ما مدى قوة كلمة المرور الخاصة بي؟ الإنتروبيا، أوقات الكراك وما هي مقاييس القوة المفقودة

يحتوي كل نموذج تسجيل على مقياس قوة، ونادرًا ما يتفقون. يتحول المرء إلى اللون الأخضر ل Summer2024!آخر يسميه ضعيفًا، والثالث يريد رمزًا كتبته بالفعل. الخلاف ليس عشوائيا. كل متر هو نموذج صغير لكيفية تخمين المهاجم، وكل نموذج به نقاط عمياء.

يشرح هذا الدليل كيفية تقدير قوة كلمة المرور، من خلال صيغة الإنتروبيا التي يتم تنفيذها على كلمات مرور حقيقية، وما تفترضه أرقام وقت الكراك، وما هي الأنماط التي يمكن للمدقق اكتشافها والتي لا يستطيع اكتشافها، وما توصي به الإرشادات الحالية من NIST بدلاً من قواعد الرموز. تستخدم الأمثلة مدقق قوة كلمة المرور، وكل رقم أدناه هو ما تشير إليه تلك الأداة لكلمة المرور الموضحة.

ليرة تركية؛DR: قوة كلمة المرور هي عدد التخمينات التي يحتاجها المهاجم، والتي يتم التعبير عنها عادةً بالإنتروبيا بالبتات: الطول × log2 (حجم مجموعة الأحرف). كل بت إضافي يضاعف العمل. يقوم مدقق قوة كلمة المرور بحساب هذا الرقم، ويقطعه لكلمات المرور الشائعة والأنماط المتكررة والتسلسلات وتشغيل لوحة المفاتيح، ويقيم النتيجة من ضعيفة جدًا (أقل من 28 بت) إلى قوية جدًا (128 بت وما فوق)، مع تقديرات وقت التصدع عند 10 مليارات تخمين في الثانية دون الاتصال بالإنترنت و1000 في الثانية عبر الإنترنت. لا يمكن لصيغ الإنتروبيا رؤية كلمات القاموس مع البدائل، لذلك P@ssw0rd1 لا يزال يسجل نتائج عادلة. الطول والعشوائية هما ما يساعد. يتم إجراء الفحص من جانب العميل، مجانًا، بدون تسجيل، ولا يتم تحميل كلمة المرور مطلقًا.

ماذا تعني قوة كلمة المرور؟

قوة كلمة المرور هي مقياس لعدد التخمينات التي قد يحتاجها المهاجم، في المتوسط، للعثور على كلمة المرور. إنه ليس مقياسًا لمدى تعقيد كلمة المرور. تكون كلمة المرور قوية عندما لا يمكن التنبؤ بها، ولا يمكن التنبؤ بها عندما يتم اختيارها من مجموعة كبيرة جدًا من الخيارات المتساوية الاحتمال.

ولهذا السبب يتم عادةً اقتباس القوة بالبتات. من الصعب تخمين كلمة المرور التي تحتوي على 40 بت من الإنتروبيا مثل اختيار عنصر واحد من أصل 2^40، أي حوالي 1.1 تريليون، وهي اختيارات متساوية الاحتمال. كل بت إضافي يضاعف البحث.

كيف يتم حساب إنتروبيا كلمة المرور؟

يقوم التقدير القياسي بضرب طول كلمة المرور &#39؛s بعدد البتات التي يساهم بها كل حرف، والذي يعتمد على عدد الأحرف المحتملة التي تم استخلاصها منها

entropy (bits) = length × log2(pool size)

يقوم المدقق ببناء المجمع من أنواع الأحرف الموجودة في كلمة المرور

نوع الحرف	أضيفت إلى حمام السباحة	بت لكل حرف إذا تم استخدامه بمفرده
الأحرف الصغيرة من أ إلى ز	26	4.70
الأحرف الكبيرة من A إلى Z	26	4.70
الأرقام من 0 إلى 9	10	3.32
رموز ASCII والفضاء	33	5.04
أي شيء خارج ASCII (اللكنات والرموز التعبيرية)	100	6.64

تحتوي كلمة المرور التي تستخدم جميع أنواع ASCII الأربعة على مجموعة من 26 + 26 + 10 + 33 = 95، وlog2 (95) = 6.57 بت لكل حرف.

