdaki tablo, kaba kuvvet (brute force) saldırısının bir şifrenin bütün olası kombinasyonlarını denemesi için gereken en uzun süreyi gösterir. Tabloyu, Hive Systems'in 14 Temmuz 2026'da yayımladığı 2026 şifre tablosu (İngilizce) için ölçtüğü saldırı hızıyla, kısa bir betikle kendimiz hesapladık. Tablodaki her değer aynı varsayımlara dayanır:
- Saldırgan, şifrenin özet değerini (hash) çalınmış bir veritabanından almıştır ve denemeleri kendi bilgisayarlarında yapar. Bu yüzden hesap kilitleme devreye girmez.
- Şifre, bcrypt ile ve iş faktörü 10 ayarıyla saklanmıştır. Bcrypt, bilerek yavaş çalışacak şekilde tasarlanmış bir şifre özetleme yöntemidir ve Hive'ın incelediği gerçek sızıntılarda yaygın olarak görülür.
- Donanım, kiralık iki adet 8× RTX 5090 bulut sunucusudur. Hive bu düzenekte saniyede 138.675 deneme ölçmüştür.
- Şifre rastgele üretilmiştir ve hiçbir sızıntıda yer almamıştır. Sembol sütunu Hive'ın kullandığı 8 sembolü (^*%$!&@#) esas alır.
| Uzunluk | Yalnızca rakam (10) | Küçük harf (26) | Büyük + küçük harf (52) | Harf + rakam (62) | Harf, rakam, sembol (70) |
|---|---|---|---|---|---|
| 6 | 7 saniye | 37 dakika | 1,7 gün | 4,7 gün | 9,8 gün |
| 8 | 12 dakika | 17 gün | 12 yıl | 50 yıl | 132 yıl |
| 10 | 20 saat | 32 yıl | 33.000 yıl | 192.000 yıl | 645.000 yıl |
| 12 | 83 gün | 21.800 yıl | 89 milyon yıl | 737 milyon yıl | 3,2 milyar yıl |
| 14 | 23 yıl | 14,7 milyon yıl | 242 milyar yıl | 2,8 trilyon yıl | 15,5 trilyon yıl |
| 16 | 2.300 yıl | 10 milyar yıl | 653 trilyon yıl | 10,9 katrilyon yıl | 75,9 katrilyon yıl |
Parantez içindeki sayılar karakter havuzunun büyüklüğüdür. Her hücre saldırgan için en kötü durumu, yani doğru şifrenin en son denendiği durumu gösterir. Rastgele bir şifre ortalamada bu sürenin yarısında bulunur.
Tablodaki 8 karakterli, tüm karakter türlerini içeren şifre için bulduğumuz 132 yıl, Hive'ın aynı şifre sınıfı için verdiği değerle örtüşür. Yine de bu tabloyu sizin açınızdan en iyi senaryo olarak okuyun. Değerler yalnızca rastgele üretilmiş ve yavaş bir yöntemle saklanmış şifreler için geçerlidir. Hive de kendi yöntem notlarında bu sınırları açıkça yazar.
Kırılma süresi nasıl hesaplanır?
Kaba kuvvet saldırısı, doğru olanı bulana kadar bütün olası şifreleri tek tek dener. Denenecek toplam aday sayısı tek bir formülle bulunur:
kombinasyon sayısı = (karakter havuzunun büyüklüğü) ^ (şifre uzunluğu)
Bu sayıyı saldırganın saniyedeki deneme sayısına bölünce en uzun süre çıkar:
süre = kombinasyon sayısı ÷ saniyedeki deneme sayısı
Tablodaki 8 karakterli örneği adım adım hesaplayalım. Karakter havuzu 26 küçük harf + 26 büyük harf + 10 rakam + 8 sembol = 70 karakterdir. Bu da 70^8 = 576.480.100.000.000, yani yaklaşık 576 trilyon kombinasyon eder. Bu sayıyı saniyede 138.675 denemeye böldüğünüzde yaklaşık 4,16 milyar saniye bulursunuz. Bir yıldaki 31.557.600 saniyeye bölünce sonuç yaklaşık 132 yıldır.
İlk adımı NumerSpace'in şifre kombinasyon hesaplama aracıyla kendiniz yapabilirsiniz. Araç, istediğiniz uzunluk ve karakter türü için olası kombinasyon sayısını verir. Araç sembolleri Hive gibi 8 değil 32 karakter olarak saydığı için semboller açıkken daha büyük sonuçlar gösterir.
