पासवर्ड जेनरेटर
मुफ्त ऑनलाइन पासवर्ड जेनरेटर, Web Crypto सुरक्षित रैंडम स्रोत के आधार पर मजबूत रैंडम पासवर्ड, याद रखने योग्य पासफ्रेज और संख्यात्मक PIN बनाता है। शक्ति जांच, भ्रमित करने वाले अक्षरों को बाहर करना, बैच निर्यात का समर्थन करता है। ब्राउज़र में स्थानीय रूप से बनता है, शून्य अपलोड।
संबंधित सुझाव
सुरक्षित पासवर्ड जेनरेटर क्या है?
पासवर्ड जेनरेटर रैंडम, अप्रत्याशित पासवर्ड बनाने का एक उपकरण है। मानव द्वारा डिज़ाइन किए गए पासवर्ड के विपरीत, एक वास्तविक पासवर्ड जेनरेटर निर्दिष्ट वर्ण पूल से वर्णों को रैंडम रूप से चुनने के लिए **क्रिप्टोग्राफ़िक रूप से सुरक्षित छद्म यादृच्छिक संख्या जनरेटर (CSPRNG)** का उपयोग करता है, जो मानव द्वारा पासवर्ड सेट करते समय अंतर्निहित पूर्वानुमानित पैटर्न (नाम+जन्मदिन, कीबोर्ड पर लगातार कुंजियाँ जैसे qwerty, कंपनी का नाम+वर्ष आदि) से बचता है, जिससे क्रेडेंशियल स्टफिंग, डिक्शनरी हमले और ब्रूट फोर्स क्रैकिंग का जोखिम काफी कम हो जाता है।
**Math.random() का उपयोग क्यों नहीं कर सकते**: सामान्य छद्म यादृच्छिक संख्या जनरेटर की आंतरिक स्थिति को थोड़े से आउटपुट से पूर्वानुमान लगाया जा सकता है, हमलावर बाद में बनने वाले «रैंडम» नंबरों की भविष्यवाणी कर सकते हैं। यह टूल ब्राउज़र के Web Crypto API के crypto.getRandomValues() का उपयोग करता है, जो ऑपरेटिंग सिस्टम स्तर के CSPRNG (जैसे Linux का getrandom, macOS का SecRandomCopyBytes, Windows का BCryptGenRandom) को कॉल करता है, उत्पन्न रैंडम नंबर क्रिप्टोग्राफ़िक रैंडमनेस परीक्षण पास करते हैं, अप्रत्याशित होते हैं।
**पासवर्ड शक्ति का मूल एन्ट्रॉपी है**: एन्ट्रॉपी = log₂(वर्ण पूल आकार^पासवर्ड लंबाई), इकाई bit है। उदाहरण के लिए 94 प्रिंट करने योग्य ASCII वर्णों से रैंडम रूप से चुने गए 16 अक्षर के पासवर्ड की एन्ट्रॉपी लगभग 104 bit होती है, जिसका अर्थ है कि हमलावर को सही पासवर्ड खोजने के लिए औसतन 2¹⁰³ बार प्रयास करने होंगे — यहां तक कि प्रति सेकंड 1 ट्रिलियन बार प्रयास करने पर भी लगभग 200 अरब वर्ष लगेंगे।
**याद रखने योग्य पासफ्रेज (Passphrase)**: कई रैंडम रूप से चुने गए शब्दों से मिलकर बनता है (जैसे Brave-Cloud-Star42), हालांकि रैंडम पासवर्ड की तुलना में «सरल» दिखता है, लेकिन यदि शब्द वास्तव में रैंडम रूप से चुने जाते हैं, तो कुल एन्ट्रॉपी 60 bit से अधिक पहुंच सकती है, जो अधिकांश परिदृश्यों के लिए पर्याप्त सुरक्षित है, और समान शक्ति वाले रैंडम पासवर्ड की तुलना में याद रखना बहुत आसान है। यह XKCD #936 क्लासिक कॉमिक और Diceware पद्धति का मुख्य विचार भी है।
