ما هي كلمة المرور القوية، وكيف تنشئ كلمة مرور آمنة فعلًا؟
لا تستمد كلمة المرور قوتها من مظهرها المعقّد، بل من طولها وعشوائيتها. يشرح هذا الدليل كيف تنشئ كلمة مرور يستحيل تخمينها عمليًا، دون أن تضطر إلى حفظها.
يختار معظمنا كلمات مرور يستطيع تذكّرها: اسمًا، أو تاريخ ميلاد، أو رقم هاتف، أو كلمة المرور المعتادة مع رقم إضافي. والمشكلة أن ما يجعل كلمة المرور سهلة التذكّر يجعلها أيضًا سهلة التخمين. يشرح هذا الدليل ما هي كلمة المرور القوية فعلًا، وكيف تُكسر كلمات المرور في الواقع، وأي العادات تُضعفها، وكيف تحمي بريدك الإلكتروني وحساباتك المهمة الأخرى باستخدام مولّد كلمات المرور ومدير لكلمات المرور والمصادقة الثنائية.
ما هي كلمة المرور القوية؟
كلمة المرور القوية هي التي لا يستطيع حتى حاسوب يجري مليارات التخمينات في الثانية أن يعثر عليها في وقت معقول. وتنشأ هذه القوة من خاصيتين: الطول والعشوائية. أما المظهر المعقّد فلا يكفي وحده؛ فكلمة P@ssw0rd! فيها رمز وأرقام وحرف كبير، ومع ذلك فهي من أوائل كلمات المرور التي تجرّبها أدوات الكسر.
ويتضح السبب حين تنظر إلى طريقة عمل الهجمات. نادرًا ما يجرّب المهاجمون كلمات المرور في صفحة تسجيل الدخول لموقع ما، لأن المواقع تحظرهم بعد بضع محاولات فاشلة. الخطر الحقيقي يأتي حين تتسرّب قاعدة بيانات موقع. عندها يملك المهاجم النسخ المجزّأة (hashed) من كلمات المرور، ويستطيع التخمين على حاسوبه الخاص دون أي حد: أولًا قوائم كلمات المرور الشائعة والمسرّبة سابقًا، ثم الكلمات نفسها مع قواعد متوقعة مثل حرف أول كبير، أو @ بدل a، أو سنة في النهاية، وأخيرًا كل تركيبة ممكنة.
الإنتروبيا: قوة كلمة المرور بلغة بسيطة
تُقاس قوة كلمة المرور التي وُلّدت عشوائيًا بحق بما يُسمّى «الإنتروبيا»، ووحدتها البت. وكل بت من الإنتروبيا يضاعف عدد الاحتمالات التي على المهاجم تجربتها. فإن اختير كل محرف عشوائيًا من مجموعة تضم N محرفًا، فإن إنتروبيا كلمة المرور تساوي طولها مضروبًا في لوغاريتم N للأساس 2.
في لوحة المفاتيح الإنجليزية القياسية 94 محرفًا قابلًا للطباعة: 26 حرفًا صغيرًا، و26 حرفًا كبيرًا، و10 أرقام، و32 رمزًا. وكل محرف عشوائي من هذه المجموعة يحمل ما يزيد قليلًا على 6.5 بت من الإنتروبيا، لذا فإن كلمة مرور عشوائية من 16 محرفًا مأخوذة منها تحمل نحو 105 بت.
| كلمة المرور العشوائية | الإنتروبيا التقريبية |
|---|---|
| 8 محارف من 94 | 52 بت |
| 12 محرفًا من 94 | 79 بت |
| 16 محرفًا من 94 | 105 بت |
| 20 محرفًا من 94 | 131 بت |
| 16 محرفًا، حروف وأرقام فقط (62) | 95 بت |
| 20 محرفًا، حروف وأرقام فقط (62) | 119 بت |
ولتقريب هذه الأرقام، تخيّل مهاجمًا يجري تريليون تخمين في الثانية على دالة تجزئة سريعة. سيجرّب كل كلمة مرور عشوائية ممكنة من 8 محارف في أقل من ساعتين، أما كلمة مرور من 16 محرفًا فستستغرق منه أكثر من تريليون سنة. السرعات الحقيقية تتوقف على نوع دالة التجزئة وعلى العتاد، لكن النمط ثابت: كل محرف عشوائي إضافي يجعل مهمة المهاجم أصعب بعشرات المرات.
