इस्तेमाल करने का तरीका
- बॉक्स में पासवर्ड लिखें या पेस्ट करें। यह डिफ़ॉल्ट रूप से छिपा होता है; आपने क्या लिखा है, यह देखने के लिए “दिखाएँ” चुनें।
- मज़बूती का लेबल, एन्ट्रॉपी के आँकड़े और पासवर्ड तोड़ने के अनुमानित समय को देखें।
- मिले हुए पैटर्न देखें और पासवर्ड का अनुमान लगाना कठिन बनाने के लिए सुझावों पर अमल करें।
यह कैसे काम करता है
यह चेकर सबसे पहले कैरेक्टर-पूल एन्ट्रॉपी निकालता है: संभावित अक्षरों की संख्या (26 छोटे अक्षर, 26 बड़े अक्षर, 10 अंक, स्पेस सहित 33 ASCII प्रतीक और ऐक्सेंट वाले अक्षरों या इमोजी जैसे किसी भी अन्य अक्षर के लिए 100) को पासवर्ड की लंबाई की घात तक उठाकर। इसे बिट में log2(pool) × length के रूप में दिखाया जाता है। इस गणना में माना जाता है कि हर अक्षर बेतरतीब ढंग से चुना गया है, जो लोगों के बनाए पासवर्ड के मामले में शायद ही सच होता है।
इसके बाद यह उन पैटर्न को खोजता है जिन्हें हमलावर सबसे पहले आज़माते हैं, और हर मिले हुए हिस्से के लिए केवल उतने बिट गिनता है जितने उस पैटर्न का अनुमान लगाने में लगेंगे: सबसे आम 1,000 पासवर्ड की अंतर्निर्मित सूची, लगभग 3,000 आम अंग्रेज़ी शब्द और 600 आम पहले नाम (leet रूप को सामान्य करने के बाद भी, जैसे 4→a, 3→e, 0→o, $→s), qwerty और asdf जैसी कीबोर्ड-श्रृंखलाएँ, abc या 4321 जैसे क्रम, दोहराए गए अक्षर या समूह, 1900 से 2099 तक के वर्ष और 12/05/1990 या 19900512 जैसी तारीखें। इसके बाद मिलने वाला नतीजा “पैटर्न के बाद का अनुमान” है। यह तरीका मूल रूप से ओपन-सोर्स zxcvbn अनुमानक जैसा है, लेकिन अधिक सरल है।
पासवर्ड तोड़ने के समय का अनुमान 10 अरब अनुमान प्रति सेकंड की दर मानता है—लगभग उतनी, जितनी कुछ आधुनिक ग्राफ़िक्स कार्ड MD5 या SHA-1 जैसे तेज़, बिना नमक वाले हैश पर ऑफ़लाइन हमले में हासिल कर सकते हैं—और यह भी कि औसतन बची हुई संभावनाओं में से आधी आज़मानी पड़ेंगी। लॉगिन फ़ॉर्म पर ऑनलाइन हमले बहुत धीमे होते हैं; सही ढंग से कॉन्फ़िगर किए गए धीमे हैश भी बहुत धीमे होते हैं। इस आँकड़े को मोटा अनुमान समझें, पक्की गारंटी नहीं। चेकर यह नहीं जानता कि आपका पासवर्ड किसी डेटा उल्लंघन में सामने आया है या नहीं।
उदाहरण
दिखने में “मज़बूत” लगने वाला आम पासवर्ड
“Summer2023!” में 11 अक्षर हैं और चारों तरह के कैरेक्टर हैं, इसलिए इसकी कैरेक्टर-पूल एन्ट्रॉपी लगभग 72 बिट है। चेकर को इसमें “Summer” शब्द और 2023 वर्ष मिलता है, जिससे अनुमान घटकर लगभग 22 बिट रह जाता है: बहुत कमज़ोर, और ऑफ़लाइन हमले में एक सेकंड से भी कम समय में इसका अनुमान लगाया जा सकता है।
leet रूप से मदद नहीं मिलती
“P@55w0rd” को बदलावों के साथ “password” के रूप में पहचाना जाता है, जो सबसे आम पासवर्ड में से एक है। इसमें कितने भी प्रतीक हों, इसे बहुत कमज़ोर ही माना जाता है।
बेतरतीब पासवर्ड
जनरेटर से बनाया गया 16-अक्षरों का पासवर्ड, जैसे “v7#Qm!2pXr9$Lw4z”, किसी पहचाने जा सकने वाले पैटर्न से मेल नहीं खाता। इसका अनुमान लगभग 105 बिट के कैरेक्टर-पूल आँकड़े के बराबर है, इसलिए इसे बहुत मज़बूत माना जाता है।
अक्सर पूछे जाने वाले सवाल
क्या यहाँ अपना असली पासवर्ड लिखना सुरक्षित है?
