حاسبة قوة كلمة المرور

عشوائية كلمة المرور هي المعيار الذهبي لقياس قوة كلمة المرور. توضح حاسبة عشوائية كلمات المرور الخاصة بنا بدقة عدد بتات العشوائية التي تحتوي عليها كلمة المرور الخاصة بك.

المزيد من بتات العشوائية يعني تعقيداً أكبر بشكل أسي يفرض على المخترق تجربته. استهدف الحصول على 80+ بت للحسابات المهمة.

كم من الوقت ستستغرق عملية اختراق كلمة المرور الخاصة بك؟ تقدر حاسبة وقت القوة الغاشمة وقت الاختراق بناءً على مجموعات وحدات معالجة الرسوميات الحديثة (10 مليارات تخمين/ثانية).

شاهد الفرق الهائل بين كلمة مرور مكونة من 6 حروف (دقائق) وكلمة مرور مكونة من 16 حرفاً (قرون).

تجمع أفضل كلمات المرور بين الطول والتعقيد. استخدم 12+ حرفاً تمزج بين الحروف الكبيرة والصغيرة والأرقام والرموز. أو استخدم عبارة مرور مكونة من 4+ كلمات عشوائية.

تجنب المعلومات الشخصية والكلمات الشائعة والأنماط القابلة للتنبؤ. يُظهر مختبر قوة كلمات المرور الخاص بنا بوضوح ما يجعل كلمة المرور الخاصة بك قوية أو ضعيفة.

عشوائية كلمة المرور هي قياس لمدى عدم القدرة على التنبؤ، معبر عنها بالبتات، وتقدر مدى صعوبة تخمين كلمة المرور. يتم حسابها على النحو التالي E = L × log2(R)، حيث L هو طول كلمة المرور وR هو حجم مجموعة الحروف (26 حرفاً صغيراً، 26 حرفاً كبيراً، 10 أرقام، وحوالي 33 رمزاً شائعاً).

كل بت إضافي من العشوائية يضاعف عدد التخمينات التي يجب على المخترق إجراؤها. يعود نموذج نظرية المعلومات هذا إلى العمل الأساسي الذي قام به كلود شانون حول نظرية المعلومات، ويناقش معيار NIST SP 800-63B قوة كلمة المرور من حيث مقاومة التخمين بدلاً من قواعد التكوين الصارمة.

تعني العشوائية الأعلى باستمرار كلمة مرور أكثر مرونة وأماناً.

يقوم هجوم القوة الغاشمة باختراق كلمات المرور عن طريق التجربة المنهجية لكل مجموعة حروف ممكنة حتى تتطابق إحداها. ومع ذلك، نادراً ما يبدأ المهاجمون بشكل عشوائي تماماً: فهم يشغلون أولاً القاموس والهجمات القائمة على القواعد باستخدام أدوات مثل Hashcat أو John the Ripper، لاختبار قوائم كلمات المرور المسربة والبدائل الشائعة قبل اللجوء إلى البحث الشامل.

يمكن لمجموعات وحدات معالجة الرسوميات الحديثة حساب مليارات تخمينات التشفير في الثانية، ولهذا السبب تسقط كلمات المرور القصيرة بسرعة. وفقاً لإرشادات OWASP، يجب على المدافعين إبطاء المهاجمين عن طريق تشفير كلمات المرور المخزنة بخوارزميات صعبة الذاكرة مثل bcrypt أو scrypt أو Argon2 بدلاً من التشفير السريع مثل MD5 أو SHA-1.

تحدد العشوائية عدد التخمينات التي تتطلبها القوة الغاشمة في نهاية المطاف.

طول كلمة المرور يزيد من قوتها بشكل أسرع من إضافة رموز خاصة، لأن الإنتروبية تتدرج خطياً مع الطول ولكنها تتدرج لوغاريتمياً فقط مع مجموعة الأحرف. إضافة حرف واحد إضافي إلى كلمة مرور مكونة من أحرف صغيرة تقريباً تضاعف مساحة البحث، في حين أن استبدال حرف برمز يضيف جزءاً يسيراً من البت.

يعكس معيار NIST SP 800-63B ذلك عن طريق إزالة قواعد التعقيد الإلزامية وتشجيع استخدام كلمات مرور وجمل مرور أطول تصل إلى 64 حرفاً أو أكثر. الجملة المكونة من 20 حرفاً وجميعها أحرف صغيرة يمكن أن تتفوق على كلمة مرور مكونة من 8 أحرف ومملوءة بالرموز.

للحصول على قوة يمكن تذكرها، أعط الأولوية للطول أولاً، ثم التنوع ثانياً.

