من المفترض أن تكون برامج إدارة كلمات المرور الجزء المُحلول والمُمل من الأمان الرقمي: تختار برنامجاً واحداً، يولّد لك كلمات مرور قوية وفريدة لكل موقع، وتتوقف عن القلق. ومع ذلك تظهر بين حين وآخر عناوين أخبار عن اختراق أحد هذه البرامج، وأشهرها حادثة LastPass عام 2022، وكل حادثة من هذا النوع تعيد طرح السؤال نفسه: إذا كانت الأداة المصممة لحماية كلمات المرور يمكن اختراقها هي نفسها، فهل استخدامها فعلاً أكثر أماناً؟ الإجابة الصادقة تتطلب الفصل بين ما حدث فعلياً في هذه الحوادث وما يتخيله الناس أنه حدث، ومقارنة المخاطر المتبقية الفعلية لبرنامج إدارة جيد التصميم بالمخاطر الموثقة جيداً لعدم استخدام أي برنامج على الإطلاق.
ما الذي يخزنه برنامج إدارة كلمات المرور فعلياً وكيف
المهمة الأساسية لبرنامج إدارة كلمات المرور هي تخزين 'خزنة' مشفّرة — ملف واحد أو قاعدة بيانات تُزامَن عبر السحابة تحتوي كل اسم مستخدم وكلمة مرور وملاحظة محفوظة — لا يُفتح إلا بكلمة مرور رئيسية لا تراها الخدمة نفسها مطلقاً بصيغة نصية واضحة.
تعتمد البرامج الموثوقة بنية تشفير من طرف إلى طرف أو بمبدأ 'المعرفة الصفرية'، بمعنى أن عمليتي التشفير وفك التشفير تحدثان بالكامل على جهاز المستخدم، بينما لا تخزّن خوادم الشركة سوى تلك الكتلة من البيانات المشفَّرة مسبقاً فقط.
هذا أمر جوهري لأنه يغيّر طبيعة ما يكشفه اختراق خوادم الشركة فعلياً: ليس قائمة كلمات مرور قابلة للقراءة، بل كومة بيانات مُعمّاة عديمة الفائدة من حيث المبدأ دون كلمة المرور الرئيسية المستخدمة لاشتقاق مفتاح فك التشفير.
اختراق LastPass: ما الذي سُرق فعلياً
بدأت حادثة LastPass لعام 2022، الأكثر استشهاداً بها في هذا المجال، باختراق بيانات اعتماد أحد المطورين، ثم توسّع الهجوم ليصل إلى تخزين سحابي يحتوي نسخاً احتياطية من خزنات العملاء.
والأهم أن البيانات المسروقة كانت الخزنات المشفَّرة نفسها، لا قاعدة بيانات نصية واضحة لكلمات المرور — خرج المهاجمون بملفات معمّاة لا بأوراق اعتماد قابلة للقراءة، وهذه نتيجة مختلفة جوهرياً عن اختراق خدمة تخزّن بياناتها دون تشفير.
كشفت الشركة أيضاً أن بعض البيانات الوصفية غير المشفَّرة، مثل عناوين المواقع المرتبطة بكل إدخال في الخزنة، تعرّضت للكشف، وهذا أمر مهم من ناحية الخصوصية وقد يُستغل في هجمات تصيّد موجَّهة، لكنه ضرر مختلف وأقل حدّة من كشف كلمات المرور نفسها.
لماذا 'سرقة الخزنة' ليست مرادفة لـ'الاختراق'
تختزل التغطية الإعلامية الشائعة غالباً عبارة 'اختُرقت خوادم الشركة' إلى 'سُرقت كلمات مرورك'، لكن مع نظام معرفة صفرية مصمَّم جيداً هذان ادّعاءان مختلفان لهما عواقب عملية مختلفة تماماً.
المهاجم الذي يمتلك خزنة مشفَّرة لا يزال يحتاج لكسر التشفير، عادة عبر محاولات تخمين غير متصلة بالإنترنت لكلمة المرور الرئيسية، وهي مشكلة أصعب وأبطأ بكثير من قراءة البيانات مباشرة من خادم مخترَق.
