مدير كلمات مرور كما ينبغي: جولة داخل MoLock Keys
لا تضيع أغلب الحسابات بيد مخترقين بارعين، بل بسبب كلمة مرور واحدة استُعملت في أماكن كثيرة. إليك كيف يعالج MoLock Keys هذه العادة دون أن يطلب منك ائتمان أحد على كلمات مرورك، وأين تقف حدوده.
محمود محمد · 12 دقائق قراءة
الخطر الحقيقي في كلمة المرور التي تكرّرها
اسأل الناس كيف يحمون حساباتهم، وسيصف أكثرهم كلمة مروره: طويلة، فيها حرف كبير ورقم ورمز. وهذا مهم، لكنه قلّما يكون سبب ضياع الحسابات فعلًا. فالحسابات تضيع لأن كلمة المرور نفسها، أو عائلة صغيرة من تنويعاتها، تحرس البريد والبنك ومتجر التسوق ومنتدى انضم إليه صاحبه قبل سنوات.
والمواقع تتسرّب. لا الكبيرة منها دائمًا، ولا بخطأ كان يمكن تفاديه دائمًا، لكن قوائم عناوين البريد وكلمات المرور ينتهي بها المطاف منسوخةً متداولة. ثم يجرّب المهاجمون كل زوج منها على الخدمات الشائعة الأخرى، آليًا وعلى نطاق هائل. لا يحتاج ذلك إلى مهارة ولا إلى تخمين: إن كانت كلمة مرور المنتدى هي نفسها كلمة مرور بريدك، فقد صار تسريب المنتدى تسريبًا لبريدك، وبريدك هو المفتاح الذي يُعاد به ضبط كل ما سواه.
والعلاج مملّ وفعّال جدًا: كلمة مرور مختلفة وعشوائية لكل حساب. لا أحد يستطيع حفظ خمسين منها، ولا ينبغي لأحد أن يحاول. وهذه هي وظيفة مدير كلمات المرور كلها: هو يتذكّر عنك، فتصبح الكلمة الوحيدة التي تحفظها في رأسك كلمةً قوية أخيرًا.
ينبغي أن يكلّفك التسريب الواحد حسابًا واحدًا، لا حساباتك كلها.
خزنة لا يستطيع الخادم قراءتها
يعيش MoLock Keys داخل برنامج MoLock على جهازك. وكل عنصر فيه إمّا بيانات دخول (موقع أو تطبيق سطح مكتب، واسم مستخدم، وكلمة مرور، وملاحظات، ومفتاح رموز التحقق إن شئت)، أو بطاقة دفع، أو ملاحظة آمنة، مع وسوم ومفضّلة تُبقي القائمة الطويلة مرتّبة.
يُختم كل عنصر على جهازك قبل أن يُزامَن مع حساب MoLock، بالتشفير بين طرفين نفسه الذي يحمي سائر بياناتك في MoLock. فالخدمة تحفظ صناديق مختومة لا تستطيع فتحها؛ ترى عدد عناصرك، ومتى تغيّر كل منها، وما حجمه، لكنها لا ترى اسمًا ولا موقعًا ولا اسم مستخدم ولا كلمة مرور. والنسخة التي على جهازك محفوظة مختومة كذلك، داخل ملف تربطه حماية ويندوز أيضًا بحساب المستخدم الخاص بك، فلا تستقر كلمات مرورك على القرص نصًا مكشوفًا أبدًا. ويشرح مقال التشفير بين طرفين بكلمات بسيطة الفكرة دون رياضيات.
الفتح يكون بكلمة مرور MoLock، أو بـWindows Hello (الوجه أو البصمة أو رمز ويندوز)، أو بـرمز سريع من 4 إلى 12 رقمًا. والرمز السريع وسيلة راحة، ولذلك أحيط عمدًا بقيود: تُرفض السلاسل البسيطة مثل 1234 أو 0000، وتعطّله خمس محاولات خاطئة حتى تفتح بكلمة المرور أو بـWindows Hello، ولا يعمل إلا خلال 72 ساعة من آخر فتح كامل. أما كلمات المرور الخاطئة فتجلب فترات انتظار متزايدة تصل إلى 15 دقيقة، ولا تُفتح الخزنة أبدًا ما دامت شاشة قفل MoLock ظاهرة.
