كيف تنشئ كلمة مرور قوية يصعب اختراقها فعلياً

معظم النصائح التي قرأتها عن كلمات المرور قديمة. حرف كبير، رقم، رمز، وتغيير كل 90 يوماً.

هذه القواعد لم تعد توصية أفضل الممارسات. الأبحاث أثبتت أنها تنتج كلمات يسهل تخمينها ويصعب تذكرها.

في هذا الدليل نشرح ما الذي يجعل كلمة مرور قوية فعلاً، وكيف تكسر الهجمات الحديثة الحسابات، وكيف تبني سياسة عملية داخل مؤسستك.

ما الذي يجعل كلمة مرور قوية فعلاً؟

العامل الحاسم هو الطول، وليس التعقيد.

السبب رياضي بحت. كل حرف إضافي يضاعف عدد الاحتمالات التي يجب على المهاجم تجربتها، بينما استبدال حرف بـرمز يضيف احتمالات محدودة جداً.

خصائص كلمة مرور قوية:

طويلة: 15 حرفاً فأكثر كلما أمكن.

فريدة: لا تُستخدم في أكثر من حساب واحد.

غير متوقعة: لا تحتوي أسماء أو تواريخ أو كلمات قاموسية مباشرة.

غير مسربة: لم تظهر في قوائم التسريبات المعروفة.

النقطة الأخيرة يغفلها كثيرون. كلمة معقدة لكنها مسرّبة سابقاً تُكسر خلال ثوانٍ.

ماذا تغيّر في توصيات NIST

حدّث المعهد الوطني الأمريكي للمعايير والتقنية إرشاداته في الوثيقة SP 800-63B، وقلبت التوصيات الجديدة كثيراً من الممارسات الشائعة.

الحد الأدنى للطول

الحد الأدنى المطلوب هو ثمانية محارف. أما حين تكون كلمة المرور هي وسيلة التحقق الوحيدة دون مصادقة متعددة العوامل، فالتوصية ترتفع إلى 15 محرفاً.

دعم كلمات طويلة وإلغاء قواعد التركيب

يجب أن تقبل الأنظمة كلمات تصل إلى 64 محرفاً على الأقل، وأن تسمح بالمسافات وجميع الأحرف المطبوعة.

كما لم تعد قواعد التركيب الإجبارية موصى بها. إلزام المستخدم بحرف كبير ورمز يدفعه إلى أنماط متوقعة مثل استبدال حرف A بالرمز @.

إيقاف التغيير الدوري الإجباري

التغيير الدوري بلا سبب يدفع المستخدمين إلى تعديلات سطحية متسلسلة. التوصية الحالية: غيّر كلمة المرور عند وجود دليل على اختراق فقط.

كيف يكسر المهاجمون كلمات المرور

فهم أساليب الهجوم يوضح لماذا يهم الطول أكثر من الرموز.

القوة الغاشمة (Brute Force)

تجربة كل التركيبات الممكنة آلياً. هذا الأسلوب يفشل أمام الطول، لأن كل حرف إضافي يرفع زمن الكسر بشكل أسي.

هجوم القاموس

تجربة قوائم جاهزة من الكلمات الشائعة وتصريفاتها المتوقعة. كلمة مثل "Ahmed@2024" تسقط في هذه الفئة رغم أنها تحقق قواعد التعقيد شكلياً.

حشو بيانات الاعتماد (Credential Stuffing)

المهاجم يأخذ بيانات مسربة من موقع اختُرق سابقاً، ثم يجربها آلياً على مئات المواقع الأخرى.

هذا الأسلوب لا يكسر التشفير إطلاقاً. هو يستغل عادة إعادة استخدام كلمة المرور فقط.

لماذا إعادة الاستخدام هي الخطأ الأكبر

تسريب واحد في متجر إلكتروني صغير يفتح بريدك المؤسسي.

المهاجم يبدأ بالبريد لأنه مفتاح إعادة تعيين باقي الحسابات.

الضرر ينتقل من حساب شخصي إلى بيانات المؤسسة خلال دقائق.

ولمعرفة كيف تتحول هذه الخطوة إلى اختراق كامل، راجع مقالة الاختراق.

