पासवर्ड, समझाया गया: वो डिजिटल चाबी जो या तो एक टहनी है या बैंक की तिजोरी का दरवाज़ा

एक वाक्य में

एक पासवर्ड जनरेटर कैरेक्टर्स का एक ऐसा स्ट्रिंग बनाता है जो इतना रैंडम होता है कि कंप्यूटर के लिए उसका अंदाज़ा लगाना लगभग नामुमकिन है, भले ही वह प्रति सेकंड अरबों कोशिशें कर ले।

यह कौन सी समस्या हल करता है

इंसान चलते-फिरते, बात करते, पैटर्न बनाने वाले मशीन हैं। हम शॉर्टकट खोजने, बादलों में चेहरे देखने, और धुनों को याद रखने में माहिर हैं। लेकिन, हम रैंडमनेस बनाने में बिल्कुल बेकार हैं।

जब हमसे पासवर्ड बनाने के लिए कहा जाता है, तो हमारा दिमाग उन्हीं चीज़ों की ओर जाता है जिन्हें वह जानता है: पालतू जानवरों के नाम (fluffy1), महत्वपूर्ण तारीखें (MomBday1965!), पसंदीदा स्पोर्ट्स टीमें (GoPackGo2024), या कीबोर्ड पैटर्न (qwerty12345)। हमें लगता है कि हम एक o को 0 से बदलकर या अंत में एक विस्मयादिबोधक चिह्न (!) लगाकर चालाकी कर रहे हैं, लेकिन हम बस एक थोड़े अधिक जटिल, पर फिर भी अनुमान लगाने योग्य, पैटर्न का पालन कर रहे हैं।

कंप्यूटिंग के शुरुआती दिनों में यह ठीक था। लेकिन जैसे-जैसे प्रोसेसिंग पावर में विस्फोट हुआ, हमलावरों ने अंदाज़ा लगाने के खेल को ऑटोमेट कर दिया। उन्होंने डिक्शनरी के हर शब्द को आज़माने के लिए टूल बनाए (एक "डिक्शनरी अटैक")। फिर उन्होंने नंबर, आम प्रतिस्थापन, और स्पेशल कैरेक्टर जोड़े। आज, एक आधुनिक GPU प्रति सेकंड अरबों अंदाज़े लगा सकता है। एक पासवर्ड जैसे P@ssw0rd1! किसी इंसान को जटिल लग सकता है, लेकिन एक कंप्यूटर के लिए, यह एक आसान शिकार है जिसका अंदाज़ा मिनटों में, या शायद सेकंडों में लगाया जा सकता है।

एक पासवर्ड जनरेटर जिस समस्या को हल करता है, वह है "इंसानी दिमाग" की समस्या। यह एक सीक्रेट की (गुप्त चाबी) बनाने का काम एक ऐसी मशीन को सौंप देता है जिसका कोई पूर्वाग्रह नहीं है, कोई पसंदीदा पालतू जानवर का नाम नहीं है, और इस बात की कोई धारणा नहीं है कि "रैंडम क्या दिखता है।" यह बस गणितीय सिद्धांतों का पालन करके एक ऐसा स्ट्रिंग बनाता है जो, सभी व्यावहारिक उद्देश्यों के लिए, शुद्ध नॉइज़ (शोर) है—और यह नॉइज़ एक सुरक्षा के प्रति जागरूक डेवलपर के लिए एक सिम्फनी (मधुर संगीत) है।

हुड के नीचे यह कैसे काम करता है

एक अच्छा पासवर्ड जनरेटर सिर्फ कीज़ (keys) को एक साथ नहीं पटक रहा होता है। यह एंट्रॉपी की गणितीय अवधारणा पर आधारित एक सावधान, सोची-समझी प्रक्रिया है। इसे एक हाई-टेक पासा फेंकने वाली मशीन के रूप में सोचें।

गुप्त सामग्री: एंट्रॉपी (Entropy)

क्रिप्टोग्राफी में, एंट्रॉपी अप्रत्याशितता या रैंडमनेस का एक माप है। उच्च एंट्रॉपी का मतलब है कि किसी मान का अनुमान लगाना बहुत मुश्किल है; कम एंट्रॉपी का मतलब है कि यह अनुमानित है। आपके जन्मदिन में कम एंट्रॉपी होती है। 100 सिक्कों के उछाल के परिणाम में उच्च एंट्रॉपी होती है।

