ما مدى القوة التي تحتاجها كلمة المرور فعليًا؟

تُقاس قوة كلمة المرور تقليديًا ببتات الإنتروبيا — أي تقريبًا عدد المحاولات التي يحتاجها مهاجم يعتمد التخمين الشامل قبل استنفاد كل الاحتمالات الممكنة، حيث تُضاعف كل بتة إضافية ذلك العدد. وتصل كلمة مرور عشوائية مسحوبة من مجموعة أحرف بحجم معقول إلى قوة — تتراوح بين 70 و80 بتة تقريبًا لكلمة مرور بطول يتراوح بين 14 و16 حرفًا — تتجاوز بمسافة مريحة ما يمكن أن يستنفده أي هجوم تخمين شامل ضد حساب محمي بشكل صحيح خلال إطار زمني عملي، سواء كان المهاجم يخمّن عبر الإنترنت ضد نموذج تسجيل دخول محدود المحاولات، أو دون اتصال ضد قاعدة بيانات كلمات مرور مسروقة ومجزّأة (hashed) بشكل صحيح. وبعد تجاوز هذه العتبة، فإن إضافة المزيد من بتات القوة النظرية لا تجعل كلمة المرور "أكثر مقاومة للتخمين الشامل" إلا بمعنى مجرد يتوقف عن أن يكون له أي أثر عملي، لأن التخمين الشامل لم يكن أصلًا التهديد الواقعي لكلمة مرور تقع بالفعل في ذلك النطاق.

تشير أبحاث الأمن السيبراني وتحليلات الاختراقات بعد وقوعها باستمرار إلى سبب مختلف وأقل بريقًا وراء الغالبية العظمى من عمليات الاستيلاء على الحسابات في الواقع: حشو بيانات الاعتماد (credential stuffing)، حيث يأخذ المهاجم قائمة أزواج بريد إلكتروني وكلمة مرور مسرَّبة من خدمة تعرضت للاختراق، ثم يجرّب الأزواج نفسها ببساطة على خدمات أخرى، معوّلًا على العادة الشائعة جدًا لإعادة استخدام كلمة المرور نفسها في عدة حسابات. وكلمة المرور القوية جدًا في ذاتها — بعشرات بتات الإنتروبيا ومسحوبة من مجموعة أحرف ضخمة — لا توفر أي حماية على الإطلاق ضد هذا الهجوم تحديدًا إذا أُعيد استخدامها في مكان آخر وتعرضت تلك الخدمة الأخرى للاختراق يومًا ما، لأن المهاجم لا يحاول تخمين كلمة المرور أصلًا؛ فهو يملكها بالفعل، حرفيًا، من تسريب مختلف تمامًا. وهذا بالضبط سبب أن تفرّد كلمة المرور بين الخدمات يُعد على الأرجح رافعة عملية أكبر لسلامة الحسابات في الواقع من قوة كلمة المرور الخام، وهي خلاصة تفاجئ من استوعبوا أن "اجعلها أقوى" هي كل ما تعنيه نصائح كلمات المرور.

يتفادى مدير كلمات المرور التوتر الكامل بين القوة وسهولة التذكر بإزالة الحاجة إلى تذكر معظم كلمات المرور أصلًا: فهو يستطيع توليد وتخزين كلمة مرور طويلة وعشوائية بالكامل وفريدة لكل حساب دون أن يطلب من إنسان تذكر أي منها، وهذا يغلق باب حشو بيانات الاعتماد كوسيلة هجوم على كل حساب يديره، إذ لا تتكرر أي كلمة مرور أبدًا وتسريب واحدة منها لا يكشف للمهاجم شيئًا يمكن استخدامه بشأن أي كلمة أخرى. ولهذا فإن التوصية العملية والصادقة للغالبية الساحقة من الحسابات عبر الإنترنت هي ببساطة استخدام مدير كلمات مرور وتركه يولّد كلمات مرور عشوائية بأقصى طول ممكن — أما مسألة القوة مقابل سهولة التذكر التي تُرهق معظم نصائح كلمات المرور بها نفسها، فتبقى مقايضة تصميم حقيقية فقط بالنسبة للحفنة الصغيرة من كلمات المرور التي لا يمكنها فعلًا أن تعيش داخل مدير، وأبرزها كلمة المرور الرئيسية للمدير نفسه وعبارات مرور تشفير القرص الكامل، وهذا بالضبط سبب بقاء عبارات المرور القابلة للتذكر والمبنية من كلمات قاموسية عشوائية أداة مفيدة تحديدًا لتلك الحالة الضيقة التي لا مفر منها فعلًا.