هذا التمييز هو بالضبط سبب انشغال باحثي الأمن بتفاصيل تقنية محددة في اختراق LastPass أكثر من انشغالهم بمجرد وقوع الاختراق — السؤال المثير للاهتمام كان مدى صعوبة كسر الخزنات فعلياً.
كلمة المرور الرئيسية هي نقطة الضعف الحقيقية
بمجرد أن يمتلك المهاجم خزنة مشفَّرة، ينهار الأمان العملي لكل ما بداخلها إلى قوة كلمة مرور رئيسية واحدة فقط، ما يجعل هذا الاعتماد الوحيد أهم بشكل غير متناسب من أي من كلمات المرور الفردية التي يحميها.
يمكن كسر كلمة مرور رئيسية قصيرة أو شائعة أو مُعاد استخدامها عبر التخمين غير المتصل بمعدل يحدده فقط قدرة المهاجم الحاسوبية، لأن الخزنة لم تعد خاضعة لتحديد معدل المحاولات أو قفل الحساب بمجرد نسخها.
هذا هو السبب في أن برامج إدارة كلمات المرور تُشجّع بقوة على استخدام كلمات مرور رئيسية طويلة وفريدة — عبارة مرور متعددة الكلمات يسهل تذكرها، بدلاً من سلسلة معقدة قصيرة يحمي المستخدم من الاضطرار لاستخدامها مجدداً في أي مكان آخر.
لماذا كان عدد تكرارات اشتقاق المفتاح مهماً إلى هذا الحد
لا تستخدم برامج إدارة كلمات المرور كلمة المرور الرئيسية مباشرة كمفتاح تشفير؛ بل تمررها عبر دالة اشتقاق مفتاح (KDF)، غالباً PBKDF2 أو الأحدث Argon2، تكرر عملية تجزئة عمداً آلاف أو ملايين المرات لإبطاء محاولات التخمين.
جزء من قلق حادثة LastPass كان أن بعض الحسابات القديمة أُنشئت بعدد تكرارات افتراضي أقل بكثير من المعيار الحالي للشركة، ما يعني أن الخزنات القديمة كانت أرخص حاسوبياً للمهاجم في محاولة كسرها من الخزنات المُنشأة حديثاً.
يوضح هذا عيباً حقيقياً ومحدداً يختلف عن 'كسر التشفير': معيار أمان كان يجب تعزيزه بشكل موحّد بمرور الوقت سُمح له بالتخلف لشريحة من الحسابات القديمة، ما أثّر مباشرة على مدى قابلية استغلال البيانات المسروقة فعلياً.
حشو بيانات الاعتماد مقابل سرقة الخزنة: نموذجا تهديد مختلفان
معظم عمليات اختراق الحسابات واسعة النطاق المُسجَّلة في قواعد بيانات التسريبات لا تأتي من كسر أحد يخترق برنامج إدارة كلمات مرور على الإطلاق؛ بل تأتي من 'حشو بيانات الاعتماد'، حيث تُجرَّب تلقائياً كلمات مرور مسرَّبة من موقع مخترَق على مواقع أخرى كثيرة لا صلة لها به.
لا ينجح هذا الهجوم إلا ضد من يعيد استخدام كلمة المرور نفسها عبر حسابات متعددة، وهو بالضبط السلوك الذي يهدف برنامج إدارة كلمات المرور للقضاء عليه بتوليد كلمة مرور فريدة لكل عملية تسجيل دخول.
مقارنة حادثة نادرة وضيقة النطاق لسرقة خزنة بالخطر الشائع والمستمر لحشو بيانات الاعتماد تضع المقايضة الفعلية في سياقها الصحيح: برنامج إدارة كلمات المرور يزيل خطراً كبيراً ودائماً مقابل خطر أصغر وأسهل للدفاع عنه بكثير.
