حاسبة أمان رمز التحقق لمرة واحدة (OTP).
قم بتكوين مخطط رمز التحقق لمرة واحدة (OTP) — الطول، ومجموعة الأحرف، ومدة الصلاحية، والحد الأقصى للمحاولات — واطلع على مساحة التوليفات الدقيقة، والإنتروبيا بالبت، وفرص التخمين الناجح، ومقاومة هجمات القوة الغاشمة، وتقييم القوة مع نصائح ملموسة لتعزيز الأمان. الحسابات دقيقة وتتم بالكامل داخل متصفحك.
عدد الأرقام أو الأحرف في الرمز (4–12).
حجم الأبجدية: 10
المدة التي يظل فيها الرمز صالحاً قبل أن يتم تغييره أو انتهاء صلاحيته.
عدد محاولات التحقق المسموح بها قبل قفل الرمز أو إبطاله.
معدل تخمين آلي مفترض. يُستخدم فقط لتقدير وقت الهجوم بالقوة الغاشمة (brute-force) — اترك الحقل فارغاً إذا لم تكن تعرفه.
يقيّد حد المحاولات المهاجمَ الفعلي عند 5 — فالحظر، لا معدل التخمين، هو القيد الحاسم.
- قوي جداً — 1 من 1,000,000 أو أفضل (يُحقق الهدف المرجعي لـ NIST)
- قوي — أفضل من 1 من 100,000
- مقبول — أفضل من 1 من 10,000
- ضعيف — أسوأ من 1 من 10,000
هذا التقييم (ضعيف / مقبول / قوي / قوي جداً) هو نتاج الخوارزمية الخاصة بالأداة وليس معياراً خارجياً. تقوم الأداة بحساب احتمالية التخمين الناجح ضمن حد المحاولات المسموح به مقابل العتبات الموضحة أدناه. أما مساحة التوليفات، والإنتروبيا (entropy)، والاحتمالات فهي حسابات رياضية دقيقة.
- تُعد رموز OTP الرقمية هي المعيار في رسائل SMS وسهلة الاستخدام، ولكن مساحتها الصغيرة تعني أن الأمان يعتمد على تحديد معدل الطلبات (rate-limiting) وقصر مدة الصلاحية، وليس على الرمز نفسه. احرص على تشديد كليهما.
- قم بفرض قفل صارم من جانب الخادم (server-side lockout) بعد بضع محاولات فاشلة. فبدون ذلك، تصبح 'احتمالية التخمين ضمن حد المحاولات' المذكورة أعلاه بلا معنى، وتصبح المساحة الكاملة عرضة لهجمات القوة الغاشمة (brute-force).
- قم بتقصير نافذة الصلاحية. فالرمز الصالح لعدة دقائق يمنح المهاجم وقتاً أطول بكثير للتخمين مقارنة بالرمز الصالح لمدة 30-60 ثانية فقط.
- بالنسبة للإجراءات عالية القيمة مثل المدفوعات أو استرداد الحساب، أضف خاصية ربط الجهاز (device binding)، أو المصادقة المتدرجة (step-up auth)، أو عاملاً ثانياً. فرمز OTP وحده يمثل سراً مشتركاً واحداً عبر قناة واحدة.
الإجابة المختصرة
ما مدى قوة رمز OTP حقاً؟
تعتمد القوة الفعلية لرمز التحقق لمرة واحدة (OTP) على مساحة التوليفات الخاصة به فقط: أي حجم الأبجدية مرفوعاً إلى طول الرمز. يحتوي الرمز الرقمي المكون من 6 أرقام على مليون توليفة ونحو 19.9 بت من الإنتروبيا (Entropy) — وهي قيمة ضئيلة للغاية وفقاً للمعايير التشفيرية. ما يحافظ على أمان الرمز في الواقع ليس الرمز نفسه، بل الضوابط المحيطة به: مثل الحد الصارم لعدد المحاولات قبل الحظر (lockout) وفترة انتهاء الصلاحية القصيرة. مع حظر بعد 5 محاولات، تصبح فرصة تخمين رمز مكون من 6 أرقام هي 5 من أصل 1,000,000 — أي ما يعادل تقريباً 1 من كل 200,000. أما في حال إلغاء الحظر، فإن نفس الرمز سيتم اختراقه في ثوانٍ معدودة. تقوم هذه الأداة بحساب كل من العمليات الحسابية الخام والاحتمالات العملية المقيدة بالحظر، لتتمكن من معرفة مصدر أمان نظامك بدقة.