एक पासवर्ड जनरेटर को अपना काम करने के लिए उच्च-गुणवत्ता वाली रैंडमनेस के स्रोत की आवश्यकता होती है। एक आधुनिक वेब ब्राउज़र में, यह स्रोत आमतौर पर Web Crypto API होता है, विशेष रूप से crypto.getRandomValues() जैसा एक फ़ंक्शन। यह आपके दादाजी का Math.random() नहीं है। एक सरल, अनुमानित एल्गोरिथ्म का उपयोग करने के बजाय, यह ऑपरेटिंग सिस्टम के एंट्रॉपी पूल में टैप करता है। यह पूल अराजकता का एक कड़ाहा है, जिसे अप्रत्याशित इनपुट के साथ हिलाया जाता है जैसे:

आपके माउस की हरकतों और क्लिक्स का सटीक समय
आपके कीबोर्ड स्ट्रोक्स की लय
हार्डवेयर डिवाइस (जैसे पंखा या हार्ड ड्राइव) से आने वाला नॉइज़
नेटवर्क पैकेट की टाइमिंग

ब्राउज़र इस क्रिप्टोग्राफ़िक-ग्रेड स्यूडो-रैंडम नंबर जेनरेटर (CSPRNG) का उपयोग संख्याओं की एक ऐसी स्ट्रीम प्राप्त करने के लिए करता है जो सुरक्षा उद्देश्यों के लिए पर्याप्त रूप से अप्रत्याशित हैं। यह हमारे पासवर्ड के लिए कच्चा माल है।

कैरेक्टर पूल का निर्माण

इसके बाद, जनरेटर उस "अल्फाबेट" को परिभाषित करता है जिसमें से वह चुन सकता है। यह सिर्फ A-Z नहीं है। यह उन सभी कैरेक्टर्स का पूरा सेट है जिनकी आपने अनुमति दी है। एक सामान्य कॉन्फ़िगरेशन इस तरह दिखता है:

छोटे अक्षर (Lowercase): abcdefghijklmnopqrstuvwxyz (26 कैरेक्टर)
बड़े अक्षर (Uppercase): ABCDEFGHIJKLMNOPQRSTUVWXYZ (26 कैरेक्टर)
नंबर (Numbers): 0123456789 (10 कैरेक्टर)
प्रतीक (Symbols): !"#$%&'()*+,-./:;<=>?@[\]^_`{|}~ (32 कैरेक्टर)

यदि आप सभी चार सेट सक्षम करते हैं, तो आपके कैरेक्टर पूल (N) का आकार 26 + 26 + 10 + 32 = 94 संभावित कैरेक्टर हो जाता है। इस पूल का आकार अंतिम पासवर्ड की ताकत में एक महत्वपूर्ण कारक है।

पासा फेंकना: एल्गोरिथ्म

रैंडम संख्याओं के स्रोत और कैरेक्टर्स के पूल के साथ, प्रक्रिया आश्चर्यजनक रूप से सरल है:

एक रैंडम नंबर प्राप्त करें: CSPRNG से 0 और 93 (हमारे कैरेक्टर पूल का कुल आकार माइनस एक) के बीच एक रैंडम नंबर मांगें।
एक कैरेक्टर चुनें: उस नंबर को पूल से एक कैरेक्टर चुनने के लिए इंडेक्स के रूप में उपयोग करें। उदाहरण के लिए, यदि रैंडम नंबर 74 है, और हमारे पूल में 74वां कैरेक्टर & है, तो & हमारे पासवर्ड का पहला कैरेक्टर है।
दोहराएं: पासवर्ड की वांछित लंबाई (L) के लिए इसे बार-बार करें।

एक सरलीकृत जावास्क्रिप्ट-जैसा उदाहरण कुछ इस तरह दिख सकता है:

function generatePassword(length, characterPool) {
  let password = "";
  const poolSize = characterPool.length;

  // दक्षता के लिए एक ही बार में रैंडम नंबरों का एक ऐरे प्राप्त करें
  const randomValues = new Uint32Array(length);
  window.crypto.getRandomValues(randomValues);

  for (let i = 0; i < length; i++) {
    // पूल से एक कैरेक्टर चुनने के लिए रैंडम नंबर का उपयोग करें
    const randomIndex = randomValues[i] % poolSize;
    password += characterPool[randomIndex];
  }
  return password;
}

const allChars = "abc...XYZ...123...#$!..."; // 94 कैरेक्टर्स का पूल
const myStrongPassword = generatePassword(16, allChars);
// परिणाम: कुछ ऐसा "9k&vB$@p!Z*rE#wJ"