Formül, uzunluğun neden tek bir karakter türü eklemekten daha etkili olduğunu da açıklar. 8 karakterli bir şifreye sembol eklemek havuzu 62'den 70'e çıkarır ve aranacak alanı yaklaşık 2,6 kat büyütür. Bunun yerine dört karakter eklemek, aranacak alanı havuzun büyüklüğüyle dört kez daha çarpar. Tabloda rastgele 12 küçük harfin (21.800 yıl) tüm karakter türlerini içeren 8 karakterli şifreden (132 yıl) çok daha uzun dayanmasının nedeni budur. Yani sembol eklemek şifreyi zayıflatmaz, yalnızca birkaç karakter daha eklemek kadar etkili değildir.
Şifrenin nasıl saklandığı süreyi nasıl değiştirir?
Siteler şifrenizin kendisini değil, özet değerini saklamalıdır. Özet değeri, şifreden tek yönlü bir işlemle üretilen ve geri çevrilemeyen bir karakter dizisidir. Giriş yaptığınızda site, yazdığınız şifrenin özetini saklanan özetle karşılaştırır. Veritabanı çalındığında saldırganın saniyede kaç tahmin deneyebileceğini de bu özetleme yöntemi belirler.
MD5, eski sistemlerin şifre saklamak için sıkça kullandığı hızlı ve genel amaçlı bir özetleme yöntemidir. 10 Şubat 2025'te yayımlanan bir RTX 5090 hashcat ölçümüne (İngilizce) göre tek bir kart saniyede 220,6 milyar MD5 özeti hesaplar. Bcrypt ise bilerek yavaş tasarlanmıştır ve iş faktörü arttıkça daha da yavaşlar. İş faktörü 10'da Hive'ın 16 kartlı düzeneği saniyede 138.675 deneme yapabilir. Yani tek kartla MD5'e saldırmak, 16 kartla bcrypt'e saldırmaktan yaklaşık 1,6 milyon kat hızlıdır.
Aşağıdaki karşılaştırma aynı şifre türlerini üç farklı deneme hızıyla hesaplar. Ortadaki sütun, NumerSpace'in hesaplama aracının varsaydığı saniyede 1 milyar deneme hızıdır. Bu yüzden araçta aynı şifre türleri için göreceğiniz sonuçla örtüşür.
| Şifre | MD5, 1× RTX 5090 (saniyede 220,6 milyar) | Hesaplama aracının varsayımı (saniyede 1 milyar) | bcrypt iş faktörü 10, 16× RTX 5090 (saniyede 138.675) |
|---|---|---|---|
| 8 rakam | 1 saniyeden az | 1 saniyeden az | 12 dakika |
| 8 karakter, harf + rakam | 16 dakika | 2,5 gün | 50 yıl |
| 12 küçük harf | 5 gün | 3 yıl | 21.800 yıl |
| 12 karakter, harf + rakam | 463 yıl | 102.000 yıl | 737 milyon yıl |
| 16 küçük harf | 6.300 yıl | 1,4 milyon yıl | 10 milyar yıl |
Aynı şifre, sitenin hiç görmediğiniz bir tercihine göre binlerce yıl dayanabilir ya da dakikalar içinde ele geçirilebilir. Her sitenin şifreleri nasıl sakladığını bilemeyeceğiniz için hızlı senaryoyu esas almak ve uzunluğu buna göre seçmek daha güvenlidir.
Süreler neden her yıl kısalıyor?
Denklemin diğer yarısı saldırganın donanımıdır. Hive tablosunu 2020'den beri yayımlıyor. İlk sürümde MD5'e karşı tek bir RTX 2080 varsayılmıştı, bugün ise bcrypt'e karşı kiralık bir RTX 5090 filosu kullanılıyor. Şifre ve özetleme yöntemi sabit tutulduğunda, tüm karakter türlerini içeren 8 karakterli şifrenin süresi 2024'te 225 yıl (iş faktörü 10 ile yeniden hesaplanmış hâli), 2025'te 164 yıl, 2026'da 132 yıl olarak verilmiştir. Hive'a göre kırılma süreleri her yıl kabaca beşte bir ile dörtte bir arasında kısalıyor. Bu yüzden bir şifre kırma süresi rakamı, hangi yılın tablosuna ait olduğu yazılmadan anlamlı değildir.
Çevrim içi ve çevrim dışı saldırı farkı
Çevrim içi saldırıda saldırgan, sitenin gerçek giriş sayfası üzerinden tahmin yapar ve hızı site belirler. ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) güncel kimlik doğrulama rehberi SP 800-63B-4 (İngilizce, Temmuz 2025 nihai sürüm), bir hesapta art arda başarısız denemelerin 100'ü geçmemesini şart koşar. Bu sınırda, 1 milyon olasılığı olan 6 haneli bir PIN'in bile giriş engellenmeden önce rastgele tahminle bulunma ihtimali yalnızca %0,01'dir.
