ما الطول المناسب لكلمة المرور؟ الحساب بكلمات بسيطة

قواعد كلمات المرور تحب الرموز: حرف كبير وآخر رقم ومحرف خاص. أما المهاجمون فيهمّهم شيء آخر أكثر بكثير: كم كلمة مرور محتملة سيضطرون إلى تجربتها.

كل محرف يضاعف الجهد

مع الأحرف الصغيرة والكبيرة والأرقام والرموز، يختار مولّد 4Dev من بين 88 محرفًا ممكنًا. كل محرف إضافي يضرب عدد التركيبات في 88. زيادة الطول تكبّر البحث بشكل أُسّي، أما إضافة رمز واحد إلى كلمة مرور قصيرة فبالكاد تفيد.

8 محارف    88^8  ≈ 3.6 × 10^15  ≈ 52 بت
12 محرفًا  88^12 ≈ 2.2 × 10^23  ≈ 78 بت
16 محرفًا  88^16 ≈ 1.3 × 10^31  ≈ 103 بت

ماذا يعني ذلك عمليًا

عندما تتسرّب قاعدة بيانات لتجزئات كلمات المرور، يختبر المهاجمون التخمينات دون اتصال باستخدام بطاقات الرسوميات، بمليارات المحاولات في الثانية ضد التجزئات السريعة. قد تسقط كلمة مرور عشوائية من 8 محارف خلال ساعات أو أيام. ومع 12 محرفًا سيستغرق الأمر عشرات آلاف السنين، أما 16 محرفًا فخارج نطاق أي هجوم واقعي.

الكلمة المفتاحية هي «عشوائية»

هذه الأرقام صحيحة فقط لكلمات المرور العشوائية حقًا. ‏⁦Summer2024!⁩ من 11 محرفًا، لكنها من أوائل تخمينات المهاجمين لأنها تتبع نمطًا بشريًا. الكلمات والأسماء والتواريخ وتتابعات لوحة المفاتيح تُجرَّب قبل السلاسل العشوائية بكثير.

نصائح عملية

استخدم 12 محرفًا على الأقل، و16 أو أكثر للبريد الإلكتروني والبنك وكل ما يمكنه إعادة تعيين حسابات أخرى. كلمة مرور مختلفة لكل موقع، محفوظة في مدير كلمات مرور، مع التحقق بخطوتين حيثما أمكن. إذا رفض موقع الرموز، فأضف بضعة محارف إضافية بدلًا منها.

عبارات المرور: طويلة وسهلة التذكر

لكلمات المرور القليلة التي عليك كتابتها أو تذكّرها، مثل كلمة المرور الرئيسية لمدير كلمات المرور، تعمل عبارة مرور من كلمات عشوائية بشكل ممتاز. مع قائمة Diceware التي تضم 7,776 كلمة، تضيف كل كلمة تُختار عشوائيًا نحو 12.9 بت.

5 كلمات عشوائية  7776^5 ≈ 2.8 × 10^19  ≈ 64 بت
6 كلمات عشوائية  7776^6 ≈ 2.2 × 10^23  ≈ 77 بت

ست كلمات عشوائية تعادل تقريبًا قوة كلمة مرور عشوائية من 12 محرفًا، وكتابتها أسهل بكثير. يجب اختيار الكلمات عشوائيًا، بالنرد أو بمولّد: الاقتباس أو سطر من أغنية أو جملة ألّفتها بنفسك أضعف بكثير مما تبدو.

قواعد لا تفيد

تنصح إرشادات NIST (SP 800-63B) بعدم إجبار المستخدمين على تغيير كلمة المرور وفق جدول زمني، وبعدم فرض قواعد تركيب مثل "رقم واحد ورمز واحد". كلتا القاعدتين تدفع الناس إلى أنماط متوقعة مثل Password1! و Password2!. قواعد أفضل: السماح بكلمات مرور طويلة، والسماح باللصق حتى تعمل مديرات كلمات المرور، ومطابقة كلمات المرور الجديدة مع قوائم كلمات المرور المكشوفة في تسريبات معروفة.

عندما يُخترق موقع تستخدمه

غيّر كلمة المرور تلك فورًا، وفي كل مكان آخر أعدت استخدامها فيه. يجرّب المهاجمون أزواج البريد وكلمة المرور المسرّبة على مواقع أخرى خلال ساعات، وهي تقنية تُسمى credential stuffing. كلمة مرور فريدة لكل موقع تجعل التسريب الواحد مشكلة واحدة بدل مشكلات كثيرة.

أنشئ واحدة بأمان

ينشئ مولّد كلمات المرور من 4Dev كلمات المرور داخل متصفحك باستخدام crypto.getRandomValues، مولّد الأرقام العشوائية الآمن تشفيريًا في المتصفح. اختر طولًا من 4 إلى 128 محرفًا ومجموعات المحارف التي تريدها؛ لا يُرسل شيء إلى أي خادم ولا يُحفظ.

افتح مولّد كلمات المرور