उपयोग कैसे करें
- स्लाइडर या संख्या वाले फ़ील्ड से “लंबाई” सेट करें। पासवर्ड मैनेजर में रखे जाने वाले पासवर्ड के लिए 16 या उससे ज़्यादा अक्षर एक अच्छा डिफ़ॉल्ट है।
- अक्षरों के प्रकार चुनें: बड़े अक्षर, छोटे अक्षर, अंक और चिह्न। “हर चुना गया प्रकार शामिल करें” डिफ़ॉल्ट रूप से चालू रहता है और हर पासवर्ड में हर प्रकार का कम से कम एक अक्षर डालता है।
- ज़रूरत हो तो “मिलते-जुलते अक्षर छोड़ें” से l, 1 और O जैसे अक्षर हटाएँ, “भ्रामक चिह्न छोड़ें” चुनें, या “छोड़े जाने वाले अक्षर” में वे ख़ास अक्षर लिखें जिन्हें कोई साइट स्वीकार नहीं करती।
- “जनरेट करें” पर क्लिक करें, “मज़बूती” का लेबल और एंट्रॉपी देखें, फिर “कॉपी करें” से एक पासवर्ड या “सब कॉपी करें” से सभी पासवर्ड कॉपी करें।
पासवर्ड को मज़बूत क्या बनाता है
रैंडम तरीक़े से बने पासवर्ड की मज़बूती एंट्रॉपी के रूप में मापी जाती है: length × log2(pool size) बिट, जहाँ पूल अक्षरों का वह समूह है जिसमें से पासवर्ड के अक्षर चुने जाते हैं। हर अतिरिक्त बिट ज़रूरी अनुमानों की संख्या को दोगुना कर देता है। लंबाई एंट्रॉपी को कई गुना बढ़ाती है, जबकि बड़ा पूल प्रति अक्षर बस थोड़ा-सा जोड़ता है, इसलिए लंबाई ही भारी पड़ती है: केवल छोटे अक्षरों वाले 16 अक्षर के पासवर्ड में चारों प्रकार मिलाने वाले 8 अक्षर के पासवर्ड की तुलना में लगभग 1.1 करोड़ गुना ज़्यादा संभावनाएँ होती हैं।
| लंबाई | अक्षर | पूल | एंट्रॉपी |
|---|---|---|---|
| 4 | अंक (एक PIN) | 10 | 13.3 बिट |
| 8 | छोटे अक्षर | 26 | 37.6 बिट |
| 8 | चारों प्रकार | 89 | 51.8 बिट |
| 12 | बड़े-छोटे अक्षर और अंक | 62 | 71.5 बिट |
| 16 | छोटे अक्षर | 26 | 75.2 बिट |
| 16 | चारों प्रकार | 89 | 103.6 बिट |
| 20 | चारों प्रकार | 89 | 129.5 बिट |
यहाँ चारों प्रकार मिलकर 89 का पूल बनाते हैं: 26 + 26 + 10 + 27 चिह्न। टूल एंट्रॉपी को नीचे की ओर पूर्ण बिट तक पूर्णांकित करके दिखाता है। ये आँकड़े केवल रैंडम पासवर्ड पर लागू होते हैं; किसी व्यक्ति के ख़ुद सोचे गए पासवर्ड में उतनी एंट्रॉपी नहीं होती जितनी उसकी लंबाई से लगती है, बल्कि कहीं कम होती है।
NIST SP 800-63B क्या सुझाव देता है
NIST SP 800-63B, डिजिटल ऑथेंटिकेशन के लिए अमेरिकी संघीय दिशानिर्देश, उन सेवाओं के लिए है जो पासवर्ड की जाँच करती हैं। इसका मौजूदा संस्करण, SP 800-63B-4, कहता है कि ये सेवाएँ:
- पासवर्ड अकेला फ़ैक्टर होने पर कम से कम 15 अक्षर, और किसी दूसरे फ़ैक्टर के साथ होने पर 8 अक्षर, अनिवार्य रूप से माँगें, और बेहतर है कि कम से कम 64 अक्षरों तक की अनुमति दें;
- "एक बड़ा अक्षर, एक अंक और एक चिह्न" जैसे संरचना नियम या समय-समय पर पासवर्ड बदलना बिल्कुल न थोपें, लेकिन पासवर्ड के उजागर होने का सबूत मिलने पर उसे बदलवाना अनिवार्य है;
- नए पासवर्ड को आमतौर पर इस्तेमाल होने वाले, आसानी से अनुमान लगाए जा सकने वाले या लीक हो चुके पासवर्ड की ब्लॉकलिस्ट से अनिवार्य रूप से जाँचें;
- बेहतर है कि सभी प्रिंट करने योग्य ASCII अक्षर और स्पेस स्वीकार करें, और पेस्ट करने की अनुमति दें ताकि पासवर्ड मैनेजर काम कर सकें।
उपयोगकर्ताओं के लिए सबक भी यही है: लंबाई और रैंडम होना मायने रखता है; P@ssw0rd1 जैसे आसानी से भाँपे जा सकने वाले अक्षर-बदलाव कोई फ़ायदा नहीं देते।
पासवर्ड मैनेजर और पासफ़्रेज़
दोबारा इस्तेमाल किया गया पासवर्ड अक्सर छोटे पासवर्ड से भी बड़ा जोखिम होता है: किसी डेटा लीक के बाद हमलावर लीक हुए ईमेल और पासवर्ड के जोड़ों को दूसरी साइटों पर आज़माते हैं (क्रेडेंशियल स्टफ़िंग)। हर अकाउंट के लिए अलग रैंडम पासवर्ड इस्तेमाल करें और उन्हें याद रखने का काम पासवर्ड मैनेजर पर छोड़ दें; तब 20 अक्षर का पासवर्ड भी 8 अक्षर वाले जितना ही आसान रहता है।
