वह पासवर्ड जो सोमवार सुबह तक मजबूत लग रहा था

वह पासवर्ड जो सोमवार सुबह तक मजबूत लग रहा था

शुक्रवार दोपहर तक ऑफिस की रौनक आधी-आधी खत्म हो चुकी थी। लोग लैपटॉप बंद कर रहे थे, घड़ी को न देखने का नाटक कर रहे थे, और एक प्रोजेक्ट मैनेजर—चलो उसे नीना कह लेते हैं—दुनिया का सबसे सामान्य काम कर रही थीं: वेंडर पोर्टल के लिए नया अकाउंट सेट अप करना।

साइट को एक पासवर्ड चाहिए था। बारह अक्षर, एक बड़े अक्षर (uppercase) वाला अक्षर, एक संख्या, एक प्रतीक (symbol). आप समझ ही गए हैं। नीना ने कुछ वैसा टाइप किया जैसे Summer2024!, छोटा-सा हरा चेकमार्क मिला, और अपनी ज़िंदगी में आगे बढ़ गईं। सब ठीक लगा। इसमें बड़ा अक्षर था। इसमें नंबर था। इसमें विस्मयादिबोधक चिन्ह (exclamation point) था। बहुत “आधिकारिक” सा।

लेकिन सोमवार सुबह तक वह वेंडर अकाउंट क्लाइंट्स को अजीब संदेश भेज रहा था।

पासवर्ड्स के बारे में कड़वी सच्चाई यह है: एक पासवर्ड नियमों को पूरा करते हुए भी कमजोर हो सकता है। वजह यह नहीं कि लोग लापरवाह या मूर्ख हैं, बल्कि यह कि नियमों ने सबको एक ही जैसा पासवर्ड अलग-अलग “सजावट” के साथ बनाने के लिए प्रशिक्षित कर दिया। कोई सीज़न। कोई साल। आखिर में कोई प्रतीक। शायद कंपनी का नाम। शायद पालतू जानवर का नाम—और अक्षर O की जगह ज़ीरो लगा दिया। हमलावर इस पैटर्न को जानते हैं। वे इसे बेहद अच्छी तरह जानते हैं।

“जटिल दिखता है” का मतलब “मजबूत” नहीं होता

अधिकांश लोगों को लगता है कि पासवर्ड की मजबूती विज़ुअल गड़बड़ी से तय होती है। जैसे Tr0ub4dor! plain sentence की तुलना में ज़्यादा सुरक्षित लगता है, क्योंकि इसमें अजीब सब्स्टिट्यूशन और punctuation होता है। लेकिन कंप्यूटर “वाइब्स” से प्रभावित नहीं होते। वे पैटर्न, सूचियाँ (lists), लीक हुए पासवर्ड, और अनुमानित वैरिएशन—सब कुछ बेहद तेज़ गति से आज़माते हैं।

कोई लंबा पासवर्ड जो अनोखा हो और किसी साफ़-साफ़ दिखने वाले वाक्यांश पर आधारित न हो, आम तौर पर छोटे पासवर्ड से बेहतर होता है जो नकली मूंछ (fake mustache) पहन कर आ गया हो। उदाहरण के लिए, चार-पाँच असंबंधित शब्दों का पासवर्ड, प्रतीकों से भरे छोटे पासवर्ड की तुलना में अनुमान लगाना कहीं ज़्यादा मुश्किल हो सकता है—बशर्ते वह वाक्यांश किसी मशहूर quote, गीत के बोल (song lyric), टीम के नारे (team slogan), या किसी ऐसी चीज़ पर न टिका हो जो कोई आपके सोशल मीडिया से निकाल सके।

लंबाई (Length) बहुत मायने रखती है। विशिष्टता (Uniqueness) उससे भी ज्यादा। अगर किसी एक साइट का डेटा ब्रीच हो जाए और आप वही पासवर्ड कहीं और भी इस्तेमाल करते हों, तो हमलावर को कुछ “क्रैक” करने की ज़रूरत भी नहीं पड़ सकती। वे बस उसी ईमेल और पासवर्ड को बैंकिंग साइट्स, ईमेल प्रोवाइडर्स, शॉपिंग अकाउंट्स, क्लाउड स्टोरेज, पे-रोल सिस्टम्स, और बाकी जो कुछ भी वे ऑटोमेट कर सकते हैं—सब पर आज़माते हैं। इसे credential stuffing कहते हैं, जो लगता तो किसी छुट्टी के साइड डिश जैसा है, लेकिन बिल्कुल वैसा आकर्षक नहीं।

