العلم وراء عبارات مرور Diceware

في عام 1995، نشر أرنولد راينهولد فكرة بسيطة وقوية: ارمِ خمسة نرد فعلية، وابحث عن الرقم المكوّن من خمسة أرقام الناتج في قائمة كلمات، وكرّر العملية حتى تحصل على عبارة مرور. تُسمّى هذه الطريقة Diceware، وعبقريتها تكمن في جعل العشوائية مرئية. يمكنك مشاهدة النرد، والتحقق من الرميات، والوثوق بالنتيجة لأنك تحكّمت في كل خطوة. في عام 2016، نشرت مؤسسة الجبهة الإلكترونية (EFF) قائمة كلمات محسّنة تضم 7,776 كلمة إنجليزية مختارة بعناية: شائعة، ومميزة، وسهلة الكتابة، ومقاومة للخلط.

حساب الإنتروبيا

خمسة نرد سداسية الأوجه تُنتج 7,776 نتيجة متساوية الاحتمال (6 مرفوعة إلى الأس الخامس). كل اختيار كلمة من قائمة EFF يحمل إذًا log₂(7776) = 12.9 بت من الإنتروبيا. ست كلمات تعطي 77.5 بت. سبع كلمات تصل إلى 90.4 بت. ثماني كلمات توفر 103.4 بت. هذه الأرقام تصف فضاء البحث الذي يجب على المهاجم استنفاده عبر التخمين الآلي. بمعدل تريليون تخمين في الثانية، تتطلب عبارة مرور من ست كلمات في المتوسط 2.4 مليون سنة لاختراقها.

الرياضيات دقيقة لأن عدد الكلمات يتحكم بالإنتروبيا بشكل كامل. إضافة كلمة واحدة تضرب التركيبات الممكنة في 7,776. عبارة مرور Diceware من سبع كلمات أصعب في الاختراق بـ 7,776 مرة من عبارة من ست كلمات. هذا النمو الأسي هو ما يجعل عبارات المرور قوية جدًا بمكوّنات قليلة.

لماذا تتفوق الكلمات على خليط الأحرف

عبارة مرور مثل radar clamp trophy pencil bazaar flint تحتوي على 77.5 بت من الإنتروبيا. كلمة مرور عشوائية حقيقية بقوة مكافئة تستخدم جميع فئات الأحرف (أحرف كبيرة، صغيرة، أرقام، رموز) ستحتاج تقريبًا إلى 12 حرفًا. الفرق الجوهري: معظم البشر يستطيعون حفظ ست كلمات شائعة بعد قراءتها مرتين. حفظ 12 حرفًا عشوائيًا مثل k$9Tm!vX2p#q يتطلب عادةً كتابتها على ورقة، مما يُدخل خطرًا أمنيًا ماديًا. عبارة المرور تعيش بارتياح في الذاكرة مع توفير قوة رياضية مكافئة أو أكبر.

ضمان الرميات الخمس

كل كلمة في هذه الصفحة يتم اختيارها عن طريق توليد خمس قيم عشوائية مستقلة من 1 إلى 6، محاكيةً لخمسة نرد فعلية. شبكة النرد أعلى عبارة المرور تعرض القيم الدقيقة التي أنتجت كل كلمة. هذه الشفافية أساسية في فلسفة Diceware: مصدر العشوائية مرئي وقابل للتدقيق ومفهوم. متصفحك يُنشئ هذه القيم باستخدام crypto.getRandomValues()، وهي واجهة Web Cryptography API المحددة من W3C. نفس مصدر الإنتروبيا في العتاد يؤمّن جلسات الخدمات المصرفية عبر الإنترنت.

اختيار عدد الكلمات

عدد الكلمات المناسب يعتمد على ما تحميه عبارة المرور. للحسابات العامة على الإنترنت، ست كلمات توفر أمانًا ممتازًا (77.5 بت). للحسابات عالية القيمة مثل البريد الإلكتروني الرئيسي أو مديري كلمات المرور أو مفاتيح التشفير، سبع أو ثماني كلمات تضيف هامش أمان كبير. للتطبيقات الحساسة بشكل خاص، عشر كلمات تعطي 129 بت من الإنتروبيا، متجاوزةً مستوى أمان مفتاح تشفير 128 بت.

/diceware/4 (51.7 بت): استخدام عادي، منخفض المخاطر
/diceware/5 (64.6 بت): أمان يومي متين
/diceware/6 (77.5 بت): قوي، الإعداد الافتراضي الموصى به
/diceware/7 (90.4 بت): حسابات عالية القيمة
/diceware/8 (103.4 بت): مفاتيح التشفير، كلمات المرور الرئيسية
/diceware/10 (129.2 بت): أقصى أمان عملي

في الفصل الدراسي

يُعدّ Diceware تمرينًا ممتازًا في الاحتمالات لأنه يربط بشكل مباشر حسابات الإنتروبيا المجردة بنتيجة ملموسة. اطلب من الطلاب زيارة /diceware/4 ومشاهدة شبكة النرد. كل طالب يرى أربع كلمات ناتجة عن عشرين رمية نرد. اسأل الصف: كم عدد عبارات المرور الممكنة من أربع كلمات؟ الإجابة، 7,776 مرفوعة للأس الرابع (تقريبًا 3.66 تريليون)، تميل لمفاجأة الطلاب الذين يفكرون في كلمات المرور كسلاسل أحرف قصيرة.

لتمرين أعمق، أحضر نردًا فعليًا إلى الصف. اطلب من كل طالب رمي خمسة نرد، والبحث عن الكلمة في قائمة EFF المنشورة، والتكرار أربع مرات. قارن بين عبارات المرور الفعلية والرقمية. النقاش حول ما إذا كان النرد الفعلي والمولّدات الرقمية تُنتج عشوائية متكافئة يفتح الباب لمفاهيم مصادر الإنتروبيا، وتوليد الأرقام العشوائية بالعتاد، والتعريف الرياضي للعدالة. الأداة لا تتطلب أي حسابات ولا تعالج أي بيانات للطلاب. كل عبارة مرور تبقى في متصفح الطالب.

خصوصية بالتصميم

مولّد Diceware من dice83 يعمل بالكامل داخل متصفحك. الخادم يُرسل هذه الصفحة، بما فيها قائمة كلمات EFF. جهازك يولّد رميات النرد العشوائية ويختار الكلمات محليًا. عبارة المرور لا تغادر ذاكرة متصفحك أبدًا. لا توجد في أي مكان آخر: لا سجل خادم، ولا قاعدة بيانات، ولا خط تحليلات.

عندما تشارك هذه الأداة مع صديق، فأنت تشارك رابط الإعدادات الذي يحدد عدد الكلمات فقط. عبارة المرور نفسها غائبة عن الرابط المشارك. جهاز صديقك يولّد عبارة مرور مستقلة تمامًا من مولّد الأرقام العشوائية الخاص به. الرابط يحمل إعدادات الأداة. جهازك يحمل السر.