**सभी पासवर्ड ब्राउज़र में स्थानीय रूप से बनते हैं**, किसी भी सर्वर पर नहीं भेजे जाते। टूल साथ ही शक्ति जांच प्रदान करता है: एन्ट्रॉपी गणना, ब्रूट फोर्स क्रैक समय अनुमान, कमजोर पासवर्ड पैटर्न का पता लगाना (दोहराए गए अक्षर, लगातार संख्याएं/अक्षर, सामान्य कमजोर पासवर्ड से मिलान), जो आपको बनाए गए पासवर्ड की वास्तविक सुरक्षा शक्ति को समझने में मदद करता है।
उपयोग के मामले
- नया खाता पंजीकृत करते समय मजबूत रैंडम पासवर्ड बनाएं, एन्ट्रॉपी और क्रैक समय देखें, खाता सुरक्षा सुनिश्चित करें
- टीम या परीक्षण वातावरण के लिए अस्थायी पासवर्ड बैच में बनाएं, तेजी से वितरित करें
- मैन्युअल रूप से याद रखने वाले वाई-फाई पासवर्ड या डिवाइस पासवर्ड के लिए याद रखने योग्य पासफ्रेज बनाएं
- डिवाइस PIN सेट करें, व्यवस्थापक खाते प्रारंभ करें या पासवर्ड रीसेट करें
- कमजोर पासवर्ड को बदलें, मानव-निर्मित आसानी से अनुमान लगाने योग्य पासवर्ड को उच्च शक्ति वाले रैंडम पासवर्ड से बदलें
उपयोग कैसे करें
- पासवर्ड मोड चुनें: रैंडम पासवर्ड, याद रखने योग्य पासफ्रेज या संख्यात्मक PIN
- पासवर्ड लंबाई, वर्ण सेट विकल्प सेट करें (16 अक्षर से ऊपर की सिफारिश), भ्रमित करने वाले अक्षरों को बाहर करना चालू कर सकते हैं
- शक्ति जांच परिणाम देखें: एन्ट्रॉपी, क्रैक समय अनुमान, कमजोर पासवर्ड का पता लगाना
- पासवर्ड कॉपी करें या पंजीकरण, रीसेट या वितरण के लिए TXT फ़ाइल बैच में निर्यात करें
विशेषताएं
- सुरक्षित रैंडम जनरेशन: ब्राउज़र के Web Crypto API (crypto.getRandomValues) के क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम स्रोत पर आधारित, अप्रत्याशित रैंडम पासवर्ड बनाता है
- तीन पासवर्ड मोड: रैंडम पासवर्ड, याद रखने योग्य पासफ्रेज (शब्द संयोजन) और संख्यात्मक PIN तीन मोड का समर्थन करता है, विभिन्न सुरक्षा स्तरों को कवर करता है
- पूर्ण शक्ति जांच: वर्ण पूल आकार, एन्ट्रॉपी गणना, कमजोर पासवर्ड मिलान का पता लगाना, दोहराए/लगातार अक्षर जोखिम, ब्रूट फोर्स क्रैक समय अनुमान देखें
- भ्रमित करने वाले अक्षरों को बाहर करें: 0/O/1/l/I जैसे भ्रमित करने वाले अक्षरों को बाहर कर सकते हैं, मैन्युअल इनपुट, फोन पर बताने के परिदृश्यों के लिए उपयुक्त
- बैच जनरेशन और निर्यात: 5/10/20 पासवर्ड बैच में बनाने का समर्थन, एक क्लिक में TXT डाउनलोड, टीम वितरण और परीक्षण वातावरण प्रारंभ करने में आसान
- स्थानीय रूप से बनता है अपलोड नहीं होता: सभी पासवर्ड ब्राउज़र में स्थानीय रूप से बनते हैं, किसी भी सर्वर पर नहीं भेजे जाते
यादृच्छिक पासवर्ड vs याद रखने योग्य पासफ्रेज vs संख्यात्मक PIN: कौन सा चुनें?
