رمز خوب چه شکلیه

رمزی که «قوی» بود

مثلا فرض کنید رمز همه‌ی حساب‌هاتون یکیه: اسم بچه‌تون با حرف اول بزرگ، یه علامت و سال تولدش، مثل Sara@1398. هر سایتی که گفته «رمز قوی بسازید، حرف بزرگ و عدد و نماد داشته باشه»، این رمز رو قبول کرده و نوشته «قوی». چند سال بعد، یه فروشگاه اینترنتی که سال‌ها پیش ازش خرید کرده بودید هک می‌شه و فهرست ایمیل‌ها و رمزهای کاربرهاش بیرون می‌ریزه. چند روز بعد، یکی وارد ایمیلتون می‌شه، بعد اینستاگرام، بعد پیام‌رسان.

رمز «قوی» بود، ولی دو تا مشکل داشت: از چیزهایی ساخته شده بود که درباره‌ی شما پیداست، و برای همه‌جا یکی بود. این درس می‌گه رمز خوب واقعا چه شکلیه، چرا خیلی از قانون‌هایی که سایت‌ها برای رمز می‌ذارن قدیمی‌ان، و چطور یه رمز بسازید که هم قوی باشه هم یادتون بمونه.

رمز از کجا اومد

رمز خیلی قدیمی‌تر از کامپیوتره؛ نگهبان‌های قدیم یه کلمه‌ی رمز داشتن که هر کی می‌خواست رد بشه، باید می‌گفت. ولی رمز کامپیوتری از اوایل دهه‌ی ۱۹۶۰ اومد، توی دانشگاه ام‌آی‌تی (MIT)، روی یه کامپیوتر بزرگ که چند نفر با هم ازش استفاده می‌کردن. هر کس باید فایل‌های خودش رو جدا می‌داشت، پس هر کس یه رمز گرفت.

و جالب اینکه همون اولین سیستم، خیلی زود اولین نشت رمز رو هم دید: یه پژوهشگر که وقت بیشتری روی کامپیوتر می‌خواست، فهرست رمزهای همه رو چاپ کرد و برد. از همون موقع داستان رمز همینه: رمزها جایی ذخیره می‌شن، و هر جایی که چیزی ذخیره می‌شه، یه روز ممکنه بیرون بیفته. برای همین سال‌ها بعد، روش نگه داشتن چکیده به جای خود رمز اومد، و برای همین امروز می‌گیم رمز هر جا باید جدا باشه.

حدس زدن چند جوره

وقتی می‌گیم یه برنامه رمز رو «حدس می‌زنه»، چند تا روش مختلف پشتشه، و فهمیدنشون نشون می‌ده چرا بعضی رمزها زود پیدا می‌شن:

• امتحان همه‌ی حالت‌ها. به انگلیسی Brute Force، یعنی «زور خالی». برنامه از aaaa شروع می‌کنه و همه‌ی ترکیب‌ها رو یکی‌یکی امتحان می‌کنه. برای رمزهای کوتاه کار می‌کنه، برای رمزهای بلند، عمر آدم قد نمی‌ده.
• فهرست کلمه‌ها. به انگلیسی Dictionary Attack. برنامه یه فهرست بزرگ از کلمه‌ها، اسم‌ها و رمزهای لو رفته‌ی قبلی رو امتحان می‌کنه. هر رمزی که یه آدم دیگه هم یه روزی گذاشته باشه، توی این فهرست‌هاست.
• فهرست با تغییر. برنامه همون کلمه‌ها رو برمی‌داره و تغییرهای رایج آدم‌ها رو روشون می‌زنه: حرف اول بزرگ، عدد آخر، سال، @ به جای a، صفر به جای o. برای همینه که P@ssw0rd1 تقریبا مثل password زود پیدا می‌شه.
• حدس شخصی. وقتی کلاهبردار شما رو هدف گرفته، اسم و تاریخ‌ها و علاقه‌های شما رو از صفحه‌های اجتماعی جمع می‌کنه و ترکیبشون رو امتحان می‌کنه. درس فیشینگ هدفمند همین نگاه رو داره.

