SavedAdd your journal

Journals / Dicle Üniversitesi Mühendislik Fakültesi Mühendislik Dergisi / 2026 / Cilt: 17 Sayı: 3

A Guessing-Based Security and Usability Analysis of Password Generation Strategies

Parola Üretim Stratejilerinin Tahmin Temelli Güvenlik ve Kullanılabilirlik Analizi

Sinan Özçelik(ANKARA MEDİPOL ÜNİVERSİTESİ)0009-0009-8059-7102
Cevat Ozarpa(ANKARA BİLİM ÜNİVERSİTESİ)0000-0002-1195-2344
Esat Fazlullah Çelik(CELÂL BAYAR ÜNİVERSİTESİ)0000-0002-1908-1600
Esra Nur Çelik(DOKUZ EYLÜL ÜNİVERSİTESİ)0009-0003-8794-1355
Pages
—
Publication Date
2026-10-18
🏛️Bibliographic metadata and full text access for this article are provided via DergiPark.
DergiPark Record ↗
✨

AI Summary & Key Takeaways

AI Insight
⚡ TL;DR(Too Long; Didn't Read)

Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.

📌 3 Key Takeaways

🎯
Objective & Hypothesis:Parola tabanlı kimlik doğrulama, dijital sistemlerin en yaygın güvenlik katmanı olmayı sürdürmekte; ancak kullanıcı kaynaklı zayıf parolalar bu katmanı kırılgan hâle getirmektedir.
📊
Key Findings & Data:Bu çalışmada dört parola üretim stratejisi (sızdırılmış parolalar, kurallı insan parolaları, parola cümleleri ve kriptografik rastgele parolalar) nicel ve tahmin temelli (guessing-based) bir çerçevede karşılaştırılmıştır.
💡
Conclusion & Impact:Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.
🔬Design:Review & Systematic Survey
📍Scope:500.000 örnek
⚙️Variables:parola güvenliği · tahmin temelli metrik · efektif entropi

Abstract

Parola tabanlı kimlik doğrulama, dijital sistemlerin en yaygın güvenlik katmanı olmayı sürdürmekte; ancak kullanıcı kaynaklı zayıf parolalar bu katmanı kırılgan hâle getirmektedir. Bu çalışmada dört parola üretim stratejisi (sızdırılmış parolalar, kurallı insan parolaları, parola cümleleri ve kriptografik rastgele parolalar) nicel ve tahmin temelli (guessing-based) bir çerçevede karşılaştırılmıştır. Sızdırılmış kategori için, literatürün standart referansı olan RockYou derleminin tamamı (14.339.975 geçerli parola) işlenmiş; diğer üç kategori, belgelenmiş üretim parametreleriyle her biri 500.000 örnekten oluşacak biçimde sentezlenmiştir. Önceki çalışmalardan farklı olarak güvenlik, ham karakter sınıfı entropisiyle değil, kategoriye özgü optimal saldırıda gereken tahmin sayısının ikili logaritması (efektif güvenlik biti) ile ölçülmüştür. Sızdırılmış parolalarda tahmin sayısı, sıklığa göre sıralı derlemdeki sıra (rank) değerine; sentetik gruplarda ise üretim sürecinin anahtar uzayına karşılık gelmektedir. Kırılma süreleri, çevrimiçi kısıtlı erişimden GPU kümesine uzanan beş saldırgan donanım profili altında kestirilmiştir. Bulgular, sızdırılmış ve kurallı parolaların medyan efektif güvenliğinin sırasıyla yalnızca 22,8 ve 19,6 bit düzeyinde kaldığını ve her iki grubun tamamının bir yıllık güvenlik eşiğinin altında yer aldığını göstermektedir. Buna karşılık parola cümleleri (medyan 64,6 bit) ile kriptografik parolalar (medyan 78,7 bit), yeterli uzunlukta seçildiklerinde güçlü bir koruma sağlamaktadır. Kruskal-Wallis testi kategoriler arasında anlamlı bir fark ortaya koymuş (H = 342.881; p < 0,001), ikili karşılaştırmalarda etki büyüklükleri 0,56-1,00 aralığında hesaplanmıştır. Literatüre dayalı kavramsal değerlendirme, düşük bilişsel yük ile yüksek güvenliği bir araya getiren parola cümlelerinin en dengeli seçenek olduğuna işaret etmektedir. Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.

