رياضيات قوة كلمة المرور

قوة كلمة المرور هي رقم. صاغ كلود شانون هذا المفهوم رسميًا عام 1948 باسم إنتروبيا المعلومات، وتُقاس بالبتات. كل بت يُضاعف عدد التركيبات الممكنة التي يجب على المهاجم تجربتها. كلمة مرور مُختارة عشوائيًا من 76 حرفًا (أحرف كبيرة وصغيرة وأرقام و14 رمزًا) تحمل ما يقارب 6.25 بت من الإنتروبيا لكل حرف. وبالتالي فإن كلمة مرور من 16 حرفًا تحتوي على نحو 100 بت من الإنتروبيا: 2¹⁰⁰ تركيبة ممكنة، وهو رقم مكوّن من 31 خانة.

النتيجة العملية هي أُسّية. كلمة مرور من 20 حرفًا من هذا المولّد تحتوي على ما يقارب 125 بت من الإنتروبيا، مما يعني أن المهاجم سيحتاج إلى تجربة نحو 10³⁷ تركيبة لضمان إيجادها. بمعدّل تريليون محاولة في الثانية، يتجاوز الوقت المتوقع للبحث عمر الكون الحالي بمليارات المرات. الطول هو المتغير الحاسم. إضافة أربعة أحرف تفعل للأمان أكثر مما يفعله التبديل من أحرف أبجدية إلى أحرف أبجدية رقمية.

الطول يربح بشكل أُسّي

إضافة حرف واحد إلى كلمة مرور عشوائية يُضاعف فضاء البحث بمقدار 76. إضافة أربعة أحرف يُضاعفه بمقدار 76⁴، أي ما يقارب 33 مليون. هذا التدرج الأُسّي هو السبب في أن الطول أهم بكثير من الاستبدالات الذكية. استبدال "a" بـ "@" في كلمة مرور مختارة بشريًا لا يضيف عمليًا أي إنتروبيا لأن المهاجمين يتضمنون بالفعل هذا الاستبدال في قواميسهم. إضافة أربعة أحرف عشوائية حقيقية تضيف 25 بت من الإنتروبيا. خمسة وعشرون بت تعني أن المهاجم يحتاج وقتًا أطول بـ 33 مليون مرة للبحث في الفضاء.

يوصي المنشور الخاص NIST 800-63B لعام 2024 بإعطاء الأولوية لطول كلمة المرور على قواعد التعقيد. وجد البحث وراء هذا الدليل الإرشادي أن متطلبات التعقيد (حرف كبير واحد، رقم واحد، رمز واحد) تُنتج أنماطًا متوقعة: Password1! تستوفي كل قاعدة بينما تظهر في ملايين قواعد بيانات بيانات الاعتماد المسرّبة. سلسلة عشوائية بالكامل من 16 حرفًا لا تستوفي أي نمط بشري لأنه لا يوجد لديها نمط لتستوفيه. يضمن هذا المولّد جميع فئات الأحرف الأربع لكل كلمة مرور، ثم يخلط المواقع بنفس المصدر التشفيري العشوائي بحيث لا يكون أي موقع قابلاً للتنبؤ.

المصدر التشفيري

كل حرف في كلمة مرورك يأتي من crypto.getRandomValues()، واجهة Web Cryptography API المحددة من قبل W3C. تستمد هذه الوظيفة الإنتروبيا من مصادر على مستوى العتاد في جهازك: الضوضاء الحرارية، والاهتزاز الزمني الكهربائي، وعمليات فيزيائية أخرى متجذرة في عدم اليقين الكمّي. يجتاز الناتج مجموعات اختبارات إحصائية صارمة تشمل NIST SP 800-22 وTestU01.

الضمان أعمق من الخوارزمية. هذا هو نفس مصدر الإنتروبيا الذي يولّد مفاتيح الجلسات التي تحمي خدماتك المصرفية عبر الإنترنت، والمفاتيح المؤقتة في كل اتصال HTTPS، ومتجهات التهيئة في الرسائل المشفرة. يراجع مزودو المتصفحات هذا التنفيذ بلا هوادة لأن أي ضعف هنا سيُهدد كل اتصال آمن على الويب. كلمة مرورك ترث سلسلة الضمان هذه بأكملها.

