Her gün onlarca kez yazdığın şifrenin bir doğum yeri var: 1960'ların başında MIT'deki tek bir dev bilgisayar. Daha da ilginci, dünyanın bilinen ilk bilgisayar şifreleri, kullanılmaya başlandıktan kısa süre sonra toplu hâlde çalındı. Hem de bir hacker çetesi tarafından değil, daha fazla bilgisayar saati isteyen bir doktora öğrencisi tarafından.
Bir bilgisayar, onlarca kullanıcı
1960'ların başında bilgisayarlar odaları dolduran, tek seferde tek iş yapan makinelerdi. Programını delikli kartlara basar, sıraya koyar, sonucu saatler sonra alırdın. MIT'de Fernando Corbató'nun ekibi bunu değiştirmek istedi: aynı makineyi aynı anda birçok kişinin terminalden kullanabileceği bir sistem, yani "zaman paylaşımı".
Bu sistemin adı CTSS (Compatible Time-Sharing System) oldu. İlk kez Kasım 1961'de MIT'nin değiştirilmiş IBM 709 bilgisayarında gösterildi, ilerleyen yıllarda IBM 7094'lerde çalıştı. Wikipedia'nın da aktardığı gibi CTSS, parola ile oturum açmayı uygulayan ilk bilgisayar sistemi olarak kabul ediliyor.
Şifre neden gerekti?
Sorun basitti: aynı makinede onlarca kişinin dosyası ve kendine ayrılmış bilgisayar süresi vardı. Kimin kim olduğunu ayırt etmenin bir yolu gerekiyordu. Corbató yıllar sonra Wired'a bunu şöyle anlattı: her kullanıcıya kilit olarak bir şifre koymak "çok basit bir çözüm" gibi görünmüştü.
Corbató kendini "ilk" ilan etmekte de temkinliydi. IBM'in 1960'taki Sabre rezervasyon sisteminin de muhtemelen şifre kullandığını söyledi, ama bununla ilgili kayıt kalmadığı için kesin bir şey bilinmiyor. Şifrelerin CTSS'ye tam olarak hangi yıl eklendiği konusunda da kaynaklar farklı şeyler söylüyor. Bildiğimiz şu: 1962 baharında şifre sistemi çalışıyordu, çünkü o bahar çalındı.
Allan Scherr'in Cuma gecesi planı
Allan Scherr, MIT'de doktora yapan bir araştırmacıydı ve karmaşık simülasyonlar çalıştırıyordu. Wired'ın aktardığına göre CTSS'de ona haftada yalnızca dört saat ayrılmıştı (bazı kaynaklar günde dört saat diyor). Bu süre ona yetmiyordu.
Çözümü zekice ama bir o kadar da yaramazdı. Sistemin dosyaları çevrimdışı yazdırma özelliğinden yararlanarak, şifre dosyasının çıktısını isteyen bir delikli kart hazırladı. Kartı bir Cuma gecesi geç saatte sıraya koydu, Cumartesi sabahı erkenden gelip çıktıyı aldı. Elinde artık sistemdeki herkesin şifresi vardı.
İzini kaybettirmek için şifreleri başka kullanıcılarla da paylaştı. Wired'a göre bunlardan biri, J.C.R. Licklider, laboratuvar müdürü Robert Fano'nun hesabına girip alaycı mesajlar bıraktı. Scherr hiç yakalanmadı ve olaydan yaklaşık çeyrek asır sonra durumu Fano'ya bizzat itiraf etti. Fano da ona doktora unvanının geri alınmayacağı güvencesini verdi.
O zaman ve şimdi
| O zaman (1960'lar) | Şimdi |
|---|---|
| Tek bir dosyada düz metin şifreler | Tek yönlü özetlenmiş (hash) şifreler |
| Çıktı almak için bir delikli kart yeterliydi | Erişim kayıtları, yetki katmanları |
| Amaç: bilgisayar saatini paylaştırmak | Amaç: kimlik, para, kişisel veri korumak |
| Bir makine, bir kampüs | Kişi başı onlarca hesap |
Bu hikâyenin bugün hâlâ öğretici olmasının sebebi şu: şifre, icat edildiği günden beri insan davranışıyla sınanıyor. Scherr sistemi kırmak için karmaşık bir saldırı yapmadı, sadece sistemin zaten sunduğu bir özelliği beklenmedik bir şekilde kullandı. Bugünkü sızıntıların da önemli bir kısmı benzer basit hatalardan doğuyor.
Corbató zaman paylaşımı alanındaki çalışmalarıyla 1990'da Turing Ödülü'nü aldı. Onun ekibinin "basit çözüm" diye eklediği kilit, bugün e-postandan bankana kadar her kapıda duruyor ve hâlâ en zayıf halka çoğu zaman o kilidi kullanan insan.
Sence bugün şifre kullanmayı tamamen bırakıp yerine tamamen biyometri ya da geçiş anahtarına (passkey) geçmeye hazır mıyız?