مولد كلمات المرور

أعاد المعهد الوطني الأمريكي للمعايير والتقنية (NIST) كتابة إرشاداته الخاصة بكلمات المرور في SP 800-63B، ثم شدّدها مرة أخرى في الإصدار 4 الذي نُشر عام 2024. وتخالف نصيحته الأساسية القواعد القديمة في الشركات: ينبغي أن تقبل الخدمات كلمات مرور من 64 حرفًا على الأقل، وألا تفرض مزيجًا من الأحرف الكبيرة والأرقام والرموز، وألا تُجبر المستخدمين على تغيير كلمات المرور دوريًا، وأن تفحص بدلًا من ذلك كلمات المرور الجديدة مقابل قوائم كلمات المرور المسرّبة والشائعة.

والمنطق هنا حسابي. فقواعد التركيب تدفع الناس إلى أنماط متوقعة مثل "Summer2024!" وهي أول ما يجرّبه المهاجمون. أما كل حرف عشوائي إضافي فيضاعف جهد هجوم التخمين الشامل بمقدار حجم مجموعة الأحرف. فالانتقال من 12 إلى 16 حرفًا عشوائيًا من رموز ASCII القابلة للطباعة البالغ عددها 94 يضيف نحو 26 بت، ما يجعل التخمين أصعب بنحو 78 مليون مرة.

تقيس الإنتروبيا عدد كلمات المرور المتساوية الاحتمال التي كان بإمكان المولّد إنتاجها. وفي كلمة المرور العشوائية تساوي الطول × log2(حجم المجموعة). ومع مجموعات الأحرف الأربع كلها تبلغ المجموعة 94 رمزًا، أي نحو 6.55 بت لكل حرف، فتعطي 16 حرفًا نحو 105 بت. واستبعاد الأحرف المتشابهة يقلّص المجموعة إلى 84 ويكلّف أقل بقليل من خُمس بت لكل حرف. ويستخدم الجدول أعلاه الحساب نفسه ويفترض مهاجمًا غير متصل يجرّب 10 مليارات تخمين في الثانية، وهو رقم معقول لجهاز GPU أمام دالة تجزئة سريعة؛ أما دالة بطيئة مثل bcrypt فتخفض هذا المعدل بعدة أضعاف كبيرة.

وتعمل العبارات المرورية بالطريقة نفسها لكن بالكلمات بدل الأحرف. تحتوي القائمة المدمجة هنا على 367 كلمة قصيرة وشائعة، فتضيف كل كلمة نحو 8.5 بت وتعطي ست كلمات نحو 51 بت: سهلة الكتابة والحفظ لكنها أضعف من كلمة مرور عشوائية من 16 حرفًا. واختيار "رقم عشوائي" فاصلًا يضيف نحو 3.3 بت لكل فاصل. وللعبارة التي تحمي شيئًا مهمًا استخدم ثماني كلمات، أو قائمة Diceware من 7,776 كلمة تساوي كل كلمة فيها 12.9 بت.

يصنّف المقياس ما دون 40 بت ضعيفة، ومن 40 إلى 59 مقبولة، ومن 60 إلى 79 قوية، و80 فأكثر قوية جدًا. وهو يقيّم إعدادات المولّد لا النص الناتج، وهذه الطريقة الصادقة الوحيدة لتقييم كلمة المرور: فعبارة "correct horse battery staple" تنال درجة عالية في أدوات الفحص القائمة على الأنماط، لكنها أول عبارة يجرّبها أي مهاجم.

استخدم كلمة مرور مختلفة لكل حساب ودع مدير كلمات المرور يتذكرها؛ فإعادة الاستخدام هي ما يحوّل تسريب موقع واحد إلى حسابات كثيرة مخترقة. احفظ كلمة المرور في المدير قبل إرسال نموذج التسجيل، وفعّل المصادقة الثنائية حيثما توفرت. ولحماية مستند لا حساب، تناسب العبارة المرورية القوية أداة حماية PDF التي تشفّر الملف بكلمة مرور تختارها.