इस पेज पर JavaScript की मदद से पूरा विश्लेषण आपके ब्राउज़र में होता है। पासवर्ड किसी सर्वर पर नहीं भेजा जाता, सहेजा नहीं जाता और एनालिटिक्स में शामिल नहीं होता। चाहें तो असली पासवर्ड के बजाय उसी संरचना वाला पासवर्ड जाँचें।
मेरे पासवर्ड की मज़बूती एन्ट्रॉपी के आँकड़े से कम क्यों है?
कैरेक्टर-पूल एन्ट्रॉपी यह मानती है कि हर अक्षर बेतरतीब है। पासवर्ड तोड़ने वाले टूल शब्दों, नामों, तारीखों और कीबोर्ड पैटर्न को पहले आज़माते हैं, इसलिए चेकर इन्हें अनुमान लगाना कहीं आसान मानता है। “पैटर्न के बाद का अनुमान” वाला आँकड़ा इसी बात को दर्शाता है।
क्या इससे पता चलता है कि मेरा पासवर्ड लीक हुआ है या नहीं?
नहीं। यह केवल 1,000 बेहद आम पासवर्ड की अंतर्निर्मित सूची से तुलना करता है और अनुमान लगाता है कि पासवर्ड का अंदाज़ा लगाना कितना आसान है। डेटा उल्लंघन की जाँच के लिए अलग सेवा चाहिए; अगर ऐसी सेवा इस्तेमाल करें, तो ऐसी सेवा चुनें जिसे पासवर्ड के हैश का केवल एक हिस्सा मिलता हो।
अच्छा लक्ष्य क्या होना चाहिए?
ज़्यादातर खातों के लिए “मज़बूत” (पैटर्न के बाद 60 बिट या अधिक) का लक्ष्य रखें। पासवर्ड मैनेजर के मुख्य पासवर्ड या ईमेल खाते के लिए “बहुत मज़बूत” (80 बिट या अधिक) का लक्ष्य रखें; उदाहरण के लिए, छह बेतरतीब शब्दों वाला पासफ़्रेज़।
अलग-अलग मज़बूती मीटर अलग नतीजे क्यों देते हैं?
हर मीटर अपनी शब्द-सूचियों, पैटर्न नियमों और हमलावर की गति से जुड़ी मान्यताओं का इस्तेमाल करता है। साधारण मीटर केवल कैरेक्टर के प्रकार गिनते हैं, जिससे “Password1!” जैसे पासवर्ड ज़रूरत से ज़्यादा मज़बूत आँके जाते हैं। किसी भी अनुमान को सटीक माप के बजाय मार्गदर्शन मानें।
गोपनीयता
पासवर्ड का विश्लेषण केवल आपके ब्राउज़र में होता है। इसे अपलोड, सहेजा या लॉग नहीं किया जाता और न ही एनालिटिक्स में भेजा जाता है; केवल यह रिकॉर्ड होता है कि टूल का इस्तेमाल किया गया—इसकी कोई पहचान दर्ज नहीं होती। आम पासवर्ड और शब्दों की सूचियाँ पेज में ही शामिल हैं, इसलिए नेटवर्क पर कोई खोज नहीं की जाती।