كلمات المرور: أساس المصادقة وتحدياتها الأمنية | المقالات

تبدأ معظم رحلات تسجيل الدخول بسؤال واحد: ما السر الذي تعرفه؟ والإجابة المعتادة هي كلمة المرور. تنتمي كلمات المرور إلى عامل «شيء تعرفه»، في مقابل «شيء تملكه» مثل مفتاح أمان، و«شيء أنت عليه» مثل بصمة الإصبع.

بساطتها وانخفاض كلفتها جعلاها جزءًا أساسيًا من الويب. لكن السهولة نفسها تنشئ مشكلة بشرية: يملك المستخدم عشرات الحسابات، بينما يصعب عليه تذكّر كلمة طويلة وفريدة لكل حساب.

كيف يتحقق الموقع من كلمة المرور؟

ينبغي ألا يخزن الموقع كلمة المرور كنص واضح. عند إنشاء الحساب، يشتق النظام منها قيمة باستخدام دالة مخصصة لتجزئة كلمات المرور، مع قيمة عشوائية تسمى Salt. وعند تسجيل الدخول، يعيد النظام العملية ويقارن النتيجة بالقيمة المخزنة.

هذا التصميم يقلل الضرر إذا تسرّبت قاعدة البيانات، لكنه لا يجعل كلمات المرور الضعيفة آمنة. فإذا حصل المهاجم على القيم المخزنة، يمكنه تجربة كلمات كثيرة خارج النظام ومن دون أن تراه آليات حظر محاولات الدخول.

أين تظهر المخاطر؟

كلمات سهلة أو متوقعة

تستهدف هجمات القاموس (Dictionary Attacks) الكلمات الشائعة والأنماط المعروفة. وإضافة رقم أو رمز إلى كلمة مألوفة لا تحولها بالضرورة إلى سر قوي.

إعادة استخدام كلمة واحدة

عند استخدام كلمة المرور نفسها في أكثر من خدمة، قد يتحول اختراق خدمة واحدة إلى مفتاح لحسابات أخرى. يُعرف ذلك بحشو بيانات الاعتماد (Credential Stuffing): يجرب المهاجم بيانات مسرّبة على مواقع مختلفة.

التصيّد والبرمجيات الخبيثة

لا يحتاج المهاجم دائمًا إلى تخمين الكلمة. قد يقنع المستخدم بإدخالها في صفحة مزيفة، أو يلتقطها برنامج خبيث على الجهاز. لذلك لا تكفي قوة الكلمة وحدها إذا كانت واجهة الدخول أو الجهاز غير موثوق.

رسم يوضح انتقال بيانات الدخول من المستخدم إلى موقع مصرفي مزيف

في التصيّد تصبح الواجهة — لا كلمة المرور وحدها — نقطة الفشل.

ما الممارسة الأفضل؟

استخدم كلمة مرور طويلة وفريدة لكل حساب.
دع مدير كلمات المرور (Password Manager) ينشئ الكلمات ويحفظها بدل الاعتماد على الذاكرة.
فعّل المصادقة متعددة العوامل (MFA)، وفضّل العوامل المقاومة للتصيّد مثل مفاتيح الأمان أو Passkeys عندما تكون متاحة.
لا تدخل بياناتك بعد اتباع رابط مفاجئ؛ افتح الخدمة من عنوان تعرفه أو من التطبيق الرسمي.
غيّر كلمة المرور عند وجود دليل على تسربها، لا وفق جدول دوري بلا سبب.

كلمة المرور القوية تعالج مشكلة التخمين، لكنها لا تعالج وحدها التصيّد أو سرقة الجلسة أو اختراق الجهاز.

الخلاصة

ستبقى كلمات المرور معنا لبعض الوقت، لكن استخدامها الجيد يتطلب منظومة متكاملة: تخزين آمن لدى الخدمة، وكلمات فريدة لدى المستخدم، ومدير كلمات مرور موثوق، وعامل إضافي مناسب للمخاطر. الأمن هنا ليس كلمة معقدة فحسب، بل سلسلة قرارات وتصاميم تعمل معًا.