فاحص قوة كلمة المرور

ما فاحص قوة كلمة المرور؟

هو أداة تأخذ كلمة مرور وتقدّر كم محاولةً يحتاج المهاجم. وأكثرها تفعل ذلك بعدّ الحروف وأنواعها، ولهذا تكافئ حرفًا كبيرًا ورمزًا وتقول لك إن ‎P@$$w0rd1!‎ قوية.

أما هذه فتقيس كما يجري التخمين فعلًا: تبحث عمّا تجرّبه مجموعاتُ قواعد الكسر أولًا — كلمات المعجم، وإبدالات leet، ومسارات لوحة المفاتيح، والسنوات، والمتتابعات — وتسعّر كلمة مرورك بما تكلّفه تلك. ثم تعرض إلى جانبها ما كان سيدّعيه مقياسٌ يعدّ الحروف.

وكلمةُ مرورك لا تغادر هذه الصفحة. فلا طلبات ولا سجلات ولا خادم: افتح لسان الشبكة في متصفحك وتحقّق، أو اقطع الإنترنت وواصل الاستعمال. وهذا هو التصميم الوحيد الجائز لأداةٍ كهذه.

طريقة الاستعمال

1. اكتب كلمة مرور أو الصقها. تُحلَّل أثناء الكتابة على جهازك أنت. واستعمل زرّ الإظهار والإخفاء إن لم تكن وحدك.
2. اختر المهاجم. نموذجُ دخولٍ محدود المحاولات، أو غير محدود، أو قاعدةُ بيانات مسروقة ببصمة بطيئة أو سريعة. والجواب يتحرك بين هذه الأربعة أحد عشر رتبة عشرية، ولهذا عُرضت.
3. اقرأ جدول الأنماط. فهو يسرد ما سيتعرّفه المهاجم في كلمة مرورك وكم يكلّف تخمينُ كل جزء. فإن كانت كلمةُ مرورك كلمةً مزيَّنة، فهنا يظهر ذلك.

القواعد التي تفرضها أكثر المقاييس سحبها المعيارُ الذي ابتكرها

منشور NIST الخاص 800-63B هو الوثيقة التي تقوم عليها أكثر سياسات كلمات المرور في المؤسسات. ومراجعته الحالية صريحة، وتستحق الاقتباس لا إعادة الصياغة. ففي أنواع الحروف يقول إن المتحقِّقين «SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords»، أي لا يجوز لهم فرضُ قواعد تركيب. وفي انتهاء الصلاحية: لا يجوز لهم إلزام المستخدمين بتغيير كلمات المرور دوريًا. وكلاهما منعٌ لا اقتراح، وكلاهما نقيضُ ما يفعله نموذجُ تسجيلٍ معتاد.

أما الذي يشترطه فهو الطول. فكلمةُ المرور المستعملة عاملًا وحيدًا «SHALL» ألا تقلّ عن خمسة عشر حرفًا، لا الثمانية التي تعدّها أكثر المقاييس هي الحد. وبوجود عامل ثانٍ ينزل الحد إلى ثمانية. ويشترط أيضًا مقابلةَ كلمة المرور بقائمة كلماتٍ مسرَّبة، وهو الشرط الوحيد الذي لا تنفّذه هذه الأداة عمدًا، لأسبابٍ في قسم الحدود.

والحسابُ وراء تفضيل الطول ليس متقاربًا. فثمانيةُ حروف من الخمسة والتسعين المطبوعة في ASCII تعطي 6.63e15 احتمالًا، أي 52.6 بت. وخمسةَ عشر حرفًا صغيرًا فحسب تعطي 1.68e21، أي 70.5 بت. فكلمةُ المرور التي تخالف كل قواعد التركيب فضاءُ بحثها أكبرُ بـ252,820 مرة من التي تستوفيها كلها.

بل إن قواعد التركيب أسوأ من عديمة النفع، لأن لها طريقةً بديهية تُستوفى بها. خذ كلمةً شائعة، وابدأها بحرف كبير، وأبدِل بعض حروفها برموزٍ تشبهها، وألحِق بها رقمًا وعلامةَ ترقيم. أجرينا هذه الوصفة على أشيع عشرة آلاف كلمة إنجليزية، فإذا 99.2% من النتائج تستوفي أنواع الحروف الأربعة كلها. والوصفةُ بأسرها — كل كلمة، وكلا شكلَي الحرف الأول، بـleet أو بغيره، وكل رقم أو سنة في الآخر، وكل رمز — تمتد على تسعة وعشرين مليون احتمال، أي نحو 24.8 بت. والمقياسُ الذي يعدّ الحروف يعطي ‎P@$$w0rd1!‎ خمسةً وستين فاصل سبعة بتًا. أي إنه يضخّم الصعوبة بمقدار تريليونين.

