पासवर्ड एंट्रॉपी समझाया गया — और क्यों आपका "जटिल" पासवर्ड एक पैसफ़्रेज़ से कमजोर है

"अपने पासवर्ड को जटिल बनाएं" बेकार सलाह है। यह आपको एक प्रतीक और एक संख्या जोड़ने के लिए कहता है जैसे कि इससे पासवर्ड सुरक्षित हो गया हो। यह नहीं होता। पासवर्ड शक्ति का एकमात्र ईमानदार माप एंट्रॉपी है, और अधिकांश "जटिल" पासवर्ड इस पर आपके विचार से बदतर स्कोर करते हैं।

एंट्रॉपी वास्तव में क्या मापता है

एंट्रॉपी आपके पासवर्ड में यादृच्छिकता के बिट्स की संख्या है — दूसरे शब्दों में, एक हमलावर को ब्रूट फोर्स से इसे तोड़ने के लिए औसतन कितने अनुमानों की आवश्यकता है। इसकी गणना लंबाई × log₂(पूल आकार) के रूप में की जाती है।

उदाहरण: केवल lowercase अक्षरों (पूल = 26) का उपयोग करने वाला एक 10-वर्ण पासवर्ड 10 × log₂(26) ≈ 47 बिट्स एंट्रॉपी रखता है। lowercase, uppercase, संख्याओं और प्रतीकों का उपयोग करने वाला एक 10-वर्ण पासवर्ड (पूल = 88) 10 × log₂(88) ≈ 64.6 बिट्स रखता है। एक ही लंबाई, लेकिन बड़ा पूल प्रत्येक वर्ण को कठिन परिश्रम करने देता है।

कितने बिट्स "सुरक्षित" हैं?

मोटे आधुनिक थ्रेशहोल्ड (एक अच्छी तरह से हैश किए गए पासवर्ड को मानते हुए जो डेटाबेस लीक से बचता है — यदि साइट bcrypt या argon2 का उपयोग करती है, जो इसे करना चाहिए):

• 40 बिट्स से कम: एक एकल GPU द्वारा मिनटों में तोड़ा जा सकता है।
• 40–60 बिट्स: GPU फार्म वाले एक गंभीर हमलावर द्वारा घंटों से सप्ताह में तोड़ा जा सकता है।
• 60–80 बिट्स: आज के ऑफ़लाइन ब्रूट फोर्स के विरुद्ध सुरक्षित। व्यक्तिगत खातों के लिए अच्छा लक्ष्य।
• 80–100 बिट्स: किसी भी वर्तमान विरोधी के प्रति प्रतिरोधी, राष्ट्र-राज्यों सहित, वर्तमान हार्डवेयर के जीवनकाल के लिए।
• 100+ बिट्स: किसी भी यथार्थवादी खतरे के मॉडल के लिए अत्यधिक।

किसी भी चीज़ पर 80 बिट्स का लक्ष्य रखें जो पैसे, पहचान या बुनियादी ढांचे की रक्षा करती है। अपने पासवर्ड मैनेजर के मास्टर पासवर्ड पर 100+ बिट्स का लक्ष्य रखें।

"जटिल" पासवर्ड जाल

"जटिल" पासवर्ड बनाने के लिए कहे गए उपयोगकर्ता अनुमानित पैटर्न चुनते हैं: पहले अक्षर को बड़ा करना, अंत में एक संख्या जोड़ना, a को @ के लिए स्वैप करना। Password1! 10 वर्ण है और एक मानव को जटिल दिखता है। एक क्रैकर के लिए, यह एक अनुमान है — यह हर लीक किए गए-पासवर्ड शब्दकोश में दिखाई देता है।

उपयोगकर्ता द्वारा चुने गए पासवर्ड की वास्तविक एंट्रॉपी उनके पूल आकार के सुझाव से नाटकीय रूप से कम है, क्योंकि मनुष्य यादृच्छिक होने में अच्छे नहीं हैं। अध्ययन लगातार इसे दावे की गई जटिलता की परवाह किए बिना 20–30 बिट्स के आसपास रखते हैं।