العامل البشري

حلّل باحثون في جامعة كارنيجي ميلون ملايين كلمات المرور الحقيقية من قواعد بيانات الاختراقات ووجدوا نمطًا لافتًا. تتجمع كلمات المرور المختارة بشريًا بشكل كبير حول بضعة آلاف من البنى الشائعة: أسماء متبوعة بسنوات، كلمات قاموسية مع استبدالات متوقعة، مسارات لوحة مفاتيح مثل qwerty123. تُقلّل هذه الأنماط الإنتروبيا الفعلية إلى 20-40 بت بغض النظر عن الطول الاسمي، لأن المهاجمين يبنون قواميس من هذه الأنماط تحديدًا.

كلمة المرور المولّدة آليًا تُزيل العامل البشري تمامًا. كل موقع حرف يُسحب بشكل مستقل من مجموعة الأحرف الكاملة باحتمالية منتظمة. لا يوجد نمط لاستغلاله، ولا قاموس للرجوع إليه، ولا ميل نفسي للتنبؤ به. الهجوم الوحيد المتبقي هو البحث الشامل عبر كامل فضاء المفاتيح، ورياضيات النمو الأُسّي تجعل هذا البحث غير ممكن لأي طول معقول لكلمة المرور.

حسابات القوة الغاشمة

تعرض لوحة تحليل القوة أعلاه تقديرات الاختراق في الوقت الفعلي عند ثلاث سرعات هجوم. سيناريو الهجوم عبر الإنترنت (1,000 محاولة في الثانية) يمثل خدمة ويب محدودة المعدل. سيناريو الأجهزة السريعة (10 مليارات في الثانية) يمثل مجموعة GPU محسّنة لاختراق التجزئات غير المتصلة. سيناريو مستوى الدولة (1 تريليون في الثانية) يمثل حدًا أقصى نظريًا ببنية تحتية مخصصة. عند 100 بت من الإنتروبيا، حتى سيناريو مستوى الدولة يتطلب نحو 4 × 10¹⁸ سنة. ستستنفد الشمس وقودها الهيدروجيني في نحو 5 مليارات سنة. كلمة مرورك تدوم أطول من النظام الشمسي.

في الفصل الدراسي

توفر إنتروبيا كلمة المرور مدخلاً سهلاً لنظرية المعلومات. اطلب من الطلاب زيارة /password/8 وملاحظة الإنتروبيا، ثم زيارة /password/16 وملاحظة أن الإنتروبيا تتضاعف تمامًا. كل حرف مُضاف يساهم بعدد ثابت من البتات. هذه العلاقة الخطية بين الطول والإنتروبيا تُنتج علاقة أُسّية بين الطول والأمان، وهو مفهوم يمكن للطلاب التحقق منه بمقارنة تقديرات وقت الاختراق عند أطوال مختلفة.

لتمرين أعمق، قارن كلمات مرور dice83 مع عبارات مرور diceware. عبارة مرور من ست كلمات تحمل نحو 77 بت من الإنتروبيا. كلمة مرور عشوائية من 12 حرفًا تحمل نحو 75 بت. كلاهما يحقق أمانًا مماثلاً بآليات مختلفة تمامًا: عبارة المرور تستخدم مجموعة كبيرة (7,776 كلمة) مع اختيارات قليلة؛ وكلمة المرور تستخدم مجموعة أصغر (76 حرفًا) مع اختيارات أكثر. المقايضة هي بين سهولة الحفظ والقوة الخام، وفهم هذه المقايضة يُعلّم الطلاب كيف تعمل الإنتروبيا فعلاً. تعمل الأداة بالكامل في المتصفح، ولا تتطلب حسابات، ولا تخزّن بيانات الطلاب.

خاصة بالتصميم

كل كلمة مرور تُنشأ في هذه الصفحة تتواجد فقط داخل متصفحك. يقدّم الخادم HTML وCSS وJavaScript التي تُكوّن الأداة. جهازك ينفّذ عملية التوليد. في أي مرحلة لا تنتقل أي كلمة مرور أو جزء من كلمة مرور أو بيانات متعلقة بكلمة المرور عبر أي اتصال شبكة. السجل الدائم الوحيد لكلمة المرور هو المكان الذي تختار لصقها فيه بعد النسخ.

مشاركة رابط الأداة آمنة بطبيعتها. إرسال رابط /password/20 لشخص ما يمنحه نفس المولّد بنفس الإعدادات. متصفحه ينشئ كلمات مرور مستقلة تمامًا من مصدر الإنتروبيا الخاص به. الرابط يحمل مواصفات الأداة. جهازك يحمل السر.