मुख्य बात एक यूनिफ़ॉर्म डिस्ट्रिब्यूशन सुनिश्चित करना है—पूल में प्रत्येक कैरेक्टर को पासवर्ड में प्रत्येक स्थिति के लिए चुने जाने का समान अवसर मिलना चाहिए।

ताकत मापना: एंट्रॉपी के बिट्स

तो, परिणाम कितना मजबूत है? हम इसे "एंट्रॉपी के बिट्स" में मापते हैं। सूत्र है log₂(कुल कॉम्बिनेशंस)। कुल कॉम्बिनेशंस की संख्या कैरेक्टर पूल का आकार (N) है जिसे पासवर्ड की लंबाई (L) की घात तक बढ़ाया जाता है, या N^L।

एंट्रॉपी के बिट्स का सूत्र है: H = L * log₂(N)

आइए देखें कि यह कैसे काम करता है।

लंबाई (L)	कैरेक्टर सेट (N)	कॉम्बिनेशंस (N^L)	एंट्रॉपी के बिट्स (H)	क्रैक करने का समय (10¹² अनुमान/सेकंड पर)
8	सिर्फ छोटे अक्षर (26)	208 अरब	~37.6	मिलीसेकंड
8	सभी कैरेक्टर (94)	6 क्वाड्रिलियन	~52.4	मिनट
12	सभी कैरेक्टर (94)	4.7 x 10²³	~78.7	हजारों साल
16	सभी कैरेक्टर (94)	3.7 x 10³¹	~104.9	खरबों साल
24	सभी कैरेक्टर (94)	2.3 x 10⁴⁷	~157.3	अनंत काल तक

जैसा कि आप देख सकते हैं, हर कैरेक्टर जो आप लंबाई में जोड़ते हैं, वह सिर्फ ताकत नहीं जोड़ता—यह उसे गुणा करता है। यह घातीय वृद्धि (exponential growth) ही कारण है कि 16-कैरेक्टर का पासवर्ड 8-कैरेक्टर वाले से सिर्फ दोगुना मजबूत नहीं है; यह सेक्सटिलियन गुना मजबूत है। यह पासवर्ड सुरक्षा की गणितीय रीढ़ है।

वास्तविक दुनिया की कहानियाँ

"Password123" का झरना

एक जूनियर डेवलपर, मान लीजिए उसका नाम एलेक्स है, एक नए प्रोजेक्ट के लिए एक दर्जन सेवाओं का प्रबंधन कर रही थी: GitHub, एक क्लाउड सर्वर प्रदाता, एक डेटाबेस सेवा, और कई SaaS मॉनिटरिंग टूल। चीजों को सरल रखने के लिए, उसने एक ऐसा पासवर्ड इस्तेमाल किया जिसे वह याद रख सकती थी: ProjectName2023!। यह काफी सुरक्षित लगा। एक दिन, एक obscure फोरम-सॉफ़्टवेयर-एज़-ए-सर्विस, जिसके लिए उसने एक बग को ट्रैक करने के लिए साइन अप किया था, ने डेटा ब्रीच की घोषणा की। उनका उपयोगकर्ता डेटाबेस, जिसमें हैश किए गए पासवर्ड भी शामिल थे, लीक हो गया। दुर्भाग्य से, उन्होंने एक कमजोर हैशिंग एल्गोरिथ्म का उपयोग किया था, और कुछ ही घंटों में, क्रैकर्स ने हैश को प्लेन टेक्स्ट में बदल दिया। हमलावरों ने फिर ऑटोमेटेड स्क्रिप्ट चलाई, लीक हुए ईमेल:पासवर्ड कॉम्बिनेशन को प्रमुख सेवाओं पर आज़माया। उन्हें एलेक्स के खाते से जैकपॉट लग गया। उसके ProjectName2023! पासवर्ड ने उन्हें उसके क्लाउड प्रदाता और GitHub रेपो तक पहुंच प्रदान की। उन्होंने सोर्स कोड और ग्राहक डेटा की नकल की, फिर सर्वर को मिटा दिया।

सबक: पासवर्ड का पुन: उपयोग एक टिक-टिक करता टाइम बम है। कहीं भी एक ब्रीच हर जगह एक ब्रीच बन जाता है। हर सेवा को एक अद्वितीय, रैंडमली जेनरेट किए गए पासवर्ड की आवश्यकता होती है।

