حاسبة الوقت

الإنتروبي يقيس عشوائية (عدم القدرة على التنبؤ) كلمة المرور بالبتات. الصيغة هي L مضروبة في log2(N)، حيث L هو الطول و N هو حجم مجموعة الرموز.

• باستخدام الأحرف الصغيرة فقط (N=26): كلمة مرور من 12 رمزاً لها 56.4 بت من الإنتروبي.
• إضافة الأحرف الكبيرة (N=52): 68.4 بت.
• إضافة الأرقام (N=62): 71.5 بت.
• إضافة الرموز (N=94): 78.8 بت.

حدود الأمان:

• أقل من 40 بت يمكن كسرها بسهولة في دقائق؛
• 40-60 بت تقاوم الهجمات عبر الإنترنت ولكنها تسقط أمام الهجمات دون اتصال؛
• 60-80 بت قوي لمعظم الأغراض؛
• أكثر من 80 بت قوي جداً؛
• أكثر من 128 بت غير قابلة للكسر بأي تكنولوجيا يمكن توقعها.

الانتقال من 12 إلى 16 رمزاً مع مجموعة الرموز الكاملة يقفز من 78.8 إلى 105.1 بت - مما يجعلها أصلب بنحو 78 مليون مرة ضد الكسر. ولهذا السبب تؤكد NIST وخبراء الأمان على الطول بدلاً من التعقيد.

يستخدم المهاجمون عدة استراتيجيات تتجاوز القوة العمياء البسيطة.

• هجمات القاموس تجرب الكلمات والعبارات الشائعة - كلمة المرور 'sunshine' تسقط فوراً على الرغم من أن طولها 8 رموز.
• حشو بيانات الاعتماد يستخدم كلمات المرور من خروقات البيانات السابقة (أكثر من 10 مليارات كلمة مرور مسربة متاحة علناً).
• الهجمات القائمة على القواعد تعدل كلمات القاموس ببدائل شائعة (@ لـ a، 3 لـ e، ! في النهاية) - 'P@ssw0rd!' هي من بين أولى الأنماط التي يتم تجربتها.
• هجمات الجداول الوهمية (Rainbow tables) تستخدم تجزئات محسوبة مسبقاً لكلمات المرور الشائعة.

فقط كلمات المرور العشوائية حقاً والمولدة من مصدر آمن تشفيرياً تقاوم كل هذه الهجمات.

كلمات المرور التي يختارها البشر متحيزة بطبيعتها - فالناس يفضلون أحرفاً وأماكن وأنماطاً معينة للرموز الخاصة. تظهر الدراسات أن كلمات المرور المولدة بشرياً تحقق في المتوسط 20-30 بت فقط من الإنتروبي الفعال حتى عندما تبدو معقدة، مقارنة بـ 79-105 بت لكلمات المرور العشوائية المولدة بالآلة بنفس الطول.

إنشاء كلمات مرور قوية هو نصف الحل فقط - وإدارتها بأمان لا يقل أهمية.

• استخدم مدير كلمات مرور مخصصاً (1Password، Bitwarden، KeePass، أو المدير المدمج في متصفحك) لتخزين كلمات مرور فريدة لكل حساب. يمتلك الشخص العادي ما بين 70 إلى 100 حساب على الإنترنت، مما يجعل الحفظ مستحيلاً دون إعادة الاستخدام.
• قم بتفعيل المصادقة الثنائية (2FA) على جميع الحسابات التي تدعمها - حتى كلمة المرور المخترقة لا يمكنها منح حق الوصول بدون العامل الثاني. أعط الأولوية لمفاتيح الأمان المادية (YubiKey، Google Titan) أو تطبيقات المصادقة (Google Authenticator، Authy) على المصادقة الثنائية القائمة على الرسائل القصيرة، والتي تكون عرضة لتبديل بطاقة SIM.
• بالنسبة لكلمة المرور الرئيسية لمدير كلمات المرور الخاص بك، استخدم عبارة مرور طويلة من 4-6 كلمات عشوائية (مثلاً: 'correct horse battery staple') - فهذا أسهل للتذكر من سلسلة عشوائية مع توفير 50-80 بت من الإنتروبي.
• قم بتغيير كلمات المرور فوراً بعد أي إشعار بخرق وتحقق من موقع haveibeenpwned.com بانتظام.

يبني منشئ كلمات المرور العشوائية كلمة مرور عن طريق اختيار الرموز عشوائياً من مجموعة مختارة (أحرف كبيرة، أحرف صغيرة، أرقام، رموز) باستخدام مصدر للعشوائية.

تستخدم المولدات الآمنة، بما في ذلك هذه الأداة، مولد أرقام شبه عشوائية آمن تشفيرياً (CSPRNG) يتم توفيره بواسطة المتصفح - وهو crypto.getRandomValues() التابع لـ Web Crypto API - بدلاً من Math.random() القابل للتنبؤ. تؤكد كل من NIST SP 800-63B و OWASP على أن عدم القدرة على التنبؤ هو ما يجعل السر مقاوماً للتخمين.