جمل المرور غالباً ما تكون أكثر أماناً وأكثر قابلية للاستخدام مقارنة بكلمات المرور القصيرة والمعقدة، لأن طولها يوفر إنتروبية عالية مع بقائها سهلة التذكر. جملة مرور مكونة من أربع كلمات عشوائية حقاً أو أكثر يتم اختيارها من قائمة كلمات كبيرة، مثل قوائم EFF Diceware، تنتج إنتروبية قوية دون الحاجة إلى حفظ سلاسل رموز محرجة.

المفتاح هو العشوائية: سطر من فيلم مقتبس أو عبارة شائعة يقدمان حماية ضئيلة لأن المهاجمين يدرجون مثل هذه العبارات في قواميسهم. يدعم معيار NIST SP 800-63B بوضوح الأسرار الطويلة المحفوظة ويسمح بالمسافات.

اختر كلمات مستقلة ومحددة عشوائياً بدلاً من جملة ذات معنى نحوي.

Password hashing protects stored credentials by converting a password into a fixed-length, irreversible value, so a database breach does not directly expose plaintext passwords. A salt, a unique random value added to each password before hashing, prevents attackers from using precomputed rainbow tables and ensures identical passwords produce different hashes.

OWASP recommends slow, memory-hard functions like Argon2id, bcrypt, or scrypt, tuned so each hash is expensive to compute. Fast hashes such as MD5 and SHA-1 are unsuitable for passwords because they let attackers test billions of guesses per second.

هذا البرنامج أو برنامج حساب الوقت يقدر صعوبة التخمين، وليس قوة أي عملية تجزئة من جانب الخادم.

لا، يجب ألا تععيد استخدام كلمات المرور عبر الحسابات أبداً، لأن اختراقاً واحداً يعرض كل موقع يشارك بيانات الاعتماد هذه للخطر. يستغل المهاجمون هذا الأمر عبر حشو بيانات الاعتماد، وإعادة استخدام أزواج أسماء المستخدمين وكلمات المرور المسربة من خدمة واحدة ضد العديد من الخدمات الأخرى باستخدام أدوات آليّة.

يحدد مشروع OWASP حشو بيانات الاعتماد كسبب رئيسي للاستيلاء على الحسابات، وتعد كلمات المرور الفريدة هي الدفاع الأساسي. يحل مدير كلمات المرور مشكلة الذاكرة عن طريق إنشاء وتخزين كلمة مرور مميزة وعالية الإنتروبية لكل عملية تسجيل دخول.

إن إقران كلمات المرور الفريدة بالمصادقة متعددة العوامل، كما يوصي به NIST و OWASP، يقلل بشكل كبير من تأثير أي خرق للبيانات الفردية.

تجمع نتائجك بين ثلاث إشارات متكاملة:

• قيمة الإنتروبية بالبتات
• تقييم قوة كيفي
• وقت اختراق تقديري

الإنتروبية هي القياس الأساسي الموضوعي، في حين أن التقييم (من ضعيف إلى قوي جداً) وتقدير وقت الاختراق يترجمان تلك البتات إلى مصطلحات بديهية بناءً على معدل تخمين يفترض. نظراً لأن أجهزة المهاجمين تختلف بشكل كبير، فإن أرقام وقت الاختراق تعتبر أدلة ذات نطاق واسع وليست ضمانات، وهي تتوافق مع فلسفة مقاومة التخمين الموضحة في معيار NIST SP 800-63B.

استخدم رقم الإنتروبية للمقارنة بين كلمات المرور المرشحة، واعتبر أي شيء يقل عن 60 بيتاً محفوفاً بالمخاطر للحسابات الهامة، واستهدف 80 بيتاً أو أكثر حيث تكون الأمان في أقصى أهميته.

أكثر أخطاء كلمات المرور شيوعاً هي الخيارات المتوقعة التي يتوقعها المهاجمون مسبقاً:

• تجنب كلمات القواميس، والمفاتيح المتسلسلة مثل qwerty أو 123456، والتفاصيل الشخصية مثل الأسماء أو تواريخ الميلاد أو أسماء الحيوانات الأليفة التي تظهر في قواعد البيانات المسربة ووسائل التواصل الاجتماعي.

• استبدال الأحرف البسيطة (@ بدلاً من a، و 3 بدلاً من e) يضيف إنتروبية ضئيلة لأن أدوات الاختراق تطبق هذه القواعد تلقائياً.

• لا تقتصر على إلحاق رقم أو علامة تعجب بكلمة مرور أساسية ضعيفة، ولا تقم أبداً بإعادة استخدام كلمة مرور قديمة.

يوصي مشروع OWASP بالتحقق من كلمات المرور الجديدة مقارنة بالقوائم المعروف أنها مسربة، وينصح NIST بفحص قواعد بيانات الاعتماد المخترقة قبل قبولها.