PricingLoginStart free
Cryptology Academy · पाठ

पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है

रेनबो तालिकाओं, brute-force की गति और salt को समझें।

पाठ 1, कुल 4 में से13 चरण

पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है, CoddyKit पर Cryptology Academy का एक निःशुल्क पाठ है। यह 4 में से 1वाँ पाठ है। आप नीचे पूरा पाठ निःशुल्क पढ़ सकते हैं—फिर अंतर्निहित कोड संपादक और 24/7 एआई ट्यूटर के साथ ब्राउज़र में इसका व्यावहारिक अभ्यास कर सकते हैं। यह Cryptology Academy सीखने के मार्ग का हिस्सा है और आपकी प्रगति वेब तथा CoddyKit ऐप पर सिंक होती रहती है। Cryptology Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

स्वागत है

पासवर्ड को सुरक्षित रूप से संग्रहीत करना सुरक्षा के सबसे अधिक गलत समझे जाने वाले विषयों में से एक है। इस पाठ में हम समझेंगे कि SHA-256 जैसे तेज़ हैश पासवर्ड के लिए विनाशकारी रूप से गलत क्यों हैं।

डेटाबेस लीक होने पर क्या होता है

डेटाबेस का भंग होना लगातार होता रहता है। 2024 में RockYou2024 में 10 अरब पासवर्ड लीक हुए। यदि आपके उपयोगकर्ताओं के पासवर्ड इस तरह संग्रहीत हैं कि उन्हें वापस प्राप्त किया जा सके, तो हमलावर उन्हें प्राप्त कर लेंगे।

भोला SHA-256 भंडारण

खराब तरीका: hashed = sha256(password) store(username, hashed) समस्याएँ: (1) sha256 अत्यंत तेज़ है, (2) एक ही पासवर्ड → एक ही हैश (कोई सॉल्ट नहीं), (3) सामान्य पासवर्डों के लिए रेनबो टेबल उपलब्ध हैं।

रेनबो टेबल हमला

रेनबो टेबल, लाखों सामान्य पासवर्डों के लिए पहले से गणना किए गए hash→password मानचित्रण की तालिका होती है। SHA-256('password') का हैश हमेशा एक जैसा होता है। तालिका में खोज: अधिकांश पासवर्डों का तुरंत डिक्रिप्शन।

सॉल्ट की भूमिका

सॉल्ट = हैश बनाने से पहले पासवर्ड के आगे जोड़े गए यादृच्छिक बाइट। hash = sha256(salt + password) प्रत्येक उपयोगकर्ता को एक विशिष्ट सॉल्ट मिलता है। रेनबो टेबल बेकार हो जाती हैं — हमलावर को प्रत्येक उपयोगकर्ता के लिए अलग-अलग ब्रूट-फ़ोर्स करना पड़ता है।

लेकिन केवल सॉल्ट पर्याप्त नहीं है

एक आधुनिक GPU प्रति सेकंड 10 BILLION SHA-256 हैश की गणना करता है। विशिष्ट सॉल्ट के बावजूद, लीक हुए हैश वाला हमलावर 8-अक्षर वाले पासवर्डों को कुछ मिनटों में ब्रूट-फ़ोर्स कर सकता है।

गति की समस्या

SHA-256 को तेज़ होने के लिए बनाया गया था — फ़ाइल की अखंडता, TLS आदि के लिए। पासवर्ड हैश निर्माण में गति शत्रु है। हमें ऐसे जान-बूझकर धीमे एल्गोरिदम चाहिए जो ब्रूट-फ़ोर्स का सामना कर सकें।

कुंजी विस्तार

कुंजी विस्तार में हैश फ़ंक्शन को हज़ारों बार दोहराया जाता है: for i in range(100000): h = sha256(h). इससे हमलावर और रक्षक दोनों की प्रक्रिया धीमी होती है — लेकिन हार्डवेयर का लाभ अब भी हमलावर के पक्ष में रहता है।

मेमोरी-हार्ड फ़ंक्शन

आधुनिक पासवर्ड हैशर को केवल CPU चक्रों की नहीं, बल्कि बड़ी मात्रा में RAM की भी आवश्यकता होती है। CPU की तुलना में GPU में प्रत्येक कोर के लिए RAM सीमित होती है। Argon2 की मेमोरी-हार्ड प्रकृति GPU/ASIC के लाभ को निष्प्रभावी कर देती है।