Özet

Parola tabanlı kimlik doğrulama, dijital sistemlerin en yaygın güvenlik katmanı olmayı sürdürmekte; ancak kullanıcı kaynaklı zayıf parolalar bu katmanı kırılgan hâle getirmektedir. Bu çalışmada dört parola üretim stratejisi (sızdırılmış parolalar, kurallı insan parolaları, parola cümleleri ve kriptografik rastgele parolalar) nicel ve tahmin temelli (guessing-based) bir çerçevede karşılaştırılmıştır. Sızdırılmış kategori için, literatürün standart referansı olan RockYou derleminin tamamı (14.339.975 geçerli parola) işlenmiş; diğer üç kategori, belgelenmiş üretim parametreleriyle her biri 500.000 örnekten oluşacak biçimde sentezlenmiştir. Önceki çalışmalardan farklı olarak güvenlik, ham karakter sınıfı entropisiyle değil, kategoriye özgü optimal saldırıda gereken tahmin sayısının ikili logaritması (efektif güvenlik biti) ile ölçülmüştür. Sızdırılmış parolalarda tahmin sayısı, sıklığa göre sıralı derlemdeki sıra (rank) değerine; sentetik gruplarda ise üretim sürecinin anahtar uzayına karşılık gelmektedir. Kırılma süreleri, çevrimiçi kısıtlı erişimden GPU kümesine uzanan beş saldırgan donanım profili altında kestirilmiştir. Bulgular, sızdırılmış ve kurallı parolaların medyan efektif güvenliğinin sırasıyla yalnızca 22,8 ve 19,6 bit düzeyinde kaldığını ve her iki grubun tamamının bir yıllık güvenlik eşiğinin altında yer aldığını göstermektedir. Buna karşılık parola cümleleri (medyan 64,6 bit) ile kriptografik parolalar (medyan 78,7 bit), yeterli uzunlukta seçildiklerinde güçlü bir koruma sağlamaktadır. Kruskal-Wallis testi kategoriler arasında anlamlı bir fark ortaya koymuş (H = 342.881; p < 0,001), ikili karşılaştırmalarda etki büyüklükleri 0,56-1,00 aralığında hesaplanmıştır. Literatüre dayalı kavramsal değerlendirme, düşük bilişsel yük ile yüksek güvenliği bir araya getiren parola cümlelerinin en dengeli seçenek olduğuna işaret etmektedir. Çalışma, literatürdeki nicel karşılaştırma boşluğunu tahmin temelli, tam derlem ve çok donanımlı bir çerçeveyle doldurmakta; parola politikaları ve kullanıcı eğitimi için somut çıkarımlar sunmaktadır.

🔖

Cite This Article

Özçelik, S., Ozarpa, C., Çelik, E. F., Çelik, E. N. (2026). A Guessing-Based Security and Usability Analysis of Password Generation Strategies. Dicle Üniversitesi Mühendislik Fakültesi Mühendislik Dergisi, Cilt: 17 Sayı: 3. https://doi.org/10.24012/dumf.1998536

📄 Full Text PDF Viewer

📄

PDF görüntüleyici hazırlanıyor...

