पासवर्ड जेनरेटर

ऐसा पासवर्ड कैसे बनाएं जो वाकई टिकाऊ हो

हममें से ज़्यादातर लोगों ने पासवर्ड के बारे में ग़लत सबक सीखा है। हमें बताया गया कि "a" की जगह "@" लगा दो, एक विस्मयादिबोधक चिह्न जोड़ दो, और पहले अक्षर को बड़ा कर दो, फिर उसे सुरक्षित मान लो। दिक्कत यह है कि हमलावरों ने भी ये तरकीबें सीख ली हैं। "P@ssw0rd!" जैसा पासवर्ड इंसान को जटिल लगता है, पर किसी क्रैकिंग प्रोग्राम के लिए मामूली होता है। किसी खाते को असल में जो बचाता है वह चतुराई नहीं है। वह है लंबाई, यादृच्छिकता, और कभी एक ही पासवर्ड दोबारा इस्तेमाल न करने का सीधा-सा अनुशासन।

यह पेज पासवर्ड सीधे आपके ब्राउज़र में बनाता है। आप लंबाई चुनते हैं और तय करते हैं कि कौन-से अक्षर-प्रकार शामिल हों, और टूल मौके पर ही एक नई यादृच्छिक स्ट्रिंग बना देता है। आप जो भी बनाते हैं वह कहीं नहीं भेजा जाता, न लॉग होता है, न संग्रहित होता है। नीचे यह बताया गया है कि डिफ़ॉल्ट सेटिंग्स इस तरह क्यों रखी गई हैं, और उनसे ज़्यादातर फ़ायदा कैसे उठाएं।

लंबाई और एन्ट्रॉपी जटिलता के नियमों से बेहतर हैं

हर पासवर्ड में अप्रत्याशितता की एक मापने योग्य मात्रा होती है, जिसे सुरक्षा विशेषज्ञ एन्ट्रॉपी कहते हैं। एन्ट्रॉपी जितनी ज़्यादा, हमलावर को आपका पासवर्ड भांपने से पहले उतने ही अधिक अनुमान लगाने पड़ते हैं। दो चीज़ें एन्ट्रॉपी बढ़ाती हैं: आप कितने संभावित अक्षरों में से चुनते हैं, और उनमें से कितने को एक साथ जोड़ते हैं। भारी काम लंबाई करती है। एक और अक्षर जोड़ने से संभावित संयोजनों की संख्या कई गुना बढ़ जाती है, जबकि एक और चिह्न-प्रकार जोड़ने से वह बस थोड़ी-सी ही बढ़ती है।

इसीलिए छोटे अक्षरों और संख्याओं से बना यादृच्छिक 16-अक्षर वाला पासवर्ड, चिह्नों से ठूंसे गए 8-अक्षर वाले पासवर्ड से कहीं ज़्यादा मज़बूत होता है। CISA और National Cybersecurity Alliance जैसे समूहों का आधुनिक मार्गदर्शन बार-बार एक ही संख्या पर पहुंचता है: कम से कम 16 अक्षर रखें। जितना लंबा, उतना बेहतर। अगर कोई साइट आपको ज़रूरी खातों के लिए 20 या उससे अधिक तक जाने दे, तो ऐसा करें। टाइप करने के वे कुछ अतिरिक्त सेकंड आपको सालों तक ब्रूट-फ़ोर्स प्रतिरोध दिला देते हैं।

जटिलता के नियम, जैसे "एक बड़ा अक्षर, एक संख्या, एक चिह्न" मांगने वाले, ज़्यादातर इसलिए मौजूद हैं ताकि लोग "password123" न चुन लें। वे किसी सचमुच यादृच्छिक स्ट्रिंग को मायने में और मज़बूत नहीं बनाते। एक वाकई यादृच्छिक पासवर्ड बिना किसी कोशिश के ही उन नियमों को पीछे छोड़ देता है। इसलिए नक़चढ़े लॉगिन फ़ॉर्म्स के साथ संगति के लिए यहां कुछ अक्षर-प्रकार चालू करें, फिर बोझ लंबाई पर डाल दें।

पासफ़्रेज़: लंबे, यादृच्छिक और यादगार

एक ऐसा मामला है जहां आपको पासवर्ड खुद याद रखना ही पड़ता है: आपके पासवर्ड मैनेजर का मास्टर पासवर्ड, या आपके कंप्यूटर का लॉगिन। उनके लिए पासफ़्रेज़ बेहतरीन काम करता है। यादृच्छिक रूप से चार से छह असंबद्ध शब्द चुनें, जितने बेतुके हों उतना अच्छा, और उन्हें जोड़ दें: कुछ इस तरह "copper-lantern-drizzle-walnut"। यह लंबा है, इसमें भरपूर एन्ट्रॉपी है, और आपका दिमाग सचमुच इसे थामे रख सकता है।

मुख्य शब्द है यादृच्छिक। "Correct horse battery staple" इसीलिए मशहूर है क्योंकि उन शब्दों के बीच कोई तार्किक संबंध नहीं है। किसी गाने की पंक्ति या किसी उद्धरण से खींचा गया वाक्यांश ज़रा भी यादृच्छिक नहीं होता, क्योंकि हमलावर ठीक उन्हीं स्रोतों को अपने अनुमान लगाने वाले टूल्स में डालते हैं। बाक़ी सब के लिए, यानी वे खाते जिनमें आप साल में कुछ ही बार लॉगिन करते हैं, आपको कुछ भी याद नहीं रखना चाहिए। वह काम सॉफ़्टवेयर का है।

