نظرة معمقة: قوائم كلمات جديدة لعبارات مرور عشوائية

المقال

ملاحظة لمن يبحث عن القوائم فقط: تتوفر القائمة الطويلة للاستخدام مع خمسة أحجار نرد، والقائمة القصيرة العامة مع أربعة، والقائمة القصيرة ذات البوادئ الثلاثية الفريدة، في ملفات نصية ضمن إحالات الأصل.

تمنح عبارات المرور المولدة عشوائيًا تحسنًا أمنيًا كبيرًا على كلمات المرور التي يختارها البشر. ويصعب جدًا تقدير سهولة تخمين اختيار بشري أو كسره؛ وكان ذلك الموضوع الرئيس لأطروحتي للدكتوراه وما زال مجالًا بحثيًا نشطًا. ومن مشكلات الاختيار أن البشر لا يحسنون توليد اختيارات عشوائية غير متوقعة.

أما قياس أمن العبارة العشوائية فسهل. وأشهر نهج، الذي خلده رسم XKCD، اختيار كلمات متعددة عشوائيًا من قائمة. وكلما زاد عدد الكلمات أو طول القائمة صعب الكسر. رياضيًا، لاختيار k كلمة من قائمة طولها n توجد n^k عبارة محتملة، ويحتاج الخصم في المتوسط نحو n^k/2 محاولة. لكن من أين تأتي قائمة مناسبة، وكيف نختار طولها؟

نشرت قوائم لأغراض مختلفة دون تقييم علمي كاف لقابليتها للاستخدام. وأشهرها Diceware لأرنولد راينهولد منذ 1995، وتضم 7776 كلمة، بعدد النتائج المرتبة لخمسة أحجار سداسية، أي 6^5؛ ولذلك تصلح أحجار النرد مصدرًا للعشوائية. ومع استخدامها أكثر من عشرين عامًا نرى سبلًا لتحسين الاستخدام، ونقدم ثلاث قوائم جديدة. ويشير الأصل إجمالًا إلى استخدام مجموعة من خمسة أحجار، ثم يوضح أن القائمتين القصيرتين تستخدمان أربعة؛ وتقدم EFF مجموعة نرد للمتبرعين في حملة Summer Security Reboot.

تحسينات على Diceware

توفر Diceware أمنًا قويًا، لكن بعض كلماتها صعب الحفظ أو التهجئة أو قابل للالتباس: كلمات نادرة مثل buret وnovo وvacuo؛ وأسماء غير مألوفة مثل della وervin وeaton وmoran؛ وتسلسلات غريبة مثل aaaa وll وnbis؛ وكلمات بعلامات ترقيم مثل ain’t وdon’t وhe’ll؛ وحروف مفردة وثنائيات ليست كلمات مثل tl وwq وzf؛ وأرقام وصيغ مثل 46 و99 و99th؛ وكلمات فظة كثيرة. كما تحتاج العبارات إلى مسافات لفكها بدقة، فالقائمة تضم in وput وinput.

وتشتد بعض المشكلات مع لوحات المفاتيح البرمجية أو الإدخال المعتمد على التعرف إلى الكلمات؛ وييسر استخدام كلمات معجمية صحيحة الأمر كثيرًا.

القائمة الطويلة الجديدة

تساوي الأولى Diceware في الحجم: 7776 كلمة، أي 6^5، فتمنح الأمن نفسه لكل كلمة. لكننا عالجنا المشكلات السابقة لنصل، كما نأمل، إلى كلمات أيسر كتابة وتذكرًا.

اعتمدنا بيانات مركز أبحاث القراءة في جامعة غنت، الذي يدرس التعرف إلى الكلمات منذ زمن، ويمكن المشاركة في اختباره الإلكتروني للمفردات الإنجليزية. وتدل البيانات على الكلمات الأرجح ألفة للناطقين بالإنجليزية، فتستبعد معظم الغريب في Diceware. وتشمل أيضًا درجة المحسوسية، من كلمة محسوسة كـscrewdriver، أي مفك، إلى مجردة كـlove، أي حب.

أخذنا كلمات بين ثلاثة وتسعة أحرف، وقدمنا الأكثر تعرفًا ثم الأكثر محسوسية. وراجعنا يدويًا لإزالة أكبر قدر من الفاحش والمهين والحساس والمشحون عاطفيًا، واستعنا بقوائم عامة للكلمات النابية، ومنها قائمة Luis von Ahn. وحذفنا صعب التهجئة والمتجانس نطقًا الذي قد يلتبس عند التذكر، وضمنّا ألا تكون كلمة بادئة كاملة لأخرى.