नीना के पासवर्ड को जोखिम भरा बनाने वाली छोटी गलती

नीना का पासवर्ड असामान्य नहीं था। यही समस्या थी। Summer2024! एक बहुत कॉमन रेसिपी फॉलो करता है: शब्द + साल + punctuation. अगर वे कंपनी का नाम, किसी प्रोडक्ट का नाम, या वेंडर का नाम इस्तेमाल कर देतीं, तो अनुमान लगाना और भी आसान हो जाता। और अगर उन्होंने इसे किसी दूसरे साइट पर पहले इस्तेमाल किया हो, और उस दूसरी साइट से पासवर्ड लीक हुए हों—तो फिर खेल खत्म।

अजीब बात यह है कि वह शायद वही कर रही थीं जो सिस्टम कह रहा था। बहुत-सी वेबसाइट अब भी लोगों को “टूटने वाली” आदतों की तरफ धकेलती हैं। वे एक प्रतीक (symbol) मांगती हैं, फिर spaces को reject करती हैं, लंबाई (length) सीमित करती हैं, या हर कुछ महीनों में बदलाव के लिए मजबूर करती हैं—जब तक कि हर कोई PasswordMarch1!, PasswordApril1! और इसी तरह इस्तेमाल करने न लग जाए। इंसान बहुत क्रिएटिव होते हैं—बस तब नहीं, जब वे थके हुए हों और लंच की तरफ भाग रहे हों।

बेहतर तरीका होता: लंबा, कम-पूर्वानुमानित passphrase बनाना, या पासवर्ड मैनेजर से कुछ रैंडम बनवा कर सेव कर देना। ऐसी चीज़ जो कोई इंसान गर्व से याद रखने लायक न माने। असल में, यही बात है।

असली दुनिया में काम करने वाली अच्छी पासवर्ड आदतें

सबसे अच्छा पासवर्ड सिस्टम वही है जिसे आप सच में अपनाकर जी सकें। कोई ऐसा hero वाला प्लान नहीं जिसमें 85 अलग-अलग स्ट्रिंग्स याद करनी हों और गलती न हो। ऐसा प्लान बुधवार तक ही दम तोड़ देता है।

• पासवर्ड मैनेजर का उपयोग करें। यही सबसे बड़ा कदम है। एक पासवर्ड मैनेजर हर अकाउंट के लिए यूनिक पासवर्ड बना और सेव कर सकता है। आपको एक मजबूत “मास्टर” पासवर्ड याद रखना होता है, दर्जनों री-यूज़ किए गए पासवर्ड नहीं।
• मास्टर पासवर्ड को लंबा बनाएं। एक passphrase रैंडम सिंबल्स से ज्यादा याद रखना आसान हो सकता है। कई ऐसे शब्द सोचें जो एक-दूसरे से जुड़े न हों—किसी quote या आपकी पसंदीदा फिल्म के sentence की तरह नहीं।
• मल्टी-फैक्टर ऑथेंटिकेशन (multi-factor authentication) ऑन करें। MFA जादू नहीं है, लेकिन मदद करता है। आम तौर पर एक authenticator app या security key, SMS कोड्स से ज्यादा मजबूत होते हैं, हालांकि कई रोज़मर्रा के अकाउंट्स के लिए SMS फिर भी “न कुछ” से बेहतर है।
• कभी पासवर्ड री-यूज़ न करें। “अनमहत्वपूर्ण” अकाउंट्स के लिए भी नहीं। छोटे अकाउंट भी stepping stones बन सकते हैं—खासकर अगर वे निजी जानकारी दिखाते हों या आपके ईमेल से लिंक हो।
• वास्तविक जोखिम की घटना के बाद पासवर्ड बदलें। अगर कोई सेवा ब्रीच की घोषणा करे, या आपने किसी नकली लॉगिन पेज में पासवर्ड टाइप किया हो—तो उसे बदल दें। बिना वजह की routine forced changes अक्सर और कमजोर पैटर्न की तरफ ले जाती हैं।
• लीक्स (leaks) की जांच करें। अगर आपके ईमेल का नाम ज्ञात ब्रीच डेटा में दिखाई दे, तो मान लें कि कुछ पुराने पासवर्ड भी इधर-उधर तैर रहे हो सकते हैं—और सबसे पहले री-यूज़ किए गए पासवर्ड बदलें।

अगर आप कमिट करने से पहले जल्दी से समझना चाहते हैं कि कोई पासवर्ड आइडिया ज़्यादा predictable तो नहीं है, तो Password Strength Checker एक उपयोगी “सैनिटी चेक” कर सकता है। बस किसी भी एक स्कोर को स्वर्ग से आई सुरक्षा की गारंटी की तरह न मानें। यह एक गाइड है, कोई force field नहीं।

वे आम पासवर्ड गलतियाँ जो लोग आज भी करते हैं

सबसे स्पष्ट गलती है password, 123456, या कीबोर्ड वॉक जैसे qwerty का इस्तेमाल। लेकिन कई समझदारी से दिखने वाली गलतियाँ भी चुपचाप बच निकलती हैं।

