«استبدل حرف a بالرمز @ وأضف علامة تعجب»: هذه النصيحة القديمة لم تعد تصمد أمام أدوات الهجوم الحالية. يمكن قياس قوة كلمة المرور وحسابها، وهي تعتمد على عشوائيتها وتفرّدها أكثر مما تعتمد على حيل الكتابة. يعرض هذا الدليل أوامر الحجم والعادات الجيدة وحدود كل فحص.
القياس ببتات الإنتروبيا
الإنتروبيا، المعبَّر عنها بالبتات، تقيس مقدار عدم اليقين: كل بت إضافي يضاعف عدد المحاولات اللازمة لإيجاد كلمة المرور. وفي كلمة مرور عشوائية فعلًا تساوي الإنتروبيا الطول × لو₂(حجم الأبجدية).
| كلمة المرور | الحساب | الإنتروبيا | بمعدل 10¹² محاولة في الثانية* |
|---|---|---|---|
| 8 أحرف صغيرة | 8 × log₂(26) | ≈ 37.6 بت | ≈ 0.2 ثانية |
| 12 حرفًا من 94 | 12 × log₂(94) | ≈ 78.7 بت | ≈ 15,000 سنة |
| 16 حرفًا من 94 | 16 × log₂(94) | ≈ 104.9 بت | بعيدة عن المتناول |
| عبارة من 6 كلمات (قائمة 1,000 كلمة) | 6 × log₂(1,000) | ≈ 59.8 بت | ≈ 12 يومًا |
| عبارة من 8 كلمات (قائمة 1,000 كلمة) | 8 × log₂(1,000) | ≈ 79.7 بت | ≈ 32,000 سنة |
*فرضية متطرفة ونظرية: مهاجم يملك قاعدة بيانات ببصمات سريعة (انظر بصمات MD5 وSHA-256 وbcrypt: التحقق من ملف وتخزين كلمة مرور) وعتادًا قويًا جدًا. ينجح التخمين في المتوسط بعد نصف الفضاء. المدد أوامر حجم، وتوضح خصوصًا الفارق الهائل بين 38 و80 بت.
توليد كلمة مرور باستخدام مولّد كلمات المرور
- اختر الطول (من 8 إلى 128 حرفًا) ومجموعات الأحرف المطلوبة: صغيرة، كبيرة، أرقام، رموز.
- تسحب الأداة كل حرف بمولّد الأعداد العشوائية الآمن في متصفحك، وترفض القيم التي تشوّه التوزيع: فلكل حرف الاحتمال نفسه تمامًا. ويُضمن حرف واحد على الأقل من كل مجموعة محددة.
- «استبعاد الأحرف المتشابهة» يحذف I وl و1 وO و0 لسهولة الخلط بينها عند القراءة أو الإملاء.
- اقرأ الإنتروبيا المعروضة واستهدف 80 بت على الأقل للحساب المهم.
- انسخ النتيجة إلى مدير كلمات المرور: لا يُرسل شيء ولا يُحفظ، وتختفي عند مغادرة الصفحة.
عبارة المرور (كلمات تُسحب عشوائيًا من قائمة تتجاوز 1,000 كلمة) أسهل في الحفظ بكثير من سلسلة رموز. انتبه للطول: 6 كلمات تعطي 59.8 بت فقط، وهذا يكفي لحساب في موقع يحدّ المحاولات، لكنه هش أمام هجوم سريع دون اتصال؛ اعتمد على 8 كلمات (79.7 بت) لكلمة مرور مديرك أو حاسوبك التي تكتبها بيدك.
قواعد عملية
- كلمة مرور فريدة لكل حساب. كلمة مرور ممتازة مكررة في عشرة مواقع تنكشف عند أول تسريب.
- استخدم مدير كلمات المرور لتتذكر سرًّا قويًا واحدًا (عبارة مرور) وتترك للمدير توليد الباقي.
- فعّل المصادقة الثنائية حيثما أمكن، ويُفضَّل بتطبيق أو مفتاح عتادي بدل الرسائل النصية.
- لا تشارك كلمة مرور عبر البريد أو المراسلة؛ وغيّرها إن انكشفت.
- لا تفرض التغيير الدوري بلا سبب: التغيير كل ثلاثة أشهر يدفع الناس إلى اختيار كلمات أضعف. غيّر عند التسريب أو الشك.
أخطاء شائعة
- الوثوق بالشكل المعقّد («P@ssw0rd!»): المهاجمون يجرّبون هذه الاستبدالات أولًا.
- استخدام تاريخ ميلاد أو اسم أول أو اسم حيوان أليف أو فريق.
- تعديل كلمة المرور نفسها من موقع إلى آخر بإضافة اسم الموقع.
- اختيار كلمة مرور قصيرة لأن «الموقع غير مهم»: كثيرًا ما يكون هو الطريق إلى بريدك.
- نسيان رمز استرداد مدير كلمات المرور.
حدود ينبغي الاعتراف بها
- تعتمد مدد الكسر على فرضيات حول عتاد المهاجم وطريقة تخزين الموقع لكلمات المرور: فهي أوامر حجم.
- كلمة المرور الممتازة لا تحمي من التصيّد أو برامج التجسس.
- يحتاج فحص التسريب إلى اتصال بالإنترنت وقد تحدّ الخدمة من معدله؛ وعندها تعرض الأداة مدة الانتظار.
الأسئلة الشائعة
ما الطول الذي أختاره؟
12 حرفًا عشوائيًا على الأقل، و16 للحساب المهم. ومع عبارة مرور من قائمة 1,000 كلمة، استهدف 8 كلمات مسحوبة عشوائيًا.
هل تُحفظ كلمات المرور المولَّدة؟
لا. تُنشأ في متصفحك وتختفي عند مغادرة الصفحة: انسخها إلى مديرك.
هل تُرسل كلمة مروري للتحقق من التسريب؟
لا. يُرسل فقط أول خمسة أحرف من بصمة SHA-1، وتجري المقارنة النهائية على جهازك.
هل عبارة المرور أأمن من كلمة المرور؟
للحفظ نعم عند تساوي الإنتروبيا. أما للقوة فكل شيء يتوقف على عدد الكلمات وعشوائيتها: اقتباس مشهور ضعيف.
هل أغيّر كلمات مروري بانتظام؟
ليس دون سبب. غيّرها عند تسريب أو شك أو مشاركة عرضية، وأبقها فريدة.