كم يستغرق كسر كلمة مرور؟

كل صفحة نصائح عن كلمات المرور تقول لك أن تمزج الحروف الكبيرة والأرقام والرموز. قليل جدًا منها يقول لماذا، أو كم تشتري كل خطوة فعلًا. الجواب عملية حسابية قصيرة، وما إن تراها حتى يصبح الخيار الصحيح واضحًا: الطول والعشوائية أهم بكثير من الاستبدالات الذكية.

يجري هذا المقال الحساب بأرقام حقيقية. الأزمنة أدناه هي ما يلزم لتجربة كل كلمة مرور ممكنة من نوع معين، بالسرعات التي تذكرها اختبارات الأداء العامة للعتاد الحالي.

كيف تُهاجَم كلمات المرور فعلًا

هناك حالتان مختلفتان جدًا. في الهجوم عبر الإنترنت يكتب شخص تخميناته في نموذج تسجيل الدخول. المواقع تبطئ ذلك، وتقفل الحسابات، وتطلب عوامل تحقق ثانية، فلا يحصل المهاجم إلا على بضعة تخمينات في الدقيقة ربما. تصمد أمام ذلك أي كلمة مرور تقريبًا ليست في قائمة الكلمات الشائعة.

الحالة الخطرة هي الهجوم دون اتصال. حين يُخترق موقع، يأخذ المهاجم نسخة من قاعدة بيانات كلمات المرور إلى بيته. يجب أن تُخزَّن كلمات المرور كقيم تجزئة، بصمات أحادية الاتجاه لا يمكن عكسها، فيجزّئ المهاجم تخميناته على عتاده ويقارن. لا أقفال ولا حدود للمعدل، فقط سرعة بطاقات الرسوميات لديه.

تلك السرعة تتوقف بشدة على خوارزمية التجزئة التي استخدمها الموقع. في اختبارات الأداء المنشورة، تختبر بطاقة رسوميات حالية واحدة عالية الأداء أكثر من 100 مليار تخمين في الثانية ضد تجزئة سريعة مثل MD5 أو NTLM، لكن أقل من 200,000 في الثانية ضد bcrypt، البطيئة عمدًا. لا يمكنك أن ترى أيها يستخدم الموقع، فمن الحكمة التخطيط للحالة السريعة.

الإنتروبيا: عدّ الاحتمالات

المقياس المفيد لكلمة المرور هو الإنتروبيا، وتُكتب بالبت. إنها اللوغاريتم للأساس 2 لعدد كلمات المرور التي كان يمكن أن تخرج من الطريقة التي استخدمتها. كل بت إضافي يضاعف عدد التخمينات التي يحتاجها المهاجم.

لكلمة مرور من حروف عشوائية الحساب سهل: عدد الحروف الممكنة مرفوعًا لقوة الطول. الحروف الصغيرة تعطي 26 خيارًا لكل حرف، فثمانية منها تعطي 26 أس 8، نحو 209 مليارات احتمال، أي 37.6 بت. واستخدام كل الحروف الـ94 القابلة للطباعة على لوحة المفاتيح (كبيرة وصغيرة وأرقام و32 رمزًا) يعطي 6.1 كوادريليون احتمال للحروف الثمانية نفسها، أي 52.4 بت.

لعبارة مرور من كلمات عشوائية، عُدّ الكلمات بدل الحروف. قائمة الكلمات الطويلة من EFF التي يستخدمها مولّد كلمات المرور لدينا فيها 7,776 كلمة، فكل كلمة تضيف نحو 12.9 بت. أربع كلمات تعطي 51.7 بت، وست كلمات تعطي 77.5 بت.

الأرقام

هذا هو الوقت اللازم لتجربة كل كلمة مرور ممكنة من كل نوع ببطاقة رسوميات واحدة. وفي المتوسط يجد المهاجم كلمة مرور معينة في نصف هذا الوقت.

