مولّد كلمات المرور — توليد كلمات سر قوية وعشوائية

Q: ما مدى القوة المطلوبة لكلمة المرور؟

استهدف ⁦60–70⁩ بتاً من الإنتروبيا على الأقل لحسابات الإنترنت، و90 بتاً فأكثر لمفاتيح التشفير أو كلمات المرور الرئيسية لمديري كلمات المرور. تحمل كلمة مرور عشوائية من 16 حرفاً بجميع الفئات نحو 104 بتات.

Q: هل عبارات المرور أضعف من الأحرف العشوائية؟

لكل حرف نعم؛ أما لكل كلمة مرور فالأمر يتوقف على عدد الكلمات. تضيف كل كلمة من القائمة المدمجة (244 كلمة) نحو 7.9 بتات، ويضيف الرقم الاختياري نحو 9 بتات أخرى؛ فتعطي خمس كلمات نحو 40 بتاً (ونحو 49 مع الرقم)، ويتطلب بلوغ 60 بتاً سبع كلمات مع الرقم أو ثماني كلمات دونه. أما مضاهاة البتات الـ104 تقريباً لكلمة مرور عشوائية من 16 حرفاً فتحتاج إلى نحو 13 كلمة. ميزة عبارة المرور أنها أسهل بكثير في التذكّر والكتابة، لا أنها تحمل إنتروبيا أكبر.

Q: ما وظيفة «استبعاد الرموز الملتبسة»؟

يزيل الأحرف المتشابهة شكلاً في كثير من الخطوط — 0/O و1/l/I و| وعلامات الاقتباس — وهو ما يفيد عندما يلزم قراءة كلمة المرور بصوت عالٍ أو كتابتها من ورقة.

Q: كيف تُحسب الإنتروبيا؟

log2(حجم المجموعة) × الطول، بافتراض اختيار كل حرف من المجموعة بشكل مستقل ومنتظم. وهذا ما يفعله المولّد، باستثناء أنه يضع افتراضياً حرفاً واحداً من كل فئة مفعّلة أولاً، لذا فالرقم الناتج أعلى بقليل من الحقيقي. أما وضع «تحقّق من كلمة مروري» فيطبّق خصومات على كلمات القاموس والتسلسلات والتكرار.

Q: هل تُخزَّن كلمة المرور المولَّدة في أي مكان؟

لا. يستخدم التوليد crypto.getRandomValues في متصفحك؛ ولا يُنقل شيء أو يُحفظ. انسخها مباشرة إلى مدير كلمات المرور.

ما الذي يجعل كلمة المرور قوية؟

تأتي القوة من الطول وعدم القابلية للتنبؤ لا من الرموز المفروضة: توصي NIST SP 800-63B بالسماح بعبارات مرور طويلة، وفحص كلمات المرور الجديدة مقابل قوائم المسرَّبة، وتحديد معدل المحاولات، وعدم فرض التغيير الدوري. كلمة مرور عشوائية مولَّدة من 16 محرفاً أو أكثر محفوظة في مدير كلمات مرور تتفوق على أي نمط يسهل تذكره.

كيفية استخدام مولّد كلمات المرور

اختر «أحرف عشوائية» أو «عبارة مرور».
حدّد الطول (أو عدد الكلمات) وفئات الأحرف.
انقر «توليد»؛ واستخدم «إعادة التوليد» للحصول على دفعة جديدة.
انسخ كلمة مرور إلى مدير كلمات المرور لديك.
انتقل إلى «تحقّق من كلمة مروري» لتقييم كلمة مرور موجودة.

مزايا مولّد كلمات المرور

كلمات مرور عشوائية مع إمكانية اختيار الأحرف الكبيرة والصغيرة والأرقام والرموز
يضمن حرفاً واحداً على الأقل من كل فئة مفعّلة
استبعاد الأحرف الملتبسة (0 O 1 l I |)
وضع عبارة المرور بقائمة كلمات منتقاة وفواصل وأحرف كبيرة ورقم عشوائي
الإنتروبيا بالبتات وتصنيف القوة والوقت التقديري للكسر دون اتصال
وضع «تحقّق من كلمة مروري» الذي يقيّم كلمة مرور موجودة محلياً
توليد حتى 100 كلمة مرور دفعة واحدة

مثال على مولّد كلمات المرور

خمس كلمات مرور من 16 حرفاً

الإدخال:

Length: 16 · Upper, lower, digits, symbols

النتيجة:

tgCP+Mz%_$ai*L?k
…
Strength: Very strong · Entropy: 103.9 bits (90-character pool) · Offline crack time: 30,004,054,585 millennia

يتبع تصنيف القوة الإنتروبيا: عبارة المرور الافتراضية من 4 كلمات مقبولة (Fair) عند 40.4 بت، وكلمة المرور العشوائية من 16 حرفاً قوية جداً (Very strong) عند 103.9 بت.