طريقة عبارة المرور (Passphrase) خطوة بخطوة

عبارة المرور هي الحل العملي لمعادلة "طويلة وسهلة التذكر"، وهي النهج الذي تتجه إليه المعايير الحديثة كما في الإصدار الرابع من الوثيقة SP 800-63B.

اتبع الخطوات التالية:

اختر أربع أو خمس كلمات غير مترابطة منطقياً.

تجنب العبارات المشهورة والأمثال والآيات والأبيات الشعرية.

اربطها بفواصل بسيطة مثل الشرطة أو المسافة.

أضف عنصراً مميزاً غير متوقع في منتصف العبارة.

تحقق من الطول: يجب ألا يقل عن 15 محرفاً.

لا تستخدم العبارة نفسها في أكثر من حساب.

مثال على البنية المطلوبة: أربع كلمات عشوائية تماماً لا تجمعها علاقة ولا تصف صاحبها.

مدير كلمات المرور: لماذا هو الحل الواقعي

لا أحد يستطيع تذكّر خمسين عبارة فريدة. هنا يصبح مدير كلمات المرور ضرورة لا رفاهية.

الفائدة العملية:

يولّد كلمات عشوائية طويلة لكل حساب.

يخزنها مشفّرة خلف كلمة مرور رئيسية واحدة.

يملأ البيانات تلقائياً، ما يقلل خطر إدخالها في موقع مزيّف.

ينبّهك عند ظهور أحد حساباتك في تسريب.

معايير اختيار مدير آمن

تشفير من طرف إلى طرف بحيث لا يرى المزوّد بياناتك.

تدقيق أمني مستقل ومنشور.

دعم المصادقة متعددة العوامل على الخزنة نفسها.

إمكانية التصدير حتى لا تُحتجز بياناتك لدى مزوّد واحد.

المصادقة متعددة العوامل ومفاتيح المرور

حتى أقوى كلمة مرور قد تُسرق عبر التصيّد. لهذا لا تكتفِ بها وحدها.

فعّل المصادقة متعددة العوامل على كل حساب يدعمها.

فضّل تطبيقات التحقق أو المفاتيح المادية على الرسائل النصية.

انتقل تدريجياً إلى مفاتيح المرور (Passkeys) حيثما توفرت.

وللتعرف على كيفية سرقة بيانات الدخول أصلاً، راجع رسائل التصيد الاحتيالي.

كيف تختبر كلمة مرور قوية قبل اعتمادها

قبل أن تعتمد كلمة مرور قوية لحساب مهم، مرّرها على أربعة أسئلة سريعة.

أسئلة الاختبار الأربعة

هل تتجاوز 15 محرفاً؟

هل تخلو من أي معلومة يعرفها عنك زميل أو متابع؟

هل هي فريدة تماماً ولم تُستخدم في حساب آخر؟

هل تحققت من عدم ظهورها في تسريبات معلنة؟

إجابة "لا" على أي سؤال تعني أنها ليست كلمة مرور قوية بما يكفي لحساب حساس.

احذر من مؤشرات القوة في المواقع

كثير من المواقع تعرض شريطاً أخضر يقول "قوية جداً". هذا المؤشر يقيس التركيب الشكلي غالباً، لا مقاومة الكسر الحقيقية.

كلمة مثل "P@ssw0rd123!" قد تنال تقييماً ممتازاً، وهي في الواقع من أوائل ما تجربه أدوات الهجوم.

ترتيب حساباتك حسب الأولوية

ليست كل الحسابات متساوية. ابدأ بحماية ما يفتح الباقي.

المستوى الأول: البريد الإلكتروني ومدير كلمات المرور والحساب البنكي.

المستوى الثاني: أنظمة العمل والتخزين السحابي وحسابات الإدارة.

المستوى الثالث: التواصل الاجتماعي والتسوق والاشتراكات.

خصّص أطول كلمة مرور قوية وأقوى مصادقة للمستوى الأول، لأن اختراقه يسقط كل ما تحته.

متى تغيّر كلمة المرور فوراً

هناك مواقف لا تحتمل التأجيل:

ظهور بريدك أو حسابك في تسريب معلن.

تلقي إشعار دخول من جهاز أو دولة لا تعرفها.