وهناك شرط مهم: هذا الحساب لا يصح إلا لكلمة مرور وُلّدت عشوائيًا فعلًا. فكلمة مرور مثل Ali@1991! طولها تسعة محارف، لكنها مبنية من أنماط شائعة، فتسقط في المراحل الأولى من الهجوم.
أخطاء شائعة تُضعف كلمات المرور
- كلمة مرور واحدة لعدة حسابات: أخطر الأخطاء على الإطلاق. فحين يتسرّب موقع غير مهم، يجرّب المهاجمون آليًا البريد الإلكتروني وكلمة المرور نفسيهما على مزوّدي البريد الإلكتروني وشبكات التواصل الاجتماعي والمتاجر الإلكترونية.
- المعلومات الشخصية: اسمك أو اسم طفلك، أو تاريخ ميلاد، أو رقم هاتف، أو رقم هوية، أو رقم لوحة سيارة، أو فريقك المفضّل؛ وهي معلومات يمكن غالبًا العثور عليها في وسائل التواصل الاجتماعي.
- الاستبدالات البسيطة:
p@ssw0rdبدل password، أو$بدل s، لا تضيف أي أمان؛ فهذه القواعد مدمجة في أدوات الكسر منذ سنوات. - سنة أو رمز في النهاية:
2026أو123أو!بعد كلمة من أوائل التنويعات التي تُجرَّب، وكذلك تغيير2025إلى2026حين تحدّث كلمة المرور. - أنماط لوحة المفاتيح:
qwertyو1qaz2wsxو123456تظهر في قوائم كلمات المرور المسرّبة الأكثر شيوعًا. - التخزين غير الآمن: إرسال كلمة المرور في تطبيق مراسلة، أو حفظها في ملاحظة على الهاتف أو في لقطة شاشة تُزامَن مع التخزين السحابي.
عبارات المرور: كلمات مرور يمكنك تذكّرها
بالنسبة إلى كلمات المرور القليلة التي يجب أن تحفظها فعلًا، مثل كلمة المرور الرئيسية لمدير كلمات المرور أو كلمة الدخول إلى حاسوبك المحمول، فإن عبارة المرور (passphrase) خيار جيد: عدة كلمات عشوائية متتالية لا رابط بينها. وعبارة المرور أيضًا تستمد قوتها من العشوائية. فإن اختيرت كل كلمة عشوائيًا من قائمة تضم 7,776 كلمة، كما في طريقة Diceware التي تختار الكلمات برمي النرد، تضيف كل كلمة نحو 13 بت من الإنتروبيا، وتعطي ست كلمات أكثر من 77 بت.
لا «تختر» الكلمات بنفسك؛ فبيت شعر مشهور أو مثل شعبي أو جملة ذات معنى ليس عشوائيًا مهما طال. ومن الأفضل أيضًا أن تبني عبارة المرور من أحرف لاتينية بسيطة غير مُعلَّمة، لأن بعض الأنظمة تواجه مشكلات مع المحارف الأخرى في كلمات المرور. أما بقية حساباتك، حيث يملأ مدير كلمات المرور الكلمة عنك، فالسلسلة العشوائية أقصر وأكثر عملية. ومولّد كلمات المرور في هذا الموقع ينشئ الاثنين: من قائمة الوضع تنتقل بين سلسلة عشوائية وعبارة مرور مبنية على القائمة نفسها المكوّنة من 7776 كلمة؛ وصفحة مولّد عبارة المرور تفتح الأداة على هذا الوضع مباشرة.