يتم سحب كل رمز بشكل مستقل، لذلك لا يوجد أي نمط، أو كلمة قاموس، أو تحيز بشري يتسلل للداخل. نظراً لأن التوليد يحدث بالكامل على جانب العميل، فإن كلمة المرور لا تغادر جهازك أبداً، ويعرض مقياس القوة الإنتروبي بالبتات حتى تتمكن من تقييم النتيجة قبل استخدامها.

اختر الطول أولاً: فهو أقوى رافعة للأمان. توصي NIST SP 800-63B بحد أدنى 8 رموز وتدعم كلمات المرور حتى 64 رمزاً على الأقل، ويقترح معظم الخبراء 12-16 رمزاً للحسابات اليومية و20+ للحسابات عالية القيمة مثل البريد الإلكتروني، والخدمات المصرفية، وبیانات الاعتماد الرئيسية لمدير كلمات المرور.

قم بتفعيل أكبر عدد ممكن من أنواع الرموز التي يسمح بها الموقع - أحرف كبيرة، أحرف صغيرة، أرقام، رموز - لتوسيع المجموعة من 26 إلى 94 رمزاً. إذا رفض الموقع الرموز، قم بزيادة الطول بدلاً من ذلك للحفاظ على ارتفاع الإنتروبي.

كقاعدة عامة، كلمة المرور العشوائية التي تزيد عن 60 بت من الإنتروبي تقاوم الهجمات دون اتصال، و80+ بت تعتبر قوية جداً. استخدم قراءة الإنتروبي لتأكيد تجاوزك لتلك الحدود.

منشئ كلمات المرور مفيد في أي مكان تحتاج فيه إلى سر فريد لا يمكن تخمينه. تشمل الاستخدامات الشائعة:

• إنشاء كلمات مرور جديدة للحسابات عبر الإنترنت،
• استبدال كلمات المرور الضعيفة أو المعاد استخدامها التي يحددها مدير كلمات المرور،
• توليد مفاتيح شبكة الواي فاي،
• توليد مفاتيح واجهة برمجة التطبيقات (API) أو بيانات اعتماد قواعد البيانات للمطورين،
• إنتاج كلمات مرور مؤقتة عند إعداد المستخدمين الجدد.

نظراً لأن CISA و OWASP توصيان بكلمة مرور فريدة لكل حساب، فإن المنشئ المقترن بمدير كلمات المرور يتيح لك اتباع هذه النصيحة دون حفظ أي شيء.

تستخدم الفرق أيضاً كلمات المرور المولدة لحسابات الخدمات المشتركة ولتدوير بيانات الاعتماد بعد الاشتباه في حدوث خرق. بالنسبة لعبارات المرور التي يجب عليك كتابتها من الذاكرة، قد يكون النهج المكون من عدة كلمات مناسباً لك بشكل أفضل من السلسلة العشوائية، ولكن بالنسبة للأسرار المخزنة، تكون كلمة المرور العشوائية الطويلة مثالية.

الخطأ الأكثر ضرراً هو إعادة استخدام نفس كلمة المرور عبر المواقع، لأن خرقاً واحداً يفتح بعد ذلك العديد من الحسابات - وهي تقنية يقوم المهاجمون بأتمتتها من خلال حشو بيانات الاعتماد.

تشمل الأخطاء المتكررة الأخرى:

• الاعتماد على بدائل يمكن التنبؤ بها (P@ssw0rd!),
• إلحاق رقم أو سنة بكلمة قاموس،
• استخدام الأسماء، أو تواريخ الميلاد، أو السير عبر لوحة المفاتيح مثل qwerty،
• اختيار كلمات مرور قصيرة أقل من 12 رمزاً.

يثق الكثير من الناس مبالغةً في عمليات إعادة التعيين الدورية الإجبارية؛ توصي NIST SP 800-63B الآن بعدم إجراء تدوير إلزامي تعسفي وتوصي بدلاً من ذلك بتغيير كلمة المرور فقط عند وجود أدلة على الاختراق.

لا تخزن كلمات المرور في ملاحظات نصية عادية أو جداول بيانات، ولا تشاركها أبداً عبر قنوات غير مشفرة. تجنب هذه الأخطاء أهم بكثير من إضافة رمز واحد آخر إلى كلمة مرور عشوائية بالفعل.

وقت الكسر يعتمد على الإنتروبي ومعدل تخمين المهاجم، وليس على أي رمز واحد. بالنسبة للهجوم دون اتصال ضد تجزئة سريعة سيئة الحماية، قد يحاول الخصم القادر ما يقدر بمليارات إلى تريليونات من التخمينات في الثانية باستخدام وحدات معالجة الرسومات.

• كلمة مرور عشوائية من 8 رموز بجميع الأنواع (~52 بت) يمكن أن تسقط في ساعات إلى أيام بهذه السرعات،
• بينما كلمة مرور من 12 رمزاً (~78 بت) تدفع متوسط البحث إلى ملايين السنين،
• وكلمة مرور من 16 رمزاً (~105 بت) لا يمكن كسرها فعلياً بالقوة العمياء.

