رياضيات رمز PIN العشوائي

رمز PIN الرقمي هو أحد أبسط البنى في التوافقيات (علم التباديل والتوافيق). يحمل كل موضع رقمًا واحدًا من 0 إلى 9، يتم اختياره بشكل مستقل عن كل موضع آخر. وبالتالي فإن رمز PIN المكوّن من 4 أرقام يملك 10,000 قيمة ممكنة، والمولّد العشوائي الحقيقي يمنح كل قيمة احتمالًا متساويًا تمامًا. الرقم في الموضع الأول لا يكشف شيئًا عن الرقم في الموضع الثاني. الرمز ليس له منطق داخلي، ولا نمط، ولا بنية يمكن استغلالها.

الإنتروبيا: قياس قوة رمز PIN

تقيس نظرية المعلومات العشوائية بوحدة البت. يحمل كل رقم عشري log₂(10) ≈ 3.322 بت من الإنتروبيا، لذا فإن رمز PIN المكوّن من 4 أرقام يحتوي على 13.3 بت. للمقارنة، كلمة مرور من 16 حرفًا مأخوذة من 95 حرفًا قابلًا للطباعة في ASCII تقدّم نحو 105 بت. رمز PIN أبسط عمدًا لأنه يعتمد على نموذج أمني مختلف جذريًا: تحديد معدل المحاولات.

يسمح جهاز الصراف الآلي بثلاث محاولات خاطئة متتالية قبل ابتلاع البطاقة. ويُدخل الهاتف الذكي تأخيرات متصاعدة بعد كل فشل. في ظل هذه القيود، يصبح استنفاد 10,000 تركيبة أمرًا غير ممكن عمليًا. يكمن أمان رمز PIN في القفل، والعشوائية تمنع المهاجم من التخمين بذكاء.

لماذا أربعة أرقام؟

يعود رمز PIN المكوّن من أربعة أرقام إلى عام 1967، عندما ابتكر المخترع الاسكتلندي جون شيبرد-بارون أول جهاز صراف آلي لبنك باركليز في لندن. كان تصميمه الأصلي يستخدم ستة أرقام. اختبرت زوجته كارولين النموذج الأولي وأقنعته بأن أربعة أرقام هي كل ما يمكنها تذكره بشكل موثوق تحت الضغط الخفيف لطابور يتشكّل خلفها. تلك المحادثة المنزلية شكّلت معيار أمان عالمي استمر لأكثر من خمسين عامًا. تظل أربعة أرقام هي الإعداد الافتراضي لأجهزة الصراف الآلي وشاشات قفل الهاتف ومحطات نقاط البيع في جميع أنحاء العالم.

مشكلة الأنماط

حلّل نيك بيري من DataGenetics 3.4 مليون رمز PIN مكوّن من أربعة أرقام مُسرّبة، ووجد تركزًا مثيرًا للقلق. التسلسل 1234 وحده شكّل 10.7% من جميع الرموز في مجموعة البيانات. أكثر عشرين رمز PIN شيوعًا غطّت 27% من إجمالي العيّنة. هيمنت سنوات الميلاد بتنسيق 19xx، والأرقام المكررة (1111، 0000)، وأنماط لوحة المفاتيح (2580، العمود الأوسط في لوحة المفاتيح الرقمية) على القائمة.

المهاجم الذي يجرّب المئة رمز PIN الأكثر شيوعًا أولًا يمكنه فتح قفل حساب واحد تقريبًا من كل ثلاثة حسابات تستخدم رموزًا مختارة بشريًا. رمز PIN المولّد عشوائيًا يقضي على هذه الثغرة تمامًا. كل قيمة من قيم 10,000 تصبح محتملة بالتساوي، بما في ذلك 1234 و0000. لا يحصل المهاجم على أي ميزة من تجربة الأنماط الشائعة أولًا لأن الرمز لم يُختر أبدًا بواسطة عقل بشري يبحث عن أنماط.

عشوائية حقيقية من جهازك

كل رقم في هذه الصفحة مصدره crypto.getRandomValues()، واجهة برمجة تطبيقات التشفير على الويب المحددة من قِبل W3C والمدمجة في كل متصفح حديث. تأتي الإنتروبيا الأساسية من عمليات فيزيائية على مستوى العتاد في جهازك: الضوضاء الحرارية، والارتعاش الكهربائي، وتباينات التوقيت التي تثبت ميكانيكا الكم أنها غير قابلة للتنبؤ جوهريًا. يستخدم التنفيذ أسلوب الرفض لعينات العيّنة للقضاء على انحياز المعامل، مما يضمن أن كل رقم من 0 إلى 9 له احتمال متطابق رياضيًا.

لا ينتقل رمز PIN أبدًا عبر أي شبكة. إنه موجود فقط في ذاكرة متصفحك وعلى شاشتك. الخادم قدّم هذه الصفحة وانتهى. جهازك هو من أنشأ السر.

في الفصل الدراسي

يوفر توليد رمز PIN نقطة دخول ملموسة للتوافقيات. اسأل الطلاب: كم عدد رموز PIN المكوّنة من أربعة أرقام الموجودة؟ معظمهم يخمّن أقل بكثير من 10,000. الصيغة 10⁴ = 10,000 تقدّم الأُس كأداة عدّ. ثم أضف قيودًا: إذا لم يكن الرقم الأول صفرًا، كم يتبقى؟ (9,000.) إذا لم يُسمح بتكرار أي رقم؟ (10 × 9 × 8 × 7 = 5,040.) هذه القيود تقلّص الفضاء تدريجيًا، موضحةً الفرق بين التباديل مع التكرار وبدونه.

كنشاط جماعي، اطلب من كل طالب زيارة /pin/6 وتوليد رمز PIN من ستة أرقام. اسأل: ما احتمال أن يتشارك أي طالبين في صف من 30 طالبًا نفس الرمز؟ الجواب (حوالي 0.04%) يفاجئ الطلاب الذين يتوقعون تصادمات. قارن ذلك بمسألة عيد الميلاد، حيث 23 شخصًا يتشاركون عيد ميلاد من 365 خيارًا فقط يتجاوز احتمال 50%. تكشف المقارنة كيف يؤثر حجم فضاء الاحتمالات بشكل كبير على معدلات التصادم. الأداة لا تتطلب حسابات ولا تخزّن بيانات الطلاب.

خصوصية بالتصميم

كل رمز PIN يتم توليده في هذه الصفحة يبقى داخل متصفحك. يقدّم الخادم قالب الصفحة. مولّد الأرقام العشوائية المشفّرة في جهازك ينتج كل رقم. لا يظهر أي رمز PIN أبدًا في سجلات الخادم أو التحليلات أو طلبات الشبكة. يعيش سجل التوليد الخاص بك في localStorage على جهازك فقط.

قسم المشاركة أدناه يشارك رابط الأداة، وليس رمز PIN المولّد أبدًا. إرسال الرابط لشخص ما يمنحه نفس المولّد. ينتج جهازه نتيجة مستقلة تمامًا من مصدر الإنتروبيا الخاص به. الرابط يحمل الأداة. جهازك يحمل السر.