روی سایت زنده، معمولا فقط چند بار می‌شه رمز اشتباه زد؛ بعدش سایت صبر می‌کنه، کد امنیتی می‌خواد یا حساب رو قفل می‌کنه. پس این حدس‌های میلیاردی بیشتر روی فهرست‌های لو رفته‌ی چکیده‌ها انجام می‌شه، روی کامپیوتر خود کلاهبردار. چیزی که از همه‌ی این روش‌ها نجاتتون می‌ده، همون دو تاست: طول، و تصادفی بودن واقعی.

رمز چطور لو می‌ره

• نشت از یه سایت. سایتی که توش عضو بودید هک می‌شه و فهرست ایمیل‌ها و رمزها یا چکیده‌هاشون بیرون می‌ریزه. بعد این فهرست‌ها خرید و فروش می‌شن.
• فیشینگ. خودتون رمز رو توی یه صفحه‌ی جعلی می‌زنید. درس فیشینگ.
• حدس زدن. رمزهای رایج، مثل 123456، اسم و تاریخ تولد، یا کلمه‌های معروف، اول از همه امتحان می‌شن.
• پر کردن با رمزهای لو رفته. کلاهبردار ایمیل و رمزهایی که از یه سایت لو رفته رو، با یه برنامه، روی صدها سایت دیگه امتحان می‌کنه، به امید اینکه شما رمز رو تکرار کرده باشید. به این می‌گن Credential Stuffing.
• برنامه‌ی مخرب. برنامه‌ای که تایپ‌های شما رو ثبت می‌کنه، که بهش می‌گن Keylogger، یا رمزهای ذخیره‌شده توی مرورگر رو می‌دزده. درس برنامه‌ی جعلی.
• نگاه از پشت سر. یکی موقع تایپ، کیبورد یا صفحه‌ی شما رو می‌بینه.

به جز آخری، توی هیچ‌کدوم «قوی بودن» رمز به‌تنهایی کمکی نمی‌کنه. چیزی که کمک می‌کنه، جدا بودن رمز هر حساب، و ورود دومرحله‌ایه.

کلمه با تاس

مشکل کلمه‌ی «تصادفی» اینه که مغز آدم اصلا تصادفی نیست. وقتی می‌گیم «سه کلمه‌ی تصادفی بگو»، بیشتر آدم‌ها کلمه‌هایی می‌گن که دم دستن، یا به هم ربط دارن، مثل «گل، باغ، بهار». برای همین یه روش قدیمی و معروف هست که کلمه‌ها رو واقعا تصادفی انتخاب می‌کنه، با تاس. به انگلیسی بهش می‌گن Diceware.

1. یه فهرست کلمه هست که هر کلمه‌ش یه شماره‌ی پنج رقمی داره، هر رقم بین ۱ تا ۶. یکی از معروف‌ترین فهرست‌ها رو EFF، کوتاه‌شده‌ی Electronic Frontier Foundation، یعنی «بنیاد مرزهای الکترونیکی»، یه سازمان غیرانتفاعی، رایگان منتشر کرده؛ ۷۷۷۶ کلمه‌ی انگلیسی ساده.
2. یه تاس معمولی رو پنج بار می‌ندازید و عددها رو پشت هم می‌نویسید، مثلا ۴، ۳، ۱، ۶، ۲.
3. کلمه‌ی کنار همین شماره رو توی فهرست پیدا می‌کنید. این کلمه‌ی اوله.
4. برای هر کلمه‌ی بعدی، همین کار رو تکرار می‌کنید.

عدد «۴۷۰ میلیارد» که برای سه کلمه گفتیم، از همین‌جا میاد: ۷۷۷۶ ضرب در ۷۷۷۶ ضرب در ۷۷۷۶. این عدد فقط وقتی درسته که کلمه‌ها واقعا تصادفی انتخاب شده باشن؛ اگه خودتون انتخابشون کنید، خیلی کمتره. مدیرهای رمز هم معمولا یه گزینه دارن که همین کار رو براتون انجام می‌دن و یه رمز چندکلمه‌ای تصادفی می‌سازن.

