एंट्रॉपी के आँकड़े को कैसे पढ़ें
नीचे दी गई श्रेणियाँ बिट-संख्या को दिखाने के लिए किया गया समूहन हैं, जो इस तरह चुना गया है कि ऑफ़लाइन हमले में गिर जाने वाले पासवर्ड उनसे अलग हो जाएँ जो नहीं गिरते. साथ दिखाए गए परिणाम एंट्रॉपी से निकाले गए हैं, तय किए हुए नहीं.
| एंट्रॉपी | श्रेणी | व्यवहार में इसका क्या अर्थ है |
|---|---|---|
| 40 बिट से कम | कमज़ोर | ऑफ़लाइन हमले से लगभग तुरंत खँगाला जा सकता है |
| 40 – 59 बिट | ठीक-ठाक | सामान्य हमले से बचता है; ठाने हुए ऑफ़लाइन हमले में गिर जाता है |
| 60 – 79 बिट | मज़बूत | अच्छे चुने हुए हैश पर सामान्य ऑफ़लाइन हमले की पहुँच से बाहर |
| 80 बिट और अधिक | बहुत मज़बूत | कमज़ोर कड़ी पूरा खँगालना नहीं, बल्कि दोबारा इस्तेमाल और फ़िशिंग है |
- पासवर्ड आपके ब्राउज़र में प्लेटफ़ॉर्म के क्रिप्टोग्राफ़िक रूप से सुरक्षित यादृच्छिक स्रोत से बनता है, और इस साइट की हर विश्लेषण तथा AI सुविधा से जानबूझकर बाहर रखा गया है. उसे कभी भेजा नहीं जाता.
- NIST SP 800-63B सत्यापनकर्ताओं को सलाह देता है कि वे संकेतलिपि-प्रकारों का मिश्रण अनिवार्य न करें और समय-समय पर पासवर्ड बदलवाने को बाध्य न करें, पर सेंध के प्रमाण मिलने पर बदलाव अनिवार्य करें.
पासवर्ड एंट्रॉपी क्या मापती है
एंट्रॉपी यह मापती है कि जनरेटर कितने समान रूप से संभावित पासवर्ड बना सकता था, और इसे बिट्स में बताया जाता है. जो जनरेटर N संकेतलिपियों के समूह से हर संकेतलिपि स्वतंत्र रूप से चुनकर L लंबाई बनाता है, उसकी एंट्रॉपी L x log2(N) बिट होती है, और हर अतिरिक्त बिट हमलावर को आज़माने वाले उम्मीदवारों की संख्या दोगुनी कर देता है.
एंट्रॉपी जनरेटर का गुण है, उसकी बनाई गई पंक्ति का नहीं. किसी एक पासवर्ड की अपनी कोई एंट्रॉपी नहीं होती — सवाल केवल यह है कि जिस विस्तार से उसे निकाला गया वह कितना बड़ा था. इसीलिए आपके खुद सोचे हुए पासवर्ड को ईमानदारी से कोई बिट-संख्या नहीं दी जा सकती, और बनाए गए पासवर्ड को दी जा सकती है.
इसी कारण लंबाई जटिलता से बेहतर है. 76 संकेतलिपियों के समूह से बने 20 संकेतलिपि वाले पासवर्ड में एक संकेतलिपि और जोड़ने से लगभग 6.2 बिट बढ़ते हैं; किसी छोटे पासवर्ड में पूरा एक नया संकेतलिपि-वर्ग जोड़ने से इससे कहीं कम. NIST का मार्गदर्शन यही दर्शाता है: SP 800-63B सत्यापनकर्ताओं से कहता है कि वे संकेतलिपि-प्रकारों के मिश्रण की माँग करने वाले संरचना-नियम न थोपें और कम से कम 64 संकेतलिपि तक के पासवर्ड की अनुमति दें.
पासवर्ड जनरेटर का उपयोग कैसे करें
- लंबाई चुनें. इसे बढ़ाना अकेला सबसे असरदार बदलाव है जो आप कर सकते हैं.
- चुनें कि कौन-कौन से संकेतलिपि-वर्ग शामिल करने हैं. हर वर्ग समूह को बड़ा करता है और इस तरह प्रति संकेतलिपि एंट्रॉपी बढ़ाता है.
- अगर पासवर्ड बोलकर पढ़ा या हाथ से उतारा जाएगा तो मिलती-जुलती दिखने वाली संकेतलिपियाँ हटा दें — इससे थोड़ी एंट्रॉपी के बदले उतारने की गलतियाँ कम होती हैं.
- एंट्रॉपी का आँकड़ा पढ़ें. मज़बूती का ईमानदार माप यही है; खँगालने में लगने वाले वर्ष उसी संख्या को अवधि के रूप में बताते हैं.
- पासवर्ड को दोबारा इस्तेमाल करने के बजाय पासवर्ड मैनेजर में रखें. दोबारा इस्तेमाल किसी भी मात्रा की एंट्रॉपी को बेकार कर देता है.
एंट्रॉपी के आँकड़े के पीछे का सूत्र
हर संकेतलिपि समूह से स्वतंत्र और समान रूप से चुनी जाती है, इसलिए संभव पासवर्डों की संख्या समूह के आकार की लंबाई-घात होती है. एंट्रॉपी उसी संख्या का आधार-2 लघुगणक है.