किसी कमजोर शब्द के साथ प्रतीक (symbol) जोड़ना। Dragon! अचानक शक्तिशाली नहीं हो जाता सिर्फ इसलिए कि वह punctuation school में चला गया। अटैक टूल्स इन वैरिएंट्स को भी आज़माते हैं।

व्यक्तिगत विवरण (personal details) का उपयोग करना। बच्चों के नाम, जन्मदिन, पालतू जानवरों के नाम, स्पोर्ट्स टीम्स, hometowns, स्कूल के नाम। अगर यह सोशल मीडिया पर, पब्लिक रिकॉर्ड्स में, या आपकी आंटी की किसी खुशमिज़ाज birthday पोस्ट में दिख रहा है, तो यह इतना “सीक्रेट” नहीं रहता।

बेस पासवर्ड को रीसायकल करना। लोग यह हर समय करते हैं: BlueRiverBank!, BlueRiverEmail!, BlueRiverShop!. इससे सब कुछ organized लगता है। लेकिन यह हमलावर को एक टेम्पलेट भी दे देता है।

चैट या ईमेल में पासवर्ड शेयर करना। कंपनी के अंदर भी यह जल्दी गड़बड़ हो जाता है। मैसेज फॉरवर्ड होते हैं, सेव होते हैं, सर्च किए जाते हैं, बैकअप बनते हैं। टीम एक्सेस चाहिए हो तो पासवर्ड मैनेजर में मौजूद ठीक से शेयरिंग फीचर्स का उपयोग करें।

शेयर्ड डिवाइस पर ब्राउज़र में पासवर्ड सेव करना। अपने लॉक किए हुए पर्सनल लैपटॉप पर ब्राउज़र की पासवर्ड स्टोरेज कुछ लोगों के लिए ठीक हो सकती है। लेकिन साझा पारिवारिक कंप्यूटर, उधार लिया टैबलेट, या ऐसा ऑफिस मशीन जो कई लोग इस्तेमाल करते हैं—वहाँ यह mess बन सकता है।

ईमेल अकाउंट को नजरअंदाज करना। आपका ईमेल आपकी ज़िंदगी का reset बटन है। अगर कोई इसे कंट्रोल करता है, तो वह बाकी जगहों के पासवर्ड रीसेट कर सकता है। अपने ईमेल अकाउंट पर सबसे मजबूत पासवर्ड और MFA लगाएं—कोई शॉर्टकट नहीं।

पासवर्ड सुरक्षा तब तक “बोरिंग” लगती है जब तक कि वह न हो जाए

सोमवार की घटना के बाद नीना की कंपनी ने वैसा ही किया जैसा आम तौर पर होता है: वेंडर पासवर्ड रीसेट किया। लॉग्स चेक किए। कुछ क्लाइंट्स से माफी मांगी। एक security reminder भी सुना जिसने किसी तरह सबको साथ-साथ sleepy और accused—दोनों जैसा महसूस कराया। लेकिन असली सुधार नाटकीय नहीं था। उन्होंने पासवर्ड मैनेजर लागू किया, वेंडर टूल्स के लिए MFA अनिवार्य किया, और टीमों को रैंडम चैट थ्रेड्स में अकाउंट लॉगिन शेयर करने से रोक दिया।

पासवर्ड सुरक्षा आम तौर पर इसी तरह बेहतर होती है। एक बड़े-से “सिनेमैटिक” पल के साथ नहीं, बल्कि छोटे-छोटे सिस्टम्स के जरिए जो temptation कम करते हैं। क्योंकि जब लोग जल्दी में होते हैं, तो वे वही पासवर्ड चुनते हैं जो फॉर्म से उन्हें जल्दी निकाल दे। जब वे थके होते हैं, तो वे पुराना वाला पासवर्ड फिर से इस्तेमाल करेंगे। और जब नियम परेशान करने वाले हों, तो वे उनके आसपास एक पैटर्न ढूंढ लेंगे।

तो व्यावहारिक सीख सरल है, भले ही आदतें थोड़ी सेटअप मांगें: लंबे और यूनिक पासवर्ड इस्तेमाल करें, उन्हें उसी काम के लिए डिज़ाइन की गई जगह पर स्टोर करें, उन अकाउंट्स की सुरक्षा करें जो बाकी सब चीज़ों की रक्षा करते हैं, और किसी भी उस चीज़ से सावधान रहें जो चालाक लगे लेकिन सामान्य पैटर्न फॉलो करती हो। सबसे अच्छा पासवर्ड वह नहीं है जो स्टिकी नोट पर डरावना लगता है। वह है जिसे हमलावर अनुमान न लगा सके, किसी ब्रीच से री-यूज़ न कर सके, और आदर्श रूप से जिसे आपको बिल्कुल भी याद से टाइप न करना पड़े।