पैसफ़्रेज़ क्यों जीतते हैं

एक पैसफ़्रेज़ 4–7 यादृच्छिक शब्द हैं जो डैश से जुड़े होते हैं: garden-river-pencil-strong-sunset-bridge। 512-शब्द सूची से छह यादृच्छिक शब्दों में 6 × log₂(512) = 54 बिट्स एंट्रॉपी है — अधिकांश लोगों की तुलना में अधिक "जटिल" पासवर्ड प्राप्त करते हैं, और नाटकीय रूप से अधिक स्मरणीय।

सात शब्दों तक स्केल करें और आप 63 बिट्स को पार करते हैं। 7776-शब्द सूची (Diceware) से आठ शब्द 103 बिट्स देते हैं। सब कुछ टाइप करने में आसान, याद रखने में आसान, और अधिकांश शब्दकोश हमलों के लिए प्रतिरक्षा (क्योंकि संयोजन यादृच्छिक है भले ही प्रत्येक शब्द सामान्य हो)।

उच्चारण योग्य पासवर्ड: मध्य मार्ग

उन परिस्थितियों के लिए जहां एक पासवर्ड को फोन पर बताया जाना है, उच्चारण योग्य पासवर्ड व्यंजन और स्वरों को वैकल्पिक करते हैं: baketomiloguno। प्रत्येक सिलेबल (व्यंजन + स्वर) में log₂(21 × 5) ≈ 6.7 बिट्स एंट्रॉपी है, इसलिए छह सिलेबल ~40 बिट्स देता है।

पैसफ़्रेज़ से कमजोर लेकिन विशिष्ट मानव द्वारा चुने गए पासवर्ड से मजबूत, और महत्वपूर्ण रूप से यह पूछने के बिना जोर से पढ़ने में आसान "क्या यह एक O या शून्य था?"

सुरक्षित पासवर्ड उत्पन्न करना

मानव यादृच्छिकता पर निर्भर न करें। एक उपकरण का उपयोग करें। aukimi पासवर्ड जेनरेटर तीन मोड प्रदान करता है — यादृच्छिक, पैसफ़्रेज़, और उच्चारण योग्य — एक लाइव एंट्रॉपी मीटर के साथ ताकि आप देख सकें कि आपका आउटपुट कितना मजबूत है। यह crypto.getRandomValues (ब्राउज़र का क्रिप्टोग्राफ़िक रूप से सुरक्षित यादृच्छिक स्रोत) का उपयोग करता है और मॉड्यूलो पूर्वाग्रह को समाप्त करने के लिए अस्वीकृति नमूनाकरण लागू करता है।

महत्वपूर्ण रूप से: पीढ़ी पूरी तरह से आपके ब्राउज़र में होती है। कुछ भी प्रेषित, लॉग किया गया या संग्रहीत नहीं है। पासवर्ड जेनरेट करते समय अपने devtools नेटवर्क टैब को खोलें — आप देखेंगे कि पृष्ठ से शून्य अनुरोध निकलते हैं।

एक नियम

एक पासवर्ड मैनेजर का उपयोग करें। प्रत्येक साइट के लिए एक लंबा यादृच्छिक पासवर्ड उत्पन्न करें (आपका पासवर्ड मैनेजर कभी नहीं भूलता है, इसलिए उपयोगिता के लिए लंबाई महत्वपूर्ण नहीं है)। अपने पासवर्ड मैनेजर के मास्टर पासवर्ड के रूप में एक पैसफ़्रेज़ का उपयोग करें — यह वह है जो आपको याद रखना है।

बाकी सब कुछ अनुकूलन है। इस एक पैटर्न को सही तरीके से प्राप्त करें और आप 95% उपयोगकर्ताओं से आगे हैं।