أسئلة وأجوبة عن كلمات المرور: ما الذي يجعل الكلمة صعبة التخمين؟
صيغة هذا الدليل أسئلة يطرحها الناس فعلًا عند استخدام المولّد أعلاه، من «هل تُرسل كلمتي إلى خادمكم؟» إلى «ماذا أفعل بعد تسريب حسابي؟». الإجابات مبنية على طريقة عمل الأداة كما هي مبرمجة، وعلى الإرشادات المعتمدة في أمن الحسابات.
هل تُرسل كلمة المرور إلى خوادم مسيو تك؟
لا. يتم التوليد بالكامل داخل متصفحك بكود JavaScript يستدعي الدالة crypto.getRandomValues، وهي مولد أرقام عشوائية مخصص للاستخدامات الأمنية ومدمج في المتصفحات الحديثة. الصفحة لا ترسل الكلمة في أي نموذج ولا تحفظها. تستطيع التحقق بنفسك: افتح أدوات المطور (F12) وانتقل إلى تبويب Network، ثم اضغط «ولّد جديد» عدة مرات؛ لن يظهر أي طلب شبكة جديد. والكود نفسه بضعة أسطر يمكنك قراءتها في مصدر الصفحة.
مع ذلك لا تولّد كلمات لحسابات مهمة على جهاز عام أو جهاز لا تثق به؛ الخطر هناك في الجهاز وبرامجه لا في الأداة.
كيف تُقاس «القوة» بالأرقام؟
تُقاس بالإنتروبيا، أي حجم مساحة الاحتمالات التي يجب أن يجربها من يخمّن كلمة عشوائية، معبّرًا عنه بالبتات: الطول × لوغاريتم عدد الرموز المتاحة للأساس 2. يختار المولد من 70 رمزًا: 26 حرفًا صغيرًا، و26 كبيرًا، و10 أرقام، و8 رموز هي ! @ # $ % ^ & *، فيضيف كل حرف نحو 6.1 بت، وكل بت إضافي يضاعف عدد الاحتمالات.
| الطول في الأداة | الإنتروبيا التقريبية | استخدام مقترح |
|---|---|---|
| 12 حرفًا (الحد الأدنى) | 73.6 بت | حسابات قليلة الأهمية محفوظة في مدير كلمات مرور |
| 16 حرفًا | 98.1 بت | معظم الحسابات |
| 20 حرفًا (القيمة الافتراضية) | 122.6 بت | البريد والبنوك وحسابات الإدارة |
| 32 حرفًا | 196.1 بت | كلمات تُخزَّن في مدير ولا تُكتب يدويًا أبدًا |
| 64 حرفًا (الحد الأقصى) | 392.3 بت | أكثر مما يحتاجه أي حساب عملي |
لماذا الطول أهم من «التعقيد»؟
كلمة مثل Ahmed@2024 فيها حرف كبير ورقم ورمز، فتجتاز شروط مواقع كثيرة، لكنها ضعيفة: اسم شائع ثم رمز متوقع ثم سنة، وبرامج التخمين تجرب هذه الأنماط أولًا. أرقام الجدول تنطبق على الكلمات العشوائية فعلًا، لا على الكلمات التي «تبدو» معقدة.
لهذا تركّز إرشادات المعهد الوطني الأمريكي للمعايير والتقنية (NIST) في وثيقة SP 800-63B على الطول، وتنصح المواقع بعدم فرض قواعد تركيب مثل «حرف كبير ورمز إلزامي»، وبعدم إجبار المستخدم على تغيير كلمته دوريًا دون سبب، مع فحص الكلمات الجديدة مقابل قوائم الكلمات المسرّبة.
وماذا عن عبارات المرور؟
عبارة المرور كلمات عشوائية متتالية مثل: قمر-مسطرة-بحيرة-فانوس-سلم-برتقال. في طريقة Diceware المعروفة تُختار كل كلمة بالنرد من قائمة فيها 7776 كلمة، فتضيف نحو 12.9 بت، وست كلمات تعطي نحو 77.5 بت. هذا أقل من 20 حرفًا عشوائيًا، لكنه أسهل كثيرًا في الحفظ والكتابة على الهاتف. العبارة مناسبة للكلمات القليلة التي يجب أن تحفظها في رأسك، كالكلمة الرئيسية لمدير كلمات المرور وكلمة دخول جهازك، بشرط أن تُختار الكلمات عشوائيًا لا أن تكون مثلًا شعبيًا أو بيت شعر.
أين أحفظ عشرين حرفًا عشوائيًا؟
في مدير كلمات مرور، مثل Bitwarden أو 1Password أو المدير المدمج في المتصفح أو نظام الهاتف. المدير يتذكر عنك، ويملأ الكلمة في الموقع الصحيح فقط، فيحميك كذلك من صفحات التصيد التي تقلد مواقع البنوك. الترتيب العملي: ولّد الكلمة، الصقها في خانة تغيير كلمة المرور، ثم احفظها في المدير قبل إغلاق الصفحة.
سيناريو افتراضي: مكتب محاسبة صغير يرتّب كلمات المرور
أسئلة سريعة
هل تكفي كلمة قوية وحدها؟
لا. فعّل التحقق بخطوتين في البريد والبنوك وحسابات التواصل. تطبيق المصادقة أو مفتاح الأمان أقوى من رسائل SMS المعرضة لسرقة الشريحة.
الموقع يرفض الرموز، فماذا أفعل؟
ولّد كلمة أطول ثم احذف منها الرموز حتى يبقى الطول المطلوب من الحروف والأرقام. يبقى الناتج عشوائيًا لأن الحذف لا يعتمد على اختيارك أنت.
ماذا أفعل إن سُرّب حساب؟
غيّر كلمته من جهاز موثوق، ثم كل حساب استخدم الكلمة نفسها، وسجّل الخروج من الجلسات الأخرى، وابدأ بالبريد لأنه يستعيد باقي الحسابات. خدمة Have I Been Pwned تخبرك إن ظهر بريدك في تسريبات معروفة.