سياسة كلمات المرور

ابتداءً من عام 2004، نصحت "المنشور الخاص رقم 800-63 الصادر عن المعهد الوطني للمعايير والتكنولوجيا، الملحق أ" ^{[ 2 ]} باستخدام الأحرف الكبيرة غير المنتظمة، والرموز الخاصة، ورقم واحد على الأقل. وقد اتبعت معظم الأنظمة هذه النصيحة، وأصبحت جزءًا لا يتجزأ من عدد من المعايير التي يتعين على الشركات اتباعها.

مع ذلك، في عام 2017، غيّر تحديث رئيسي هذه النصيحة، لا سيما أن فرض التعقيد والتغييرات المتكررة يُعتبر الآن ممارسة سيئة. ^{[ 3 ] [ 4 ] : ​​5.1.1.2}

النقاط الرئيسية في هذه النقاط هي:

• لا يجوز للمدققين فرض قواعد التركيب (على سبيل المثال، عدم اشتراط مزيج من أنواع الأحرف المختلفة وعدم حظر الأحرف المتكررة بشكل متتالي) (لاحظ أنه تم تغيير هذا في المراجعة 4 من " يجب ألا" إلى "يجب ألا ") ^{[ 5 ]}
• لا يجوز للمدققين أن يطلبوا تغيير كلمات المرور بشكل تعسفي أو منتظم (على سبيل المثال، لا توجد قاعدة تغيير كل 90 يومًا أو 365 يومًا).
• يجب أن تتكون كلمات المرور من 15 حرفًا على الأقل (لاحظ أنه تم تغيير ذلك في المراجعة 4 من 8 أحرف إلى 15 حرفًا) ^{[ 6 ]}
• ينبغي أن تسمح أنظمة كلمات المرور للمشتركين باختيار كلمات مرور لا يقل طولها عن 64 حرفًا.
• يجب أن تكون جميع أحرف ASCII القابلة للطباعة ، وحرف المسافة، وأحرف Unicode مقبولة في كلمات المرور
• عند إنشاء كلمات المرور أو تغييرها، يجب على المدقق إبلاغ المشترك بأنه بحاجة إلى اختيار كلمة مرور مختلفة إذا كان قد اختار كلمة مرور ضعيفة أو مخترقة.
• ينبغي أن توفر جهات التحقق إرشادات مثل مقياس قوة كلمة المرور، لمساعدة المستخدم في اختيار كلمة مرور قوية.
• يجب على أنظمة التحقق تخزين كلمات المرور بشكل مقاوم للهجمات غير المتصلة بالإنترنت. يجب إضافة قيمة عشوائية (Salt ) إلى كلمات المرور وتشفيرها باستخدام دالة اشتقاق مفتاح أحادية الاتجاه مناسبة . تأخذ دوال اشتقاق المفتاح كلمة المرور، وقيمة عشوائية (Salt)، وعامل تكلفة كمدخلات، ثم تُنشئ تجزئة لكلمة المرور. والهدف من ذلك هو جعل كل محاولة تخمين لكلمة المرور من قِبل مهاجم حصل على ملف تجزئة كلمة المرور مكلفة، وبالتالي تكون تكلفة هجوم التخمين مرتفعة أو باهظة.

أدرج المعهد الوطني للمعايير والتكنولوجيا (NIST) الأساس المنطقي للمبادئ التوجيهية الجديدة في الملحق (أ).

تتطلب العديد من السياسات حدًا أدنى لطول كلمة المرور. ثمانية أحرف هو الطول الشائع، ولكنه قد لا يكون مناسبًا. ^{[ 7 ] [ 8 ] [ 9 ]} كلمات المرور الأطول تكون دائمًا أكثر أمانًا، ولكن بعض الأنظمة تفرض حدًا أقصى للطول لضمان التوافق مع الأنظمة القديمة .

تقترح بعض السياسات أو تفرض متطلبات على نوع كلمة المرور التي يمكن للمستخدم اختيارها، مثل:

• استخدام الأحرف الكبيرة والصغيرة ( حساسية حالة الأحرف )
• تضمين رقم واحد أو أكثر
• تضمين الأحرف الخاصة ، مثل @، #، $
• حظر الكلمات الموجودة في القائمة السوداء لكلمات المرور
• حظر الكلمات الموجودة في المعلومات الشخصية للمستخدم
• حظر استخدام اسم الشركة أو اختصارها
• حظر استخدام كلمات المرور التي تتطابق مع تنسيق تواريخ التقويم، أو أرقام لوحات السيارات ، أو أرقام الهواتف، أو غيرها من الأرقام الشائعة

تقوم أنظمة أخرى بإنشاء كلمة مرور أولية للمستخدم؛ ولكنها تتطلب منه تغييرها إلى كلمة مرور من اختياره خلال فترة قصيرة.

