فحص قوة كلمة المرور

كيفية فحص كلمة المرور

1. اكتب كلمة المرور أو الصقها في كلمة المرور المراد اختبارها. يُخفي الحقل ما تكتبه، فاضغط إظهار لرؤيته وإخفاء لإخفائه مجددًا.
2. تظهر النتيجة أثناء الكتابة. يمتد شريط القوة من 0 (ضعيفة جدًا) إلى 4 (قوية جدًا).
3. اقرأ جدول الوقت التقديري للاختراق: يعطي مدة لكل سيناريو من أربعة سيناريوهات هجوم، من موقع يحدّ من محاولات تسجيل الدخول إلى قاعدة بيانات مسروقة تُهاجم ببطاقات الرسوميات.
4. راجع نقاط الضعف والنصائح. يسمّي هذا القسم المشكلة التي وجدها الفاحص (كلمة مرور شائعة، نمط على لوحة المفاتيح، تاريخ، تسلسل مكرر…) ويقترح طريقة لإصلاحها. ملاحظة: هذه النصائح تُعرض باللغة الإنجليزية، لأن المكتبة لا توفر ترجمة عربية لها.

تُحلَّل كلمة المرور داخل هذه الصفحة فقط، ولا تُرسل أو تُحفظ أو تُسجَّل أبدًا، ويُفرَّغ الحقل عند مغادرة الصفحة. ومع ذلك، فالعادة الأكثر أمانًا هي اختبار كلمة مرور تشبه كلمتك لا كلمتك الحقيقية.

كيف تُحسب الدرجة

تستخدم هذه الأداة zxcvbn، وهي أداة مفتوحة المصدر لتقدير قوة كلمات المرور طُوّرت أصلًا في Dropbox (وهنا بنسختها المصانة بلغة TypeScript، أي zxcvbn-ts). فبدلًا من عدّ الأحرف الكبيرة والرموز، تفكر كما يفكر من يكسر كلمات المرور. تقسّم كلمة المرور إلى أجزاء وتبحث عن الأنماط التي يجرّبها المهاجمون أولًا:

• أكثر كلمات المرور المسرّبة شيوعًا، والأسماء الأولى وأسماء العائلات، والكلمات الإنجليزية والفرنسية المتداولة، بما في ذلك الكلمات المعكوسة واستبدالات «l33t» مثل p@ssw0rd؛
• المسارات على لوحة المفاتيح مثل qwerty أو azerty أو 1qaz2wsx؛
• الأحرف المكررة (aaaa) والكتل المكررة (abcabc) والتسلسلات (abcd و9876)؛
• التواريخ والسنوات الحديثة.

القواميس المضمّنة إنجليزية وفرنسية فقط. لذلك لا تتعرف الأداة على الكلمات العربية الشائعة، ولا على الكلمات العربية المكتوبة بحروف لاتينية مثل habibi، ما لم تكن ضمن قوائم كلمات المرور المسرّبة. وقد تحصل كلمة مرور مبنية على كلمة عربية مألوفة على درجة أعلى مما تستحق، فلا تعتمد على الدرجة وحدها في هذه الحالة.

ثم تقدّر الأداة عدد التخمينات التي يحتاجها المهاجم للعثور على كلمة المرور كاملة، ويُعرض ذلك في عدد التخمينات التقديري. وتتبع الدرجة هذا العدد: أقل من ألف تخمين تعطي 0، وأقل من مليون 1، وأقل من 100 مليون 2، وأقل من 10 مليارات 3، وما فوق ذلك 4.

سيناريوهات الهجوم الأربعة

تُحسب أوقات الاختراق بقسمة عدد التخمينات التقديري على سرعة كل هجوم:

الهجوم عبر الإنترنت يعني أن أحدهم يكتب تخميناته في نموذج تسجيل الدخول. أما الهجوم دون اتصال فيحدث بعد تسريب بيانات، عندما يملك المهاجم نسخة من تجزئات كلمات المرور المخزّنة ويستطيع تجربة التخمينات على أجهزته. والسطر الأخير هو أسوأ الحالات، وهو الذي يجب مراقبته لكلمات المرور التي تحمي البريد الإلكتروني أو الحساب المصرفي أو مدير كلمات المرور. والأوقات متوسطات: قد يحالف الحظ المهاجم قبل ذلك.

تقدير الإنتروبيا

تقدير الإنتروبيا هو الرقم الكلاسيكي لهجوم القوة الغاشمة: الطول × log2(حجم المجموعة)، والمجموعة هي مجموع أنواع الأحرف المستخدمة (26 حرفًا صغيرًا، و26 كبيرًا، و10 أرقام، و33 رمزًا، و100 للأحرف الأخرى مثل الأحرف العربية أو المشكّلة أو الرموز التعبيرية). تحصل Qwerty123! على نحو 66 بت بهذه المعادلة، لكن zxcvbn يعطيها 0 (ضعيفة جدًا) لأنها صف من لوحة المفاتيح متبوع بلاحقة شائعة. والإنتروبيا لا معنى لها إلا لكلمات المرور المختارة عشوائيًا، كتلك التي ينشئها مولّد كلمات مرور، أما كلمات المرور التي يخترعها البشر فاعتمد فيها على الدرجة وأوقات الاختراق.