तीन पासवर्ड मोड के अपने-अपने फायदे और नुकसान हैं। गलत मोड चुनने पर या तो याद नहीं रहेगा, या आसानी से चोरी होगा, या बिल्कुल उपयोगी नहीं होगा। 'कौन याद रखता है, कौन इनपुट करता है, कौन सहेजता है' के आधार पर चुनने से कई गलतियों से बच सकते हैं।
| मोड | इसे चुनने का विशिष्ट प्रश्न | सुरक्षा शक्ति | उपयोग में आसानी | विशिष्ट उपयोगकर्ता |
|---|---|---|---|---|
| यादृच्छिक पासवर्ड | 「मैं कभी मैन्युअल रूप से नहीं टाइप करता, बस पासवर्ड मैनेजर को ऑटोफिल करने देता हूं」 | उच्च (16 अक्षर पर ~104 bit तक पहुंच सकता है) | खराब (याद रखना मुश्किल, मैनेजर अनिवार्य) | मुख्य ईमेल, बैंक, सोशल अकाउंट, API कुंजी |
| याद रखने योग्य पासफ्रेज | 「मुझे मौखिक रूप से बताने, हाथ से टाइप करने में सक्षम होना चाहिए, और पर्याप्त सुरक्षित होना चाहिए」 | मध्यम-उच्च (5-6 शब्द Diceware ≈ 64-77 bit) | अच्छा (मानव-पठनीय, उच्चारण योग्य) | मास्टर पासवर्ड, Wi-Fi, कई डिवाइस पर इनपुट करने वाले पासवर्ड |
| संख्यात्मक PIN | 「केवल 0-9, डिवाइस की सीमा के कारण」 | कम (6 अंक पर केवल ~20 bit, 10 अंक पर भी केवल ~33 bit) | अच्छा (संख्यात्मक कीपैड से इनपुट कर सकते हैं) | डिवाइस लॉक स्क्रीन, बैंक कार्ड PIN, एकबारगी सत्यापन कोड |
Best Practices
उत्पन्न करने के तुरंत बाद पासवर्ड मैनेजर में सहेजें, लंबे समय तक स्क्रीन पर न छोड़ें
नया उत्पन्न किया गया मजबूत पासवर्ड 'पूर्ण सादा पाठ' स्थिति में होता है, क्लिपबोर्ड, स्क्रीन, ब्राउज़र इतिहास में रहना सभी जोखिम हैं। उत्पन्न → तुरंत लक्ष्य साइट पर भरें → क्लिपबोर्ड साफ करें, तीन चरणों के बीच अन्य कार्य न डालें। **बिल्कुल नहीं** उत्पन्न पासवर्ड का स्क्रीनशॉट एल्बम में सहेजें, कागज पर लिखकर दूसरों को फोटो भेजना तो बिल्कुल नहीं। इस टूल का पासवर्ड केवल वर्तमान पृष्ठ पर मौजूद होता है, रीफ्रेश या पृष्ठ बंद करने पर खो जाता है, कृपया पहले भंडारण स्थान तैयार करें, फिर उत्पन्न करें पर क्लिक करें।
क्या उत्पन्न पासवर्ड सर्वर पर अपलोड होते हैं?मास्टर पासवर्ड के लिए 'लंबा याद रखने योग्य पासफ्रेज', अन्य खातों के लिए 16-20 अक्षर यादृच्छिक पासवर्ड
स्तरित रणनीति: मास्टर पासवर्ड (पासवर्ड मैनेजर अनलॉक) मानव को याद रहने योग्य और पर्याप्त मजबूत होना चाहिए → 5-6 शब्द Diceware याद रखने योग्य पासफ्रेज चुनें। अन्य 99% वेबसाइट/सेवा के लिए 16-20 अक्षर यादृच्छिक पासवर्ड + पासवर्ड मैनेजर ऑटोफिल का उपयोग करें। **कभी नहीं** हर वेबसाइट के लिए याद रखने योग्य पासफ्रेज का उपयोग न करें (याद रखना कठिन, आसानी से कमजोर हो सकता है), और **कभी नहीं** मास्टर पासवर्ड के लिए भी यादृच्छिक पासवर्ड का उपयोग न करें (आप इसे लिखकर रखेंगे, सुरक्षा शून्य हो जाती है)। यह पासवर्ड प्रबंधन का मूल स्तरित दर्शन है।
