أين توجد كلمات مرورك المحفوظة، ومن غيرك يستطيع فتحها

إذا ضغطت يومًا «احفظ كلمة المرور» في تلك النافذة الصغيرة التي تظهر في الأسفل، فأنت تستخدم مدير كلمات مرور بالفعل. لم يخبرك أحد، ولم تختر واحدًا، ومع ذلك لديك واحد. وفيه على الأرجح مئة مدخل.

هذا يفسّر لماذا السؤال الأكثر تكرارًا عن كلمات المرور ليس «كيف أصنع واحدة جيدة»، بل «أين كلماتي». الناس لا يبحثون عن دليل أمني: يبحثون عن قائمة يعرفون أنها موجودة ولا يعثرون عليها.

القائمة موجودة. لكن المكان الذي حُفظت فيه أقل أهمية بكثير من جواب السؤال التالي، الذي لا يطرحه أحد تقريبًا: ما الذي يلزم لفتحها؟

أين هي، بحسب ما تستخدمه

في كروم هي في مدير كلمات المرور من غوغل. تعيش في مكانين في آن واحد: نسخة على حاسوبك وأخرى في حسابك على غوغل، متزامنتان. تُرى على passwords.google.com أو من إعدادات المتصفح نفسه.

في سفاري وآيفون وماك هي في سلسلة مفاتيح آي‌كلاود، التي صار لها منذ وقت قريب تطبيق خاص: كلمات المرور. الفكرة نفسها: في الجهاز وفي حسابك على أبل.

في فَيَرفُكس هي في ملفين داخل ملفك الشخصي، ويستحق اسماهما أن تعرفهما: logins.json حيث أسماء المستخدمين وكلمات المرور مشفّرة، وkey4.db حيث المفتاح الذي يفكّها. توثّق موزيلا ذلك بهذين الاسمين تمامًا.

في إيدج هي في حسابك على مايكروسوفت، بالمخطط نفسه الذي في كروم. وفي أندرويد هو مدير غوغل نفسه الذي يستعمله كروم، ولو فتحته من إعدادات الهاتف.

إلى هنا الجواب الذي جئت من أجله. والآن الجزء الذي يغيّر شيئًا.

ثلاثة نماذج، ولماذا ليست متكافئة

كلها تقول «كلمات مرورك مشفّرة». هذا صحيح في الحالات الثلاث، ولا يعني الشيء نفسه في أي منها، لأن ما يتغير هو من يملك المفتاح.

سلسلة مفاتيح أبل مشفّرة من طرف إلى طرف. المفاتيح التي تفتحها لا تعرفها أبل؛ هي موجودة على أجهزتك الموثوقة وحدها. تنشر أبل هذا في وثائقها الأمنية، وتضيف تفصيلًا يُشكر: النظام يحدّ من عدد المحاولات، تحديدًا كي لا يستطيع أحد —ولا حتى من داخل بنيتها التحتية— أن يجرّب بالقوة. لا شيء تفعّله. الأمر هكذا أصلًا.

في غوغل هذا الوضع موجود لكنه اختياري. افتراضيًا تسافر كلمات مرورك مشفّرة وتُحفظ مشفّرة، لكن بمفاتيح تديرها غوغل. يمكنك تغيير ذلك: عبارة مرور للمزامنة —أو التشفير على الجهاز، بحسب من أين تدخل— تجعل المفاتيح في يدك وحدك. الفرق العملي هائل، ومع ذلك لم يفعّله أغلب الناس قط، لأن أحدًا لم يشرح لهم أنه موجود. وله ثمن يجب أن يُقال كاملًا: إذا نسيت تلك العبارة، فلن يستعيد أحد كلمات مرورك المحفوظة. هذا بالضبط معنى «أنت وحدك».

في فَيَرفُكس، من دون كلمة مرور رئيسية، لا يحميك التشفير ممن يملك ملفاتك. هذا أكثر أجزاء المقال إزعاجًا، والذي يقوله هو موزيلا لا نحن: من دون ضبط كلمة مرور رئيسية، يستطيع كل من ينسخ logins.json وkey4.db من ملفك الشخصي أن يقرأ بيانات دخولك. الملفان يسافران معًا: أحدهما يحمل القفل والآخر المفتاح. وضع كلمة مرور رئيسية هو ما يشفّر ذلك المفتاح ويفكّ الاقتران.

السيناريو الحقيقي ليس فيلمًا

حين يتخيل المرء أن كلمات مروره تُسرق، يتخيل أحدًا يهاجم خوادم. في الواقع الحالتان اللتان تحدثان أكثر منزليةً بكثير.