القفل يحدث من تلقاء نفسه. افتراضيًا تُقفل الخزنة بعد 10 دقائق دون استخدام للوحة المفاتيح أو الفأرة، وفي كل الأحوال خلال 12 ساعة من فتحها. وتُقفل أيضًا حين يُقفل MoLock، وحين يُقفل ويندوز أو يدخل في السكون، وحين تضغط «اقفل» في المتصفح أو في لوحة التحكم. وما دامت مقفلة لا يُفتح أي عنصر في الذاكرة، وتستمر المزامنة على النسخ المختومة.
في المتصفح: إضافة لا تحتفظ بشيء
تتعرّف إضافة MoLock Keys لمتصفحات Edge وChrome وFirefox على نماذج تسجيل الدخول، وتعرض ملأها من نافذة صغيرة بألوان MoLock الرمادية والكهرمانية. وما يميّزها هو ما لا تفعله: فهي لا تخزّن كلمات مرورك أبدًا. كلما احتاجت إلى واحدة سألت برنامج MoLock على جهازك، فلا يجيب إلا والخزنة مفتوحة، وإلا طلب منك فتحها أولًا.
في المرة الأولى تقرن المتصفح بالبرنامج. اضغط «اتصال» في الإضافة، فيسألك MoLock: «السماح لهذا المتصفح؟»، بينما يعرض الطرفان رمز مطابقة قصيرًا واحدًا مثل ABCD-EFGH. اسمح فقط إذا تطابق الرمزان، وإن لم تكن أنت من بدأ العملية فاختر «عدم السماح». ومنذ ذلك الحين يُثبت المتصفح هويته بمفتاحه الخاص في كل اتصال، ولا يُسمح على جهازك بالرد عليه إلا لبرنامج MoLock نفسه.
- لا يملأ إلا في الموقع الصحيح. لا تُملأ بيانات الدخول إلا إذا طابقت الصفحةُ الموقعَ المحفوظ معها: الموقع نفسه افتراضيًا، أو المضيف بعينه أو عنوانًا واحدًا إن شدّدت إعداد العنصر. وبيانات الدخول المحفوظة لصفحة آمنة لا تُملأ أبدًا في صفحة غير آمنة. أما صفحة التصيّد المقلَّدة فلا تنال شيئًا.
- لا تستطيع الصفحة التلصّص. النافذة الصغيرة وشريط الحفظ صفحتان تابعتان للإضافة نفسها فوق الموقع، فلا تستطيع برمجيات الموقع قراءة ما تعرضانه.
- الحفظ والتحديث. حين تسجّل الدخول بكلمة مرور لا يعرفها Keys بعد، يعرض عليك «الحفظ في MoLock؟»، وحين تغيّر واحدة يعرض «تحديث؟». وتنتظر كلمة المرور الملتقطة ردّك دقيقتين ثم تُهمل. وإن اخترت ألّا يُعرض الحفظ أبدًا لموقع ما، كفّ عن السؤال.
- ورموز التحقق أيضًا. إن حملت بيانات الدخول مفتاح تطبيق المصادقة، استطاعت الإضافة ملء الرمز الحالي في الشاشة التالية.
في تطبيقات سطح المكتب: الزر العائم وCtrl+Alt+K
كثير من كلمات المرور يُكتب خارج المتصفح: برنامج بريد، أو عميل شبكة خاصة، أو منصة ألعاب، أو أداة مكتبية. فحين يصير حقل كلمة مرور في تطبيق آخر هو الحقل النشط، يُظهر Keys بجانبه زرًا صغيرًا هو «املأ بـ MoLock». انقره واختر بيانات الدخول، فيملأ MoLock اسم المستخدم حين يسمح التطبيق بذلك، ويكتب كلمة المرور في الحقل نيابةً عنك.
لا يقرأ هذا الزر ما تكتبه أبدًا. ولا يظهر فوق نوافذ MoLock نفسها ولا فوق شاشات تسجيل الدخول إلى ويندوز وطلبات الأذونات، ويبقى خارج لقطات الشاشة ومشاركتها، ويتنحّى في المتصفح الذي سبق أن قرنته. وإن لم يكن لك فيه حاجة في تطبيق ما فاختر «لا تُظهره هنا أبدًا».
ومن أي مكان تفتح Ctrl+Alt+K لوحة بحث. اكتب بضعة أحرف من الاسم، ثم اضغط Enter للملء (كلمة المرور وحدها إن كنت في حقل كلمة مرور، وإلا فاسم المستخدم ثم Tab ثم كلمة المرور)، أو Ctrl+C لنسخ كلمة المرور، أو Ctrl+B لاسم المستخدم، أو Ctrl+T لرمز التحقق، أو Esc للإغلاق.