نادراً ما تكسر الهجمات الحقيقية كلمات المرور المولدة عشوائياً بالقوة العمياء، ومع ذلك - فهي تستغل إعادة الاستخدام، والتصيد الاحتيالي، وقواعد البيانات المسربة. ولهذا السبب توصي OWASP بتجزئة كلمات المرور البطيئة والمملحة على جانب الخادم، مما يقلل معدل تخمين المهاجم. اعتبر أرقام وقت الكسر إرشادات لحجم الرتبة، وليست ضمانات.

كلاهما يمكن أن يكون آمناً؛ الخيار الصحيح يعتمد على ما إذا كنت ستتذكر السر أو تخزنه.

• كلمة المرور ذات الرموز العشوائية تحزم إنتروبي عالي في رموز قليلة، مما يجعلها مثالية لأي شيء يحتفظ به مدير كلمات المرور لك.
• عبارة المرور - عدة كلمات غير ذات صلة مترابطة ببعضها - تصل إلى قوة مماثلة ولكنها أسهل بكثير في الكتابة والاستدعاء، ولهذا السبب تناسب كلمة المرور الرئيسية لمدير كلمات المرور أو تسجيل الدخول لجهازك.

تأتي قوة أي منهما من العشوائية: يجب اختيار الكلمات عشوائياً من قائمة كبيرة، وليس اختيارها من قبل شخص، وإلا فسيتم تدمير الإنتروبي. تشجع NIST SP 800-63B صراحة على عبارات المرور الطويلة التي لا تُنسى وتثبط القواعد التي تمنعها.

بالنسبة لمعظم الناس، الاستراتيجية الأفضل هي عبارة مرور عشوائية محفوظة تحرس خزنة مليئة بكلمات المرور العشوائية المولدة.

نعم، عندما يتم إنشاء الأداة محلياً وتستخدم مصدر تشفير عشوائي مناسباً. يعمل مولد الكلمات المرورية هذا بالكامل في متصفحك من خلال واجهة برمجة تطبيقات التشفير في الويب (Web Crypto API)، بحيث لا يتم إرسال كلمة المرور أو تسجيلها بواسطة أي خادم مطلقاً — ويمكنك قطع الاتصال بالإنترنت وستظل تعمل.

المخاطر الرئيسية مع أي أداة توليد تتعلق بالبيئة وليس بالرياضيات:

• البرمجيات الخبيثة أو برامج تسجيل لوحة المفاتيح على جهازك،
• التجسس من خلف الكتف،
• أو موقع إلكتروني مخترق وغير مُدار يقدم تعليماً برمجياً معدلاً.

وللبقاء في جانب الأمان، استخدم أدوات موثوقة وحديثة عبر بروتوكول HTTPS، وتجنب أجهزة الكمبيوتر العامة أو المشتركة لكلمات المرور الحساسة، والصق كلمات المرور المُولّدة مباشرة في مدير كلمات مرور موثوق بدلاً من إرسالها بالبريد الإلكتروني أو الرسائل النصية. تركز إرشادات وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ومؤسسة (OWASP) على هذه العادات التشغيلية، نظراً لأن كلمة المرور القوية رياضياً لا تكون آمنة إلا بمقدار أمان الجهاز والقناة التي تتعامل معها.

أكبر خطر في الواقع العملي ليس العشوائية الضعيفة بل التكرار. عند اختراق موقع ما، يتم جمع بيانات الاعتماد المُسربة في قوائم ضخمة وإعادة استخدامها ضد خدمات أخرى في حملات تلقائية لحشو بيانات الاعتماد؛ حيث توجد مليارات من أزواج أسماء المستخدمين وكلمات المرور المتداولة علناً بالفعل.

إذا قمت بإعادة استخدام كلمة مرور، فإن اختراقاً قديماً واحداً يمكن أن يتسلسل عبر بريدك الإلكتروني وحساباتك المصرفية والاجتماعية. توصي كل من CISA و OWASP ببيانات اعتماد فريدة لكل حساب خصيصاً لاحتواء هذا النطاق التدميري.

تحقق من عناوينك مقابل خدمة موثوقة للإشعارات بالختراقات، وإذا ظهرت كلمة مرور في أي تسريب، استبدلها على الفور بكلمة مرور فريدة تم إنشاؤها حديثاً وقم بتفعيل المصادقة الثنائية. كلمات المرور العشوائية الفريدة تجعل حوادث الاختراق قابلة للتجاوز: فالمهاجم الذي يخترق حساباً واحداً يحصل على حق الوصول إلى هذا الحساب فقط لا غير باستخدام حساب الوقت وحساب ساعات العمل وحساب الساعات وحساب عدد الساعات وحاسبة الوقت واحسب ساعات العمل وحساب عدد الساعات والدقائق وبرنامج حساب الوقت وعد تنازلي والحاسبة العلمية وحساب الوقت بالدقائق.