الطول المناسب لكلمة المرور.. كيف تجمع بين الأمان وسهولة التذكر؟

يتأثر أمان كلمة المرور بطولها ومدى عشوائيتها وعدم استخدامها في حسابات أخرى - غيتي

لا يحسم عدد الحروف وحده قوة كلمة المرور. يوضح هذا الدليل كيفية اختيار كلمات طويلة وفريدة، وحفظها بأمان، وتعزيز حماية الحسابات، وتحديد الحالات التي تستدعي تغييرها.

كلمة طويلة، ورموز كثيرة، وتغيير متكرر..

أيّ هذه الإجراءات يحمي حسابك فعلًا؟

تختلف متطلبات إنشاء كلمات المرور بين الخدمات الإلكترونية؛ فبعضها يطلب رموزًا خاصة، وبعضها يشترط عددًا أكبر من الخانات. ومع تعدد الحسابات، يصبح التحدي اختيار كلمات يصعب تخمينها من دون الوقوع في مشكلة نسيانها أو تكرارها.

وتهدف هذه الإجراءات إلى تعزيز حماية الحسابات، لكنها تطرح سؤالًا عمليًا:

ما الطول المناسب لكلمة المرور، وكيف تجمع بين القوة وسهولة التذكر؟

لا يتوقف الجواب على عدد الحروف وحده. فكلمة مرور طويلة ومستخدمة في أكثر من حساب قد تعرّض هذه الحسابات للخطر إذا تسرّبت من أحدها، فيما تساعد أدوات إدارة كلمات المرور على إنشاء كلمات مختلفة وحفظها من دون الاعتماد على الذاكرة وحدها.

لا يوجد طول واحد يضمن الأمان في جميع الحالات. وتوصي وكالة الأمن السيبراني وأمن البنية التحتية الأميركية "CISA" المستخدم باختيار كلمة مرور من 16 خانة على الأقل، على أن تكون عشوائية وفريدة لكل حساب. والمقصود بالخانات الحروف والأرقام والرموز، والمسافات حين تقبلها الخدمة.

هذه توصية عملية تجمع الطول مع شرطين آخرين؛ لذلك لا يكفي بلوغ العدد المطلوب إذا كانت الكلمة متوقعة أو مستخدمة في حسابات متعددة.

أما إرشادات المعهد الوطني الأميركي للمعايير والتكنولوجيا "NIST"، فتخاطب مقدّمي الخدمات: تشترط حدًا أدنى من 15 خانة عندما تكون كلمة المرور عامل التحقق الوحيد، وتسمح بحد أدنى من 8 خانات عندما تُستخدم فقط ضمن مصادقة متعددة العوامل. وهذه حدود للخدمات التي تتبع الإرشادات، وليست دعوة إلى اختصار كلمة مرورك إلى 8 خانات.

ولا تفرض الإرشادات خلط أنواع محددة من الحروف والأرقام والرموز. عمليًا، التزم بما تطلبه الخدمة، لكن لا تعتبر إضافة رقم أو علامة إلى كلمة شائعة كافية لجعلها قوية.

كذلك، لا تصلح تقديرات من نوع "تحتاج إلى قرون لاختراقها" ضمانًا للأمان؛ فالنتيجة تتأثر بطريقة إنشاء الكلمة وحماية بياناتها، وباختلاف الهجوم على صفحة تسجيل الدخول عن محاولة كشف كلمات من بيانات مسرّبة.

قبول الموقع لكلمة المرور لا يعني أنها الخيار الأكثر أمانًا لحسابك

تمثل كلمات المرور الطويلة تحديًا لبعض المستخدمين، خصوصًا عندما تتكون من سلاسل عشوائية من الأحرف والأرقام والرموز. ومن الحلول التي يمكن اللجوء إليها إنشاء عبارة مرور تتكون من عدة كلمات.

وتزداد قوة العبارة عندما تكون كلماتها مختارة عشوائيًا ولا تشكّل تعبيرًا شائعًا أو جملة يسهل توقعها. ويمكن الفصل بينها بمسافات أو واصلات، بحسب ما تسمح به الخدمة المستخدمة.

استخدم مولّد عبارات المرور في مدير كلمات المرور، إن كان متاحًا، لاختيار كلمات عشوائية.

تجنّب الأسماء وتواريخ الميلاد والمعلومات التي يمكن معرفتها عنك، وكذلك الاقتباسات والأغنيات والجمل المتداولة.

تأكد من أن العبارة طويلة بما يكفي وتوافق شروط الخدمة، وأنك تستطيع إدخالها على أجهزتك المختلفة.

لا تستخدم عبارة منشورة بوصفها مثالًا، ولا تعتمد العبارة نفسها لحسابات متعددة.

وتوصي CISA بعبارات من كلمات غير مترابطة كأحد الخيارات التي تساعد على الجمع بين الطول وسهولة التذكر. أما الكلمات التي يولّدها المدير ويحفظها تلقائيًا، فلا تحتاج إلى جعلها سهلة الحفظ أصلًا.

ولا تعالج مشكلة إعادة الاستخدام بإضافة اسم الموقع أو رقم مختلف إلى كلمة واحدة ثابتة. اجعل لكل حساب كلمة مستقلة، حتى لا يصبح انكشاف كلمة في خدمة واحدة مدخلًا إلى خدمات أخرى.

