ما الذي يجعل كلمة المرور قوية؟ الطول قبل التعقيد

ترسخت لدى معظم الناس متطلبات كلمات المرور التي فرضتها المنصات على مدى عقود: حرف كبير واحد على الأقل، ورقم، ورمز خاص، وحد أدنى للطول يكون قصيرًا في الغالب. لكن ما لا يعرفه كثيرون أن أبحاث الأمن الفعلية تجاوزت هذا النموذج بكثير، وأن بعض القواعد التقليدية الأكثر تشديدًا تبيّن أنها أقل أهمية من عامل أبسط ينال اهتمامًا أقل نسبيًا: الطول. والنصائح أدناه تنطبق على كل حساب تملكه، ومنه حسابك في Qerios.

لماذا يتفوق الطول على قواعد التعقيد المعتادة

أمان كلمة المرور في مواجهة هجوم القوة الغاشمة (حيث يجرب المهاجم التركيبات الممكنة بشكل منهجي) يعتمد في جوهره على عدد التركيبات الممكنة التي ينبغي تجربتها قبل الوصول إلى الصحيحة. والطول يزيد هذا العدد بشكل أسّي، وبصورة أكبر بكثير مما تفعله إضافة متطلبات التعقيد إلى كلمة مرور قصيرة. فكلمة مرور أطول مكوّنة من كلمات بسيطة سهلة التذكر غالبًا ما تكون أقوى رياضيًا أمام هجوم القوة الغاشمة من كلمة مرور أقصر محشوة بالرموز الخاصة، رغم أن الأقصر تبدو أكثر تعقيدًا وأمانًا.

وهذه النتيجة، المقبولة الآن على نطاق واسع في أبحاث الأمن والمنعكسة في إرشادات محدّثة من مؤسسات أمنية كبرى، تمثل تحولًا حقيقيًا عن النموذج التقليدي المرتكز على التعقيد الذي لا تزال منصات ومستخدمون كثيرون يعملون به.

لماذا قد تأتي قواعد التعقيد التقليدية بنتيجة عكسية

نتيجة غير بديهية لكنها موثقة جيدًا: متطلبات التعقيد الصارمة تدفع المستخدمين غالبًا إلى أنماط متوقعة تستوفي حرف القاعدة وتوفر فائدة أمنية محدودة فعلًا، كتكبير الحرف الأول، أو إضافة رقم واحد أو علامة تعجب في النهاية، أو استبدال الصفر بحرف O. وهذه الأنماط شائعة إلى حد أن أساليب كسر كلمات المرور الحديثة تحسب لها حسابها تحديدًا، ما يعني أن الفائدة الأمنية الفعلية لمتطلب التعقيد غالبًا أصغر مما قُصد منه، بينما يجعل المتطلب نفسه كلمات المرور أصعب تذكرًا، فيدفع الناس بدوره إلى إعادة استخدام كلمة المرور نفسها في حسابات متعددة، وهي مشكلة أمنية أخطر فعلًا من تعقيد كلمة المرور، كما بيّنا في مقالنا المرافق عن ما يجب فعله بعد تسريب البيانات.

أسلوب عبارة المرور

بديل يُوصى به عادةً، ينبع من مبدأ أن الطول هو الأهم: عبارة مرور مكوّنة من عدة كلمات عشوائية غير مترابطة تُنظَم معًا، بدلًا من كلمة واحدة أقصر تُجعل «معقدة» بالاستبدال والإضافة. وعبارة المرور المكوّنة من عدة كلمات عشوائية فعلًا أسهل تذكرًا (إذ يمكن تخيلها أو ترديدها، على عكس سلسلة من الرموز المستبدلة) وأقوى رياضيًا أمام هجوم القوة الغاشمة، لمجرد طولها الأكبر.

والتنبيه المهم: يجب أن تُختار الكلمات عشوائيًا فعلًا، لا أن تكون عبارة أو جملة متوقعة يمكن لشخص تخمينها (اقتباس مشهور، أو قول شائع)، لأن القابلية للتوقع، لا عدد الكلمات فقط، ما زالت تؤثر في الأمان الفعلي.

