تقيس إنتروبيا كلمة المرور عدد التخمينات التي يحتاجها المهاجم، معبَّرًا عنها بالبت. وكل بت إضافي يضاعف الجهد. وهي أصدق طريقة لمقارنة قواعد كلمات المرور، ما دامت كلمة المرور عشوائية حقًا.
كيف تعمل
كلمة مرور طولها L تُسحب عشوائيًا من N حرفًا ممكنًا لها N^L قيمة ممكنة. والإنتروبيا = log2(N^L) = L × log2(N) بت.
في المتوسط يعثر المهاجم على كلمة مرور عشوائية بعد تجربة نصف الاحتمالات كلها، فيكون متوسط الوقت = N^L ÷ 2 ÷ عدد التخمينات في الثانية.
تتوقف سرعة الهجوم على الحالة. فتسجيلات الدخول عبر الإنترنت يُحدَّد معدلها عادةً ببضعة تخمينات في الثانية. وإذا سُرقت قاعدة بيانات كلمات المرور في موقع، خمّن المهاجمون خارج الإنترنت، وتتوقف السرعة على طريقة تجزئة كلمات المرور: فالتجزئة البطيئة مثل bcrypt تسمح بآلاف التخمينات في الثانية، والسريعة تسمح بمليارات.
مثال محلول
كلمة مرور من 12 حرفًا من الأحرف والأرقام لها 62^12 = 3.23 × 10^21 احتمالًا، أي 12 × log2(62) = 71.5 بت من الإنتروبيا. وبسرعة 10 مليارات تخمين في الثانية، يستغرق العثور عليها نحو 5,100 سنة في المتوسط.
أمثلة إضافية
كلمة مرور من 16 حرفًا من الأحرف والأرقام لها نحو 95 بت من الإنتروبيا. أما كلمة مرور من 8 أحرف تستخدم جميع الأحرف القابلة للطباعة وعددها 95 فلها نحو 52.6 بت، وقد تسقط خلال نحو 3.8 أيام بسرعة 10 مليارات تخمين في الثانية.
أخطاء شائعة
- افتراض أن التعقيد يتفوق على الطول؛ فالطول الإضافي يضيف أكثر.
- معاملة كلمات المرور التي يختارها الإنسان كأنها عشوائية.
- إعادة استخدام كلمة مرور قوية في مواقع متعددة.
- تجاهل سرعة الهجوم، وهي تتوقف على طريقة تخزين كلمات المرور.
أسئلة يطرحها الناس
هل ينطبق هذا على كلمات المرور التي أبتكرها بنفسي؟
لا. فالحساب يفترض أن كل حرف مختار عشوائيًا. أما كلمات المرور التي يختارها الإنسان فتتبع أنماطًا، كالكلمات والأسماء والسنوات، يجرّبها المهاجمون أولًا، فقوتها الحقيقية أقل بكثير مما يظهره هذا.
هل الطول أهم أم التعقيد؟
الطول. فإضافة الرموز ترفع البتات لكل حرف من نحو 5.95 إلى 6.57، بينما يضيف كل حرف إضافي 5.95 كاملة أو أكثر. وكلمة مرور أطول من الأحرف والأرقام تتفوق عادةً على أقصر منها فيها رموز.
كم بتًا من الإنتروبيا يكفي؟
نحو 60 بتًا يقاوم التخمين خارج الإنترنت مدة طويلة في كلمات المرور المجزَّأة جيدًا، و80 بتًا أو أكثر مريح حتى أمام التجزئة السريعة. ومدير كلمات المرور الذي يولّد 16 حرفًا عشوائيًا أو أكثر يتجاوز الحدّين بسهولة.
كيف تُحسب إنتروبيا كلمة المرور؟
الإنتروبيا بالبت = الطول × log₂(عدد الأحرف الممكنة)، لكلمة مرور تُختار عشوائيًا. وكلمة مرور عشوائية من 12 حرفًا من 94 حرفًا قابلًا للطباعة لها نحو 12 × 6.55 = 78.7 بت.
هل عبارة المرور أقوى من كلمة المرور؟
قد تكون كذلك إن اختيرت عشوائيًا. فخمس كلمات تُختار عشوائيًا من قائمة فيها 7,776 كلمة تعطي نحو 64.6 بت، وست كلمات تعطي نحو 77.5، مع كونها أسهل في التذكر بكثير من الأحرف العشوائية.