كيف أنشئ كلمة مرور قوية: الطول وعبارات المرور والمصادقة متعددة العوامل

كلمة المرور القوية طويلة وعشوائية وخاصة بحساب واحد فقط. تفضّل إرشادات الحكومة الأمريكية الحالية الطول على التعقيد: توصي وكالة CISA بما لا يقل عن 16 حرفاً، مثل سلسلة عشوائية يولّدها مدير كلمات المرور، أو عبارة مرور مكونة من 5 إلى 7 كلمات لا رابط بينها.

الطول والتفرّد أهم بكثير من استبدال الحروف برموز. أضف المصادقة متعددة العوامل (MFA) إلى حساباتك المهمة، وستبقى محمياً حتى لو تسرّبت كلمة المرور.

إجابة سريعة

• اجعلها طويلة: استهدف 16 حرفاً على الأقل. كلما زاد الطول زادت القوة.
• اجعلها فريدة: استخدم كلمة مرور مختلفة لكل حساب.
• اجعلها عشوائية: دع مدير كلمات المرور يولّدها، أو استخدم 5 إلى 7 كلمات لا رابط بينها كعبارة مرور.
• تجاهل القواعد القديمة: لا تحتاج إلى رموز إجبارية أو تغيير كلمة المرور بانتظام. غيّرها عندما يُحتمل أنها انكشفت.
• استخدم مدير كلمات المرور لإنشاء كلمات المرور وتخزينها وتعبئتها.
• فعّل المصادقة متعددة العوامل للبريد الإلكتروني والحسابات المصرفية والصحية وغيرها من الحسابات المهمة.

ما الذي يجعل كلمة المرور قوية؟

نادراً ما يخمّن المهاجمون كلمات المرور يدوياً. فهم يستخدمون برامج تجرّب قوائم ضخمة من كلمات المرور الشائعة والمسرّبة والأنماط المتوقعة. وتتغلب كلمة المرور القوية على هذه الأدوات بثلاث طرق.

1. الطول. كل حرف إضافي يضاعف عدد التركيبات الممكنة. لهذا تركّز كل من NIST وCISA على الطول.
2. العشوائية. الكلمات والأسماء والتواريخ وأنماط لوحة المفاتيح مثل "qwerty" هي أول ما يجرّبه المهاجمون. أما الاختيارات العشوائية فعلاً فيصعب كسرها كثيراً.
3. التفرّد. عند اختراق موقع ما، يجرّب المجرمون البريد الإلكتروني وكلمة المرور المسروقين على مواقع أخرى. إذا كنت تعيد استخدام كلمات المرور، فقد يفتح اختراق واحد حسابات كثيرة.

ماذا تقول الإرشادات الحالية

يضع المعهد الوطني الأمريكي للمعايير والتقنية (NIST) قواعد كلمات المرور التي تتبعها مؤسسات كثيرة. وتنص إرشاداته للهوية الرقمية على أن الخدمات يجب أن:

• تشترط كلمات مرور من 15 حرفاً على الأقل عندما تكون كلمة المرور هي الوسيلة الوحيدة لتسجيل الدخول، أو 8 أحرف على الأقل عند استخدامها مع المصادقة متعددة العوامل.
• تسمح بكلمات مرور من 64 حرفاً على الأقل.
• لا تفرض خليطاً من أنواع الأحرف، مثل "حرف كبير واحد ورقم واحد ورمز واحد".
• لا تفرض تغيير كلمة المرور بانتظام، لكن تشترط تغييرها إذا وُجد دليل على اختراقها.
• تتحقق من كلمات المرور الجديدة مقابل قوائم كلمات المرور الشائعة أو المسرّبة سابقاً.
• تسمح بمديري كلمات المرور والتعبئة التلقائية واللصق.

وتقدم وكالة الأمن السيبراني وأمن البنية التحتية (CISA) نصيحة مشابهة للجمهور: 16 حرفاً على الأقل، وكلمة مرور مختلفة لكل حساب، ومدير كلمات مرور يتولى المهمة.

