पासवर्ड क्रैक करने में कितना समय लगता है? (निःशुल्क जेनरेटर)

किसी पासवर्ड को क्रैक करने में कितना समय लगता है यह तीन चीजों पर निर्भर करता है: कितने संभावित पासवर्ड हैं (लंबाई और चरित्र प्रकार), एक हमलावर कितनी तेजी से अनुमानों का परीक्षण कर सकता है, और क्या पासवर्ड बिल्कुल यादृच्छिक है। धीमे हैश के साथ संग्रहीत एक यादृच्छिक 8-अक्षर का लोअरकेस पासवर्ड कुछ हफ़्ते में किराए के ग्राफ़िक्स कार्ड पर गिर सकता है; मिश्रित वर्णों वाला एक यादृच्छिक 16-अक्षर वाला पासवर्ड ब्रह्मांड की आयु से अधिक समय लेगा। मुफ़्त पासवर्ड जनरेटरआपके डिवाइस पर यादृच्छिक, लंबा प्रकार बनाता है।

प्रसिद्ध रंग-कोडित तालिकाएँ जिन्हें आप ऑनलाइन साझा करते हुए देखते हैं, उपयोगी हैं, लेकिन वे मान्यताओं पर आधारित हैं। उन धारणाओं को जानने से आपको पता चलता है कि वास्तव में क्या चीज़ किसी खाते को सुरक्षित रखती है।

वास्तव में "क्रैकिंग" का क्या मतलब है

जब आप कहीं साइन अप करते हैं, तो एक अच्छी तरह से चलने वाली साइट आपका पासवर्ड संग्रहीत नहीं करती है। यह एक हैश संग्रहीत करता है: इसका एक उकेरा हुआ फिंगरप्रिंट। जब आप लॉग इन करते हैं, तो साइट आपके द्वारा टाइप की गई चीज़ों को हैश करती है और फ़िंगरप्रिंट की तुलना करती है। मुफ़्त हैश जनरेटरविचार दिखाता है:password123टाइप करें और इसका MD5 हैश482c811da5d5b4bc6d497ffa98491e38है, हर समय, हर कंप्यूटर पर।

यदि किसी साइट का डेटाबेस चोरी हो जाता है, तो हमलावरों को हैश मिलते हैं, पासवर्ड नहीं। क्रैकिंग का अर्थ है पासवर्ड का अनुमान लगाना, प्रत्येक अनुमान को हैश करना और मिलान की जांच करना, ऑफ़लाइन, जितनी तेजी से उनका हार्डवेयर अनुमति देता है। कोई भी वेबसाइट लॉकआउट उन्हें धीमा नहीं करता।

इसलिए समय दो बातें तय करती हैं:

1. संभावनाओं की संख्या हमलावर को प्रयास करना पड़ सकता है।
2. अनुमान लगाने की गति, जो साइट द्वारा उपयोग की गई हैश विधि पर काफी हद तक निर्भर करती है।

पाशविक बल गणित

संभावित पासवर्ड की संख्या लंबाई की शक्ति तक बढ़ाए गए वर्ण सेट का आकार है।

चरित्र सेट	अक्षर
केवल अंक	10
छोटे अक्षर	26
लोअरकेस + अपरकेस + अंक	62
हमारे जनरेटर में सभी चार प्रकार	85

8-अक्षर वाले लोअरकेस पासवर्ड में 26^8, लगभग 209 बिलियन, संभावनाएं होती हैं। सभी 85 वर्णों के साथ, 8 वर्ण लगभग 2.7 × 10^15 देते हैं। प्रत्येक अतिरिक्त वर्ण सेट के आकार से कुल को गुणा करता है, यही कारण है कि लंबाई बाकी सभी चीज़ों को मात देती है।

नवीनतम तालिका क्या कहती है

हाइव सिस्टम्स की 2026 पासवर्ड तालिका के अनुसार, 16 आरटीएक्स 5090 ग्राफिक्स कार्ड का एक बेड़ा बीक्रिप्ट (एक जानबूझकर धीमा हैश, कार्य कारक 10 पर) के साथ संग्रहीत पासवर्ड पर हमला करके एक सेकंड में लगभग 138,675 अनुमान लगाने में कामयाब रहा। उस दर पर, उनका अनुमान है कि 8-अक्षर वाले लोअरकेस पासवर्ड को क्रैक करने में लगभग दो सप्ताह लगते हैं, और सभी अक्षर प्रकारों का उपयोग करने वाले 8-अक्षर वाले पासवर्ड को लगभग 132 साल लगते हैं। उनका समय सबसे खराब स्थिति वाला है, जहां सही पासवर्ड ही अंतिम अनुमान होता है।उसी अनुमान लगाने की गति और जेनरेटर के 85-वर्ण सेट का उपयोग करते हुए, यहां हम यादृच्छिक पासवर्ड के लिए सबसे खराब स्थिति की गणना करते हैं:

