طريقة الاستخدام
- اضبط «الطول» باستخدام شريط التمرير أو الحقل الرقمي. ويُعد 16 حرفًا أو أكثر خيارًا افتراضيًا جيدًا لكلمات المرور المحفوظة في مدير كلمات المرور.
- اختر أنواع الأحرف: «أحرف كبيرة (A-Z)» و«أحرف صغيرة (a-z)» و«أرقام (0-9)» و«رموز (!@#$...)». ويكون خيار «تضمين كل الأنواع المحددة» مفعّلًا افتراضيًا، فيضع حرفًا واحدًا على الأقل من كل نوع في كل كلمة مرور.
- عند الحاجة، فعّل «استبعاد الأحرف المتشابهة (i l 1 L o 0 O)» لحذف أحرف مثل l و1 وO، أو «استبعاد الرموز الملتبسة»، أو اكتب في «الأحرف المستبعدة» أحرفًا بعينها يرفضها موقع ما.
- انقر «توليد»، وتحقّق من تقييم «القوة» ومن الإنتروبيا، ثم انسخ كلمة مرور واحدة أو انسخها كلها عبر «نسخ الكل».
ما الذي يجعل كلمة المرور قوية
تُقاس قوة كلمة المرور المولّدة عشوائيًا بالإنتروبيا: length × log2(pool size) بت، حيث المجموعة (pool) هي مجموعة الأحرف التي تُسحب منها كلمة المرور. وكل بت إضافي يضاعف عدد التخمينات اللازمة. فالإنتروبيا تزيد بالتناسب مع الطول، بينما لا يضيف توسيع المجموعة إلا القليل لكل حرف، لذا يتفوق الطول: فكلمة مرور من 16 حرفًا صغيرًا لها احتمالات أكثر بنحو 11 مليون مرة من كلمة مرور من 8 أحرف تمزج الأنواع الأربعة كلها.
| الطول | الأحرف | المجموعة | الإنتروبيا |
|---|---|---|---|
| 4 | أرقام (رمز PIN) | 10 | 13.3 بت |
| 8 | أحرف صغيرة | 26 | 37.6 بت |
| 8 | الأنواع الأربعة كلها | 89 | 51.8 بت |
| 12 | حروف وأرقام | 62 | 71.5 بت |
| 16 | أحرف صغيرة | 26 | 75.2 بت |
| 16 | الأنواع الأربعة كلها | 89 | 103.6 بت |
| 20 | الأنواع الأربعة كلها | 89 | 129.5 بت |
تعطي الأنواع الأربعة هنا مجموعة من 89 حرفًا: 26 + 26 + 10 + 27 رمزًا. وتعرض الأداة الإنتروبيا مقرّبة إلى الأسفل لأقرب عدد صحيح من البتات. ولا تصح هذه الأرقام إلا لكلمات المرور العشوائية؛ فكلمة المرور التي يبتكرها شخص بنفسه إنتروبيتها أقل بكثير مما يوحي به طولها.
ما توصي به NIST SP 800-63B
يتناول NIST SP 800-63B، وهو الدليل الفيدرالي الأمريكي للمصادقة الرقمية، الخدماتِ التي تتحقق من كلمات المرور. وتنص مراجعته الحالية SP 800-63B-4 على أن هذه الخدمات:
- يجب أن تشترط 15 حرفًا على الأقل عندما تكون كلمة المرور هي العامل الوحيد، أو 8 أحرف عند استخدامها مع عامل آخر، وينبغي أن تسمح بـ 64 حرفًا على الأقل؛
- يجب ألا تفرض قواعد تركيب مثل «حرف كبير واحد ورقم واحد ورمز واحد»، ولا تغييرًا دوريًا لكلمة المرور، لكن يجب أن تفرض تغييرها عند وجود دليل على اختراقها؛
- يجب أن تقارن كلمات المرور الجديدة بقائمة حظر تضم كلمات المرور الشائعة الاستخدام أو المتوقعة أو المخترَقة؛
- ينبغي أن تقبل جميع أحرف ASCII القابلة للطباعة والمسافة، وأن تسمح باللصق حتى تعمل برامج إدارة كلمات المرور.
والدرس للمستخدمين هو نفسه: الطول والعشوائية هما ما يهم، أما الاستبدالات المتوقعة مثل P@ssw0rd1 فلا تفيد.
برامج إدارة كلمات المرور وعبارات المرور
كثيرًا ما تكون كلمة المرور المعاد استخدامها أخطر من كلمة المرور القصيرة: فبعد أي اختراق، يجرّب المهاجمون أزواج البريد الإلكتروني وكلمة المرور المسرّبة على مواقع أخرى (ما يُعرف بحشو بيانات الاعتماد أو credential stuffing). استخدم كلمة مرور عشوائية مختلفة لكل حساب، ودع مدير كلمات المرور يتذكرها عنك؛ وعندها لا تتطلب كلمة مرور من 20 حرفًا جهدًا أكبر من كلمة مرور من 8 أحرف.
