مولّد كلمات المرور

كم محرفاً يكفي؟

المقياس المفيد هو العشوائية — أي من كم احتمال متساوي الترجيح سُحبت كلمة المرور، معبَّراً عنه بقوة للعدد اثنين. فستون بتاً تعني 2⁶⁰ مرشحاً. وهي وحدة أفضل من كلمة «قوية» لأنك تستطيع الحساب بها: أضف محرفاً من أبجدية هذه الأداة البالغة 87 رمزاً فتكسب نحو 6.4 بت، وهو ما يضاعف الجهد نحو تسعين مرة.

وما يشتريه ذلك يتوقف كلياً على طريقة تخزين الموقع لكلمة مرورك، وهو ما لا سبيل لك إلى معرفته. والجدول أدناه يفترض الحالة المتشائمة التي يُبلَّغ عنها بعد معظم التسريبات: أن التجزئة كانت سريعة، وأن المهاجم استأجر بطاقات رسوميات.

وأطرف ما في ذلك الجدول هو الموضع الذي يكفّ فيه عن الأهمية. فبعد نحو ستة عشر محرفاً عشوائياً تُحسَم مسألة التخمين الشامل نهائياً، ويصير كل خطر باقٍ على ذلك الحساب شيئاً آخر تماماً — تصيّداً، أو مسجّل ضغطات، أو تسريباً لدى المزوّد، أو إعادة استعمال في مكان آخر. واختيار أربعة وعشرين محرفاً بدل عشرين ليس هو القرار الذي يحميك.

قواعد التعقيد جعلت كلمات المرور أسوأ

ظلت النصيحة المعيارية عشرين عاماً: ثمانية محارف مع حرف كبير ورقم ورمز. وقد أنتجت تلك القاعدة Password1! بكميات هائلة، لأنها تصف بالضبط ما يفعله الإنسان حين يُطلَب منه استيفاؤها. فالقاعدة مستوفاة، وكلمة المرور في كل قاموس كسر.

والعشوائية هي ما كانت القاعدة تتحسّس طريقها إليه، والعشوائية هي بالذات ما لا يستطيع الإنسان تقديمه. اطلب من أحدهم محرفاً عشوائياً فلن يكون التوزيع منتظماً بحال؛ واسأله أين يوضع الرقم فيكون في النهاية. ولهذا يختار المولّد أعلاه كل محرف مستقلاً عن غيره من الأبجدية التي حددتها، ويعيد سحب كلمة المرور كاملةً بدل وضع رمز واحد في خانة ثابتة — إذ إن الأسلوب الثاني كان سيستوفي السياسة بينما يجعل موضع كل محرف إلزامي متوقَّعاً في صمت.

أي المحارف تُدرِج

تشغيل المجموعات الأربع كلها يعطي أبجدية من 87 محرفاً، بقيمة 6.44 بت للمحرف. وإسقاط الرموز يترك 62 محرفاً و5.95 بت — أي خسارة نحو نصف بت لكل محرف، ومحرفان إضافيان يعوّضانها ويزيدان. فإن رفض موقع الرموز، أو كنت تكتب كلمة المرور على وحدة ألعاب، فأسقطها وأضف طولاً بدلاً منها. تلك مقايضة حقيقية لا تنازل.

أما خيار تجنّب المحارف المتشابهة فيزيل 0 O 1 l I | وعلامات الاقتباس. وهو يكلّف جزءاً من بت ويمنع الإخفاق الشائع المحدد: أن تسيء قراءة كلمة المرور عن الشاشة فتغلق على نفسك الباب عند المحاولة الثالثة. ويستحق الاستعمال في كل ما ستكتبه يوماً بيدك؛ ولا معنى له فيما يعيش داخل مدير كلمات المرور.

متى تكون عبارة المرور هي الجواب الصحيح

لديك ثلاث كلمات مرور تقريباً يجب أن تحفظها حقاً: تلك التي تفتح مدير كلمات المرور، وتلك التي تفتح حاسوبك المحمول، وربما بريدك. وكل ما عداها يمكن أن يكون عشرين محرفاً عشوائياً، لأنك لن تكتبه أبداً.

