أسرار، وإثبات
الأدوات المصنّفة هنا تبدو غير مترابطة حتى تلاحظ ما تشترك فيه.
مولّد كلمات المرور يصنع سرًا لا يستطيع أحد تخمينه. أداة التحقق من القرعة تُثبت أن نتيجة لم يستطع أحد التنبؤ بها لم تُختَر أيضًا بهدوء بعد وقوع الحدث. كل واحدة منهما سؤال عن العشوائية — الأولى عن الحفاظ عليها سرًا، والثانية عن القدرة على إثبات أنها كانت حقيقية.
هذا السؤال الثاني هو ما تتجاهله معظم المواقع. هدية، سحب على جائزة، توزيع مناوبات: المنظّم يعرف أن القرعة كانت نزيهة، وعلى الجميع سواه أن يصدّقوا كلامه. البذرة مع البصمة تحوّل «صدّقني» إلى شيء يستطيع المشارك التحقق منه بنفسه.
أيّهما تختار
إنشاء بيانات اعتماد — كلمة مرور لتسجيل الدخول، عبارة مرور تكتبها من الذاكرة، رمز PIN رقمي، أو مفتاح API لملف إعدادات. الأربعة جميعًا تخرج من مولّد كلمات المرور، الذي يعرض أيضًا الإنتروبيا ووقتًا تقديريًا للاختراق، بحيث يكون الطول الذي تختاره قرارًا مدروسًا لا مجرد تخمين.
التحقق من قرعة أجراها شخص آخر — الصق الشهادة في أداة التحقق من القرعة. تُعيد حساب النتيجة من البذرة وتقارن البصمة. إذا اختلفت إحداهما، فقد تغيّرت الأرقام بعد القرعة.
لماذا لا يُعدّ توليد كلمة مرور هنا تناقضًا
الحصول على كلمة مرور من موقع إلكتروني يبدو أسوأ طريقة ممكنة للحصول عليها. وهذا صحيح غالبًا: إذا كانت القيمة تُولَّد على خادم، فقد وُجدت على جهاز شخص آخر قبل أن توجد على جهازك، وليس لديك أي وسيلة لمعرفة ما حدث لها هناك.
لا شيء يُولَّد على خادم هنا. الأحرف تأتي من crypto.getRandomValues()، واجهة
برمجة المتصفح المدعومة بمجمع الإنتروبيا في نظام تشغيلك — نفس المصدر الذي
يستخدمه متصفحك للتفاوض على HTTPS. الصفحة لا تجري أي طلب شبكة أثناء استخدامك
لها. يمكنك التأكد من ذلك بفتح تبويب الشبكة في أدوات المطوّرين، وتوليد كلمة
مرور، ومشاهدة ألا شيء يحدث. وإذا كنت لا تريد أن تصدّق حتى ذلك، افصل الاتصال
بالشبكة أولًا؛ الأداة تستمر في العمل.
ما لا تتضمنه هذه الفئة عمدًا
لا توجد أداة لفحص قوة كلمة مرور تلصقها فيها. كتابة كلمة مرور حقيقية في نموذج ويب لـ«فحصها» عادة سيئة بغض النظر عمّا يعد به الموقع، والمولّد يعرض بالفعل الإنتروبيا لكلمات المرور التي ينشئها.
لا يوجد بحث عن اختراقات، ولا مدير كلمات مرور، ولا أداة تجزئة (hashing). بالنسبة لمدير كلمات المرور، استخدم واحدًا مخصصًا — Bitwarden و1Password وKeePass كلها تحل المشكلة التي لا يستطيع هذا الموقع حلها، وهي تذكّر كلمات المرور نيابة عنك. أما بالنسبة لفحص الاختراقات، فإن Have I Been Pwned هو المرجع.