لا يزال كثيرون يتصورون أن كلمة المرور القوية شيء يشبه «Xq7#f!2v»: ثمانية رموز مبهمة يعجز صاحبها عن تذكرها بينما تكسرها أدوات التخمين الحديثة في وقت قصير. الصورة المعاكسة هي الصحيحة: أربع أو خمس كلمات عشوائية مكتوبة بلا أي زخرفة أقوى بفارق هائل من تلك الشيفرة القصيرة، وأسهل حفظاً بما لا يقاس. هذا هو جوهر «عبارة المرور»، وهي اليوم التوصية الأولى لدى المتخصصين لحماية الحسابات المهمة.
السبب رياضي بسيط اسمه الإنتروبيا، أي عدد الاحتمالات التي على المهاجم تجربتها قبل أن يصادف سرّك. حين تُسحب كل كلمة عشوائياً من قائمة تضم آلاف الكلمات، فإن كل كلمة إضافية تضاعف عدد المحاولات المطلوبة آلاف المرات دفعة واحدة: الانتقال من ثلاث كلمات إلى أربع لا يزيد الصعوبة قليلاً، بل يضربها في حجم القائمة كلها. لهذا تنمو قوة العبارة مع طولها أسرع بكثير مما تنمو بإضافة رمز غريب هنا أو رقم هناك.
ولا تحتاج نرداً وأوراقاً لتطبيق الفكرة: مولّد كلمات المرور المجاني من 1mail.lt يتضمن وضعاً جاهزاً لعبارات المرور مع مقياس فوري للقوة والإنتروبيا، ويعمل كلياً داخل متصفحك اعتماداً على واجهة crypto.getRandomValues المشفّرة، فلا يرسل حرفاً واحداً مما يولّده إلى أي خادم.
لماذا يتفوق الطول على التعقيد؟
أدوات الاختراق لا «تخمّن» كما يفعل البشر، بل تجرب أعداداً هائلة من الاحتمالات كل ثانية مستعينة بقوائم كلمات المرور المسربة وقواعد الاستبدال الشائعة. كلمة قصيرة معقدة تعيش داخل فضاء احتمالات صغير مهما بدت غريبة، بينما عبارة من خمس كلمات عشوائية تعيش في فضاء أوسع بما لا يقارن، ولا تنفع معه القوائم الجاهزة لأن التركيبة لم ترد في أي تسريب سابق. والمفارقة أن الأسهل على دماغك هو الأصعب على الآلة: مشهد من كلمات ملموسة يثبت في الذاكرة من أول أسبوع، بينما تنتهي «Xq7#f!2v» غالباً ورقةً ملصقة على حافة الشاشة، وتلك ثغرة أمنية قائمة بذاتها.
طريقة الكلمات العشوائية (Diceware)
الطريقة الكلاسيكية لتوليد عبارة مرور سليمة تقوم على قائمة طويلة من الكلمات المألوفة، تُسحب منها الكلمات بقرعة عشوائية حقيقية — نرد ورقي أو مولّد مشفّر — لا بمزاجك الشخصي. واللافت أن قوة الطريقة لا تعتمد على سرية القائمة إطلاقاً: فحتى لو حصل المهاجم على القائمة كاملة، تبقى التركيبات الممكنة أكثر من أن تُستعرض في وقت مجدٍ. القواعد العملية:
- أربع كلمات حداً أدنى للحسابات العادية، وخمس أو ست للحسابات الحساسة كالبريد الرئيسي والحسابات المالية.
- افصل بين الكلمات بشرطة أو مسافة لتسهل كتابتها، كمثال حي: «نحاس-فانوس-ثلاثون-صبّار».
- لا تعدّل الناتج: إذا ولّدت عبارة ثم استبدلت كلمة «أعجبتك أكثر»، فقد أدخلت انحيازك البشري وأضعفت العشوائية التي هي مصدر القوة كله.