قوائم حظر كلمات المرور هي قوائم بكلمات مرور محظورة الاستخدام نهائيًا. تحتوي هذه القوائم على كلمات مرور مُكوّنة من مجموعات أحرف تتوافق مع سياسة الشركة، ولكن يجب التوقف عن استخدامها لأنها تُعتبر غير آمنة لسبب أو أكثر، مثل سهولة تخمينها، أو اتباعها نمطًا شائعًا، أو الكشف عنها علنًا في خروقات بيانات سابقة . من الأمثلة الشائعة: Password1، Qwerty123، أو Qaz123wsx.

تُلزم بعض السياسات المستخدمين بتغيير كلمات المرور دوريًا، غالبًا كل 90 أو 180 يومًا. ومع ذلك، فإن فائدة انتهاء صلاحية كلمة المرور محل نقاش. ^{[ 10 ] [ 11 ]} وتمنع الأنظمة التي تُطبق هذه السياسات أحيانًا المستخدمين من اختيار كلمة مرور قريبة جدًا من كلمة مرور سابقة. ^{[ 12 ]}

قد تأتي هذه السياسة بنتائج عكسية في كثير من الأحيان. يجد بعض المستخدمين صعوبة في ابتكار كلمات مرور " جيدة " وسهلة التذكر، لذا إذا طُلب منهم اختيار كلمات مرور متعددة لتغييرها باستمرار، ينتهي بهم الأمر باستخدام كلمات مرور أضعف بكثير؛ كما تشجع هذه السياسة المستخدمين على تدوين كلمات المرور. إضافةً إلى ذلك، إذا منعت السياسة المستخدم من تكرار كلمة مرور حديثة، فهذا يتطلب وجود قاعدة بيانات تضم كلمات المرور الحديثة (أو تجزئاتها ) بدلاً من حذف كلمات المرور القديمة من الذاكرة. وأخيرًا، قد يغير المستخدمون كلمات مرورهم بشكل متكرر خلال دقائق معدودة، ثم يعودون إلى الكلمة التي يرغبون في استخدامها فعلاً، متجاوزين بذلك سياسة تغيير كلمات المرور تمامًا.

يجب أيضًا مراعاة الجوانب البشرية لكلمات المرور. فبخلاف أجهزة الكمبيوتر، لا يستطيع المستخدمون حذف كلمة مرور واستبدالها بأخرى. وبالتالي، يُشكل تغيير كلمة المرور المحفوظة بشكل متكرر عبئًا على الذاكرة، ويلجأ معظم المستخدمين إلى اختيار كلمة مرور يسهل تخمينها نسبيًا (انظر: إرهاق كلمات المرور ). غالبًا ما يُنصح المستخدمون باستخدام أساليب التذكر لتسهيل حفظ كلمات المرور المعقدة. مع ذلك، إذا كان لا بد من تغيير كلمة المرور بشكل متكرر، تصبح أساليب التذكر عديمة الفائدة لأن المستخدم لن يتذكر أي أسلوب يستخدم. علاوة على ذلك، فإن استخدام أساليب التذكر (التي تؤدي إلى كلمات مرور مثل "2BOrNot2B") يجعل كلمة المرور أسهل في التخمين.

غالباً ما يكون اشتراط كلمة مرور قوية جداً وعدم اشتراط تغييرها أفضل. ^{[ 13 ]} مع ذلك، ينطوي هذا النهج على عيب رئيسي: فإذا حصل شخص غير مصرح له على كلمة المرور واستخدمها دون أن يُكتشف أمره، فقد يتمكن من الوصول إلى النظام لفترة غير محددة.

من الضروري مراعاة هذه العوامل: احتمالية تخمين شخص ما لكلمة مرور لأنها ضعيفة، مقابل احتمالية تمكن شخص ما من سرقة كلمة مرور أقوى أو الحصول عليها بطريقة أخرى دون تخمينها.

