मज़बूत पासवर्ड कैसे बनाएं: लंबाई, पासफ़्रेज़ और MFA
NIST और CISA की मौजूदा सलाह के हिसाब से मज़बूत पासवर्ड कैसे बनाएं: इसे लंबा, अलग और रैंडम रखें, पासफ़्रेज़ आज़माएं, पासवर्ड मैनेजर इस्तेमाल करें और MFA चालू करें।
यह गाइड केवल सामान्य जानकारी के लिए है, पेशेवर वित्तीय, कानूनी या तकनीकी सलाह नहीं। मेन्यू और नियम डिवाइस व देश के हिसाब से अलग हो सकते हैं।
मज़बूत पासवर्ड लंबा, रैंडम और सिर्फ़ एक अकाउंट के लिए अलग होता है। अमेरिकी सरकार की मौजूदा सलाह पेचीदगी से ज़्यादा लंबाई को अहमियत देती है: CISA कम से कम 16 कैरेक्टर की सलाह देता है, जैसे पासवर्ड मैनेजर से बनी कोई रैंडम स्ट्रिंग या 5–7 बेमेल शब्दों का एक पासफ़्रेज़।
अक्षरों की जगह सिंबल लगाने से कहीं ज़्यादा ज़रूरी है लंबाई और हर अकाउंट के लिए अलग पासवर्ड। ज़रूरी अकाउंट्स पर मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) चालू करें, तो पासवर्ड लीक होने पर भी आप सुरक्षित रहेंगे।
झटपट जवाब
- लंबा रखें: कम से कम 16 कैरेक्टर का लक्ष्य रखें। जितना लंबा, उतना मज़बूत।
- अलग रखें: हर अकाउंट के लिए अलग पासवर्ड इस्तेमाल करें।
- रैंडम रखें: पासवर्ड मैनेजर से बनवाएं, या पासफ़्रेज़ के तौर पर 5–7 बेमेल शब्द इस्तेमाल करें।
- पुराने नियम छोड़ें: ज़बरदस्ती सिंबल डालने या बार-बार पासवर्ड बदलने की ज़रूरत नहीं। पासवर्ड तब बदलें जब उसके लीक होने का शक हो।
- पासवर्ड मैनेजर इस्तेमाल करें, ताकि वह आपके पासवर्ड बनाए, सेव करे और भरे।
- MFA चालू करें ईमेल, बैंकिंग, हेल्थ और दूसरे ज़रूरी अकाउंट्स के लिए।
पासवर्ड मज़बूत कैसे बनता है?
हमलावर शायद ही कभी हाथ से पासवर्ड का अंदाज़ा लगाते हैं। वे ऐसे सॉफ़्टवेयर इस्तेमाल करते हैं जो आम पासवर्ड, लीक हुए पासवर्ड और अनुमान लगाने लायक पैटर्न की बड़ी-बड़ी लिस्ट आज़माते हैं। मज़बूत पासवर्ड तीन तरीकों से इन टूल्स को मात देता है।
- लंबाई। हर अतिरिक्त कैरेक्टर संभावित कॉम्बिनेशन की संख्या को कई गुना बढ़ा देता है। इसीलिए NIST और CISA दोनों लंबाई पर ज़ोर देते हैं।
- रैंडमनेस। शब्द, नाम, तारीखें और "qwerty" जैसे कीबोर्ड पैटर्न वे चीज़ें हैं जिन्हें हमलावर सबसे पहले आज़माते हैं। सच में रैंडम चुनाव को तोड़ना कहीं ज़्यादा मुश्किल है।
- हर अकाउंट के लिए अलग। जब किसी वेबसाइट का डेटा चोरी होता है, तो अपराधी चुराए गए ईमेल और पासवर्ड को दूसरी साइट्स पर आज़माते हैं। अगर आप एक ही पासवर्ड कई जगह इस्तेमाल करते हैं, तो एक लीक से कई अकाउंट खुल सकते हैं।
मौजूदा सलाह क्या कहती है
अमेरिका का National Institute of Standards and Technology (NIST) पासवर्ड के वे नियम लिखता है जिन्हें कई संस्थाएं मानती हैं। इसकी डिजिटल पहचान गाइडलाइन के अनुसार सर्विसेज़ को:
