دليل الأمان
هل مولد كلمات المرور عبر الإنترنت آمن؟
افهم متى يكون مولد كلمات المرور عبر الإنترنت آمنًا للاستخدام، وما يعنيه التوليد المحلي في المتصفح، وما هي المخاطر المتبقية.
ملخص
يمكن أن يكون مولد كلمات المرور عبر الإنترنت آمنًا عندما يقوم بتوليد كلمات المرور محليًا في المتصفح، ويستخدم مصدرًا عشوائيًا تشفيريًا، ولا يرسل القيم المولدة إلى خادم. ليس آمنًا تلقائيًا لمجرد أن الصفحة تستخدم HTTPS أو تبدو احترافية.
تم تصميم PwdGen حول التوليد المحلي. يمكنك قراءة المنهجية واختبار الادعاء في لوحة الشبكة في متصفحك.
ما يعنيه “التوليد المحلي”
التوليد المحلي يعني أن كلمة المرور يتم اختيارها بواسطة كود يعمل في متصفحك. يمكن للموقع تسليم الصفحة، لكنه لا يحتاج إلى استلام كلمة المرور المولدة. في PwdGen، يستخدم المولد Web Crypto، ويعرض النتيجة في الصفحة، ويكتب فقط إلى الحافظة عند النقر على نسخ.
ما يجب التحقق منه
افتح أدوات المطور، وامسح لوحة الشبكة، ثم أعد التوليد وانسخ كلمة مرور. يجب ألا ترى طلبات Fetch أو XHR أو Beacon تحتوي على القيمة المولدة. تحقق أيضًا من أن الموقع يشرح مصدر العشوائية، ولا يدعي ضمانات مستحيلة، ولا يطلب منك إنشاء حساب فقط لتوليد كلمة مرور.
المخاطر المتبقية
لا يمكن للتوليد المحلي حماية جهاز مخترق، أو إضافة متصفح ضارة، أو مراقب حافظة، أو مسجل شاشة، أو صفحة تصيد، أو مدير كلمات مرور غير آمن. تعامل مع القيمة المولدة كسر بمجرد ظهورها.
إرشادات مفصلة
يركز هذا الدليل على تقييم ما إذا كان مولد كلمات المرور عبر الإنترنت آمنًا للاستخدام. هو مكتوب للمستخدمين المهتمين بالخصوصية الذين يريدون راحة المتصفح دون معالجة كلمات المرور من جانب الخادم، لذا فإن الهدف العملي ليس إنشاء ادعاء أمني دراماتيكي. الهدف هو اختيار عادة كلمة مرور يمكنها الصمود في الاستخدام اليومي: نماذج تسجيل الدخول، ومديري كلمات المرور، ولوحات مفاتيح الجوال، واستعادة الحساب، والأجهزة المشتركة، والخدمة العرضية ذات قواعد التحقق الغريبة. التوصية الآمنة مفيدة فقط إذا كان بإمكان شخص حقيقي اتباعها باستمرار.
نقطة البداية الأكثر أمانًا هي العشوائية بالإضافة إلى التفرد. العشوائية تعني أن القيمة يتم اختيارها من مساحة كبيرة بواسطة مصدر عشوائي مناسب تشفيريًا، وليس اختراعًا من عيد ميلاد، أو اسم حيوان أليف، أو نمط لوحة مفاتيح، أو اقتباس مفضل. التفرد يعني أن نفس كلمة المرور لا تُستخدم في أي مكان آخر. كلمة مرور طويلة لكنها معاد استخدامها يمكن أن تفشل بسرعة بعد اختراق واحد غير ذي صلة، بينما كلمة مرور عشوائية فريدة تحد من الضرر إلى الحساب الفردي حيث تم استخدامها.