الأولى: شخص لديه وصول إلى حاسوبك غير المقفل. لا يحتاج إلى معرفة أي شيء. القائمة على بُعد نقرتين في إعدادات المتصفح، وحتى لو طلب كلمة مرور النظام لعرضها بوضوح، فتلك الكلمة يعرفها من يعيش معك أو من رآك تكتبها.

الثانية: برنامج ينسخ ملف متصفحك الشخصي. لا يكسر شيئًا. يأخذ الملفات ويفتحها في مكان آخر على مهل. هذا نوع من البرمجيات شائع إلى حدّ أن له اسمًا خاصًا في الصناعة، إنفوستيلر، وهو السبب الدقيق الذي يجعل جملة «لكنها مشفّرة» تحتاج دائمًا إلى السؤال التالي: مشفّرة، حسنًا — وأين المفتاح؟

أمام هذا السيناريو الثاني يصمد نموذج أبل، ويصمد نموذج غوغل إن كنت فعّلت العبارة، ولا يصمد فَيَرفُكس من دون كلمة مرور رئيسية أمام شيء.

ماذا تفعل، مرتّبًا بحسب الأثر

واحد. إن كنت تستخدم فَيَرفُكس، ضع له كلمة مرور رئيسية. إنها خانة في إعدادات الخصوصية، وهي بفارق كبير التغيير الأكثر حمايةً مقابل أقل جهد في هذه القائمة كلها.

اثنان. إن كنت تستخدم كروم أو أندرويد، ادخل إلى مدير غوغل وفعّل التشفير على الجهاز أو عبارة المزامنة. اكتبها في مكان مادي قبل التفعيل، وافهم ما توقّع عليه: من تلك اللحظة تصبح تلك العبارة هي الباب الوحيد.

ثلاثة. انظر إلى كلمة مرور الحساب الذي يحفظ كل الباقي. حسابك على غوغل أو معرّفك لدى أبل أو حسابك على مايكروسوفت لم يعد «حسابًا آخر» منذ اللحظة التي بدأت تحفظ فيها كلمات المرور بداخله: صار الآن مفتاح البقية. إن كنت أنت من اخترع تلك الكلمة قبل ثماني سنوات، مرّرها على أداة الفحص وانظر ماذا تقول. وإن شئت، استبدلها بواحدة من المولّد.

أربعة. فعّل العامل الثاني على ذلك الحساب. هذه هي الخطوة التي تحوّل «يعرفون كلمة مرورك» إلى «لا يدخلون مع ذلك».

هل يكفي هذا، أم أحتاج مديرًا حقيقيًا؟

يعتمد على الغرض، والجواب الصادق هنا ليس هو الجواب الذي يبيع.

بالنسبة إلى معظم الناس، مدير المتصفح مع تشفير مضبوط جيدًا يكفي، وهو أفضل بما لا يُقاس من البديل الحقيقي، الذي ليس مديرًا أفضل: بل هي كلمة المرور نفسها مكرّرة في أربعين موقعًا.

المدير المخصص يتفوّق حين تظهر أمور يفعلها مدير المتصفح بسوء أو لا يفعلها: استخدام متصفحين مختلفين من دون أن تُجنّ، مشاركة كلمة مرور مع شريكك من دون إرسالها عبر واتساب، حفظ أشياء ليست كلمات مرور، الخروج من منظومة من دون أن تفقد كل شيء، أو أن تستطيع تدقيق شيفرة من يحفظ أسرارك. تحدثنا عن ذلك في مقال آخر، وخلاصته أن القفزة الكبرى ليست من مدير إلى آخر: بل من لا شيء إلى أي شيء.

ما كنت تبحث عنه فعلًا

كنت تبحث عن قائمة. هي على passwords.google.com، أو في تطبيق كلمات المرور على آيفونك، أو في إعدادات متصفحك، بحسب ما تستخدمه.

لكن ما دمت هناك، انظر إلى أمر آخر: كم مرة تتكرر كلمة المرور نفسها في تلك القائمة. المديرون الثلاثة يخبرونك إن سألتهم. ذلك الرقم يشرح وضعك الحقيقي أفضل من أي شيء تقرؤه عن التشفير، بما في ذلك هذا المقال.

المصادر: وثائق أبل الأمنية عن سلسلة مفاتيح آي‌كلاود —تشفير من طرف إلى طرف بمفاتيح لا تعرفها أبل، مع تحديد عدد المحاولات— · مساعدة غوغل كروم عن المزامنة وعبارة مرور المزامنة والتشفير على الجهاز · وثائق موزيلا عن كيفية حفظ فَيَرفُكس لكلمات المرور (logins.json وkey4.db) وعن كلمة المرور الرئيسية.

صورة بواسطة Ron Lach · Pexels

← العودة إلى المدونة