أمران يبرزان. أولًا، الطول يتفوق على التنوع: 12 حرفًا صغيرًا (56.4 بت) تتفوق على 8 حروف من كل الأنواع (52.4 بت)، وكتابتها على الهاتف أسهل بكثير. ثانيًا، القفزة من «تُكسر في يوم» إلى «تُكسر في عمر الكون» تحدث خلال بضعة حروف إضافية أو كلمتين إضافيتين فقط، لأن الأرقام تنمو أُسيًّا.

لماذا كلمة مرورك أضعف مما يقوله الجدول

يفترض الجدول أن كلمة المرور اختيرت عشوائيًا. أما كلمات المرور التي يخترعها الناس فليست كذلك. أدوات الكسر تبدأ بقوائم من مليارات كلمات المرور المسربة، ثم تطبق قواعد تحاكي طريقة بنائها: كلمة، وحرف أول كبير، وسنة، وعلامة تعجب في النهاية، وحروف مستبدلة بأرقام تشبهها.

كلمة مرور مثل Summer2024! فيها 11 حرفًا من أربعة أنواع، فتبدو كأنها 72 بت. عمليًا هي فصل وسنة ورمز، وهجوم قائم على القواعد يجربها ضمن أول بضعة مليارات من التخمينات، وهذا يستغرق أقل بكثير من ثانية ضد تجزئة سريعة. وP@ssw0rd123 موجودة في كل قائمة. الطول المصنوع من أجزاء متوقعة يضيف القليل جدًا.

لهذا أيضًا قد تضلل مقاييس القوة في نماذج التسجيل. مقياس يعدّ أنواع الحروف يعطي Summer2024! العلامة الكاملة ولا يقيّم quietly-orbit-lantern-pebble-fossil أعلى منها، مع أن الثانية أقوى بكثير.

ما الذي يصنع كلمة مرور جيدة اليوم

• دع الحاسوب يختارها. حروف عشوائية أو كلمات عشوائية، من مدير كلمات مرور أو مولّد يستخدم مصدر العشوائية التشفيري في متصفحك.
• اختر 12 حرفًا على الأقل، أو 16 إن كنت لن تكتبها أبدًا. مدير كلمات المرور يملؤها عنك، فالطول لا يكلّف شيئًا.
• استخدم عبارة مرور حيث يجب أن تكتبها. خمس أو ست كلمات عشوائية طويلة لكنها سهلة الكتابة والتذكر، وهذا يناسب تسجيل الدخول إلى الحاسوب أو مدير كلمات المرور نفسه.
• لا تُعد استخدام كلمة مرور أبدًا. معظم عمليات الاستيلاء على الحسابات اليوم لا تكسر شيئًا: تجرب كلمات مرور مسربة من موقع على موقع آخر.
• فعّل عاملًا ثانيًا للبريد الإلكتروني والمصرف وكل ما يستطيع إعادة تعيين حسابات أخرى. يجعل كلمة المرور المسروقة عديمة الفائدة وحدها.

تبقى الرموز جديرة بالإدراج حين يسمح الموقع بها، لأنها ترفع عدد الخيارات لكل حرف. لكنها ببساطة ليست بديلًا عن الطول، ولا قيمة لها حين تظهر حيث يضعها الجميع.

كيف يعمل المولّد في هذا الموقع

يسحب مولّد كلمات المرور في Tooloat كل حرف أو كلمة من crypto.getRandomValues، مولّد الأرقام العشوائية التشفيري في المتصفح، ويعمل بالكامل على جهازك: لا يُرسل شيء مما تولّده إلى أي مكان. يُظهر إنتروبيا الطريقة التي اخترتها وثلاثة تقديرات للكسر، من هجوم عبر الإنترنت إلى عنقود كبير، لترى أثر كل إعداد قبل أن تنسخ النتيجة.

لمعظم الحسابات، الإعداد الافتراضي من 20 حرفًا عشوائيًا هو الجواب الصحيح. ولكلمة المرور الوحيدة التي تكتبها كل يوم، اختر عبارة المرور وخمس أو ست كلمات.