كلمة مرور قوية: كيف تقيس قوتها بالأرقام ولماذا الطول أهم من الرموز
كلمة مرور قوية اليوم تعني كلمة طويلة وعشوائية ولا تتكرر في أي حساب آخر. الطول هو العامل الأهم: 16 حرفاً صغيراً عشوائياً (75 بت) أقوى من 12 حرفاً فيها أرقام ورموز وحروف كبيرة (71.5 بت لو كانت من 62 رمزاً).
ووكالة الأمن السيبراني الأمريكية CISA توصي بـ16 حرفاً على الأقل، والمعيار الأمريكي NIST صار يشترط 15 حرفاً لكلمة المرور التي تحمي الحساب وحدها.
👈 إن أردت الجواب مباشرة، استخدم مولد كلمات المرور، واختر طولاً لا يقل عن 16.
المعادلة: كيف تُقاس قوة كلمة المرور؟
القوة تُقاس بعدد الاحتمالات التي يجب على المهاجم تجربتها. ونعبّر عنها بوحدة البت، وتسمى «الإنتروبيا»:
الإنتروبيا (بت) = طول كلمة المرور × log2(عدد الرموز المتاحة)
وعدد الاحتمالات الكلي = 2 أس الإنتروبيا. كل بت إضافي يضاعف عدد التخمينات اللازمة.
عدد الرموز المتاحة حسب نوعها:
- حروف إنجليزية صغيرة فقط: 26 رمزاً، أي 4.70 بت لكل حرف.
- صغيرة وكبيرة وأرقام: 62 رمزاً، أي 5.95 بت لكل حرف.
- كل الرموز المطبوعة على لوحة المفاتيح الإنجليزية: 94 رمزاً، أي 6.55 بت لكل حرف.
- أرقام فقط: 10، أي 3.32 بت لكل رقم.
شرط مهم: المعادلة صحيحة فقط إذا كانت كلمة المرور مولّدة عشوائياً. كلمة مثل Riyadh@2024 فيها 11 رمزاً من 94، فالمعادلة تعطيها 72 بت، لكن قوتها الحقيقية أقل بكثير، لأن اسم مدينة وسنة ورمز @ أول ما يجربه المهاجم.
أمثلة محلولة
كلمة من 8 رموز مقابل 16 حرفاً صغيراً
كلمة عشوائية من 8 رموز من الـ94: 8 × 6.55 = 52.4 بت.
كلمة عشوائية من 16 حرفاً صغيراً فقط: 16 × 4.70 = 75.2 بت.
الثانية أقوى بـ23 بت تقريباً، أي أن عدد احتمالاتها أكبر بنحو 8 ملايين مرة (2 أس 23). وهي أسهل في الكتابة على الجوال.
ماذا يعني هذا بالوقت؟
لنفترض للتوضيح فقط مهاجماً يجرب مليار تخمين في الثانية على نسخة مسروقة من قاعدة بيانات. السرعة الحقيقية تختلف كثيراً حسب طريقة حفظ الموقع لكلمات المرور، لكن المقارنة هي المهم:
- 8 حروف صغيرة (37.6 بت): نحو 3.5 دقيقة لتجربة كل الاحتمالات.
- 8 رموز من 94 (52.4 بت): نحو 69 يوماً.
- 12 رمزاً من 94 (78.7 بت): نحو 15.6 مليون سنة.
انظر الفرق بين السطر الثاني والثالث: 4 رموز إضافية نقلتنا من شهرين إلى ملايين السنين.
لماذا الطول يغلب التعقيد
خذ كلمة عشوائية من 12 حرفاً صغيراً: 12 × 4.70 = 56.4 بت.
الخيار الأول: أبقِ الطول 12 واستعمل الـ94 رمزاً كلها. تصبح 78.7 بت، أي زيادة 22.3 بت.
الخيار الثاني: أبقِ الحروف صغيرة وأضف 5 حروف فقط (17 حرفاً). تصبح 17 × 4.70 = 79.9 بت، أي زيادة 23.5 بت.
النتيجة متقاربة، لكن الخيار الثاني أسهل في الحفظ والكتابة. ولهذا تقول NIST صراحة إن الطول هو العامل الأساسي في قوة كلمة المرور، وألغت اشتراط خلط أنواع الرموز.
