كيف تحسب الأداة القوة؟
تبدأ الأداة بحساب الإنتروبيا: عدد خانات كلمة المرور مضروباً في لوغاريتم عدد الرموز المحتملة في كل خانة. كلمة من 12 خانة تُختار عشوائياً من 94 رمزاً لها نحو 79 بتاً، أي أن عدد الاحتمالات يقارب 2 مرفوعة للقوة 79.
لكن الناس لا يختارون كلماتهم عشوائياً، فتفحص الأداة بعد ذلك الأنماط التي يجرّبها المخترق أولاً:
- كلمات شائعة: نقارن كلمتك بأشهر 200 كلمة مرور في قائمة NordPass لعام 2025، مع تجربة الإضافات البسيطة (أرقام في النهاية) واستبدال الحروف بالرموز مثل
@بدل a. - تسلسلات وتكرارات: مثل
abcو123وaaaaوabcabc. - مسارات لوحة المفاتيح: مثل
qwertyوما يقابلها في لوحة المفاتيح العربية. - السنوات: سنة في نهاية الكلمة، لأن تاريخ الميلاد من أكثر ما يُستعمل.
إذا وُجد نمط نعامله كوحدة واحدة بدل عدة خانات مستقلة، فينخفض التقدير، ثم نحسب منه زمن التخمين في سيناريوهين.
ماذا تعني سيناريوهات الهجوم؟
- هجوم عبر الإنترنت (100 محاولة في الثانية): المهاجم يجرّب الكلمات على صفحة تسجيل الدخول نفسها، والموقع يحدّ من المحاولات أو يحظر الحساب.
- هجوم دون اتصال (150 مليار محاولة في الثانية): المهاجم حصل على قاعدة بيانات مسرَّبة فيها كلمات المرور مشفَّرة، ويجرّبها على عتاد قوي بلا قيود. هذا هو السيناريو الأخطر، وفيه يظهر الفرق بين كلمة مرور قصيرة وطويلة.
تعتمد سرعة الهجوم الفعلية على طريقة تخزين الموقع لكلمات المرور؛ فالتجزئة البطيئة مثل bcrypt أو Argon2 تجعل الهجوم أبطأ بكثير من الرقم أعلاه. لا تعرف أنت أي طريقة يستخدمها كل موقع، ولهذا نعرض السيناريو الأسرع. والأرقام تقديرات من نموذج حسابي وليست ضماناً.
أمثلة تكشف الفرق بين "معقدة" و"قوية"
| كلمة المرور | متوسط وقت التخمين | ملاحظة |
|---|---|---|
| password | أقل من ثانية | من أشهر كلمات المرور؛ تُجرَّب فوراً |
| P@ssw0rd | أقل من ثانية | استبدال الحروف بالرموز حيلة معروفة |
| 8 أحرف عشوائية (أحرف وأرقام ورموز) | 6 ساعات | تبدو معقدة لكنها قصيرة |
| 12 حرفاً عشوائياً (أحرف وأرقام ورموز) | 50 ألف سنة | الطول يصنع الفرق |
| 4 كلمات عشوائية من قائمة 7776 كلمة | 3 ساعات | أضعف مما يظن كثيرون |
| 6 كلمات عشوائية من قائمة 7776 كلمة | 23 ألف سنة | عبارة مرور قوية وأسهل في الحفظ |
الدرس الأهم: P@ssw0rd تبدو معقدة لكنها من أول ما يجرّبه المخترق، بينما عبارة من ست كلمات عشوائية بلا أي رموز أقوى بكثير وأسهل في الحفظ. الطول والعشوائية أهم من التعقيد الظاهر.
حدود هذه الأداة
هذه أداة تقديرية مبسّطة وليست محرك كسر حقيقياً. فهي تقارن بأشهر 200 كلمة مرور وبأنماط عامة (تسلسلات وتكرارات ومسارات لوحة مفاتيح وسنوات)، ولا تملك قاموساً كاملاً للكلمات والأسماء. لذلك قد تبدو كلمة مبنية على كلمة عادية مع بدائل (مثل Tr0ub4dor&3) أقوى مما هي عليه فعلاً. وللعبارات المكوّنة من كلمات مفصولة نقدّر كل كلمة بنحو 13 بتاً. عند الشك اختر الأسلم: طولاً أكبر وعشوائية كاملة.
ولمعرفة هل ظهرت كلمة مرور في تسريبات حقيقية يمكنك استخدام خدمة Pwned Passwords، وهي تعتمد على إرسال أول 5 خانات من بصمة SHA-1 فقط، لا كلمة المرور نفسها.
كيف ترفع قوة كلمة مرورك؟
- اجعلها طويلة: 15 حرفاً على الأقل، و16 أو أكثر للحسابات المهمة.
- اتركها عشوائية بالكامل؛ لا تبنِها على كلمة أو اسم أو تاريخ.
- لا تعد استخدامها في أي حساب آخر.
- استخدم مولد كلمات المرور ومدير كلمات مرور بدل الحفظ في الذاكرة.
- فعّل التحقق بخطوتين، فهو يحمي حسابك حتى لو تسرّبت كلمة المرور.
المصادر
- NordPass, Most Common Passwords List (إصدار 2025)
- NIST, SP 800-63B-4
- Have I Been Pwned, Pwned Passwords