नेटवर्क सुरक्षा में डिक्शनरी अटैक: कार्यप्रणाली, रोकथाम और बचाव

डिक्शनरी अटैक क्या है?

डिक्शनरी अटैक एक पासवर्ड क्रैकिंग तकनीक है जहां हमलावर **पूर्व-परिभाषित शब्द सूची (डिक्शनरी)** से शब्दों को व्यवस्थित रूप से आजमाता है ताकि पासवर्ड या डिक्रिप्शन कुंजी का अनुमान लगाया जा सके। यह ब्रूट-फोर्स अटैक का एक अनुकूलित रूप है जो मानव पासवर्ड चयन पैटर्न का लाभ उठाता है।

डिक्शनरी अटैक कैसे काम करता है

शब्द सूची संकलन: सामान्य पासवर्ड, डिक्शनरी शब्द, लीक पासवर्ड डेटाबेस (rockyou.txt, SecLists)
भिन्नता उत्पादन: नियम-आधारित म्यूटेशन (कैपिटलाइज़ेशन, लेट सब्स्टीट्यूशन: a→@, e→3, संख्या/प्रतीक जोड़ना)
हैश गणना: प्रत्येक उम्मीदवार का हैश लक्ष्य हैश एल्गोरिदम (MD5, SHA-1, SHA-256, bcrypt, Argon2) के साथ गणना
तुलना: गणना किए गए हैश की लक्ष्य हैश से तुलना
GPU/ASIC त्वरण: प्रति सेकंड अरबों प्रयास (Hashcat, John the Ripper)

डिक्शनरी अटैक vs ब्रूट-फोर्स अटैक

डिक्शनरी अटैक की मुख्य विशेषताएं

शब्द सूची स्रोत: रॉकयू (14M+), SecLists, CrackStation, HaveIBeenPwned Pwned Passwords
नियम इंजन: Hashcat नियम, JtR नियम (l33t स्पीक, केस टॉगल, प्रीफिक्स/सफिक्स)
हाइब्रिड अटैक: डिक्शनरी + ब्रूट-फोर्स (शब्द + 4 अंक)
रैनबो टेबल्स: प्रीकंप्यूटेड हैश चेन (नमक द्वारा कम प्रभावी)
ऑनलाइन vs ऑफलाइन: ऑनलाइन (दर-सीमित, खाता लॉकआउट) vs ऑफलाइन (हैश डंप, असीमित प्रयास)

SQL इंजेक्शन संदर्भ में डिक्शनरी अटैक

कभी-कभी "SQL डिक्शनरी अटैक" शब्द का उपयोग SQL इंजेक्शन पेलोड की पूर्व-निर्मित सूचियों (SQLMap के XML फाइल्स, फजिंग शब्दकोशों) के उपयोग के लिए किया जाता है, लेकिन यह **पासवर्ड क्रैकिंग से अलग** है।

डिक्शनरी अटैक से बचाव और रोकथाम

1. मजबूत पासवर्ड नीतियां

लंबाई ≥ 12 वर्ण (NIST 800-63B: न्यूनतम 8, अधिकतम 64+)
पासफ्रेज़: 4-5 यादृच्छिक शब्द ("correct-horse-battery-staple")
आम पासवर्ड ब्लैकलिस्ट: शीर्ष 10K/100K सबसे खराब पासवर्ड अस्वीकार करें
कोई संरचना आवश्यकताएं नहीं: NIST जटिलता नियमों के विरुद्ध अनुशंसा करता है

2. दर सीमित और खाता सुरक्षा

खाता लॉकआउट: 5 विफल प्रयासों के बाद 15-30 मिनट
दर सीमित: IP/उपयोगकर्ता प्रति मिनट प्रयास सीमित करें
कैप्चा/चुनौती: संदिग्ध गतिविधि पर
MFA (बहु-कारक प्रमाणीकरण): **सबसे प्रभावी** - पासवर्ड समझौते को अप्रासंगिक बनाता है

3. क्रिप्टोग्राफिक सुरक्षा

मजबूत हैशिंग: **Argon2id** (पसंदीदा), **bcrypt** (कॉस्ट ≥ 12), **scrypt**, **PBKDF2** (100K+ पुनरावृत्ति)
अद्वितीय नमक: प्रति-पासवर्ड क्रिप्टोग्राफिक रूप से यादृच्छिक नमक (≥ 16 बाइट)
काली मिर्च (पेपर): एप्लिकेशन-स्तरीय गुप्त, HSM में संग्रहीत

4. निगरानी और पहचान

विफल लॉगिन प्रयास लॉगिंग और अलर्टिंग
भूगोल/डिवाइस असामान्यता पहचान
पासवर्ड स्प्रे अटैक पहचान (कई खाते, कुछ पासवर्ड)
SIEM सहसंबंध: विफल लॉगिन + सफल लॉगिन पैटर्न

पासवर्ड क्रैकिंग उपकरण (रक्षात्मक परीक्षण के लिए)

पहलू	डिक्शनरी अटैक	ब्रूट-फोर्स अटैक
दृष्टिकोण	संभावित पासवर्ड की क्यूरेटेड सूची	सभी संभावित वर्ण संयोजन
दक्षता	मानव-चुने पासवर्ड के लिए बहुत तेज	लंबे/यादृच्छिक पासवर्ड के लिए अव्यावहारिक
सफलता दर	सामान्य पासवर्ड के लिए उच्च (>50% सामान्य सूचियों के साथ)	छोटे/कमजोर पासवर्ड तक सीमित
संसाधन उपयोग	कम मेमोरी/CPU प्रति प्रयास	घातांकीय रूप से बढ़ता है
उपकरण	Hashcat, John the Ripper, Hydra, Medusa	Hashcat (मास्क अटैक), John

उपकरण	प्रकार	विशेषताएं
Hashcat	GPU-त्वरित	दुनिया का सबसे तेज, सभी मोड (डिक्शनरी, मास्क, हाइब्रिड, नियम)
John the Ripper	CPU/GPU	बहुमुखी, कई प्रारूप, समुदाय नियम
Hydra / Medusa	ऑनलाइन	नेटवर्क प्रोटोकॉल (SSH, RDP, FTP, HTTP फॉर्म)
Hashcat नियम	म्यूटेशन	best64.rule, d3ad0ne.rule, T0XlC.rule

पासवर्ड रहित भविष्य

FIDO2 / WebAuthn / Passkeys: सार्वजनिक कुंजी क्रिप्टोग्राफी, कोई पासवर्ड नहीं
बायोमेट्रिक्स: डिवाइस-स्थानीय प्रमाणीकरण (Face ID, Windows Hello)
मैजिक लिंक्स / OTP: ईमेल/SMS/ऐप-आधारित
प्रमाणपत्र-आधारित प्रमाणीकरण: mTLS, स्मार्ट कार्ड, YubiKey

निष्कर्ष

डिक्शनरी अटैक मानव पासवर्ड चयन कमजोरियों का फायदा उठाते हैं। **MFA सक्षम करना एकल सबसे प्रभावी बचाव है**। इसके साथ मजबूत अद्वितीय पासवर्ड/पासफ्रेज़, धीमे हैशिंग (Argon2id/bcrypt), दर सीमित, और निगरानी को मिलाएं। संगठनों को पासवर्ड-रहित प्रमाणीकरण (FIDO2/WebAuthn) की ओर संक्रमण करना चाहिए।