والنتيجة قائمة 7776 كلمة تصلح للتوليد بالنرد. ومتوسط طولها سبعة أحرف مقابل 4.3 في Diceware، بسبب استبعاد ما دون ثلاثة أحرف وتقديم المألوف على القصير الغريب.

الأمن متساوٍ في القائمتين؛ والفرق في الاستخدام والتذكر. ولأغلب الأغراض نوصي بست كلمات من قائمتنا، بقوة 77 بت من الإنتروبيا. والبتات مقياس شائع لقوة كلمة أو عبارة المرور؛ فإضافة بت تضاعف التخمينات المطلوبة وصعوبة الهجوم الشامل. وتضيف كل كلمة نحو 12.9 بت.

القائمتان القصيرتان الجديدتان

نقدم أيضًا قوائم من 1296 كلمة، أي 6^4، لاستخدام أربعة أحجار سداسية. وأتاح خفض العدد حدًا أقصى خمسة أحرف للكلمة، وقد يزيد كفاءة الكتابة للأمن نفسه إذا احتاجت N كلمة قصيرة أحرفًا أقل من N−1 كلمة طويلة.

والقوة لكل كلمة أقل، 10.3 بت، لذا تحتاج إلى كلمات أكثر لمضاهاة القائمة الطويلة. فثماني كلمات قصيرة تمنح نحو 82 بت، أكثر قليلًا من ست طويلة.

صممت القصيرة الأولى بأكثر 1296 كلمة تميزًا وقابلية للتذكر، على أمل تحسين استخدام العبارات الأطول. وتلزم دراسة أخرى للحسم في الأسهل تذكرًا.

وللقصيرة الأخرى خصائص تسهل الكتابة: لكل كلمة بادئة فريدة من ثلاثة أحرف، مما يتيح لبرمجيات مستقبلية إكمالها بعد الأحرف الثلاثة؛ ولا تقل مسافة التحرير بين كلمتين عن ثلاث عمليات، مما يتيح تصحيح خطأ كتابي واحد، وأحيانًا أكثر.

أضفنا ذلك أملًا في برمجيات مصممة لاستثماره، لكنه لا يقدم فائدة كبيرة اليوم، ولذلك فهو أساسًا إثبات مفهوم للمستخدم الفردي، وقد يجد المطورون تطبيقات مفيدة له.

خاتمة

قد تناسب القوائم المختلفة مواقف مختلفة، وهذا طبيعي. فقد تفضل القصيرة حين تقدم سهولة التذكر أو لا تحتاج أعلى قوة، كدخول موقع يوفر عامل تحقق ثانيًا ويحد معدل التخمينات ضد الهجوم الشامل.

وإذا كتبت العبارة كثيرًا بدل استخدام قاعدة لحفظها، فقد تقدم قصر الكلمات. فمتوسط الطويلة سبعة أحرف و12.9 بت للكلمة، بكفاءة 1.8 بت للحرف؛ والقصيرة 4.5 أحرف و10.3 بت، بكفاءة 2.3 بت للحرف. أما المتسامحة مع الأخطاء فأقل كفاءة، 1.4 بت للحرف؛ لكن الإكمال المستقبلي بثلاثة أحرف للكلمة يجعلها الأكثر كفاءة، 3.1 بت لكل حرف مكتوب.

وقد تفضل قصر كلمات Diceware الأصلية، وهذا مقبول مع مراعاة صعوباتها. فهي تمنح ثلاثة بتات للحرف وتتطلب كتابة أقل، لكننا نرى كثرة القصير، بما فيه الحروف المفردة والثنائيات، أصعب حفظًا ومقايضة غير موفقة لتوفير الوقت.

ولأن العبارة تولد لكل مستخدم مستقلًا، فلا مشكلة في تعدد القوائم؛ بل قد يزيد الأمن لأن المهاجم لا يعرف أيها استُخدمت.

نرى قوائمنا مفيدة لمن يولد العبارات بنرد EFF أو غيره، لكنها ليست الكلمة الأخيرة. فما زال المجال واسعًا لدراسة التذكر وتجريب تحسين القوائم، ونأمل استمرار الاستكشاف. ادعموا عمل EFF أثناء حملة Summer Security Reboot!