قراءة رقم الإنتروبيا
الفئات أدناه تجميع عرضي لعدد البتات، اختير ليفصل كلمات المرور التي تسقط أمام الهجوم غير المتصل عن تلك التي تصمد. والنتائج المعروضة إلى جانبها محسوبة من الإنتروبيا لا مسندة إليها.
| الإنتروبيا | الفئة | ما الذي يعنيه ذلك عمليًا |
|---|---|---|
| أقل من 40 بتًا | ضعيفة | تُستنفَد بهجوم غير متصل على الفور تقريبًا |
| 40 – 59 بتًا | مقبولة | تصمد أمام التخمين العابر؛ وتسقط أمام هجوم غير متصل مصمّم |
| 60 – 79 بتًا | قوية | بعيدة عن متناول الهجوم غير المتصل المعتاد مع دالة تلبيد حسنة الاختيار |
| 80 بتًا فأكثر | قوية جدًا | نقطة الضعف ليست البحث الشامل بل إعادة الاستعمال والتصيّد |
- تُولَّد كلمة المرور داخل متصفّحك من مصدر العشوائية الآمن تعميًا في المنصّة، وهي مستثناة عمدًا من كل ميزات التحليلات والذكاء الاصطناعي في هذا الموقع. ولا تُرسَل أبدًا.
- يوصي المنشور NIST SP 800-63B جهات التحقّق بألّا تشترط خلط أنواع الرموز وألّا تفرض تغييرًا دوريًا لكلمات المرور، بل أن تفرض التغيير عند وجود دليل على الاختراق.
ما الذي تقيسه إنتروبيا كلمة المرور
تقيس الإنتروبيا عدد كلمات المرور المتساوية الاحتمال التي كان بوسع المولّد إنتاجها، وتُعبَّر عنها بالبتات. فالمولّد الذي يسحب كل رمز على حدة من مجموعة قوامها N رمزًا بطول L تكون إنتروبيته L x log2(N) بتًا، وكل بت إضافي يضاعف عدد المرشّحات التي على المهاجم تجربتها.
والإنتروبيا خاصية المولّد لا خاصية السلسلة التي أنتجها. فليس لكلمة مرور بعينها إنتروبيا خاصة بها — والسؤال الوحيد هو كم كان الفضاء الذي سُحبت منه كبيرًا. ولهذا لا يمكن بصدق أن يُنسب عدد بتات إلى كلمة مرور ابتكرتها بنفسك، بينما يمكن ذلك للمولَّدة.
ولهذا أيضًا يتفوّق الطول على التعقيد. فإضافة رمز واحد إلى كلمة مرور من 20 رمزًا مسحوبة من 76 رمزًا تضيف نحو 6.2 بت؛ أما إضافة فئة رموز كاملة إلى كلمة قصيرة فتضيف أقلّ من ذلك بكثير. وإرشادات NIST تعكس هذا: إذ يوصي المنشور SP 800-63B جهات التحقّق بألّا تفرض قواعد تركيب تشترط خلط أنواع الرموز، وبأن تسمح بكلمات مرور لا تقلّ عن 64 رمزًا.
كيفية استخدام مولّد كلمات المرور
- اختر الطول. فزيادته أنجع تغيير منفرد يمكنك إجراؤه.
- حدّد فئات الرموز التي تريد تضمينها. فكل فئة توسّع المجموعة وترفع بذلك الإنتروبيا لكل رمز.
- استبعد الرموز المتشابهة إن كانت كلمة المرور ستُقرأ بصوت عالٍ أو تُنسخ يدويًا — فهذا يبادل قليلًا من الإنتروبيا بأخطاء نسخ أقل.
- اقرأ رقم الإنتروبيا. فهو المقياس الصادق للقوة؛ أما سنوات الاستنفاد فهي الرقم نفسه معبَّرًا عنه بالزمن.
- احفظ كلمة المرور في مدير كلمات مرور بدل إعادة استعمالها. فإعادة الاستعمال تبطل أي قدر من الإنتروبيا.
الصيغة وراء رقم الإنتروبيا
يُسحب كل رمز على حدة وبانتظام من المجموعة، فيكون عدد كلمات المرور الممكنة هو حجم المجموعة مرفوعًا إلى أُسّ الطول. والإنتروبيا هي اللوغاريتم بالأساس 2 لذلك العدد.
