ما مدى قوة كلمة المرور الخاصة بي؟

ماذا يقيس الرقم أعلاه فعلاً

معظم مقاييس القوة تحسب شيئاً واحداً: طول كلمة مرورك مضروباً في حجم مجموعة المحارف التي أخذت منها. وهي صيغة جيدة لكلمة مرور اختيرت عشوائياً، ومضلِّلة بشدة لكلمة مرور اختارها إنسان — وتلك هي جلّها تقريباً.

فـ Password123! تسجّل نحو 79 بتاً بتلك الصيغة. اثنا عشر محرفاً، وأربعة أصناف محارف، وتفي بكل سياسة مؤسسية كُتبت يوماً. ومع ذلك تصل إليها منظومة كسر في أقل من ثانية بكثير، لأنها ليست اثني عشر اختياراً مستقلاً. بل هي كلمة من قاموس، وحرف كبير في الموضع الذي يضعه فيه الجميع، وثلاثة أرقام بالترتيب الذي يستعمله الجميع، ورمز واحد في النهاية. أربعة قرارات، وكلها متوقَّعة.

لذا تفعل هذه الصفحة شيئاً مختلفاً. فهي تفكك كلمة مرورك إلى أرخص تسلسل من القطع القابلة للتعرف تجده، وتسعّر كل قطعة بعدد التخمينات اللازم لبلوغها، ثم تضرب. وأي شيء لا تتعرف عليه يُحتسب بأسعار التخمين الشامل كاملة. والناتج هو log₂ ذلك المجموع، وقائمة «ما الذي يتعرف عليه المهاجم» هي التفكيك الذي استقرت عليه — أي مسار الدخول الفعلي، لا قائمة بكل ما يبدو مريباً.

الأنماط التي تسعّرها

والموضع يهم أيضاً، وإن لم يكن على النحو الذي يتوقعه الناس. فنقل الأرقام من النهاية إلى وسط الكلمة يساعد قليلاً، لأنه يكسر الكلمة إلى قطعتين أقصر لا يستطيع مطابِق القاموس تخطّيهما. لكنه يساعد أقل بكثير من إضافة أربعة محارف عشوائية أخرى.

أين يكون هذا التقدير أكثر سخاءً مما ينبغي

يستحق القول صراحةً، لأن فاحص قوة يبالغ في تقدير نفسه أسوأ من عدمه: كل رقم في هذه الصفحة حدّ أعلى.

فالقاموس هنا 2٬099 كلمة إنجليزية شائعة و181 من أكثر كلمات المرور تسرّباً. وهذا يكفي لالتقاط الإخفاقات التي تفسّر معظم كلمات المرور المخترقة، ولا يقارَب ما يستعمله مهاجم حقيقي. فقوائمهم تبلغ مئات الآلاف من الكلمات، بكل لغة، وإضافةً إليها أسماء الأشخاص والعائلات والأماكن وأندية كرة القدم وأسماء الفرق الموسيقية، ومحتوى كل تسريب علني على مدى خمسة عشر عاماً.

وبصيغة ملموسة: Tr0ub4dor&3 — مثال XKCD، وهي كلمة مرور ضعيفة فعلاً — تسجّل هنا نحو 72 بتاً، لأن «troubadour» ليست في قائمة من ألفي كلمة. أما أداة يضم قاموسها هذه الكلمة فتسعّر السلسلة نفسها بنحو 28 بتاً. والفجوة ليست خللاً في الحساب؛ بل هي حجم القاموس، ولهذا فإن الدرجة الجيدة هنا تعني لم يُعثَر على ضعف ظاهر لا هذه كلمة مرور آمنة.

إن كانت النتيجة سيئة

الغريزة أن ترقّع كلمة المرور التي رسبت — تضيف رمزاً، أو تبدّل حرفاً برقم، أو تضع 2026 في النهاية. وذلك ينتج كلمة مرور على بعد خطوة واحدة من الأصلية، وهي بالضبط التحويلة التي تطبّقها أدوات الكسر. فإن سجّلت كلمة مرور درجةً سيئة، فاستبدلها ولا تصلحها.

والمولّد سينتج لك بديلاً، أما الاثنتان أو الثلاث التي عليك حفظها فعلاً فوضع عبارات المرور فيه هو الخيار الأفضل — إذ إن ست كلمات عشوائية تعادل نحو 66 بتاً وتحتمل أن يكتبها إنسان، وهو ما لا تحتمله عشرون محرفاً عشوائياً.

وثمة أمر لا يستطيع أي فاحص قوة رؤيته، وهو الأهم على الإطلاق: هل استعملت هذه الكلمة في مكان آخر. فالطريقة السائدة لفقدان الحسابات ليست التخمين بل حشو بيانات الاعتماد — أي إعادة تجريب كلمة مرور تسربت من موقع على كل موقع آخر بعنوان البريد نفسه. فكلمة مرور بمئة وعشرين بتاً استُعملت في موضعين لا توفّر حمايةً البتة في الثاني بمجرد اختراق الأول.