مثال عملي: كلمة مرور عشوائية مكونة من 16 حرفًا

1. المجموعة: جميع الأنواع الأربعة، 95 حرفًا.
2. البتات لكل حرف: log2(95) = 6.5699.
3. الإنتروبيا: 16 × 6.5699 = 105.1 بت.

معدلات المدقق قوية. كلمة مرور عشوائية مكونة من 20 حرفًا من نفس المجموعة تعطي 20 × 6.5699 = 131.4 بت، والتي تعبر خط 128 بت إلى قوي جدًا.

تكون الصيغة صادقة فقط عندما يتم إنشاء كلمة المرور بشكل عشوائي من تلك المجموعة. تستخدم كلمة المرور التي يختارها الإنسان شريحة صغيرة يمكن التنبؤ بها من المساحة، وهنا يأتي دور التحقق من الأنماط.

ما هي نطاقات الدرجات التي يستخدمها المدقق؟

بعد ضبط الأنماط، يقوم المدقق بتحويل الإنتروبيا إلى واحدة من خمس تسميات.

الانتروبيا المعدلة	ملصق	ماذا يعني في الممارسة العملية
أقل من 28 بت	ضعيف جدا	تم العثور عليه على الفور تقريبًا بأي هجوم
28 إلى أقل من 36 بت	ضعيف	سريع دون الاتصال بالإنترنت؛ حماية محدودة على الانترنت
36 إلى أقل من 60 بت	عادل	ينجو من التخمين عبر الإنترنت؛ عرضة للتجزئة السريعة دون الاتصال بالإنترنت
60 إلى أقل من 128 بت	قوي	بعيد المنال للقوة الغاشمة عند السرعات الحالية
128 بت وما فوق	قوي جدا	أبعد من أي قوة وحشية متوقعة

ما هي الأنماط التي تخفض النتيجة؟

يعامل الانتروبيا الخام aaaaaaaaaaaa ككلمة مرور صغيرة مكونة من 12 حرفًا بقيمة 56 بت. لن يسميها أحد قوية. يطبق المدقق أربعة تعديلات قبل التسجيل

1. كلمات المرور الشائعة. تتم مقارنة كلمة المرور، ذات الأحرف الصغيرة، بقائمة مدمجة تضم 53 كلمة مرور من أكثر كلمات المرور تسربًا، بما في ذلك 123456، password، qwerty، letmein و p@ssw0rd. مباراة تحدد الإنتروبيا عند 8 بت.
2. تكرار كلمة المرور بالكامل. إذا كانت كلمة المرور بأكملها عبارة عن وحدة قصيرة واحدة متكررة، مثل abcabc أو aaaaaa، تنهار الإنتروبيا إلى إنتروبيا وحدة واحدة تقريبًا بالإضافة إلى بضع بتات.
3. يعمل من نفس الشخصية. ثلاثة أحرف متطابقة أو أكثر على التوالي، مثل zzz، اضرب الإنتروبيا في 0.75.
4. تسلسلات. أي ثلاثة أحرف يتم تشغيلها من الأبجدية أو الأرقام أو صفوف لوحة المفاتيح qwertyuiop، asdfghjkl و zxcvbnm، للأمام أو للخلف، يضاعف الإنتروبيا بمقدار 0.75.

كما يحذر، دون تغيير الرقم، عندما تكون كلمة المرور أقل من 8 أحرف، أو تستخدم نوعًا واحدًا فقط من الأحرف، أو تكون أرقامًا فقط.

ماذا يقول المدقق عن كلمات المرور الحقيقية؟

فيما يلي ما تشير إليه الأداة لمجموعة من كلمات المرور التي يستخدمها الأشخاص عادةً أو يُنصح باستخدامها. أوقات الكراك تستخدم المدقق &#39؛s نموذجين للمهاجم.

كلمة المرور	طول	الانتروبيا المعدلة	تقييم	وقت الكراك غير متصل	وقت الكراك على الانترنت	أثيرت التحذيرات
password	8	8.0 بت	ضعيف جدا	فورا	فورا	كلمة المرور المشتركة؛ نوع حرف واحد
qwerty123	9	6.0 بت	ضعيف جدا	فورا	فورا	كلمة المرور المشتركة؛ تسلسل
aaaaaaaaaaaa	12	8.3 بت	ضعيف جدا	فورا	فورا	نمط متكرر؛ نوع حرف واحد
4829	4	13.3 بت	ضعيف جدا	فورا	5 ثواني	قصير جدًا؛ أرقام فقط؛ نوع واحد
P@ssw0rd1	9	59.1 بت	عادل	12 شهرا	قرون	لا أحد
Summer2024!	11	72.3 بت	قوي	قرون	قرون	لا أحد
Tr0ub4dor&3	11	72.3 بت	قوي	قرون	قرون	لا أحد
correct horse battery staple	28	164.7 بت	قوي جدا	قرون	قرون	لا أحد

