مولّد كلمات المرور

قوة كلمة مرور عشوائية دالة لعدد كلمات المرور الممكنة الموجودة بالنظر إلى طولها ومجموعة أحرفها، وذلك الرقم ينمو أسيًّا مع الطول لكن خطيًا فقط مع حجم مجموعة الأحرف — إضافة موضع حرف واحد أكثر يُضاعف فضاء الاحتمالات الكلي، بينما إضافة نوع رمز مسموح واحد أكثر بالكاد يُحرِّكه. كلمة مرور من 20 حرفًا تستخدم فقط حروفًا صغيرة تستخرج من 26 احتمالًا لكل موضع عبر 20 موضعًا، مما ينتج تركيبات كلية أكثر بكثير من كلمة مرور من 8 أحرف مستخرَجة من مجموعة أغنى بكثير من 94 حرفًا ممكنًا (أحرف كبيرة وصغيرة وأرقام ورموز مجتمعة) لكن بـ8 مواضع فقط لوضعها. هذا السبب الرياضي وراء كون الطول العامل المهيمن في قوة كلمة المرور، ولماذا النصيحة طويلة الأمد بإضافة رموز وأحرف كبيرة مختلطة تهم أقل بكثير من مجرد جعل كلمة المرور أطول.

ليست كل مولّدات الأرقام العشوائية غير قابلة للتنبؤ بالتساوي. `Math.random()`، الدالة العشوائية عامة الغرض المُضمَّنة في JavaScript، مُصمَّمة للسرعة والتوزيع الإحصائي في أشياء مثل الرسوم المتحركة أو خلط لوحة لعبة — ليست مُصمَّمة لمقاومة مهاجم يحاول تحديدًا التنبؤ بإخراجها، وفي بعض التطبيقات يمكن إعادة بناء حالتها الداخلية جزئيًا من حفنة من الإخراجات المُلاحَظة. `crypto.getRandomValues()`، الواجهة التي تستخدمها هذه الأداة بدلًا من ذلك، تستخرج من مصدر الأرقام العشوائية التشفيري لنظام التشغيل — نفس المصدر الأساسي المستخدَم لتوليد مفاتيح التشفير — المبني والمُدقَّق تحديدًا لمقاومة بالضبط ذلك النوع من هجوم التنبؤ. استخدام أي شيء غير CSPRNG (مولّد أرقام شبه عشوائية آمن تشفيريًا) لإنشاء كلمات المرور ضعف حقيقي وقابل للاستغلال، لا نظري — عدة أخطاء منشورة لمولّدات كلمات مرور جاءت بالضبط من هذا الاستبدال.

تصف الإنتروبيا، مقاسة بالبت، كم محاولة سيحتاجها مهاجم لاختبار كل احتمال بشكل شامل قبل إيجاد الصحيحة — كل بت إضافي يُضاعف ذلك الرقم، لذا العلاقة أسية لا خطية، وقفزة من 60 إلى 70 بت تُمثِّل زيادة بألف ضعف في عبء عمل المهاجم، لا تحسنًا متواضعًا بعشر وحدات. تحت حوالي 50 بت، تصبح هجمات القوة الغاشمة المستمرة باستخدام أجهزة حديثة ممكنة حقًا ضمن إطار زمني عملي. يُعتبَر نطاق 70-80 بت مريحًا لكلمة مرور عادية تحمي حسابًا نموذجيًا عبر الإنترنت. فوق 100 بت أبعد بارتياح مما يمكن لأي جهد حوسبة يُمكن تصوره حاليًا استنفاده، وهذا لماذا يرتكز كل من إرشادات هذه الأداة ومقياس قوتها حول هذه العتبات المحددة بدلًا من توصية غامضة بـ"اجعلها أقوى".