كلمة مرور الراوتر، ولماذا لا تكفي كلمة المصنع

في راوترك كلمتا مرور، ولا يكاد أحد يعرف ذلك.

الأولى كلمة الواي فاي: تلك التي تمليها في الهاتف، والمكتوبة على ورقة في المطبخ، والتي تقرؤها على السبّاك. والثانية كلمة إدارة الجهاز نفسه، تلك التي تفتح لوحة الإعدادات حيث يُضبط كل شيء. هذه الثانية لا تكاد تُمسّ، وإن لم تغيّرها أنت فهي حتى اليوم بالضبط تلك المطبوعة على الملصق أسفل الجهاز.

الاثنتان تحميان أشياء مختلفة وتنهاران بطرق مختلفة. يستحق الأمر أن نفصلهما، لأن عشرين سنة من الكلام عن «كلمة مرور الواي فاي» أدّت، ضمن ما أدّت، إلى حجب الأخرى.

التي تحفظها، والتي لم تنظر إليها قط

كلمة الواي فاي تحدّد من يستطيع الاتصال بالشبكة. إنها تصريح دخول: بها يدخل جهاز إلى شبكتك المحلية ويعيش مع البقية.

كلمة الإدارة تحدّد من يستطيع تغيير طريقة عمل الشبكة. من تلك اللوحة يُغيَّر اسم الشبكة، ونوع التشفير، وخوادم DNS التي يستعملها البيت كله، والمنافذ المفتوحة نحو الخارج، وما إذا كان يمكن إدارة الراوتر عبر الإنترنت أصلًا. ليست بابًا إضافيًّا: إنها الباب الذي تُعاد منه تهيئة الأبواب الأخرى.

وهنا يقع عدم التماثل المزعج. من يملك كلمة الواي فاي يكون داخل شبكتك. ومن يملك كلمة الإدارة، فشبكتك صارت له: يستطيع تغيير كلمة الواي فاي، أو خفض التشفير، أو تحويل المسار الذي تخرج منه بياناتك — وستعرف ذلك من الأثر، لا من إشعار.

توصية CISA في هذا الشأن بلا تحفّظات: غيّر اسم المستخدم وكلمة المرور اللذين تدخل بهما إلى الراوتر، لأن المعلومات التي جاءت من المصنع قد تكون متاحة للعموم وفي متناول أي أحد، واجعل الجديدة طويلة وعشوائية وغير مكرّرة. وأضف قاعدة أخرى يخرقها الجميع تقريبًا دون أن ينتبهوا: ألّا تكون هي نفسها كلمة الواي فاي. إنهما شيئان مختلفان يُتشاركان بطريقتين شديدتَي الاختلاف — واحدة يعرفها نصف الحيّ، والأخرى لا ينبغي أن يعرفها أحد.

2011 الزرّ الذي بدا مريحًا

في راوترك سرّ ثالث لا يكاد يُذكر: رمز WPS، أي نظام الاقتران السريع الذي يظهر زرًّا على الجهاز ورقمًا من ثمانية أعداد على الملصق.

في ديسمبر 2011 نشر CERT/CC مذكّرة الثغرة VU#723755، انطلاقًا من عمل Stefan Viehböck، عن ضعف في تصميم طريقة التحقق من ذلك الرمز. ما يهمّك ليس التفصيل التقني: بل الجواب الرسمي، وهو نفسه بعد خمسة عشر عامًا. لم يكن هناك ترقيع؛ كان هناك مفتاح. التوصية كانت — ولا تزال — أن تدخل إلى الإعدادات وتعطّل WPS. وتكرّر CISA ذلك اليوم في دليلها للشبكات المنزلية، في القائمة نفسها التي تطلب فيها تعطيل الإدارة عن بُعد.

هذا أجدى ما في المقال كله: خانتان تُلغى علامتهما مرة واحدة ولا تعودان تزعجانك.

2015 حين كان مفتاح المصنع يُحسب حسابًا

كلمة مرور المصنع ليست سرًّا يخصّك. إنها قيمة اختارها المصنّع، ومطبوعة على الجهاز، ومذكورة في الدليل، وكثيرًا ما تتكرّر في كل وحدات الطراز نفسه.