ويمكن التحقق من بعض هذه باليد. qwerty123 يطابق القائمة المشتركة، مع تحديد سقف لها بـ 8 بتات، ويحتوي على تشغيل لوحة المفاتيح وتسلسل الأرقام، لذا 8 × 0.75 = 6.0. ل 4829، المجموعة مكونة من 10 أرقام، لذا 4 × 3.32 = 13.3 بت. متوسط عدد التخمينات هو نصف المساحة: 2^13.3 /2 = 5000. عند 1000 تخمين في الثانية أي 5 ثوانٍ عبر الإنترنت.

P@ssw0rd1 هو الصف المثير للاهتمام. يستخدم جميع أنواع الأحرف الأربعة، لذا 9 × 6.57 = 59.1 بت، وهو ليس مدرجًا في القائمة المشتركة لأن القائمة تحتوي على p@ssw0rd بدون الرقم الزائد. ليس لدى المدقق طريقة لمعرفة أنها الكلمة &quot؛ كلمة المرور والاقتباس؛ مع البدائل الأكثر قابلية للتنبؤ، تحاول أداة التكسير أولاً.

ماذا تفترض تقديرات وقت الصدع؟

يمثل الشكلان مهاجمين مختلفين تمامًا، وكلاهما يبدأ من نفس الرقم: متوسط التخمينات المطلوبة، وهو نصف 2 مرفوعًا إلى الإنتروبيا.

نموذج	التخمينات في الثانية	يمثل
غير متصل (سريع)	10،000،000،000	قاعدة بيانات مسروقة من التجزئة السريعة وغير المملحة التي تمت مهاجمتها على أجهزة وحدة معالجة الرسومات
على الانترنت (خانق)	1000	التخمين ضد نموذج تسجيل الدخول المباشر

الرقم غير المتصل بالإنترنت هو الحالة المتشائمة، وهو الرقم الصحيح الذي يجب التخطيط له، لأنه بمجرد تسرب قاعدة بيانات كلمة المرور الخاصة بالموقع &#39؛s، لم يعد المهاجم محدودًا بالمعدل. مدى واقعية 10 مليار في الثانية يعتمد كليًا على كيفية تخزين الموقع لكلمات المرور. تعمل التجزئة البطيئة عمدًا مثل bcrypt على تقليل معدل المهاجم &#39؛s بعدة أوامر من حيث الحجم، وهو ما دليل مولد BCrypt يشرح بالتفصيل، في حين أن التجزئة السريعة مثل MD5 أو SHA-1 غير المملح تسمح بمعدلات في هذا النطاق. ال دليل مولد التجزئة يغطي الفرق بين تلك الخوارزميات.

هناك حدان للعرض يستحقان المعرفة:

• عند 60 بت أو أكثر، يتوقف المدقق عن الحوسبة ويعرض &quot؛ قرون وحاصل؛. من خلال افتراضها الخاص دون الاتصال بالإنترنت، فإن 60 بت سيكون متوسطها 2^59 /10^10 = حوالي 58 مليون ثانية، أي ما يقرب من 1.8 سنة، ولا يصل الرقم إلى قرن حتى حوالي 66 بت. علاج وحاصل؛ قرون وحاصل؛ على كلمة مرور في الستينيات المنخفضة مثل &quot؛ سنوات، وليس قرون وحاصل؛.
• التقديرات لا تقول شيئا عن الانتهاكات. يتم تخمين كلمة المرور التي ظهرت في التسريب من قائمة التسريب أولاً، مهما كانت الإنتروبيا الخاصة بها.