- जब पासवर्ड ही साइन इन का अकेला तरीका हो, तो कम से कम 15 कैरेक्टर का पासवर्ड ज़रूरी करना चाहिए, या MFA के साथ इस्तेमाल होने पर कम से कम 8 कैरेक्टर।
- कम से कम 64 कैरेक्टर तक के पासवर्ड की इजाज़त देनी चाहिए।
- "एक बड़ा अक्षर, एक नंबर, एक सिंबल" जैसे अलग-अलग कैरेक्टर के मेल को ज़बरदस्ती नहीं थोपना चाहिए।
- तय समय पर पासवर्ड बदलने के लिए मजबूर नहीं करना चाहिए, लेकिन अगर पासवर्ड लीक होने का सबूत हो तो उसे बदलवाना चाहिए।
- नए पासवर्ड को आम या पहले लीक हो चुके पासवर्ड की लिस्ट से मिलाकर जांचना चाहिए।
- पासवर्ड मैनेजर, ऑटोफ़िल और पेस्ट करने की इजाज़त देनी चाहिए।
Cybersecurity and Infrastructure Security Agency (CISA) आम लोगों को भी ऐसी ही सलाह देती है: कम से कम 16 कैरेक्टर, हर अकाउंट के लिए अलग पासवर्ड, और यह काम करने के लिए एक पासवर्ड मैनेजर।
मज़बूत पासवर्ड कैसे बनाएं, स्टेप-बाय-स्टेप
विकल्प 1: पासवर्ड मैनेजर से बनवाएं (सबसे अच्छा)
- कोई भरोसेमंद पासवर्ड मैनेजर चुनें। कई ब्राउज़र और फोन में यह पहले से होता है, और अलग ऐप भी उपलब्ध हैं।
- मैनेजर को एक लंबे, अलग मास्टर पासवर्ड या पासफ़्रेज़ से सुरक्षित करें और उस पर MFA चालू करें।
- जब आप कोई अकाउंट बनाएं या अपडेट करें, तो मैनेजर का generate password विकल्प इस्तेमाल करें।
- लंबाई कम से कम 16 कैरेक्टर रखें। अगर साइट इजाज़त दे, तो और लंबा रखें।
- इसे मैनेजर में सेव करें। अगली बार यह आपके लिए पासवर्ड भर देगा, इसलिए आपको इसे याद रखने की ज़रूरत नहीं पड़ेगी।
विकल्प 2: याद रहने वाला पासफ़्रेज़ बनाएं
इसका इस्तेमाल उन गिने-चुने पासवर्ड के लिए करें जो आपको याद से टाइप करने पड़ते हैं, जैसे कंप्यूटर लॉगिन या पासवर्ड मैनेजर का मास्टर पासवर्ड।
- 5–7 बेमेल शब्द चुनें। जितने रैंडम, उतना बेहतर। गानों के बोल, कहावतें और अपने बारे में कुछ भी इस्तेमाल न करें।
- संयोग से शब्द चुनना (जैसे किसी शब्द-सूची के साथ पासा फेंककर, या डिक्शनरी के रैंडम पेज खोलकर) उन शब्दों से ज़्यादा मज़बूत है जो आपको "रैंडम लगते" हैं।
- उन्हें एक साथ जोड़ें, अगर साइट इजाज़त दे तो स्पेस या किसी सेपरेटर के साथ या बिना: जैसे lantern-gravel-oyster-tundra-pickle। (यह उदाहरण इस्तेमाल न करें। अब यह पब्लिक हो चुका है।)
- जांच लें कि यह कम से कम 16 कैरेक्टर लंबा है। पांच शब्दों वाले ज़्यादातर पासफ़्रेज़ आसानी से इससे लंबे होते हैं।
- इसे सिर्फ़ एक अकाउंट के लिए इस्तेमाल करें।
विकल्प 3: मौजूदा कमज़ोर पासवर्ड को सुधारें