Çevrim dışı saldırı ise bir veri sızıntısından sonra başlar. Saldırgan saklanan özet değerlerini kendi bilgisayarlarına kopyalar. Artık hesap kilitleme, deneme sınırı ya da uyarı e-mailleri işe yaramaz. Hive'ın tablosu ve yukarıdaki hesaplar bu yüzden bu senaryoyu esas alır. NIST de aynı noktanın altını çizer: çevrim dışı saldırılara dayanmak için şifrelerin, yalnızca çevrim içi tahmine dayanması gereken şifrelerden kat kat güçlü olması gerekir.
Sızmış, tekrar kullanılan ve sözlük kelimesi içeren şifreler
Saldırganlar işe rastgele karakter dizileriyle başlamaz. Önce eski sızıntılardaki şifreleri, sözlük kelimelerini ve yaygın kalıpları dener, kaba kuvvete ancak bunlar sonuç vermezse geçer. Hive bu yaklaşımı 2026 sürümü için kiralık tek bir RTX 5090 üzerinde ölçtü. Tahmin edilebilir denemeler öne alındığında bcrypt ile korunan bir şifre yaklaşık üç saniyede düştü. Yaygın bir sızıntı listesiyle (hashcat kurallarıyla birlikte rockyou.txt) yapılan saldırı da "password" şifresini yaklaşık aynı sürede buldu.
Gerçek veriler de aynı yönü gösteriyor. Kaspersky'nin 7 Mayıs 2026 tarihli şifre araştırması (İngilizce), 2023 ile 2026 arasında sızan 231 milyon benzersiz şifreyi tek bir RTX 5090 ile MD5'e karşı test etti. Şifrelerin %48'i bir dakikadan, %60'ı bir saatten kısa sürede kırıldı. Araştırmaya göre şifrelerin %54'ü daha önceki sızıntılarda da ortaya çıkmıştı.
NIST'in, yeni belirlenen şifrelerin yaygın, tahmin edilebilir ya da sızmış şifrelerden oluşan bir engelleme listesiyle karşılaştırılmasını şart koşmasının nedeni budur. Benzer bir kontrolü Have I Been Pwned'ın Pwned Passwords hizmetiyle (İngilizce) kendiniz yapabilirsiniz. Hizmet şifrenizi cihazınızda özetler ve yalnızca SHA-1 özetinin ilk beş karakterini gönderir. Gerçek şifrenizi tanımadığınız "şifre gücü ölçer" sitelerine yazmaktan kaçının.
Kendi şifrenizin kırılma süresini tahmin etmek
Kendi şifreniz için kabaca bir süre bulmak isterseniz yukarıdaki tablolarla aynı mantığı izleyen şu adımları uygulayabilirsiniz:
- Şifrenin rastgele olup olmadığına bakın. Kelimelerden, isimlerden, tarihlerden ya da klavye dizilerinden oluşuyorsa veya başka bir yerde de kullanıyorsanız sızmış şifre senaryosunu esas alın: saniyeler ile dakikalar arası.
- Karakter havuzunu bulun: yalnızca rakam için 10, küçük harf için 26, büyük ve küçük harf için 52, rakamlar eklenince 62. Sembollerle havuz daha da büyür.
- Havuz büyüklüğünün şifre uzunluğu kadar kuvvetini alın ya da bu adımı şifre kombinasyon hesaplama aracına bırakın.
- Sonucu tehdide uygun bir deneme hızına bölün. Hive'ın 2026 düzeneğinde bcrypt için saniyede 138.675, tek RTX 5090 ile MD5 için saniyede 220,6 milyar deneme kullanabilirsiniz.
- Ortalama süre için sonucu ikiye bölün ve gelecek yılın donanımının daha hızlı olacağını hesaba katın.
Kaç karakter yeterli?
NIST SP 800-63B-4, tek başına kullanılan şifreler için en az 15 karakter ister. 8 karakteri yalnızca şifre çok faktörlü doğrulamanın bir parçası olduğunda kabul eder. Rehber, sitelerin belirli karakter türlerini zorunlu tutmamasını da ister, çünkü kullanıcılar bu kurallara "Password1!" gibi tahmin edilebilir kalıplarla karşılık verir. Bu uzunlukta şifreleri oluşturmak ve akılda tutmak için parola cümlelerinden parola yöneticilerine kadar pratik öneriler, şifre kombinasyon oluşturma rehberimizde yer alıyor.
Yukarıdaki hesaba göre rastgele 15 küçük harften oluşan bir şifre, Hive'ın bcrypt düzeneğine karşı yaklaşık 383 milyon yıl, tek RTX 5090 ile MD5'e karşı yaklaşık 241 yıl dayanır. Aynı şifreyi başka bir sitede de kullanıyorsanız ve şifre orada sızarsa, bu sürelerin hiçbiri sizi korumaz.