ترفندهایی که کار نمی‌کنن

• عدد به جای حرف. P@ssw0rd یا S4r4؛ برنامه‌های حدس همه‌ی این جایگزینی‌ها رو بلدن.
• عدد آخر رمز. وقتی سایت می‌گه رمز رو عوض کنید و شما فقط عدد آخرش رو یکی زیاد می‌کنید.
• الگوی کیبورد. qwerty یا 1qaz2wsx؛ این‌ها از رایج‌ترین رمزهای دنیان.
• اطلاعات شخصی. اسم، تاریخ تولد، شماره‌ی موبایل، کد ملی، اسم حیوون خونگی؛ همه‌شون از صفحه‌های اجتماعی یا نشت‌ها پیدا می‌شن.
• یه رمز پایه با اسم سایت. مثل Sara@insta و Sara@gmail؛ کسی که یکیش رو ببینه، بقیه رو حدس می‌زنه.

نوار «قوی، ضعیف» سایت‌ها

خیلی از سایت‌ها موقع ساختن رمز، یه نوار رنگی نشون می‌دن که از قرمز «ضعیف» تا سبز «قوی» می‌ره. این نوار رو زیاد جدی نگیرید. خیلی‌هاشون فقط می‌شمرن که رمز حرف بزرگ و عدد و نماد داره یا نه؛ پس Sara@1398 رو سبز نشون می‌دن، و یه رمز چهار کلمه‌ای بلند بی نماد رو شاید زرد. بعضی‌هاشون بهترن و رمز رو با فهرست کلمه‌ها و رمزهای رایج هم مقایسه می‌کنن، ولی از بیرون نمی‌شه فهمید کدوم نوار کدوم جوره.

و یه نکته‌ی مهم دیگه: سبز بودن نوار هیچ‌چیز درباره‌ی تکراری بودن رمز نمی‌گه. سایت نمی‌دونه شما همین رمز رو جای دیگه هم گذاشتید یا نه. رمزی که نوار سبزش کرده، اگه برای ده جا یکیه، هنوز خطرناکه.

قانون‌های تازه

NIST، کوتاه‌شده‌ی National Institute of Standards and Technology، یعنی «موسسه‌ی ملی استانداردها و فناوری» آمریکا، که راهنماهاش پایه‌ی قانون‌های رمز توی خیلی از سازمان‌های دنیاست، اوت ۲۰۲۵ نسخه‌ی تازه‌ی راهنمای رمزش رو منتشر کرد. چند تا از حرف‌های اصلیش، که خیلی‌ها رو غافلگیر کرد:

• رمزی که به‌تنهایی برای ورود استفاده می‌شه، دست‌کم ۱۵ نویسه؛ اگه کنار ورود دومرحله‌ای باشه، دست‌کم ۸.
• سایت‌ها نباید آدم‌ها رو مجبور کنن حتما حرف بزرگ، عدد و نماد بذارن.
• سایت‌ها باید رمزهای خیلی بلند رو هم، دست‌کم تا ۶۴ نویسه، قبول کنن.
• سایت‌ها باید رمز تازه رو با فهرست رمزهای لو رفته و رایج مقایسه کنن و اگه توش بود، قبول نکنن.

و کارشناس‌ها سال‌هاست می‌گن مجبور کردن آدم‌ها به عوض کردن دوره‌ای رمز، مثلا هر سه ماه، بیشتر ضرر داره تا فایده، چون آدم‌ها فقط یه عدد آخرش رو عوض می‌کنن. رمز رو فقط وقتی عوض کنید که لو رفته یا بهش شک دارید.

کیبورد فارسی

یه ترفند که خیلی از فارسی‌زبون‌ها بلدن: یه کلمه یا جمله‌ی فارسی رو، وقتی کیبورد روی انگلیسیه، تایپ کنن. نتیجه یه رشته حرف انگلیسی بی‌معنیه که برای خود آدم یادموندنیه. این ترفند از یه کلمه‌ی انگلیسی معروف بهتره، ولی زیادی بهش تکیه نکنید: چون شناخته‌شده‌ست، برنامه‌های حدس هم می‌تونن کلمه‌های فارسی رو به همین شکل امتحان کنن.

اگه از این ترفند استفاده می‌کنید، باز هم همون قانون‌ها: چند کلمه‌ی تصادفی، نه یه کلمه یا یه بیت شعر معروف؛ و برای هر حساب، جدا.

سوال امنیتی

بعضی سایت‌ها برای بازیابی حساب، سوال امنیتی می‌پرسن: «اسم اولین مدرسه‌تون؟»، «اسم مادرتون پیش از ازدواج؟»، «شهر تولدتون؟». جواب این سوال‌ها رو خیلی وقت‌ها می‌شه از صفحه‌های اجتماعی یا با یه تماس ساده پیدا کرد، و همین یه در پشتی به حساب شما می‌سازه.