مديرو كلمات المرور المدمجون في المتصفح مقابل التطبيقات المستقلة
تحسّنت مديرو كلمات المرور المدمجون في المتصفحات (Chrome وSafari وEdge) بشكل كبير وباتوا يقدّمون تشفيراً ومزامنة معقولة، لكنهم تاريخياً امتلكوا مجموعة ميزات أضيق حول تدقيق الأمان ومراقبة التسريبات والقابلية للنقل بين المتصفحات مقارنة بالأدوات المستقلة المخصصة.
تُدخل الأدوات المستقلة، التي غالباً ما تُقدَّم جزئياً كإضافات متصفح، سطح هجوم خاصاً بها: إضافة متصفح ضارة أو مخترَقة في مكان آخر من المتصفح نفسه يمكن أحياناً أن تتفاعل مع محتوى الصفحة بطرق تخلق مخاطر تصيّد أو اختطاف للتعبئة التلقائية.
لا تُعتبر أي من الفئتين غير آمنة بطبيعتها، لكن المخاطر المحددة تختلف بما يكفي ليعامل الناس سؤال 'هل برنامج إدارتي آمن' كسؤال يخص سجل منتج محدد وبنيته، لا إجابة واحدة بنعم أو لا لكامل الفئة.
هجمات التصيّد التي تستهدف البرنامج نفسه
بما أن برامج إدارة كلمات المرور باتت بنية تحتية معروفة جيداً، بنى المهاجمون صفحات تصيّد تنتحل شاشات تسجيل دخول خدمات إدارة كلمات المرور الشهيرة نفسها، أملاً في حصد كلمة المرور الرئيسية مباشرة.
يتجاوز هذا النوع من الهجوم تشفير الخزنة بالكامل عبر خداع الإنسان ليكتب بيانَ الاعتماد الوحيد الذي يفتح كل شيء، وهو ما يجعل المصادقة الثنائية المقاوِمة للتصيّد على الحساب الرئيسي مهمة بقدر أهمية قوة كلمة المرور نفسها.
يُنصح المستخدمون المهتمون بالأمان بشكل متزايد بتفعيل مصادقة ثنائية قائمة على مفتاح أمان مادي لحساب برنامج إدارة كلمات المرور تحديداً، لأنه الهدف الأعلى قيمة الذي يمكن للمهاجم استهدافه بالتصيّد في نموذج التهديد بأكمله.
البرمجيات الخبيثة تهديد عملي أكبر من اختراق الخزنات
برامج تسجيل ضغطات المفاتيح، والبرمجيات الخبيثة التي تراقب الحافظة، والبرمجيات التي تلتقط لقطات الشاشة والمثبَّتة على جهاز المستخدم نفسه يمكنها التقاط كلمة المرور الرئيسية أو كلمات مرور مَنسوخة بغض النظر عن مدى تشفير الخزنة نفسها، لأنها تعترض البيانات قبل أو بعد أن يصبح التشفير ذا صلة.
هذا يعني أن جهازاً محدَّثاً بالكامل ومؤمَّناً جيداً قد يكون في الواقع أهم في تحديد أمان كلمات المرور العملي من اختيار علامة تجارية محددة لبرنامج الإدارة، إذ لا يمكن لأي تصميم خزنة حماية جهاز يفتحها بنفسه إذا كان مخترَقاً.
يشير باحثو الأمان باستمرار إلى أن هذا الخطر اليومي من البرمجيات الخبيثة، لا كسر الخزنات الاستثنائي، هو الطريقة الأكثر احتمالاً إحصائياً لسرقة كلمات مرور مستخدم فردي فعلياً في الواقع.
كيف تُؤطِّر بيانات التسريبات المخاطر الفعلية
تُظهر مجموعات بيانات كبرى لتتبع التسريبات، بما فيها الخدمات المجمَّعة مثل Have I Been Pwned وتقارير صناعية مثل تقرير Verizon السنوي عن التحقيقات في اختراقات البيانات، باستمرار أن بيانات الاعتماد المسروقة أو المُعاد استخدامها من أكبر المساهمين في اختراق الحسابات على مستوى الصناعة.
