ज़्यादातर लोग जानते हैं कि उन्हें मज़बूत पासवर्ड इस्तेमाल करने चाहिए। लेकिन कम लोग जानते हैं कि आज "मज़बूत" का असल मतलब क्या है, और चालीस अलग-अलग रैंडम पासवर्ड याद रखना लगभग किसी के बस की बात नहीं। अच्छी खबर यह है कि आपको ऐसा करने की ज़रूरत भी नहीं है। यह गाइड बताती है कि हमलावर असल में पासवर्ड कैसे अनुमान लगाते हैं, किसी पासवर्ड को तोड़ना मुश्किल क्या बनाता है, ऐसा पासवर्ड कैसे बनाएँ जो आपको सच में याद रहे, और बाकी सभी पासवर्ड बिना सिरदर्द के कैसे संभालें।
कमज़ोर पासवर्ड आज भी क्यों टूट जाते हैं
बहुत कम पासवर्ड ऐसे टूटते हैं कि कोई लॉगिन पेज पर बैठकर अंदाज़े टाइप करे। ज़्यादातर पासवर्ड इन तीन तरीकों में से किसी एक से उजागर होते हैं:
- डेटा ब्रीच और क्रेडेंशियल स्टफ़िंग। जब किसी वेबसाइट में सेंध लगती है, तो उसकी ईमेल और पासवर्ड (या पासवर्ड हैश) की सूची अक्सर इंटरनेट पर पहुँच जाती है। फिर हमलावर वही ईमेल-पासवर्ड जोड़ी दूसरी साइटों पर आज़माते हैं, जैसे ईमेल, बैंकिंग और शॉपिंग। अगर आपने पासवर्ड दोबारा इस्तेमाल किया है, तो वे बिना कुछ अनुमान लगाए अंदर पहुँच जाते हैं।
- ऑफ़लाइन क्रैकिंग। अगर हैक हुई साइट ने पासवर्ड हैश स्टोर किए थे, तो हमलावर साधारण ग्राफ़िक्स कार्ड पर हर सेकंड अरबों अनुमान आज़मा सकते हैं। छोटे पासवर्ड, डिक्शनरी के शब्द और
Summer2026!जैसे आम पैटर्न जल्दी टूट जाते हैं। - फ़िशिंग। एक भरोसेमंद दिखने वाला नकली लॉगिन पेज सीधे आपसे पासवर्ड माँग लेता है। अगर आप उसे गलत साइट पर टाइप कर दें, तो कोई भी जटिलता काम नहीं आती।
इसी से दो सबसे ज़रूरी नियम निकलते हैं: हर ज़रूरी अकाउंट का पासवर्ड अलग होना चाहिए, और हर पासवर्ड लंबा और अप्रत्याशित होना चाहिए। बाकी सब बारीकियाँ हैं।
पासवर्ड को असल में मज़बूत क्या बनाता है
सुरक्षा विशेषज्ञ पासवर्ड की मज़बूती को एंट्रॉपी में मापते हैं, यानी सबसे खराब स्थिति में हमलावर को कितने अनुमान लगाने पड़ेंगे, जिसे बिट्स में लिखा जाता है। हर अतिरिक्त बिट काम को दोगुना कर देता है। एंट्रॉपी दो चीज़ों पर निर्भर करती है: पासवर्ड कितना लंबा है और उसे कितने अप्रत्याशित तरीके से चुना गया।
लंबाई जटिलता से ज़्यादा मायने रखती है
पूरे कीबोर्ड (लगभग 94 प्रिंट होने वाले अक्षर) से चुने गए रैंडम अक्षरों वाला पासवर्ड हर अक्षर पर करीब 6.5 बिट देता है। यानी:
- 8 रैंडम अक्षर ≈ 52 बिट, जो किसी ज़िद्दी ऑफ़लाइन हमले की पहुँच में है।
- 12 रैंडम अक्षर ≈ 79 बिट, जो ज़्यादातर कामों के लिए मज़बूत है।
- 16 रैंडम अक्षर ≈ 105 बिट, जो व्यावहारिक ब्रूट फ़ोर्स से बहुत आगे है।
