الأمن السيبراني: حماية حساباتك وأجهزتك وهويتك · الدرس 2 من 8 · 12 دقيقة
كلمات المرور وعبارات المرور ومديرو كلمات المرور
لست مضطراً إلى حفظ أربعين كلمة مرور مستحيلة. النصيحة الحديثة أبسط: كلمات مرور طويلة وفريدة، ومدير يتذكرها عنك، وعبارة مرور واحدة قوية تحفظها فعلاً عن ظهر قلب.
شاهد ملخص الدقيقة الواحدة (بالإنجليزية)
شاهد الدليل المصوّر الكامل لهذه الوحدة (بالإنجليزية)
لماذا يتفوق الطول على «التعقيد»
- يوضح المركز الوطني للأمن السيبراني البريطاني (NCSC) أن قواعد التعقيد (حرف كبير ورقم ورمز) تدفع الناس إلى أنماط متوقعة، مثل استبدال الحرف «o» بصفر، والمهاجمون يعرفون هذه العادات.
- ومن أمثلته: كلمة «Pa55word» مع رمز مضاف في آخرها تستوفي قواعد التعقيد المعتادة، لكنها تبقى سهلة التخمين.
- عدة كلمات عشوائية متتالية تكون عادة أطول من كلمة واحدة، والطول يجعل كسر كلمة المرور أصعب (NCSC).
- تنجح نصيحة NCSC باستخدام «ثلاث كلمات عشوائية» لأن الناس يستطيعون تذكّر النتيجة فعلاً، وهذا يقلل التكرار. وقد قدّمت دروس سابقة (ps-08 وai-07) هذه الفكرة؛ وهذا الدرس يبيّن كيف تبني نظاماً كاملاً حولها.
ما الذي غيّرته الجهة الأمريكية للمعايير في 2025
- نشر المعهد الوطني الأمريكي للمعايير والتقنية (NIST) نسخة جديدة من إرشاداته للهوية الرقمية (SP 800-63B Revision 4) في أغسطس 2025 (ملخص Enzoic).
- عندما تكون كلمة المرور الوسيلة الوحيدة لتسجيل الدخول، أصبح يشترط حداً أدنى من 15 حرفاً، بدلاً من عادة الأحرف الثمانية القديمة. وعندما تُستخدم كلمة المرور مع خطوة ثانية، يكون الحد الأدنى 8 (ملخص Sakimura).
- ويوصي بالسماح بكلمات مرور لا تقل عن 64 حرفاً، حتى تتسع لعبارات المرور الطويلة.
- ويقرر أن المؤسسات «يجب ألا» تفرض قواعد تركيب اعتباطية، وألا تجبر المستخدمين على تغيير كلمات المرور بانتظام ما لم يوجد دليل على اختراقها.
- ويجب فحص كلمات المرور الجديدة مقابل قائمة حظر لكلمات المرور الشائعة أو المتوقعة أو المسربة. هذه قواعد للمؤسسات، لكنها تخبرك بما يراه الخبراء اليوم ناجحاً.
كيف تبني عبارة مرور تتذكرها
- اختر ثلاث كلمات أو أكثر عشوائية حقاً لا تشكّل عبارة قد تقولها بشكل طبيعي، مثلاً بفتح كتاب على صفحات عشوائية. ولا تستخدم أبداً الأمثلة التي نشرها NCSC.
- اجعلها أطول لأهم حساباتك: أربع أو خمس كلمات عشوائية تتجاوز 15 حرفاً بسهولة.
- تجنب أي شيء يمكن للناس معرفته عنك: الأسماء، وتواريخ الميلاد، والفرق الرياضية، والحيوانات الأليفة، أو مدرستك (إرشادات NCSC التي تناولها الدرس ai-07).
- لا تحتاج إلا إلى حفظ عدد قليل من عبارات المرور: بريدك الإلكتروني، وقفل هاتفك أو حاسوبك، وكلمة المرور الرئيسية لمدير كلمات المرور. ودع المدير يتولى الباقي.
مديرو كلمات المرور: سلسلة مفاتيحك الرقمية
- يقول NCSC إن مدير كلمات المرور «يحفظ كلمات المرور لك بأمان»، ويستطيع إنشاء كلمات مرور قوية، وتعبئتها تلقائياً.
- والتعبئة التلقائية تحميك أيضاً من التصيّد الاحتيالي: يذكر NCSC أن كلمة المرور لا تُعبّأ تلقائياً إلا في الموقع الصحيح، فلا تحصل الصفحة المزيفة على شيء.
- بعض المديرين يزامنون البيانات بين أجهزتك وينبهونك عندما تظهر كلمة مرور محفوظة في تسريب (NCSC).
- لا يوجد منتج واحد هو الأفضل. يقول NCSC إن الأفضل هو الذي يلبي احتياجاتك: فكّر في الأجهزة التي تستخدمها، والتكلفة، والميزات مثل تنبيهات التسريب.
- احمِ المدير نفسه بعبارة مرور رئيسية قوية تتذكرها، وفعّل التحقق بخطوتين عليه، واضبط خيارات الاسترداد التي يتيحها، مثل جهة اتصال موثوقة (NCSC).
