كلمات مرور لا يخمّنها أحد

الدرس 3 من 16 في دورة «الأمن السيبراني من الصفر». مجاني، مع رسوم متحركة واختبار.

لماذا «واحدة لكل شيء» هي الثغرة الأكبر

تُخترق المواقع باستمرار، وتنتهي قواعد البريد وكلمات المرور مكشوفة للجميع. تأخذ الروبوتات هذه الأزواج وتجرّبها على البريد والمنصات والبنوك ومواقع التواصل. يسمّى هذا حشو بيانات الاعتماد. إذا استخدم دان كلمة مرور واحدة في تسعة مواقع، يكفي تسرّبها من أضعفها لتنفتح التسعة. لم «يخترق» أحد شيئًا: دان نفسه سلّم مفتاحًا واحدًا لكل الأبواب.

الطول هو الحاسم

قارن كم احتمالًا يجب تجربته. 8 أحرف صغيرة تعني نحو 200 مليار احتمال، وتمرّ عليها بطاقة رسوميات بسرعة. ثمانية رموز مختلطة تعطي 6·10¹⁵، لكن «Dan2004!» ليست عشوائية: الروبوتات تجرّب الأسماء والتواريخ واستبدالات مثل @ مكان a أولًا. ست كلمات عشوائية من قائمة فيها 7776 كلمة تعطي 2·10²³ احتمالًا. عبارة كهذه سهلة الحفظ ومستحيلة التخمين.

عبارة من كلمات عشوائية

كلمة المرور الجيدة ليست «Q7#k!» التي ستنساها بعد أسبوع، بل عدة كلمات عشوائية متتالية. الكلمة المفتاحية هنا: عشوائية. بيت من أغنية أو «أحب قطتي» لا يصلح، فالروبوتات تجرّب هذه أيضًا. اختر الكلمات بالنرد أو بمولّد، لا من رأسك. ولكل موقع كلمة مرور خاصة به.

افحص نفسك في التسريبات

تجمع خدمة Have I Been Pwned قواعد التسريبات المعروفة. تكتب بريدك فترى في أي اختراقات ظهر. إذا كان موقع في القائمة يعرف كلمة مرورك، فاعتبرها علنية وغيّرها في كل مكان تتكرر فيه. فحص كلمات المرور في الخدمة مصمَّم بحيث لا تغادر كلمة المرور جهازك: تُرسل فقط الرموز الأولى من «البصمة» المشفّرة لها، وهي بصمة لا يمكن عكسها.

ماذا يقول NIST

NIST هو المعهد الأمريكي للمعايير، وتتبع شركات العالم إرشاداته لكلمات المرور. أهم ما في النسخة الحالية: الطول أهم من «التعقيد»، وإن كانت كلمة المرور الحماية الوحيدة فيجب ألا تقل عن 15 رمزًا. على المواقع فحصها مقابل قوائم التسريب. لا حاجة لتغييرها دوريًا، فقط عند وجود علامات تسريب. أما لك فالقاعدة الأهم أبسط: كلمة مرور فريدة لكل موقع. في التدريب انظر كم ستصمد فكرتك.

اختبر نفسك

1. اختار دان «Dan2004!»: أحرف كبيرة وصغيرة وأرقام ورمز. لماذا هي ضعيفة؟
   الإجابة الصحيحة: تجرّب الروبوتات الأسماء وسنوات الميلاد أولًا، وطولها 8 فقط. قواعد «حرف+رقم+رمز» تعطي وهم القوة. والنمط المتوقع «اسم+سنة+!» موجود في كل قاموس للتخمين.
2. أظهرت Have I Been Pwned بريد دان في تسريب منتدى قديم. ما أول خطوة؟
   الإجابة الصحيحة: تغيير كلمة المرور هذه أينما تكررت، بدءًا بالبريد والمنصة. الخطر ليس المنتدى بل كلمة مروره: تجرّبها الروبوتات على كل شيء آخر. غيّرها أولًا حيث المال واستعادة كلمات المرور.
3. أي كلمة مرور هي الأقوى؟
   الإجابة الصحيحة: خمس كلمات عشوائية بشرطات اختارها مولّد. الكلمات العشوائية طويلة وغير متوقعة. المولّد لا يعرف أغانيك المفضّلة، فلن تخمّنها الروبوتات أيضًا.

← من يطاردك ولماذا مدير كلمات المرور: تذكّر واحدة فقط →