تهيمن على هذه البيانات اختراقات مواقع عادية تخزّن كلمات المرور بصيغة نصية واضحة أو بتجزئة ضعيفة، لا اختراقات برامج إدارة كلمات المرور، التي تبقى أحداثاً نادرة نسبياً بالنظر إلى مدى انتشار استخدام هذه الأدوات الآن.
إذا قرأنا هذا في ضوء هذه الخلفية، فإن تواتر الحوادث الخاصة ببرامج إدارة كلمات المرور صغير نسبياً مقارنة بحجم التعرّض الناتج عن إعادة استخدام كلمات المرور عبر الويب الأوسع والأقل هندسة أمنية بكثير.
ما يوصي به باحثو الأمن فعلياً بعد هذه الحوادث
لم يكن الاستنتاج السائد بين باحثي الأمن المستقلين بعد حادثة LastPass 'توقف عن استخدام برامج إدارة كلمات المرور'، بل 'اختر برنامجاً مُدقَّقاً جيداً، واستخدم كلمة مرور رئيسية قوية وفريدة، وفعِّل مصادقة ثنائية بمفتاح أمان مادي'.
أوصى بعض الباحثين بإجراءات محددة على مستوى الحساب لمستخدمي LastPass الحاليين، مثل تدوير كلمات المرور الحساسة بشكل خاص كإجراء احترازي، ما يعكس استجابة مستهدفة لحادثة محددة أكثر من كونه رفضاً شاملاً لفئة الأداة.
هذه الاستجابة المتّزنة إشارة مفيدة بحد ذاتها: مهنيون تتمثل وظيفتهم في إيجاد ثغرات أمنية استمروا إلى حد كبير في التوصية ببرامج إدارة كلمات المرور، وهو رد فعل غير معتاد لو كانت الفئة غير آمنة جوهرياً.
التدقيق وبرامج مكافآت اكتشاف الثغرات كدفاع مستمر
تُشغّل شركات برامج إدارة كلمات المرور الراسخة عادة برامج علنية لمكافآت اكتشاف الثغرات وتُكلّف جهات خارجية بتدقيق تنفيذ تشفيرها، ما يمنح الباحثين المستقلين حافزاً مالياً لإيجاد الثغرات والإبلاغ عنها بمسؤولية قبل أن يستغلها المهاجمون.
هذا النوع من التدقيق المستمر والعدائي أحد الأسباب العملية التي تجعل البرامج المعروفة أكثر جدارة بالثقة بمرور الوقت من البدائل الأحدث أو الأقل تدقيقاً، إذ يزداد احتمال ظهور الثغرات ومعالجتها عبر قنوات مشروعة.
يمكن لمن يُقيّم برنامج إدارة كلمات المرور أن يعتبر بشكل معقول وجود هذه البرامج وتاريخها إشارة مهمة على نضج الشركة الأمني، تختلف عن ادعاءات التسويق حول قوة التشفير وحدها.
البدائل مفتوحة المصدر والمُستضافة ذاتياً
تسمح برامج إدارة كلمات المرور مفتوحة المصدر، مثل Bitwarden وKeePass، بالتحقق المستقل من كود التشفير نفسه بدلاً من مطالبة المستخدمين بالثقة بادعاءات مورّد غير موثَّقة، ويمكن استضافة بعضها ذاتياً بالكامل، ما يُزيل الاعتماد على خدمة سحابية خارجية تماماً.
لا يُلغي هذا المخاطر — الاستضافة الذاتية تنقل مسؤولية أمان الخادم والنسخ الاحتياطي والتحديثات إلى الفرد أو المؤسسة التي تديرها، ما يُدخل لمعظم المستخدمين غير التقنيين مخاطر جديدة كانت خدمة سحابية مُدارة باحترافية ستتولاها بدلاً من ذلك.
