हममें से ज़्यादातर के पास एक "सिस्टम" होता है। आम तौर पर यह एक अच्छा पासवर्ड, उसके कुछ बदले हुए रूप, और कहीं बीच में जन्मदिन या पहले पालतू जानवर का नाम होता है। यह सुरक्षित लगता है क्योंकि किसी दोस्त के लिए इसका अंदाज़ा लगाना मुश्किल है। फिर एक दिन ईमेल आता है: "We detected a sign-in to your account from a new device." दिल बैठ जाता है, और आप याद करने लगते हैं कि वही पासवर्ड कहाँ-कहाँ इस्तेमाल किया था।
यह गाइड उस स्थिति से हमेशा के लिए निकलने के बारे में है। चालीस जटिल पासवर्ड याद करके नहीं, जो कोई नहीं कर सकता, बल्कि यह समझकर कि पासवर्ड को असल में मज़बूत क्या बनाता है और एक आसान सिस्टम बनाकर जो मुश्किल काम आपके लिए करे।
पासवर्ड असल में कैसे टूटते हैं
यह जानना मदद करता है कि आप किससे बचाव कर रहे हैं। बहुत कम अकाउंट इसलिए टूटते हैं कि कोई बैठकर अंदाज़ा लगा रहा हो। आम रास्ते ये हैं:
- डेटा ब्रीच और पासवर्ड का दोबारा इस्तेमाल। जिस वेबसाइट पर आपने सालों पहले साइन अप किया था, वह ब्रीच हो जाती है। हमलावर ईमेल और पासवर्ड के जोड़ों की सूची लेकर उन्हें अपने-आप ईमेल, बैंकिंग और शॉपिंग साइटों पर आज़माते हैं। अगर आपने पासवर्ड दोबारा इस्तेमाल किया था, तो वे अंदर हैं। इसे credential stuffing कहते हैं, और आम लोगों के लिए यह सबसे बड़ा ख़तरा है।
- बड़े पैमाने पर अंदाज़ा। जब पासवर्ड डेटाबेस चोरी होते हैं, तो हमलावर ताक़तवर कंप्यूटरों से हर सेकंड अरबों अंदाज़े आज़माते हैं, आम पासवर्ड, शब्दकोश के शब्दों और
Summer2024!जैसे अनुमान लगाने लायक़ पैटर्न से शुरू करके। - फ़िशिंग। एक भरोसेमंद लगने वाला नक़ली लॉगिन पेज बस आपसे पासवर्ड माँग लेता है। ग़लत वेबसाइट पर टाइप किए पासवर्ड को कोई मज़बूती नहीं बचा सकती।
पहले दो ठीक वही हैं जिन्हें एक अच्छा पासवर्ड सिस्टम रोकता है। तीसरे के लिए एक अलग आदत चाहिए, जिसे हम आख़िर के पास कवर करते हैं।
चालाकी से ज़्यादा लंबाई मायने रखती है
सालों तक हमसे कहा गया कि एक बड़ा अक्षर, एक नंबर और एक सिंबल इस्तेमाल करें। नतीजा था P@ssw0rd1 जैसे पासवर्ड, जो लोगों को जटिल दिखते हैं और क्रैकिंग सॉफ़्टवेयर सबसे पहले इन्हीं को आज़माता है।
पासवर्ड को असल में मज़बूत यह बनाता है कि हमलावर को कितनी संभावनाएँ जाँचनी पड़ती हैं। हर अतिरिक्त कैरेक्टर उस संख्या को कई गुना कर देता है, इसीलिए "a" को "@" से बदलने से कहीं ज़्यादा लंबाई मायने रखती है। एक रैंडम 20 कैरेक्टर का पासवर्ड रैंडम 10 कैरेक्टर वाले से बेहद ज़्यादा मज़बूत है, भले ही छोटे वाले में ज़्यादा सिंबल हों।
मुख्य शब्द है रैंडम। जो पैटर्न चालाक लगते हैं, जैसे कीबोर्ड पर लगातार चलना, मशहूर उद्धरण, या शब्द के बाद मौजूदा साल, ठीक वही पैटर्न हमलावर अपने अंदाज़ों में डालते हैं।
पासफ़्रेज़: मज़बूत भी, याद रखने लायक़ भी