لهذا الموضوع، الإعداد العملي هو التوليد المحلي في المتصفح باستخدام Web Crypto وعدم إرسال القيم المولدة إلى الخادم. يمكنك تطبيق هذا الإعداد باستخدام مولد كلمات المرور دون اتصال ثم تخزين القيمة النهائية في مدير كلمات مرور موثوق. يقوم PwdGen بتوليد القيم محليًا في المتصفح باستخدام Web Crypto؛ لا يتم إرسال كلمة المرور المولدة إلى خادم PwdGen. هذا التصميم المحلي يقلل من التعرض من جانب الخادم، لكنه لا يحمي من كل تهديد. إضافة متصفح ضارة، أو جهاز مخترق، أو صفحة تصيد، أو معالجة حافظة غير آمنة يمكن أن تكشف السر بعد توليده.
المشكلات الأكثر شيوعًا التي يجب تجنبها هي كلمات المرور المولدة من الخادم، والنصوص البرمجية للطرف الثالث بالقرب من حقول كلمات المرور، والتحليلات التطفلية، والنسخ المقلدة، وإضافات المتصفح التي لديها وصول للصفحة. هذه المشكلات مهمة لأن المهاجمين نادرًا ما يحتاجون إلى تخمين كل كلمة مرور محتملة عندما تعطيهم العادات البشرية اختصارًا. حشو بيانات الاعتماد، والتصيد، وقوائم كلمات المرور المسربة، وإساءة استخدام استعادة الحساب غالبًا ما تكون أكثر واقعية من بحث رياضي بحت. لهذا السبب تجمع أفضل نصيحة بين جودة كلمة المرور وضوابط مستوى الحساب مثل MFA ومفاتيح المرور وتخزين رموز الاستعادة والمراجعة المنتظمة لإعدادات البريد الإلكتروني أو الهاتف للاستعادة.
استخدم قائمة التحقق هذه عند تطبيق التوصية:
- ابحث عن شرح للتوليد المحلي.
- تجنب الأدوات التي تتطلب حسابًا للتوليد الأساسي.
- تحقق من صفحات الخصوصية والمنهجية.
- استخدم الوضع دون اتصال عند التعامل مع بيانات اعتماد عالية القيمة.
إذا رفض موقع الويب الإعداد المثالي، لا تجبر كلمة المرور على نمط أضعف يدويًا. اضبط متغيرًا واحدًا في كل مرة. إذا تم رفض الرموز، احتفظ بالأحرف الكبيرة والصغيرة والأرقام مفعلة وزد الطول. إذا كان الحد الأقصى للطول منخفضًا، استخدم أكبر طول مقبول وتأكد من أن القيمة فريدة. إذا كان يجب قراءة كلمة المرور بصوت عالٍ أو طباعتها أو كتابتها على شاشة تلفزيون أو جهاز توجيه، فكر في استبعاد الأحرف المربكة وزيادة الطول للتعويض عن الأبجدية الأصغر.
أخيرًا، تذكر حدود نصائح كلمات المرور. كلمة المرور القوية هي طبقة واحدة من الدفاع، وليست ضمانًا. لا يمكنها جعل صفحة التصيد آمنة، أو إصلاح البرامج الضارة، أو تعويض خدمة تخزن بيانات الاعتماد بشكل سيء. العادة المفيدة مملة لكنها دائمة: قم بتوليد قيمة فريدة، وخزنها بأمان، واحم مسار الاستعادة، واستبدلها بسرعة إذا اشتبهت في التعرض.
الأسئلة الشائعة
هل مولد عبر الإنترنت آمن إذا كان يعمل محليًا؟
يمكن أن يكون أكثر أمانًا من التوليد من جانب الخادم لأن القيمة المولدة لا تحتاج إلى مغادرة المتصفح، لكن الثقة في الجهاز والمتصفح لا تزال مهمة.
ما الذي يجب أن أتحقق منه قبل استخدام واحد؟
ابحث عن التوليد المحلي، Web Crypto، عدم وجود طلبات تحمل كلمة مرور، سياسة خصوصية، ومنهجية واضحة.
هل يمكن للتوليد المحلي الحماية من البرامج الضارة؟
لا. البرامج الضارة، والإضافات الضارة، ومديري الحافظة غير الآمنين، وصفحات التصيد خارج حدود حماية المولد.