الإنتروبيا (بت)

أربع كلمات + رقم1ثماني كلمات دون رقم2سبع كلمات + رقم3أحرف عشوائية بطول 164

028406090110

ضعيفة جداً (Very weak)< 28ضعيفة (Weak)28–39.9مقبولة (Fair)40–59.9قوية (Strong)60–89.9قوية جداً (Very strong)≥ 90الحد الأدنى المستهدف لحسابات الإنترنت60–70الهدف لمفاتيح التشفير وكلمات المرور الرئيسية90+

< 28ضعيفة جداً (Very weak)
28–39.9ضعيفة (Weak)
40–59.9مقبولة (Fair)
60–89.9قوية (Strong)
≥ 90قوية جداً (Very strong)
60–70الحد الأدنى المستهدف لحسابات الإنترنت
90+الهدف لمفاتيح التشفير وكلمات المرور الرئيسية

140.4 أربع كلمات + رقمعبارة المرور الافتراضية · القوة: مقبولة (Fair)
263.4 ثماني كلمات دون رقمعبارة مرور · القوة: قوية (Strong)
365 سبع كلمات + رقمعبارة مرور · القوة: قوية (Strong)
4103.9 أحرف عشوائية بطول 16جميع الفئات، مجموعة من 90 حرفاً · القوة: قوية جداً (Very strong)

القيم هي ما يعرضه المولّد للاختيارات العشوائية، وتحذّر الأداة عندما تقلّ الإنتروبيا عن 60 بتاً. أما وضع «تحقّق من كلمة مروري» فيطبّق أيضاً خصومات على كلمات القاموس والتسلسلات والتكرار.

الأسئلة الشائعة حول مولّد كلمات المرور

ما مدى القوة المطلوبة لكلمة المرور؟

استهدف ⁦60–70⁩ بتاً من الإنتروبيا على الأقل لحسابات الإنترنت، و90 بتاً فأكثر لمفاتيح التشفير أو كلمات المرور الرئيسية لمديري كلمات المرور. تحمل كلمة مرور عشوائية من 16 حرفاً بجميع الفئات نحو 104 بتات.

هل عبارات المرور أضعف من الأحرف العشوائية؟

لكل حرف نعم؛ أما لكل كلمة مرور فالأمر يتوقف على عدد الكلمات. تضيف كل كلمة من القائمة المدمجة (244 كلمة) نحو 7.9 بتات، ويضيف الرقم الاختياري نحو 9 بتات أخرى؛ فتعطي خمس كلمات نحو 40 بتاً (ونحو 49 مع الرقم)، ويتطلب بلوغ 60 بتاً سبع كلمات مع الرقم أو ثماني كلمات دونه. أما مضاهاة البتات الـ104 تقريباً لكلمة مرور عشوائية من 16 حرفاً فتحتاج إلى نحو 13 كلمة. ميزة عبارة المرور أنها أسهل بكثير في التذكّر والكتابة، لا أنها تحمل إنتروبيا أكبر.

ما وظيفة «استبعاد الرموز الملتبسة»؟

يزيل الأحرف المتشابهة شكلاً في كثير من الخطوط — 0/O و1/l/I و| وعلامات الاقتباس — وهو ما يفيد عندما يلزم قراءة كلمة المرور بصوت عالٍ أو كتابتها من ورقة.

كيف تُحسب الإنتروبيا؟

log2(حجم المجموعة) × الطول، بافتراض اختيار كل حرف من المجموعة بشكل مستقل ومنتظم. وهذا ما يفعله المولّد، باستثناء أنه يضع افتراضياً حرفاً واحداً من كل فئة مفعّلة أولاً، لذا فالرقم الناتج أعلى بقليل من الحقيقي. أما وضع «تحقّق من كلمة مروري» فيطبّق خصومات على كلمات القاموس والتسلسلات والتكرار.

هل تُخزَّن كلمة المرور المولَّدة في أي مكان؟

لا. يستخدم التوليد crypto.getRandomValues في متصفحك؛ ولا يُنقل شيء أو يُحفظ. انسخها مباشرة إلى مدير كلمات المرور.

ملاحظات تقنية

تُسحب الأحرف بفهارس غير منحازة من crypto.getRandomValues وتُخلط بحيث لا تستقر أحرف الفئات المضمونة في مواضع ثابتة. تُحسب الإنتروبيا على أنها الطول × log2(حجم المجموعة)؛ ويفترض تقدير وقت الكسر مهاجماً دون اتصال يجرّب 10 مليارات تخمين في الثانية ويحتاج في المتوسط إلى نصف فضاء المفاتيح.

المراجع

NIST SP 800-63B: Digital Identity Guidelines — Authentication and Lifecycle ManagementNIST · 2017متطلبات كلمات المرور وأدوات التوثيق: الطول أهم من قواعد التعقيد، وقوائم حظر لكلمات المرور المسرَّبة، وتحديد المعدل، وعدم فرض التغيير الدوري.
OWASP Cheat Sheet Series: Password StorageOWASP Foundationكيف تُخزَّن كلمات المرور: Argon2id أو scrypt أو bcrypt مع الملح — لا MD5 ولا SHA-1 ولا تجزئة بلا ملح.
OWASP Cheat Sheet Series: AuthenticationOWASP Foundationضوابط التوثيق: رسائل الخطأ العامة، والقفل والتقييد، والمصادقة متعددة العوامل، واستعادة بيانات الاعتماد.