पासवर्ड दोबारा इस्तेमाल करना असली ख़तरा क्यों है

यह आंकड़ा आपकी सोच बदल देना चाहिए: डेटा उल्लंघनों का एक बड़ा हिस्सा दोबारा इस्तेमाल किए गए या कमज़ोर लॉगिन विवरण तक जा पहुंचता है। तरीका बेहद सीधा है। बरसों पहले जिस वेबसाइट पर आपने साइन अप किया था उसका उल्लंघन होता है और उसका पासवर्ड डेटाबेस लीक हो जाता है। हमलावर ईमेल-और-पासवर्ड के वे जोड़े लेते हैं और उन्हें बैंकों, ईमेल प्रदाताओं और शॉपिंग साइटों पर आज़माते हैं, स्वचालित रूप से, लाखों की संख्या में। इसे क्रेडेंशियल स्टफ़िंग कहते हैं, और यह इसलिए कारगर है क्योंकि इतने सारे लोग हर जगह एक ही पासवर्ड इस्तेमाल करते हैं।

इसका हल है हर एक खाते के लिए एक अलग पासवर्ड। ऐसा करें, तो एक सेवा का उल्लंघन उसी सेवा तक सीमित रहता है। पेच, बेशक, यह है कि कोई भी सौ अलग-अलग यादृच्छिक स्ट्रिंग्स याद नहीं रख सकता। और ठीक यही समस्या पासवर्ड मैनेजर हल करते हैं।

पासवर्ड मैनेजर और एक दूसरा ताला

पासवर्ड मैनेजर आपके हर खाते के लिए एक अलग यादृच्छिक पासवर्ड बनाता और संग्रहित करता है, उन्हें आपके लिए भर देता है, और आपसे सिर्फ़ एक मास्टर पासवर्ड याद रखने को कहता है। Bitwarden, 1Password, Proton Pass और अन्य जैसे टूल आपकी वॉल्ट को एन्क्रिप्ट कर देते हैं, ताकि उसे चलाने वाली कंपनी तक भी आपके लॉगिन न पढ़ सके। आपको लंबे यादृच्छिक पासवर्ड की सुरक्षा बिना याददाश्त के बोझ के मिल जाती है। ज़्यादातर लोगों के लिए, इनमें से किसी एक को अपनाना उनकी ऑनलाइन सुरक्षा में किया जा सकने वाला सबसे बड़ा सुधार है।

इसे हर उस खाते पर दो-कारक प्रमाणीकरण (जिसे अक्सर 2FA दिखाया जाता है) के साथ जोड़ें जो इसका समर्थन करता हो। 2FA चालू रहने पर, अकेला चोरी हुआ पासवर्ड अंदर घुसने के लिए काफ़ी नहीं होता, क्योंकि हमलावर को आपके फ़ोन का कोड या कोई हार्डवेयर कुंजी भी चाहिए होती है। ऐप-आधारित कोड और भौतिक सुरक्षा कुंजियां टेक्स्ट-संदेश वाले कोड से अधिक मज़बूत हैं, पर कोई भी दूसरा कारक न होने से तो बेहतर ही है। पासवर्ड के साथ 2FA सचमुच एक कठिन संयोजन है जिसे हराना मुश्किल है।

ब्राउज़र में बनाने से यह निजी क्यों रहता है

जब यह टूल कोई पासवर्ड बनाता है, तो वह पूरी तरह आपके डिवाइस पर आपके ब्राउज़र के अंतर्निहित क्रिप्टोग्राफ़िक यादृच्छिक संख्या जनरेटर का इस्तेमाल करके चलता है, वही सुरक्षित स्रोत जो ऑपरेटिंग सिस्टम कुंजियों के लिए इस्तेमाल करते हैं। नतीजा कभी आपकी मशीन से बाहर नहीं जाता। कोई सर्वर कॉल नहीं, मान ले जाने वाला कोई एनालिटिक्स पिंग नहीं, किसी लॉग में कुछ नहीं लिखा जाता। आप पेज खोलकर, अपना नेटवर्क बंद करके, और पासवर्ड बनाते रहकर इसकी पुष्टि कर सकते हैं। यह फिर भी काम करता है, क्योंकि सब कुछ स्थानीय रूप से होता है।

यह इसलिए मायने रखता है क्योंकि जिस पासवर्ड को बनाने के लिए आपको किसी दूरस्थ सर्वर पर भरोसा करना पड़े, वह एक ऐसा पासवर्ड है जो कुछ क्षणों के लिए कहीं ऐसी जगह मौजूद रहा जिस पर आपका नियंत्रण नहीं। स्थानीय रूप से बनाने से वह चरण पूरी तरह हट जाता है। अपना नया पासवर्ड सीधे अपने पासवर्ड मैनेजर में कॉपी कर लें और काम पूरा। जब आप यहां हैं, हमारे सभी जनरेटर संग्रह पर एक नज़र डालें, या अगर डेवलपमेंट के काम के लिए ज़रूरत हो तो UUID जनरेटर से कोई यादृच्छिक पहचानकर्ता ले लें।

अक्सर पूछे जाने वाले प्रश्न