تم تحسين هذا الموقع ليتم عرضه من متصفح حديث يتم فيه تمكين JavaScript.

هل تعقيد كلمة المرور يكفي لحماية الموقع؟

علي ملص

منذ فترة تعرض موقع أحد عملائي لاختراق، وبعد الفحص تبين لي أن سبب الاختراق هو أن مدير الموقع كان يستخدم كلمة مرور مسربة بالرغم من أنها كانت معقدة وتتكون من رموز وأرقام وأحرف كبيرة وصغيرة، وهذا كشف لي أن تعقيد كلمة المرور وحده لا يكفي، بل يجب التأكد من أن كلمة المرور ليست مسربة.

لمنع تكرار المشكلة لدى العميل استخدمت إضافة Passwords Evolved التي تفحص فيما إذا كانت كلمة المرور مسربة عند إنشائها، وقد [سجل الدخول لترى الرابط] يوضح كيف استخدمت الإضافة بشكل مفصل لتنبيهكم إلى تغيير كلمات المرور لديكم إذا كانت مسربة.

وأود أن أعرف، هل مررتم بتجربة مشابهة غيرت قناعاتكم السابقة حول أمان مواقع ووردبريس؟

هشام حسين

علي ملص سألت الذكاء الاصطناعي عن موقع لفحص كلمات السر وما إذا كانت مسربة أم لا فجاوب موقع:

[سجل الدخول لترى الرابط]

بالنسبة لنا نحن العرب لو كتبنا كلمة سر بالعربية فستكون مشكله كبرى لأي شخص يحاول الاختراق فمثلا يجب أن تكون جمله مثل انا احب السيارات فيكون كتابتها كالتالي anaohebalsiarat أو anaOhebSiarat ثم يتب بارقام متتابعة ورموز مثل 7890()*& وهكذا تصبح كلمة السر تقريبا مستحيله فما بالك لو كتبتها بالالمانية او الفرنسية.

يوجد ايضا جوجل اثونتيكيشن google athuntication وهو لا يسمح بدخول لجوجل الا بعد احضار كلمة المرور من تطبيق على الهاتف الذكي وتقريبا تتغير كل عشر او 15 ثانية لهذا يجب ان تكون سريع جدا في كتابتها او تنتظر ظهور التالية. ولا اعرف هل يمكن وجود مثل ذلك للمواقع ووردبريس خاصه ام لا.

صلاح سلامة

علي ملص وأود أن أعرف، هل مررتم بتجربة مشابهة غيرت قناعاتكم السابقة حول أمان مواقع ووردبريس؟

تعقيد كلمة المرور لا يكفي ابدًا لحماية أي موقع إلكتروني، سواء كان ووردبريس أو غيره. حتى لو لم تكن كلمة المرور مسربة يمكن لهجمات الـBrute Force تخمينها إذا لم يتم تفعيل الطبقات الدفاعية الكافية.

ولذلك يجب تفعيل عدة طبقات دفاعية، للحماية من الأمر الذي حصل مع موقع عميلك، أهمها ما يلي:

المصادقة الثنائية خصوصًا لحسابات الأدمن.
تعطيل تسجيل الدخول لمدة معينة، في حالة كتابة كلمة المرور بشكل خاطئ أكثر من مرة، وتزيد المدة كلما زادت مرات الإدخال الخاطئة من نفس الـIP.
حظر الـ IP تلقائيًا إذا كانت هناك محاولات كثيرة خاطئة لتسجيل الدخول.
يفضل أيضًا تفعيل اشعارات تسجيل الدخول خصوصًا للحسابات الهامة.
إذا أمكن تفعيل الكابتشا أيضًا في صفحة تسجيل الدخول.
إذا أمكن أيضًا تغيير رابط صفحة تسجيل الدخول الشائعة إلى رابط آخر.

توجد الكثير من الطبقات الدفاعية الأخرى، لكن بالنسبة للمواقع البسيطة يكفي — في الحد الأدنى — تفعيل أول نقطتين. فالمصادقة الثنائية لا يمكن تجاوزها حتى مع معرفة كلمة المرور، بينما تعطيل تسجيل الدخول لمدة معينة بعد تكرار المحاولات الخاطئة يحافظ على موارد السيرفر ويحدّ من هجمات التخمين قبل أن تتفاقم.