العمليات الحسابية وراء قوة رمز التحقق لمرة واحدة (OTP)
إجمالي التوليفات = حجم الأبجدية ^ الطول، ويتم حسابها بدقة باستخدام حسابات الأعداد الكبيرة (big-integer arithmetic) بحيث تظهر حتى المساحات الكبيرة بدقة رقمية. الإنتروبيا بالبت (bits) = الطول × log₂(حجم الأبجدية)؛ حيث تضيف كل خانة إضافية log₂(حجم الأبجدية) بت. فرصة التخمين العشوائي الواحد هي 1 ÷ إجمالي التوليفات. وعند وجود حد للمحاولات يبلغ N، فإن فرصة حدوث نجاح واحد على الأقل هي تقريباً N ÷ إجمالي التوليفات، والتي نعبر عنها بصيغة واضحة '1 من كل X' ونسبة مئوية. إذا قمت بتحديد معدل المهاجم المفترض، فإن الوقت اللازم لتجربة كل رمز هو (إجمالي التوليفات ÷ المعدل)، ومتوسط الوقت للوصول إلى نتيجة صحيحة هو نصف ذلك — ولكن المهاجم الحقيقي سيتم إيقافه أولاً بأي من الأمرين: الحظر بعد عدد المحاولات أو انتهاء صلاحية الرمز.
ماذا يقول معيار NIST 800-63B
يعامل منشور NIST الخاص رقم 800-63B رمز التحقق لمرة واحدة (OTP) القصير كسرّ ذي إنتروبيا منخفضة تعتمد سلامته على تقييد معدل الطلبات (throttling) وليس على الطول. ويوجه المعيار الجهات التي تتحقق من الرموز إلى تطبيق تحديد معدل الطلبات (rate-limit) لمحاولات المصادقة الفاشلة، ويشير إلى ضرورة إبقاء احتمالية التخمين عبر الإنترنت الناجحة طوال فترة صلاحية أداة المصادقة أقل من 1 من كل 1,000,000 تقريباً. بعبارة أخرى، الرمز المكون من 6 أرقام مقبول فقط لأن جهة التحقق تحد من المحاولات وتنهي صلاحية الرمز بسرعة — فالطول وحده ليس هو ما يجعله آمناً. وتتماشى فئة 'قوي جداً' في هذه الأداة مع هدف 1 من كل 1,000,000؛ علماً بأن تسميات الفئات هي تقديراتنا الخاصة وليست تصنيفاً من NIST.
مقارنة بين أنظمة رمز التحقق لمرة واحدة (OTP) الشائعة
أرقام دقيقة للإعدادات النموذجية، بافتراض الحظر بعد 5 محاولات. توفر الرموز الأطول أو ذات الأبجدية الأكبر مساحة أمان إضافية، ولكن الحد الأقصى للمحاولات هو الذي يقوم بمعظم العمل.
| النظام | التوليفات | الإنتروبيا (Entropy) | الفرصة في 5 محاولات |
|---|---|---|---|
| رقمي، 4 أرقام | 10,000 | 13.3 بت | 1 من 2,000 |
| رقمي، 6 أرقام | 1,000,000 | 19.9 بت | 1 من 200,000 |
| رقمي، 8 أرقام | 100,000,000 | 26.6 بت | 1 من 20,000,000 |
| أبجدي رقمي، 6 خانات | 2,176,782,336 | 31.0 بت | 1 من 435,356,467 |
| 8 خانات، حساس لحالة الأحرف | 218,340,105,584,896 | 47.6 بت | 1 من 43,668,021,116,979 |
الأسئلة الشائعة
هل رمز التحقق لمرة واحدة (OTP) المكون من 6 أرقام آمن؟
بمفرده، لا — فالرمز الرقمي المكون من 6 أرقام يحتوي على مليون توليفة فقط ونحو 19.9 بت من الإنتروبيا. ولكنه يصبح آمناً من الناحية العملية من خلال الحد الصارم للمحاولات وفترة انتهاء الصلاحية القصيرة: فمع الحظر بعد 5 محاولات، تكون احتمالات تخمينه حوالي 1 من كل 200,000. أما إذا أزلت الحظر، فيمكن اختراقه عبر الهجوم بالقوة الغاشمة (brute-force) في ثوانٍ. الأمان يأتي من الضوابط، وليس من عدد الأرقام.