وثمة أمرٌ أخير يستحق القول، لأنه يخالف نصيحةً كان هذا الموقع سيرددها لولاه. فعبارةُ الكلمات الأربع العشوائية الشهيرة تساوي 51.7 بت إذا أُخذت الكلمات من قائمة الـ7,776 التي توصي بها أكثر الأدلة، وهذا أقلُّ قليلًا جدًا من تلك الحروف الثمانية. كانت الأربعُ نصيحةً جيدة يوم كُتبت، وهي اليوم على الحدّ. والخمسُ 64.6 بت، والستُّ 77.5، والفجوةُ تتسع سريعًا. فإن أخذتَ رقمًا واحدًا من هذه الصفحة فليكن خمسًا لا أربعًا.

حدود معلنة بصراحة

التقديرُ سقفٌ للضعف لا شهادةٌ بالقوة. فإن وجدت الأداةُ نمطًا فذلك يثبت أن كلمة مرورك لا يمكن أن تكون أقوى من ذلك النمط، وهذا الاتجاه متين. وإن لم تجد شيئًا فذلك لا يثبت إلا أنها لم تتعرّف شيئًا، وهي دعوى أضعف كثيرًا. فثِق بالنتيجة السيئة، وعُدَّ النتيجة الحسنة غيابًا للدليل.

والمفرداتُ خمسةُ آلاف كلمة هي الأشيع في اثني عشر كتابًا في الملك العام، وهو المتن الخطأ على نحوٍ محدَّد يجب إعلانه: فالكلماتُ التي يضعها الناس فعلًا في كلمات مرورهم ليست كلماتِ روائيي العصر الفكتوري. فـ«password» و«admin» و«letmein» و«sunshine» غائبة تمامًا، بينما «monkey» و«dragon» موجودتان لورودهما في الروايات. وقائمةُ المهاجم الحقيقي تبدأ بالكلمات الغائبة هنا بعينها، فعددُ المحاولات الحقيقي لكلمة مرور شائعة أقلُّ مما تراه.

ومقابلةُ قوائم التسريبات التي يشترطها المعيار غيرُ منفَّذة، وهو رفضٌ مقصود لا سهو. فمقابلةُ كلمات المرور المسرَّبة المعروفة تحتاج إما تنزيل مئات الميغابايتات وإما طلبًا إلى خادم غيرنا. وثمة بروتوكول محكم للثاني — تُرسل فيه بادئةً قصيرة من بصمة ولا تُرسل كلمة المرور قط — لكنه يبقى طلبَ شبكة من صفحةٍ تَعِد بألا طلبات فيها. فأجرِ تلك المقابلة على حدة، بأداةٍ صريحة في أنها تُرسل طلبًا.

وأزمنةُ الكسر متوقفة كليًا على سرعة الهجوم، ولهذا تُلزمك هذه الصفحة باختيار واحدة بدل افتراضها في صمت. والسرعاتُ الأربع المعروضة أرقامُ رتبةٍ عشرية للحالة المذكورة، لا قياساتٍ لنظام بعينه، والسرعةُ الحقيقية تتوقف على البصمة التي اختارها الموقع، وعلى العتاد، وعلى امتلاك المهاجم قاعدةَ البيانات أصلًا. والمقياسُ الذي يطبع زمنًا دون ذكر سرعته لا يقول لك شيئًا يمكن التحقق منه.

ويحمل المحرّك 48 تحققًا. وأهمُّها الحدّ الأعلى: آلافٌ من كلمات المرور المبنية بالوصفة أعلاه يجب أن تُقيَّم كلها ضعيفة، ومعها ضابطٌ يؤكد أن العشوائيةَ حقًّا بالطول نفسه ليست كذلك. وبهذا أُمسك خطآن حقيقيان: فكُّ ترميز leet واحدٌ إلى متعدد، وجدولٌ أحاديُّ القيمة جعل ‎W1th1!‎ لا يُحلّ أبدًا إلى «with»، ثم ثغرةُ المتن أعلاه، وهي الآن مؤكَّدة باختبارٍ لئلا تمرّ دون انتباه.

لماذا هذه الأداة مجانية؟

مقابلةُ الأنماط بقائمة كلمات عملٌ يؤديه جهازك في جزء من الألف من الثانية. فلا خادم يُدفع ثمنه، ولهذا أيضًا لا حساب ولا شيء يُرفع: والحقيقتان حقيقةٌ واحدة.

وإن أردت كلمةَ مرور لا حكمًا على واحدة، فمولّد كلمات المرور في هذا الموقع ينشئها. ورقمُ العشوائية فيه مضبوط حيث يكون رقمُ هذه الصفحة حدًّا أعلى، والفرقُ مفيد: فقوةُ كلمة المرور المولَّدة معروفة بحكم إنشائها، أما المحفوظةُ فلا تُقدَّر إلا من الخارج.