بالنسبة لمعظم الناس، يبقى برنامج تجاري أو مفتوح المصدر مُزامَن سحابياً وحسن التقييم خياراً أكثر عملية من الاستضافة الذاتية، مع تقديم الخيار مفتوح المصدر طمأنينة إضافية بقاعدة كود قابلة للتدقيق العلني.
الحساب المقارن: برنامج إدارة مقابل عدمه
بدون برنامج إدارة كلمات المرور، البديل الواقعي لمعظم الناس هو إعادة استخدام مجموعة صغيرة من كلمات المرور القابلة للتذكر عبر عشرات الحسابات، أو كتابتها في تطبيق ملاحظات أو جدول بيانات دون أي تشفير على الإطلاق.
كلا البديلين أكثر قابلية للاستغلال على نطاق واسع بشكل كبير من برنامج إدارة كلمات مرور مُهيّأ بشكل صحيح: موقع واحد ضعيف الأمان ومخترَق يمكن أن يُعرِّض عشرات الحسابات الأخرى للخطر عبر بيانات اعتماد مُعاد استخدامها، وهو بالضبط ما صُمِّم برنامج الإدارة لمنعه.
عندما يُجري المتخصصون الأمنيون هذه المقارنة، يكون الاستنتاج شبه إجماعي: الخطر المتبقي من حادثة نادرة لسرقة خزنة مشفَّرة أصغر من الخطر شبه المؤكد والمستمر الناتج عن إعادة استخدام كلمات المرور عبر منظومة مواقع متفاوتة الأمان.
خطوات عملية تُقلِّل المخاطر بشكل فعلي
استخدام كلمة مرور رئيسية طويلة وفريدة — يُفضَّل أن تكون عبارة مرور متعددة الكلمات يسهل تذكرها بدلاً من سلسلة معقدة قصيرة — هو الخطوة الأعلى تأثيراً، إذ إنه بيان الاعتماد الوحيد الذي يحتاج المهاجم الذي سرق خزنة فعلياً لتخمينه.
تفعيل مصادقة ثنائية قائمة على مفتاح أمان مادي أو تطبيق مصادقة على حساب برنامج إدارة كلمات المرور نفسه يُغلق كلاً من هجمات التصيّد وحشو بيانات الاعتماد ضد الحساب الرئيسي، الذي يُشكِّل خلاف ذلك نقطة الفشل الوحيدة للنظام بأكمله.
إبقاء الأجهزة محدَّثة وتشغيل برامج أمان موثوقة يُقلِّل من خطر البرمجيات الخبيثة الذي لا يمكن لأي برنامج إدارة كلمات مرور، مهما كانت هندسته جيدة، الدفاع عنه بمفرده بشكل كامل.
كيفية تقييم سجل برنامج إدارة كلمات المرور
النظر في سجل الشركة في الإفصاح العلني والتدقيق من جهات خارجية ومدى شفافيتها في التواصل أثناء حادثة سابقة غالباً ما يكون أكثر إفادة من مقارنة مواصفات التشفير المُسوَّقة، التي تميل لأن تكون متشابهة عبر كبرى الشركات المزوِّدة.
شركة تُفصح عن الاختراقات فوراً، وتشرح بدقة ما البيانات التي تعرَّضت، وتنشر خطوات العلاج عادة ما تكون رهاناً أفضل على المدى الطويل من شركة لا سجل حوادث علنياً لها على الإطلاق، إذ قد يكون هذا الأخير ببساطة لم يُختبَر أو يُدقَّق بعد.
هذا هو المنطق نفسه الذي يُطبِّقه المتخصصون الأمنيون على بنى تحتية حرجة أخرى: الشفافية والقدرة المُثبَتة على الاستجابة للحوادث مهمتان بقدر أهمية القوة النظرية للتصميم الأساسي.
