كلمة المرور القوية: ما الذي يجعلها قوية فعلًا؟

تُعد كلمة المرور خط الدفاع الأول عن الحسابات الرقمية، وما تزال أكثر الأهداف تعرضًا لمحاولات الاختراق. تشير تقارير خروقات البيانات إلى أن النسبة الأكبر من حوادث الوصول غير المصرح به تعود إلى كلمات مرور ضعيفة، أو مكررة عبر أكثر من منصة، أو سُربت في قواعد بيانات سابقة. فهم المعايير التشفيرية المعتمدة لكلمات المرور يوضح كيفية حماية الحسابات من هجمات التخمين الآلي.

الإنتروبيا التشفيرية (Password Entropy): كيف تُقاس قوة كلمة المرور؟

لا تقاس قوة كلمة المرور بانطباع بشري أو بعدد الرموز الغريبة فحسب، بل بمفهوم رياضي دقيق يُدعى «الإنتروبيا» (Entropy) ويُقاس بوحدة البت (Bits). تحسب الإنتروبيا وفق القانون:

الإنتروبيا = الطول (L) × log₂(حجم مصفوفة المحارف R)

• إذا استخدمت 10 خانات من الأرقام فقط (0-9، حيث R=10): الإنتروبيا تساوي 10 × 3.32 ≈ 33 بت فقط، وهو نطاق يمكن لبطاقة رسوميات حديثة (RTX 4090) كسر كافة احتمالاته في أقل من ثانية.
• إذا استخدمت 16 خانة تجمع بين الأحرف الكبيرة والصغيرة والأرقام والرموز الخاصة (R=94 محرفًا): الإنتروبيا تقفز إلى 16 × log₂(94) ≈ 105 بت. لتخمين هذه الكلمة عبر القوة الغاشمة (Brute-Force)، يحتاج أقوى حاسوب خارق مليارات السنين لإجراء كافة المحاولات.

معضلة الطول مقابل التعقيد (Length vs Complexity)

أكد المعهد الوطني للمعايير والتقنية الأمريكي (NIST) في إرشادات الهوية الرقمية SP 800-63B أن زيادة طول كلمة المرور أكثر فاعلية وأمانًا بمراتب من إجبار المستخدم على حشو الرموز المعقدة. فعبارة مرور مكونة من 20 حرفًا ورقمًا أسهل في القراءة وأعلى إنتروبيا بكثير من كلمة معقدة من 8 خانات يصعب تذكرها ويسهل كسرها.

لماذا تُعد العشوائية الحقيقية (CSPRNG) شرطًا لا غنى عنه؟

يميل العقل البشري غريزيًا إلى ابتداع أنماط متوقعة يسهل على برمجيات الاختراق رصدها؛ مثل استبدال الحرف 'a' بالرمز '@' أو 'i' بالرقم '1'، أو وضع سنة الميلاد في النهاية. تسمى هذه الظاهرة «قابلية التنبؤ» (Predictability). تعتمد أداتنا على واجهة Web Crypto API المدمجة في المتصفح، والتي توفر مولد أرقام شبه عشوائية آمن تشفيريًا (CSPRNG) يستقي بذوره من نظام التشغيل، مما يقلل كثيرًا من قابلية التنبؤ مقارنة باختيارات الإنسان.

أمان التوليد المحلي (Zero-Knowledge Architecture)

القاعدة الذهبية في أمن كلمات المرور تنص على: «كلمة المرور التي تمر عبر خادم طرف ثالث لم تعد سرًا». كثير من مولدات كلمات المرور المجانية عبر الويب تقوم بإرسال طلبات HTTP إلى خوادمها، مما يعرضها لاعتراض الشبكة أو التسجيل في سجلات الخوادم (Server Access Logs). تم تصميم أداة «أدواتي» لتعمل محليًا داخل ذاكرة متصفحك العشوائية (RAM) دون أي طلب شبكي أو حفظ مؤقت، وتتبخر الكلمة فور إغلاق الصفحة.

استراتيجيات عملية لبناء منظومة أمان شخصية منيعة

1. قاعدة عدم التكرار المطلق: لا تستخدم نفس كلمة المرور لحسابين أبدًا. في حال حدوث تسريب في منتدى أو متجر إلكتروني ثانوي، لن تتأثر حساباتك البنكية أو بريدك الرئيسي.
2. استخدام مدير كلمات مرور موثوق (Password Manager): مثل Bitwarden أو 1Password أو مدير كلمات المرور المدمج في نظامك لتخزين وتعبئة كلمات المرور المعقدة والفريدة تلقائيًا.
3. تفعيل المصادقة الثنائية (2FA / MFA): خاصة عبر تطبيقات المصادقة (TOTP) أو مفاتيح الأمان الفيزيائية (FIDO2 / YubiKey)، لحماية الحساب حتى في أسوأ سيناريوهات تسريب كلمة المرور.