وثمة حالات منشورة لما هو أسوأ: مفاتيح مصنع لم تكن عشوائية أصلًا بل محسوبة من بيانات يبثّها الراوتر نفسه في الهواء. في فهرس الـNIST توجد CVE-2015-0558، عن راوتر منزلي كان يولّد مفتاح WPA خاصته من سلسلة ثابتة ومن عنوان MAC الخاص به. وبعد ذلك بقليل، قالت نشرة عامة من SEARCH-LAB عن مودم كابل منتشر في أوروبا الأمر كله في جملة واحدة: «الـSSID وعبارة المرور الافتراضيان مشتقّان من عنوان MAC وحده. وبما أن عنوان MAC للجهاز يُبثّ عبر الواي فاي، فيمكن حساب كلمة المرور الافتراضية بسهولة.» وانتهى المشغّل إلى مراسلة زبائنه طالبًا منهم تغييرها.

لا حاجة بك إلى معرفة كيف كان ذلك يُفعَل — ولن يُشرح هنا — لتحتفظ بالشيء الوحيد المهم: مفتاح استطاع المصنّع توليده، استطاع غيره إعادة إنتاجه. مفتاح المصنع عندك ليس عشوائيًّا لأنه طويل وقبيح. هو قبيح لأنه خرج من إجراء، والإجراءات تُدرَس.

أسهل كلمة مرور ستجعلها طويلة في حياتك

والآن الخبر الجيد، وهو نادر، لأن نصائح الأمان لا تأتي مجانًا في العادة.

كل كلمات المرور في حياتك تجرّ خلفها العدوّ الخفيّ نفسه: عليك أن تكتبها. مرات كثيرة، باليد، على هاتف، على عجل. لذلك يجعلها الناس قصيرة، ولذلك يبدو «اجعلها من ثلاثين حرفًا» عقوبةً.

كلمة الواي فاي لا تعاني من ذلك. تكتبها مرة واحدة لكل جهاز ثم لا تراها ثانية: الهاتف والحاسوب المحمول والتلفاز يتذكّرونها إلى الأبد. وحين يلزم إعطاؤها لأحد، فإن معظم الهواتف وكثيرًا من الراوترات الحديثة تسلّمها عبر رمز QR، دون أن يكتب أحد شيئًا.

بعبارة أخرى: الطول هنا يكاد يكون مجانيًّا، ولذلك لا عذر في أن تكون قصيرة. معيار IEEE 802.11i، الذي يحدّد هذا منذ 2004، يسمح بعبارات مرور تصل إلى 63 حرفًا. ولا يكاد أحد يبلغ نصف ذلك.

فماذا تضع؟ اقتراح CISA ملموس إلى حدّ يمكن اتّباعه حرفيًّا: عبارة مرور يسهل تذكّرها مكوّنة من خمس إلى سبع كلمات لا رابط بينها، بما لا يقل عن ستة عشر حرفًا في المجموع، ولا تستعملها في أي حساب آخر. إنه منطق diceware مطبَّقًا على غرفة جلوسك. وإن كنت تفضّل سلسلة عشوائية وتترك العمل لرمز QR، فذلك أفضل: استخرجها من المولّد ولا تنظر إليها مرة أخرى. وإن ساورك شكّ في التي تستعملها الآن، فمرّرها على المدقّق قبل أن تقرّر شيئًا.

2018 ما هو WPA3 ولماذا يغيّر الحسابات

في 2018 قدّمت Wi-Fi Alliance معيار WPA3 خلفًا لـWPA2. وهو اليوم إلزامي لأي جهاز يريد أن يحمل شارة Wi-Fi CERTIFIED.

التغيير الجوهري يحمل اسمًا قبيحًا، SAE، ونتيجة سهلة الفهم جدًّا. مع WPA2، كان بإمكان من يقف قريبًا أن يلتقط التحية الأولى بين هاتفك والراوتر، ثم يذهب إلى بيته ويجرّب على ذلك الملف ملايين المفاتيح في الثانية، بلا حدٍّ للمحاولات ودون أن ينتبه أحد. إنها مشكلة تسريب كلمات المرور بعينها: حين تصير المادة على قرص المهاجم، لا أحد على الطرف الآخر ليقول لا.

WPA3 يكسر ذلك. بكلمات Wi-Fi Alliance نفسها: «يستبدل WPA3-Personal المفتاح المشترك مسبقًا في WPA2 (WPA2-PSK) بـSimultaneous Authentication of Equals (SAE). وخلافًا لـWPA2-PSK، فإن SAE مقاوم لهجمات القاموس خارج الاتصال.» كل محاولة تستلزم مخاطبة الراوتر من جديد، والراوتر الذي تصله آلاف المحاولات الفاشلة يمكنه أن ينتبه وأن يبطئ.