لسنوات طويلة، أوصت الإرشادات الرسمية الصادرة عن جهات مثل المعهد الوطني الأمريكي للمعايير والتقنية (NIST) بقواعد تعقيد إلزامية لكلمات المرور — مزيج مطلوب من الأحرف الكبيرة والصغيرة والأرقام والرموز — إلى جانب تغيير دوري إلزامي لكلمة المرور كل 60 أو 90 يومًا، وتبنّت المؤسسات كلا الأمرين على نطاق واسع كسياسة معيارية. لكن مراجعات لاحقة لهذه الإرشادات نفسها ألغت كلتا التوصيتين، استنادًا إلى أدلة على أنهما كانتا تأتيان بنتائج عكسية فعليًا في الواقع: فقواعد التعقيد الإلزامية تدفع الناس نحو أنماط استبدال يمكن توقعها ويأخذها قاموس أي مهاجم في الحسبان أصلًا (يتحول الرمز الإلزامي على الأرجح إلى "!" في النهاية، ويتحول الرقم الإلزامي على الأرجح إلى استبدال حرف "o" بـ"0")، والتغيير الدوري الإلزامي يدفع الناس نحو تعديلات صغيرة وتزايدية يمكن توقعها على كلمة مرور قائمة بدلًا من كلمات مرور جديدة فعلًا، مع إضافة احتكاك حقيقي يزيد بشكل ملحوظ من تكرار كتابة الناس لكلمات مرورهم أو إعادة استخدامها في مكان آخر بدافع الإحباط. وتركز الإرشادات الحالية بدلًا من ذلك على الطول، والتحقق من كلمات المرور الجديدة مقابل قوائم كلمات مرور معروف تسريبها، والتخلي عن التغيير الإلزامي لصالح التغيير فقط عند التأكد من اختراق حساب معين فعليًا — وهو تحول مدفوع بأدلة حول ما يحسّن الأمن الواقعي حقًا، لا ما يبدو صارمًا فقط في قائمة تحقق للامتثال.

بالنسبة لحساب عادي عبر الإنترنت محمي بمدير كلمات مرور: تتجاوز كلمة مرور عشوائية بالكامل من ستة عشر حرفًا على الأقل، مسحوبة من مجموعة أحرف كبيرة، بمسافة مريحة النقطة التي تصبح فيها القوة عاملًا محدِّدًا، والخطوة المهمة عمليًا هي فقط أن تكون فريدة لذلك الحساب بعينه. أما بالنسبة لكلمة مرور رئيسية أو عبارة تشفير يجب حفظها وكتابتها يدويًا: فإن عبارة مرور من خمس أو ست كلمات مسحوبة عشوائيًا من قائمة كلمات كبيرة تصل إلى قوة مماثلة لكلمة مرور أقصر مكونة من أحرف عشوائية، مع بقائها قابلة فعلًا للحفظ والكتابة بشكل موثوق، وهذه هي الحالة المحددة التي تكون فيها المقايضة بين الطول وسهولة التذكر حقيقية وتستحق تفكيرًا متأنيًا. أما بالنسبة لكل حساب بينهما، فإن العادة الأعلى تأثيرًا ليست القلق بشأن ما إذا كانت كلمة المرور قوية بما يكفي بشكل مجرد — بل التأكد من أنها ليست نفس كلمة المرور التي تحمي أي شيء آخر، لأن هذا هو نمط الفشل المسؤول فعليًا عن معظم حالات الاختراق الحقيقية.