पासवर्ड सुरक्षा: मजबूत पासवर्ड कैसे उत्पन्न, संग्रहीत और ऑडिट करें
त्वरित जवाब
हमारे Password Generator से 16+ अक्षर यादृच्छिक पासवर्ड बनाएँ, कभी पुनःउपयोग न करें, password manager में स्टोर करें। Server पर bcrypt (work factor 12+), scrypt या Argon2id से hash करें —कभी MD5 या SHA-256 नहीं। Have I Been Pwned API से breach audit करें।
परिचय
कमजोर, पुनःउपयोग किए और अनुचित स्टोर किए पासवर्ड अकाउंट अधिग्रहण का प्रमुख कारण हैं। यह गाइड चार ठोस समस्याएँ हल करती है: (1) brute force प्रतिरोधी पासवर्ड उत्पन्न करना, (2) तेज hash के बजाय धीमी KDF से hash करना, (3) पुनःउपयोग से बचना, (4) लीक किए credentials audit करना।
क्रमशः
-
एक उच्च-एन्ट्रॉपी पासवर्ड जनरेट करें
ऊपरी, निचले, अंकों और प्रतीकों को मिलाकर 16+ वर्ण का पासवर्ड बनाने के लिए पासवर्ड जेनरेटर का उपयोग करें। एन्ट्रॉपी = लॉग2(वर्णसेटआकार^लंबाई); 94 प्रतीकों की 16-अक्षरीय वर्णमाला ~105 बिट्स देती है, जो कि 10^12 अनुमान/सेकंड पर भी बलपूर्वक लगाना संभव नहीं है।
-
सेवाओं में कभी भी पासवर्ड का पुन: उपयोग न करें
एक पासवर्ड का पुन: उपयोग करने का मतलब है कि एक ही उल्लंघन इसे साझा करने वाले प्रत्येक खाते से समझौता कर लेता है। प्रति सेवा एक अद्वितीय पासवर्ड बनाएं और उन्हें पासवर्ड मैनेजर (बिटवर्डन, 1 पासवर्ड, कीपासएक्ससी) में संग्रहीत करें। मास्टर पासवर्ड ही एकमात्र ऐसा पासवर्ड है जिसे आपको याद रखना होगा—इसे एक लंबा पासफ़्रेज़ बनाएं।
-
सर्वर पर धीमे केडीएफ के साथ पासवर्ड हैश करें
पासवर्ड को कभी भी MD5, SHA-1, या कच्चे SHA-256 के साथ संग्रहित न करें—वे बहुत तेज़ होते हैं, और GPU प्रति सेकंड अरबों प्रयास कर सकते हैं। कार्य कारक 12+ के साथ bcrypt, N=2^17 के साथ scrypt, या 64MB मेमोरी के साथ Argon2id का उपयोग करें। ये केडीएफ जीपीयू/एएसआईसी हमलों को हराने के लिए जानबूझकर धीमे और मेमोरी-हार्ड हैं।
-
इंद्रधनुष तालिकाओं को हराने के लिए नमक का प्रयोग करें
नमक प्रति पासवर्ड एक अद्वितीय यादृच्छिक मान है, जो हैशिंग से पहले जोड़ा या संयुक्त किया जाता है। यह सुनिश्चित करता है कि समान पासवर्ड अलग-अलग हैश उत्पन्न करते हैं, जिससे पूर्व-गणना की गई इंद्रधनुष तालिकाएँ बेकार हो जाती हैं। bcrypt और Argon2 नमक को स्वचालित रूप से उत्पन्न और एम्बेड करते हैं - अपना खुद का रोल न करें।
-
टूटे हुए पासवर्ड का ऑडिट करें