برامج إدارة كلمات المرور للشركات تواجه نموذج مخاطر مختلفاً
تضيف برامج إدارة كلمات المرور الموجَّهة للأعمال خزنات مشتركة وخيارات استرداد إدارية وتكاملات تسجيل دخول موحَّد لا تمتلكها الحسابات الاستهلاكية الفردية، وكل ميزة من هذه الميزات توسّع سطح الهجوم بطرق خاصة بالاستخدام المؤسسي.
يصبح حساب مسؤول يملك صلاحية إعادة تعيين أو استرداد وصول خزنات الموظفين هدفاً عالي القيمة بشكل خاص، إذ إن اختراقه قد يُعرِّض بيانات اعتماد موظفين كثر دفعة واحدة بدلاً من فرد واحد.
يُنصح المؤسسات التي تنشر هذه الأدوات عموماً بإقرانها بحماية صارمة لحسابات المسؤولين، وتدريب أمني ضد الهندسة الاجتماعية، ومراقبة أنماط الوصول غير المعتادة للخزنات، إذ إن مخاطر بيان اعتماد إداري واحد مُخترَق أعلى بكثير منها في حساب شخصي.
لماذا لا يمكن لأي برنامج إدارة كلمات مرور ضمان انعدام الخطر تماماً
لكل برنامج ثغرات، وبرنامج إدارة كلمات المرور ليس استثناءً؛ عيب لم يُكتشَف سابقاً في تنفيذ التشفير أو التعامل مع الجلسات أو التخزين المحلي لتطبيق الهاتف يمكن من حيث المبدأ أن يخلق ثغرة مستقلة عن أمان الخادم لدى المزوِّد.
لهذا السبب يُؤطِّر باحثو الأمن الخيار ليس كـ'آمن تماماً مقابل غير آمن' بل كمقارنة مخاطر نسبية بين بدائل معقولة ومُدقَّقة جيداً، إذ إن الخيار عديم المخاطر تماماً لا وجود له في أي مكان في مجال الأمان.
تقبُّل هذا الإطار يساعد في تفسير سبب استمرار التوجيه المهني في الإشارة إلى برامج إدارة كلمات المرور رغم الحوادث الدورية: الهدف تقليل المخاطر عبر منظومة حسابات كاملة، لا القضاء على أي نقطة فشل واحدة تماماً، وهو أمر غير قابل للتحقيق مع أي أداة.
برامج إدارة كلمات المرور كجزء من منظومة أمان أوسع
يُؤطِّر المتخصصون الأمنيون بشكل متزايد برنامج إدارة كلمات المرور كطبقة واحدة ضمن منظومة أوسع تشمل أيضاً أمان الجهاز والوعي بالتصيّد والمصادقة الثنائية، لا كحل قائم بذاته يجعل كل احتياط آخر غير ضروري.
هذا التفكير الطبقي مهم لأنه يُعيد تأطير حوادث مثل اختراق LastPass بشكل صحيح: كسبب لتعزيز الطبقات المحيطة ببرنامج إدارة كلمات المرور، لا كدليل على وجوب إزالة الطبقة نفسها.
بالنسبة لمعظم الناس الذين يبنون إعداد أمان شخصي واقعي، يُغلق برنامج إدارة كلمات مرور مُهيّأ جيداً مقترناً بمصادقة ثنائية بمفتاح أمان مادي ونظافة أساسية للجهاز الغالبية العظمى من مسارات الهجوم الواقعية ضد الحسابات الرقمية اليومية.
لا تزال برامج إدارة كلمات المرور تتعرض للاختراق بالمعنى الضيق أن الشركات التي تديرها تتعرض أحياناً لخرق أمني، لكن البرامج المصمَّمة جيداً بُنيت خصيصاً بحيث لا يتحول اختراق جانب الخادم مباشرة إلى كلمات مرور مسروقة وقابلة للاستخدام. الدروس الحقيقية من حوادث مثل حادثة LastPass تتعلق بقوة كلمة المرور الرئيسية ومعايير اشتقاق المفتاح وقيمة المصادقة الثنائية بمفتاح أمان مادي، لا بسبب للتخلي عن فئة الأداة بأكملها. وبموازنة ذلك مع الخطر الموثَّق جيداً والأكبر بكثير لإعادة استخدام كلمات المرور عبر ويب غير آمن، يبقى برنامج إدارة كلمات مرور مُهيّأ بشكل جيد الخيار الأكثر أماناً للغالبية العظمى من الناس، شريطة معاملة نقطة الضعف الوحيدة المتبقية — كلمة المرور الرئيسية التي تحرسه — بالجدية التي تستحقها.