كيف تنشئ كلمة مرور قوية، خطوة بخطوة

الخيار 1: دع مدير كلمات المرور يولّدها (الأفضل)

1. اختر مدير كلمات مرور موثوقاً. كثير من المتصفحات والهواتف تتضمن واحداً، وتتوفر أيضاً تطبيقات مستقلة.
2. احمِ المدير بكلمة مرور رئيسية أو عبارة مرور طويلة وفريدة، وفعّل له المصادقة متعددة العوامل.
3. عند إنشاء حساب أو تحديثه، استخدم خيار generate password (توليد كلمة مرور) في المدير.
4. اضبط الطول على 16 حرفاً على الأقل. وإذا سمح الموقع، فاجعلها أطول.
5. احفظها في المدير. سيعبّئ كلمة المرور لك في المرة القادمة، فلن تحتاج أبداً إلى حفظها في ذاكرتك.

الخيار 2: أنشئ عبارة مرور يمكنك تذكّرها

استخدم هذا الخيار للقليل من كلمات المرور التي يجب أن تكتبها من الذاكرة، مثل كلمة مرور تسجيل الدخول إلى الكمبيوتر أو كلمة المرور الرئيسية لمدير كلمات المرور.

1. اختر 5 إلى 7 كلمات لا رابط بينها. كلما كانت أكثر عشوائية كان أفضل. تجنّب كلمات الأغاني والاقتباسات وأي شيء يتعلق بك.
2. اختيار الكلمات بالصدفة (مثلاً برمي النرد ومطابقة النتيجة مع قائمة كلمات، أو فتح قاموس على صفحات عشوائية) أقوى من اختيار كلمات "تبدو" عشوائية.
3. اربطها معاً، بمسافات أو بدونها أو بفاصل إذا سمح الموقع: مثلاً lantern-gravel-oyster-tundra-pickle. (لا تستخدم هذا المثال، فقد أصبح معروفاً للجميع.)
4. تأكد من أن طولها 16 حرفاً على الأقل. معظم عبارات المرور المكونة من خمس كلمات تتجاوز ذلك بسهولة.
5. استخدمها لحساب واحد فقط.

الخيار 3: حسّن كلمة مرور ضعيفة موجودة

1. ابدأ بأهم حساباتك: البريد الإلكتروني، والحسابات المصرفية، وأي حساب يمكنه إعادة تعيين حسابات أخرى.
2. استبدل كلمات المرور القصيرة أو المكررة بكلمة مرور مولّدة أو عبارة مرور جديدة.
3. فعّل المصادقة متعددة العوامل وأنت في إعدادات الأمان للحساب.
4. انتقل إلى بقية الحسابات تدريجياً، مستخدماً قائمة كلمات المرور المكررة أو الضعيفة في مدير كلمات المرور كقائمة مهام.

كلمات المرور الضعيفة مقابل القوية

يعرض الجدول أنماطاً وليس كلمات مرور حقيقية. لا تستخدم أبداً كلمة مرور مثالية من أي موقع.

فعّل المصادقة متعددة العوامل (MFA)

تضيف المصادقة متعددة العوامل خطوة ثانية عند تسجيل الدخول، فلا تكفي كلمة المرور المسروقة وحدها. توصي CISA بتفعيلها للبريد الإلكتروني والحسابات المصرفية والرعاية الصحية وغيرها من الحسابات المهمة. ويأتي بريدك الإلكتروني أولاً، لأن من يسيطر عليه يستطيع إعادة تعيين كلمات مرورك الأخرى.

من طرق المصادقة متعددة العوامل الشائعة:

• تطبيقات المصادقة التي تعرض رمزاً جديداً كل 30 ثانية.
• الرموز المرسلة عبر رسالة نصية أو بريد إلكتروني. أفضل من عدم وجود مصادقة متعددة العوامل، لكن CISA تشير إلى أن الرموز النصية والصوتية معرّضة للتصيّد الاحتيالي وهجمات تبديل شريحة SIM، لذا اعتبرها الخيار الأخير.
• القياسات الحيوية، مثل بصمة الإصبع أو مسح الوجه.
• تسجيل الدخول القائم على FIDO، مثل مفتاح الأمان المادي. تصف CISA معيار FIDO/WebAuthn بأنه الطريقة الوحيدة المتاحة على نطاق واسع والمقاومة للتصيّد الاحتيالي.

لإعدادها، ابحث في إعدادات Security (الأمان) أو Sign-in (تسجيل الدخول) في الحساب عن خيارات مثل "two-step verification" (التحقق بخطوتين) أو "multi-factor authentication" (المصادقة متعددة العوامل). واحفظ الرموز الاحتياطية في مكان آمن.