समय का आँकड़ा यह मानकर चलता है कि किसी तेज़, कमज़ोर तरीके से सुरक्षित हैश पर प्रति सेकंड एक ट्रिलियन अनुमानों की गति से ऑफ़लाइन हमला हो रहा है, और आधे विस्तार को खोजने का अपेक्षित समय बताता है. यह पैमाने का उदाहरण है, भविष्यवाणी नहीं: ठीक से खींचा गया पासवर्ड हैश कई गुना धीमे हमले झेलता है, और सादे रूप में लीक हुआ पासवर्ड कोई समय ही नहीं लेता.
आम गलतियाँ
- लंबाई के बजाय एक और संकेतलिपि-वर्ग जोड़ना. लंबाई एंट्रॉपी को कहीं तेज़ी से बढ़ाती है.
- एक ही मज़बूत पासवर्ड कई साइटों पर दोहराना. तब एक सेवा में सेंध सबको खोल देती है, एंट्रॉपी चाहे जितनी हो.
- किसी जाने-पहचाने शब्द में संकेतलिपियाँ बदल देना — 'password' की जगह 'P@ssw0rd' लिखना. तोड़ने वाले औज़ार ठीक यही बदलाव आज़माते हैं.
- अपने सोचे हुए पासवर्ड पर किसी मज़बूती-मापक के फ़ैसले को एंट्रॉपी का माप समझना. एंट्रॉपी जनरेटर का वर्णन करती है, किसी पंक्ति का नहीं.
- बस नियम के लिए तय समय पर पासवर्ड बदलते रहना, जिसके विरुद्ध NIST सलाह देता है; इसके बजाय सेंध के प्रमाण पर बदलें.
अक्सर पूछे जाने वाले सवाल
पासवर्ड कितना लंबा होना चाहिए?
NIST SP 800-63B उपयोगकर्ता के चुने पासवर्ड के लिए 8 संकेतलिपियों की न्यूनतम सीमा रखता है और सत्यापनकर्ताओं से कम से कम 64 की अनुमति देने को कहता है. बनाए गए पासवर्ड के लिए सबसे बड़ा लीवर लंबाई है: 76 संकेतलिपियों के समूह पर हर अतिरिक्त संकेतलिपि लगभग 6.2 बिट एंट्रॉपी जोड़ती है, यानी खोज-विस्तार लगभग हर संकेतलिपि पर दोगुना हो जाता है.
बिट्स में पासवर्ड एंट्रॉपी क्या है?
यह उन पासवर्डों की संख्या का आधार-2 लघुगणक है जो जनरेटर बना सकता था: लंबाई x log2(समूह का आकार). 76 संकेतलिपियों के समूह से बना 20 संकेतलिपि वाला पासवर्ड 20 x log2(76) = 125 बिट रखता है. हर अतिरिक्त बिट हमलावर को जाँचने वाले उम्मीदवारों की संख्या दोगुनी कर देता है.
क्या संकेतलिपि-प्रकार मिलाने से पासवर्ड मज़बूत होता है?
इससे समूह बड़ा होता है, इसलिए प्रति संकेतलिपि एंट्रॉपी बढ़ती है — पर लंबाई से कहीं कम, और NIST SP 800-63B साफ़ तौर पर सत्यापनकर्ताओं को ऐसे मिश्रण की माँग करने वाले संरचना-नियम न थोपने की सलाह देता है. एक ही वर्ग से बना लंबा पासफ़्रेज़ चार वर्गों वाले छोटे पासवर्ड से बेहतर है.
क्या पासवर्ड कहीं भेजा जाता है?
नहीं. वह आपके ब्राउज़र में ऑपरेटिंग सिस्टम के क्रिप्टोग्राफ़िक रूप से सुरक्षित यादृच्छिक स्रोत से बनता है, और यह कैलकुलेटर साइट की बाकी सुविधाओं को चलाने वाले नतीजा-प्रकाशन से विशेष रूप से बाहर रखा गया है, इसलिए उसे कभी भेजा या दर्ज नहीं किया जाता.
क्या मुझे नियमित रूप से पासवर्ड बदलते रहना चाहिए?
NIST SP 800-63B मनमाने ढंग से समय-समय पर बदलने के विरुद्ध सलाह देता है, इस आधार पर कि इससे लोग पूर्वानुमेय बदलावों की ओर बढ़ते हैं. सेंध का प्रमाण मिलने पर बदलना ज़रूरी है. हर साइट के लिए अलग पासवर्ड, जो पासवर्ड मैनेजर में रखे हों, किसी बदलाव-कार्यक्रम से ज़्यादा भला करते हैं.
संदर्भ
- Grassi PA, Garcia ME, Fenton JL. NIST Special Publication 800-63B: Digital Identity Guidelines — Authentication and Lifecycle Management. National Institute of Standards and Technology, 2017 (with subsequent errata). Section 5.1.1 on memorized secrets.
- Shannon CE. A Mathematical Theory of Communication. Bell System Technical Journal 1948; 27(3): 379-423 — entropy as a measure of uncertainty.
- World Wide Web Consortium. Web Cryptography API — Crypto.getRandomValues(), the cryptographically strong random source used here. w3.org.
- National Cyber Security Centre (UK). Password policy: updating your approach. ncsc.gov.uk.