عبارة مرور من كلمات عشوائية
عبارة المرور (Passphrase) مجموعة كلمات غير مترابطة، مثل qamar-sahra-kitab-nahr-burj.
لو اخترت الكلمات عشوائياً (بالنرد أو بمولّد) من قائمة فيها 7,776 كلمة، فكل كلمة تعطي log2(7,776) = 12.9 بت:
- 4 كلمات: 51.7 بت.
- 5 كلمات: 64.6 بت.
- 6 كلمات: 77.5 بت، أي في مستوى 12 رمزاً عشوائياً من 94.
ورأيي: 6 كلمات عشوائية أسهل في الحفظ من k#9Lq!2vZ@x7، وبنفس القوة تقريباً.
جدول مرجعي: قوة كلمات المرور العشوائية
| النوع | الطول | الإنتروبيا (بت) |
|---|---|---|
| أرقام فقط (PIN) | 6 | 19.9 |
| حروف صغيرة | 8 | 37.6 |
| 94 رمزاً | 8 | 52.4 |
| حروف صغيرة | 12 | 56.4 |
| حروف وأرقام (62) | 12 | 71.5 |
| 94 رمزاً | 12 | 78.7 |
| حروف صغيرة | 16 | 75.2 |
| 94 رمزاً | 16 | 104.9 |
| حروف وأرقام (62) | 20 | 119.1 |
| عبارة من 4 كلمات (من 7,776) | 4 كلمات | 51.7 |
| عبارة من 6 كلمات (من 7,776) | 6 كلمات | 77.5 |
القيم مقرّبة لمنزلة عشرية واحدة، وتنطبق فقط على كلمات المرور المولّدة عشوائياً.
ماذا تقول الجهات الرسمية؟
NIST الأمريكي (SP 800-63B، المراجعة الرابعة 2025):
- 15 حرفاً على الأقل لكلمة المرور التي تُستخدم وحدها، و8 على الأقل إذا كانت جزءاً من تحقق متعدد العوامل.
- على المواقع أن تسمح بطول 64 حرفاً على الأقل.
- لا يُشترط خلط الحروف الكبيرة والأرقام والرموز.
- لا يُطلب تغيير كلمة المرور دورياً، بل عند وجود دليل على اختراقها.
- تُفحص كلمة المرور الجديدة مقابل قائمة بالكلمات الشائعة والمسرّبة وتُرفض إن وُجدت فيها.
CISA الأمريكية: كلمة المرور القوية طويلة (16 حرفاً على الأقل)، وعشوائية، وفريدة لكل حساب. وتقترح عبارة من 4 إلى 7 كلمات غير مترابطة، ومدير كلمات مرور لحفظها.
المركز الوطني البريطاني للأمن السيبراني NCSC: يوصي بطريقة «ثلاث كلمات عشوائية»، وينبّه إلى أن استبدال الحروف بأشباهها (0 مكان o) لا يضيف قوة تُذكر لأن المهاجمين يعرفون هذه الحيلة.
الفرق بين ثلاث كلمات عند NCSC وأربع إلى سبع عند CISA مفهوم. ثلاث كلمات تكفي لحساب عادي عليه تحقق بخطوتين. أما بريدك الأساسي وكلمة مدير كلمات المرور، فخذ لهما 5 كلمات أو أكثر.
ثلاث عادات أهم من قوة الكلمة نفسها
1. لا تكرر كلمة المرور أبداً
أقوى كلمة مرور تسقط إذا سُرّبت من موقع واحد واستعملتها في عشرة. المهاجمون يجربون الكلمات المسرّبة على المواقع الأخرى تلقائياً. كلمة لكل حساب، بلا استثناء.
2. استعمل مدير كلمات المرور
لن تحفظ 80 كلمة عشوائية، ولا أحد يطلب منك ذلك. مدير كلمات المرور يولّدها ويحفظها ويملؤها، وأنت تحفظ كلمة واحدة فقط: كلمته الرئيسية. وهذه اجعلها عبارة طويلة من كلمات عشوائية.
ومن مزاياه أنه لا يملأ كلمة المرور في موقع مزيّف لا يطابق عنوانه الموقع الأصلي، وهذا يحميك من بعض رسائل التصيد.