أنشئ كلمة مرور قوية بمولّد كلمات المرور
ينشئ مولّد كلمات المرور كلمة المرور داخل متصفحك باستخدام crypto.getRandomValues، وهو مصدر العشوائية الآمن تشفيريًا الذي توفّره المتصفحات لأعمال الأمان. ولا تُرسَل كلمة المرور المولَّدة إلى أي خادم، ولا تُخزَّن في أي مكان. الخطوات:
- اترك قائمة الوضع على كلمة مرور إن أردت سلسلة عشوائية. وتضم القائمة نفسها عبارة مرور وPIN، فعبارة المرور المذكورة أعلاه ورمز PIN من 3 إلى 12 رقمًا يخرجان من الأداة نفسها.
- استخدم منزلق الطول لاختيار طول من 4 إلى 128 محرفًا؛ والقيمة الافتراضية 16. وللبريد الإلكتروني والحسابات الحساسة اختر 20 أو أكثر.
- اختر مجموعات المحارف: أحرف كبيرة وأحرف صغيرة وأرقام مفعّلة افتراضيًا. وتفعيل رموز يضيف 26 رمزًا مثل
!@#$%. - إن كنت ستقرأ كلمة المرور من ورقة أو تكتبها يدويًا، ففعّل استبعاد الأحرف المتشابهة لاستبعاد المحارف المتشابهة مثل
0وOو1وlوI. ولكلمة مرور واي فاي الضيوف، يمكنك أيضًا إنشاء رمز QR للواي فاي بدلًا من إملاء كلمة المرور. - الخيار حرف واحد على الأقل من كل نوع مفعّل افتراضيًا: فهو يضمن محرفًا واحدًا من كل مجموعة اخترتها، ما دام الطول يتيح محرفًا واحدًا لكل مجموعة. أبقِه مفعّلًا إن كان الموقع يشترط رقمًا أو رمزًا.
- انقر توليد. وينشئ زر توليد 10 عشر كلمات مرور في مرة واحدة؛ ولأن حرف واحد على الأقل من كل نوع مفعّل، تحتوي كل واحدة منها على محرف من كل مجموعة اخترتها، فيمكنك أخذ الأولى. والقائمة ليست إلا لتختار منها الأسهل قراءةً إن شئت.
- انسخ كلمة المرور بزر نسخ والصقها مباشرةً في مدير كلمات المرور وفي نموذج الموقع.
بالإعدادات الافتراضية (16 محرفًا من 62 حرفًا ورقمًا) تبلغ الإنتروبيا نحو 95 بت، وتفعيل الرموز (88 محرفًا) يرفعها إلى نحو 103 بت. وإن كان موقع ما لا يقبل الرموز، فألغِ تفعيلها وزد الطول إلى 20؛ فالنتيجة، بنحو 119 بت، أقوى حتى من كلمة مرور من 16 محرفًا مع الرموز. ولا حاجة إلى أن تحسب الرقم بنفسك: فالسطر أسفل النتيجة يعرضه، وهو بالإعدادات الافتراضية نحو 95 بت من الإنتروبيا. أما تسمية القوة أسفل كلمة المرور فليست إلا مؤشرًا بسيطًا مبنيًا على الطول وأنواع المحارف؛ والمقياس الحقيقي يبقى الطول والعشوائية.
مديرو كلمات المرور: الطريقة العملية الوحيدة لاستخدام كلمة مختلفة في كل مكان
لا أحد يستطيع حفظ كلمات مرور عشوائية ومختلفة لعشرات الحسابات، ولا أحد مطالب بذلك. يحفظ مدير كلمات المرور كل كلماتك في خزنة مشفّرة، ولا يطلب منك سوى عبارة مرور قوية واحدة. ومعظم مديري كلمات المرور يملؤون نماذج تسجيل الدخول تلقائيًا، ولأنهم يطابقون عنوان الموقع، فهم في العادة لا يملؤون كلمة المرور في صفحة مزيّفة تشبه الموقع الحقيقي في مظهرها فقط؛ وهذه مساعدة حقيقية ضد التصيّد الاحتيالي.
- مدير كلمات المرور المدمج في متصفحك أو نظام تشغيلك هو أبسط طريقة للبدء، ويتوفر على الأجهزة التي تتزامن مع الحساب نفسه.
