पासवर्ड जनरेटर
रैंडम पासवर्ड या आसानी से याद रहने वाला पासफ़्रेज़ बनाएँ। सब कुछ आपके ब्राउज़र में Web Crypto के रैंडम नंबर जनरेटर से बनता है। पासवर्ड UltKit को कभी नहीं भेजा जाता, न लॉग होता है और न कहीं सेव होता है। मीटर आपकी सेटिंग्स की असली एन्ट्रॉपी बिट्स में दिखाता है।
94 चिह्नों का पूल × 20 · 10 अरब अनुमान प्रति सेकंड पर औसतन अनुमान लगाने का समय: 4.6 × 10²¹ साल
पासवर्ड आपके ब्राउज़र में crypto.getRandomValues से बनते हैं। कुछ भी UltKit को भेजा या कहीं सेव नहीं किया जाता।
एन्ट्रॉपी और क्रैक करने का समय
10¹⁰ (10 अरब) अनुमान प्रति सेकंड पर ऑफ़लाइन हमला। औसत समय पूरे खोज क्षेत्र का आधा होता है।
| एन्ट्रॉपी | रैंडम अक्षर (94 चिह्नों का पूल) | 7,776 शब्दों की सूची से शब्द | क्रैक करने का औसत समय |
|---|---|---|---|
| 28 | 5 | 3 | 1 सेकंड से कम |
| 40 | 7 | 4 | 55 सेकंड |
| 50 | 8 | 4 | 16 घंटे |
| 60 | 10 | 5 | 1.8 साल |
| 72 | 11 | 6 | 7,482 साल |
| 80 | 13 | 7 | 19.2 लाख साल |
| 100 | 16 | 8 | 20.1 ख॰ साल |
| 128 | 20 | 10 | 5.4 × 10²⁰ साल |
जटिलता से ज़्यादा ज़रूरी है लंबाई: NIST SP 800-63B क्या कहता है
अमेरिका की नेशनल इंस्टीट्यूट ऑफ़ स्टैंडर्ड्स एंड टेक्नोलॉजी (NIST) ने अपने पासवर्ड दिशानिर्देश SP 800-63B में दोबारा लिखे और 2024 में प्रकाशित रिविज़न 4 में उन्हें और सख़्त किया। इसकी मुख्य सलाह पुराने कॉर्पोरेट नियमों के उलट है: सेवाओं को कम से कम 64 अक्षरों तक के पासवर्ड स्वीकार करने चाहिए, बड़े अक्षर, अंक और चिह्नों का मिश्रण अनिवार्य नहीं करना चाहिए, लोगों से तय अंतराल पर पासवर्ड नहीं बदलवाने चाहिए, और इसके बजाय नए पासवर्ड को लीक हुए और आम पासवर्ड की सूचियों से मिलाकर जाँचना चाहिए।
इसका तर्क गणित पर टिका है। कंपोज़िशन नियम लोगों को "Summer2024!" जैसे अनुमान लगाने लायक पैटर्न की ओर धकेलते हैं, जिन्हें हमलावर सबसे पहले आज़माते हैं। दूसरी ओर, हर अतिरिक्त रैंडम अक्षर ब्रूट-फ़ोर्स हमले का काम कैरेक्टर पूल के आकार के गुणा बढ़ा देता है। 94 प्रिंट होने योग्य ASCII चिह्नों में से 12 के बजाय 16 रैंडम अक्षर चुनने पर लगभग 26 बिट जुड़ते हैं, यानी अनुमान लगाना क़रीब 7.8 करोड़ गुना मुश्किल हो जाता है।
एन्ट्रॉपी की संख्या कैसे निकाली जाती है
एन्ट्रॉपी बताती है कि जनरेटर कितने समान रूप से संभावित पासवर्ड बना सकता था। रैंडम पासवर्ड के लिए यह लंबाई × log2(पूल का आकार) होती है। चारों कैरेक्टर सेट के साथ पूल 94 चिह्नों का होता है, यानी प्रति अक्षर लगभग 6.55 बिट, इसलिए 16 अक्षर लगभग 105 बिट देते हैं। मिलते-जुलते दिखने वाले अक्षर हटाने पर पूल 84 रह जाता है और प्रति अक्षर एक बिट के पाँचवें हिस्से से थोड़ा कम घटता है। ऊपर की तालिका यही गणित इस्तेमाल करती है और मानती है कि ऑफ़लाइन हमलावर प्रति सेकंड 10 अरब अनुमान लगाता है, जो तेज़ हैश के सामने GPU रिग के लिए सही आँकड़ा है; bcrypt जैसा धीमा हैश इस दर को कई गुना घटा देता है।
