لا تحب الإعلانات؟ يذهب خالية من الإعلانات اليوم 

مُقدّس وقت التقدير لتفكيك كلمة المرور

مطورحماية

إعلان · حذف؟

[iotools_password_hash_crack_time_estimator]

إعلان · حذف؟

مرشد

مُقدّس وقت التقدير لتفكيك كلمة المرور

تُقدّم تقديرًا لفترة الوقت التي قد يستغرقها مهاجم حقيقي لاسترجاع كلمة مرور مُحمية بخوارزمية معينة. يُستخدم المُقدّم لربط معدلات التخمين المُعتمدة على Hashcat مع مساحة المفاتيح المُختارة لتكوين كلمة المرور، ثم يُعرض وقت التخمين عبر أربع مراحل للاختراق: جهاز رسومي مالي، جهاز واحد من RTX 4090، مجموعة مُخصصة من ثمانية أجهزة رسومية، وشبكة مُخصصة من أجهزة H100 بحجم ألف جهاز، كلها مُحددة وفقًا لمعايير Hashcat 6.x المُنشورة.

على عكس مقياس القوة العام، يُدرك هذا الأداة أن جميع الخوارزميات ليست متساوية. تُستغرق كلمة مرور بطول 12 حرفًا مُحمية بـ MD5 بثواني؛ أما نفس الكلمة المرور المحمية بـ Argon2id مع معايير منطقية، فهي تقاوم موارد الدول المُتخصصة لعصور.

كيفية استخدام

اختر الخوارزمية التي يستخدمها تطبيقك لتخزين كلمات المرور.
إذا كانت الخوارزمية مُخصصة لاستخلاص المفاتيح، فحدد معايير تكلفة الخوارزمية. بالنسبة لـ bcrypt، فهي العامل المُحدد؛ بالنسبة لـ scrypt، فهي المُعلمة N؛ بالنسبة لـ Argon2id، فهي الذاكرة بالميجابايت والعدد المُكرر؛ بالنسبة لـ PBKDF2، فهي العدد المُكرر.
أدخل طول كلمة المرور التي ترغب في تقييمها وحدد مجموعة الأحرف التي تُستمد منها.
اقرأ سطر وقت التخمين للنطاق المُهم لك. يستخدم شريط التوصية المستوى المُخصص للمجموعة كحد واقعي للاختراق المُتسلسل في وضع غير مُتصل.
أعد التقييم على الخوارزمية، أو التكلفة، أو الطول، أو مجموعة الأحرف حتى يصبح الحكم أخضر بالنسبة للنموذج المُقاوم الذي تدافع عنه.

خصائص

ثمانية خوارزميات — MD5، SHA-1، SHA-256، SHA-512، bcrypt، scrypt، Argon2id، و PBKDF2-HMAC-SHA256، مع أشكالها المُسَلَّمة، المُستخدمة في الذاكرة، والمعتمدة على التكرار.
أربعة مراحل للاختراق — جهاز رسومي مالي، جهاز واحد من RTX 4090، مجموعة مُخصصة من ثمانية أجهزة رسومية، وشبكة مُخصصة من أجهزة H100 بحجم ألف جهاز، كلها مُحددة وفقًا لمعايير Hashcat 6.x المُنشورة.
مقياس التكلفة المُدرك لخوارزميات التصنيع — العامل المُحدد لـ bcrypt، المُعلمة N لـ scrypt، الذاكرة والعدد المُكرر لـ Argon2id، والعدد المُكرر لـ PBKDF2 كلها تُعيد تشكيل معدل التخمين لكل مستوى، بحيث أن تغيير معلمة يُغيّر فورًا نتيجة التقييم.
الرياضيات اللوغاريتمية — تُعالج كلمات المرور الطويلة والمساحات الكبيرة دون أن تتجاوز الحدود، لذا فإن كلمة مرور بطول 32 رمزًا تُنتج أرقامًا ذات معنى بدلًا من "النهاية"
أوصاف ملونة للنتائج — من "تم التخمين فورًا" إلى "ممتاز"، يحصل كل سطر على قطعة تقييم تُطابق فئة الوقت، بالإضافة إلى توصية عامة مبنية على مستوى المجموعة المُخصصة.
ستة مجموعات أحرف — أرقام فقط للإدخالات إلى الفضاء الكامل المكوّن من 94 رمزًا في الأحرف المطبوعة، مع عرض عدد الأحرف بجانب كل خيار لضمان أنك تعرف ما تشتريه بزيادة التنوع.