- مديرو كلمات المرور المستقلون مثل Bitwarden (مفتوح المصدر، وله خطة مجانية) أو KeePassXC (مفتوح المصدر ويعمل دون اتصال بالكامل) يعملون عبر متصفحات وأنظمة تشغيل مختلفة.
- فعّل المصادقة الثنائية لمدير كلمات المرور نفسه أيضًا، واحفظ رموز الاسترداد الخاصة به في مكان آمن غير هاتفك.
المصادقة الثنائية: طبقة حماية ثانية
حتى أقوى كلمة مرور قد تُكتب في صفحة تصيّد أو تسرقها برمجية خبيثة. والمصادقة الثنائية (2FA) تعني أن تسجيل الدخول يتطلب، إضافةً إلى كلمة المرور، شيئًا من جهاز تملكه. وطرقها ليست متساوية في الأمان:
| الطريقة | كيف تعمل | الأمان |
|---|---|---|
| رسالة نصية (SMS) | يُرسل رمز لمرة واحدة إلى رقم هاتفك المحمول | أفضل من لا شيء، لكن يمكن تجاوزها باستغلال شريحة SIM أو بخداع المستخدم |
| تطبيق مصادقة | تطبيق مثل Google Authenticator أو Microsoft Authenticator يولّد رمزًا جديدًا كل 30 ثانية | أفضل من SMS، لأنه لا يعتمد على شبكة الهاتف المحمول |
| مفتاح أمان أو مفتاح مرور (passkey) | تؤكد بمفتاح مادي أو بقفل شاشة جهازك بدلًا من كتابة رمز | الخيار الأقوى، ومقاوم للتصيّد |
دوّن رموز النسخ الاحتياطي التي تظهر أثناء الإعداد واحفظها في مكان آمن، حتى لا تفقد الوصول إلى الحساب إن فقدت هاتفك. ولا ترسل رمز تحقق إلى أي شخص أبدًا؛ فالرسائل من قبيل «أرسل لنا الرمز الذي أرسلناه إليك للتو» من أكثر عمليات الاحتيال شيوعًا.
كلمة مرور قوية لبريدك الإلكتروني
حساب بريدك الإلكتروني هو أهم حساباتك، لأن كل خدمة تقريبًا ترسل إليه روابط إعادة تعيين كلمة المرور؛ فمن يستولي على بريدك يستطيع تغيير كلمات مرور معظم حساباتك الأخرى أيضًا. ولعنوان بريدك الرئيسي، افعل ما يلي:
- أنشئ كلمة مرور عشوائية من 20 محرفًا على الأقل لا تُستخدم في أي مكان آخر.
- فعّل المصادقة الثنائية بتطبيق مصادقة أو بمفتاح مرور.
- حدّث رقم هاتف الاسترداد وعنوان بريد الاسترداد باستمرار؛ فالرقم الذي لم يعد لديك قد يصبح طريقًا للدخول.
- راجع من حين لآخر قائمة الأجهزة والجلسات المسجّل دخولها إلى الحساب، وسجّل الخروج من أي منها لا تعرفه.
- ابحث عن عنوان بريدك في موقع haveibeenpwned.com لترى إن كان قد ظهر في تسريبات بيانات معروفة.
- لا تُدخل كلمة مرور بريدك إلا في صفحة فتحت عنوانها بنفسك، وليس أبدًا عبر رابط وصلك في رسالة.
متى يجب تغيير كلمة المرور؟
لم يعد التغيير الدوري الإجباري لكلمات المرور، كل ثلاثة أشهر مثلًا، أمرًا موصى به؛ وتنص إرشادات هيئة المعايير الأمريكية NIST أيضًا على ألا تفرضه الخدمات، لأنه يدفع الناس إلى تغييرات متوقعة مثل تعديل الرقم الأخير في كلمة المرور. احتفظ بكلمة مرور جيدة، لكن غيّرها فورًا إن أعلنت الخدمة عن تسريب بيانات أو ظهر عنوان بريدك في قائمة تسريب، أو إن أرسلت كلمة المرور إلى شخص ما أو كتبتها على جهاز عام، أو إن لاحظت نشاطًا غريبًا في الحساب، أو إن كنت قد استخدمت كلمة المرور نفسها في مكان آخر.