لماذا تفوق أهمية تفرّد كلمة المرور لكل حساب قوة أي كلمة مرور بمفردها

كما أكدنا في مقالنا المرافق عن تسريبات البيانات، فإن إعادة استخدام كلمة المرور في عدة حسابات تُعدّ على الأرجح ثغرة أمنية أخطر من قوة أي كلمة مرور بمفردها، لأن تسريبًا واحدًا يكشف كلمة مرور مكررة يعرّض كل الحسابات التي تشترك فيها للخطر، مهما كانت قوة تلك الكلمة. ولهذا تركز الإرشادات الأمنية بشكل متزايد على استخدام مدير كلمات مرور لتوليد كلمات مرور فريدة لكل حساب وتخزينها، بدلًا من الاعتماد على قوة كلمات مرور محفوظة في الذاكرة عبر حسابات كثيرة، وهو أمر يصعب فعله جيدًا دون أداة تساعد.

لماذا يغيّر مدير كلمات المرور المعادلة كلها

استخدام مدير كلمات مرور يلغي التوتر العملي بين قوة كلمة المرور وسهولة تذكرها بالكامل، لأنه يولّد ويخزّن كلمات مرور معقدة وفريدة وطويلة لكل حساب دون أن تحتاج إلى تذكر أي منها (باستثناء كلمة المرور الرئيسية الوحيدة التي تحمي المدير نفسه، والتي ينبغي أن تتبع أسلوب عبارة المرور المرتكز على الطول، لأنها كلمة المرور الوحيدة التي عليك تذكرها وكتابتها يدويًا). واعتماد هذه الأداة وحدها يفعل لأمان حساباتك عمومًا أكثر مما يفعله أي قدر من الجهد الفردي لتقوية كلمات المرور دونها.

ما يعنيه هذا عمليًا

لكلمة مرور ستكتبها وتتذكرها (كالكلمة الرئيسية لمدير كلمات المرور)، أعطِ الأولوية للطول عبر عبارة مرور عشوائية فعلًا بدلًا من تعقيد إجباري بالاستبدالات.

لكل حساب آخر، استخدم مدير كلمات مرور لتوليد وتخزين كلمات مرور طويلة وعشوائية وفريدة لا تحتاج إلى حفظها أو كتابتها يدويًا.

لا تفترض أن متطلبات التعقيد في منصة معينة تمثل أفضل إرشاد أمني، فمنصات كثيرة ما زالت تفرض قواعد قديمة الطراز (رموز خاصة إلزامية، وحد أقصى أو أدنى قصير للطول) تعكس أعرافًا قديمة لا أحدث ما تقوله أبحاث الأمن، والالتزام بالحد الأدنى الذي تفرضه المنصة لا يعني بالضرورة أن كلمة المرور الناتجة مهيأة جيدًا للأمان.

لا تُدخل كلمة مرورك في رابط يرسله إليك أحد. سواء وصل بالبريد أو برسالة مباشرة أو في دردشة على تطبيق مثل Qerios، فطلب كلمة المرور نمط تصيّد كلاسيكي؛ اطّلع على الأنماط وراء معظم عمليات الاحتيال على وسائل التواصل.

ارتباط ذلك بالمصادقة الثنائية

حتى كلمة المرور الممتازة تبقى نقطة فشل وحيدة بمفردها، ولهذا فإن الحديث عن قوة كلمة المرور والحديث عن المصادقة الثنائية، المتناولة في مقال مرافق، متكاملان لا بديلان: فكلمة المرور القوية الفريدة تقلل فعلًا من احتمال الاختراق، بينما توفر المصادقة الثنائية حماية حتى لو اخترقت كلمة المرور رغم أفضل الجهود. وبعد ترتيب كلمات مرورك، راجع قائمة مراجعة إعدادات الخصوصية للتطبيقات التي تستخدمها.

الخلاصة

يُفهم أمان كلمة المرور فهمًا أفضل من خلال الطول والتفرّد لا من خلال نموذج التعقيد بالاستبدال الذي لا تزال منصات ومستخدمون كثيرون يعتمدونه. فأسلوب عبارة المرور لما تحتاج إلى تذكره، مع مدير كلمات مرور لكل ما عداه، والمصادقة الثنائية فوق ذلك، يعكس الفهم الأمني الحالي أفضل بكثير من الحكمة التقليدية الموروثة التي لا يزال معظم الناس يعملون بها.

هل تنشئ حسابًا جديدًا؟ أنشئه بعبارة مرور قوية على Qerios.