पासवर्ड मजबूती जाँचक: एन्ट्रॉपी, अनुमान और तोड़ने का समय

इसका इस्तेमाल कैसे करें

पासवर्ड फ़ील्ड में पासवर्ड लिखें। वह छिपा रहता है; जो लिखा है उसे पढ़ने के लिए दिखाएँ दबाएँ।
अनुमानित एन्ट्रॉपी और मजबूती का लेबल पढ़ें। ज्यादा बिट्स का मतलब है हमलावर के लिए ज्यादा अनुमान।
तीनों बताई गई दरों के लिए तोड़ने का औसत समय वाली पंक्तियाँ देखें, और उनके नीचे की NIST जाँचें।
मिले पैटर्न देखें, ताकि पता चले कि अनुमान लगाने वाला पासवर्ड के किन हिस्सों को पहले आजमाएगा।

अनुमान कैसे निकाला जाता है

हर अक्षर जिसे कोई पैटर्न नहीं ढकता, उतने बिट्स लेता है जितना log2 उस पूल का होता है, यानी उन अक्षरों की संख्या जो पासवर्ड के वर्ग अनुमति देते हैं: 26 छोटे अक्षर, 26 बड़े अक्षर, 10 अंक, 33 चिह्न और स्पेस, और दूसरे अक्षरों के लिए 100। पैटर्न अपने बिट्स लेता है: आम पासवर्ड की सूची का शब्द अपनी रैंक जितने बिट्स लेता है, दोहराव या क्रम में अक्षर थोड़े बिट्स लेते हैं, और पास-पास की कुंजियों की लाइन या साल भी।

अनुमान अक्षरों और पैटर्न में पासवर्ड बाँटने का सबसे सस्ता तरीका है। जिस क्रम में अनुमान लगाने वाला हिस्सों को आजमाएगा, वह नहीं गिना जाता, इसलिए अनुमान थोड़ा कम हो सकता है। हर आँकड़ा पैमाने के लिए एक मॉडल है, किसी असली हमले का माप नहीं।

अगर रैंडम हो तो एन्ट्रॉपी = लंबाई × log2(पूल);   अनुमान = अक्षरों और पैटर्न में सबसे सस्ता बँटवारा

NIST SP 800-63B क्या कहता है

अकेले इस्तेमाल होने वाला पासवर्ड कम से कम 15 अक्षर का होना चाहिए, और सिर्फ मल्टी-फैक्टर लॉगिन के हिस्से के रूप में इस्तेमाल होने वाला पासवर्ड 8 अक्षर का हो सकता है। सत्यापन करने वाले सिस्टम को कम से कम 64 अक्षर स्वीकार करने चाहिए, और स्पेस व सभी प्रिंट होने वाले अक्षर भी।

सत्यापन करने वाले सिस्टम अक्षर-प्रकार के मिश्रण जैसे नियम नहीं लगा सकते, और समय-समय पर बदलने को मजबूर नहीं कर सकते, जब तक सबूत न हो कि पासवर्ड लीक हुआ है। उन्हें पूरे पासवर्ड की तुलना आम या लीक हुए पासवर्ड की सूची से करनी चाहिए, पेस्ट करने की सुविधा देनी चाहिए, और पासवर्ड मैनेजर व ऑटोफिल को भी चलने देना चाहिए।

हल किया हुआ उदाहरण: Password2026

Password2026 में 62 संभावित अक्षरों (छोटे अक्षर, बड़े अक्षर और अंक) में से 12 अक्षर हैं, इसलिए अगर यह रैंडम होता तो इसकी एन्ट्रॉपी 12 × log2(62) होती, यानी 71.5 बिट्स।

इसका पैटर्न सस्ता है: password आम सूची का पहला शब्द है (रैंक 1), जिसके 0 बिट्स लगते हैं, और बड़े अक्षर P के लिए 1 बिट। 2026 एक साल है, जिसके log2(140) लगभग 7.1 बिट्स लगते हैं। अनुमान 8.1 बिट्स है: कमजोर, और औसतन लगभग 280 अनुमान, इसलिए ऑनलाइन दर पर भी यह एक सेकंड के एक हिस्से में टूट जाता है।

अक्सर पूछे जाने वाले सवाल

क्या पासवर्ड किसी सर्वर को भेजा या सहेजा जाता है?

नहीं। पेज पासवर्ड की जाँच आपके ब्राउज़र में करता है, और ऐसा कोई अनुरोध नहीं भेजता जिसमें वह हो। आम पासवर्ड की सूची इस साइट की एक फ़ाइल है, जिसे पेज लोड करता है, पर पासवर्ड खुद कभी नहीं भेजा जाता, और पेज दोबारा लोड करने पर वह भूल जाता है।

Password1! में बड़ा अक्षर, अंक और चिह्न है, फिर भी वह कमजोर क्यों है?

अनुमान लगाने वाले पहले आम शब्दों को उनके आम जोड़ों के साथ आजमाते हैं, इसलिए अक्षर-प्रकार का मिश्रण ज्यादा नहीं जोड़ता। NIST SP 800-63B ठीक यही उदाहरण देता है और पाता है कि संरचना के नियम थोड़ा ही जोड़ते हैं; लंबाई और आम पासवर्ड की सूची से मिलान ज्यादा मायने रखते हैं।

एन्ट्रॉपी के आँकड़े का क्या मतलब है?

यह बिट्स में बताता है कि पासवर्ड का अनुमानित चुनाव कितना बड़ा है। हर अतिरिक्त बिट औसतन लगने वाले अनुमानों को दोगुना करता है, इसलिए 60 बिट्स का पासवर्ड 40 बिट्स वाले से कहीं ज्यादा कठिन है।

तीनों समय इतने अलग क्यों हैं?

वे तीन बताई गई दरों का इस्तेमाल करते हैं: बिना रेट लिमिट वाला ऑनलाइन हमला, धीमे हैश पर ऑफलाइन हमला, और ग्राफिक्स कार्ड पर तेज हैश पर ऑफलाइन हमला। असली हमलावर इन तीनों से अलग होते हैं; दरें सिर्फ पैमाना दिखाती हैं।

क्या मजबूत परिणाम का मतलब है कि पासवर्ड इस्तेमाल के लिए सुरक्षित है?

अकेले नहीं। पेज यह जाँच नहीं करता कि पासवर्ड लीक हुआ है या किसी दूसरी साइट पर दोबारा इस्तेमाल हुआ है। हर खाते के लिए अलग पासवर्ड रखें, और उन्हें सँभालने के लिए पासवर्ड मैनेजर इस्तेमाल करें।

NIST 8 अक्षर की इजाजत देता है, तो 15 अक्षर क्यों?

NIST अकेले इस्तेमाल होने वाले पासवर्ड के लिए 15 तय करता है, और मल्टी-फैक्टर लॉगिन के एक कारक के रूप में 8 की इजाजत देता है। पेज सख्त वाला आँकड़ा दिखाता है, यानी अकेले इस्तेमाल वाला।

आम पासवर्ड की सूची इतनी छोटी क्यों है?

NIST कम आम मूल्यों की ब्लॉकलिस्ट की सलाह देता है, और कहता है कि बहुत बड़ी सूची थोड़ा ही जोड़ती है। पेज SecLists की 10,001 सबसे आम पासवर्ड वाली सूची इस्तेमाल करता है, जो MIT लाइसेंस के तहत छपी है।

स्रोत

आँकड़े और टेक्स्ट आखिरी बार मंगलवार, 10 नवंबर 2026 को जाँचे गए।