أمن حساباتك: لماذا طول كلمة السر أهم من تعقيدها؟

كلمات السر: هل نظرتنا للأمان خاطئة؟

هل تتذكر تلك النصيحة القديمة: اجعل كلمة سرك معقدة، حروف كبيرة وصغيرة، أرقام، رموز؟ الكثير منا يتبعها، والمواقع نفسها تطلب ذلك، فنظن أن هذا هو الطريق الصحيح للأمان.

لكن، هل فكرت يوماً أن كلمة سر مثل 'P@ssw0rd!' قد تكون أضعف من جملة بسيطة وطويلة؟

مصطلح 'الجملة السرية' (Passphrase) ظهر في عام 1982 على يد Sigmund N. Porter، وهي سلسلة من الكلمات أو النصوص التي تتحكم في الوصول إلى الأنظمة والبرامج. تشبه كلمة السر (Password) في الاستخدام، لكنها أطول بشكل عام لزيادة الأمان.

كلمات السر التقليدية تكون قصيرة، من ستة إلى عشرة أحرف عادةً. قد تكون كافية في أنظمة تحد من محاولات التخمين عبر الإنترنت، مثل تسجيل الدخول إلى أنظمة الكمبيوتر أو بطاقات الصراف الآلي التي تتطلب رقم PIN. لكنها ليست آمنة عادةً للاستخدام كمفاتيح لأنظمة أمان مستقلة، مثل أنظمة التشفير التي تعرض البيانات لهجمات التخمين دون اتصال بالإنترنت.

الجمل السرية، من الناحية النظرية، أقوى. يجب أن تكون أطول بكثير، من 20 إلى 30 حرفاً أو أكثر. هذا يجعل بعض أنواع هجمات التخمين العشوائي (brute force) غير عملية على الإطلاق.

لماذا الطول هو المفتاح السري للأمان؟

المخترقون يستخدمون برامج متطورة تجرب ملايين الاحتمالات في الثانية الواحدة. كلما كانت كلمة السر أطول، احتاج المخترقون وقتاً أطول بكثير لتخمينها.

قوة الجملة السرية تُقاس بما يسمى 'الإنتروبيا' (Entropy). على سبيل المثال، قدرت NIST أن جملة سرية من 23 حرفاً مثل 'IamtheCapitanofthePina4' تحتوي على قوة 45 بت. لتحقيق قوة 80 بت، الموصى بها للأمان العالي (غير العسكري)، قد تحتاج الجملة السرية إلى 58 حرفاً، بافتراض أنها تتضمن حروفاً كبيرة وأرقاماً.

إذا كانت الكلمات أو مكونات الجملة السرية موجودة في قاموس لغوي، أو كانت اقتباساً معروفاً، فإنها تصبح أكثر عرضة لهجمات القاموس (dictionary attack). هذه الهجمات تستخدم قوائم ضخمة من الكلمات والعبارات لتخمين كلمة السر.

لكن، إذا كانت الجملة السرية تتكون من عدد كافٍ من الكلمات المختارة عشوائياً ومرتبة بترتيب عشوائي، يصبح الجهد المطلوب (الزمن والتكلفة) لهجوم القاموس مرتفعاً جداً لدرجة تجعله غير عملي. اختيار كلمة واحدة على الأقل لا توجد في أي قاموس يزيد من قوة الجملة السرية بشكل كبير.

عندما يختار البشر الجمل السرية، فإنهم غالباً ما يتأثرون بتكرار كلمات معينة في اللغة الطبيعية. ومع ذلك، فإن تشجيع المستخدمين على استخدام جمل سرية من كلمتين على الأقل يمكن أن يرفع قوة الأمان من أقل من 10 بت إلى أكثر من 20 بت.

كيف تختار جملة سرية قوية وسهلة التذكر؟

الجمل السرية، إذا اختيرت بعناية، يمكن أن تكون أسهل في التذكر من كلمات السر القصيرة والمعقدة دون الحاجة لكتابتها، مما يقلل من خطر السرقة المادية. ولكن، إذا لم تُحمَ الجملة السرية بشكل مناسب أو كُشفت، فلن يكون استخدامها أفضل من أي كلمة سر أخرى.

لهذا السبب، يُنصح بشدة بعدم إعادة استخدام الجمل السرية نفسها عبر المواقع والخدمات المختلفة.

إليكَ بعض النصائح لاختيار جملة سرية قوية: يجب أن تكون طويلة بما يكفي ليصعب تخمينها، ولا تكون اقتباساً مشهوراً من الأدب أو الكتب المقدسة، ويصعب تخمينها حتى من قبل شخص يعرفك جيداً، وفي الوقت نفسه سهلة التذكر والكتابة بدقة.

توصي مؤسسة الحدود الإلكترونية (Electronic Frontier Foundation) بتوليد الجمل السرية عن طريق اختيار كلمات متعددة بشكل عشوائي، بدلاً من استخدام الاقتباسات أو العبارات المتوقعة، لتحسين مقاومة هجمات التخمين.

دراسة أجراها باحثون من جامعة Cambridge في عام 2012 كشفت أن نسبة كبيرة من الجمل السرية التي يختارها المستخدمون يسهل تخمينها بسبب المراجع الثقافية الشائعة، مثل أسماء الأفلام أو الفرق الرياضية. لذا، اختر كلمات عشوائية!