أخطاء شائعة يجب تجنبها

• إعادة استخدام كلمات المرور. هذا هو الخطر الأكبر. اختراق واحد قد يكشف كل الحسابات التي تشترك في كلمة المرور نفسها.
• الاعتماد على استبدال الأحرف. استبدال "a" بـ"@" أو إضافة "1!" في النهاية أمر متوقع، وأدوات الاختراق تجرّبه تلقائياً.
• استخدام المعلومات الشخصية. أسماء الحيوانات الأليفة وتواريخ الميلاد والفرق المفضلة يسهل العثور عليها على الإنترنت.
• كتابة كلمات المرور في ملاحظة أو جدول بيانات غير محمي. استخدم مدير كلمات مرور مشفّراً بدلاً من ذلك.
• مشاركة كلمات المرور أو رموز المصادقة. الشركات الحقيقية لا تطلب أبداً كلمة مرورك أو رمز تسجيل الدخول عبر الهاتف أو الرسائل النصية أو البريد الإلكتروني. تعلّم كيف تكتشف الاحتيال عبر الإنترنت والتصيّد الاحتيالي.
• تغيير كلمات المرور وفق جدول دون سبب. لم يعد NIST يوصي بالتغيير الدوري الإجباري، لأنه غالباً يؤدي إلى تعديلات صغيرة ومتوقعة. غيّر كلمة المرور عندما توجد علامة على أنها انكشفت.

الأسئلة الشائعة

كم يجب أن يكون طول كلمة المرور القوية؟

توصي CISA بما لا يقل عن 16 حرفاً، والأطول أفضل. ويقول NIST إن الخدمات يجب أن تشترط 15 حرفاً على الأقل عندما تكون كلمة المرور هي عامل تسجيل الدخول الوحيد. ومدير كلمات المرور يجعل استخدام كلمات المرور الطويلة أمراً سهلاً.

هل عبارات المرور أكثر أماناً فعلاً من كلمات المرور المعقدة؟

عبارة المرور الطويلة المكونة من كلمات عشوائية فعلاً تكون عادةً أقوى من كلمة مرور قصيرة مليئة بالرموز، كما أنها أسهل بكثير في التذكّر. الطول يضيف قوة أكثر من قواعد التعقيد.

هل يجب أن أغيّر كلمات المرور بانتظام؟

تقول إرشادات NIST الحالية إنك لا تحتاج إلى تغيير كلمات المرور وفق جدول ثابت. غيّر كلمة المرور فوراً إذا أعلنت خدمة ما عن اختراق، أو لاحظت نشاطاً مريباً، أو شاركتها عن طريق الخطأ.

هل مديرو كلمات المرور آمنون؟

مدير كلمات المرور الموثوق المحمي بكلمة مرور رئيسية قوية ومصادقة متعددة العوامل أكثر أماناً بكثير من إعادة استخدام كلمات المرور أو كتابتها. كما أنه يجعل استخدام كلمة مرور فريدة في كل مكان أمراً عملياً.

ماذا أفعل إذا كانت كلمة مروري ضمن تسريب بيانات؟

غيّر كلمة المرور تلك فوراً، وكذلك أي حساب استخدمت فيه كلمة المرور نفسها. فعّل المصادقة متعددة العوامل وراجع النشاط الأخير في الحساب. وإذا كان الحساب مرتبطاً بالمال، فراجع كشوف الحساب أيضاً.

هل من الآمن السماح للمتصفح بحفظ كلمات المرور؟

مديرو كلمات المرور المدمجون في المتصفحات والهواتف الرئيسية خيار معقول لكثير من الناس، خاصة مع تفعيل قفل الجهاز والمصادقة متعددة العوامل. وقبل أن تمسح ذاكرة التخزين المؤقت للمتصفح، تأكد من أنك لا تحذف أيضاً كلمات المرور المحفوظة التي تعتمد عليها.

---

المصادر

• NIST SP 800-63B – Digital Identity Guidelines: Authentication and Authenticator Management
• CISA Secure Our World – Passwords Tip Sheet
• CISA Secure Our World – Turn On Multifactor Authentication
• CISA – Implementing Phishing-Resistant MFA (fact sheet)