ध्यान दें कि अक्षर बढ़ाना, अक्षरों की जगह चिह्न लगाने से कहीं ज़्यादा मदद करता है। P@ssw0rd जटिल दिखता है, लेकिन क्रैकिंग टूल ऐसे बदलाव सबसे पहले आज़माते हैं, इसलिए यह कमज़ोर है। एक लंबा, रैंडम पासवर्ड सिर्फ़ अक्षरों और अंकों से बना हो तब भी मज़बूत होता है।
चालाकी से बेहतर है रैंडमनेस
एंट्रॉपी का हिसाब तभी सही बैठता है जब पासवर्ड रैंडम तरीके से चुना गया हो। इंसान रैंडमनेस में कमज़ोर होते हैं: हम नाम, तारीखें, कीबोर्ड पैटर्न (qwerty, 1q2w3e), पसंदीदा टीमें चुनते हैं, पहला अक्षर कैपिटल करते हैं और आखिर में 1! जोड़ देते हैं। हमलावर इन्हीं आदतों को अपने अनुमान के नियमों में शामिल करते हैं। खुद गढ़ा हुआ पासवर्ड लगभग हमेशा उतना मज़बूत नहीं होता जितना लगता है।
इसीलिए पासवर्ड जनरेटर सबसे अच्छी शुरुआत है। यह अक्षरों को रैंडम तरीके से चुनता है, इसलिए कोई पैटर्न नहीं बचता जिसका फ़ायदा उठाया जा सके। आप लंबाई और अक्षरों के सेट चुनते हैं, जैसे lowercase, UPPERCASE, अंक और चिह्न।
विशेषज्ञ आज क्या सलाह देते हैं
अमेरिका का नेशनल इंस्टिट्यूट ऑफ़ स्टैंडर्ड्स एंड टेक्नोलॉजी (NIST) डिजिटल पहचान से जुड़े दिशानिर्देश (SP 800-63B) जारी करता है, जिन्हें कई संगठन मानते हैं। इसकी हाल की सलाह कई पुरानी आदतों के ख़िलाफ़ है:
- यह लंबे पासवर्ड को प्राथमिकता देती है और सेवाओं से कहती है कि वे लंबे पासवर्ड और पासफ़्रेज़, स्पेस समेत, स्वीकार करें।
- यह "एक चिह्न और एक अंक ज़रूरी है" जैसे ज़बरदस्ती के नियमों से बचने को कहती है, क्योंकि इनसे अनुमान लगाने लायक पैटर्न बनते हैं।
- यह बिना वजह समय-समय पर पासवर्ड बदलवाने से बचने को कहती है, क्योंकि लोग जवाब में छोटे और अनुमान लगाने लायक बदलाव कर देते हैं। पासवर्ड तब बदलें जब उसके लीक होने का सबूत हो।
- यह सलाह देती है कि सेवाएँ नए पासवर्ड को पहले से लीक हुए पासवर्ड की सूचियों से मिलाएँ और उन्हें अस्वीकार करें।
संक्षेप में: लंबा, अलग और कभी लीक न हुआ पासवर्ड, कुछ चिह्न छिड़कने से कहीं ज़्यादा मायने रखता है।
ऐसा मज़बूत पासवर्ड कैसे बनाएँ जो याद रहे
आपको बस कुछ ही पासवर्ड याद रखने हैं: पासवर्ड मैनेजर का मास्टर पासवर्ड, आपका मुख्य ईमेल अकाउंट, और शायद कंप्यूटर का लॉगिन। इनके लिए पासफ़्रेज़ इस्तेमाल करें।
चरण 1: रैंडम शब्द चुनें, कोई बोला जाने वाला वाक्य नहीं
डाइसवेयर तरीके में पासे की मदद से 7,776 शब्दों की सूची से रैंडम शब्द चुने जाते हैं। हर शब्द करीब 12.9 बिट एंट्रॉपी जोड़ता है, इसलिए छह रैंडम शब्दों से लगभग 77 बिट बनते हैं, जो 12 अक्षरों के रैंडम पासवर्ड के बराबर है और याद रखना कहीं आसान है। orbit candle velvet hammock tulip ferry जैसा कुछ मज़बूत है; कोई मशहूर कोट या गाने के बोल नहीं, क्योंकि हमलावर उन्हें भी आज़माते हैं।