जो गिने-चुने पासवर्ड आप याद से टाइप करते हैं, जैसे पासवर्ड मैनेजर का मास्टर पासवर्ड, उनके लिए पासफ़्रेज़ आसान रहता है: रैंडम तरीक़े से चुने गए शब्द, उदाहरण के लिए पासों और EFF की लंबी शब्द सूची की मदद से। इस सूची की 7,776 प्रविष्टियों में से हर शब्द लगभग 12.9 बिट जोड़ता है, इसलिए छह शब्दों से लगभग 77.5 बिट मिलते हैं। यह टूल अक्षरों वाले पासवर्ड बनाता है, पासफ़्रेज़ नहीं; API कुंजियों और मशीनों के दूसरे सीक्रेट के लिए रैंडम Base64 जनरेटर का उपयोग करें।
यह जनरेटर कैसे काम करता है
पासवर्ड आपके डिवाइस पर crypto.getRandomValues() से बनाए जाते हैं, जो ब्राउज़र का क्रिप्टोग्राफ़िक रूप से सुरक्षित रैंडम नंबर जनरेटर है, और ये कभी भेजे या सहेजे नहीं जाते। सीधा मॉड्यूलो कुछ अक्षरों के आने की संभावना थोड़ी बढ़ा देता, इसलिए टूल रिजेक्शन सैंपलिंग का उपयोग करता है: जो 32-बिट रैंडम मान पूल के आकार के सबसे बड़े गुणज के बराबर या उससे ऊपर होते हैं, उन्हें दोबारा निकाला जाता है, और हर अक्षर के आने की संभावना बिल्कुल बराबर रहती है।
मिलते-जुलते अक्षर छोड़ें i l 1 L o 0 O को हटा देता है, जो तब काम आता है जब पासवर्ड बोलकर बताया जाता है या काग़ज़ से देखकर टाइप किया जाता है, जैसे Wi-Fi कुंजियों के मामले में। भ्रामक चिह्न छोड़ें ब्रैकेट, स्लैश, टिल्ड और , ; : . को हटा देता है, जिन्हें कुछ फ़ॉर्म, शेल और कॉन्फ़िगरेशन फ़ाइलें ठीक से नहीं सँभालतीं, और ! @ # $ % ^ & * - _ = + ? बचे रहते हैं। दोनों विकल्प पूल को छोटा करते हैं, इसलिए भरपाई के लिए लंबाई में एक-दो अक्षर बढ़ा दें।
अक्सर पूछे जाने वाले प्रश्न
पासवर्ड कितना लंबा होना चाहिए?
केवल पासवर्ड से सुरक्षित अकाउंट के लिए कम से कम 15 अक्षर, जो सिंगल-फ़ैक्टर पासवर्ड के लिए NIST SP 800-63B-4 की तय की गई न्यूनतम लंबाई है। पासवर्ड मैनेजर के साथ 16 से 24 रैंडम अक्षरों में आपको कोई अतिरिक्त मेहनत नहीं लगती। जिन पासवर्ड को आप अक्सर टाइप करते हैं, उनके लिए पाँच या छह रैंडम शब्दों वाले पासफ़्रेज़ पर विचार करें।
क्या किसी वेबसाइट पर बना पासवर्ड इस्तेमाल करना सुरक्षित है?
crypto.getRandomValues() के साथ पूरी तरह आपके ब्राउज़र में चलता है, और पासवर्ड न भेजे जाते हैं, न लॉग किए जाते हैं और न सहेजे जाते हैं। जिस पासवर्ड की ज़रूरत हो, उसे सीधे अपने पासवर्ड मैनेजर में कॉपी करें।बिट में एंट्रॉपी का क्या मतलब है?
यह उन पासवर्ड की संख्या का आधार-2 लघुगणक है जो आपकी सेटिंग से बन सकते हैं। 80 बिट का मतलब है 2 की घात 80 संभावित पासवर्ड, और हर अतिरिक्त बिट अनुमान लगाने का काम दोगुना कर देता है। यह बताता है कि पासवर्ड कैसे बनाया गया, इसलिए यह केवल रैंडम पासवर्ड पर लागू होता है।
क्या मुझे अपने पासवर्ड नियमित रूप से बदलने चाहिए?
तय समय पर नहीं। NIST SP 800-63B-4 सेवाओं से कहता है कि वे समय-समय पर पासवर्ड बदलने के लिए मजबूर न करें, क्योंकि लोग इसके जवाब में आसानी से भाँपे जा सकने वाले बदलाव करते हैं। पासवर्ड तब बदलें जब कोई सेवा डेटा लीक की सूचना दे, जब पासवर्ड किसी लीक में दिखाई दे, या जब आपको शक हो कि कोई और उसे जानता है।
क्या हर प्रकार का अक्षर अनिवार्य करने से पासवर्ड ज़्यादा मज़बूत होता है?
नहीं। डिफ़ॉल्ट रूप से चालू यह विकल्प केवल यह पक्का करता है कि संरचना नियमों वाली साइटें पासवर्ड स्वीकार करें। टूल उन पासवर्ड को हटाकर दोबारा बनाता है जिनमें कोई चुना गया प्रकार छूट जाता है, जिससे कुछ संयोजन बाहर हो जाते हैं और असली एंट्रॉपी थोड़ी कम हो जाती है, ख़ासकर छोटे पासवर्ड में; इसलिए दिखाया गया आँकड़ा एक ऊपरी सीमा है। मज़बूती बढ़ाने का बेहतर तरीक़ा लंबाई बढ़ाना है।