सुरक्षित होने के लिए पासवर्ड कितना लंबा होना चाहिए?यादृच्छिक पासवर्ड और याद रखने योग्य पासफ्रेज में से कौन सा अधिक सुरक्षित है?केवल मैन्युअल इनपुट की आवश्यकता होने पर भ्रमित करने वाले अक्षरों को बाहर करें
0/O/1/l/I आदि भ्रमित करने वाले अक्षरों को बाहर करने से अक्षर पूल का आकार काफी कम हो जाता है (समान लंबाई पर एन्ट्रॉपी 5-10 bit कम हो जाती है), **केवल मैन्युअल इनपुट, फोन पर मौखिक वितरण, प्रिंट वितरण की आवश्यकता होने पर ही** सक्षम करने की सिफारिश की जाती है। पासवर्ड केवल पासवर्ड मैनेजर में उपयोग किया जाता है, तो सभी मुद्रण योग्य अक्षरों को रखने से उच्च एन्ट्रॉपी प्राप्त कर सकते हैं। एक सरल निर्णय विधि: 「क्या इस पासवर्ड को कभी उंगलियों से टाइप करने की आवश्यकता होगी?」 — आवश्यकता हो तो बाहर करें, नहीं तो न करें।
भ्रमित करने वाले अक्षरों (0/O/1/l/I) को क्यों बाहर करें?बैच उत्पन्नन केवल परीक्षण/वितरण परिदृश्यों के लिए, उत्पादन खातों के लिए समान विधि का उपयोग न करें
5/10/20 पासवर्ड बैच में उत्पन्न करने का कार्यप्रवाह मुख्य रूप से निम्नलिखित के लिए उपयुक्त है: परीक्षण वातावरण प्रारंभ, अस्थायी खाता वितरण, आमंत्रण कोड उत्पन्नन, API कुंजी एकल-उपयोग आउटपुट। **बैच उत्पन्नन परिणामों में से किसी एक को अपने उत्पादन खाते पर पुनः उपयोग न करें** — बैच में उत्पन्न पासवर्ड आमतौर पर समान नियमों के साथ उत्पन्न होते हैं, विशेषताएं स्पष्ट (अक्षर सेट, लंबाई, उत्पन्नक प्रकार) होती हैं, एक बार किसी खाते के लीक होने पर हमलावर अन्य बैच पासवर्ड की संरचनात्मक विशेषताओं का अनुमान लगा सकता है। उत्पादन खातों के पासवर्ड कृपया अलग-अलग उत्पन्न करें और अलग-अलग सहेजें।
स्थानीय रूप से उत्पन्न, अपलोड नहींनया पासवर्ड 2FA के साथ संयोजन में ही सच्चे अर्थों में सुरक्षित है
कोई भी मजबूत पासवर्ड फ़िशिंग, कीलॉगर, पासवर्ड डेटाबेस लीक, दूरसंचार ऑपरेटर के आंतरिक व्यक्ति सभी के सामने असहाय है। **कोई भी महत्वपूर्ण खाता (ईमेल, बैंक, सोशल, क्लाउड स्टोरेज) दो-कारक प्रमाणीकरण (2FA) सक्षम करना आवश्यक है**, TOTP (Google Authenticator / Authy) > हार्डवेयर कुंजी (YubiKey) > SMS। **SMS 2FA के उपयोग से बचें** (SIM स्वैपिंग हमले से बायपास किया जा सकता है)। मजबूत पासवर्ड + 2FA + पासवर्ड मैनेजर तीनों में से एक भी अनिवार्य है, 2FA पासवर्ड लीक के बाद अंतिम सुरक्षा कवच है।
NIST SP 800-63B - डिजिटल पहचान प्रमाणीकरण दिशानिर्देशलीक हुए पासवर्ड को पहले HIBP से जांचें, फिर रीसेट करने का निर्णय लें