قد تتضمن سياسات كلمات المرور عقوبات متدرجة تبدأ بالتحذيرات وتنتهي باحتمال فقدان صلاحيات استخدام الحاسوب أو إنهاء الخدمة. وفي حال فرض القانون السرية، كما هو الحال مع المعلومات السرية ، فإن انتهاك سياسة كلمات المرور قد يُعد جريمة جنائية في بعض الأنظمة القضائية. ^{[ 14 ]}

تُعتبر سياسات كلمات المرور عادةً حلاً وسطاً بين الأمان النظري والجوانب العملية للسلوك البشري. على سبيل المثال:

• إن اشتراط كلمات مرور معقدة للغاية وإجبار المستخدمين على تغييرها بشكل متكرر قد يدفعهم إلى كتابة كلمات المرور في أماكن يسهل على المتسلل العثور عليها، مثل دفتر عناوين أو ورقة ملاحظات لاصقة بالقرب من الكمبيوتر.
• غالباً ما يمتلك المستخدمون عشرات كلمات المرور لإدارتها. قد يكون من الأنسب التوصية باستخدام كلمة مرور واحدة لجميع التطبيقات ذات مستوى الأمان المنخفض، مثل قراءة الصحف الإلكترونية والوصول إلى مواقع الترفيه.
• وبالمثل، قد يكون اشتراط عدم تدوين المستخدمين لكلمات مرورهم غير واقعي، وقد يدفعهم لاختيار كلمات مرور ضعيفة (أو يسبب لهم الكثير من الإزعاج عند نسيانها). ويُقترح بدلاً من ذلك حفظ كلمات المرور المكتوبة في مكان آمن، كخزنة أو ملف رئيسي مُشفّر. وتعتمد فعالية هذا النهج على طبيعة التهديد المُحتمل. فبينما قد يُشكّل تدوين كلمة المرور مشكلةً إذا كان بإمكان المهاجمين الوصول إلى المخزن الآمن، إلا أنه يُعدّ وسيلةً آمنةً للغاية إذا كان التهديد مُقتصراً على مهاجمين عن بُعد لا يملكون صلاحية الوصول إلى المخزن.
• قد يُمثل تضمين الأحرف الخاصة مشكلةً إذا اضطر المستخدم إلى تسجيل الدخول إلى جهاز كمبيوتر في بلد آخر. فبعض الأحرف الخاصة قد يصعب أو يستحيل العثور عليها على لوحات المفاتيح المصممة للغات أخرى.
• تسمح بعض أنظمة إدارة الهوية بإعادة تعيين كلمة المرور ذاتيًا ، حيث يمكن للمستخدمين تجاوز أمان كلمة المرور من خلال تقديم إجابة على سؤال أمان واحد أو أكثر مثل "أين ولدت؟"، "ما هو فيلمك المفضل؟"، وما إلى ذلك. غالبًا ما يمكن الحصول على إجابات هذه الأسئلة بسهولة عن طريق الهندسة الاجتماعية أو التصيد الاحتيالي أو البحث البسيط.

خلصت دراسة أجريت عام 2010 على سياسات كلمات المرور لـ 75 موقعًا إلكترونيًا مختلفًا إلى أن الأمن ليس العامل الوحيد الذي يفسر السياسات الأكثر صرامة: فمزودو الخدمات الاحتكاريون ، مثل المواقع الحكومية، لديهم سياسات أكثر صرامة من المواقع التي تتيح للمستهلكين خيارات متعددة (مثل مواقع البيع بالتجزئة والبنوك). وخلصت الدراسة إلى أن المواقع ذات السياسات الأكثر صرامة "لا تعاني من مخاوف أمنية أكبر، بل هي ببساطة أكثر حماية من عواقب ضعف سهولة الاستخدام". ^{[ 15 ]}

تتوفر أساليب أخرى تُعتبر عمومًا أكثر أمانًا من كلمات المرور البسيطة. تشمل هذه الأساليب استخدام رمز أمان أو نظام كلمة مرور لمرة واحدة ، مثل S/Key ، أو المصادقة متعددة العوامل . ^{[ 16 ]} مع ذلك، تُفاقم هذه الأنظمة المفاضلة بين الأمان وسهولة الاستخدام: فبحسب شومان غوسماجومدر ، تُحسّن هذه الأنظمة جميعها الأمان، لكنها تأتي "على حساب تحميل المستخدم النهائي عبء الأمان ". ^{[ 17 ]}