उन कुछ पासवर्ड के लिए जो आपको सच में याद रखने हैं, पासफ़्रेज़ सबसे अच्छा औज़ार है। कैरेक्टर की गड़बड़ के बजाय आप कई रैंडम शब्द इस्तेमाल करते हैं:
lantern-orbit-velvet-harbor-maple-rocket
यह लंबा है, कल्पना करने में आसान, फ़ोन पर टाइप करने में आसान और हैरानी की हद तक मज़बूत। मज़बूती इस बात से आती है कि शब्द आपने नहीं, रैंडम तरीक़े से चुने गए। आपका ख़ुद चुना वाक्यांश, जैसे किसी गाने की लाइन, कहीं कमज़ोर है, क्योंकि लोगों की पसंद का अंदाज़ा लगाया जा सकता है।
Password Generator 256 शब्दों की सूची से छह शब्दों का पासफ़्रेज़ बना सकता है, जो 48 बिट की रैंडमनेस देता है। यह ज़्यादातर कामों के लिए काफ़ी मज़बूत है और एक-दो शब्द जोड़कर इसे और मज़बूत करना आसान है। यह आपके ब्राउज़र का क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम जनरेटर इस्तेमाल करता है, और कुछ भी हमारे सर्वर पर नहीं भेजा जाता।
सिस्टम: एक मज़बूत पासफ़्रेज़, बाक़ी सबके लिए एक मैनेजर
यह सेटअप लगभग हर किसी के लिए काम करता है:
- एक पासवर्ड मैनेजर लें। अच्छे मुफ़्त और पैसे वाले विकल्प हैं, और ज़्यादातर ब्राउज़र और फ़ोन में अब एक शामिल होता है। यह आपके सारे पासवर्ड एन्क्रिप्ट करके रखता है और आपके लिए भर देता है।
- इसे एक मज़बूत पासफ़्रेज़ से सुरक्षित करें। यही एकमात्र पासवर्ड है जो आपको याद रखना है। इसे छह या ज़्यादा शब्दों का, रैंडम तरीक़े से बनाया हुआ रखें।
- बाक़ी सब मैनेजर को बनाने दें। हर अकाउंट के लिए लंबा, रैंडम, अलग पासवर्ड इस्तेमाल करें, 16 से 20 कैरेक्टर या ज़्यादा। आपको इसे जानने या टाइप करने की ज़रूरत नहीं; मैनेजर करता है।
- टू-फ़ैक्टर ऑथेंटिकेशन चालू करें अपने ईमेल, बैंकिंग और ख़ुद पासवर्ड मैनेजर के लिए।
इस सिस्टम में किसी एक वेबसाइट का ब्रीच सिर्फ़ वही एक पासवर्ड उजागर करता है, जो कहीं और बेकार है। यह एक बदलाव ज़्यादातर लोगों के सामने के सबसे बड़े ख़तरे को हटा देता है।
पहले कौन-से अकाउंट ठीक करें
सब कुछ एक शाम में बदलने की ज़रूरत नहीं। उन अकाउंट से शुरू करें जो दूसरे अकाउंट खोलते हैं:
| प्राथमिकता | अकाउंट | क्यों |
|---|---|---|
| 1 | मुख्य ईमेल | बाक़ी सबके पासवर्ड रीसेट यहीं आते हैं |
| 2 | पासवर्ड मैनेजर | इसमें हर चीज़ की चाबियाँ हैं |
| 3 | बैंकिंग और पेमेंट | सीधा वित्तीय ख़तरा |
| 4 | फ़ोन अकाउंट और क्लाउड स्टोरेज | अकाउंट रिकवरी और बैकअप में इस्तेमाल |
| 5 | सोशल मीडिया और शॉपिंग | अकाउंट हथियाने और धोखों के आम निशाने |
फिर, जब भी आप किसी पुराने अकाउंट में लॉग इन करें, पासवर्ड मैनेजर को उसका पासवर्ड नए, जनरेट किए पासवर्ड से बदलने दें। कुछ हफ़्तों में आपका पूरा संग्रह चुपचाप मज़बूत और अलग-अलग हो जाता है।
पहले से मौजूद पासवर्ड कैसे जाँचें