والنسخ حذِر بطبعه. فما يضعه Keys في الحافظة يُمسح بعد 20 ثانية إن بقي فيها (ولك أن تختار من 5 إلى 120 ثانية)، ويُوسَم بحيث يبقى خارج سجل حافظة ويندوز، وخارج مزامنة الحافظة السحابية، وخارج سجل الحافظة في MoLock نفسه.
كلمات مرور أفضل، وتقرير صحي صريح
يصنع مولّد كلمات المرور كلماتك الجديدة على جهازك بمولّد عشوائي تشفيري. اختر أحرفًا عشوائية لكل ما سيملؤه المدير عنك، أو كلمات سهلة التذكر للقليل الذي يجب أن تكتبه بيدك، كمفتاح شبكة Wi-Fi أو تسجيل الدخول على التلفاز، وفعّل «تجنّب الأحرف المتشابهة» كي لا تتعثّر أبدًا بين l و1 وI وO و0. ويقيّم مقياس القوة كل كلمة مرور أثناء كتابتها، من «ضعيفة جدًا» إلى «قوية جدًا».
ثم يأتي السؤال الذي يطرحه كل حريص في النهاية: هل تسرّبت هذه الكلمة في مكان ما من قبل؟ والتحقق من ذلك دون تسليم كلمة مرورك لأحد يحتاج إلى حيلة أنيقة اسمها إخفاء الهوية بين الكثرة (k-anonymity). يحوّل MoLock كلمة المرور أولًا إلى بصمة على جهازك، وهي رمز ثابت الطول لا يمكن إرجاعه إلى كلمة المرور. ثم لا يرسل إلا الأحرف الخمسة الأولى من تلك البصمة إلى خدمة عامة مجانية تحتفظ بقائمة كلمات المرور التي ظهرت في التسريبات. فتجيب الخدمة بكل بصمة في قائمتها تبدأ بهذه الأحرف الخمسة، في قائمة طويلة مُكمَّلة بحشو كي لا يكشف حجمها نفسه شيئًا، وتجري المقارنة على جهازك. فلا تعرف الخدمة كلمة مرورك، ولا تستطيع حتى أن تعرف أي مدخل في تلك القائمة الطويلة كنت تسأل عنه.
ويجمع تقرير صحة كلمات المرور ذلك كله. فهو يسرد الكلمات الضعيفة، والمكررة (الكلمة نفسها في بيانات دخول أخرى)، والمسرّبة (مع عدد التسريبات التي ظهرت فيها)، والأقدم من عام، ويحوّلها إلى درجة واحدة من 0 إلى 100. ابدأ بالأسوأ: كل ما تسرّب، ثم كل ما تكرّر في الحسابات المهمة. والأعداد وحدها، لا كلمات المرور أبدًا، تغذّي أيضًا قسم كلمات المرور في صفحة صحة الأمان الموحّدة في MoLock، التي يشرحها مقال الحماية من برامج الفدية، بشرح واضح.
رموز التحقق والبطاقات والملاحظات ولوحة الويب
تضيف حسابات كثيرة خطوة ثانية: رمزًا قصيرًا من تطبيق مصادقة يتغيّر كل 30 ثانية. وحين يعرض لك موقع رمز الإعداد المربّع، فإنه يعرض عادةً الشيء نفسه نصًا أيضًا، كثيرًا تحت عبارة «تعذّر المسح؟». الصق مفتاح الإعداد هذا في بيانات الدخول، فيعرض Keys الرمز الحالي، وتملؤه الإضافة، وينسخه Ctrl+T.
ولهذه الراحة ثمن يحسن أن تعرفه: حين يجتمع الرمز وكلمة المرور في خزنة واحدة، تحمل الخزنة الواحدة الخطوتين معًا. وقد تفضّل أن تُبقي رموز بريدك الرئيسي وبنكك في تطبيق مصادقة منفصل على هاتفك. وفي الحالين القرار لك، ولا يدفعك Keys إلى أحدهما.
أما البطاقات (اسم حاملها ورقمها وتاريخ انتهائها ورمز الأمان) والملاحظات الآمنة (مفتاح Wi-Fi، أو رموز الاسترداد، أو رمز باب) فتُختم تمامًا كما تُختم بيانات الدخول.
وبعيدًا عن جهازك، سجّل الدخول إلى 7ot.app/me/keys/ لتتصفّح خزنتك وتبحث فيها وتضيف وتعدّل، وكل شيء يُفتح في متصفحك أنت، ورموز التحقق تتجدد أمامك حيّة. وتتيح لوحة التحكم أيضًا الاستيراد والتصدير، وتستطيع قفل الخزنة على جهازك بضغطة واحدة.
