لا يفيدك مُوَلِّد كلمات المرور إلا إذا اخترت النوع المناسب من الرموز السرية لهذه المهمة. وهنا يقع الكثير من الناس في الحيرة؛ فهم يعرفون أنهم يريدون شيئاً أقوى، لكنهم ليسوا متأكدين مما إذا كان يجب عليهم إنشاء كلمة مرور عشوائية، أو عبارة مرور سهلة التذكر، أو رمز PIN رقمي.

أسهل طريقة لاتخاذ القرار هي التوقف عن طرح سؤال "أي خيار هو الأقوى" بشكل تجريدي، والبدء بطرح سؤال "أي خيار يناسب سياق تسجيل الدخول". فحساب موقع إلكتروني، وتسجيل الدخول اليومي على الهاتف المحمول، وفتح قفل جهاز محلي، لا تشكل جميعها نفس النوع من المخاطر.

إذا كنت ترغب في الاختيار بسرعة، فإن وضع كلمة المرور العشوائية على الصفحة الرئيسية هو الخيار الافتراضي الأفضل لمعظم عمليات تسجيل الدخول للحسابات، في حين أن وضع عبارة المرور سهلة التذكر ومُوَلِّد رمز PIN على الصفحة الرئيسية يكونان أكثر منطقية في حالات أضيق. المفتاح هو معرفة المكان المناسب لكل خيار منها.

لماذا لا يمكن لوضع واحد في الموَلِّد أن يناسب كل عمليات تسجيل الدخول

الرمز السري القوي لتسجيل الدخول لا يعتمد فقط على التعقيد الخام، بل يعتمد أيضاً على المكان الذي تستخدمه فيه وعدد مرات كتابته. كما يعتمد الأمر على ما إذا كان هناك مدير كلمات مرور مستخدم، وما إذا كان الرمز السري يحمي حساباً عن بُعد أو يفتح قفل جهاز محلي فقط.

ولهذا السبب يوفر الموقع ثلاثة أوضاع بدلاً من وضع واحد. فخيارات "عشوائي" (Random)، و"سهل التذكر" (Memorable)، و"رمز PIN" ليست خيارات تجميلية، بل هي تحل نقاط صعوبة مختلفة مع الحفاظ على الهدف الأساسي نفسه: إنشاء شيء فريد بدلاً من إعادة استخدام بيانات اعتماد قديمة وضعيفة.

متى تكون كلمة المرور العشوائية هي الخيار الافتراضي الأقوى

الأفضل لتسجيلات دخول الحسابات التي ستحفظها في مدير كلمات المرور

بالنسبة لمعظم حسابات المواقع الإلكترونية والتطبيقات، تظل كلمة المرور العشوائية هي الخيار الافتراضي الأقوى. فهي يصعب التنبؤ بها، ويسهل جعلها فريدة، ولا تعتمد على ذاكرتك إذا قمت بتخزينها بشكل صحيح.

وهذا يتوافق مع المعايير الحالية. ينص معيار NIST SP 800-63B على أن كلمات المرور المستخدمة كرموز سرية للمصادقة أحادية العامل يجب أن تتكون من 15 حرفاً على الأقل. وهذا أحد الأسباب التي تجعل المُوَلِّد مفيداً جداً لتسجيلات الدخول المحفوظة: فهو يجعل إنشاء سلاسل طويلة وفريدة أمراً سهلاً دون الحاجة لابتكارها يدوياً.

أين تخلق السلاسل العشوائية صعوبة أكثر من الفائدة

تصبح السلاسل العشوائية أقل ملاءمة عندما تضطر إلى كتابتها بشكل متكرر على هاتف، أو جهاز لوحي، أو جهاز تحكم عن بُعد في التلفاز، أو أي سطح إدخال آخر يصعب التعامل معه. في تلك الحالات، قد تدفع السلسلة الأقوى من الناحية النظرية الأشخاص نحو سلوك غير آمن، مثل تخزين كلمات المرور في ملاحظات نصية واضحة أو إعادة استخدام كلمات مرور أسهل لاحقاً.

هذا لا يعني أن كلمات المرور العشوائية خاطئة، بل يعني أنها تعمل بشكل أفضل عندما يقترن تسجيل الدخول بمدير كلمات مرور أو وسيلة موثوقة أخرى لتخزينها وملئها تلقائياً.

متى يكون خيار عبارة المرور سهلة التذكر هو الأفضل للموازنة

مناسب لتسجيلات الدخول التي يجب عليك كتابتها بشكل متكرر

يمكن أن تكون عبارة المرور سهلة التذكر خياراً أفضل للموازنة عندما تحتاج إلى رمز سري ستدخله بانتظام ولا يمكنك دائماً الاعتماد على الملء التلقائي. غالباً ما تكون العبارة الطويلة المكونة من كلمات غير مترابطة أسهل في الكتابة وأقل إغراءً لتدوينها في المكان الخطأ.

يدعم معيار NIST أيضاً الرموز السرية الأطول والأكثر مرونة هنا. تنص التوجيهات نفسها الصادرة عن NIST على أنه يجب على أنظمة التحقق قبول جميع أحرف ASCII القابلة للطباعة بالإضافة إلى حرف المسافة. كما تنص على أنه يجب السماح بحد أقصى للطول لا يقل عن 64 حرفاً. وهذا يفسح المجال لعبارات مرور طويلة بدلاً من إجبار المستخدمين على استخدام سلاسل قصيرة يصعب تذكرها.