अगर आप जानना चाहते हैं कि कोई मौजूदा पासवर्ड कितना टिकता है, तो Password Strength Checker उसे कहीं भेजे बिना आपके ब्राउज़र में जाँचता है। जो कमज़ोर बताया जाए, या जो आपने एक से ज़्यादा साइट पर इस्तेमाल किया हो, उसे बदलना प्राथमिकता मानें।
टू-फ़ैक्टर ऑथेंटिकेशन और पासकी
बिल्कुल सही पासवर्ड भी फ़िशिंग से चुराया जा सकता है। टू-फ़ैक्टर ऑथेंटिकेशन एक दूसरा क़दम जोड़ता है, जैसे ऑथेंटिकेटर ऐप का कोड या आपके फ़ोन पर पुष्टि, ताकि सिर्फ़ चोरी हुआ पासवर्ड काफ़ी न हो। ऑथेंटिकेटर ऐप और हार्डवेयर key SMS से भेजे कोड से ज़्यादा सुरक्षित हैं, पर कोई भी दूसरा फ़ैक्टर बिना फ़ैक्टर से कहीं बेहतर है।
कई साइटें अब पासकी देती हैं, जो पासवर्ड की जगह पूरी तरह आपके डिवाइस पर रखी एक key ले लेती है, जिसे आपकी उँगली के निशान, चेहरे या PIN से खोला जाता है। पासकी दोबारा इस्तेमाल नहीं हो सकती, उसका अंदाज़ा नहीं लगाया जा सकता और उसे नक़ली साइट पर टाइप नहीं किया जा सकता, जो उसे फ़िशिंग से बचाव का सबसे अच्छा तरीक़ा बनाता है। जब कोई साइट यह दे, तो बदल लेना फ़ायदेमंद है।
फ़िशिंग से बचने की आदत
क्योंकि कोई पासवर्ड आपको उसे ग़लत वेबसाइट पर टाइप करने से नहीं बचा सकता:
- अनचाहे ईमेल या मैसेज के लिंक से लॉग इन न करें। साइट ख़ुद खोलें या अपना बुकमार्क इस्तेमाल करें।
- अपने पासवर्ड मैनेजर को शुरुआती चेतावनी बनने दें: अगर वह किसी लॉगिन पेज पर आपका पासवर्ड भरने की पेशकश नहीं करता, तो रुकें और एड्रेस जाँचें। यह कोई हमशक्ल साइट हो सकती है।
- अगर कोई वेबसाइट ठीक न लगे, तो कोई वेबसाइट असली है या नहीं कैसे जाँचें पर हमारी गाइड कुछ भी डालने से पहले की झटपट जाँचें बताती है।
यही सावधानी AI टूल पर भी लागू होती है: किसी चैट असिस्टेंट में कभी पासवर्ड, API key या टोकन पेस्ट न करें। अगर आपको ऐसे लॉग या कॉन्फ़िग फ़ाइल में मदद चाहिए जिसमें ये हों, तो PII Anonymizer पहले आपके डिवाइस पर सीक्रेट को प्लेसहोल्डर से बदल देता है। निजी डेटा शेयर किए बिना ChatGPT इस्तेमाल करने पर हमारी गाइड सुरक्षित तरीक़े से मदद पाना बताती है।
जब कोई साइट बताए कि वह ब्रीच हुई
वह पासवर्ड तुरंत बदलें, और हर उस जगह भी जहाँ आपने उसे दोबारा इस्तेमाल किया था। अगर पहले से नहीं है, तो टू-फ़ैक्टर ऑथेंटिकेशन चालू करें। अगले कुछ हफ़्तों में फ़िशिंग ईमेल पर नज़र रखें, क्योंकि हमलावर अक्सर ब्रीच की ख़बर को चारे की तरह इस्तेमाल करते हैं।
छोटे क़दम, असली सुकून
पासवर्ड सुरक्षा एक बड़ा प्रोजेक्ट लगती है, पर यह कुछ फ़ैसलों पर टिकी है: एक मज़बूत पासफ़्रेज़ जो आपको याद रहे, एक मैनेजर जो बाक़ी सब याद रखे, हर जगह अलग रैंडम पासवर्ड, और सबसे ज़रूरी अकाउंट पर दूसरा फ़ैक्टर।
Password Generator से अपना पहला पासफ़्रेज़ बनाएँ, आज रात अपना मैनेजर सेट करें, और सबसे पहले अपना ईमेल अकाउंट ठीक करें। अगला "new sign-in detected" मैसेज जो आपको मिलेगा, उसके आप ही होने की संभावना कहीं ज़्यादा होगी।
