چقدر طول می‌کشد یک گذرواژه شکسته شود؟ (تولیدکننده رایگان)

مدت زمانی که برای شکستن یک گذرواژه لازم است به سه چیز بستگی دارد: تعداد گذرواژه‌های ممکن (طول و نوع نویسه‌ها)، سرعتی که مهاجم می‌تواند حدس‌ها را آزمایش کند، و اینکه آیا گذرواژه اصلاً تصادفی است یا نه. یک گذرواژه تصادفی ۸ نویسه‌ای با حروف کوچک که با یک هش کند ذخیره شده باشد، ممکن است در چند هفته با کارت‌های گرافیکی اجاره‌ای شکسته شود؛ اما یک گذرواژه تصادفی ۱۶ نویسه‌ای با ترکیبی از انواع نویسه‌ها، بیشتر از عمر جهان طول می‌کشد. تولیدکننده رایگان گذرواژه گذرواژه‌های بلند و تصادفی را روی دستگاه شما می‌سازد.

جدول‌های رنگی معروفی که آنلاین به اشتراک گذاشته می‌شوند مفیدند، اما بر پایه فرض‌هایی ساخته شده‌اند. دانستن این فرض‌ها به شما نشان می‌دهد که واقعاً چه چیزی یک حساب کاربری را امن نگه می‌دارد.

منظور از «شکستن» چیست؟

وقتی جایی ثبت‌نام می‌کنید، یک سایت خوب گذرواژه شما را ذخیره نمی‌کند. بلکه یک هش ذخیره می‌کند: نوعی اثرانگشت درهم‌ریخته از آن. وقتی وارد می‌شوید، سایت آنچه را تایپ می‌کنید هش می‌کند و اثرانگشت‌ها را با هم مقایسه می‌کند. تولیدکننده رایگان هش این ایده را نشان می‌دهد: گذرواژه password123 را تایپ کنید، هش MD5 آن 482c811da5d5b4bc6d497ffa98491e38 است، هر بار و روی هر کامپیوتری.

اگر پایگاه داده یک سایت دزدیده شود، مهاجمان هش‌ها را به دست می‌آورند، نه گذرواژه‌ها. شکستن یعنی حدس زدن گذرواژه‌ها، هش کردن هر حدس، و بررسی تطابق، به‌صورت آفلاین و با سریع‌ترین سرعتی که سخت‌افزارشان اجازه می‌دهد. هیچ قفل‌شدن وب‌سایتی آنها را کند نمی‌کند.

به همین دلیل دو چیز زمان را تعیین می‌کند:

1. تعداد احتمالاتی که مهاجم ممکن است لازم باشد امتحان کند.
2. سرعت حدس زدن، که به‌شدت به روش هشی بستگی دارد که سایت استفاده کرده است.

ریاضی حمله بروت‌فورس

تعداد گذرواژه‌های ممکن برابر است با اندازه مجموعه نویسه‌ها به توان طول آن.

مجموعه نویسه‌ها	تعداد نویسه‌ها
فقط رقم‌ها	10
حروف کوچک	26
حروف کوچک + بزرگ + رقم	62
هر چهار نوع در تولیدکننده ما	85

یک گذرواژه ۸ نویسه‌ای با حروف کوچک، یعنی 26^8، حدود 209 میلیارد احتمال دارد. با همه ۸۵ نویسه، ۸ نویسه حدود 2.7 × 10^15 می‌دهد. هر نویسه اضافه، جمع کل را در اندازه مجموعه ضرب می‌کند و به همین دلیل طول از هر چیز دیگری مهم‌تر است.

جدیدترین جدول چه می‌گوید

طبق جدول گذرواژه ۲۰۲۶ شرکت Hive Systems، یک ناوگان ۱۶ کارت گرافیکی RTX 5090 که به گذرواژه‌های ذخیره‌شده با bcrypt (هشی عمداً کند با ضریب کار 10) حمله می‌کرد، حدود 138,675 حدس در ثانیه انجام داد. با این سرعت، آنها تخمین می‌زنند که شکستن یک گذرواژه ۸ نویسه‌ای با حروف کوچک حدود دو هفته، و یک گذرواژه ۸ نویسه‌ای با همه انواع نویسه حدود 132 سال طول بکشد. زمان‌های آنها بدترین حالت‌اند، یعنی وقتی گذرواژه درست آخرین حدس باشد.