أين لا تزال عبارات المرور بحاجة إلى حذر إضافي

لا تكون عبارة المرور قوية تلقائياً لمجرد أنها تستخدم كلمات. فهي لا تزال بحاجة إلى أن تكون طويلة بما يكفي، وغير شائعة بما يكفي، وفريدة لهذا الحساب. الاقتباس الشهير، أو كلمات أغنية، أو عبارة تستخدمها بالفعل في مكان آخر ليس بديلاً جيداً لرمز سري جديد تماماً.

وهنا يساعد وضع "سهل التذكر" (Memorable) في الموقع. فهو يمنحك طريقة لإنشاء شيء أسهل في الحفظ دون الانجراف مرة أخرى إلى الأنماط الشخصية، أو العبارات المفضلة المعاد استخدامها، أو الاستبدالات المتوقعة.

متى يكون رمز PIN مخصصاً للجهاز وليس للمواقع الإلكترونية

مفيد لسياقات فتح قفل الجهاز محلياً

يناسب رمز PIN الرقمي سياقات فتح قفل الأجهزة محلياً مثل الهواتف أو الأجهزة اللوحية التي تحتوي على حدود لعدد محاولات الإدخال. وهذا يختلف تماماً عن استخدام رمز رقمي قصير ككلمة مرور رئيسية لحساب عبر الإنترنت.

يرسم معيار NIST هذا الحد بوضوح. في توجيهاته الخاصة برموز التنشيط السرية، يقول NIST إن الرموز السرية الشبيهة بـ PIN للأجهزة المحلية يجب أن تتكون من 4 أحرف على الأقل، كما يوصي بأن تكون مكونة من 6 أحرف على الأقل. هذا معيار مفيد للتفكير في فتح قفل الجهاز، وليس سبباً لاستبدال كلمة مرور حساب حقيقية برمز PIN قصير.

لماذا لا يجب أن يحل رمز PIN محل كلمة مرور الحساب القوية

تحمي كلمة مرور الموقع الإلكتروني عادةً حساباً عن بُعد قد يكون عرضة لهجمات حشو بيانات الاعتماد، وهجمات إعادة استخدام كلمات المرور، وتبعات الاختراقات الأوسع نطاقاً. رمز PIN الرقمي القصير أسهل بكثير في التخمين وأقل مرونة بكثير من كلمة المرور الكاملة أو عبارة المرور في هذا السياق.

ولهذا السبب يجب التعامل مع وضع رمز PIN في الموقع كخيار محدد، وليس كإجابة عالمية. فهو يناسب احتياجات معينة لفتح القفل محلياً، ولا يحل محل رمز سري قوي للحساب للبريد الإلكتروني، أو أدوات العمل، أو الخدمات المصرفية، أو غيرها من تسجيلات الدخول عالية القيمة.

كيف تختار الوضع الصحيح على الصفحة الرئيسية بسرعة

طابق الوضع مع نوع تسجيل الدخول قبل النقر على "إنشاء"

تساعد قاعدة اتخاذ القرار السريع هنا. إذا كان الرمز السري مخصصاً لحساب عادي عبر الإنترنت وستقوم بتخزينه في مدير كلمات مرور، فاختر "عشوائي" (Random). إذا كان يجب عليك كتابته بشكل متكرر وتحتاج إلى شيء أكثر ملاءمة للبشر، فاختر "سهل التذكر" (Memorable). إذا كان الرمز السري مخصصاً لسياق فتح قفل جهاز محلي، فاختر "رمز PIN".

هذا يحافظ على بساطة القرار دون جعله متهوراً. أنت لا تختار تنسيقاً مفضلاً، بل تختار التنسيق الأقل خطورة للمهمة المحددة.

انسخه، وخزنه، وتجنب إعادة الاستخدام على المدى القصير

الإنشاء هو الخطوة الأولى فقط. عادات التخزين وإعادة الاستخدام تهم بنفس القدر بعد ذلك. إذا كانت كلمة المرور قوية ولكن تمت إعادة استخدامها عبر عدة مواقع، فقد يؤدي اختراق واحد إلى انتشار الضرر.

توصي توجيهات كلمات المرور الصادرة عن لجنة التجارة الفيدرالية (FTC) باستخدام كلمات مرور طويلة وفريدة لكل حساب لأن إعادة استخدام كلمة المرور يمكن أن تعرض حسابات متعددة للخطر عند اختراق موقع واحد. ولهذا السبب فإن سير العمل الأكثر أماناً ليس مجرد الإنشاء والنسخ، بل هو الإنشاء، والتخزين بشكل صحيح، والانتقال إلى الحساب التالي برمز سري جديد.

ما الذي يجب فعله قبل إنشاء رمز سري جديد

ابدأ بتحديد سياق تسجيل الدخول. هل هذا حساب عن بُعد، أم تسجيل دخول يتم كتابته بشكل متكرر، أم عملية فتح قفل لجهاز محلي؟ بمجرد أن تصبح هذه الإجابة واضحة، يصبح الوضع الصحيح واضحاً عادةً.

ثم قم بالإنشاء مرة واحدة، وانسخ بعناية، واحفظه في المكان الصحيح. الهدف ليس إنشاء أكثر سلسلة ترهيباً ممكنة، بل الهدف هو إنشاء رمز سري قوي بما يكفي للمخاطر وقابل للاستخدام بما يكفي لكي لا تتحايل عليه لاحقاً.

هذه هي الميزة الحقيقية لتوفر خيارات "عشوائي"، و"سهل التذكر"، و"رمز PIN" في مكان واحد. يمكنك مطابقة وضع المُوَلِّد مع المشكلة بدلاً من إجبار تنسيق واحد على كل موقف أمني.