قد يصبح تذكر كلمات المرور أمرًا صعبًا عندما يمتلك المستخدم حسابات عديدة، لكل منها كلمة طويلة ومختلفة. وهنا تبرز أهمية مدير كلمات المرور، الذي يساعد على إنشائها وحفظها وتعبئتها عند تسجيل الدخول.

ويمكن استخدام المدير المدمج في الجهاز أو المتصفح، أو تطبيق مستقل يناسب الأجهزة التي تعمل عليها. ويوضح المركز الوطني البريطاني للأمن السيبراني "NCSC" أن هذه الأدوات تتيح استخدام كلمات مختلفة من دون حفظها جميعًا، وقد تنبّه أيضًا إلى ظهور كلمات محفوظة في تسريبات.

احمِ حساب المدير بكلمة رئيسية قوية وفريدة إذا كان يستخدمها، وفعّل التحقق الإضافي المتاح. وافهم خيارات الاسترداد مسبقًا؛ فهي تختلف بين الأدوات، ولا ينبغي افتراض إمكان استعادة الخزنة بالطريقة نفسها في كل خدمة.

وحافظ على تحديث الجهاز وقفل شاشته، ولا تحفظ كلماتك في متصفح جهاز عام أو مشترك لا تتحكم بمن يستخدمه. وانتبه أيضًا إلى من يستطيع رؤية الشاشة عند إظهار كلمة المرور أو إدخالها.

يساعد مدير كلمات المرور على استخدام كلمة مختلفة لكل حساب من دون حفظها جميعًا - غيتي

حتى كلمة المرور التي يصعب تخمينها قد تُسرق عبر صفحة تسجيل دخول مزيفة. لذلك، فعّل المصادقة متعددة العوامل في الحسابات التي تستخدم كلمات المرور، وابدأ بالبريد الإلكتروني والحسابات المالية ومدير كلمات المرور.

وتختلف قوة الوسائل المتاحة. فمفاتيح الأمان التي تدعم معيار «FIDO» توفر مقاومة للتصيد، بينما يمكن خداع المستخدم لإفشاء رمز صادر عن تطبيق مصادقة أو رسالة نصية. وتتعرض الرسائل النصية أيضًا لمخاطر مرتبطة بالاستيلاء على رقم الهاتف؛ ومع ذلك، إذا كانت الوسيلة الوحيدة المتاحة، فاستخدامها أفضل من ترك الحساب محميًا بكلمة المرور وحدها.

أما مفاتيح المرور "Passkeys"، فيوصي المركز البريطاني للأمن السيبراني باستخدامها عندما تتوافر. وهي وسيلة دخول تعتمد مفاتيح رقمية، ويجيز المستخدم استعمالها ببصمة الإصبع أو الوجه أو رمز قفل الجهاز، بدل كتابة كلمة مرور للموقع. وتمتاز بمقاومة التصيد، لأنها مرتبطة بالخدمة الصحيحة.

ولا يعني استخدام البصمة إرسالها إلى الموقع؛ إذ يوضح تحالف "FIDO" أن التحقق البيومتري يجري محليًا على الجهاز. وقد تُزامَن مفاتيح المرور بين أجهزتك أو ترتبط بجهاز محدد، بحسب طريقة حفظها. لذلك، افهم كيفية الوصول إلى حسابك إذا فقدت الهاتف أو استبدلته، واحمِ حساب المزامنة ووسائل الاسترداد.

وعند تفعيل التحقق الإضافي، احفظ رموز الاسترداد الاحتياطية التي تتيحها الخدمة في مكان آمن يمكنك الوصول إليه عند فقدان الهاتف. ولا تشارك رموز التحقق، ولا توافق على طلب دخول لم تبدأه.

لا تحتاج كلمة مرور قوية وفريدة إلى التغيير لمجرد مرور شهر أو ثلاثة أشهر. فإرشادات NIST تنص على عدم فرض التغيير الدوري، مع إلزام المستخدم بالتغيير عند وجود دليل على انكشاف كلمة المرور. pages.nist.gov

غيّرها فورًا إذا علمت بتسريبها، أو أدخلتها في موقع مزيف، أو ظهرت دلائل على دخول غير مصرح به إلى حسابك. واستبدل أيضًا الكلمات الضعيفة أو المعاد استخدامها؛ وإذا انكشفت كلمة تستخدمها في أكثر من حساب، فغيّرها في جميع تلك الحسابات واجعل لكل منها كلمة مختلفة.

عند الاشتباه باختراق الحساب، ترافق تغيير كلمة المرور مراجعةُ الأجهزة المتصلة وإعدادات الاسترداد

وعند الاشتباه باختراق، ادخل إلى الخدمة من تطبيقها أو عنوانها المعروف، وراجع إعدادات الأمان ووسائل الاسترداد، ثم سجّل خروج الأجهزة والجلسات الأخرى. وإذا كان الحساب بريدًا إلكترونيًا، افحص قواعد إعادة توجيه الرسائل أيضًا، فقد يكون المهاجم أضاف عنوانًا يتلقى نسخة منها.

ابدأ اليوم بمراجعة بريدك الإلكتروني ومدير كلمات المرور، ثم الحسابات المالية وبقية حساباتك المهمة:

هل تستخدم كلمات مستقلة؟ هل فعّلت وسيلة الحماية الأقوى المتاحة؟ وهل تستطيع استعادة الوصول إذا فقدت جهازك؟