पासवर्ड लीक जाँच

ईमानदार सीमाएँ

यह केवल Pwned Passwords लीक संग्रह की जाँच करता है — सैकड़ों ज्ञात डेटा लीक से जुटाए गए पासवर्ड। “नहीं मिला” का अर्थ है “ज्ञात लीक में नहीं देखा गया”, न कि “सुरक्षित”।

यहाँ कोई ईमेल-लीक खोज नहीं दी जाती: Have I Been Pwned की ईमेल लीक API एक सशुल्क सदस्यता सेवा है, इसलिए यह पृष्ठ उसे मुफ़्त देने का वादा नहीं करता।

लीक डेटा: Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords)।

लीक संग्रह क्या है — और संख्या का क्या मतलब है

लीक संग्रह असली डेटा लीक से जुटाए गए पासवर्डों का संग्रह है: जब कोई सेवा भंग होती है और उसका पासवर्ड डेटाबेस लीक हो जाता है, तो उसमें मौजूद पासवर्ड — आमतौर पर हैश के रूप में सहेजे गए — जुटाए जाते हैं, दोहराव हटाए जाते हैं और अनुक्रमित किए जाते हैं ताकि कोई भी पूछ सके कि कोई दिया गया पासवर्ड उनमें है या नहीं। Have I Been Pwned का Pwned Passwords संग्रह सैकड़ों लीक से आए एक अरब से अधिक ऐसे पासवर्ड रखता है, और नए लीक सामने आते ही बढ़ता रहता है। यही पैमाना जाँच का पूरा मतलब है: पाँच सेकंड में सोचा गया आपका पासवर्ड, बहुत संभव है कि हज़ारों और लोगों ने ठीक उसी रूप में पहले ही सोच लिया हो — और अगर वह कभी किसी लीक हुए डेटाबेस में था, तो हमलावरों के पास वह पहले से सूची में है, हर उस लॉगिन पृष्ठ पर आज़माने को तैयार जिस तक वे पहुँच सकते हैं।

यह जाँच पासवर्ड को कभी उजागर किए बिना काम करती है, k-गुमनामी (k-anonymity) नाम की एक तरकीब की बदौलत। आपका पासवर्ड ब्राउज़र में SHA-1 से हैश किया जाता है, जिससे 40 अक्षरों का फ़िंगरप्रिंट बनता है; उस फ़िंगरप्रिंट के केवल पहले 5 अक्षर सेवा को भेजे जाते हैं। सेवा उन 5 अक्षरों को साझा करने वाले सभी फ़िंगरप्रिंट प्रत्यय लौटाती है — आमतौर पर लगभग आठ सौ — और आपका ब्राउज़र उस सूची में अपना प्रत्यय स्थानीय रूप से खोजता है। पाँच अक्षर सैकड़ों मिलते-जुलते पासवर्डों के बीच एक पासवर्ड छिपाने के लिए पर्याप्त हैं, और इतने छोटे हैं कि सेवा कभी नहीं जान पाती कि आपने किस पासवर्ड के बारे में पूछा। पासवर्ड खुद कभी नेटवर्क पार नहीं करता, कभी सर्वर लॉग को नहीं छूता, और कभी URL में नहीं आता।

मिला, नहीं मिला — और आगे क्या करना है

शून्य से बड़ी गिनती का अर्थ है कि पासवर्ड लीक में उतनी बार देखा गया है। लाखों में गिनती — “password” पाँच करोड़ से अधिक बार देखा गया है — का अर्थ है कि यह हर क्रेडेंशियल स्टफ़िंग हमले में सबसे पहले आज़माए जाने वाले अनुमानों में से एक है, और इसे हर जगह बदल देना चाहिए जहाँ इसका उपयोग होता है, ईमेल और बैंकिंग से शुरू करके। छोटी गिनती भी पास नहीं है: एक बार दिखना भी मतलब है कि पासवर्ड हमलावर की शब्द-सूची में है, और शायद यह भी संकेत है कि पासवर्ड किसी अनुमान लगाने योग्य पैटर्न का पालन करता है — नाम और साल, कीबोर्ड पर चलना, एक अंक बदला हुआ आम वाक्यांश। दोनों ही मामलों में उपाय एक ही है: इसे ऐसे अनोखे पासवर्ड से बदलें जिसे आपने कहीं और कभी इस्तेमाल नहीं किया हो, पासवर्ड जनरेटर से बनाएँ और अपने दिमाग या नोट्स फ़ाइल में नहीं, पासवर्ड मैनेजर में रखें।

शून्य की गिनती अच्छी खबर है, पर सख्त सीमा के साथ: इसका मतलब केवल इतना है कि पासवर्ड इस संग्रह को ज्ञात लीक में नहीं देखा गया है। यह कुछ नहीं कहता कि पासवर्ड मज़बूत है, अनुमान लगाने योग्य है, या पहले से किसी ऐसे लीक में बैठा है जो अभी सामने नहीं आया है। छोटा, परिचित पासवर्ड संग्रह में न होकर भी कुछ ही मिनटों में अनुमान के हमले से हार सकता है, और दस साइटों पर दोहराया गया पासवर्ड एक लीक से सभी दस को खो देता है। “नहीं मिला” को पासवर्ड रखने की अनुमति तभी मानें जब वह लंबा भी हो, यादृच्छिक भी हो और ठीक एक जगह इस्तेमाल होता हो। अगर वह इन तीनों परीक्षणों में से किसी में भी विफल रहता है, तो फिर भी बदल दें — यह जाँच आपको जोखिम के बारे में बताती है, मज़बूती के बारे में नहीं।

पासवर्ड सुरक्षित है या नहीं, यह पूछने के लिए कभी भी पासवर्ड को चैटबॉट या AI सहायक में पेस्ट न करें। चैट एक प्रतिलेख रखता है: आपका पासवर्ड किसी और के सर्वर पर सहेजा जाएगा, मॉडल को प्रशिक्षित या बेहतर बनाने में इस्तेमाल होगा, और संभवतः बाद के उत्तर में वापस उद्धृत किया जाएगा — यह लीक जाँच के उद्देश्य के ठीक विपरीत है। यही नियम हर उस वेबसाइट पर लागू होता है जो आपसे अपने फ़ॉर्म में पासवर्ड टाइप करने को कहती है और उसे जाँचने का वादा करती है: जब तक पृष्ठ स्थानीय रूप से हैश न करे और तंत्र न दिखाए, जैसा यह करता है, मान लें कि पासवर्ड भेजा और सहेजा जा रहा है। लीक जाँच करने लायक इसलिए है क्योंकि इसे बिना किसी को रहस्य सौंपे किया जा सकता है, और यह गुण तब भी बचाने लायक है जब सवाल छोटा लगे।

सरल शब्दों में जाँच

अक्सर पूछे जाने वाले प्रश्न