قوة كلمة المرور بالزمن

نموذج القوة العمياء

يجرّب هجوم القوة العمياء كل تركيب ممكن حتى يجد كلمة المرور الصحيحة. إجمالي فضاء البحث هو:

$S = N^L$

حيث:

• $S$ = إجمالي كلمات المرور الممكنة
• $N$ = حجم مجموعة الأحرف (الأحرف المختلفة التي يأخذها المهاجم في الحسبان)
• $L$ = طول كلمة المرور

متوسط وقت الاختراق يفترض أن المهاجم يعثر على كلمة المرور في منتصف فضاء البحث:

$T = \frac{S \times p}{G}$

حيث:

• $T$ = متوسط وقت الاختراق بالثواني
• $p$ = نسبة فضاء البحث المفحوص (عادةً 50% للمتوسط)
• $G$ = تخمينات المهاجم في الثانية

سرعة الهجوم حسب السيناريو

المتغير الأهم هو $G$ — الذي يعتمد كلياً على سيناريو الهجوم:

bcrypt (وArgon2 وscrypt) مصممة لتكون بطيئة. التحقق بـ bcrypt لمدة ثانية واحدة بـ GPU واحد يسمح بـ ~1,000 تخمين فقط في الثانية. نفس كلمة المرور خلف MD5 يستغرق ميكروثانية لكل تخمين — مما يجعل bcrypt cost 12 مقابل MD5 فرقاً بمقدار 6 رتب في المقاومة الحقيقية.

مثال عملي

كلمة المرور: 10 أحرف، حروف + أرقام + رموز ($N = 94$) سرعة الهجوم: $10^{10}$ تخمين/ثانية (MD5 مباشرةً)

$S = 94^{10} \approx 5.39 \times 10^{19}$

$T = \frac{5.39 \times 10^{19} \times 0.5}{10^{10}} \approx 2.7 \times 10^9 \text{ ثانية} \approx 85 \text{ سنة}$

نفس كلمة المرور ضد تسجيل دخول إلكتروني محدود المعدل ($G = 10$/ثانية):

$T \approx \frac{5.39 \times 10^{19} \times 0.5}{10} \approx 2.7 \times 10^{18} \text{ ثانية}$

نفس كلمة المرور المكونة من 10 أحرف تصبح غير قابلة للاختراق عملياً ضد نموذج محدود المعدل — ليس لأن كلمة المرور أقوى، بل لأن سرعة الهجوم انخفضت بـ 9 رتب.

الطول مقابل التعقيد: الأثر الحقيقي

نفس مجموعة الأحرف ($N = 94$) وأطوال مختلفة، MD5 مباشرةً:

كل حرف إضافي يضرب فضاء البحث في $N = 94$. إضافة حرفَين تُغير وقت الاختراق من أيام إلى قرون.

ما لا تستوعبه هذه الحاسبة

هجمات القاموس — الهجمات الحقيقية تبدأ بقوائم الكلمات ومجموعات القواعد قبل القوة العمياء. Password1! لديها وقت اختراق نظري بمئات السنين لكنها تسقط في ثوانٍ أمام هجوم قاموس.

حشو بيانات الاعتماد — إذا ظهرت كلمة المرور في اختراق سابق فستُكسَر فوراً بغض النظر عن إنتروبيتها.

التمليح — التمليح الصحيح يمنع هجمات جداول قوس قزح المحسوبة مسبقاً. تجزئات MD5 غير المملّحة قابلة للاختراق بجداول بحث بحساب قريب من الصفر.