ثم يأتي الجزء الصادق، الذي تحرص الوثيقة نفسها على قوله. هذه المقاومة تعني أن «عبء أمان كلمة المرور لم يعد ملقًى على المستخدمين»، وأن اشتراط خلط الحروف الكبيرة والصغيرة والرموز لم يعد شرطًا وجيهًا مع SAE. لكن هذا ليس إذنًا باختيار كلمة سيئة: الهجوم النشط لا يزال قائمًا، والمواصفة تحسم الأمر بلا لفّ ودوران — كلمات المرور المستعملة مع SAE يجب أن يكون تخمينها بالغ الصعوبة. وهو عين ما يقوله الـNIST منذ سنوات عن بقية كلمات مرورك: الطول يغلب التعقيد.

تنبيهان عمليان. إن كان راوترك لا يبلغ WPA3، فإن CISA لا تقبل سوى اثنين: WPA3 Personal وWPA2 مع AES. أما الشبكة المفتوحة أو WEP أو TKIP فليست كلمة مرور ضعيفة، بل هي انعدام كلمة المرور. وإن فعّلت وضع الانتقال، فإن شبكتك تقبل WPA3 وWPA2 معًا كي تدخل الأجهزة القديمة: قرار معقول في بيت فيه طابعة من 2013، لكن من الأفضل أن تعرف ما هو — ما دام مفعّلًا، تبقى في شبكتك بوابة WPA2. فإن كان كل ما تملكه يدخل عبر WPA3، فأوقفه.

2024 القانون يصل إلى ما تحت الملصق

طوال عقود كانت هذه مسألة نصائح. أما الآن فهي مسألة تنظيم أيضًا.

في 29 أبريل 2024 دخل حيّز النفاذ في المملكة المتحدة نظام PSTI، قانون أمان المنتجات المتصلة، الذي يحظر كلمات المرور الافتراضية الموحّدة في المنتجات الاستهلاكية المتصلة: انتهى النموذج الذي كانت فيه كل وحدات المنتج تخرج من المصنع بالمفتاح نفسه. غير أن القانون يجيز كلمة مرور افتراضية فريدة لكل وحدة، وهي بالضبط حالة الملصق الذي يحمل سلسلة مختلفة في كل راوتر. وفي الاتحاد الأوروبي، صارت متطلبات الأمن السيبراني في توجيه الأجهزة الراديوية — اللائحة المفوَّضة (EU) 2022/30 — واجبة التطبيق منذ 1 أغسطس 2025.

من ذلك يُستنتج أمران، وليسا الشيء نفسه. الأول: الراوترات الجديدة ستصل في حال أفضل من المصنع. والثاني، وهو الذي يخصّك: لا شيء من هذا يُطبَّق بأثر رجعي على الجهاز الموجود عندك في الصالة أصلًا. إن كان هناك منذ ست سنوات، فبيتك لا يزال يسير على قواعد العالم السابق.

شبكة الضيوف، أو الكفّ عن إملاء مفتاحك

فكّر كم شخصًا يعرف مفتاح الواي فاي عندك. النسيب، ومربّية الأطفال، والصديق الذي جاء للعشاء في 2022 ولا يزال الإعداد قائمًا في هاتفه، والفنّي الذي صعد ليركّب شيئًا.

لم يحصل أيٌّ منهم على إذن بالخروج إلى الإنترنت فحسب: لدى كل واحد جهاز داخل شبكتك المحلية، إلى جانب قرصك الشبكي وطابعتك وكاميراتك. وأنت لا تعرف شيئًا عن حال ذلك الجهاز.

الجواب هو شبكة الضيوف، وهي خاصية تملكها ولا تستعملها. تقولها CISA بالحرف: إن كان في راوترك خيار واي فاي للضيوف فشغّله، وضع له كلمة مرور خاصة — طويلة وعشوائية وغير مكرّرة — وليستعملها كل من لا يتصل بواي فاي بيتك بانتظام. وأضف ما لا يكاد يفعله أحد: أرسل إلى هناك أيضًا الأجهزة المتصلة — القابس الذكي، والتلفاز، والمكنسة الآلية — إن كان كل ما تحتاجه هو الخروج إلى الإنترنت، حتى لا تستطيع اكتشاف بقية أجهزة البيت.