चरण 2: एक तस्वीर से इसे यादगार बनाएँ
एक ऐसा दृश्य सोचें जो शब्दों को जोड़े: कक्षा (orbit) में घूमता एक सैटेलाइट मोमबत्ती थामे, मखमल में लिपटा, ट्यूलिप से भरे झूले में फ़ेरी पर झपकी ले रहा है। अजीब मानसिक तस्वीरें हैरानी की हद तक अच्छी तरह याद रहती हैं।
चरण 3: साइट माँगे तो सेपरेटर जोड़ें
अगर कोई साइट अंक या चिह्न ज़रूरी करती है, तो उन्हें आखिर में नहीं, शब्दों के बीच लगाएँ: orbit-candle-7-velvet-hammock-tulip। इससे नियम भी पूरा होता है और याद रखना मुश्किल भी नहीं होता।
चरण 4: जाँचें, फिर अभ्यास करें
इसे पासवर्ड स्ट्रेंथ चेकर में जाँचें ताकि पक्का हो कि यह छोटा या पैटर्न पर आधारित नहीं है, फिर एक हफ़्ते तक रोज़ कुछ बार टाइप करें जब तक यह आदत न बन जाए। ज़्यादा सावधानी के लिए असली पासफ़्रेज़ की जगह उससे मिलता-जुलता उदाहरण जाँचें।
बाकी सबके लिए: जनरेट करें और सेव करें
शॉपिंग, स्ट्रीमिंग, फ़ोरम और बिल भुगतान जैसे दर्जनों दूसरे अकाउंट के लिए कुछ भी याद न रखें। हर एक के लिए 16 या उससे ज़्यादा अक्षरों का रैंडम पासवर्ड बनाएँ और उसे पासवर्ड मैनेजर में सेव करें। जाने-माने विकल्पों में Bitwarden, 1Password, Apple डिवाइस और Google Chrome के बिल्ट-इन मैनेजर और अन्य शामिल हैं। ये आपके लिए पासवर्ड भरते हैं, सभी डिवाइस में सिंक करते हैं, और कई आपको चेतावनी देते हैं जब कोई सेव किया पासवर्ड किसी ज्ञात ब्रीच में दिखे।
पासवर्ड मैनेजर फ़िशिंग से बचाने में भी मदद करता है: यह हूबहू दिखने वाले नकली डोमेन पर आपका बैंक पासवर्ड अपने-आप नहीं भरेगा, जो एक काम का चेतावनी संकेत है।
टू-फ़ैक्टर ऑथेंटिकेशन चालू करें
एक परफ़ेक्ट पासवर्ड भी फ़िशिंग या लीक का शिकार हो सकता है। टू-फ़ैक्टर ऑथेंटिकेशन (2FA) एक दूसरी जाँच जोड़ता है, ताकि सिर्फ़ चोरी हुआ पासवर्ड काफ़ी न हो। सबसे मज़बूत से सबसे कमज़ोर तक आम विकल्प ये हैं:
- पासकी या हार्डवेयर सिक्योरिटी की, जो फ़िशिंग से सुरक्षित हैं क्योंकि ये असली वेबसाइट से जुड़ी होती हैं।
- ऑथेंटिकेटर ऐप के कोड (समय-आधारित वन-टाइम पासवर्ड)।
- SMS कोड, जो कुछ न होने से बेहतर हैं, लेकिन SIM-स्वैप हमलों के प्रति कमज़ोर हैं।
सबसे पहले अपने ईमेल अकाउंट पर 2FA चालू करें। जिसके पास आपका ईमेल है, वह आपके लगभग हर दूसरे पासवर्ड को रीसेट कर सकता है।
पासवर्ड से जुड़ी आम गलतियाँ