با همان سرعت حدس زدن و مجموعه ۸۵ نویسه‌ای تولیدکننده، این بدترین زمان را برای گذرواژه‌های تصادفی محاسبه کرده‌ایم:

طول	فقط حروف کوچک (26)	هر چهار نوع (85)
6	حدود 37 دقیقه	حدود 32 روز
8	حدود 17 روز	حدود 620 سال
10	حدود 32 سال	حدود 4.5 میلیون سال
12	حدود 22,000 سال	حدود 32 میلیارد سال
16	حدود 10 میلیارد سال	حدود 1.7 × 10^18 سال

عدد ما برای ۸ نویسه با عدد جدول Hive فرق دارد، چون جدول‌ها در اندازه مجموعه نویسه‌ها، تنظیمات هش و نحوه شمارش حدس‌ها تفاوت دارند؛ اما نکته یکی است. به‌طور میانگین، حدس درست تقریباً در نیمه راه پیدا می‌شود، پس برای یک حالت معمولی این اعداد را نصف کنید.

چرا جدول می‌تواند خیلی خوش‌بینانه باشد

جدول به دو شکل بهترین حالت را برای شما فرض می‌کند.

ممکن است سایت از یک هش سریع استفاده کند. bcrypt برای کند بودن ساخته شده است. سیستم‌های قدیمی یا بی‌دقت از هش‌های سریعی مثل MD5 یا SHA-1 ساده استفاده می‌کنند که یک کارت گرافیکی می‌تواند میلیاردها بار در ثانیه آزمایشش کند. در برابر آنها، زمان‌های بالا یک میلیون بار یا بیشتر کوتاه می‌شوند. شما نمی‌توانید بفهمید سایت گذرواژه شما را چگونه ذخیره می‌کند، پس بدترین حالت را فرض کنید. راهنمای MD5 در برابر SHA-256 تفاوت آنها را توضیح می‌دهد.

گذرواژه شما ممکن است تصادفی نباشد. حمله بروت‌فورس کندترین حمله است. شکستن واقعی از فهرست گذرواژه‌های لو رفته، واژه‌های فرهنگ لغت، نام‌ها، تاریخ‌ها و الگوهای رایجی مانند Password123! شروع می‌شود (حرف اول بزرگ، و عدد و نماد در انتها). گذرواژه‌ای که به این شکل ساخته شده باشد، هر تعداد نوع نویسه‌ای که داشته باشد، در چند ثانیه پیدا می‌شود، چون مهاجمان این الگوها را اول امتحان می‌کنند.

ممکن است از قبل لو رفته باشد. اگر گذرواژه‌ای را دوباره استفاده می‌کنید و هر سایتی که با آن ثبت‌نام کرده‌اید نفوذ شود، مهاجمان لازم نیست چیزی را بشکنند. آنها فقط همان ایمیل و گذرواژه را در سایت‌های دیگر امتحان می‌کنند.

چه چیزی واقعاً شما را امن نگه می‌دارد

• طول و تصادفی بودن. یک گذرواژه تصادفی ۱۶ نویسه یا بیشتر، برای هر مهاجم واقع‌بینانه‌ای فراتر از حمله بروت‌فورس است. طبق SP 800-63B از NIST (نسخه ۴، ۲۰۲۵)، سرویس‌هایی که فقط به گذرواژه تکیه می‌کنند باید حداقل ۱۵ نویسه بخواهند و نباید قواعد ترکیب سخت یا تغییر منظم را تحمیل کنند.
• یک گذرواژه منحصربه‌فرد برای هر سایت. این کار حملات استفاده مجدد را کاملاً خنثی می‌کند.
• یک مدیر گذرواژه. ده‌ها گذرواژه بلند و تصادفی را به خاطر می‌سپارد تا شما مجبور نباشید. آن‌وقت طول هزینه‌ای برای شما ندارد.
• احراز هویت دومرحله‌ای. حتی اگر گذرواژه شکسته شود، مهاجم هنوز به تلفن یا کلید امنیتی شما نیاز دارد. آن را اول برای ایمیل، بانک و حساب‌های شبکه‌های اجتماعی فعال کنید.

اگر به گذرواژه‌ای نیاز دارید که بتوانید آن را به خاطر بسپارید و تایپ کنید، مثل گذرواژه اصلی مدیر گذرواژه‌تان، یک عبارت عبور بلند از واژه‌های تصادفی مناسب است. ببینید عبارت عبور در برابر گذرواژه.

یکی بسازید که شکسته نشود

تولیدکننده رایگان گذرواژه را باز کنید، طول را روی 16 یا بیشتر بگذارید (از 20 شروع می‌شود)، حروف کوچک، حروف بزرگ، اعداد و نمادها را تیک‌دار نگه دارید، ایجاد کنید را بزنید و سپس کپی کنید را. گذرواژه روی دستگاه شما ساخته می‌شود و هرگز جای دیگری فرستاده نمی‌شود. برای اطلاعات بیشتر درباره تنظیمات، ببینید چگونه یک گذرواژه قوی بسازیم.