كلمة مرور تستحق الاحتفاظ بها: الطول والعشوائية ومعنى «القوة»

لماذا تحتاج هذا

معظم كلمات المرور الضعيفة ليست ضعيفة لأن أحدًا نسي أن يضيف رمزًا. إنها ضعيفة لأن إنسانًا اختارها. يختار الناس الأسماء والتواريخ وأنماط لوحة المفاتيح وتعديلات بسيطة على كلمة قديمة، والمهاجمون يبنون قوائم تخمينهم من هذه العادات نفسها. أما كلمة المرور التي تسحبها آلة من مجموعة كبيرة من الاحتمالات فلا عادة فيها يمكن استغلالها.

أمران يحدّدان صعوبة تخمين كلمة المرور: عدد الاحتمالات التي سُحبت منها، وهل كان السحب عشوائيًا فعلًا. يتناول هذا الدليل الأمرين، ويبيّن كيف تصنع كلمة مرور أو عبارة مرور بمولّد كلمات المرور، وكيف تقرأ وسم القوة دون أن تثق به أكثر مما ينبغي.

الطريقة، مع الأداة

يضم مولّد كلمات المرور تبويبين: إنشاء وفحص، ويعمل كل شيء داخل متصفحك.

1. ابقَ في «إنشاء». تحت النوع اختر أحرف عشوائية أو قابلة للنطق أو جملة مرور (كلمات).
2. اضبط الخيارات. للأحرف يمتد منزلق الطول من 8 إلى 64 ويبدأ عند 20. فعّل أحرف كبيرة (A-Z) وأحرف صغيرة (a-z) وأرقام (0-9) ورموز (!@#$…) بحسب ما يسمح به الموقع الذي تسجّل فيه. فعّل استبعاد الأحرف المتشابهة (I l 1 O 0 o) إن كنت ستقرأ كلمة المرور بصوت عالٍ أو تكتبها من ورقة. وللعبارة، حدّد عدد الكلمات من 3 إلى 10، والفاصل، واختياريًا إضافة رقم في النهاية.
3. اختر العدد. عدد كلمات المرور (1-20) يتيح لك سحب دفعة واختيار واحدة منها.
4. أنشئ وانسخ. اضغط إنشاء ثم نسخ بجوار الكلمة التي تريدها. إعادة الإنشاء تسحب مجموعة جديدة. الصق النتيجة مباشرة في مدير كلمات المرور.
5. افحص كلمة موجودة. انتقل إلى فحص، ثم اكتب كلمة المرور أو الصقها. تحصل على درجة من ضعيفة جدًا إلى قوية، وتقدير تحت الوقت اللازم لكسرها (هجوم غير متصل)، ومقترحات.

وبما أن المولّد هو من يصنع الكلمة، فلا حاجة لأن يرى كلمة مرور تستخدمها أصلًا.

ما يجب الانتباه إليه

العشوائية تأتي من المصدر الآمن في المتصفح، لا من Math.random. تستخدم الأداة crypto.getRandomValues، المولّد التشفيري في المتصفح، ولا تستخدم Math.random أبدًا، فهذه الدالة مصمَّمة للألعاب والحركة وليست آمنة للأسرار. وهناك دقيقة أخرى: تحويل رقم عشوائي إلى عنصر في قائمة قد يميل بصمت إلى بعض العناصر. فإذا أخذت رقمًا عشوائيًا من 32 بتًا وحسبت باقي قسمته على طول القائمة، فإن العناصر الأولى تظهر أكثر قليلًا كلما كان الطول لا يقسم المدى بالتساوي. وتتجنب الأداة ذلك بالأخذ مع الرفض: تحسب أكبر مدى يقبل القسمة بالتساوي، وتتجاهل أي سحب يقع خارجه، ثم تسحب من جديد. فيصبح لكل حرف وكلمة الحظ نفسه.

