पासवर्ड जनरेटर

कितने अक्षर काफ़ी हैं?

काम का पैमाना एंट्रॉपी है — पासवर्ड कितनी समान-संभावित संभावनाओं में से निकाला गया, दो की घात के रूप में। साठ बिट यानी 2⁶⁰ उम्मीदवार। यह «मज़बूत» कहने से बेहतर इकाई है क्योंकि इससे आप गणित कर सकते हैं: इस टूल की 87 चिह्नों वाली वर्णमाला से एक और अक्षर जोड़िए और आपको क़रीब 6.4 बिट मिलते हैं, जो मेहनत को क़रीब नब्बे गुना कर देता है।

इससे क्या मिलता है, यह पूरी तरह इस पर निर्भर है कि साइट ने आपका पासवर्ड कैसे सहेजा — और वह जानने का आपके पास कोई रास्ता नहीं। नीचे की तालिका उसी निराशावादी स्थिति को मानकर चलती है जिसकी ख़बर ज़्यादातर सेंधों के बाद आती है: हैश तेज़ थे, और हमलावर ने GPU किराए पर लिए थे।

उस तालिका का दिलचस्प हिस्सा वह जगह है जहाँ यह मायने रखना बंद कर देती है। क़रीब सोलह यादृच्छिक अक्षरों के बाद ज़ोर-आज़माइश का सवाल हमेशा के लिए हल हो जाता है, और उस खाते पर बचा हर जोखिम कुछ बिलकुल और ही होता है — फ़िशिंग, कीलॉगर, प्रदाता के यहाँ सेंध, कहीं और वही पासवर्ड दोहराना। बीस के बजाय चौबीस अक्षर चुनना वह फ़ैसला नहीं है जो आपको बचाता है।

जटिलता के नियमों ने पासवर्ड और बुरे कर दिए

बीस साल तक मानक सलाह यही रही: आठ अक्षर, जिनमें एक बड़ा अक्षर, एक अंक और एक चिह्न हो। उस नियम ने Password1! भारी मात्रा में पैदा किया, क्योंकि वह ठीक-ठीक वही बताता है कि किसी को यह शर्त पूरी करने को कहा जाए तो वह क्या करता है। नियम पूरा हो गया, और पासवर्ड हर क्रैकिंग शब्दकोश में है।

जिस चीज़ की ओर वह नियम टटोल रहा था वह यादृच्छिकता है, और यादृच्छिकता ही वह चीज़ है जो कोई इंसान दे नहीं सकता। किसी से एक यादृच्छिक अक्षर माँगिए और वितरण एकसमान से कोसों दूर होगा; पूछिए कि अंक कहाँ जाएगा और वह आख़िर में होगा। इसीलिए ऊपर वाला जनरेटर आपकी चुनी वर्णमाला से हर अक्षर स्वतंत्र रूप से चुनता है, और किसी तय ख़ाने में एक चिह्न रखने के बजाय पूरा पासवर्ड दोबारा खींचता है — दूसरा तरीक़ा नीति तो पूरी कर देता, पर चुपचाप हर अनिवार्य अक्षर की जगह अनुमेय बना देता।

कौन-से अक्षर शामिल करें

चारों समूह चालू करने पर 87 अक्षरों की वर्णमाला बनती है, जिसमें हर अक्षर 6.44 बिट का है। चिह्न हटा दीजिए तो 62 अक्षर और 5.95 बिट बचते हैं — यानी हर अक्षर पर क़रीब आधा बिट का नुक़सान, जिसे दो अतिरिक्त अक्षर सूद समेत लौटा देते हैं। तो अगर कोई साइट चिह्न स्वीकार न करे, या आप गेम कंसोल पर पासवर्ड टाइप कर रहे हों, तो चिह्न हटा दीजिए और लंबाई बढ़ा दीजिए। यह असली सौदा है, समझौता नहीं।

मिलते-जुलते अक्षरों से बचें वाला विकल्प 0 O 1 l I | और उद्धरण चिह्न हटा देता है। इसकी क़ीमत बिट का एक अंश है, और यह उस ख़ास, आम नाकामी को रोकता है जिसमें स्क्रीन से पासवर्ड ग़लत पढ़ लिया जाता है और तीसरी कोशिश पर आप ख़ुद बाहर हो जाते हैं। जो कुछ भी आप कभी हाथ से टाइप करेंगे, उसके लिए यह काम का है; और जो पासवर्ड मैनेजर में रहता है, उसके लिए बेमतलब।

कब पासफ़्रेज़ ही सही जवाब है

जिन पासवर्डों को आपको सचमुच याद रखना होता है वे शायद तीन ही हैं: वह जो आपका पासवर्ड मैनेजर खोलता है, वह जो आपका लैपटॉप खोलता है, और शायद आपका ईमेल। बाक़ी सब बीस यादृच्छिक अक्षरों का हो सकता है, क्योंकि आप उसे कभी टाइप करेंगे ही नहीं।

