المدونة
مقالات عن كلمات المرور والأمان، ولماذا كان أغلب ما تعلّمناه خطأً.
Passkeys: كلمة المرور التي لا وجود لها
عقودًا ونحن نحاول أن نجعل كلمة المرور أعصى على التخمين. أما الـ passkeys فتفعل شيئًا آخر: تزيح من الطريق السرّ الذي كان على الخادم أن يحفظه. لا يبقى للموقع إلا مفتاح عامّ لا يساوي شيئًا إن سُرق، ويكفّ التصيّد عن العمل. لكنها لا تصلح كل شيء.
أسئلة الأمان كلمة مرور لم تخترها أنت
سؤال الأمان كلمة مرور بثلاثة عيوب: لم تخترها، ويمكن تخمينها، وغالبًا ما تكون مكتوبة في مكان عام. في 2015 قاست Google الأمر ببيانات حقيقية، وكانت النتيجة قاسية من طرفين: تُخمَّن، وتُنسى أيضًا. ومن يكذب ليحمي نفسه ينتهي به الأمر عاجزًا عن الدخول.
المصادقة الثنائية: لماذا الـSMS أسوأ الحلول الجيدة
تفعيل المصادقة الثنائية عبر الـSMS من أفضل القرارات التي يمكنك اتخاذها اليوم، وهو أيضًا أول قرار ستضطر إلى مراجعته. نقطة ضعفه ليست في التشفير ولا في هاتفك: إنها في الموظف الذي يرد على الهاتف في شركة الاتصالات. هذا هو السُّلَّم كاملًا، من الـSMS إلى المفتاح المادي.
ماذا يحدث فعلًا حين تتسرّب كلمة مرورك
كلمة مرورك لا تتسرّب فتضيع: تتسرّب فتبدأ في التداول. تُكسر على مهل، وتُدمج مع قوائم أخرى، وتنتهي في combolist يجرّبها أحدهم على بنكك. ما يجعلها ثمينة ليس أنها كانت ضعيفة. بل أنها كانت هي نفسها.
Hash وملح وbcrypt وArgon2: ماذا يفعل الموقع المحترم بكلمة مرورك
في كل مرة يُسمح لك بالدخول، يتحقق أحدهم من شيء. لكن التحقق ليس معرفة. هذه حكاية كيف تعلّمنا ألا نخزّن كلمات المرور، ولماذا يجب أن تكون الدالة التي تحميها بطيئة — وباهظة — عن عمد.
كم يستغرق كسر كلمة مرورك حقًا
المواقع التي تَعِدك بـ”ثلاثة ملايين سنة“ تخفي عنك نصف المعادلة. كلمة المرور نفسها قد تسقط بعد الظهر أو تصمد قرونًا، تبعًا لطريقة تخزينها في الموقع الذي سجّلت فيه — معلومة لا تختارها أنت ولا يعلّمك إياها أحد. هذا ما يقف خلف الرقم.