لماذا يسهل تخمين الأرقام التي يختارها الناس
حين يختار الناس رقمًا سريًا يعتمدون على الأفكار القليلة نفسها: 1234 أو 0000 أو 1111، أو سنة الميلاد، أو تاريخ الزواج، أو الخط المستقيم 2580 في وسط لوحة أرقام الهاتف. وقد وجد تحليل مشهور لنحو 3.4 مليون رمز مسرّب من أربع خانات أن قرابة ربعها كان واحدًا من 20 تركيبة فقط. واللص الذي يحمل محفظتك أو هاتفك لا يملك إلا محاولات قليلة، لذا فهذه المحاولات القليلة مهمة. أما الرقم الذي يسحبه الحاسوب عشوائيًا فليس أرجح من غيره، وهذا بالضبط ما تريده.
ما الذي تحذفه المرشحات الثلاثة
يحذف مرشح الأرقام المكررة كل رقم سري فيه رقم بجوار نفسه مثل 1135، أو رقم يتكرر ثلاث مرات أو أكثر. ويحذف مرشح التسلسلات ثلاثة أرقام متصاعدة أو متنازلة مثل 345 أو 987، والرموز المؤلفة من مقطع قصير مكرر مثل 1212 أو 123123. ويحذف مرشح الأرقام الشائعة قائمة من الرموز المعروفة، وكل سنة من 1900 إلى 2099، وكل ما يُقرأ يومًا وشهرًا مثل 0512 أو 3107، إضافة إلى التواريخ المكوّنة من ست خانات أو ثماني. وتعرض اللوحة عدد الأرقام المتبقية لترى الكلفة: ففي الأرقام ذات الخانات الأربع يبقى نحو 6,350 من أصل 10,000.
كيف تُنشأ الأرقام العشوائية هنا
تأتي كل خانة من الدالة crypto.getRandomValues، وهي مولّد العشوائية الآمن المدمج في متصفحك، مع طريقة الرفض والإعادة حتى يتساوى احتمال كل رقم من 0 إلى 9. وإذا لم يجتز رقم سري أحد المرشحات يُهمَل ويُسحب غيره، فتبقى كل الأرقام المقبولة متساوية الاحتمال أيضًا. ولا تتكرر الأرقام داخل القائمة الواحدة. ولا يُخزَّن شيء ولا يُنقل، ولا تسجّل أدوات القياس في الموقع إلا الإعدادات التي استخدمتها، ولا تسجّل أي رقم سري.
اختيار الطول المناسب
أربع خانات هي المعتاد في البطاقات البنكية وكثير من شرائح الاتصال، وهي آمنة لأن البطاقة تُوقف نفسها بعد محاولات خاطئة قليلة. وإن أتاح لك الهاتف أو التطبيق البنكي أو جهاز الإنذار الاختيار، فست خانات تمنحك مئة ضعف من التركيبات دون جهد يُذكر. أما ثماني خانات أو أكثر فتناسب رموز الأبواب والخزائن التي لا تُقفل بعد التخمينات الخاطئة، مع أن كلمة مرور طويلة بأحرف وأرقام أو عبارة مرور أقوى من ذلك للهاتف.
كيف تحافظ على رقمك السري
لا تكتب الرقم السري على البطاقة ولا تحتفظ به في المحفظة نفسها، ولا ترسله برسالة نصية أو محادثة. وغطِّ لوحة الأرقام بيدك الأخرى عند أجهزة الصراف الآلي وأجهزة الدفع في المحلات. ولا يطلب البنك ولا موظفو خدمة العملاء الحقيقيون رقمك السري أبدًا، لا بالهاتف ولا بالرسائل ولا بالبريد الإلكتروني؛ ومن يطلبه يحاول الاحتيال. وإن ظننت أن أحدًا رأى رقمك السري فغيّره فورًا من جهاز الصراف أو من تطبيق البنك.