3. فعّل التحقق بخطوتين (2FA)
التحقق بخطوتين يطلب شيئاً ثانياً بعد كلمة المرور: رمزاً من تطبيق، أو بصمة، أو مفتاح أمان. فإن سُرقت كلمتك، يبقى الحساب مغلقاً. وتوصي CISA بتفعيله أولاً على البريد والحسابات البنكية والتواصل الاجتماعي.
تطبيق المصادقة أفضل من رسائل SMS، والمفاتيح الأمنية ومفاتيح المرور (Passkeys) أفضل من الاثنين لأنها تقاوم التصيد.
أخطاء شائعة
الاعتماد على الرموز بدل الطول. P@ss1! فيها كل أنواع الرموز وطولها 6 فقط. ضعيفة مهما بدت معقدة.
استبدال الحروف بأشباهها. S@lm@n2024 ليست أقوى فعلياً من salman2024. برامج التخمين تجرب هذه البدائل أولاً.
استعمال معلومات شخصية. اسمك، اسم ابنك، رقم سيارتك، سنة ميلادك، فريقك المفضل. كلها تظهر في حساباتك على التواصل الاجتماعي.
تكرار كلمة واحدة مع تعديل بسيط. Ahmed2024 في موقع وAhmed2025 في آخر. المهاجم يجرب هذا النمط.
اختيار كلمات العبارة بنفسك. «أحب القهوة صباحاً» جملة لها معنى، فهي أسهل في التخمين من كلمات اختارها مولّد عشوائي.
تغيير كلمة المرور كل شهر بلا سبب. هذا يدفع الناس لأنماط متوقعة مثل إضافة رقم في النهاية. غيّرها عند الاشتباه بتسريب فقط.
أسئلة شائعة
كم حرفاً تحتاج كلمة المرور القوية؟
16 حرفاً على الأقل حسب CISA، و15 كحد أدنى حسب NIST لكلمة المرور التي تحمي الحساب وحدها. وأنصح بـ20 فأكثر إن كنت تستخدم مدير كلمات مرور، فالطول لن يكلفك شيئاً.
هل الرموز مثل @ و# ضرورية؟
ليست ضرورية. NIST لم يعد يشترط خلط أنواع الرموز. هي تضيف قوة إن كانت عشوائية، لكن زيادة الطول تعطي نفس الأثر بجهد أقل.
ما معنى 80 بت؟
تعني أن عدد الاحتمالات 2 أس 80، أي أكثر من مليون مليار مليار احتمال. كل بت إضافي يضاعف العدد.
هل كتابة كلمة المرور على ورقة خطأ؟
ليس بالضرورة. NCSC يقبل ذلك إذا حفظت الورقة في مكان آمن بعيداً عن الجهاز. الخطر الأكبر هو تكرار كلمة واحدة في كل المواقع.
هل يمكن استعمال كلمات عربية في عبارة المرور؟
يمكن كتابتها بحروف إنجليزية مثل qamar وnahr، بشرط أن تختارها عشوائياً لا أن تكوّن جملة. أما الحروف العربية نفسها فبعض المواقع والأجهزة لا تقبلها، فجرّب قبل الاعتماد عليها.
هل مدير كلمات المرور آمن إذا اختُرق؟
يبقى خياراً أفضل من تكرار كلمة واحدة. احمه بعبارة مرور طويلة لا تستعملها في أي مكان آخر، وفعّل عليه التحقق بخطوتين.
كم مرة يجب تغيير كلمة المرور؟
عند الاشتباه بتسريبها، أو إذا أبلغك الموقع بحادثة اختراق. التغيير الدوري الإجباري لم يعد موصى به في معيار NIST.
أنا مطور، كيف أطبق هذه الشروط في نموذج التسجيل؟
اشترط الطول فقط (15 أو 16 حرفاً فأكثر)، واسمح بـ64 حرفاً على الأقل، واسمح باللصق حتى يعمل مدير كلمات المرور. ويمكنك تجربة نمط فحص الطول في مختبر التعابير النمطية.
الخلاصة
قوة كلمة المرور = الطول × log2(عدد الرموز)، والطول هو الذي يصنع الفرق. اجعلها 16 حرفاً عشوائياً على الأقل، أو عبارة من 5 إلى 6 كلمات عشوائية.
ولا تكررها في أي حساب، واحفظها في مدير كلمات مرور، وفعّل التحقق بخطوتين على كل حساب مهم.
ولّد كلمتك الآن من مولد كلمات المرور، وبقية أدوات المطورين في أدوات المطورين.
