पासवर्ड जेनरेटर

किसी रैंडम पासवर्ड की मज़बूती इस बात का फ़ंक्शन है कि उसकी लंबाई और कैरेक्टर सेट के हिसाब से कितने संभावित पासवर्ड मौजूद हैं, और वह संख्या लंबाई के साथ एक्सपोनेंशियल रूप से बढ़ती है लेकिन कैरेक्टर सेट के साइज़ के साथ सिर्फ़ रैखिक रूप से — एक और कैरेक्टर पोज़िशन जोड़ना कुल संभावनाओं की जगह को गुणा कर देता है, जबकि एक और तरह का इजाज़त वाला सिंबल जोड़ने से यह मुश्किल से हिलती है। सिर्फ़ lowercase अक्षर इस्तेमाल करने वाला 20-कैरेक्टर का पासवर्ड 20 पोज़िशन में हर पोज़िशन के लिए 26 संभावनाओं से निकलता है, जिसका नतीजा 94 संभावित कैरेक्टर (uppercase, lowercase, अंक और सिंबल मिलाकर) के कहीं ज़्यादा समृद्ध सेट से निकाले गए लेकिन सिर्फ़ 8 पोज़िशन वाले 8-कैरेक्टर के पासवर्ड से कहीं ज़्यादा कुल कॉम्बिनेशन में निकलता है। यही वह गणितीय वजह है कि लंबाई किसी पासवर्ड की मज़बूती में सबसे हावी कारक है, और क्यों सिंबल और मिश्रित uppercase जोड़ने की पुरानी सलाह पासवर्ड को बस लंबा बनाने से कहीं कम मायने रखती है।

सभी रैंडम नंबर जेनरेटर एक जैसे अप्रत्याशित नहीं होते। `Math.random()`, JavaScript में बिल्ट-इन सामान्य-मक़सद रैंडम फ़ंक्शन, स्पीड और स्टैटिस्टिकल डिस्ट्रिब्यूशन के लिए बना है जैसे एनिमेशन या किसी गेम बोर्ड को फेंटने के लिए — यह किसी हमलावर के ख़िलाफ़ रोकने के लिए नहीं बनाया गया जो ख़ास तौर पर इसके आउटपुट का अनुमान लगाने की कोशिश करता है, और कुछ इम्प्लीमेंटेशन में इसकी आंतरिक स्थिति मुट्ठी भर देखे गए आउटपुट से आंशिक रूप से दोबारा बनाई जा सकती है। `crypto.getRandomValues()`, वह API जो यह टूल इसकी बजाय इस्तेमाल करता है, ऑपरेटिंग सिस्टम के क्रिप्टोग्राफ़िक रैंडम नंबर स्रोत से निकलता है — वही अंतर्निहित स्रोत जो एन्क्रिप्शन कुंजियाँ जेनरेट करने के लिए इस्तेमाल होता है — जो ख़ास तौर पर ठीक उसी तरह के प्रेडिक्शन हमले का विरोध करने के लिए बनाया और ऑडिट किया गया है। पासवर्ड जेनरेट करने के लिए CSPRNG (क्रिप्टोग्राफ़िक रूप से सुरक्षित स्यूडोरैंडम नंबर जेनरेटर) से अलग किसी भी चीज़ का इस्तेमाल एक असली और फ़ायदा उठाने लायक़ कमज़ोरी है, सैद्धांतिक नहीं — पासवर्ड जेनरेटर की कई पब्लिश हुई ग़लतियाँ ठीक इसी बदलाव से आई हैं।

एन्ट्रॉपी, बिट में मापी गई, बताती है कि सही पासवर्ड मिलने से पहले किसी हमलावर को हर संभावना पूरी तरह टेस्ट करने के लिए कितनी कोशिशें चाहिए होंगी — हर अतिरिक्त बिट उस संख्या को दोगुना कर देता है, तो यह रिश्ता रैखिक की बजाय एक्सपोनेंशियल है, और 60 से 70 बिट की छलांग हमलावर के काम को हज़ार गुना बढ़ा देती है, दस यूनिट का मामूली सुधार नहीं। लगभग 50 बिट से नीचे, आधुनिक हार्डवेयर इस्तेमाल करते हुए लगातार फ़ोर्स-ब्रूट हमले किसी व्यावहारिक समय सीमा में वाक़ई संभव हो जाते हैं। 70–80 बिट की रेंज किसी सामान्य ऑनलाइन अकाउंट की रक्षा करने वाले साधारण पासवर्ड के लिए आरामदायक मानी जाती है। 100 बिट से ऊपर आराम से उससे परे है जो कोई भी मौजूदा कल्पना योग्य कंप्यूट प्रयास ख़त्म कर सके, यही वजह है कि इस टूल का मार्गदर्शन और इसका स्ट्रेंथ मीटर दोनों "इसे ज़्यादा मज़बूत बनाओ" की किसी अस्पष्ट सिफ़ारिश की बजाय इन ख़ास सीमाओं के इर्द-गिर्द लंगर डालते हैं।