كيفية الاستخدام
- اكتب كلمة المرور أو الصقها في المربع. تكون مخفية افتراضيًا؛ استخدم «إظهار» للتحقق مما كتبته.
- اطّلع على تصنيف القوة وأرقام الإنتروبيا والتقدير التقريبي لمدة الاختراق.
- راجع الأنماط التي عثر عليها الفاحص، واتبع النصائح لجعل كلمة المرور أصعب في التخمين.
كيف تعمل الأداة
يبدأ الفاحص بحساب إنتروبيا مجموعة المحارف: عدد المحارف الممكنة (26 حرفًا صغيرًا، و26 حرفًا كبيرًا، و10 أرقام، و33 رمزًا من ASCII بما فيها المسافة، و100 لأي محرف آخر مثل الأحرف ذات التشكيل أو الرموز التعبيرية) مرفوعًا إلى عدد المحارف، ثم يعبّر عن النتيجة بالبتات باستخدام log2(المجموعة) × الطول. يفترض هذا الرقم أن كل محرف اختير عشوائيًا، وهذا نادرًا ما ينطبق على كلمات المرور التي يبتكرها الناس.
بعد ذلك، يبحث الفاحص عن الأنماط التي يجربها المهاجمون أولًا، ويحتسب لكل جزء مطابق عدد البتات اللازمة لتخمين ذلك النمط فقط: قائمة مدمجة تضم أكثر 1,000 كلمة مرور شيوعًا، ونحو 3,000 كلمة إنجليزية متداولة و600 اسم أول شائع (بعد فك ترميز الاستبدالات الشبيهة بـ leetspeak أيضًا، مثل 4→a و3→e و0→o و$→s)، وتسلسلات لوحة المفاتيح مثل qwerty وasdf، وتسلسلات مثل abc أو 4321، والمحارف أو المقاطع المتكررة، والسنوات من 1900 إلى 2099، والتواريخ مثل 12/05/1990 أو 19900512. وتُسمى النتيجة «التقدير بعد احتساب الأنماط». تشبه هذه الطريقة من حيث المبدأ أداة التقدير مفتوحة المصدر zxcvbn، لكنها أبسط.
يفترض تقدير مدة الاختراق إجراء 10 مليارات محاولة في الثانية، وهو معدل يقارب ما تحققه بضع بطاقات رسومات حديثة عند مهاجمة تجزئة سريعة وغير مملحة مثل MD5 أو SHA-1 في هجوم دون اتصال، ويفترض أن المهاجم يحتاج في المتوسط إلى تجربة نصف الاحتمالات المتبقية. أما الهجمات عبر الإنترنت على نموذج تسجيل الدخول فأبطأ بكثير، وكذلك التجزئات البطيئة المُعدّة جيدًا. اعتبر الرقم تقديرًا تقريبيًا للمرتبة الحجمية، لا وعدًا. ولا يعرف الفاحص ما إذا كانت كلمة مرورك قد ظهرت في تسريب بيانات.
أمثلة
كلمة مرور تبدو «قوية» للوهلة الأولى
تتألف «Summer2023!» من 11 محرفًا، وتضم الأنواع الأربعة كلها من المحارف، لذا تبلغ إنتروبيا مجموعة محارفها نحو 72 بتًا. يعثر الفاحص على كلمة «Summer» والسنة 2023، فينخفض التقدير إلى نحو 22 بتًا: ضعيفة جدًا، ويمكن تخمينها دون اتصال في أقل بكثير من ثانية.
الكتابة بأسلوب leetspeak لا تساعد
يتعرّف الفاحص على «P@55w0rd» بوصفها «password» مع استبدالات، وهي من أكثر كلمات المرور شيوعًا. ويصنّفها ضعيفة جدًا مهما احتوت من رموز.
كلمة مرور عشوائية
كلمة مرور من 16 محرفًا مُنشأة عشوائيًا، مثل «v7#Qm!2pXr9$Lw4z»، لا تحتوي على أنماط يمكن اكتشافها. يساوي تقديرها قيمة مجموعة المحارف، أي نحو 105 بتات، ولذلك تُصنّف قوية جدًا.
الأسئلة الشائعة
هل من الآمن كتابة كلمة مروري الحقيقية هنا؟
يُجرى التحليل بالكامل في متصفحك باستخدام JavaScript على هذه الصفحة. لا تُرسل كلمة المرور إلى خادم، ولا تُحفظ أو تُضمّن في بيانات التحليلات. إذا أردت، يمكنك فحص كلمة مرور لها البنية نفسها بدلًا من كلمة المرور الحقيقية.
لماذا تبدو كلمة مروري أضعف مما يوحي به رقم الإنتروبيا؟
تفترض إنتروبيا مجموعة المحارف أن كل محرف عشوائي. تحاول أدوات الاختراق تخمين الكلمات والأسماء والتواريخ وأنماط لوحة المفاتيح مبكرًا، لذا يحتسبها الفاحص أسهل بكثير في التخمين. ويعكس ذلك رقم «التقدير بعد احتساب الأنماط».
هل يتحقق هذا الفاحص مما إذا كانت كلمة مروري قد تسرّبت؟
لا. يقارن الفاحص كلمة المرور بقائمة مدمجة تضم 1,000 كلمة مرور شائعة جدًا، ويقدّر مدى سهولة تخمينها. ويتطلب التحقق من التسريبات خدمة منفصلة؛ وإذا استخدمت واحدة، فاختر خدمة لا تستقبل سوى جزء من تجزئة كلمة المرور.
ما المستوى المناسب الذي ينبغي استهدافه؟
استهدف تصنيف «قوية» لمعظم الحسابات (60 بتًا أو أكثر بعد احتساب الأنماط). أما كلمة المرور الرئيسية لمدير كلمات المرور أو حساب البريد الإلكتروني، فاستهدف تصنيف «قوية جدًا» (80 بتًا أو أكثر)، مثل عبارة مرور مؤلفة من ست كلمات عشوائية.
لماذا تختلف نتائج مقاييس قوة كلمات المرور؟
يستخدم كل مقياس قوائم كلمات وقواعد أنماط وافتراضات مختلفة عن سرعة المهاجم. تكتفي المقاييس البسيطة بعدّ أنواع المحارف، ما يجعلها تبالغ في تقدير قوة كلمات مثل «Password1!». استخدم أي تقدير بوصفه إرشادًا لا قياسًا دقيقًا.
الخصوصية
تُحلّل كلمة المرور في متصفحك فقط. لا تُرفع أو تُخزّن أو يُسجّل استخدامها أو تُرسل إلى أدوات التحليلات؛ ولا يُسجّل سوى حدث مجهول يفيد باستخدام الأداة. قوائم كلمات المرور الشائعة والكلمات موجودة ضمن الصفحة، لذلك لا يُجرى أي بحث عبر الشبكة.