किसी पासवर्ड को असल में कितना मज़बूत होना चाहिए?

पासवर्ड की मज़बूती को पारंपरिक रूप से एंट्रोपी के बिट्स में मापा जाता है — मोटे तौर पर, हर मुमकिन कॉम्बिनेशन ख़त्म होने से पहले किसी ब्रूट-फ़ोर्स हमलावर को कितनी कोशिशें करनी पड़ेंगी, जहाँ हर अतिरिक्त बिट उस संख्या को दोगुना कर देता है। एक उचित आकार के कैरेक्टर सेट से चुना गया रैंडम पासवर्ड — 14 से 16 कैरेक्टर के दायरे में लगभग 70 से 80 बिट्स की मज़बूती — उस बिंदु से आराम से आगे बैठता है जहाँ तक किसी ठीक से सुरक्षित अकाउंट के ख़िलाफ़ कोई ब्रूट-फ़ोर्स हमला व्यावहारिक समय में पहुँच ही नहीं सकता, चाहे हमलावर किसी रेट-लिमिटेड लॉगिन फ़ॉर्म के ख़िलाफ़ ऑनलाइन अंदाज़ा लगा रहा हो या किसी चोरी हुए, ठीक से हैश किए गए पासवर्ड डेटाबेस के ख़िलाफ़ ऑफ़लाइन। उस सीमा के बाद, मज़बूती के और बिट्स जोड़ना किसी पासवर्ड को सिर्फ़ एक अमूर्त मायने में "ब्रूट-फ़ोर्स के प्रति और ज़्यादा प्रतिरोधी" बनाए रखता है, जो व्यवहार में मायने रखना बंद कर देता है, क्योंकि उस दायरे में पहुँच चुके किसी पासवर्ड के लिए ब्रूट-फ़ोर्स कभी असली ख़तरा था ही नहीं।

सुरक्षा रिसर्च और डेटा-लीक के पोस्ट-मॉर्टम लगातार असली दुनिया में होने वाले ज़्यादातर अकाउंट टेकओवर के पीछे एक अलग, कम चमकदार वजह की तरफ़ इशारा करते हैं: क्रेडेंशियल स्टफ़िंग, जहाँ कोई हमलावर किसी हैक हुई सर्विस से लीक हुए ईमेल-और-पासवर्ड जोड़ों की लिस्ट लेता है और उन्हीं जोड़ों को दूसरी सर्विसेज़ पर आज़माता है, इस बेहद आम आदत पर दांव लगाते हुए कि लोग एक ही पासवर्ड कई अकाउंट में दोबारा इस्तेमाल करते हैं। कोई पासवर्ड जो अपने-आप में बेहद मज़बूत हो — दर्जनों बिट्स की एंट्रोपी, एक विशाल कैरेक्टर सेट से चुना गया — इस ख़ास हमले के ख़िलाफ़ बिल्कुल शून्य सुरक्षा देता है अगर वह कहीं और भी दोबारा इस्तेमाल हो रहा हो और वह दूसरी सर्विस कभी हैक हुई हो, क्योंकि हमलावर पासवर्ड का अंदाज़ा लगाने की कोशिश कर ही नहीं रहा; उसके पास वह पहले से मौजूद है, हूबहू, किसी बिल्कुल अलग लीक से। यही सटीक वजह है कि सर्विसेज़ के बीच पासवर्ड की विशिष्टता शायद असली दुनिया के अकाउंट सुरक्षा पर कच्ची पासवर्ड मज़बूती से भी बड़ा व्यावहारिक लीवर है — यह नतीजा उन लोगों को हैरान करता है जिन्होंने "इसे और मज़बूत बनाओ" को ही पूरी पासवर्ड सलाह मान लिया है।

कोई पासवर्ड मैनेजर मज़बूती-बनाम-याद रखने की पूरी उलझन को यह ज़रूरत ही हटाकर टाल देता है कि ज़्यादातर पासवर्ड याद रखने पड़ें: यह हर अकाउंट के लिए एक लंबा, पूरी तरह रैंडम, अलग पासवर्ड बना और स्टोर कर सकता है, बिना किसी इंसान से उन्हें याद रखने को कहे, और इस तरह हर उस अकाउंट के लिए क्रेडेंशियल स्टफ़िंग को हमले के रास्ते के तौर पर बंद कर देता है जिसे वह मैनेज करता है, क्योंकि दो पासवर्ड कभी एक जैसे नहीं होते और एक की लीक किसी हमलावर को दूसरे के बारे में कुछ भी काम का नहीं बताती। यही वजह है कि ज़्यादातर ऑनलाइन अकाउंट के लिए व्यावहारिक, ईमानदार सलाह बस यह है कि पासवर्ड मैनेजर इस्तेमाल करें और उसे अधिकतम लंबाई के रैंडम पासवर्ड बनाने दें — मज़बूती-बनाम-याद रखने का वह सवाल जिस पर ज़्यादातर पासवर्ड सलाह उलझी रहती है, सिर्फ़ उन मुट्ठी भर पासवर्ड के लिए एक असली डिज़ाइन ट्रेड-ऑफ़ बना रहता है जो वाक़ई किसी मैनेजर के अंदर नहीं रह सकते, मुख्य रूप से मैनेजर का अपना मास्टर पासवर्ड और फ़ुल-डिस्क एन्क्रिप्शन पासफ़्रेज़ — यही ठीक वह वजह है कि रैंडम डिक्शनरी शब्दों से बनी याद रखने लायक़ पासफ़्रेज़ इस संकरे लेकिन वाक़ई अपरिहार्य मामले के लिए ख़ासतौर पर उपयोगी टूल बनी रहती हैं।