- पासवर्ड दोबारा इस्तेमाल करना, भले ही "सिर्फ़ गैर-ज़रूरी साइटों के लिए"। गैर-ज़रूरी साइटों के ब्रीच से ही ज़रूरी अकाउंट हाइजैक होते हैं।
- निजी जानकारी जैसे नाम, जन्मदिन, पालतू जानवर या पते, जिनमें से कई सोशल मीडिया पर सार्वजनिक होते हैं।
- अनुमान लगाने लायक बदलाव, जैसे
Winter2025!कोSpring2026!कर देना। - चैट या ईमेल पर सादे टेक्स्ट में पासवर्ड शेयर करना। इसकी जगह अपने पासवर्ड मैनेजर का शेयरिंग फ़ीचर इस्तेमाल करें।
- सिक्योरिटी सवालों के असली जवाब। इन्हें अतिरिक्त पासवर्ड की तरह मानें और मैनेजर में रैंडम जवाब सेव करें।
इस वीकेंड पूरा करने लायक एक आसान प्लान
- एक पासवर्ड मैनेजर इंस्टॉल करें और उसके लिए छह शब्दों का पासफ़्रेज़ बनाएँ।
- अपने ईमेल का पासवर्ड एक नए, अलग पासफ़्रेज़ में बदलें और 2FA चालू करें।
- बैंकिंग, पेमेंट और मुख्य सोशल अकाउंट को पासवर्ड जनरेटर से बने पासवर्ड से अपडेट करें।
- अगले कुछ हफ़्तों में, जब भी किसी पुरानी साइट पर लॉग इन करें, दोबारा इस्तेमाल हुए पासवर्ड बदल दें।
रास्ते में काम आने वाले टूल: नए पासवर्ड के लिए पासवर्ड जनरेटर, पासफ़्रेज़ का स्टाइल जाँचने के लिए पासवर्ड स्ट्रेंथ चेकर, डाइसवेयर के लिए वर्चुअल पासा फेंकना हो तो रैंडम नंबर जनरेटर, और कुछ भी टाइप करने से पहले किसी संदिग्ध लॉगिन लिंक का असली डोमेन जाँचने के लिए URL पार्सर।
अक्सर पूछे जाने वाले सवाल
पासवर्ड कितना लंबा होना चाहिए?
पासवर्ड मैनेजर में सेव किए जाने वाले जनरेटेड पासवर्ड के लिए 16 या उससे ज़्यादा अक्षर एक अच्छा डिफ़ॉल्ट है। याद रखे जाने वाले पासफ़्रेज़ के लिए पाँच या छह रैंडम शब्द रखें।
क्या पासफ़्रेज़ सच में रैंडम पासवर्ड जितने मज़बूत होते हैं?
हाँ, अगर शब्द रैंडम तरीके से चुने गए हों। किसी बड़ी सूची से चुने गए छह रैंडम शब्द लगभग 12 अक्षरों के रैंडम पासवर्ड जितने मज़बूत होते हैं, और याद रखना कहीं आसान है।
क्या मुझे नियमित रूप से पासवर्ड बदलने चाहिए?
मौजूदा सलाह कहती है नहीं, जब तक कोई वजह न हो, जैसे ब्रीच, फ़िशिंग की कोशिश या शेयर किया गया पासवर्ड। अलग और मज़बूत पासवर्ड को रूटीन बदलाव की ज़रूरत नहीं होती।
क्या ऑनलाइन पासवर्ड जनरेटर इस्तेमाल करना सुरक्षित है?
एक भरोसेमंद जनरेटर पासवर्ड बनाकर आपको दिखाता है; उसे इसे स्टोर नहीं करना चाहिए। ज़्यादा तसल्ली के लिए अपने सबसे संवेदनशील अकाउंट के लिए पासवर्ड मैनेजर का बिल्ट-इन जनरेटर इस्तेमाल करें।
क्या पासवर्ड मैनेजर सुरक्षित हैं?
ज़्यादातर लोगों के लिए, मज़बूत मास्टर पासफ़्रेज़ और 2FA से सुरक्षित एक भरोसेमंद पासवर्ड मैनेजर, पासवर्ड दोबारा इस्तेमाल करने या उन्हें नोट्स ऐप में रखने से कहीं ज़्यादा सुरक्षित है।