उन तीन के लिए पासफ़्रेज़ जीतता है। picture-shallow-ranger-anvil-cobalt-drift छह शब्दों का है, क़रीब 66 बिट, और कुछ दोहरावों के बाद आप उसे दिमाग़ में उस तरह रख पाएँगे जैसा K7#mQ2vX!pL9 कभी नहीं रह पाएगा। पेच यह है कि ताक़त शब्दों की संख्या से आती है, और लोग लगातार बहुत कम शब्द चुनते हैं। चार शब्द 44 बिट हैं — पासवर्ड मैनेजर के लिए काफ़ी नहीं। छह 66 हैं। सात 77।

यह तभी चलता है जब शब्द मशीन चुने। आपकी अपनी गढ़ी हुई पंक्ति उन थोड़े-से वाक्यांशों में से निकलती है जो एक इंसान के दिमाग़ में आते हैं, उस शब्द-सूची में से नहीं; और गानों की पंक्तियाँ तथा फ़िल्मी संवाद तो क्रैकिंग शब्दकोशों में पूरी स्ट्रिंग के रूप में पड़े हैं।

असल में जो नाकामी होती है

ज़ोर-आज़माइश से क़रीब-क़रीब किसी का पासवर्ड नहीं टूटता। जो होता है वह यह है: 2015 में जिस साइट पर आपने खाता बनाया था उसमें सेंध लगती है, पासवर्ड फ़ाइल लीक हो जाती है, और कुछ ही दिनों में स्वचालित टूल उसी ईमेल-पासवर्ड जोड़ी को बैंकों, ईमेल प्रदाताओं और दुकानों पर आज़माने लगते हैं। इसे क्रेडेंशियल स्टफ़िंग कहते हैं, और खाते इसी से सबसे ज़्यादा जाते हैं। उसे इससे कोई मतलब नहीं कि आपका पासवर्ड कितना मज़बूत था। उसे बस इससे मतलब है कि आपने उसे दो बार इस्तेमाल किया या नहीं।

और इसीलिए इस पेज की सबसे क़ीमती चीज़ लंबाई वाला स्लाइडर नहीं है। वह है हर साइट के लिए अलग पासवर्ड बनाना — जो सिर्फ़ पासवर्ड मैनेजर के साथ ही व्यावहारिक है, और जो एक सेंध को ग्यारह समस्याओं के बजाय एक समस्या बना देता है।

दो-कारक प्रमाणीकरण दूसरा आधा हिस्सा है। लीक हो चुका पासवर्ड भी उस शख़्स के किसी काम का नहीं जो आपका दूसरा कारक पेश नहीं कर सकता — और ऐप वाला कोड या हार्डवेयर कुंजी SMS से बेहतर हैं, क्योंकि SMS में आपका नंबर ही किसी और के पास ले जाया जा सकता है।

क्या आप इस पेज पर भरोसा कर सकते हैं?

किसी भी ऑनलाइन जनरेटर से यह पूछना जायज़ है, और जवाब दावे के बजाय जाँचने लायक़ होना चाहिए। इसके बारे में तीन बातें सच हैं:

• पासवर्ड crypto.getRandomValues() से बनता है, यानी ब्राउज़र के क्रिप्टोग्राफ़िक यादृच्छिक स्रोत से — कभी Math.random() से नहीं, जो एक तेज़ सांख्यिकीय PRNG है, जिसमें कोई सुरक्षा गुण नहीं और जिसकी आंतरिक अवस्था कुछ इंजनों में वापस निकाली जा सकती है।
• यह पेज लोड होने के बाद, आपके ब्राउज़र में बनता है। इसका कुछ भी हमारे सर्वरों पर नहीं गिना जाता, इसलिए चाहें भी तो हमारे पास लॉग करने को कुछ है ही नहीं।
• यह localStorage में नहीं लिखा जाता, URL में नहीं डाला जाता, और किसी एनालिटिक्स इवेंट में शामिल नहीं होता। टैब बंद करते ही वह ख़त्म।

आप तीनों बातें जाँच सकते हैं: अपने ब्राउज़र के डेवलपर टूल खोलिए, नेटवर्क टैब पर जाइए, और जितनी बार चाहें एक और बनाएँ दबाइए। कुछ भी नहीं भेजा जाता। यह जाँच किसी भी जनरेटर पर चलती है, और जिस भी जनरेटर का सोर्स आपने नहीं पढ़ा, उस पर यह कर लेना चाहिए।

और अगर आप यह भरोसा देना ही न चाहें, तो वह भी वाजिब है — आपके पासवर्ड मैनेजर के भीतर का जनरेटर वैसा ही नतीजा देता है, एक पक्ष कम शामिल करके। इसे इस्तेमाल करने की वजह सहूलियत है, श्रेष्ठता नहीं।

संबंधित

पासवर्ड पहले से है और जानना चाहते हैं कि उसमें ख़राबी क्या है? स्ट्रेंथ चेकर उसे वैसे ही खोलकर रखता है जैसे कोई क्रैकिंग टूल रखता, और बताता है कि उसने कौन-से हिस्से पहचाने। और आपका ब्राउज़र तथा कनेक्शन क्या ज़ाहिर कर देते हैं — यह खाते की सुरक्षा से अलग समस्या है, जिसे लोग अक्सर उसी में मिला देते हैं — उसे प्राइवेसी जाँच एक ही बार में सँभाल लेती है।