किसी पासवर्ड के लीक होने का संदेह होने पर (समाचार में किसी वेबसाइट के हैक होने की खबर देखें, फ़िशिंग ईमेल प्राप्त करें आदि), तुरंत पासवर्ड न बदलें — पहले Have I Been Pwned (HIBP) के Pwned Passwords API से जांचें कि यह पासवर्ड वास्तव में लीक डेटाबेस में दिखाई दिया है। HIBP k-अनाम API प्रदान करता है, यह टूल भविष्य में एकीकरण पर विचार कर सकता है; अभी आप मैन्युअल रूप से haveibeenpwned.com/Passwords पर SHA-1 के पहले 5 अक्षरों से क्वेरी कर सकते हैं। डेटाबेस में होने की पुष्टि होने पर ही तत्काल परिवर्तन आवश्यक है, लीक न हुए पासवर्ड को 'मनोवैज्ञानिक आराम' के लिए बलपूर्वक बदलने की आवश्यकता नहीं (NIST ने स्पष्ट रूप से नियमित पासवर्ड परिवर्तन की अनुशंसा नहीं की है)।
Have I Been Pwned - पासवर्ड लीक जांचसामान्य प्रश्न
Math.random() के बजाय Web Crypto API का उपयोग क्यों करें?
Math.random() एक सामान्य छद्म यादृच्छिक संख्या जनरेटर है, सुरक्षा परिदृश्यों के लिए डिज़ाइन नहीं किया गया है, इसकी आंतरिक स्थिति का पूर्वानुमान लगाया जा सकता है। crypto.getRandomValues() ऑपरेटिंग सिस्टम के क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम स्रोत (CSPRNG) का उपयोग करता है, अप्रत्याशित रैंडम संख्याएँ उत्पन्न करता है, पासवर्ड, कुंजियों जैसे सुरक्षा परिदृश्यों के लिए उपयुक्त है।
क्या उत्पन्न पासवर्ड सर्वर पर अपलोड होते हैं?
नहीं। सभी पासवर्ड ब्राउज़र में स्थानीय रूप से बनते हैं, शक्ति विश्लेषण, एन्ट्रॉपी गणना और क्रैक समय अनुमान भी पूरी तरह से स्थानीय रूप से किए जाते हैं। डेवलपर टूल का नेटवर्क पैनल खोलकर शून्य बाहरी नेटवर्क अनुरोध सत्यापित कर सकते हैं।
सुरक्षित होने के लिए पासवर्ड कितना लंबा होना चाहिए?
कम से कम 12 अक्षर जिसमें बड़े+छोटे अक्षर+संख्या+प्रतीक शामिल हों, की सिफारिश की जाती है। 16 अक्षर के रैंडम पासवर्ड को आधुनिक कंप्यूटिंग शक्ति पर ब्रूट फोर्स से क्रैक करने में खरबों वर्ष लगते हैं। हर बार लंबाई में एक अक्षर बढ़ाने पर, खोज स्थान घातीय रूप से बढ़ता है। ऊपर क्रैक समय तालिका देखें।
रैंडम पासवर्ड बनाम याद रखने योग्य पासफ्रेज: कौन सा अधिक सुरक्षित है?
समान लंबाई पर रैंडम पासवर्ड में एन्ट्रॉपी अधिक होती है। लेकिन याद रखने योग्य पासफ्रेज (4-6 रैंडम शब्दों से मिलकर) में भी कुल एन्ट्रॉपी पर्याप्त रूप से अधिक होती है (~60bit से ऊपर), और याद रखना आसान होता है, मैन्युअल इनपुट की आवश्यकता वाले परिदृश्यों के लिए उपयुक्त है। महत्वपूर्ण बात यह है कि शब्द वास्तव में रैंडम रूप से चुने जाने चाहिए, न कि आपके द्वारा बनाए गए वाक्यांश।
भ्रमित करने वाले अक्षरों (0/O/1/l/I) को क्यों बाहर करें?
