كيف تعمل : عبارة مرور
ست كلمات مسحوبة عشوائيا تغلب كلمة مرور من ثمانية رموز، والأداة تثبت ذلك لكم بالحساب. وهي تقول أيضا ما لا يفيد شيئا: فالحرف الكبير والفاصل يساويان صفر بت.
مولّد كلمات المرور أسوأ موضع ممكن للثقة بخادم. فإن صُنع السر في غير مكانكم، فقد رآه غيركم يمر، وليس عندكم أي وسيلة لمعرفة هل حفظه. أما هنا فالعبارة تُسحب في متصفحكم، بمولّد العشوائية في نظامكم، وهي تختفي حين تغلقون التبويب.
والطريقة طريقة النرد: كل كلمة تُسحب مستقلة من قائمة من 7776 كلمة، لأن 7776 هو بالضبط عدد نتائج خمس حبات نرد. وهذه ليست حيلة معلوماتي، بل طريقة يمكن إعادة أدائها باليد بنرد حقيقي وبالقائمة مطبوعة، وهذا ما يجعلها قابلة للتحقق.
وما تفعله هذه الأداة ولا تفعله أبدا مؤشرات «قوة كلمة المرور»: هي تعرض الحساب. فكل سطر يقول كم يضيف، والسطور التي لا تضيف شيئا مكتوبة عند الصفر. فوضع حرف كبير في أول كل كلمة لا يزيد العبارة متانة ببت واحد، لأنها قاعدة يعرفها الجميع. وقول ذلك أنفع من شريط أخضر.
كيف تعمل
- اضبطوا عدد الكلمات. وست كلمات هي الخيار الصحيح لأغلب الناس.
- انقروا على «صناعة عبارة مرور». تظهر العبارة، مع عشوائيتها محسوبة سطرا سطرا، ومع الزمن اللازم للعثور عليها.
- انسخوها ورتّبوها فورا، في مدير كلمات مرور أو في ذاكرتكم. فهي ليست في أي مكان آخر: ولا أحد يستطيع إعادتها إليكم.
الصيغ المقبولة
هذه الأداة لا تستقبل شيئا البتة: لا ملفا، ولا نصا. فلا يوجد إذن ما يُرسل، ولو خطأ. وهي الأداة الوحيدة في الورشة على هذه الحال، ولهذا يتحدث شريط الثقة عندها عمّا تصنعه لا عمّا تُفلتونه.
لا دخل
تنطلق الأداة من إعداداتكم ومن مولّد العشوائية في نظامكم. وقائمة الكلمات مدمجة في شيفرتها: فلا يوجد ما يُجلَب، والأداة تعمل والاتصال مقطوع.
حدودها
قائمتان من 7776 كلمة، واحدة لكل لغة، ولا واحدة أكثر
نحن لا ندمج قائمة إلا إذا كانت رخصتها الحرة مكتوبة بخط واضح من صاحبها، وقد اضطررنا إلى استبعاد عدة قوائم لهذا السبب وحده: فقائمة فرنسية واسعة الانتشار لا تُوجَد لها رخصة، وأخرى يكتب صاحبها بنفسه أنه لا يعرف أي رخصة تنطبق عليها. أما القائمتان اللتان عندكم هنا فقائمة Electronic Frontier Foundation، برخصة Creative Commons Attribution، والقائمة التي جمعها «Tango» لـTails OS وThe Tor Project، برخصة CC0 1.0 Universal. ولا واحدة منهما فيها علامات تشكيل، وهذا مقصود: فالكلمة التي لا نعرف كتابتها كلمة غير صالحة للاستعمال. ولا توجد قائمة عربية: لم نجد واحدة برخصة حرة مكتوبة صراحة، ولن ندمج قائمة لا نعرف حالها.
الحرف الكبير والفاصل لا يضيفان شيئا، والأداة تعرضهما عند الصفر
هما قاعدتان حتميتان: ومن يعرف كيف تعمل هذه الأداة يعرفهما أصلا. فهما لا يضاعفان عدد العبارات التي يجب تجريبها. وهما موجودان فقط لأن بعض الاستمارات تشترط حرفا كبيرا أو ترفض المسافات، والأداة تعرضهما بأمانة عند صفر بت بدل أن تنفخ عدّادا.
أربع كلمات في القائمة تحتوي شرطة أصلا
وهي drop-down وfelt-tip وt-shirt وyo-yo. فإن اخترتم الشرطة فاصلا، لم تعد العبارة الناتجة تُقسَّم بالعين. وهذا لا يغيّر شيئا في متانتها، لكنه قد يفاجئ عند إعادة القراءة، فنقوله.
العبارة الضائعة ضائعة
هي لا تُرسل إلى أي مكان، ولا تُكتب في أي مكان، وهي تختفي عند إغلاق التبويب. وهذه بالضبط الخاصية المطلوبة في مولّد أسرار، ومعناها أن الحفظ عملكم أنتم، لا عملنا.