पासवर्ड स्वीकार करने से पहले, k-गुमनाम प्रोटोकॉल का उपयोग करके इसे हैव आई बीन प्वॉन्ड API के विरुद्ध जांचें: SHA-1 हैश के केवल पहले 5 अक्षर भेजें, मिलान प्रत्ययों की सूची प्राप्त करें, और स्थानीय रूप से तुलना करें। इससे API का पूरा पासवर्ड कभी नहीं पता चलता।
उदाहरण
मजबूत जनरेट किया गया पासवर्ड (16 अक्षर, ~105 बिट एन्ट्रापी)
इनपुट: लंबाई 16, सभी वर्ण वर्ग
उत्पादन: K9$mP2#vL7@nQ4!x (यादृच्छिक, अद्वितीय, कभी पुन: उपयोग नहीं किया गया)
मास्टर पासवर्ड के लिए पासफ़्रेज़ (यादगार + मजबूत)
इनपुट: 4 यादृच्छिक सामान्य शब्द
उत्पादन: correct-horse-battery-staple (~44 bits but easy to remember; use 5-6 words for ~60+ bits)
पासवर्ड का bcrypt हैश (कार्य कारक 12)
इनपुट: बीक्रिप्ट लागत 12 के साथ पासवर्ड123
उत्पादन: $2b$12$N9qo8uLOickgx2ZMRZoMy.MrqKQp7vqB4V1e5sTq7vqB4V1e5sTq (नमक + लागत + हैश एंबेडेड)
सामान्य समस्या
- पासवर्ड हैशिंग के लिए MD5 या SHA-256 का उपयोग करना: दोनों तेज़ हैश हैं। एक आधुनिक GPU ~10 बिलियन SHA-256/s की गणना करता है, जो 8-चार पासवर्ड को मिनटों में क्रैक कर देता है। हमेशा bcrypt, scrypt, या Argon2id का उपयोग करें।
- सभी साइटों पर एक पासवर्ड का पुन: उपयोग करना: सबसे कमजोर साइट पर उल्लंघन से प्रत्येक साइट का पासवर्ड लीक हो जाता है। अद्वितीय पासवर्ड बनाएं और उन्हें प्रबंधक में संग्रहीत करें।
- पासवर्ड को प्लेनटेक्स्ट या रिवर्सिबल एन्क्रिप्शन में संग्रहीत करना: यदि डेटाबेस लीक हो जाता है, तो प्रत्येक खाते से तुरंत समझौता हो जाता है। हैशिंग एकतरफ़ा और अपरिवर्तनीय है—यहाँ तक कि सर्वर भी मूल को पुनर्प्राप्त नहीं कर सकता है।
- बीक्रिप्ट में कम कार्य कारक: 2002 में लागत 4 ठीक थी; 2026 में उपयोग लागत 12+ (लगभग 4096 पुनरावृत्तियाँ)। पासवर्ड रीसेट किए बिना पुराने हैश को अपग्रेड करने के लिए लॉगिन पर पुनः हैश करें।
सुझावों
- उच्च-मूल्य वाले खातों के लिए एन्ट्रापी के कम से कम 100 बिट्स का लक्ष्य रखें - यानी 94-प्रतीक वर्णमाला से 16 यादृच्छिक वर्ण, या 6 यादृच्छिक डाइसवेयर शब्द।
- प्रत्येक खाते के लिए दो-कारक प्रमाणीकरण (टीओटीपी या हार्डवेयर कुंजी) चालू करें जो इसका समर्थन करता है - यदि पासवर्ड फ़िश किया गया है तो केवल एक मजबूत पासवर्ड पर्याप्त नहीं है।
- जब पासवर्ड जोर से पढ़ा जाएगा या प्रिंट से टाइप किया जाएगा तो हमारे पासवर्ड जेनरेटर के 'अस्पष्ट वर्णों को बाहर निकालें' विकल्प (0/O, 1/l/I) का उपयोग करें।
- पासवर्ड को केवल पुष्ट उल्लंघन के बाद ही घुमाएँ, किसी निश्चित शेड्यूल पर नहीं - ज़बरदस्ती घुमाव उपयोगकर्ताओं को स्प्रिंग2026! जैसे पूर्वानुमानित पैटर्न की ओर ले जाता है।