باختصار: الطول أهم من التعقيد — تفضّل إرشادات NIST الحالية لكلمات المرور (SP 800-63B) صراحة عبارات المرور الطويلة على مجموعات الرموز/الأرقام المفروضة، وتوصي بالتحقق من قوائم كلمات المرور المخترَقة المعروفة بدلًا من انتهاء صلاحية كلمات المرور وفق جدول زمني. اقرن هذا الدليل مع Character Counter وText Encryption وDuplicate Finder وAI Hidden Characters.
تدور قوة كلمة المرور أساسًا حول الإنتروبيا — كم عدد المحاولات التي يحتاجها المهاجم في المتوسط — ويزيد الطول الإنتروبيا أسّيًا، بينما إضافة رمز إلزامي يزيدها خطيًا فقط.
لماذا يفوق الطول قواعد التعقيد
تنمو مساحة البحث لكلمة المرور مع حجم مجموعة الأحرف مرفوعًا لأس طولها: كلمة مرور من 8 أحرف صغيرة فقط لديها حوالي 26⁸ (~2×10¹¹) تركيبة ممكنة، لكن عبارة مرور من 16 حرفًا صغيرًا فقط لديها 26¹⁶ — أكبر بعدة رتب من حيث الحجم — رغم استخدامها مجموعة أحرف أصغر وأبسط. هذا هو السبب الرئيسي وراء توصية NIST SP 800-63B بعبارات مرور طويلة بدلًا من سلاسل قصيرة ومعقدة: أربع كلمات عشوائية غير مترابطة أسهل في التذكر وأصعب في الاختراق بالقوة الغاشمة من "P@ssw0rd1!".
ما توقفت NIST فعليًا عن التوصية به
يُثبَّط الآن صراحة اثنتان من "أفضل الممارسات" طويلة الأمد في إرشادات NIST الحالية: الانتهاء الدوري الإلزامي لصلاحية كلمات المرور (الذي يميل إلى جعل الناس يختارون كلمات مرور أضعف وأكثر قابلية للتنبؤ عند إجبارهم على تغييرها كثيرًا — نمط شائع هو زيادة رقم في النهاية)، وقواعد التعقيد المفروضة التي تتطلب فئات أحرف محددة، والتي تدفع نحو استبدالات قابلة للتنبؤ (@ بدلًا من a، 0 بدلًا من o) تأخذها قواميس المهاجمين بعين الاعتبار بالفعل. التوصية الحالية بدلًا من ذلك هي: السماح بكلمات مرور طويلة (64+ حرفًا)، عدم فرض تعقيد اعتباطي، والتحقق من كلمات المرور الجديدة مقابل قوائم بيانات الاعتماد المخترَقة المعروفة.
لماذا يهم التحقق من قوائم الاختراقات أكثر من مقياس القوة
يمكن أن تملك كلمة مرور إنتروبيا نظرية عالية — طويلة، تبدو عشوائية، أحرف كبيرة وصغيرة مختلطة — وتظل خطيرة إذا ظهرت في اختراق بيانات معروف، لأن المهاجمين يستخدمون هذه القوائم المسرَّبة كمحاولة أولى، لا القوة الغاشمة. لهذا توجد خدمات مثل واجهة برمجة تطبيقات كلمات المرور من Have I Been Pwned: التحقق من كلمة مرور جديدة مقابل قوائم اختراقات معروفة يكشف خطرًا حقيقيًا لا يمكن لتقدير قوة عام، يقيس فقط العشوائية النظرية، رؤيته.
نهج عملي
- استخدم عبارة مرور من 4+ كلمات غير مترابطة، أو سلسلة عشوائية من 16+ حرفًا، بدلًا من واحدة قصيرة ومعقدة.
- لا تُعِد استخدام كلمة مرور أبدًا عبر مواقع متعددة — يصبح اختراق خدمة واحدة هجومًا على كل حساب يستخدم نفس كلمة المرور.
- تحقق من كلمات المرور الجديدة مقابل قوائم اختراقات معروفة بدلًا من الثقة فقط بمقياس "قوة" مرئي.
- استخدم مدير كلمات مرور لتوليد وتخزين كلمات مرور فريدة لكل موقع — يتوقف الطول والتفرد عن كونهما عبئًا على الذاكرة بمجرد أن تتوقف عن حفظهما.
- غيّر كلمة المرور فقط عندما يوجد سبب محدد (اختراق مشتبه به)، لا وفق جدول زمني اعتباطي.
أخطاء شائعة يجب تجنبها
- إعطاء الأولوية لتعقيد الرموز/الأرقام على الطول الخام — يساهم الطول بإنتروبيا أكبر بكثير لكل حرف مضاف.
- إعادة استخدام كلمة مرور قوية عبر حسابات متعددة، ما يُبطل الهدف في اللحظة التي يُخترَق فيها موقع واحد.
- الثقة بكلمة مرور لأنها "تبدو عشوائية" دون التحقق مما إذا كانت تظهر في اختراق معروف.
- تغيير كلمات المرور وفق جدول زمني ثابت من باب العادة — تُثبِّط إرشادات NIST الحالية صراحة هذه الممارسة.
كلمة المرور القوية اليوم هي طويلة وفريدة — مُتحقَّق منها مقابل اختراقات معروفة، لا سلسلة تفرضها قواعد تعقيد اعتباطية تجعلها غالبًا أصعب في التذكر من دون أن تجعل تخمينها أصعب.