دليل أمان كلمات المرور: أفضل الممارسات
إجابة سريعة
استخدم 16+ حرفاً مع أحرف كبيرة وصغيرة وأرقام ورموز. تجنب الكلمات الشائعة. استخدم مدير كلمات مرور. استخدم مولّد كلمات المرور المجاني — يستخدم crypto.getRandomValues، يولّد كلمات قوية في متصفحك.
مقدمة
كلمات المرور الآمنة تحتاج إنتروبيا عالية — 128 بت على الأقل. هذا يعني 16+ حرفاً عشوائياً من مجموعة كبيرة. تجنب الكلمات الشائعة والأسماء والتواريخ. مديرو كلمات المرور يولّدون ويخزنون كلمات مرور فريدة لكل خدمة، مما يلغي الحاجة لتذكرها.
خطوة بخطوة
-
إنشاء كلمة مرور عالية الإنتروبيا
استخدم مولد كلمة المرور لإنشاء كلمة مرور مكونة من 16+ حرفًا تمزج بين الأرقام العلوية والسفلية والأرقام والرموز. Entropy = log2(charsetSize^length); أبجدية مكونة من 16 حرفًا مكونة من 94 رمزًا تعطي ~105 بت، وهو أمر غير ممكن للقوة الغاشمة حتى عند 10^12 تخمينًا في الثانية.
-
لا تقم مطلقًا بإعادة استخدام كلمات المرور عبر الخدمات
إن إعادة استخدام كلمة مرور واحدة تعني أن حدوث خرق واحد يعرض كل حساب يشاركها للخطر. قم بإنشاء كلمة مرور فريدة لكل خدمة وقم بتخزينها في مدير كلمات المرور (Bitwarden، 1Password، KeePassXC). كلمة المرور الرئيسية هي الكلمة الوحيدة التي تحتاج إلى تذكرها —اجعلها عبارة مرور طويلة.
-
تجزئة كلمات المرور باستخدام KDF بطيء على الخادم
لا تقم أبدًا بتخزين كلمات المرور باستخدام MD5 أو SHA-1 أو SHA-256 الخام - فهي سريعة جدًا، ويمكن لوحدات معالجة الرسومات تجربة المليارات في الثانية. استخدم bcrypt مع عامل العمل 12+، أو scrypt مع N=2^17، أو Argon2id مع ذاكرة سعة 64 ميجابايت. تتميز ملفات KDF هذه بالبطء المتعمد والذاكرة الصعبة لهزيمة هجمات GPU/ASIC.
-
استخدم الملح لهزيمة طاولات قوس قزح
الملح عبارة عن قيمة عشوائية فريدة لكل كلمة مرور، يتم إضافتها مسبقًا أو دمجها قبل التجزئة. فهو يضمن أن كلمات المرور المتطابقة تنتج تجزئات مختلفة، مما يجعل جداول قوس قزح المحسوبة مسبقًا عديمة الفائدة. يقوم bcrypt وArgon2 بإنشاء الملح وتضمينه تلقائيًا — لا تقم بلف الملح بنفسك.
-
التدقيق على كلمات المرور المخترقة
قبل قبول كلمة المرور، تحقق منها مقابل Have I Been Pwned API باستخدام بروتوكول k-anonymity: أرسل فقط الأحرف الخمسة الأولى من تجزئة SHA-1، واحصل على قائمة باللاحقات المطابقة، وقارن محليًا. لن يكشف هذا مطلقًا عن كلمة المرور الكاملة لـ API.
أمثلة
كلمة مرور قوية تم إنشاؤها (16 حرفًا، ~105 بت إنتروبيا)
مدخل: الطول 16، جميع فئات الشخصيات
الإخراج: K9$mP2#vL7@nQ4!x (عشوائي، فريد، لا يُعاد استخدامه مطلقًا)
عبارة المرور لكلمة المرور الرئيسية (لا تنسى + قوية)
مدخل: 4 كلمات شائعة عشوائية
الإخراج: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
تجزئة bcrypt لكلمة المرور (عامل العمل 12)
مدخل: كلمة المرور 123 مع تكلفة bcrypt 12
الإخراج: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (الملح + التكلفة + التجزئة المضمنة)
المشاكل الشائعة
- استخدام MD5 أو SHA-256 لتجزئة كلمة المرور: كلاهما تجزئات سريعة. تحسب وحدة معالجة الرسومات الحديثة ما يقرب من 10 مليار SHA-256/s، مما يؤدي إلى كسر كلمة مرور مكونة من 8 أحرف في دقائق. استخدم دائمًا bcrypt أو scrypt أو Argon2id.
- إعادة استخدام كلمة مرور واحدة عبر المواقع: يؤدي اختراق أضعف موقع إلى تسريب كلمة المرور لكل موقع. إنشاء كلمات مرور فريدة وتخزينها في المدير.
- تخزين كلمات المرور في نص عادي أو تشفير قابل للعكس: إذا تسربت قاعدة البيانات، فسيتم اختراق كل حساب على الفور. التجزئة هي عملية أحادية الاتجاه ولا رجعة فيها، حتى أن الخادم لا يمكنه استرداد النسخة الأصلية.
- عامل العمل المنخفض في bcrypt: التكلفة 4 كانت جيدة في عام 2002؛ في عام 2026، تكلفة الاستخدام 12+ (حوالي 4096 تكرارًا). أعد التجزئة عند تسجيل الدخول لترقية التجزئة القديمة دون فرض إعادة تعيين كلمة المرور.
نصائح
- اهدف إلى الحصول على 100 بت على الأقل من الإنتروبيا للحسابات عالية القيمة، أي 16 حرفًا عشوائيًا من أبجدية مكونة من 94 رمزًا، أو 6 كلمات عشوائية.
- قم بتشغيل المصادقة الثنائية (TOTP أو مفتاح الجهاز) لكل حساب يدعمها - كلمة المرور القوية وحدها ليست كافية إذا تم تصيد كلمة المرور.
- استخدم خيار "استبعاد الأحرف الغامضة" الخاص بمولد كلمات المرور (0/O، 1/l/I) عندما تتم قراءة كلمات المرور بصوت عالٍ أو كتابتها من الطباعة.
- قم بتدوير كلمات المرور فقط بعد حدوث اختراق مؤكد، وليس وفقًا لجدول زمني محدد، فالتدوير القسري يدفع المستخدمين إلى أنماط يمكن التنبؤ بها مثل Spring2026!.