قوة كلمات المرور وسياساتها

رغم انتشار MFA والمصادقة دون كلمات مرور، تظل كلمات المرور أكثر عوامل المصادقة استخدامًا. وتُعد كلمة المرور الضعيفة أكثر نقاط الوصول الأولي شيوعًا في عمليات الاختراق.

تتميز كلمات المرور القوية بما يلي:

• الطول — يزيد استخدام 16 حرفًا أو أكثر الإنتروبيا بدرجة كبيرة
• التعقيد — مزيج من الأحرف الكبيرة والصغيرة والأرقام والرموز
• صعوبة التنبؤ — لا كلمات من القاموس أو أنماط لوحة المفاتيح أو معلومات شخصية
• التفرّد — كلمة مرور مختلفة لكل حساب

تقيس الإنتروبيا مدى صعوبة التنبؤ بالبتات. فعند استخدام كلمة مرور مكوّنة من 94 حرفًا قابلًا للطباعة وفق ASCII، يضيف كل حرف نحو 6.5 بتات. وتملك كلمة المرور المكوّنة من 16 حرفًا نحو 104 بتات من الإنتروبيا، ما يجعل كسرها بالقوة الغاشمة غير عملي.

الطول يتفوق على التعقيد: "correcthorsebatterystaple" > "P@ss1".

يعرف المهاجمون أن المستخدمين يختارون:

• كلمات من القاموس مع استبدالات بسيطة (p@ssw0rd)
• معلومات شخصية (تاريخ الميلاد، اسم الحيوان الأليف)
• أنماط لوحة المفاتيح (qwerty، 123456)
• اسم الشركة + السنة
• كلمة المرور نفسها في كل مكان

سياسات كلمات المرور الفعالة (وفقًا للمعيار NIST SP 800-63B):

• حد أدنى يبلغ 8 أحرف أو أكثر (ويُفضّل 12 حرفًا أو أكثر)
• التحقق من كلمات المرور ضمن قوائم كلمات المرور المعروفة في عمليات الاختراق
• عدم فرض التغيير الدوري الإلزامي المتكرر (لأنه يشجع على استخدام كلمات مرور ضعيفة)
• عدم فرض قواعد تعقيد عشوائية يتحايل عليها المستخدمون
• السماح باللصق لتمكين استخدام مديري كلمات المرور

ينشئ مدير كلمات المرور كلمات مرور قوية وفريدة ويخزنها لكل حساب خلف كلمة مرور رئيسية واحدة. ويزيل ذلك مشكلة إعادة استخدام كلمات المرور، وهي السبب الجذري لهجمات حشو بيانات الاعتماد.

من الخيارات الشائعة: Bitwarden (مفتوح المصدر)، و1Password، وKeePass، وDashlane.

تجمع عبارة المرور — وهي أربع كلمات عشوائية أو أكثر — بين سهولة التذكر والإنتروبيا العالية. وتُعد "TrafficLampFrogBridge" أكثر أمانًا من "T!@#k7" وأسهل بكثير في التذكر والكتابة.

في بيئات المؤسسات:

• فرض حد أدنى للطول عبر Group Policy / IdP
• حظر كلمات المرور شائعة الاستخدام (قائمة أفضل 100,000 كلمة)
• تمكين MFA لجميع الحسابات
• مراقبة أنماط رش كلمات المرور والقوة الغاشمة في السجلات
• استخدام LAPS لتدوير كلمات مرور المسؤول المحلي

تحتوي HaveIBeenPwned (HIBP)، التي أنشأها Troy Hunt، على مليارات من بيانات الاعتماد المسروقة. ويمكن للمؤسسات استخدام HIBP API لحظر كلمات المرور الموجودة في اختراقات معروفة.

يمكن للمستخدمين التحقق من بريدهم الإلكتروني على haveibeenpwned.com.

تتميز القياسات الحيوية (بصمة الإصبع والوجه) بسهولة الاستخدام، لكنها محدودة: فلا يمكن تغييرها إذا تعرضت للاختراق. ومن الأفضل استخدامها كعامل ثانٍ إلى جانب كلمة مرور قوية، لا كبديل عنها.

تحل مفاتيح المرور (FIDO2/WebAuthn) محل كلمات المرور باستخدام أزواج من المفاتيح المشفرة. ولا يغادر المفتاح الخاص الجهاز مطلقًا. وهي مصممة لمقاومة التصيد الاحتيالي، إذ لا توجد كلمة مرور لسرقتها. وقد اعتمدتها Apple وGoogle وMicrosoft.

وفقًا للمعيار NIST SP 800-63B، ما الممارسة الموصى بها لتحسين أمان كلمات المرور؟

تعتمد كلمات المرور القوية على الطول والتفرّد أكثر من اعتمادها على قواعد الأحرف المعقدة. ويحل مديرو كلمات المرور مشكلة إعادة الاستخدام. وتوصي إرشادات NIST بالتحقق من قواعد بيانات الاختراقات بدلًا من فرض التغيير المتكرر. وتمثل مفاتيح المرور (FIDO2) مستقبل المصادقة المقاوم للتصيد الاحتيالي.