لماذا لا تزال كلمة المرور الطويلة الخاصة بي ضعيفة؟

لأن الطول يساعد فقط عندما لا يمكن التنبؤ بالشخصيات. يقوم المدقق بخفض النتيجة للأنماط التي يحاول المهاجمون تجربتها أولاً: كتلة متكررة، أو تشغيل مثل 1111، تسلسل مثل abcd أو 9876، أو المشي على لوحة المفاتيح مثل asdfgh. abcabcabcabc يبلغ طولها 12 حرفًا، ولكنها وحدة واحدة مكونة من ثلاثة أحرف متكررة وتحتوي على تسلسل أبجدي، لذلك يسجل المدقق 13.3 بت: أقل من كلمة مرور عشوائية مكونة من 3 أحرف من المجموعة الكاملة المكونة من 95 حرفًا، والتي تبلغ قيمتها 19.7 بت.

ويحدث العكس أيضًا، وهو مهم أكثر. بعض كلمات المرور تسجل نتائج جيدة وتكون ضعيفة، لأن صيغة تجمع الأحرف لا يمكنها التعرف على ما يلي

• كلمات القاموس والأسماء والأماكن التي تم فيها تبديل الحروف بأرقام أو رموز متشابهة، مثل Tr0ub4dor&3؛
• موسم أو شهر زائد سنة زائد رمز واحد، مثل Summer2024!؛
• معلومات شخصية مثل حيوان أليف &#39؛s الاسم وسنة الميلاد؛
• عبارات المرور المبنية من اقتباس مشهور أو مثال معروف، بما في ذلك correct horse battery stapleالذي يأتي من xkcd كوميدي 936 ويظهر الآن في قوائم الكلمات المتصدعة.

تعتمد الإنتروبيا الصادقة لعبارة المرور على كيفية اختيار الكلمات، وليس على أحرفها. أربع كلمات تم اختيارها عشوائيًا من قائمة مكونة من 2048 كلمة تعطي 4 × log2 (2048) = 4 × 11 = 44 بت. ست كلمات من هذا القبيل تعطي 66 بت. وهذا أقل من تقارير صيغة الأحرف، ولكنه حقيقي، ولهذا السبب تختار مولدات عبارة المرور الكلمات بعملية عشوائية بدلاً من السماح للأشخاص بالاختيار.

ما الذي توصي به NIST لكلمات المرور؟

يحدد المعهد الوطني الأمريكي للمعايير والتكنولوجيا إرشادات كلمة المرور في منشور خاص لـ NIST 800-63Bإرشادات الهوية الرقمية. توصياتها للخدمات التي تتحقق من كلمات المرور تتعارض مع العديد من العادات التي تشجعها أجهزة قياس القوة القديمة

• لا تفرض قواعد تكوين مثل &quot؛ يجب أن تحتوي على رمز وحرف كبير وحرف؛. إنهم يدفعون الناس نحو بدائل يمكن التنبؤ بها.
• قارن كلمات المرور الجديدة بقوائم القيم المعروفة بأنها معرضة للخطر أو شائعة أو متوقعة، وارفض التطابقات.
• لا تفرض تغييرات دورية على كلمة المرور دون وجود دليل على وجود حل وسط.
• السماح بكلمات مرور طويلة، بما في ذلك المسافات وجميع الأحرف القابلة للطباعة، حتى تعمل عبارات المرور.

تحافظ المراجعة الحالية، SP 800-63B-4، على هذه المبادئ وترفع الحد الأدنى لطول كلمات المرور المستخدمة كعامل المصادقة الوحيد.

القراءة العملية لشخص يختار كلمة المرور: الطول والعشوائية يقومان بالعمل، ومدير كلمات المرور يجعل كلمات المرور العشوائية قابلة للاستخدام، والتحقق من الاختراق مهم بقدر أهمية مقياس القوة. هل تم Pwned&#39؛s كلمات المرور Pwned تتيح لك الخدمة التحقق مما إذا كانت كلمة المرور قد ظهرت في خرق معروف باستخدام استعلام نطاق إخفاء الهوية k، والذي يرسل فقط الأحرف الخمسة الأولى من كلمة المرور &#39؛s تجزئة SHA-1 بدلاً من كلمة المرور نفسها.

