رمز عبور قوی چیست و چطور بسازیم و نگه داریم؟
بیشتر حساب‌های هک‌شده با یک رمز ساده یا تکراری شروع می‌شوند. خبر خوب: امن کردن حساب‌هایتان کار پیچیده‌ای نیست، اگر چند قاعده‌ی درست را بدانید.
قاعده‌ی ۱: طول، مهم‌تر از پیچیدگی
رمز بلند معمولاً از رمز کوتاه ولی پر از علامت قوی‌تر است. توصیه‌های امنیتی جدید (از جمله راهنمای NIST) هم روی طول و بررسی رمزهای لو‌رفته تاکید دارند، نه اجبار به ترکیب‌های عجیب که کاربر را به الگوهای قابل‌حدس (مثل Password1!) سوق می‌دهد. یک عبارت چندکلمه‌ای تصادفی و بلند، هم حفظش راحت است هم حدسش سخت.
قاعده‌ی ۲: هر سایت، یک رمز
وقتی یک سایت کوچک هک می‌شود و رمزهایش لو می‌رود، مهاجمان همان ایمیل و رمز را روی سایت‌های دیگر امتحان می‌کنند (credential stuffing). اگر همه‌جا یک رمز دارید، یک نشت یعنی همه‌ی حساب‌ها.
قاعده‌ی ۳: از مدیر رمز استفاده کنید
حفظ ده‌ها رمز بلند و یکتا غیرممکن است. مدیر رمز (Password Manager) همه را رمزگذاری‌شده نگه می‌دارد و شما فقط یک رمز اصلی بلند را به خاطر می‌سپارید. گزینه‌های مختلفی هست (از جمله مدیر رمز داخلی مرورگر و برنامه‌های مستقل)؛ مهم این است که رمز اصلی‌اش قوی و یکتا باشد.
قاعده‌ی ۴: احراز هویت دومرحله‌ای را روشن کنید
حتی اگر رمزتان لو برود، مرحله‌ی دوم مانع ورود می‌شود. حساب‌های ایمیل، بانک و شبکه‌های اجتماعی را اول بگذارید. توضیح کامل در احراز هویت دومرحله‌ای.
قاعده‌ی ۵: بررسی نشت
سایت‌هایی مثل Have I Been Pwned به شما می‌گویند آیا ایمیلتان در نشت‌های شناخته‌شده بوده است. اگر بوده، رمز آن سایت (و هر جا که همان رمز را به کار برده‌اید) را عوض کنید.
اشتباه‌های رایج
- استفاده از نام، تاریخ تولد یا شماره‌ی موبایل در رمز.
- رمزهای پرتکرار مثل
123456وqwerty. - ذخیره‌ی رمز در یک فایل متنی ساده یا یادداشت گوشی بدون رمزگذاری.
- فرستادن رمز در پیام‌رسان.
- استفاده از همان رمز ایمیل برای سایت‌های دیگر؛ ایمیل کلید بازیابی همه‌ی حساب‌هاست.
چطور یک عبارت رمز خوب بسازیم؟
چهار تا شش کلمه‌ی نامرتبط انتخاب کنید، ترجیحاً با تاس یا مولد تصادفی (نه جمله‌ی معروف یا شعر). مثلاً ترکیبی از کلمه‌های معمولی که هیچ ربطی به هم ندارند. بعد برای حساب‌های مهم یک رمز جدا بسازید.
برای توسعه‌دهنده‌ها
اگر سایت می‌سازید، رمز کاربران را هرگز ساده ذخیره نکنید؛ با الگوریتم مناسب (مثل bcrypt یا Argon2) هش کنید و تعداد تلاش ورود را محدود کنید. نمونه‌ی اشتباه‌های واقعی در امنیت نرم‌افزار مدرسه آمده است.
جمع‌بندی
رمز بلند، یکتا برای هر سایت، مدیر رمز، احراز هویت دومرحله‌ای و بررسی نشت: این پنج کار بیشتر حملات رایج را بی‌اثر می‌کند.