إدخال بياناتك في رابط اتضح لاحقاً أنه مزيف.

مشاركة الحساب سابقاً مع موظف غادر المؤسسة.

اختفاء رسائل من بريدك أو تغيّر إعداداته دون علمك.

في هذه الحالات غيّر كلمة المرور أولاً، ثم أنهِ كل الجلسات النشطة، ثم راجع أجهزة الدخول المسجلة.

أخطاء شائعة تُضعف كلمة مرور قوية

كتابتها في ملاحظة على سطح المكتب أو في ملف نصي.

مشاركتها مع زميل "مؤقتاً" لإنجاز مهمة.

بناؤها على اسم الشركة أو المشروع الحالي.

استخدام النمط نفسه مع تغيير رقم في نهايته.

الاعتماد على أسئلة أمان إجاباتها منشورة على حساباتك العامة.

سياسة كلمات المرور داخل المؤسسة

ترجم المبادئ السابقة إلى قائمة تحقق قابلة للتطبيق:

اضبط حداً أدنى 15 محرفاً للحسابات دون مصادقة إضافية.

ألغِ الانتهاء الدوري الإجباري واربط التغيير بالحوادث.

افحص كلمات المرور الجديدة مقابل قوائم التسريبات.

اعتمد مدير كلمات مرور مؤسسياً بدل الجداول المشتركة.

افرض المصادقة متعددة العوامل على الأنظمة الحساسة.

راجع الحسابات الخاملة وأغلقها.

درّب الموظفين على السبب لا على القاعدة فقط.

هذه المتطلبات تتقاطع مع أساسيات أمن المعلومات المعتمدة في معظم أطر الامتثال.

الخلاصة

بناء كلمة مرور قوية مسألة هندسة بسيطة لا حفظ رموز معقدة.

الطول يتفوق على التعقيد في كل الحسابات تقريباً.

عبارة المرور تحقق الطول دون إرهاق الذاكرة.

التفرّد يمنع تحول تسريب واحد إلى اختراق شامل.

مدير كلمات المرور والمصادقة متعددة العوامل يكملان الصورة.

كلمة مرور قوية لحساب البريد أهم من عشر كلمات لحسابات ثانوية.

الخلاصة العملية: كلمة مرور قوية ليست كلمة صعبة الكتابة، بل كلمة يصعب تخمينها ويستحيل عملياً تجربتها آلياً.

درّب فريقك على عادات كلمات المرور الآمنة

السياسة المكتوبة لا تغيّر السلوك وحدها. الموظف يحتاج إلى تدريب متدرج وقابل للقياس.

عبر منصة LMS-X لإدارة التعلم يمكنك إطلاق مسارات تدريبية قصيرة حول إدارة الهوية وكلمات المرور، وتتبّع الإكمال ودرجات الاختبار لكل قسم. اطلب عرضاً توضيحياً لترى كيف تحوّل السياسة إلى ممارسة يومية.

للاستفسار عن البرامج المناسبة لحجم فريقك، تواصل معنا أو تصفّح الصفحة الرئيسية.

الأسئلة الشائعة

ما هو الطول المناسب لكلمة مرور قوية؟

ثمانية محارف هي الحد الأدنى المقبول. عند غياب المصادقة متعددة العوامل، ترتفع التوصية إلى 15 محرفاً فأكثر.

هل ما زال تغيير كلمة المرور كل ثلاثة أشهر مفيداً؟

لا يُوصى به دون سبب. التغيير الدوري الإجباري يدفع إلى تعديلات سطحية متوقعة. غيّرها فوراً عند الاشتباه في تسريب.

هل مديرو كلمات المرور آمنون؟

المخاطرة موجودة كأي نظام، لكنها أقل بكثير من إعادة استخدام كلمة واحدة عبر عشرات الحسابات. اختر مزوّداً مدقّقاً وفعّل التحقق الإضافي على الخزنة.

هل تكفي كلمة مرور قوية دون مصادقة ثنائية؟

لا. التصيّد يسرق أقوى كلمة بمجرد إدخالها في صفحة مزيّفة. المصادقة متعددة العوامل هي الطبقة التي توقف الاستخدام بعد السرقة.