ولتلك الثلاث تفوز عبارة المرور. فـ picture-shallow-ranger-anvil-cobalt-drift ست كلمات، ونحو 66 بتاً، وتستطيع الاحتفاظ بها في رأسك بعد بضع تكرارات على نحو لن تستطيعه أبداً مع K7#mQ2vX!pL9. والمشكلة أن القوة تأتي من عدد الكلمات، والناس يختارون منها القليل باستمرار. فأربع كلمات 44 بتاً — وهذا لا يكفي لمدير كلمات مرور. وست كلمات 66. وسبع كلمات 77.

ولا ينجح ذلك إلا إذا اختارت الآلة الكلمات. فالعبارة التي تؤلفها بنفسك مسحوبة من المجموعة الصغيرة من العبارات التي تخطر ببال إنسان، لا من قائمة الكلمات؛ وكلمات الأغاني واقتباسات الأفلام موجودة في قواميس الكسر بوصفها سلاسل كاملة.

الإخفاق الذي يقع فعلاً

لا يكاد أحد يُكسَر بالتخمين الشامل. والذي يحدث هو هذا: موقع سجّلت فيه سنة 2015 يُخترق، فيتسرب ملف كلمات المرور، وخلال أيام تجرّب أدوات آلية ذلك الزوج من البريد وكلمة المرور على المصارف ومزوّدي البريد ومتاجر التجزئة. وهذا حشو بيانات الاعتماد، وهو الطريقة السائدة لفقدان الحسابات. ولا يعنيه كم كانت كلمة مرورك قوية. بل يعنيه فقط: هل استعملتها مرتين.

ولهذا فإن أعلى ما في هذه الصفحة قيمةً ليس مؤشر الطول. بل توليد كلمة مرور مختلفة لكل موقع، وهو أمر لا يكون عملياً إلا مع مدير كلمات مرور، وهو ما يحوّل تسريباً واحداً إلى مشكلة واحدة بدل إحدى عشرة.

والمصادقة الثنائية هي النصف الآخر. فكلمة المرور المسرَّبة تظل عديمة النفع لمن لا يستطيع تقديم عاملك الثاني، والرمز عبر تطبيق أو مفتاح عتادي أفضل من الرسائل القصيرة، المعرَّضة لنقل رقمك بعيداً عنك.

هل تستطيع الوثوق بهذه الصفحة؟

سؤال منصف يُطرح على أي مولّد على الإنترنت، والجواب ينبغي أن يكون قابلاً للتحقق لا مجرد دعوى. وثلاثة أمور صحيحة في هذا المولّد:

• كلمة المرور مولَّدة بـ crypto.getRandomValues()، أي مصدر العشوائية التشفيري في المتصفح — لا Math.random() أبداً، فهو مولّد شبه عشوائي إحصائي سريع بلا خصائص أمنية، وحالته الداخلية قابلة للاستعادة في بعض المحركات.
• وهي تُولَّد بعد تحميل الصفحة، داخل متصفحك. ولا شيء منها يُحسَب على خوادمنا، فليس لدينا ما نسجّله حتى لو أردنا.
• ولا تُكتب في localStorage، ولا تُوضع في الرابط، ولا تُدرَج في أي حدث تحليلات. وإغلاق التبويب يتلفها.

ويمكنك التحقق من الثلاثة: افتح أدوات المطوّرين في متصفحك، وانتقل إلى تبويب الشبكة، ثم اضغط ولّد أخرى بقدر ما تشاء. فلا شيء يُرسَل. وهذا الفحص يصلح مع أي مولّد، ويستحق أن تجريه على أي مولّد لم تقرأ شيفرته.

وإن فضّلت ألا تمنح هذه الثقة أصلاً فذلك معقول أيضاً — فالمولّد داخل مدير كلمات المرور لديك ينتج النوع نفسه من المخرجات مع طرف أقل. وسبب استعمال هذا هو الملاءمة لا التفوق.

ذات صلة

ألديك كلمة مرور بالفعل وتريد معرفة ما عيبها؟ فاحص القوة يفككها كما تفعل أداة كسر ويخبرك بالأجزاء التي تعرّف عليها. أما ما يفشيه متصفحك واتصالك — وهي مشكلة منفصلة عن أمان الحساب كثيراً ما تُخلَط به — فيغطيه فحص الخصوصية في مرور واحد.