ब्रूट-फोर्स जो विफल हो गया

एक sysadmin जिसका नाम बेन था, एक नए सार्वजनिक-सामना करने वाले SSH सर्वर को हार्डन कर रहा था। यह सर्वर एक आकर्षक लक्ष्य था, और वह जानता था कि जैसे ही यह लाइव होगा, बॉट्स द्वारा इसे स्कैन किया जाएगा। रूट यूजर अकाउंट के लिए (जिसे वह वैसे भी बाहरी लॉगिन के लिए डिसेबल करने की योजना बना रहा था), उसने पासवर्ड सोचने की कोशिश भी नहीं की। उसने सभी कैरेक्टर सेट का उपयोग करके 32-कैरेक्टर की पूरी तरह से बकवास स्ट्रिंग जेनरेट की: कुछ इस तरह q#8v...G@z7। एक हफ्ते बाद, उत्सुकतावश, उसने सर्वर के ऑथेंटिकेशन लॉग्स का निरीक्षण किया। उसे एक भयानक दृश्य मिला: दुनिया भर के IP पतों से लाखों असफल लॉगिन प्रयास। बॉट्स एक अथक ब्रूट-फोर्स अटैक चला रहे थे, आम पासवर्ड, डिक्शनरी शब्द और अनुक्रमिक कैरेक्टर आज़मा रहे थे। लेकिन उसके 32-कैरेक्टर के किले के खिलाफ, वे एक पहाड़ पर कंकड़ फेंकने जैसे थे। वे कभी करीब भी नहीं पहुँच पाए।

सबक: ऑटोमेटेड, अंधाधुंध हमलों के खिलाफ आपकी रक्षा की पहली पंक्ति एक ऐसा पासवर्ड है जो इतना जटिल और लंबा हो कि उसे ब्रूट-फोर्स करना गणितीय रूप से अव्यावहारिक हो।

पेन-टेस्टर की "आसान जीत"

मारिया, एक पेनिट्रेशन टेस्टर, को एक मध्यम आकार की कंपनी की सुरक्षा का आकलन करने के लिए काम पर रखा गया था। उसने "सोशल इंजीनियरिंग" और जासूसी से शुरुआत की। ऑफिस में एक गाइडेड टूर पर चलते समय, उसने विवेकपूर्वक लोगों के वर्कस्पेस का अवलोकन किया। एक मॉनिटर के किनारे एक पोस्ट-इट नोट चिपका हुआ था जिस पर Winter2024$ लिखा था। यह अकाउंटिंग में किसी का था। यह पासवर्ड क्लासिक "मानव" पैटर्न का पालन करता था: एक आम शब्द, वर्तमान मौसम/वर्ष, और अंत में एक प्रतीक। यह एक ऐसी नीति को पूरा करने के लिए डिज़ाइन किया गया पासवर्ड था (एक कैपिटल, एक नंबर, एक प्रतीक शामिल होना चाहिए) जबकि अभी भी यादगार हो। मारिया के लिए, यह एक खुला दरवाज़ा था। उसने इसका इस्तेमाल कंपनी के वित्तीय सॉफ्टवेयर में लॉग इन करने के लिए किया, यह साबित करते हुए कि वह संवेदनशील डेटा तक पहुंच और हेरफेर कर सकती थी।

सबक: पासवर्ड नीति का पालन करते हुए भी, इंसान अनुमानित पासवर्ड बनाते हैं। एक जनरेटर से सच्ची रैंडमनेस मानव तत्व को हटा देती है, जो अक्सर सबसे कमजोर कड़ी होती है।