ويفترض رقم الزمن هجومًا غير متصل على دالة تلبيد سريعة ضعيفة الحماية بسرعة تريليون تخمين في الثانية، ويعرض الزمن المتوقّع للبحث في نصف الفضاء. وهو توضيح للمقياس لا تنبّؤ: فدالة تلبيد كلمات المرور الممطوطة على نحو سليم أبطأ في مواجهة الهجوم بمراتب، أما كلمة المرور المسرَّبة نصًّا صريحًا فلا تستغرق وقتًا أصلًا.
أخطاء شائعة
- إضافة فئة رموز بدل الطول. فالطول يرفع الإنتروبيا أسرع بكثير.
- إعادة استعمال كلمة مرور قوية عبر مواقع متعدّدة. فاختراق خدمة واحدة يعرّض جميعها مهما بلغت الإنتروبيا.
- استبدال رموز داخل كلمة مألوفة — كتابة 'P@ssw0rd' بدل 'password'. فأدوات الكسر تطبّق هذه الاستبدالات بعينها.
- افتراض أن حكم مقياس قوة على كلمة مرور ابتكرتها هو قياس للإنتروبيا. فالإنتروبيا تصف مولّدًا لا سلسلة.
- تغيير كلمات المرور وفق جدول زمني لذاته، وهو ما ينصح NIST بخلافه؛ غيّرها عند وجود دليل على الاختراق.
الأسئلة الشائعة
كم ينبغي أن يبلغ طول كلمة المرور؟
يضع المنشور NIST SP 800-63B حدًّا أدنى قدره 8 رموز لكلمة المرور التي يختارها المستخدم، ويلزم جهات التحقّق بالسماح بـ 64 على الأقل. أما لكلمة المرور المولَّدة فالطول هو الرافعة الأهمّ: فعند مجموعة قوامها 76 رمزًا يضيف كل رمز إضافي نحو 6.2 بت من الإنتروبيا، أي أن فضاء البحث يتضاعف مع كل رمز تقريبًا.
ما هي إنتروبيا كلمة المرور بالبتات؟
هي اللوغاريتم بالأساس 2 لعدد كلمات المرور التي كان بوسع المولّد إنتاجها: الطول x log2(حجم المجموعة). فكلمة مرور من 20 رمزًا مسحوبة من مجموعة قوامها 76 رمزًا تحمل 20 x log2(76) = 125 بتًا. وكل بت إضافي يضاعف عدد المرشّحات التي على المهاجم اختبارها.
هل يزيد خلط أنواع الرموز قوة كلمة المرور؟
إنه يوسّع المجموعة فيرفع الإنتروبيا لكل رمز — لكن أقلّ بكثير مما يفعله الطول، ويوصي المنشور NIST SP 800-63B صراحةً جهات التحقّق بألّا تفرض قواعد تركيب تشترط مثل هذا الخلط. فعبارة مرور طويلة من فئة واحدة تتفوّق على كلمة قصيرة من أربع فئات.
هل تُرسَل كلمة المرور إلى أي جهة؟
لا. فهي تُولَّد داخل متصفّحك من مصدر العشوائية الآمن تعميًا في نظام التشغيل، وهذه الحاسبة مستثناة تحديدًا من نشر النتائج الذي يغذّي بقية ميزات الموقع، ولذلك لا تُرسَل ولا تُسجَّل أبدًا.
هل ينبغي أن أغيّر كلمات مروري بانتظام؟
ينصح المنشور NIST SP 800-63B بعدم التغيير الدوري الاعتباطي، على أساس أنه يدفع الناس إلى تنويعات يمكن التنبؤ بها. لكنه يوجب التغيير عند وجود دليل على اختراق بيانات الاعتماد. وكلمات المرور المتفرّدة لكل موقع، محفوظةً في مدير كلمات مرور، أنفع من أي جدول تدوير.
المراجع
- Grassi PA, Garcia ME, Fenton JL. NIST Special Publication 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management. National Institute of Standards and Technology, 2017 (with subsequent errata). Section 5.1.1 on memorized secrets.
- Shannon CE. A Mathematical Theory of Communication. Bell System Technical Journal 1948; 27(3): 379-423 — entropy as a measure of uncertainty.
- World Wide Web Consortium. Web Cryptography API — Crypto.getRandomValues(), the cryptographically strong random source used here. w3.org.
- National Cyber Security Centre (UK). Password policy: updating your approach. ncsc.gov.uk.