اختبار قوة كلمة السر

هي الأداة التي لا ترسل أي شيء أثناء الكتابة، وتتيح لك التحقق من ذلك بنفسك. تفحص هذه الصفحة قوة كلمة المرور وتقارنها بمليون كلمة مرور هي الأكثر ظهوراً في التسريبات، وكل ذلك على جهازك. أما الفحص الشامل للتسريبات، فينتظر حتى تتوقف عن الكتابة، ولا يرسل سوى أول 5 محارف من البصمة الرقمية لكلمة المرور، مرة واحدة. يمكنك مراقبة ذلك في علامة تبويب «الشبكة» في متصفحك، أو قطع الاتصال بالإنترنت والتأكد من أن أداة الفحص لا تزال تعمل.

اكتبها أو الصقها في الأعلى. إذا كانت ضمن مليون كلمة مرور هي الأكثر ظهوراً في التسريبات، فستعرف ذلك فوراً. عندما تتوقف عن الكتابة، تبحث الأداة أيضاً في جميع التسريبات المعروفة. إذا ظهرت في أي تسريب، فتوقف عن استخدامها.

نعم، لفحص كلمات المرور. صُمّمت خدمة فحص كلمات المرور فيه بحيث لا تتلقى كلمة مرورك مطلقاً: يرسل متصفحك أول 5 محارف فقط من البصمة الرقمية لكلمة المرور، ويجري المقارنة النهائية بنفسه. وتطلب هذه الصفحة أيضاً إضافة بيانات وهمية إلى الرد، حتى لا يكشف حجمه أي معلومات.

هي 123456، وقد ظهرت في تسريبات البيانات أكثر من 210 ملايين مرة، تليها 123456789، ثم 12345678، ثم password، ثم qwerty (الأرقام من Have I Been Pwned). كل ما قد يخطر ببال أي شخص بسرعة موجود في هذه القوائم.

أي مثال رأيته منشوراً لم يعد قوياً، لأنه أصبح الآن ضمن القوائم. حتى correcthorsebatterystaple من القصة المصوّرة xkcd ظهرت في التسريبات آلاف المرات. كلمة المرور القوية هي التي تُنشأ عشوائياً خصيصاً لك: استخدم مولّد كلمات المرور أو مولّد عبارات المرور.

اكتبها في الأعلى، وستعرض أداة الفحص متوسط الوقت اللازم لكسرها باستخدام 1000 بطاقة رسومات تحاول تخمين كلمات المرور في قائمة مسروقة بأقصى سرعة، وهو السيناريو الذي ينبغي الاستعداد له. تُكسر كلمة مرور عشوائية من 8 محارف في ثوانٍ، بينما يستغرق كسر كلمة مرور عشوائية من 16 محرفاً نحو 3 مليارات سنة.

لا بد لكل أداة فحص من افتراض قدرات المهاجم، ومعظمها لا يوضح ما يفترضه. تفترض أدوات كثيرة أن الموقع يخزّن كلمات المرور بطريقة بطيئة عمداً، فلا تسمح إلا بآلاف التخمينات في الثانية. وتستخدم بعض الأدوات سرعات بطاقات رسومات تعود إلى سنوات مضت، بينما تكتفي أخرى بحساب الطول وتغفل أنماطاً مثل الكلمات والتواريخ. نحن نعرض سيناريو أشد ونوضحه: قائمة كلمات مرور مسروقة تحاول 1000 بطاقة رسومات تخمينها بأقصى سرعة. يستغرق كسر كلمات المرور في كثير من المواقع المُدارة جيداً وقتاً أطول بكثير، لكن لا يمكنك معرفة الطريقة التي يستخدمها أي موقع، لذا تعامل مع الأوقات التي نعرضها باعتبارها أسوأ سيناريو ينبغي الاستعداد له.

لأن أدوات كسر كلمات المرور لا تخمّن حرفاً واحداً في كل مرة. بل تخمّن كلمات كاملة وأسماء وأماكن وتواريخ وكلمات مرور شائعة، ثم تجمعها وتضيف أرقاماً. تتكوّن LiverpoolFootball1892 من 21 محرفاً، لكنها بالنسبة لأداة كسر كلمات المرور مجرد كلمتين شائعتين وسنة: نحو مئة مليون تخمين، تستطيع بطاقة رسومات واحدة تجربتها في أقل من ثانية. لا يفيد الطول إلا عندما يصعب التنبؤ بالمحارف، كما في كلمة مرور عشوائية أو عبارة مرور مكوّنة من كلمات عشوائية.

يمكن لمدير كلمات المرور فحصها كلها دفعة واحدة. على جهاز آيفون أو ماك، افتح تطبيق «كلمات المرور» وانتقل إلى قسم «الأمان». وفي Chrome، يتضمن مدير كلمات المرور من Google ميزة «فحص كلمات المرور». ويوفر NordPass وBitwarden و1Password ومعظم برامج إدارة كلمات المرور الأخرى تقريراً مشابهاً.

16 محرفاً عشوائياً على الأقل، أو سبع كلمات عشوائية. توصي NIST، وهي هيئة أمريكية للمعايير، بأن تتيح المواقع استخدام كلمات مرور بطول 64 محرفاً على الأقل، وأن تشترط حداً أدنى قدره 15 محرفاً عندما تكون كلمة المرور هي وسيلة الحماية الوحيدة للحساب.