आम गलतियाँ और जाल

एक संदिग्ध जनरेटर पर भरोसा करना। रैंडम वेबसाइटों से सावधान रहें जो पासवर्ड जनरेशन की पेशकश करती हैं। एक दुर्भावनापूर्ण साइट अपने द्वारा बनाए गए हर पासवर्ड को लॉग कर सकती है। प्रतिष्ठित, ओपन-सोर्स टूल या उन पर टिके रहें जो पूरी तरह से आपके ब्राउज़र में चलते हैं, जहां कोड डेटा वापस नहीं भेज सकता है।
याद रखने के लिए रैंडमनेस का त्याग करना। यदि आप एक पासवर्ड जेनरेट करते हैं और फिर उसे याद रखने में आसान बनाने के लिए "बदलते" हैं, तो आपने पूरे मुद्दे को ही खत्म कर दिया है। आपने बस उस अनुमानित मानव पैटर्न को फिर से डाल दिया है जिसका हमलावर फायदा उठाते हैं।
कैरेक्टर सेट को नज़रअंदाज़ करना। सिर्फ नंबरों से बना 20-कैरेक्टर का पासवर्ड (27182818284590452353) अक्षरों, संख्याओं और प्रतीकों का उपयोग करने वाले 12-कैरेक्टर के पासवर्ड की तुलना में बहुत कमजोर है। कैरेक्टर पूल (N) का आकार ताकत के लिए एक शक्तिशाली गुणक है।
जेनरेट किए गए पासवर्ड को असुरक्षित रूप से संग्रहीत करना। 4tG!p$z#qR@... जेनरेट करना पहला कदम है। दूसरा कदम इसे सुरक्षित रूप से संग्रहीत करना है। इसे एक पोस्ट-इट नोट पर लिखना, इसे अपने डेस्कटॉप पर passwords.txt में सहेजना, या इसे खुद को ईमेल करना उद्देश्य को विफल करता है। एक विश्वसनीय पासवर्ड मैनेजर का उपयोग करें।
अपने एक "अभेद्य" पासवर्ड का पुन: उपयोग करना। आप एक शानदार, 25-कैरेक्टर का पासवर्ड जेनरेट करते हैं। आपको इस पर इतना गर्व है कि आप इसे अपने ईमेल, अपने बैंक और अपने सोशल मीडिया के लिए उपयोग करते हैं। जिस क्षण उन सेवाओं में से कोई भी ब्रीच होती है, आपकी "अभेद्य" चाबी हमलावरों के हाथ में होती है, और आपके सभी खाते असुरक्षित हो जाते हैं।

यह आपके रडार पर क्यों होना चाहिए

अगर आप कोड लिखते हैं, तो आप सीक्रेट्स मैनेज करते हैं। बस। चाहे वह डेटाबेस कनेक्शन स्ट्रिंग हो, किसी थर्ड-पार्टी सेवा के लिए API की हो, सर्वर लॉगिन हो, या आपके द्वारा बनाए जा रहे ऐप के लिए डिफ़ॉल्ट एडमिन अकाउंट हो, आप लगातार डिजिटल कीज़ बना और संभाल रहे हैं।

एक डेवलपर को पासवर्ड जनरेटर का उपयोग तब करना चाहिए जब उसे एक ऐसा सीक्रेट बनाने की आवश्यकता हो जिसका दूसरी मशीन अनुमान लगाने की कोशिश कर सकती है। इंसानी दिमाग लॉजिक, क्रिएटिविटी और प्रॉब्लम-सॉल्विंग के लिए है। यह क्रिप्टोग्राफ़िक-ग्रेड रैंडम स्ट्रिंग्स बनाने के लिए नहीं है। पासवर्ड जनरेटर को सही ढंग से समझकर और उपयोग करके, आप एक बड़ी मानवीय कमजोरी को एक गणितीय निश्चितता से बदल देते हैं। यह सबसे सरल और सबसे प्रभावी सुरक्षा प्रथाओं में से एक है जिसे आप अपना सकते हैं। यह सिर्फ अपने खातों की सुरक्षा के बारे में नहीं है; यह अपने उपयोगकर्ताओं के लिए शुरू से ही सुरक्षित सिस्टम बनाने के बारे में है।

और गहराई में जाएँ

NIST Special Publication 800-63B: अमेरिका के नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी के डिजिटल पहचान पर आधिकारिक दिशानिर्देश, जिसमें पासवर्ड नीतियों और ताकत पर आधुनिक दृष्टिकोण शामिल है।
MDN Web Docs: The Web Crypto API: ब्राउज़र के क्रिप्टोग्राफ़िक संचालन के लिए अंतर्निहित API में गहराई से गोता लगाएँ, जिसमें crypto.getRandomValues() भी शामिल है।
OWASP Password Storage Cheat Sheet: ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट का एक आवश्यक संसाधन कि सर्वर साइड पर पासवर्ड को ठीक से कैसे संभालें (उन्हें जेनरेट करने के बाद)।
Wikipedia: Password strength: अवधारणाओं का एक संपूर्ण अवलोकन, जिसमें एंट्रॉपी गणना और ब्रूट-फोर्स अटैक विश्लेषण शामिल है।
Cloudflare: How we built a password generator: एक सुरक्षित, उच्च-गुणवत्ता वाला पासवर्ड जनरेटर बनाने में शामिल विचारों पर एक शानदार वास्तविक-दुनिया का लेख।