लंबाई	केवल लोअरकेस (26)	चारों प्रकार (85)
6	लगभग 37 मिनट	लगभग 32 दिन
8	लगभग 17 दिन	लगभग 620 वर्ष
10	लगभग 32 वर्ष	लगभग 4.5 मिलियन वर्ष
12	लगभग 22,000 वर्ष	लगभग 32 अरब वर्ष
16	लगभग 10 अरब वर्ष	लगभग 1.7 × 10^18 वर्ष

हमारा 8-वर्ण का आंकड़ा हाइव से मेल नहीं खाता है क्योंकि तालिकाएं वर्ण-सेट आकार, हैश सेटिंग्स और अनुमानों की गणना करने के तरीके में भिन्न होती हैं; बात वही है. औसतन, सही अनुमान आधे रास्ते में ही आ जाता है, इसलिए सामान्य मामले के लिए इन संख्याओं को आधा कर दें।

टेबल बहुत अधिक दयालु क्यों हो सकती है

तालिका दो तरह से आपके लिए सर्वोत्तम स्थिति मानती है।

साइट तेज़ हैश का उपयोग कर सकती है। bcrypt धीमा होने के लिए बनाया गया है। पुराने या लापरवाह सिस्टम MD5 या सादे SHA-1 जैसे तेज़ हैश का उपयोग करते हैं, जिसे एक एकल ग्राफ़िक्स कार्ड एक सेकंड में अरबों बार परीक्षण कर सकता है। उनके मुकाबले, उपरोक्त समय एक मिलियन या उससे अधिक के कारक से कम हो जाता है। आप यह नहीं बता सकते कि कोई साइट आपका पासवर्ड कैसे संग्रहीत करती है, इसलिए बदतर स्थिति मान लें। MD5 बनाम SHA-256की मार्गदर्शिका अंतर बताती है।

आपका पासवर्ड यादृच्छिक नहीं हो सकता है। क्रूर बल सबसे धीमा हमला है। वास्तविक क्रैकिंग लीक हुए पासवर्ड, शब्दकोश शब्द, नाम, दिनांक और सामान्य पैटर्न जैसेPassword123!(पहले बड़े अक्षर, अंत में संख्या और प्रतीक) की सूची से शुरू होती है। इस तरह से बनाया गया पासवर्ड सेकंडों में मिल जाता है, चाहे उसमें कितने भी कैरेक्टर प्रकार हों, क्योंकि हमलावर पहले उन पैटर्न को आज़माते हैं।

यह पहले से ही लीक हो सकता है। यदि आप पासवर्ड का पुन: उपयोग करते हैं और जिस साइट पर आपने इसका उपयोग किया है, उसका उल्लंघन होता है, तो हमलावरों को कुछ भी क्रैक करने की आवश्यकता नहीं है। वे बस अन्य साइटों पर वही ईमेल और पासवर्ड आज़माते हैं।

वास्तव में आपको क्या सुरक्षित रखता है

• लंबाई और यादृच्छिकता। 16 अक्षरों या उससे अधिक का एक यादृच्छिक पासवर्ड किसी भी यथार्थवादी हमलावर के लिए क्रूर बल से परे है। एनआईएसटी के एसपी 800-63बी (संशोधन 4, 2025) के अनुसार, जो सेवाएं अकेले पासवर्ड पर निर्भर करती हैं, उन्हें कम से कम 15 अक्षरों की आवश्यकता होनी चाहिए, और संरचना नियमों या नियमित परिवर्तनों को मजबूर नहीं करना चाहिए।
• प्रत्येक साइट के लिए एक अद्वितीय पासवर्ड। यह पुन: उपयोग के हमलों को पूरी तरह से हरा देता है।
• एक पासवर्ड मैनेजर। यह दर्जनों लंबे यादृच्छिक पासवर्ड याद रखता है ताकि आपको ऐसा करने की आवश्यकता न पड़े। तब लंबाई की कोई कीमत नहीं होती।
• दो-कारक प्रमाणीकरण। यदि कोई पासवर्ड क्रैक हो गया है, तब भी हमलावर को आपके फ़ोन या सुरक्षा कुंजी की आवश्यकता होती है। इसे पहले ईमेल, बैंकिंग और सामाजिक खातों के लिए चालू करें।यदि आपको ऐसे पासवर्ड की आवश्यकता है जिसे आप याद रख सकें और टाइप कर सकें, जैसे कि आपके पासवर्ड मैनेजर का मास्टर पासवर्ड, यादृच्छिक शब्दों का एक लंबा पासफ़्रेज़ उपयुक्त है। पासफ़्रेज़ बनाम पासवर्डदेखें।

ऐसा बनाएं जो फटे नहीं

मुफ़्त पासवर्ड जेनरेटरखोलें, लंबाई को 16 या अधिक पर सेट करें (यह 20 से शुरू होता है), लोअरकेस, अपरकेस, नंबर और सिंबल को टिक करके रखें, जेनरेट दबाएँ और फिर कॉपी दबाएँ। पासवर्ड आपके डिवाइस पर बनाया जाता है और कभी भी कहीं नहीं भेजा जाता है। सेटिंग्स पर अधिक जानकारी के लिए, एक मजबूत पासवर्ड कैसे बनाएं] देखें।