- सबसे ज़रूरी अकाउंट्स से शुरू करें: ईमेल, बैंकिंग, और कोई भी अकाउंट जिससे दूसरे अकाउंट रीसेट हो सकते हैं।
- छोटे या कई जगह इस्तेमाल हुए पासवर्ड की जगह मैनेजर से बना पासवर्ड या नया पासफ़्रेज़ लगाएं।
- अकाउंट की सिक्योरिटी सेटिंग्स में रहते हुए ही MFA चालू कर दें।
- बाकी अकाउंट्स धीरे-धीरे ठीक करें, और अपने पासवर्ड मैनेजर की कमज़ोर या दोहराए गए पासवर्ड वाली लिस्ट को टू-डू लिस्ट की तरह इस्तेमाल करें।
कमज़ोर बनाम मज़बूत पासवर्ड
| पासवर्ड का तरीका | पैटर्न का उदाहरण | मज़बूती | क्यों |
|---|---|---|---|
| आम शब्द में अक्षर बदलकर | P@ssw0rd1 | कमज़ोर | छोटा है और हर हमलावर की लिस्ट में है |
| नाम या तारीख | नाम + जन्म का साल | कमज़ोर | सोशल मीडिया पर आसानी से मिल जाता है |
| छोटा रैंडम मेल | 8 रैंडम कैरेक्टर | ठीक-ठाक | अंदाज़ा लगाना मुश्किल, लेकिन मौजूदा सलाह के हिसाब से बहुत छोटा |
| पासफ़्रेज़ | 5–7 रैंडम बेमेल शब्द | मज़बूत | लंबा और याद रखने लायक |
| मैनेजर से बनी रैंडम स्ट्रिंग | 16+ रैंडम कैरेक्टर | सबसे मज़बूत | लंबा, रैंडम और आपके लिए सेव रहता है |
टेबल में पैटर्न दिखाए गए हैं, असली पासवर्ड नहीं। किसी भी वेबसाइट पर दिया गया उदाहरण पासवर्ड कभी इस्तेमाल न करें।
मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) चालू करें
MFA साइन इन में एक दूसरा कदम जोड़ता है, इसलिए सिर्फ़ चोरी हुआ पासवर्ड काफ़ी नहीं होता। CISA ईमेल, बैंकिंग, हेल्थकेयर और दूसरे ज़रूरी अकाउंट्स पर इसे चालू करने की सलाह देता है। आपका ईमेल सबसे पहले आता है, क्योंकि जिसके पास उसका कंट्रोल है वह आपके बाकी पासवर्ड रीसेट कर सकता है।
MFA के आम तरीके हैं:
- ऑथेंटिकेटर ऐप्स, जो हर 30 सेकंड में नया कोड दिखाते हैं।
- SMS या ईमेल से भेजे गए कोड। MFA न होने से बेहतर हैं, लेकिन CISA के अनुसार SMS और वॉइस कोड फ़िशिंग और SIM-swap हमलों के प्रति कमज़ोर होते हैं, इसलिए इन्हें आखिरी विकल्प मानें।
- बायोमेट्रिक्स, जैसे फ़िंगरप्रिंट या फ़ेस स्कैन।
- FIDO-आधारित साइन इन, जैसे फ़िज़िकल सिक्योरिटी की। CISA के अनुसार FIDO/WebAuthn ही आसानी से मिलने वाला अकेला फ़िशिंग-रोधी तरीका है।
इसे सेट अप करने के लिए अकाउंट की Security या Sign-in सेटिंग्स में "two-step verification" या "multi-factor authentication" जैसे विकल्प देखें। बैकअप कोड किसी सुरक्षित जगह सेव करें।
इन आम गलतियों से बचें
- एक ही पासवर्ड कई जगह इस्तेमाल करना। यह सबसे बड़ा खतरा है। एक लीक से वे सभी अकाउंट खतरे में आ सकते हैं जिनमें वही पासवर्ड है।
- अक्षर बदलने पर भरोसा करना। "a" की जगह "@" लगाना या आखिर में "1!" जोड़ना अनुमान लगाने लायक है, और पासवर्ड तोड़ने वाले टूल इसे अपने आप आज़माते हैं।