مدد الهجوم رتب مقادير، مع فرضياتها معروضة
هي تتوقف كليا على طريقة حماية الخدمة التي تحفظ كلمة مروركم، وذلك غير مرئي لكم. ونحن نعطي ثلاث فرضيات مسمّاة بدل رقم واحد يبدو ضمانا. وكلها تفترض أن المهاجم يعرف الطريقة: وهذا مبدأ كيركهوفس، وهو الفرضية الأمينة الوحيدة.
أسئلة عن هذه الأداة
هل تُرسَل العبارة إلى مكان ما؟
لا، وهذه الأداة التي يهم فيها ذلك أكثر من غيرها. افتحوا أداة الفحص بمفتاح F12، وتبويب «الشبكة»، وأفرغوا القائمة، ثم اصنعوا من العبارات ما شئتم: تبقى القائمة فارغة. واقطعوا اتصالكم وأعيدوا الكرّة: تظل الأداة تصنع، لأن قائمة الكلمات في شيفرتها. ومولّد أسرار يحتاج إلى الشبكة سيكون مولّد أسرار مشتركة.
لماذا ست كلمات بدل كلمة مرور معقدة من ثمانية رموز؟
لأن ست كلمات مسحوبة عشوائيا تساوي نحو 77 بتا من العشوائية، وثمانية رموز مسحوبة عشوائيا حقا على لوحة مفاتيح تساوي نحو 52. فالكلمات الست إذن أصعب في العثور عليها بأكثر من ثلاثين ألف مرة، وأسهل في الحفظ بما لا يقاس. وكلمة مرور من ثمانية رموز يختارها إنسان، بحرفها الكبير في أولها ورقمها في آخرها، تساوي أقل من 52 بتا بكثير: فهذا تحديدا النمط الذي تجرّبه أدوات الهجوم أولا.
من أين جاء العدد 7776؟
من خمس حبات نرد. فستة وجوه مرفوعة إلى خمسة تساوي 7776، أي أن كل كلمة في القائمة توافق رمية خمس حبات نرد، والطريقة تُعاد باليد بنرد حقيقي وبالقائمة مطبوعة. وهذا ما يجعلها قابلة للتحقق من أي أحد، من دون الثقة ببرنامج، ولا ببرنامجنا نحن.
لماذا يُعرض الحرف الكبير عند صفر بت؟
لأنه لا يضيف أي احتمال يُجرَّب. فإن كانت القاعدة «حرف كبير في أول كل كلمة»، عرفها من يهاجم وطبّق القاعدة نفسها: فلم يتحرك عدد العبارات الممكنة قيد أنملة. وسيكون الأمر مختلفا لو وقع الحرف الكبير في موضع مسحوب عشوائيا، لكن العبارة ستصير حينها مستحيلة الحفظ. أما الرقم فمسحوب عشوائيا فعلا، والأداة تحسب بتاته الثلاثة والثلث.
هل أستطيع الحصول على كلمات بلغتي؟
بالإنجليزية والفرنسية، نعم: قائمتان من 7776 كلمة مدمجتان. أما بالعربية فلا: فلم نجد قائمة عربية برخصة حرة مكتوبة صراحة من صاحبها، ونحن لا ندمج ما لا نعرف حاله. والقائمتان بلا علامات تشكيل، كي تُكتب كل كلمة على أي لوحة مفاتيح. ومتانة العبارة لا تتوقف على اللغة، بل على السحب وحده: والذي يتغير باللغة هو قدرتكم على حفظ العبارة، وهذا أبعد ما يكون عن التفصيل.
هل أستطيع استعمال هذه العبارة لأداة التشفير في هذا الموقع؟
نعم، وهذا هو الاستعمال المقصود بالضبط. فخزنة ركن الأمان تشتق مفتاحها من كلمة مروركم بستمئة ألف تمريرة حساب، وهذا يجعل الهجوم بطيئا جدا؛ ومع عبارة من ست كلمات، فهو متين لزمن طويل. وهذا صحيح أيضا في كلمة مرور ملف PDF، وهو هناك أهم: فهذه الصيغة لا تبطّئ التحقق من كلمة المرور، أي أن المتانة تقوم كليا على العبارة.
هل أستطيع إعادة الصناعة عدة مرات واختيار ما يعجبني؟
نعم، من دون أي خسارة. فكل سحب مستقل عمّا قبله: والاختيار من بين ثلاث عبارات مقترحة لا يخفض عشوائية التي تحتفظون بها. والذي سيخفضها هو تعديل العبارة باليد كي يحسن وقعها، أو رفض الكلمات التي لا تعرفونها رفضا منهجيا. فهناك، نعم، تضيّقون فضاء الاحتمالات.
ست كلمات مسحوبة عشوائيا تغلب كلمة مرور من ثمانية رموز، والأداة تثبت ذلك لكم بالحساب. وهي تقول أيضا ما لا يفيد شيئا: فالحرف الكبير والفاصل يساويان صفر بت.
التحققالبرهان، خطوة خطوةالتحقق بفاحص الشبكة، مشروحا حركة حركة، مع لقطات الشاشة.
الركنركن الأمانتشفير ملف، وصناعة عبارة مرور متينة، والتأكد من أن ملفا نزّلتموه لم يُمس، ونزع المتعقّبات من رابط.