कुछ फ़ॉन्ट में ये अक्षर अलग करना मुश्किल होते हैं, इनपुट त्रुटियों का कारण बनते हैं। यदि पासवर्ड को मैन्युअल रूप से टाइप करना है, फोन पर बताना है, या वितरण के लिए प्रिंट करना है, तो बाहर करने का विकल्प चालू करने की सिफारिश की जाती है। यदि केवल पासवर्ड मैनेजर द्वारा उपयोग किया जाता है, तो सभी अक्षरों को रखने से उच्च एन्ट्रॉपी मिलती है।
क्या नियमित रूप से पासवर्ड बदलना अधिक सुरक्षित है?
NIST के नवीनतम दिशानिर्देश (SP 800-63B) अब नियमित रूप से पासवर्ड बदलने की सिफारिश नहीं करते हैं, जब तक कि पासवर्ड लीक होने की पुष्टि न हो। नियमित रूप से जबरन बदलने से उपयोगकर्ता कमजोर पासवर्ड चुनते हैं या उन्हें लिखकर रखते हैं। बेहतर तरीका है: लंबा रैंडम पासवर्ड + पासवर्ड मैनेजर + दो-कारक प्रमाणीकरण (2FA) सक्षम करें।
पासवर्ड एन्ट्रॉपी क्या है?
एन्ट्रॉपी पासवर्ड की अप्रत्याशितता को मापती है, इकाई bit है। एन्ट्रॉपी = log₂(वर्ण पूल आकार^पासवर्ड लंबाई)। उदाहरण के लिए 94 प्रिंट करने योग्य ASCII वर्णों से रैंडम रूप से चुने गए 16 अक्षर के पासवर्ड की एन्ट्रॉपी log₂(94¹⁶) ≈ 104 bit होती है। एन्ट्रॉपी जितनी अधिक होगी, ब्रूट फोर्स क्रैक करना उतना ही कठिन होगा।
शब्दकोश
- CSPRNG (क्रिप्टोग्राफ़िक रूप से सुरक्षित छद्म यादृच्छिक संख्या जनरेटर)
- Cryptographically Secure Pseudo-Random Number Generator, कड़े क्रिप्टोग्राफ़िक रैंडमनेस परीक्षण पास करने वाला रैंडम नंबर जनरेटर। आउटपुट अप्रत्याशित होता है, भले ही हमलावर को बड़ी मात्रा में ऐतिहासिक आउटपुट पता हो, बाद के आउटपुट का अनुमान नहीं लगा सकता। ब्राउज़र का Web Crypto API निचले स्तर पर CSPRNG का उपयोग करता है।
- पासवर्ड एन्ट्रॉपी
- पासवर्ड की अप्रत्याशितता को मापने वाला संकेतक, इकाई bit है। गणना सूत्र: एन्ट्रॉपी = log₂(N^L), जहां N वर्ण पूल का आकार है, L पासवर्ड की लंबाई है। एन्ट्रॉपी जितनी अधिक होगी, ब्रूट फोर्स क्रैक करना उतना ही कठिन होगा। आम तौर पर 60 bit से ऊपर सुरक्षित, 100 bit से ऊपर अत्यधिक मजबूत माना जाता है।
- ब्रूट फोर्स हमला (Brute Force Attack)
- पासवर्ड का अनुमान लगाने के लिए सभी संभावित वर्ण संयोजनों को आज़माने की हमला विधि। रक्षा विधि पर्याप्त लंबे रैंडम पासवर्ड का उपयोग करना है, जिससे संयोजनों की संख्या इतनी बड़ी हो जाए कि भौतिक रूप से गणना करना असंभव हो।
- डिक्शनरी हमला (Dictionary Attack)