المصادر
- المعيار الفيدرالي الأمريكي NIST SP 800-63B — إرشادات الهوية الرقمية الفيدرالية التي تغطي متطلبات أمان المصادقة وكلمات المرور.
- Have I Been Pwned — خدمة مُجمِّعة لبيانات التسريبات تُستخدم لتتبع حجم التعرّض لبيانات الاعتماد المسروقة.
- تقرير Verizon للتحقيقات في اختراقات البيانات — تقرير صناعي سنوي يحلل الأسباب الرئيسية لاختراقات البيانات، بما فيها الهجمات القائمة على بيانات الاعتماد.
- مؤسسة الحدود الإلكترونية (EFF) — منظمة حقوق رقمية تنشر إرشادات حول برامج إدارة كلمات المرور وممارسات أمان الحسابات.
الأسئلة الشائعة
هل سُرقت كلمات مرور نصية واضحة في اختراق LastPass؟
لا — سرق المهاجمون نسخاً احتياطية مشفَّرة من الخزنات، لا كلمات مرور قابلة للقراءة. تعرَّضت أيضاً بعض البيانات الوصفية غير المشفَّرة، مثل عناوين المواقع المخزَّنة، لكن كلمات المرور نفسها بقيت مشفَّرة.
هل يعني اختراق برنامج إدارة كلمات المرور أن كلمات مروري مُخترَقة؟
ليس تلقائياً. مع تشفير المعرفة الصفرية، لا يزال المهاجم الذي يسرق خزنة يحتاج لكسر كلمة المرور الرئيسية عبر تخمين غير متصل بالإنترنت، وهو ما تجعله كلمة مرور رئيسية قوية وفريدة غير عملي.
هل من الأكثر أماناً إعادة استخدام بضع كلمات مرور قوية بدلاً من استخدام برنامج إدارة؟
لا — تُظهر بيانات التسريبات باستمرار أن إعادة استخدام كلمة المرور عبر المواقع أحد أكبر أسباب اختراق الحسابات، إذ يمكن لموقع واحد مخترَق أن يُعرِّض كل حساب آخر يستخدم كلمة المرور نفسها للخطر.
ما الخطوة الأكثر فاعلية لحماية حساب برنامج إدارة كلمات المرور؟
استخدام كلمة مرور رئيسية طويلة وفريدة مع مصادقة ثنائية قائمة على مفتاح أمان مادي أو تطبيق مصادقة، إذ يُغلق هذا المزيج كلاً من التخمين غير المتصل ومحاولات التصيّد ضد الحساب.
هل برامج إدارة كلمات المرور مفتوحة المصدر أكثر أماناً من التجارية؟
تقدّم فائدة إضافية بكود قابل للتدقيق العلني، لكن الأمان يعتمد في النهاية أكثر على جودة التنفيذ وممارسات التحديث وإعدادات أمان الحساب من مجرد كونه مفتوح المصدر.
عن الكاتب
نستند إلى معيار NIST SP 800-63B، وخدمة Have I Been Pwned، وتقرير Verizon للتحقيقات في اختراقات البيانات، ومؤسسة الحدود الإلكترونية لشرح خلفية هذا الموضوع وفهمه الحالي.
هل أعجبك المقال؟
شارك عبر واتساب ← شارك عبر واتساب
احصل على المزيد من الأدلة في بريدك — اشترك في نشرتنا البريدية للحصول على قصص أسبوعية مثيرة للاهتمام من مصر والسعودية ودبي وأكثر.