وهنا الملاحظة الأهم والأكثر إغفالاً: العبارة يجب أن تخرج من مولّد عشوائي لا من رأسك. فنحن البشر سيئون في اختراع العشوائية؛ ما يخطر لك «تلقائياً» يخطر لملايين غيرك، وقوائم التخمين مبنية على هذه الحقيقة بالذات. دع مولّد pass.1mail.lt يقترح العبارة كاملة، وستكون مهمتك الوحيدة حفظها.
ما الذي يجعل عبارة المرور ضعيفة؟
- الاقتباسات الشهيرة والأمثال: «من جدّ وجد» وأخواتها موجودة في قواميس التخمين قبل أن تخطر لك، لأن المهاجمين يجمعون النصوص المتداولة قبل أي شيء آخر.
- كلمات الأغاني وعناوين الأفلام: أي نص متداول على الإنترنت يُعد محروقاً أمنياً مهما بدا طويلاً.
- الاستبدالات المكشوفة: تحويل password إلى P@ssw0rd خدعة قديمة تجربها أدوات الكسر آلياً في أجزاء من الثانية.
- معلوماتك الشخصية: أسماء الأبناء وتواريخ الميلاد والفريق المفضل أول ما يُجرَّب في أي هجوم موجّه.
عبارة فريدة لكل حساب... ومدير يحمل الباقي
القاعدة الذهبية أن يكون لكل حساب سر فريد، حتى لا يتحول تسريب موقع واحد إلى مفتاح يفتح حياتك الرقمية كلها. لكن حفظ عشرات العبارات مستحيل عملياً، والحل الواقعي مدير كلمات المرور: تصنع عبارة واحدة طويلة من خمس أو ست كلمات تكون مفتاحه الرئيسي، ويتولى هو توليد كلمات فريدة تماماً لكل حساب آخر وحفظها عنك. هكذا يتركز جهد الذاكرة كله في عبارة واحدة تستحق أن تُصنع بعناية. ولحفظها بسرعة حوّلها إلى مشهد ذهني واحد: فانوس من نحاس معلق فوق صبّار في عيد ميلادك الثلاثين — كلما كان المشهد أغرب كان أرسخ في الذاكرة، وبعد أيام قليلة من الاستخدام ستكتبها بطلاقة دون تفكير.
اقرن العبارة بالمصادقة الثنائية
حتى أقوى عبارة قد تتسرب عبر صفحة تصيّد متقنة أو برمجية خبيثة على جهاز مصاب، لذا أضف طبقة ثانية مستقلة: رمز مؤقت يتجدد كل ثلاثين ثانية داخل تطبيق مصادقة على هاتفك، فلا يعود سرّك وحده كافياً للمهاجم بل يحتاج جهازك في اللحظة نفسها. اقرأ دليلنا حول ما هو رمز TOTP وكيف يعمل لتفعيل هذه الطبقة في دقائق. وامنح بريدك الرئيسي أقصى درجات الحماية لأنه بوابة استعادة كل حساباتك الأخرى، أما التسجيلات العابرة في مواقع لن تعود إليها فاعزلها من الأساس عن بريدك الحقيقي عبر عنوان مؤقت من 1mail.lt، فلا تتحول كل تجربة عابرة إلى باب خلفي محتمل.
أسئلة شائعة
كم كلمة تكفي في عبارة المرور؟
أربع كلمات عشوائية حد أدنى معقول للحسابات اليومية، وخمس إلى ست كلمات للبريد الرئيسي ومدير كلمات المرور والحسابات المالية. وإن فرض موقع ما حداً أقصى للطول، فاستخدم أكبر عدد من الكلمات يسمح به.
هل أحتاج أرقاماً ورموزاً داخل العبارة؟
ليست ضرورية ما دامت الكلمات عشوائية وكافية طولاً، لكن بعض المواقع تفرضها؛ أضف حينها رقماً أو رمزاً في موضع تحفظه، دون الاعتماد عليه مصدراً للقوة.
هل يمكن الوثوق بمولّد يعمل من المتصفح؟
المعيار أن يجري التوليد محلياً دون إرسال أي شيء إلى خادم. مولّد pass.1mail.lt يعتمد على crypto.getRandomValues داخل جهازك بالكامل، ويمكنك قطع الاتصال بالإنترنت قبل التوليد للتأكد بنفسك.