علي ملص

هشام حسين

نعم صحيح، وستجد في المقال الذي أشرت إليه أنني ذكرت هذا الموقع لمعرفة فيما إذا كانت كلمة المرور مسربة أم لا.

بخصوص المصادقة الثنائية فبالطبع يمكن تفعيلها في ووردبريس، وقد تم شرح ذلك في مقال ([سجل الدخول لترى الرابط]).

هشام حسين

صلاح سلامة فعلا استاذ صلاح وهذا أحدث ما وجدته لامان كل شيء من الويندوز حتى المواقع الالكترونية ويكاد يكون مستحيل ولكن لا اعرف هل يعمل على ووردبريس ام لا ؟ مفتاح الأمان وله انواع وهو عباره عن فلاشة مختلفة شكلها كالتالي:

سألت الذكاء الاصطناعي هل يعمل على ووردبريس قال نعم.

علي ملص

صلاح سلامة

صحيح أخ صلاح، كلمة المرور هي بالفعل لا تكفي، ويجب استخدام وسائل دفاعية أخرى، لكن بالطبع تسريب كلمة المرور يمكن أن يسهل اختراق الموقع، ولذلك يجب تلافي استخدام كلمة مرور مسربة.

علي ملص

هشام حسين

نعم هذا يستخدم للمصادقة الثنائية، ويعطي أمان أكثر من كتابة الكود، لكن أظن أنه في حال فقدانه أو تلفه لن يتمكن المستخدم من الوصول إلى حسابه بسهولة.

صلاح سلامة

هشام حسين مفتاح الأمان

أهلا بيك مهندس هشام، تقريبا شاهدت إضافة تحت مسمى yubico من قبل وتؤدي نفس الغرض الذي ذكرته، وبالطبع هذه الطريقة مميزة جدا في الحماية وذلك لأن تسجيل الدخول سيعتمد كما ذكرت على الفلاشة؛ وهذا يجعل الاختراقات شبه مستحيلة.

علي ملص ولذلك يجب تلافي استخدام كلمة مرور مسربة.

استخدمت ذات مرة كلمة مرور مكونة من 64 حرف (حروف كبيرة وصغيرة وأرقام وعلامات خاصة)، كانت تبدو كلمة مرور لا يمكن اختراقها، لكن للأسف تم اختراقها. هذا ما يجعلني اعتقد أنه لا يفضل ابدًا الاعتماد على كلمات المرور فقط سواء كانت مسربة أو غير مسربة فجميعها قابل للتخمين. وبالطبع إن كانت كلمة المرور سهلة أو مسربة فهذا ييسر الاختراق أكثر وأكثر.

هشام حسين

علي ملص كلامك منطقي جدا فعلا لم افكر فيه ولكن اعتقد يمكن شراء مفتاحين بدلا من واحد وهكذا يكون صعب تقريبا حدوث شيء وربما يكون المفتاح له امان اخر من الشركة نفسها في حالة ضياعه.

يشبه ذلك النسخ الاحتياطي للجهاز او الهارد ديسك او اي تخزين، فلو كان لديك نسختين او ثلاثه يصبح تقريبا صعب جدا تلف الجهاز يوجد نظام يسمى raid 0 وواحد حتى خمسه او سته على ما اتذكر ويمكن جمع ريد 1 و 0 مع بعضهما ليصبح raid 10 واعتقد السرفرات او الخوادم لا يمكن ان تستغني عن نظام ريد نهائيا ويوجد منهم من يستخدم وحدات تخزين بهذه النظم وتكون خارجيه للنسخ الاحتياطي هكذا يكون تقريبا من الصعب جدا حدوث فقد للمعلومات ولو كان خادم مواقع مثل الخوادم الكبرى والكلود ايضا فسيصبح وقوع الموقع شبه مستحيل لوجود نسخه احتياطيه منه تسمى on the fly على ما اتذكر بمعنى نسخ لحظي للمواقع.

تحياتي لك وللأستاذ صلاح سلامة