References (29)

  1. J. Bonneau, C. Herley, P. C. van Oorschot, ve F. Stajano, “The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 553-567. doi: 10.1109/SP.2012.44.
  2. S. Özçelik ve C. Özarpa, “Personel Kaynaklı Siber Risklerin Analizi ve Yapay Zekâ Destekli Siber Farkındalık Eğitim Modeli”, içinde 1. Uluslararası Türk Dünyası Yapay Zekâ ve Dijital Dönüşüm Kongresi (TURKWAI 2026), Bişkek, Kırgızistan: Kırgızistan-Türkiye Manas Üniversitesi, May. 2026.
  3. D. Florêncio, C. Herley, ve P. C. van Oorschot, “An Administrator’s Guide to Internet Password Research”, içinde Proceedings of the 28th USENIX Conference on Large Installation System Administration (LISA’14), USA: USENIX Association, 2014, ss. 35-52.
  4. R. Morris ve K. Thompson, “Password Security: A Case History”, Commun. ACM, c. 22, sy 11, ss. 594-597, Kas. 1979, doi: 10.1145/359168.359172.
  5. İ. Kara, “Kaba Kuvvet Saldırı Tespiti ve Teknik Analizi”, Sakarya University Journal of Computer and Information Sciences, c. 2, sy 2, ss. 61-69, Ağu. 2019, doi: 10.35377/saucis.02.02.561844.
  6. M. Weir, S. Aggarwal, B. de Medeiros, ve B. Glodek, “Password Cracking Using Probabilistic Context-Free Grammars”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2009, ss. 391-405. doi: 10.1109/SP.2009.8.
  7. P. G. Kelley vd., “Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 523-537. doi: 10.1109/SP.2012.38.
  8. M. Weir, S. Aggarwal, M. Collins, ve H. Stern, “Testing Metrics for Password Creation Policies by Attacking Large Sets of Revealed Passwords”, içinde Proceedings of the 17th ACM Conference on Computer and Communications Security (CCS ’10), New York, NY, USA: Association for Computing Machinery, 2010, ss. 162-175. doi: 10.1145/1866307.1866327.
  9. M. Keith, B. Shao, ve P. J. Steinbart, “The Usability of Passphrases for Authentication: An Empirical Field Study”, Int. J. Hum. Comput. Stud., c. 65, sy 1, ss. 17-28, Oca. 2007, doi: 10.1016/j.ijhcs.2006.08.005.
  10. Z. Li, W. He, D. Akhawe, ve D. Song, “The Emperor’s New Password Manager: Security Analysis of Web-Based Password Managers”, içinde Proceedings of the 23rd USENIX Conference on Security Symposium (SEC’14), USA: USENIX Association, 2014, ss. 465-479.
  11. S. Pearman vd., “Let’s Go in for a Closer Look: Observing Passwords in Their Natural Habitat”, içinde Proceedings of the ACM Conference on Computer and Communications Security, Association for Computing Machinery, Eki. 2017, ss. 295-310. doi: 10.1145/3133956.3133973.
  12. V. Gültekin ve N. Özel, “Üniversite Öğrencilerinin Bilgi Güvenliği Farkındalığı: Ankara Üniversitesi Örneği”, Bilgi Yönetimi, c. 6, sy 2, ss. 310-331, Ara. 2023, doi: 10.33721/by.1366855.
  13. A. Özdemir ve Ç. Uluyol, “Kamu Kurum ve Kuruluşlarında Bilgi Güvenliği Farkındalığı”, Türkiye Sosyal Araştırmalar Dergisi, c. 25, sy 3, ss. 649-666, Ara. 2021, doi: 10.20296/tsadergisi.815635.
  14. A. Karacı, H. İ. Akyüz, ve G. Bilgici, “Üniversite Öğrencilerinin Siber Güvenlik Davranışlarının İncelenmesi”, Kastamonu Eğitim Dergisi, c. 25, sy 6, ss. 2079-2094, Kas. 2017, doi: 10.24106/kefdergi.351517.