وماذا عن حفظ كلمات المرور في المتصفح؟
- يقول NCSC إن السماح لمتصفحك أو جهازك بحفظ كلمات المرور آمن على أجهزتك الخاصة، وهو الخيار الأسهل إذا كنت تستخدم المتصفح نفسه في كل مكان.
- لا تحفظ كلمات المرور أبداً في متصفح على حاسوب مشترك أو عام، مثل حاسوب المكتبة أو المدرسة (NCSC).
- على حاسوب محمول تتشاركه العائلة، ينصح NCSC بعدم حفظ كلمات المرور إذا لم تكن متأكداً من الأشخاص الآخرين الذين يستطيعون استخدامه.
- كلمات المرور المحفوظة في المتصفح آمنة بقدر أمان جهازك وحسابك فقط، لذا أبقِ التحديثات التلقائية مفعّلة وأقفل أجهزتك (NCSC).
- لا يتفق جميع الخبراء: فمكتب الأمن في جامعة ديوك يطلب من مستخدميه عدم استخدام ميزة «تذكّر كلمة المرور» في المتصفح واستخدام مدير كلمات المرور بدلاً منها. وفي الحالتين، المدير أو الحفظ في المتصفح أفضل من تكرار كلمة مرور واحدة.
خطة تحسين في أربعة أسابيع
- الأسبوع الأول: ثبّت مدير كلمات مرور (أو فعّل المدير المدمج في جهازك) واحمه بعبارة مرور طويلة وبالتحقق بخطوتين.
- الأسبوع الثاني: امنح بريدك الإلكتروني الرئيسي عبارة مرور جديدة وفريدة. ويقول NCSC إن عليك تغييرها في أسرع وقت ممكن إذا كنت قد كررتها في أي وقت.
- الأسبوع الثالث: غيّر كلمات مرور حسابات البنك والدفع والتسوق والتواصل الاجتماعي، ودع المدير ينشئ كلمات مرور طويلة وعشوائية.
- الأسبوع الرابع: غيّر كل ما تبقى كلما سجلت الدخول، واحذف الحسابات التي لم تعد تستخدمها.
طبّقها في حياتك
حدّد كل مهمة عند إنجازها.
- اختر مدير كلمات مرور وجهّزه هذا الأسبوع، مع أحد والديك إذا كنتم تتشاركون الأجهزة، واحمه بعبارة مرور من أربع كلمات عشوائية على الأقل.
- امنح حساب بريدك الإلكتروني عبارة مرور جديدة تماماً لم تستخدمها في أي مكان آخر.
- سجّل الخروج من أي متصفح على حاسوب مشترك أو حاسوب المدرسة يحفظ كلمات مرورك، واحذف كلمات المرور المحفوظة.
تذكّر
- الطول يتفوق على التعقيد: كلمات عشوائية، لا حيل مثل «P@ssw0rd».
- أصبح NIST يطلب 15 حرفاً على الأقل عندما تُستخدم كلمة المرور وحدها.
- كلمة مرور فريدة لكل حساب، بدءاً بالبريد الإلكتروني.
- مدير كلمات المرور يتذكر الباقي، ولا يعبّئ البيانات تلقائياً في المواقع المزيفة.
- لا تحفظ كلمات المرور أبداً على الحواسيب المشتركة أو العامة.
ملاحظة: تفاصيل NIST مأخوذة من ملخصات لإرشادات SP 800-63B Revision 4 (من Enzoic ونات ساكيمورا) لا من نص NIST نفسه، وقواعد NIST موجهة إلى المؤسسات لا إلى الأفراد. ويختلف الخبراء حول حفظ كلمات المرور في المتصفح: يقول NCSC إنه آمن على أجهزتك الخاصة، بينما تنصح بعض مكاتب الأمن الجامعية بعدم استخدامه. وتختلف ميزات المنتجات وخيارات الاسترداد، لذا راجع صفحات المساعدة الخاصة بمدير كلمات المرور الذي تختاره.
اختبر نفسك
1. لماذا يقول NCSC إن قواعد التعقيد كثيراً ما تفشل؟
2. وفق إرشادات NIST لعام 2025، ما الحد الأدنى للطول عندما تكون كلمة المرور الوسيلة الوحيدة لتسجيل الدخول؟
3. كيف تساعد التعبئة التلقائية في مدير كلمات المرور على حمايتك من التصيّد الاحتيالي؟
4. أين يقول NCSC إنه لا يجوز أبداً حفظ كلمات المرور في المتصفح؟
5. أيّ حساب يجب أن يحصل أولاً على كلمة مرور قوية وفريدة؟
المصادر
المصادر باللغة الإنجليزية.
- NCSC blog: The logic behind three random words
- Enzoic: NIST SP 800-63B Revision 4, what's new in password security
- Nat Sakimura: NIST SP 800-63B-4, deciphering the new password security standard (2025)
- NCSC: Managing your passwords (password managers)
- NCSC: Use a strong and separate password for your email
- Duke University IT Security Office: Safe browsing guide