كيفية التحقق من كلمة المرور &#39؛s القوة، خطوة بخطوة

1. افتح ال مدقق قوة كلمة المرور مجانا واكتب كلمة المرور أو الصقها في الحقل. استخدم زر العين لإظهاره أو إخفائه.
2. اقرأ التصنيف والإنتروبيا المعدلة بالبت والطول.
3. قارن بين وقتي الكراك، وتذكر ذلك &quot؛ قرون وحاصل؛ يبدأ من 60 بت.
4. انظر إلى أعداد التكوين للأحرف الصغيرة والكبيرة والأرقام والرموز. يتم حساب الأحرف غير ASCII بالرموز الموجودة في هذا الصف.
5. اقرأ التحذيرات التي تحدد مشكلات محددة مثل التسلسل أو كلمة المرور الشائعة.
6. اتبع الاقتراحات وشاهد تحديث الأرقام أثناء الكتابة. عندما تسجل كلمة المرور درجة قوية أو أفضل دون أي تحذيرات، يتغير الاقتراح إلى تذكير لاستخدامه في مكان واحد فقط وتخزينه في مدير كلمات المرور.

ميزة واحدة صغيرة: الطول يحسب وحدات كود UTF-16، والطريقة التي تقيس بها JavaScript السلاسل، لذلك يتم احتساب معظم الرموز التعبيرية كحرفين.

هل من الآمن كتابة كلمة مرور حقيقية في مدقق القوة؟

باستخدام هذا المدقق، يتم التحليل بالكامل في متصفحك بلغة JavaScript عادية. لا يتم إرسال كلمة المرور عبر الشبكة، أو تسجيلها أو تخزينها، وتستمر الصفحة في العمل مع الشبكة المنفصلة. تسجل الأداة فقط حدوث فحص، وليس ما تم تحديده.

لا تزال العادة العامة سليمة: لا تكتب كلمات مرور حقيقية في مواقع لا تثق بها، لأنك لا تستطيع رؤية ما يفعله رمز الصفحة &#39؛ بها. إذا كنت تريد اختبار شكل كلمة المرور دون الكشف عن الكلمة الحقيقية، فاختبر كلمة مرور من نفس البنية بدلاً من ذلك: نفس الطول، نفس أنواع الأحرف، نفس نوع الكلمات.

كيف تجعل كلمة المرور قوية؟

الأساليب التي ترفع القوة الحقيقية، حسب ترتيب التأثير:

يقترب	مثال الانتروبيا	ملاحظات
كلمة مرور عشوائية من مدير، 20 حرفًا، بجميع أنواعها	131 بت	فريد لكل موقع؛ لا شيء لنتذكره
عبارة مرور عشوائية، 6 كلمات من قائمة مكونة من 7776 كلمة	6 × 12.9 = 77.5 بت	سهل الكتابة؛ جيد لكلمة المرور الرئيسية
كلمة مرور عشوائية، 12 حرفًا، بجميع أنواعها	78.8 بت	من الصعب حفظها
الكلمة التي اختارها الإنسان + البدائل + السنة	أقل بكثير من درجاتها	يظهر في كسر القواعد

القائمة المكونة من 7776 كلمة هي بحجم قائمة أدوات النرد القياسية، حيث تختار خمس لفات نرد كل كلمة، وlog2 (7776) = 12.9 بت لكل كلمة.

لإنشاء كلمات مرور عشوائية، مولد كلمة المرور يرسم الأحرف باستخدام المتصفح &#39؛s Web Crypto مصدر الرقم العشوائي، و دليل مولد كلمة المرور يغطي الطول واختيار مجموعة الأحرف. ال محور أدوات الأمن يسرد الأدوات ذات الصلة، بما في ذلك مولد بكريبت للمطورين الذين يقومون بتخزين كلمات المرور.

بدائل لهذا المدقق القوة

• zxcvbn، مقدر مفتوح المصدر نشرته Dropbox على GitHub، يطابق كلمات المرور مع القواميس والأسماء والتواريخ والبدائل الشائعة، وهو أفضل في الالتقاط P@ssw0rd-نمط كلمات المرور. إنها مكتبة للمطورين وليست صفحة.
• عمليات تدقيق مدير كلمة المرور تحقق من كلمات المرور المحفوظة لإعادة استخدامها ونقاط الضعف والانتهاكات المعروفة عبر جميع حساباتك مرة واحدة.
• الشيكات خرق تجيب كلمات المرور Pwned على سؤال مختلف: ليس مدى إمكانية تخمين كلمة المرور من الناحية النظرية، ولكن ما إذا كان المهاجمون يمتلكونها بالفعل.

تتمثل نقاط قوة المدقق &#39؛ في الشفافية والخصوصية: فهو يُظهر الإنتروبيا ونموذج المهاجم والتحذيرات الدقيقة، وكلمة المرور لا تترك جهازك أبدًا.