- निजी जानकारी इस्तेमाल करना। पालतू जानवर के नाम, जन्मदिन और पसंदीदा टीम ऑनलाइन आसानी से मिल जाते हैं।
- पासवर्ड बिना सुरक्षा वाले नोट या स्प्रेडशीट में लिखना। इसकी जगह एन्क्रिप्टेड पासवर्ड मैनेजर इस्तेमाल करें।
- पासवर्ड या MFA कोड शेयर करना। असली कंपनियां कभी फोन, SMS या ईमेल पर आपका पासवर्ड या साइन-इन कोड नहीं मांगतीं। जानें कि ऑनलाइन स्कैम कैसे पहचानें और फ़िशिंग से कैसे बचें।
- बिना वजह तय समय पर पासवर्ड बदलना। NIST अब ज़बरदस्ती समय-समय पर पासवर्ड बदलने की सलाह नहीं देता, क्योंकि इससे अक्सर छोटे और अनुमान लगाने लायक बदलाव होते हैं। पासवर्ड तब बदलें जब उसके लीक होने का कोई संकेत हो।
अक्सर पूछे जाने वाले सवाल
मज़बूत पासवर्ड कितना लंबा होना चाहिए?
CISA कम से कम 16 कैरेक्टर की सलाह देता है, और इससे लंबा हो तो और बेहतर। NIST के अनुसार जब पासवर्ड ही साइन इन का अकेला तरीका हो, तो सर्विसेज़ को कम से कम 15 कैरेक्टर ज़रूरी करने चाहिए। पासवर्ड मैनेजर से लंबे पासवर्ड इस्तेमाल करना आसान हो जाता है।
क्या पासफ़्रेज़ सच में पेचीदा पासवर्ड से ज़्यादा सुरक्षित हैं?
सच में रैंडम शब्दों वाला लंबा पासफ़्रेज़ आमतौर पर सिंबल से भरे छोटे पासवर्ड से ज़्यादा मज़बूत होता है, और उसे याद रखना कहीं आसान है। पेचीदगी के नियमों से ज़्यादा मज़बूती लंबाई से आती है।
क्या मुझे नियमित रूप से अपने पासवर्ड बदलने चाहिए?
NIST की मौजूदा सलाह कहती है कि तय समय पर पासवर्ड बदलने की ज़रूरत नहीं है। लेकिन अगर कोई सर्विस डेटा लीक की खबर दे, आपको संदिग्ध गतिविधि दिखे, या आपने गलती से पासवर्ड शेयर कर दिया हो, तो उसे तुरंत बदलें।
क्या पासवर्ड मैनेजर सुरक्षित हैं?
मज़बूत मास्टर पासवर्ड और MFA से सुरक्षित भरोसेमंद पासवर्ड मैनेजर, एक ही पासवर्ड कई जगह इस्तेमाल करने या लिखकर रखने से कहीं ज़्यादा सुरक्षित है। इससे हर जगह अलग पासवर्ड इस्तेमाल करना भी आसान हो जाता है।
अगर मेरा पासवर्ड किसी डेटा लीक में आ गया हो तो क्या करें?
वह पासवर्ड तुरंत बदलें, साथ ही हर उस अकाउंट का भी जहां आपने वही पासवर्ड इस्तेमाल किया था। MFA चालू करें और अकाउंट की हाल की गतिविधि देखें। अगर अकाउंट से पैसों का लेन-देन होता था, तो स्टेटमेंट भी जांचें।
क्या ब्राउज़र में पासवर्ड सेव करना सुरक्षित है?
बड़े ब्राउज़र और फोन में मौजूद बिल्ट-इन पासवर्ड मैनेजर कई लोगों के लिए ठीक विकल्प हैं, खासकर जब डिवाइस लॉक और MFA चालू हो। ब्राउज़र कैश क्लियर करने से पहले पक्का कर लें कि आप साथ में अपने ज़रूरी सेव किए गए पासवर्ड तो डिलीट नहीं कर रहे।