- अनुमान लगाने के लिए सामान्य पासवर्ड सूचियों (जैसे 123456, password, qwerty आदि) का उपयोग करने की हमला विधि। ब्रूट फोर्स की तुलना में बहुत अधिक कुशल है, क्योंकि अधिकांश उपयोगकर्ता सामान्य कमजोर पासवर्ड का उपयोग करते हैं। रैंडम रूप से बनाए गए पासवर्ड स्वाभाविक रूप से डिक्शनरी हमले से प्रतिरक्षित होते हैं।
- क्रेडेंशियल स्टफिंग (Credential Stuffing)
- एक वेबसाइट से लीक हुए उपयोगकर्ता नाम और पासवर्ड का उपयोग करके अन्य वेबसाइटों में लॉगिन करने का प्रयास करना। रक्षा विधि प्रत्येक वेबसाइट के लिए अद्वितीय पासवर्ड का उपयोग करना और Have I Been Pwned के माध्यम से पासवर्ड लीक हुआ है या नहीं इसकी जांच करना है।
- याद रखने योग्य पासफ्रेज (Passphrase)
- कई रैंडम शब्दों से मिलकर बना पासवर्ड/वाक्यांश। रैंडम वर्ण पासवर्ड की तुलना में, शब्द वाक्यांश याद रखना आसान होता है, जब शब्दों की संख्या पर्याप्त हो तो एन्ट्रॉपी भी बहुत अधिक होती है। Diceware सबसे प्रसिद्ध याद रखने योग्य पासफ्रेज बनाने की विधि है, जो 7772 शब्दों की सूची से रैंडम रूप से चुनने के लिए पासे का उपयोग करती है।
- Diceware
- 1995 में Arnold Reinhold द्वारा आविष्कार की गई पासफ्रेज बनाने की विधि, एक शब्द निर्धारित करने के लिए 5 पासों का उपयोग करती है (7776 शब्दों की सूची से चुनना)। 6 Diceware शब्दों की एन्ट्रॉपी लगभग 77 bit होती है, सुरक्षा ब्रूट फोर्स हमले का विरोध करने के लिए पर्याप्त है।
- NIST SP 800-63B
- अमेरिकी राष्ट्रीय मानक और प्रौद्योगिकी संस्थान द्वारा जारी डिजिटल पहचान प्रमाणीकरण दिशानिर्देश, पासवर्ड सुरक्षा के क्षेत्र में सबसे आधिकारिक संदर्भ है। 2017 में अपडेट के बाद अब नियमित रूप से पासवर्ड बदलने की सिफारिश नहीं करता है, विशेष वर्णों को अनिवार्य नहीं करता है, इसके बजाय पासवर्ड की लंबाई, ब्लैकलिस्ट जांच और बहु-कारक प्रमाणीकरण पर जोर देता है।
- दो-कारक प्रमाणीकरण (2FA/MFA)
- पासवर्ड के अलावा दूसरी पहचान सत्यापन विधि की आवश्यकता होती है (जैसे फोन सत्यापन कोड, TOTP, हार्डवेयर कुंजी), भले ही पासवर्ड लीक हो जाए खाता सुरक्षा की रक्षा कर सकता है। NIST सभी महत्वपूर्ण खातों के लिए 2FA सक्षम करने की सिफारिश करता है।
- कमजोर पासवर्ड ब्लैकलिस्ट
- सार्वजनिक रूप से लीक हुए, बेहद सामान्य या पूर्वानुमानित पैटर्न वाले पासवर्ड की सूची। जैसे 123456, password, admin, qwerty आदि। NIST पंजीकरण और पासवर्ड बदलते समय ब्लैकलिस्ट में है या नहीं इसकी जांच करने की सिफारिश करता है।