راهش اینه که به سوال امنیتی، جواب راست ندید. یه جواب تصادفی بنویسید، مثل یه رمز دیگه، و اون رو هم جایی که رمزهاتون رو نگه می‌دارید، ذخیره کنید. مثلا جواب «اسم اولین مدرسه» می‌تونه «ابر-چای-پنجره» باشه.

رمز گوشی و رمز کارت

رمز چهار یا شش رقمی گوشی و کارت بانکی، قانون‌های خودشون رو دارن، چون کوتاهن و فقط عددن. چیزی که اینجا قوی‌شون می‌کنه، محدودیت امتحانه: گوشی بعد از چند بار رمز اشتباه، قفل می‌شه یا صبر می‌کنه، و کارت بعد از چند بار، مسدود می‌شه.

پس فقط مطمئن بشید رمز گوشی و کارت، قابل حدس نباشه: نه 1234 و 0000، نه سال تولد، نه چهار رقم آخر شماره‌ی موبایل. برای گوشی، اگه می‌شه، شش رقم یا یه رمز با حروف بذارید. و رمز کارت رو هیچ‌وقت پشت کارت ننویسید یا کنارش نگه ندارید.

کاغذ یا فایل

خیلی‌ها می‌گن «رمز رو هیچ‌وقت ننویس». ولی برای بیشتر آدم‌ها، یه دفترچه‌ی کاغذی که توی خونه، یه جای امن، نگه داشته می‌شه، خیلی امن‌تر از یه رمز تکراری برای همه‌جاست. دزدی که بخواد اون دفترچه رو بخونه، باید بیاد توی خونه‌تون؛ ولی کسی که رمز تکراری شما رو از یه نشت داره، از اون سر دنیا وارد حسابتون می‌شه.

چیزی که امن نیست، نوشتن رمزها توی یه یادداشت ساده‌ی گوشی، یه فایل روی کامپیوتر، یا یه پیام به خودتون توی پیام‌رسانه؛ اگه گوشی یا حساب دست کسی بیفته، همه‌ی رمزها با هم می‌رن. اگه می‌خواید رمزها روی گوشی یا کامپیوتر باشن، جاش یه مدیر رمزه، که رمزگذاریشون می‌کنه.

دستگاه مشترک و خانواده

رمز فقط وقتی لو نمی‌ره که سایت هک بشه؛ گاهی خودمون روی یه دستگاه دیگه جاش می‌ذاریم. روی کامپیوتر کافی‌نت، محل کار یا خونه‌ی یه دوست، مرورگر می‌پرسه «رمز ذخیره بشه؟» و اگه بزنید آره، نفر بعدی که پشت اون کامپیوتر بشینه، مستقیم وارد حساب شما می‌شه. روی دستگاه‌هایی که مال خودتون نیست:

• رمز رو ذخیره نکنید و تیک «مرا به خاطر بسپار» رو نزنید.
• اگه مرورگر اجازه می‌ده، از پنجره‌ی ناشناس (Incognito) استفاده کنید، که بعد از بستن، ورودها رو پاک می‌کنه.
• آخر کار، از حساب خارج بشید؛ فقط بستن پنجره کافی نیست.
• اگه یادتون رفت خارج بشید، از یه دستگاه دیگه، توی تنظیمات حساب، همه‌ی نشست‌ها رو ببندید.

توی خانواده هم خیلی وقت‌ها رمزها دست‌به‌دست می‌شن: رمز وای‌فای، رمز نت‌فلیکس، رمز حساب بچه‌ها. اشکالی نداره یه رمز رو با کسی که بهش اعتماد دارید شریک بشید، ولی دو تا چیز رو بدونید: هر رمزی که با کسی شریک شد، اگه از دستگاه اون لو بره، مال شما هم لو رفته؛ و رمز ایمیل و بانک خودتون رو هیچ‌وقت شریک نشید. مدیرهای رمز معمولا یه راه امن برای شریک شدن یه رمز با خانواده دارن، که از فرستادنش توی پیام‌رسان خیلی بهتره.