सामान्य गलतियाँ

क्या न करें: - sha256(password) - sha256(salt + password) without iteration - md5(password) (or any MD5) - Encrypting passwords (can be decrypted) - sha256(sha256(password)) (still fast)

इसके बजाय क्या उपयोग करें

उपयोग करें: bcrypt (सबसे व्यापक रूप से प्रयुक्त), Argon2id (OWASP द्वारा अनुशंसित, मेमोरी-हार्ड), PBKDF2-SHA256 (FIPS-अनुरूप, स्वीकार्य)। ये तीनों जान-बूझकर धीमे हैं और डिज़ाइन के अनुसार इनमें सॉल्ट शामिल होता है।

त्वरित जाँच

सॉल्ट का उपयोग करने पर भी SHA-256 पासवर्ड हैश निर्माण के लिए अनुपयुक्त क्यों है?
इंटरैक्टिव पाठ में इसका उत्तर दें

पुनरावलोकन

SHA-256 पासवर्ड के लिए गलत है। आगे हम bcrypt का अध्ययन करेंगे — यह वह एल्गोरिदम है जो जान-बूझकर हैश निर्माण को धीमा और हार्डवेयर-प्रतिरोधी बनाता है।
शुरुआत निःशुल्क

एआई शिक्षक के साथ Cryptology Academy सीखें — निःशुल्क

अपने ब्राउज़र में वास्तविक कोड लिखें और चलाएँ, चौबीसों घंटे एआई शिक्षक से तुरंत सहायता पाएँ, और वेब या ऐप पर वहीं से शुरू करें जहाँ आपने छोड़ा था।

पाठ्यक्रम
67
पाठ
261
निःशुल्क सीखना शुरू करेंपूरा पाठ्यक्रम देखें

अक्सर पूछे जाने वाले प्रश्न

क्या “पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है” पाठ निःशुल्क है?

हाँ—“पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है” का पूरा पाठ यहाँ वेब पर निःशुल्क पढ़ा जा सकता है। इंटरैक्टिव अभ्यास (अंतर्निहित कोड संपादक और 24/7 एआई ट्यूटर) करने और Cryptology Academy पाठ्यक्रम का बाकी हिस्सा अनलॉक करने के लिए CoddyKit PRO लें। Cryptology Academy पाठ्यक्रम में कुल 4 पाठ शामिल हैं।

“पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है” में मैं क्या सीखूँगा?

रेनबो तालिकाओं, brute-force की गति और salt को समझें। आप ब्राउज़र में सीधे चलाए जाने वाले व्यावहारिक कोड के साथ Cryptology Academy का अभ्यास करते हैं, और पाठ पूरा करते समय 24/7 एआई ट्यूटर आपके प्रश्नों के उत्तर देता है।

क्या Cryptology Academy शुरू करने के लिए मुझे किसी अनुभव की आवश्यकता है?

पहले के अनुभव की आवश्यकता नहीं है। CoddyKit पर Cryptology Academy शुरुआती से लेकर उन्नत शिक्षार्थियों तक सभी के लिए व्यवस्थित किया गया है, इसलिए आप यहीं से या शुरुआत से सीखना शुरू कर सकते हैं और अपनी गति से आगे बढ़ सकते हैं। यह 4 में से 1वाँ पाठ है।

“पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है” पाठ पूरा करने में कितना समय लगता है?

CoddyKit का अधिकांश पाठ लगभग 5–10 मिनट में पूरा हो जाता है। हर पाठ छोटा और संवादात्मक है, इसलिए आप लगातार प्रगति करते हैं और वेब या ऐप पर वहीं से सीखना जारी रख सकते हैं जहाँ आपने छोड़ा था।

क्या मैं इस Cryptology Academy पाठ में कोड लिख और चला सकता हूँ?

हाँ। हर Cryptology Academy पाठ में एक अंतर्निर्मित कोड संपादक शामिल है, जिससे आप सीधे अपने ब्राउज़र में वास्तविक कोड लिख और चला सकते हैं और तुरंत एआई प्रतिक्रिया पा सकते हैं—स्थानीय सेटअप की आवश्यकता नहीं है।

इस पाठ्यक्रम के सभी पाठ

  1. पासवर्ड के लिए साधारण SHA-256 क्यों विफल होता है
  2. bcrypt: एल्गोरिदम और लागत गुणक
  3. Argon2: मेमोरी-हार्ड पासवर्ड हैशिंग
  4. PBKDF2 और सही एल्गोरिदम का चुनाव
← Cryptology Academy पर वापस जाएँ