पासवर्ड लंबाई और क्रैक समय अनुमान (बड़े+छोटे+संख्या+प्रतीक)
| पासवर्ड लंबाई | एन्ट्रॉपी(bit) | संयोजनों की संख्या | ब्रूट फोर्स क्रैक समय (1 ट्रिलियन/सेकंड) | सुरक्षा रेटिंग |
|---|---|---|---|---|
6 अक्षर | ~37 | लगभग 139 अरब | < 1 सेकंड | ❌ बहुत कमजोर |
8 अक्षर | ~52 | लगभग 2.2×10¹⁴ | लगभग 2.5 दिन | ❌ कमजोर |
10 अक्षर | ~65 | लगभग 3.7×10¹⁸ | लगभग 116 वर्ष | ⚠️ सामान्य |
12 अक्षर | ~78 | लगभग 6.1×10²² | लगभग 19.3 लाख वर्ष | ✅ मजबूत |
16 अक्षर | ~104 | लगभग 6.3×10³⁰ | लगभग 200 अरब वर्ष | ✅✅ बहुत मजबूत |
20 अक्षर | ~131 | लगभग 6.7×10³⁸ | ब्रह्मांड की आयु का खरबों गुना | ✅✅✅ अभेद्य |
तीन पासवर्ड मोड की तुलना
| मोड | प्रारूप उदाहरण | विशिष्ट एन्ट्रॉपी | याद रखने की क्षमता | अनुशंसित उपयोग |
|---|---|---|---|---|
| रैंडम पासवर्ड | xK9#mP2$vL8@nQ4! | ~6.5bit/अक्षर | खराब | पासवर्ड मैनेजर के लिए मुख्य पासवर्ड, डेटाबेस पासवर्ड, API कुंजियाँ |
| याद रखने योग्य पासफ्रेज | Brave-Cloud-Star42 | ~10bit/शब्द | अच्छा | वाई-फाई पासवर्ड, मैन्युअल रूप से याद रखने वाले लॉगिन पासवर्ड |
| संख्यात्मक PIN | 482917 | 3.3bit/अंक | अच्छा | डिवाइस लॉक स्क्रीन, बैंक कार्ड PIN, एकबारगी सत्यापन कोड |
Authoritative References
- ReferenceNIST SP 800-63B - डिजिटल पहचान दिशानिर्देश
- ReferenceOWASP पासवर्ड सुरक्षा चीट शीट
- ReferenceMDN Web Docs - crypto.getRandomValues()
- ReferenceWikipedia - पासवर्ड शक्ति
- ReferenceHave I Been Pwned - पासवर्ड लीक जांच
- कलर ब्लाइंडनेस सिम्युलेटर
- रंग कनवर्टर
- .htaccess से Nginx कन्वर्टर
- SQL कन्वर्टर
- कुकी पार्सर
- Cron एक्सप्रेशन जनरेटर
- Cron एक्सप्रेशन वैलिडेटर
- CSS फॉर्मेटर
- CSS मिनिफाई
- CSV से Excel
- करेंसी कन्वर्टर
- डिफ चेकर
- Favicon जनरेटर
- XML फॉर्मेटर
- हेक्साडेसिमल कनवर्टर
- HTML फॉर्मेटर
- HTML कम्प्रेसर
- HTML से Markdown
- Markdown से HTML
- JavaScript फॉर्मेटर
- JS कम्प्रेसर
- JSX फॉर्मैटर
- JSX कम्प्रेसर
- कीवर्ड क्लस्टरिंग
- Lorem Ipsum जनरेटर
- Markdown तालिका जनरेटर
- Meta Tag जनरेटर
- पासवर्ड जेनरेटर
- पासवर्ड शक्ति जांच उपकरण
- QR कोड / बारकोड जनरेटर
- Regex टेस्टर
- Slug जनरेटर
- SQL बिल्डर
- SQL फॉर्मेटर टूल
- शब्द गणक
- समय उपकरण
- TS फॉर्मेटर
- TS कम्प्रेसर
- TSX फॉर्मेटर
- TSX कम्प्रेसर
- Unix Timestamp कनवर्टर
- UUID जेनरेटर
- YAML फॉर्मेटर
- केस कनवर्टर