إنه مبدأ هذه المدونة كلها مطبَّقًا على غرفة الجلوس: بيان اعتماد واحد لكل مكان. واي فاي بيتك الرئيسي مكان. والزوّار مكان آخر.

ما الذي تفعله، وبأي ترتيب

• ادخل لوحة الراوتر وغيّر كلمة مرور الإدارة. هي البند الوحيد في هذه القائمة الذي لم تمسّه على الأرجح قط، وهي الأقوى سلطة. طويلة وعشوائية ومختلفة عن كلمة الواي فاي.
• ضع مفتاح واي فاي طويلًا. من خمس إلى سبع كلمات لا رابط بينها، أو سلسلة من المولّد. تكتبها مرة واحدة ثم تشاركها عبر رمز QR.
• ارتقِ إلى WPA3 إن سمح راوترك. وإلا فـWPA2 مع AES.
• عطّل WPS والإدارة عن بُعد. خانتان، مرة واحدة.
• شغّل شبكة الضيوف وأرسل إليها الزوّار والأجهزة المتصلة.
• حدّث البرنامج الثابت واترك التحديثات التلقائية مفعّلة إن وُجدت.
• لا تُعِد استعمال أيٍّ منهما في مكان آخر. وإن ساورك شكّ في واحدة مما تستعمله أصلًا، فمرّرها على المدقّق.

لا شيء من هذا يستغرق أكثر من عشرين دقيقة، وهي عشرون دقيقة تُبذل مرة واحدة.

الراوتر هو أهم جهاز في بيتك، والوحيد الذي يدير نفسه ما دام لا أحد يديره. يعمل منذ سنوات في زاوية، يؤدي عمله دون شكوى، ولهذا بالذات لا يبدو أبدًا أن الوقت قد حان للنظر إليه.

كلمة مرور المصنع ليست سيئة لأنها قصيرة أو قبيحة. هي سيئة لأنها ليست لك. اختارها غيرك، وطبعها على ملصق لاصق، وأرسلها إلى آلاف البيوت المشابهة لبيتك. تغييرها هو أقرب ما في المعلوماتية المنزلية إلى تغيير القفل حين تنتقل إلى بيت جديد.

المصادر: CISA، «Project Upskill · Module 5: Securing Your Home Wi-Fi»، الصادر عن Joint Cyber Defense Collaborative — تغيير اسم المستخدم وكلمة مرور الدخول إلى الراوتر لأن معلومات المصنع قد تكون متاحة للعموم، وعبارة مرور من خمس إلى سبع كلمات لا رابط بينها بما لا يقل عن ستة عشر حرفًا، وWPA3 Personal أو WPA2 AES بوصفهما التشفيرين الوحيدين المعتبرين آمنين، وتعطيل WPS والإدارة عن بُعد، وتشغيل واي فاي الضيوف بما يشمل الأجهزة المتصلة · Wi-Fi Alliance، «WPA3 Security Considerations Overview» (أبريل 2019)، بشأن استبدال WPA2-PSK بـSAE، ومقاومته لهجمات القاموس خارج الاتصال، واشتراط أن يبقى تخمين كلمات المرور بالغ الصعوبة · CERT/CC، مذكّرة الثغرة VU#723755 (27 ديسمبر 2011)، بلاغ Stefan Viehböck، والحل الموصى به فيها هو تعطيل WPS · NVD (NIST)، CVE-2015-0558، عن راوتر منزلي كان يولّد مفتاح WPA من سلسلة ثابتة ومن عنوان MAC خاصته · نشرة عامة من SEARCH-LAB (Gergely Eberhardt) عن مودم Ubee EVW3226، نُشرت في Full Disclosure في يوليو 2016 · IEEE 802.11i، الذي يحدّد عبارة المرور بين 8 و63 حرفًا · المملكة المتحدة، نظام Product Security and Telecommunications Infrastructure Act، نافذ منذ 29 أبريل 2024 · الاتحاد الأوروبي، اللائحة المفوَّضة (EU) 2022/30 ضمن توجيه الأجهزة الراديوية، واجبة التطبيق منذ 1 أغسطس 2025 · NIST SP 800-63B، بشأن الطول في مقابل التعقيد.

صورة بواسطة Jakub Zerdzicki · Pexels

← العودة إلى المدونة