مولّد كلمات المرور

كل محرف يأتي من crypto.getRandomValues، وهو مصدر العشوائية المعمّى في المتصفّح. وذلك شيء مختلف عن Math.random، وهو سريع ويمكن التنبّؤ به من مخرجاته وغير صالح لأي شيء يحتاج أن يكون غير قابل للتخمين.

ويستعمل الاختيار أخذ العيّنات بالرفض. فالمسلك البديهي — خذ بايتًا عشوائيًا وخذ باقيه على حجم الأبجدية — منحاز، لأن 256 لا تقسم على 62 قسمةً متساوية. فالمحارف الأولى من الأبجدية تظهر أكثر على نحو قابل للقياس، وذلك يضيّق فضاء البحث على مهاجم يعرف كيف ولّدتها. لذلك تُرفض القيم التي كانت ستقع في الباقي غير المتساوي ويُعاد السحب.

ويُؤخذ محرف واحد من كل صنف مختار قبل أن يُملأ الباقي عشوائيًا، فتستوفي النتيجة دائمًا قواعد «يجب أن تحوي رقمًا ورمزًا» التي تفرضها المواقع، ثم تُخلط السلسلة كلها فلا تكون الأصناف بترتيب متوقَّع.

ولا شيء يُرسَل إلى أي مكان. فكلمة المرور المولَّدة على خادم غيرك كلمةٌ رآها، ولا سبيل إلى التحقّق ممّا فعله بها.

تنشئ حسابًا والموقع يطالب باثني عشر محرفًا على الأقلّ مع رقم ورمز.

اترك الوضع على المحارف العشوائية، واضبط الطول على 20، وانسخ الناتج. يقرأ سطر الحالة نحو 128 بتًّا من العشوائية وزمن كسر أطول ممّا وُجد الكون. وليس ذلك تسويقًا — فعند عشرين محرفًا من أبجدية من 90 محرفًا تكفّ القوة الغاشمة عن كونها استراتيجية.

والآن الحجّة لعبارات المرور. بدّل الوضع وولّد أربع كلمات: شيئًا مثل Harbor-Lantern-Cobalt-Meadow. تلك نحو 45 بتًّا — أقلّ من كلمة المرور ذات العشرين محرفًا، وما زالت أبعد بكثير ممّا يبلغه أي هجوم عبر الإنترنت.

والميزة إنسانية. فأنت تستطيع قراءتها في مكالمة هاتفية، وكتابتها على جهاز تحكّم تلفاز، وتذكّرها ما يكفي لإدخالها في مدير كلمات المرور. أما سلسلة عشوائية من عشرين محرفًا فتخفق في الثلاثة. استعمل عبارات المرور للحفنة التي عليك كتابتها فعلًا — دخول جهازك، ومدير كلمات المرور نفسه — والسلاسل العشوائية لكل ما يتذكّره المدير عنك.

وإعداد المحارف المتشابهة موجود لكلمات المرور التي ستقرؤها من على شاشة: فهو يزيل l وI و1 وO و0. يكلّف قليلًا من العشوائية ويوفّر مكالمة دعم.

ولترى كيف تقارَن كلمة مرور تستعملها أصلًا، فاحص القوة يقدّرها دون أن يرسلها إلى أي مكان هو أيضًا.