تزداد مقاومة كلمة المرور لهجمات التخمين العشوائي مع كل حرف إضافي، وليس مع كل نوع مختلف من الأحرف المُضافة. قد تكون كلمة مرور مكونة من 20 حرفًا صغيرًا أصعب اختراقًا من كلمة مرور مكونة من 8 أحرف تجمع بين الأحرف الكبيرة والأرقام والرموز. فالطول، وليس التنوّع، هو ما يُضاعف الاحتمالات المتاحة لمن يحاول تخمين كلمة المرور.
لا يختار معظم الناس رمزًا عشوائيًا عندما يتطلبه موقع ويب. يضيف الكثيرون علامة تعجب في النهاية، أو يستبدلون حرف "a" برمز "@"، أو يستبدلون حرف "s" بعلامة الدولار. لطالما تعرفت برامج اختراق كلمات المرور على هذه الأنماط وأدمجتها مباشرةً في قواميس هجماتها، لذا فإن اشتراط وجود رمز خاص قد يقلل من الأمان بدلًا من تعزيزه، إذ يجعل كلمة المرور قابلة للتنبؤ.
كما أن كلمات المرور القصيرة التي يُشترط أن تكون "معقدة" يصعب تذكرها. تدفع هذه المشكلة الكثيرين إلى كتابتها، أو حفظها في ملف غير مشفر، أو إعادة استخدامها في حسابات متعددة، وهي ثلاث عادات تجعلها أكثر عرضة للهجوم من مجرد حذف علامة النجمة. لهذه الأسباب تحديدًا، توقف المعهد الوطني للمعايير والتكنولوجيا (NIST) عن اشتراط مزيج من أنواع الأحرف في إرشاداته الخاصة بالهوية الرقمية.
- الرموز تُسبب احتكاكاً أكثر من كونها حماية
تتعامل كل منصة مع الأحرف الخاصة بشكل مختلف. فبعض الخدمات تقبل الفواصل والنقاط، بينما ترفضها أخرى ولا تسمح إلا بعلامة العطف (&) أو علامة التعجب (تعجب). أما أنظمة المؤسسات القديمة، مثل أجهزة AS/400 المركزية، فتفرض قيودًا خاصة بها لأن هذه الرموز كانت تحمل دلالات خاصة ضمن شفرتها البرمجية، مما يُعقّد استخدامها حتى اليوم في بيئات العمل.
وتتكرر المشكلة عند تغيير لوحة المفاتيح: فكتابة كلمة المرور نفسها باستخدام تخطيط لوحة المفاتيح الأمريكية أو البريطانية قد تُعطي نتائج مختلفة إذا كانت كلمة المرور تحتوي على أحرف معينة. تُؤدي هذه التناقضات إلى أخطاء تسجيل دخول متكررة، وتدفعك لاختيار كلمات مرور أبسط مما ينبغي، وهو عكس الهدف من قواعد التعقيد عند تصميمها. لا يُوفر هذا التعقيد أي ميزة إضافية ضد الهجمات، بل يُزيد من فرص ارتكاب الأخطاء.
تُفضّل المعايير الحالية، بما في ذلك إرشادات الهوية الرقمية الصادرة عن المعهد الوطني للمعايير والتكنولوجيا (NIST)، استخدام عبارات المرور: وهي عبارة عن سلاسل كلمات عشوائية تتكون من أربعة إلى ستة مصطلحات، ويبلغ طولها عادةً حوالي عشرين أو ثلاثين حرفًا. توفر عبارة مثل "sweet mocha apple rum" قدرًا كبيرًا من العشوائية، كما أنها أسهل بكثير في الكتابة والحفظ من سلسلة من الرموز.
لجعل هذه الكلمات غير قابلة للتنبؤ حقًا، تُستخدم طريقة "دايس وير" التي تعتمد على رمي النرد لاختيار كلمات من قائمة محددة مسبقًا، مثل قائمة الـ 7776 كلمة التي نشرتها مؤسسة الحدود الإلكترونية (EFF). تتضمن هذه العملية رمي النرد عدة مرات واستخدام مجموعة الأرقام الناتجة لتحديد كلمة معينة ضمن تلك القائمة، وتكرار العملية حسب الحاجة لتضمين الكلمات في العبارة النهائية. والنتيجة هي عبارة مرور مُولّدة بعشوائية تامة، أكثر مقاومة لهجمات القاموس من أي تركيبة تعتمد على التواريخ أو الأسماء أو العادات الشخصية التي قد تتذكرها.
- برامج إدارة كلمات المرور والمصادقة متعددة العوامل
يُعدّ تذكّر عشرات كلمات المرور الفريدة أمرًا غير واقعي لأي شخص. وهنا يأتي دور برامج إدارة كلمات المرور مثل Bitwarden، القادرة على إنشاء وتخزين كلمات مرور مختلفة لكل خدمة دون الحاجة إلى تذكّرها واحدة تلو الأخرى، وتعبئتها تلقائيًا عند تسجيل الدخول إلى كل منصة.
ليست هناك تعليقات:
إرسال تعليق