كيف يتم حساب إنتروبيا رمز التحقق لمرة واحدة (OTP)؟
الإنتروبيا بالبت تساوي طول الرمز مضروباً في اللوغاريتم للأساس 2 لحجم الأبجدية. الرمز الرقمي المكون من 6 أرقام هو 6 × log₂(10) ≈ 19.9 بت؛ أما الرمز الأبجدي الرقمي المكون من 8 خانات والحساس لحالة الأحرف فهو 8 × log₂(62) ≈ 47.6 بت. كل خانة مضافة تساهم بمقدار log₂(حجم الأبجدية) من البتات.
لماذا يعتبر الحد الأقصى للمحاولات أهم من طول الرمز؟
لأن رموز OTP التي تُستخدم عبر الإنترنت يتم تخمينها طلباً تلو الآخر، وليس عبر حسابها دون اتصال (offline). إذا قامت جهة التحقق بحظر الحساب بعد 5 محاولات خاطئة، فسيحصل المهاجم على 5 فرص فقط مقابل كامل مساحة التوليفات بغض النظر عن سرعة إرساله للطلبات. هذا الضابط الوحيد يحول رمزاً بمليون توليفة إلى احتمالات تبلغ 1 من كل 200,000 تقريباً. وبدونه، لا يوفر نفس الرمز أي حماية تذكر.
هل يساعد الرمز الأطول أو الأبجدي الرقمي في زيادة الأمان؟
نعم، فهو يرفع مستوى الإنتروبيا ويقلل احتمالات التخمين، مما يساعد في العمليات ذات القيمة العالية أو عندما يكون تحديد معدل الطلبات ضعيفاً. ولكن هذا يؤثر أيضاً على سهولة الاستخدام — فالرموز الأطول والمختلطة بين الأحرف الكبيرة والصغيرة يصعب كتابتها وتزيد احتمالية الخطأ فيها عبر رسائل SMS أو الصوت. بالنسبة لمعظم العمليات، يعد الرمز الرقمي المكون من 6 أرقام مع حظر صارم وفترة انتهاء صلاحية قصيرة هو التوازن العملي الأمثل؛ واحتفظ بالرموز الأطول للإجراءات عالية المخاطر.
ماذا يعني تقييم القوة؟
هذا التقييم يعتمد على الخوارزمية الخاصة بهذه الأداة وليس معياراً خارجياً. تقوم الأداة بحساب احتمالية نجاح التخمين ضمن حد المحاولات الذي قمت بتكوينه: إذا كانت الاحتمالية 1 من 1,000,000 أو أفضل، يُصنف التقييم كـ 'قوي جداً' (بما يتماشى مع الأهداف المرجعية لـ NIST)، وإذا كانت أفضل من 1 من 100,000 يكون 'قوي'، وإذا كانت أفضل من 1 من 10,000 يكون 'مقبول'، وأي نتيجة أقل من ذلك تُصنف كـ 'ضعيف'. تعتمد الحسابات على رياضيات دقيقة للاحتمالات والإنتروبيا وفضاء التوليفات.
هل ترسل هذه الأداة إعداداتي إلى أي مكان؟
لا. تُجرى جميع الحسابات في متصفحك باستخدام حسابات الأعداد الصحيحة الكبيرة (big-integer arithmetic) لحساب فضاء التوليفات. لا يتم إرسال أي بيانات أو تسجيلها أو تخزينها. يمكنك حتى فصل الاتصال بالشبكة وستظل الأداة تعمل.
رموز التحقق لمرة واحدة (OTP) عبر رسائل SMS والمكالمات الصوتية، مع ميزات مدمجة لتحديد معدل الطلبات وانتهاء الصلاحية.
حلول تحقق جاهزة تتولى عنك عمليات التسليم، وإعادة المحاولة، وتحديد معدل الطلبات.
إجابات مباشرة عن رموز OTP والمصادقة الثنائية (2FA) وأمن المراسلة.
دليل البدء السريع، وTypeScript SDK، والمراجع، والأدوات.
هل تدمج رمز التحقق لمرة واحدة (OTP) في منتجك؟
توفر BroadNet رموز التحقق لمرة واحدة (OTP) عبر رسائل SMS والمكالمات الصوتية، مع ميزات التحكم في معدل الطلبات، ومدة الصلاحية، وضوابط التسليم التي تجعل الرموز القصيرة آمنة. تحدث مع فريقنا لمناقشة تدفق عملية التحقق الخاصة بك.