  15. J. Bonneau, “The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords”, içinde IEEE Symposium on Security and Privacy, IEEE, May. 2012, ss. 538-552. doi: 10.1109/SP.2012.49.
  16. W. E. Burr, D. F. Dodson, ve W. T. Polk, “Electronic Authentication Guideline”, NIST SP 800-63, Version 1.0.2, National Institute of Standards and Technology, Gaithersburg, MD, Nis. 2006. doi: 10.6028/NIST.SP.800-63v1.0.2.
  17. D. L. Wheeler, “zxcvbn: Low-Budget Password Strength Estimation”, içinde 25th USENIX Security Symposium (USENIX Security 16), Austin, TX: USENIX Association, Ağu. 2016, ss. 157-173.
  18. W. Melicher vd., “Fast, Lean, and Accurate: Modeling Password Guessability using Neural Networks”, içinde Proceedings of the 25th USENIX Conference on Security Symposium (SEC’16), USA: USENIX Association, 2016, ss. 175-191.
  19. B. Ur vd., “How Does Your Password Measure Up? The Effect of Strength Meters on Password Creation”, içinde Proceedings of the 21st USENIX Conference on Security Symposium (Security’12), USA: USENIX Association, Ağu. 2012, ss. 65-80.
  20. X. de Carné de Carnavalet ve M. Mannan, “A Large-Scale Evaluation of High-Impact Password Strength Meters”, ACM Transactions on Information and System Security (TISSEC), c. 18, sy 1, ss. 1-32, May. 2015, doi: 10.1145/2739044.
  21. S. Houshmand, S. Aggarwal, ve R. Flood, “Next Gen PCFG Password Cracking”, IEEE Transactions on Information Forensics and Security, c. 10, sy 8, ss. 1776-1791, Ağu. 2015, doi: 10.1109/TIFS.2015.2428671.
  22. D. Florêncio ve C. Herley, “A Large-Scale Study of Web Password Habits”, içinde 16th International World Wide Web Conference, WWW2007, May. 2007, ss. 657-666. doi: 10.1145/1242572.1242661.
  23. M. B. İmamoğlu ve A. Eser, “Bilişsel Uyumsuzluk ve Parola Güvenliği: Kullanıcı Eğilimlerinin Analizi”, Gümüşhane Üniversitesi Sosyal Bilimler Dergisi, c. 16, sy 3, ss. 1187-1203, Eyl. 2025, doi: 10.36362/gumus.1638715.
  24. A. G. Reinhold, “Diceware Passphrase Home”. Erişim: 11 Mart 2026. [Çevrimiçi]. Erişim adresi: https://theworld.com/~reinhold/diceware.html
  25. J. Bonneau ve E. Shutova, “Linguistic Properties of Multi-Word Passphrases”, içinde Financial Cryptography and Data Security: FC 2012 Workshops, Lecture Notes in Computer Science, c. 7398, Springer, 2012, ss. 1-12. doi: 10.1007/978-3-642-34638-5_1.
  26. M. Dell’Amico, P. Michiardi, ve Y. Roudier, “Password Strength: An Empirical Analysis”, içinde Proceedings IEEE INFOCOM, San Diego, CA, USA: IEEE, Mar. 2010. doi: 10.1109/INFCOM.2010.5461951.
  27. D. Temoshok vd., “Digital Identity Guidelines: Authentication and Authenticator Management”, NIST SP 800-63B-4, National Institute of Standards and Technology, Gaithersburg, MD, Ağu. 2025. doi: 10.6028/NIST.SP.800-63B-4.
  28. S. Özçelik, “Akıllı Şebekelerde Personel Kaynaklı Yaşanan Siber Risklerin Analizi ve Siber Farkındalık Olgunluk Modeli Önerisi”, Yüksek Lisans Tezi, Ankara Medipol Üniversitesi, Ankara, 2026.
  29. S. Özçelik, “password-analysis-py-code”, GitHub deposu. Erişim: 19 Temmuz 2026. [Çevrimiçi]. Erişim adresi: https://github.com/sinanozcelikk/password-analysis-py-code