الانتقال في عشر دقائق
الانتقال من قائمة كلمات المرور المدمجة في متصفحك أو من مدير آخر لا يحتاج إلا إلى ملف واحد وبضع نقرات. ويتعرّف Keys على ملفات التصدير من Chrome وEdge وFirefox وBitwarden وLastPass.
- صدّر كلمات مرورك القديمة. من إعدادات كلمات المرور في متصفحك، أو من مديرك القديم، اختر تصدير كلمات المرور واحفظ ملف CSV.
- استوردها إلى Keys. من نافذة Keys، أو من 7ot.app/me/keys/، اختر «استيراد» وحدّد الملف. وسيخبرك Keys بعدد ما أضافه وعدد المكرر الذي تجاوزه.
- احذف ملف التصدير. فيه كل كلمات مرورك نصًا مكشوفًا. احذفه، ثم أفرغ سلة المحذوفات.
- اربط متصفحك. أضف إضافة MoLock Keys، واضغط «اتصال»، واسمح لها في MoLock حين يتطابق الرمزان. ثم أوقف عرض المتصفح لحفظ كلمات المرور بنفسه، كي لا يتزاحم مساعدان.
- اختر طريقة الفتح. فعّل Windows Hello أو عيّن رمزًا سريعًا، كي يبقى الفتح سريعًا بما يكفي لتستعمله كل مرة.
- افتح تقرير صحة كلمات المرور. غيّر المسرّب أولًا، ثم المكرر، مبتدئًا ببريدك.
الحدود بصراحة
- البرنامج على جهازك هو من يعمل. الإضافة مجرد رسول، فالملء يحتاج إلى MoLock يعمل وخزنة مفتوحة. ولا يوجد ملء تلقائي على الهواتف؛ افتح على هاتفك 7ot.app/me/keys/ في المتصفح وانسخ ما تحتاج إليه.
- قد تحتاج الإضافة إلى إضافة يدوية. إن لم تكن مدرجة بعد في متجر إضافات متصفحك، فإعدادات Keys تشرح كيف تضيفها.
- ليست كل التطبيقات متعاونة. يعمل الزر العائم في أغلب تطبيقات ويندوز، لكن البرامج التي ترسم حقولها بنفسها، كبعض الألعاب، قد لا يظهر فيها. وتبقى لوحة Ctrl+Alt+K متاحة للنسخ.
- لا يستطيع إنقاذ جهاز مصاب. البرمجيات الخبيثة التي تعمل بصلاحياتك تستطيع مراقبة شاشتك ولوحة مفاتيحك، ولا يهزم ذلك أي مدير لكلمات المرور. حدّث ويندوز باستمرار، ودع درع الفدية يحرس ملفاتك.
- نتيجة الفحص النظيفة ليست ضمانًا. فهو لا يعرف إلا التسريبات التي أُعلنت.
- لا أحد يستطيع استعادة خزنتك نيابةً عنك. فما دامت الخدمة لا تستطيع قراءتها، فلن تستطيع أن تقرأها لك أيضًا. احفظ كلمة مرور MoLock جيدًا؛ والنسخة التي على جهازك لا تضيع إن نسيت كلمة مرور حسابك.
- الخطة المجانية تزامن 100 عنصر. وما زاد على ذلك يبقى على جهازك دون مزامنة، وبريميوم يرفع هذا الحد.
أسئلة يطرحها الناس
هل يستطيع أحد في MoLock رؤية كلمات مروري؟
لا. تُختم العناصر على جهازك قبل مزامنتها، ولا تُفتح إلا على جهازك أو في متصفحك أنت بعد تسجيل الدخول. وتسرد سياسة الخصوصية القليل الذي تراه الخدمة، كعدد العناصر ومتى تغيّرت.
وماذا لو سُرق حاسوبي المحمول؟
تُقفل الخزنة مع MoLock ومع ويندوز وبعد دقائق قليلة من الخمول، والملف الذي على القرص مختوم. ومن لوحة التحكم تستطيع قفلها عن بُعد مرة أخرى، ويتولّى وضع الفقدان بقية الجهاز.
هل يلزمني استخدام إضافة المتصفح؟
لا. يعمل الزر العائم ولوحة البحث ولوحة التحكم دونها، والإضافة لا تفعل أكثر من أن تجعل الويب سريعًا كسائر الأشياء.
كل ما سبق مجموع على شاشة واحدة في صفحة MoLock Keys. امنحه عشر دقائق، وسيكون التسريب القادم في الأخبار مشكلة غيرك لا مشكلتك.