إعلان · حذف؟

 التعليمات

ما هو معدل التخمين ولماذا يختلف كثيرًا بين الخوارزميات؟

معدل التخمين هو عدد المحاولات التي يمكن أن يختبرها جهاز معين في الثانية ضد هاش مُحدد. تُعتبر الخوارزميات السريعة غير المُسَلَّمة مثل MD5 وSHA-256 عمليات تمرير واحدة على دالة التوسيع، لذا يمكن لجهاز رسومي حديث أن يُنفذ عشرات المليارات في الثانية. تُجعل الخوارزميات المُخصصة لاستخلاص المفاتيح مثل bcrypt، scrypt، وArgon2id كل محاولة مكلفة في دورة المعالجة أو الذاكرة أو كليهما، مما يقلل معدل التخمين بـ 6 إلى 9 أضعاف. هذا الفجوة هي الهدف الأساسي لاستخدام خوارزمية التصنيع في تخزين كلمات المرور.
لماذا تقاوم الخوارزميات المُستخدمة في الذاكرة مثل scrypt وArgon2id أجهزة الرسومات أكثر من PBKDF2؟

تُكرر PBKDF2 عملية HMAC بشكل متكرر، مما يُمكنه التوازي بشكل جيد على آلاف الوحدات الصغيرة في جهاز الرسومات. تُفرض الخوارزميات المُستخدمة في الذاكرة على كل محاولة أن تُعالج مجموعة كبيرة من البيانات العشوائية في الذاكرة، مما يُظهر الحدود المحدودة للسرعة في الذاكرة وذاكرة التخزين داخل وحدات المعالجة. النتيجة هي أن الهجمات المُخصصة باستخدام أجهزة ASIC أو الرسومات تفقد معظم ميولها، وتكاليف التخمين تزداد حسب مساحة السيليكون التي يرغب المهاجم في شراؤها.
كيف تُترجم عامل تكلفة bcrypt إلى وقت حقيقي؟

يُعد عامل تكلفة bcrypt مؤشرًا أساسيًا: عامل تكلفة N يُنفذ تكرارين لدالة تجهيز Blowfish. إذًا، كل زيادة في العامل تضاعف وقت الحساب لتسجيل الدخول الصحيح ووقت كل محاولة من قبل المهاجم. يُمتص المُدافع بعض الملي ثانية إضافية لكل عملية تسجيل دخول؛ بينما يُمتص المهاجم التضاعف في كل مساحة المفاتيح، وهذا هو السبب في أن تغيير العامل من 10 إلى 12 هو أحد أبسط الفوائد الأمنية المتاحة.
ما الفرق بين وقت التخمين الأسوأ والوقت المتوقع للتخمين؟

الوقت الأسوأ هو الوقت المطلوب لاستكشاف كل مساحة المفاتيح، وهو مُهم فقط إذا كان المهاجم مُطالبًا بتحديد كل كلمة مرور ممكنة. الوقت المتوقع، أو المتوسط، هو نصف هذا الوقت، لأن المفتاح الصحيح يقع عادةً في المنتصف من تسلسل البحث العشوائي. يُعرض هذا المُقدّم الوقت المتوسط، وهو الرقم الذي يُستخدم غالبًا في نماذج التهديدات الكريبتوجرافية.
هل تأخذ هذه التقديرات في الاعتبار القوائم المُختلطة، جداول التخمين، أو تسرب البيانات؟

لا، يفترض التقديرات أن كلمة المرور تُختار عشوائيًا من المجموعة المحددة. يبدأ المهاجم بالقوائم المُتسربة، والتعويضات الشائعة، والقوائم المُوجهة، مما يقلل من مساحة المفاتيح للاختيار البشري. تُمثل الأرقام هنا حدًا أقصى لجهد المهاجم ضد كلمة مرور عشوائية، وحدًا أدنى لقيمة استخدام خوارزمية بطيئة، وتقسيم المفاتيح، والتحكم في السرعة على مستوى التطبيق.