الطول يؤدي عملًا أكبر من التعقيد. مع حروف الأداة وأرقامها ورموزها، يضاعف كل حرف إضافي عدد الاحتمالات. كلمة من 20 حرفًا من أحرف كبيرة وصغيرة وأرقام تحمل نحو 119 بتًا من عدم القابلية للتوقع، أي أكثر بكثير من أي جهد تخمين واقعي. وإضافة فئة الرموز تفيد قليلًا، لكن زيادة الطول تفيد أكثر. بعض المواقع تضع حدًا للطول أو ترفض الرموز، فلا تفعّل إلا ما يقبله الموقع.

عبارات المرور أسهل في الاستخدام. قائمة الكلمات نحو 310 كلمات قصيرة شائعة، فتضيف كل كلمة نحو 8.3 بت. وعند الافتراضي، 4 كلمات، يكون الناتج نحو 33 بتًا، وهذا متواضع. ست كلمات تعطي نحو 50 بتًا، وعشر كلمات نحو 83. إذا كانت العبارة هي ما يجب أن تتذكره، كالكلمة الرئيسية لمدير كلمات المرور، فاختر ست كلمات أو أكثر وأبقِ الفاصل. هذه الأرقام تحسب السحب العشوائي وحده، لأن الكلمات من قائمة ويُفترض أن المهاجم يعرفها.

«القابلة للنطق» مقايضة. هي أسهل نطقًا وكتابة، لكنها تحمل عدم قابلية للتوقع أقل لكل حرف من الأحرف العشوائية الكاملة. اجعلها أطول للتعويض.

مقياس القوة تقدير. تأتي الدرجة ووقت الكسر من مقدِّر يعتمد على مطابقة الأنماط. يبحث عن كلمات القاموس والتكرار وتتابعات لوحة المفاتيح، ويفترض هجومًا غير متصل على كلمة مرور مخزّنة بتجزئة بطيئة. ولا يمكنه معرفة كيف يخزّن موقع معيّن كلمات المرور، ولا هل تسرّبت كلمتك في مكان آخر، ولا هل يراقب برنامج خبيث ما تكتبه. اعتبر «قوية» علامة مفيدة، لا وعدًا بأن لا شيء قادر على كسر الكلمة.

لا تُحفظ ولا تُرسل. لا يُخزَّن ولا يُسجَّل ولا يُرسَل أي شيء تكتبه أو تولّده، وليس للأداة سجل. وإن استخدمت رابطًا مشتركًا فهو يحمل إعداداتك فقط، لا كلمة مرور أبدًا. وعند إغلاق التبويب تختفي الكلمات، فانسخ التي ستستخدمها إلى مدير كلمات المرور قبل أن تغادر.

الأسئلة الشائعة

ما الطول المناسب لكلمة المرور؟

لأي حساب يحمي مالًا أو بريدًا أو مدير كلمات مرور، استهدف 16 حرفًا عشوائيًا على الأقل، أو ست كلمات أو أكثر في عبارة المرور. تبدأ الأداة من 20 حرفًا وتسمح حتى 64. استخدم أطول طول يقبله الموقع للحسابات المهمة، واحتفظ بكلمة مرور فريدة لكل حساب.

هل عبارة المرور أفضل من الأحرف العشوائية؟

لكل حرف، الأحرف العشوائية أكثف، لكن عبارة المرور أسهل كثيرًا في الكتابة والحفظ. لكلمة يجب أن تحفظها عن ظهر قلب استخدم عبارة أطول. ولكلمة سيخزّنها مدير كلمات المرور استخدم أحرفًا عشوائية ودع المدير يتذكرها.

هل أثق برقم «الوقت اللازم للكسر»؟

استخدمه لمقارنة كلمتين، لا كتنبؤ. فهو يفترض نوعًا واحدًا من الهجمات ومعدّل تخمين واحدًا. المهاجمون الحقيقيون وطرق التخزين الحقيقية تتنوع، لذلك فكلمة المرور الطويلة العشوائية هي الجزء الذي يُعتمد عليه، والرقم مجرد دليل تقريبي.