सालों तक, NIST जैसी संस्थाओं की आधिकारिक गाइडलाइन अनिवार्य पासवर्ड कॉम्प्लेक्सिटी नियमों की सिफ़ारिश करती रही — अपरकेस, लोअरकेस, अंक और सिंबल का ज़रूरी मिश्रण — साथ ही हर 60 या 90 दिन में पासवर्ड की ज़बरन आवधिक रोटेशन, और संगठनों ने इन दोनों को व्यापक रूप से स्टैंडर्ड पॉलिसी के तौर पर अपनाया। उसी गाइडलाइन के बाद के संशोधनों ने दोनों सिफ़ारिशें हटा दीं, इस सबूत के आधार पर कि व्यवहार में ये सक्रिय रूप से उलटा असर डाल रही थीं: ज़बरन कॉम्प्लेक्सिटी नियम लोगों को उन अनुमानित प्रतिस्थापन पैटर्न की तरफ़ धकेलते हैं जिनका किसी हमलावर की डिक्शनरी पहले से हिसाब रखती है (कोई अनिवार्य सिंबल भरोसे से अंत में "!" बन जाता है, कोई अनिवार्य अंक भरोसे से "o" की जगह "0" बन जाता है), और ज़बरन आवधिक रोटेशन लोगों को किसी मौजूदा पासवर्ड में छोटे, अनुमानित, वृद्धिशील बदलाव करने की तरफ़ धकेलता है, न कि वाक़ई नए पासवर्ड बनाने की तरफ़, साथ ही यह असली घर्षण भी जोड़ता है जो नाप कर बताया जा सकने वाले तरीक़े से इस बात को बढ़ाता है कि लोग कितनी बार निराश होकर पासवर्ड लिख लेते हैं या कहीं और दोबारा इस्तेमाल कर लेते हैं। मौजूदा गाइडलाइन इसकी बजाय लंबाई पर, नए पासवर्ड को जानी-पहचानी लीक हुई पासवर्ड लिस्ट के ख़िलाफ़ जाँचने पर, और ज़बरन रोटेशन छोड़कर सिर्फ़ तभी रोटेट करने पर ज़ोर देती है जब किसी ख़ास अकाउंट के हैक होने की पुष्टि हो चुकी हो — यह बदलाव इस सबूत से प्रेरित है कि असल में क्या असली दुनिया की सुरक्षा को सुधारता है, न कि कंप्लायंस चेकलिस्ट पर क्या सिर्फ़ सख़्त दिखता है।

किसी सामान्य ऑनलाइन अकाउंट के लिए जो पासवर्ड मैनेजर के पीछे हो: एक बड़े कैरेक्टर सेट से चुना गया कम से कम सोलह कैरेक्टर का पूरी तरह रैंडम पासवर्ड उस बिंदु से आराम से आगे है जहाँ मज़बूती सीमित करने वाला फ़ैक्टर रह जाती है, और व्यावहारिक रूप से ज़रूरी क़दम बस यह है कि वह उस एक अकाउंट के लिए यूनीक हो। किसी मास्टर पासवर्ड या एन्क्रिप्शन पासफ़्रेज़ के लिए जिसे याद रखना और हाथ से टाइप करना ज़रूरी है: किसी बड़ी वर्ड-लिस्ट से रैंडम तरीक़े से चुने गए पाँच या छह शब्दों की पासफ़्रेज़ किसी छोटे रैंडम-कैरेक्टर पासवर्ड जितनी ही मज़बूती हासिल करती है, जबकि उसे भरोसे से याद रखना और टाइप करना वाक़ई मुमकिन बना रहता है — यह वही ख़ास मामला है जहाँ लंबाई-बनाम-याद-रखने का ट्रेड-ऑफ़ असली है और ध्यान से सोचने लायक़ है। और बीच के हर अकाउंट के लिए, सबसे ज़्यादा असर डालने वाली आदत यह नहीं है कि कोई पासवर्ड अमूर्त रूप से काफ़ी मज़बूत है या नहीं, इस पर उलझना — बल्कि यह पक्का करना है कि वह वही पासवर्ड न हो जो किसी और चीज़ की भी रक्षा कर रहा हो, क्योंकि यही वह फ़ेलियर मोड है जो असल में ज़्यादातर असली हैकिंग के लिए ज़िम्मेदार होता है।