पासफ़्रेज़ भी इसी तरह काम करते हैं, बस अक्षरों की जगह शब्द होते हैं। यहाँ की इनबिल्ट सूची में 367 छोटे, आम शब्द हैं, इसलिए हर शब्द लगभग 8.5 बिट जोड़ता है और छह शब्द लगभग 51 बिट देते हैं: टाइप करना और याद रखना आसान, पर 16 अक्षरों के रैंडम पासवर्ड से कमज़ोर। विभाजक के रूप में "रैंडम अंक" चुनने पर हर जगह लगभग 3.3 बिट और जुड़ते हैं। किसी महत्वपूर्ण चीज़ की सुरक्षा करने वाले पासफ़्रेज़ के लिए आठ शब्द इस्तेमाल करें, या 7,776 शब्दों वाली Diceware सूची लें जिसमें हर शब्द 12.9 बिट का होता है।
मीटर 40 बिट से कम को कमज़ोर, 40 से 59 को ठीक-ठाक, 60 से 79 को मज़बूत और 80 या अधिक को बहुत मज़बूत बताता है। यह स्ट्रिंग को नहीं, जनरेटर की सेटिंग को रेट करता है, जो पासवर्ड को आँकने का इकलौता ईमानदार तरीक़ा है: "correct horse battery staple" पैटर्न-आधारित चेकर पर ऊँचा स्कोर पाता है, पर हर हमलावर सबसे पहले यही वाक्यांश आज़माता है।
बनाए गए पासवर्ड का सुरक्षित इस्तेमाल कैसे करें
हर अकाउंट के लिए अलग पासवर्ड रखें और उन्हें याद रखने का काम पासवर्ड मैनेजर पर छोड़ दें; पासवर्ड दोहराने से एक साइट का लीक कई अकाउंट के हाइजैक में बदल जाता है। साइन-अप फ़ॉर्म सबमिट करने से पहले पासवर्ड को मैनेजर में सेव कर लें, और जहाँ भी टू-फ़ैक्टर ऑथेंटिकेशन मिले, उसे चालू करें। अकाउंट की जगह किसी दस्तावेज़ को लॉक करना हो, तो एक मज़बूत पासफ़्रेज़ PDF पर पासवर्ड लगाएँ के साथ अच्छा काम करता है, जो फ़ाइल को आपके चुने पासवर्ड से एन्क्रिप्ट करता है।
अक्सर पूछे जाने वाले सवाल
- क्या ऑनलाइन पासवर्ड जनरेटर इस्तेमाल करना सुरक्षित है?
- यह तभी सुरक्षित है जब पासवर्ड आपके डिवाइस से बाहर न जाए। यह जनरेटर पूरी तरह आपके ब्राउज़र में crypto.getRandomValues से चलता है, जो क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम स्रोत है; पासवर्ड बनाने, कॉपी करने या सेटिंग बदलने पर कोई रिक्वेस्ट नहीं जाती, जिसे आप ब्राउज़र के नेटवर्क पैनल में देख सकते हैं।
- 2026 में पासवर्ड कितना लंबा होना चाहिए?
- पासवर्ड मैनेजर में रखे जाने वाले रैंडम पासवर्ड के लिए चारों कैरेक्टर सेट से 16 या अधिक अक्षर, जो 100 बिट से ज़्यादा एन्ट्रॉपी देते हैं। NIST के अनुसार सेवाओं को कम से कम 64 अक्षर स्वीकार करने होते हैं, इसलिए लंबाई शायद ही कभी सीमा बनती है।
- 0, O, l और 1 जैसे मिलते-जुलते कैरेक्टर हटाने का विकल्प क्यों है?
- ताकि जिस पासवर्ड को आपको ज़ोर से पढ़ना या काग़ज़ से टाइप करना हो, उसमें ग़लती न हो। इससे पूल 94 से घटकर 84 चिह्नों का रह जाता है, जिसकी भरपाई दो-एक अतिरिक्त अक्षर आसानी से कर देते हैं।
- क्या पासफ़्रेज़ रैंडम पासवर्ड से बेहतर है?
- पासफ़्रेज़ को याद रखना और टाइप करना आसान है, जो मास्टर पासवर्ड या डिवाइस लॉगिन के लिए ठीक रहता है। प्रति अक्षर इसमें एन्ट्रॉपी कम होती है, इसलिए ज़्यादा शब्द चाहिए: बड़ी सूची से कम से कम छह, या इस पेज की छोटी इनबिल्ट सूची से आठ शब्द लें।
- क्या जनरेटर अपने बनाए पासवर्ड याद रखता है?
- नहीं। पासवर्ड सिर्फ़ पेज पर तब तक रहते हैं जब तक आप नए न बनाएँ या टैब बंद न करें। कुकीज़, लोकल स्टोरेज या सर्वर पर कुछ नहीं लिखा जाता।