قوة سياسة كلمة المرور

الخطوة 1: تحديد الحد الأدنى لطول كلمة المرور. كلما زاد الطول، زاد عدد التباديل الممكنة مما يصعّب التخمين. يُنصح باستخدام 8 أحرف على الأقل، و12 للسياسات القوية.

الخطوة 2: تحديد متطلبات التعقيد: الأحرف الكبيرة والرموز. إجبار المستخدم على استخدام أنواع متعددة من الأحرف (صغيرة، كبيرة، أرقام، رموز) يزيد من مساحة المفاتيح بشكل هائل. على سبيل المثال، إضافة الأحرف الكبيرة يضاعف مجموعة الأحرف من 26 إلى 52 (إذا كانت صغيرة فقط)، ومع الرموز تصل إلى 95 حرفاً.

الخطوة 3: تحديد فترة صلاحية كلمة المرور (عدد الأيام قبل انتهائها). الفترات القصيرة تجبر المستخدمين على التغيير المتكرر مما يقلل من فرص استخدام كلمة مسربة، ولكنها قد تدفعهم لاستخدام كلمات ضعيفة أو تكرارها. التقسيم في هذه الحاسبة (الإجمالي على الأيام) يجعل القوة المعلنة تزداد بقِصَر الفترة، وهو نموذج كمّي بسيط؛ لكن تذكّر أن التوصية الفعلية لأنظمة NIST SP 800-63B هي عدم فرض انتهاء دوري ما لم تكن هناك علامة اختراق، كما يوضح السؤال الثاني. فاستخدم هذه النسبة للمقارنة بين سياسات ذات فترات متقاربة، لا ذريعة لتقصير الفترة.

الخطوة 4: حساب القوة الإجمالية. تحسب الحاسبة أولًا حجم مجموعة الأحرف C ثم الأنتروبيا ثم تقسمها على مدة الصلاحية، تمامًا كما ينص السؤال الأول: حجم المجموعة = 36 (26 حرفًا صغيرًا + 10 أرقام، وهما مفروضان في أي سياسة) + 26 إذا اشتُرت الأحرف الكبيرة + 33 إذا اشتُرت الرموز، فيصبح C إما 36 أو 62 أو 69 أو 95. الأنتروبيا E = log2(C^n) = n × log2(C)، والقوة المعروضة = E ÷ D حيث D هو عدد أيام الصلاحية، ووحدتها بت لكل يوم. كلما زادت القيمة كانت السياسة أقوى.

الخطوة 5: تفسير النتيجة. تعرض الحاسبة العنوان بالقوة (بت لكل يوم)، وتعرض في التفاصيل حجم المجموعة C والأنتروبيا بالأبت وعدد التباديلات C^n وزمن الكسر عند 10^10 تخمينًا في الثانية، والمستوى: ضعيف أو متوسط أو قوي. يُحدَّد المستوى بالمقارنة بين زمن الكسر ومدة الصلاحية كما يفعل النص في مثاليه: إن كان زمن الكسر أقل من مدة الصلاحية فالسياسة ضعيفة (يمكن للمهاجم كسر الهاش قبل تغييره)، وإن تجاوزها دون مئة ضعف فهي متوسطة، وإن بلغ مئة ضعفها أو أكثر فهي قوية.