أما كلمات المرور القليلة التي تكتبها من ذاكرتك، مثل كلمة المرور الرئيسية لمدير كلمات المرور، فعبارة المرور أسهل: كلمات مختارة عشوائيًا، باستخدام النرد وقائمة الكلمات الطويلة من EFF مثلًا. وتضيف كل كلمة من كلمات القائمة البالغ عددها 7,776 كلمة نحو 12.9 بت، فتعطي ست كلمات نحو 77.5 بت. تنشئ هذه الأداة كلمات مرور من الأحرف لا عبارات مرور؛ أما مفاتيح API وغيرها من الأسرار المخصصة للأنظمة، فاستخدم مولّد Base64 العشوائي.
كيف يعمل هذا المولّد
تُنشأ كلمات المرور على جهازك باستخدام crypto.getRandomValues()، وهو مولّد الأرقام العشوائية الآمن تشفيريًا في المتصفح، ولا تُرسل أو تُخزَّن أبدًا. ولأن عملية باقي القسمة (modulo) البسيطة تجعل بعض الأحرف أرجح قليلًا من غيرها، تستخدم الأداة أسلوب أخذ العينات بالرفض (rejection sampling): إذ تُسحب من جديد كل قيمة عشوائية من 32 بت تساوي أكبر مضاعف لحجم المجموعة أو تتجاوزه، فيصبح احتمال ظهور كل حرف متساويًا تمامًا.
يزيل خيار استبعاد الأحرف المتشابهة الأحرف i l 1 L o 0 O، وهو مفيد عندما تُقرأ كلمة المرور بصوت عالٍ أو تُكتب من ورقة، كما في مفاتيح شبكات Wi-Fi. ويزيل خيار استبعاد الرموز الملتبسة الأقواس والشرطة المائلة وعلامة التلدة و, ; : .، وهي رموز تسيء بعض النماذج وأصداف الأوامر (shells) وملفات الإعداد التعامل معها، فيتبقى ! @ # $ % ^ & * - _ = + ?. وكلا الخيارين يقلّص المجموعة، لذا أضف حرفًا أو اثنين للتعويض.
الأسئلة الشائعة
ما الطول المناسب لكلمة المرور؟
15 حرفًا على الأقل للحساب المحمي بكلمة مرور فقط، وهو الحد الأدنى الذي يحدده NIST SP 800-63B-4 لكلمات المرور المستخدمة عاملًا وحيدًا للمصادقة. ومع مدير كلمات المرور، لا تكلّفك كلمة مرور عشوائية من 16 إلى 24 حرفًا شيئًا. أما كلمات المرور التي تكتبها كثيرًا، ففكّر في عبارة مرور من خمس أو ست كلمات عشوائية.
هل استخدام كلمة مرور مولّدة على موقع ويب آمن؟
crypto.getRandomValues()، ولا تُرسل كلمات المرور أو تُسجَّل أو تُحفظ. انسخ كلمة المرور التي تحتاجها مباشرةً إلى مدير كلمات المرور.ماذا تعني الإنتروبيا بالبت؟
هي اللوغاريتم للأساس 2 لعدد كلمات المرور التي يمكن أن تنتجها إعداداتك. فـ 80 بت تعني 2 مرفوعًا للقوة 80 من كلمات المرور الممكنة، وكل بت إضافي يضاعف جهد التخمين. وهي تصف طريقة توليد كلمة المرور، لذا لا تنطبق إلا على كلمات المرور العشوائية.
هل ينبغي أن أغيّر كلمات المرور بانتظام؟
ليس وفق جدول زمني ثابت. يوجّه NIST SP 800-63B-4 الخدماتِ بألا تفرض تغييرات دورية، لأن الناس يستجيبون لها بتعديلات يمكن توقعها. غيّر كلمة المرور عندما تبلّغ خدمة ما عن اختراق، أو عندما تظهر كلمة المرور في تسريب، أو عندما تشك في أن شخصًا آخر يعرفها.
هل يجعل اشتراط كل أنواع الأحرف كلمة المرور أقوى؟
لا. فخيار «تضمين كل الأنواع المحددة»، المفعّل افتراضيًا، يضمن فقط أن تقبل المواقع ذات قواعد التركيب كلمة المرور. وتتجاهل الأداة كلمات المرور التي ينقصها أحد الأنواع المحددة وتولّدها من جديد، ما يستبعد بعض التركيبات ويخفض الإنتروبيا الفعلية قليلًا، وخاصة في كلمات المرور القصيرة، لذا فالرقم المعروض حدٌّ أعلى. وزيادة الطول هي الطريقة الأفضل لكسب مزيد من القوة.