मेरा पासवर्ड कितना मज़बूत है?

ऊपर वाला अंक असल में क्या नाप रहा है

ज़्यादातर स्ट्रेंथ मीटर एक ही चीज़ गिनते हैं: आपके पासवर्ड की लंबाई, गुणा उस अक्षर-समूह का आकार जिससे आपने अक्षर लिए। किसी यादृच्छिक रूप से चुने पासवर्ड के लिए यह ठीक सूत्र है, और किसी इंसान के चुने पासवर्ड के लिए — यानी क़रीब-क़रीब सभी के लिए — बुरी तरह गुमराह करने वाला।

उस सूत्र से Password123! क़रीब 79 बिट पाता है। बारह अक्षर, चार अक्षर-श्रेणियाँ, और अब तक लिखी हर कॉर्पोरेट नीति पर खरा। एक क्रैकिंग रिग उस तक एक सेकंड से भी काफ़ी कम में पहुँच जाती है, क्योंकि वे बारह स्वतंत्र चुनाव हैं ही नहीं। वह है एक शब्दकोश-शब्द, एक बड़ा अक्षर उसी जगह जहाँ हर कोई रखता है, तीन अंक उसी क्रम में जिसमें सब लगाते हैं, और आख़िर में एक चिह्न। चार फ़ैसले, और चारों अनुमेय।

इसलिए यह पेज कुछ और करता है। यह आपके पासवर्ड को पहचानने योग्य टुकड़ों के सबसे सस्ते अनुक्रम में तोड़ता है जो उसे मिल सके, हर टुकड़े की क़ीमत इस हिसाब से लगाता है कि वहाँ तक पहुँचने में कितने अनुमान लगते हैं, और फिर गुणा कर देता है। जो कुछ भी उसे नहीं पहचाना जाता, उसका दाम पूरी ज़ोर-आज़माइश की दर से लगता है। नतीजा उस कुल का log₂ है, और «हमलावर क्या पहचानता है» वाली सूची वही विभाजन है जिस पर वह टिका — यानी अंदर आने का असली रास्ता, न कि हर संदिग्ध चीज़ की फ़ेहरिस्त।

यह किन ढर्रों की क़ीमत लगाता है

जगह भी मायने रखती है, हालाँकि उस तरह नहीं जैसा लोग समझते हैं। अंकों को आख़िर से हटाकर शब्द के बीच में रखना थोड़ी मदद करता है, क्योंकि उससे शब्द दो छोटे टुकड़ों में टूट जाता है जिन्हें शब्दकोश मिलाने वाला पार नहीं कर पाता। पर यह चार और यादृच्छिक अक्षर जोड़ने से कहीं कम मदद करता है।

यह अनुमान कहाँ ज़रूरत से ज़्यादा उदार है

इसे सीधे कह देना चाहिए, क्योंकि अपनी तारीफ़ में बढ़-चढ़कर बोलने वाला स्ट्रेंथ चेकर न होने से भी बुरा है: इस पेज का हर आँकड़ा एक ऊपरी सीमा है।

यहाँ का शब्दकोश 2,099 आम अंग्रेज़ी शब्दों और 181 सबसे ज़्यादा लीक हुए पासवर्डों का है। यह उन ख़ामियों को पकड़ने के लिए काफ़ी है जो अधिकतर सेंधमारी की जड़ हैं, और असली हमलावर जो इस्तेमाल करता है उसके आसपास भी नहीं। उनकी सूचियाँ लाखों शब्दों तक जाती हैं, हर भाषा में — और साथ में नाम, कुलनाम, जगहों के नाम, फ़ुटबॉल क्लब, बैंड के नाम, और पंद्रह साल पीछे तक की हर सार्वजनिक सेंध की पूरी सामग्री।

ठोस रूप में: Tr0ub4dor&3 — वही XKCD वाला उदाहरण, और सचमुच कमज़ोर पासवर्ड — यहाँ क़रीब 72 बिट पाता है, क्योंकि «troubadour» दो हज़ार शब्दों की सूची में नहीं है। जिस टूल के शब्दकोश में वह मौजूद है, वह उसी स्ट्रिंग की क़ीमत लगभग 28 बिट लगाएगा। यह फ़ासला गणित का बग नहीं है; यह शब्दकोश का आकार है — और इसीलिए यहाँ अच्छे स्कोर का मतलब है कोई ज़ाहिर कमज़ोरी नहीं मिली, न कि यह पासवर्ड सुरक्षित है।

अगर नतीजा बुरा आया

मन करता है कि जो पासवर्ड फ़ेल हुआ उसी की मरम्मत कर दें — एक चिह्न जोड़ दें, एक अक्षर की जगह अंक रख दें, आख़िर में 2026 लगा दें। इससे ऐसा पासवर्ड बनता है जो मूल से बस एक क़दम दूर है — और ठीक वही रूपांतरण क्रैकिंग टूल लगाते हैं। अगर किसी पासवर्ड का स्कोर बुरा आया, तो उसे सुधारिए नहीं, बदल दीजिए।

जनरेटर उसकी जगह नया बना देगा, और जिन दो-तीन को आपको सचमुच याद रखना है उनके लिए उसका पासफ़्रेज़ मोड बेहतर विकल्प है — छह यादृच्छिक शब्द क़रीब 66 बिट होते हैं और इंसान के टाइप किए जाने को झेल लेते हैं, जो बीस यादृच्छिक अक्षर नहीं झेलते।

एक चीज़ ऐसी है जो कोई स्ट्रेंथ चेकर देख ही नहीं सकता, और वही सबसे ज़्यादा मायने रखती है: आपने यह पासवर्ड कहीं और भी इस्तेमाल किया है या नहीं। खाते सबसे ज़्यादा अनुमान लगाने से नहीं, क्रेडेंशियल स्टफ़िंग से जाते हैं — एक साइट से लीक हुआ पासवर्ड उसी ईमेल के साथ बाक़ी हर साइट पर आज़मा देना। दो जगह इस्तेमाल किया गया 120-बिट पासवर्ड भी, पहली जगह सेंध लगते ही, दूसरी जगह कोई सुरक्षा नहीं देता।