رمزم لو رفته؟

چند تا ابزار رایگان هستن که می‌گن نشانی ایمیل یا رمز شما توی نشت‌های شناخته‌شده بوده یا نه. معروف‌ترینش یه سایت رایگانه به اسم Have I Been Pwned، یعنی «آیا من لو رفتم؟»، که یه پژوهشگر امنیت ساخته: ایمیلتون رو می‌زنید و می‌گه توی کدوم نشت‌ها بوده. حساب گوگل و بیشتر مدیرهای رمز هم یه بخش «بررسی رمزها» دارن که می‌گه کدوم رمزهای ذخیره‌شده‌تون لو رفتن، تکراری‌ان یا ضعیفن.

اگه ایمیلتون توی یه نشت بوده، دلیلی برای ترس نیست؛ تقریبا ایمیل همه‌ی آدم‌ها توی دست‌کم یه نشت هست. فقط یعنی رمزی که اون موقع برای اون سایت داشتید، دیگه نباید هیچ‌جا استفاده بشه.

وقتی لو رفت

1. رمز همون حساب رو عوض کنید، با یه رمز کاملا تازه، نه یه تغییر کوچیک از قبلی.
2. هر جای دیگه‌ای که همون رمز، یا شبیهش، رو داشتید، رمز رو عوض کنید؛ اول از همه ایمیل.
3. از همه‌ی دستگاه‌ها و نشست‌های اون حساب خارج بشید.
4. ورود دومرحله‌ای رو روشن کنید. درس ورود دومرحله‌ای.
5. ایمیل و شماره‌ی بازیابی حساب رو ببینید که عوض نشده باشن.

مدیر رمز

اگه همه‌ی این‌ها زیاد به نظر میاد، حق دارید: هیچ آدمی نمی‌تونه ده‌ها رمز بلند، تصادفی و جدا رو حفظ کنه. برای همین ابزاری ساخته شده به اسم مدیر رمز (Password Manager): برنامه‌ای که برای هر سایت یه رمز طولانی تصادفی می‌سازه، رمزگذاری‌شده نگهش می‌داره، و خودش موقع ورود پرش می‌کنه. شما فقط یه رمز اصلی رو حفظ می‌کنید، که باید از همه قوی‌تر باشه، مثلا پنج کلمه‌ی تصادفی.

مدیر رمز یه فایده‌ی دیگه هم داره که توی درس‌های فیشینگ دیدیم: روی سایت جعلی رمز رو پر نمی‌کنه. درس بعد، مدیر رمز، می‌گه چطور کار می‌کنه و چند تا مدیر رمز رایگان و متن‌باز رو معرفی می‌کنه.

تمرین

1. فهرست حساب‌های مهمتون رو بنویسید: ایمیل، بانک، پیام‌رسان، شبکه‌های اجتماعی. کدومشون رمز مشترک دارن؟
2. از رمز ایمیل شروع کنید و با چهار کلمه‌ی تصادفی یه رمز تازه بسازید.
3. ایمیلتون رو توی یه ابزار بررسی نشت بزنید و ببینید توی کدوم نشت‌ها بوده.
4. جواب سوال‌های امنیتی حساب‌هاتون رو به جواب‌های تصادفی عوض کنید.

اشتباه‌های رایج

• «رمزم حرف بزرگ و عدد و نماد داره، پس قویه.» اگه الگوش قابل پیش‌بینیه، برنامه‌های حدس اول همونو امتحان می‌کنن.
• «یه رمز قوی برای همه‌جا دارم.» یه سایت لو بره، همه‌جا باز می‌شه؛ جدا بودن از قوی بودن مهم‌تره.
• «هر سه ماه رمزم رو عوض می‌کنم.» لازم نیست؛ فقط وقتی لو رفت یا شک کردید.
• «کسی اسم بچه‌ی منو نمی‌دونه.» صفحه‌های اجتماعی و نشت‌ها خیلی چیزها رو نشون می‌دن.
• «جواب سوال امنیتی رو راست نوشتم.» جواب راست قابل پیدا کردنه؛ جواب تصادفی بنویسید.
• «رمزها رو توی یادداشت گوشی نوشتم.» گوشی یا حساب دست کسی بیفته، همه با هم می‌رن؛ مدیر رمز یا دفترچه‌ی کاغذی خونه.

آخرین بررسی راهنمای رسمی گوگل: ۲۴ مهر ۱۴۰۵.