पासवर्ड अभी भी आपके अधिकांश खातों का ताला है, और अधिकांश लोग इसे गलत तरीके से चुनते हैं। समस्याएं शायद ही कभी नाटकीय होती हैं। वे दस साइटों पर पुन: उपयोग किया गया एक पासवर्ड हैं, अंत में “1!” वाला एक छोटा पासवर्ड, या एक ऐसा पासवर्ड जिसका अनुमान लगाना आसान है।
यह पृष्ठ समझाता है कि पासवर्ड कैसे चोरी होते हैं या उनका अनुमान कैसे लगाया जाता है, कौन सी चीज़ किसी पासवर्ड को मजबूत बनाती है, इसे कब बदलना है, और इन सभी को कहाँ रखना है। यह टू-फैक्टर प्रमाणीकरण या पासकीज़ को गहराई से कवर नहीं करता है। यह उल्लेख करता है कि वे कहाँ फिट होते हैं।
पासवर्ड क्या सुरक्षित करता है, और यह कैसे विफल होता है
एक पासवर्ड साबित करता है कि आप आप हैं। यह तीन आम तरीकों से विफल होता है।
पहला है पुनरुत् उपयोग (reuse)। जब किसी सेवा में डेटा ब्रीच होता है और आपका ईमेल और पासवर्ड लीक हो जाता है, तो हमलावर उस जोड़े को अन्य साइटों पर आज़माते हैं। इसे क्रेडेंशियल स्टफिंग (credential stuffing) कहा जाता है। न्यू यॉर्क यूनिवर्सिटी और यूनिवर्सिटी ऑफ कैलिफोर्निया, सैन डिएगो के साथ गूगल के अकाउंट हाइजैक अध्ययन में, अधिकांश हमले अन्य साइटों के डेटा ब्रीच में उजागर हुए पासवर्ड का उपयोग करने वाले स्वचालित बॉट से आए थे। एक मजबूत पासवर्ड मदद नहीं करता है यदि यह वही है जो पहले ही लीक हो चुका है।
दूसरा है अनुमान लगाना (guessing)। यदि कोई सेवा पासवर्ड को खराब तरीके से सहेजती है और उसमें सेंध लग जाती है, तो हमलावर चोरी हुए डेटा पर उच्च गति से अनुमान लगा सकते हैं। छोटे और अनुमानित पासवर्ड सबसे पहले शिकार बनते हैं।
तीसरा है आपको इसे सौंपने के लिए धोखा देना। फ़िशिंग साइटें और नकली कॉल सीधे पासवर्ड एकत्र करते हैं, चाहे वे कितने भी मजबूत क्यों न हों। अमेरिकी साइबर सुरक्षा एजेंसी CISA कमजोर पासवर्ड को उस सबसे आम तरीके के रूप में वर्णित करती है जिससे ऑनलाइन अपराधी खातों तक पहुंचते हैं।
प्रत्येक खाते के लिए एक पासवर्ड
पुनरुत् उपयोग एक लीक को कई लीकों में बदल देता है। किसी ऐसे छोटे फ़ोरम में डेटा ब्रीच, जिसे आप भूल चुके थे, हमलावरों को एक ऐसा पासवर्ड दे देता है जो आपका ईमेल भी खोल सकता है।
लोग यह जानते हैं और फिर भी ऐसा करते हैं। नॉर्डपास (NordPass) के 2025 के सर्वेक्षण में, 62% अमेरिकियों ने कहा कि वे अक्सर या हमेशा पासवर्ड का पुनरुत् उपयोग करते हैं। नॉर्डपास पासवर्ड मैनेजर बेचता है, इसलिए इस संख्या को सांकेतिक मानें। कारण स्पष्ट है: कोई भी दर्जनों अलग-अलग पासवर्ड याद नहीं रख सकता। यह एक पासवर्ड मैनेजर का काम है, जिसे नीचे कवर किया गया है।
लंबाई और यादृच्छिकता (randomness) जटिलता को हरा देती है
वर्षों से, सेवाओं ने एक बड़े अक्षर, एक संख्या और एक प्रतीक की मांग की। लोगों ने Password1! जैसे अनुमानित पैटर्न के साथ उत्तर दिया। यूके के नेशनल साइबर सिक्योरिटी सेंटर (NCSC) का तर्क है कि इस तरह के नियम “pa55word” जैसे खराब पासवर्ड की अनुमति देते हैं। अमेरिकी मानक निकाय NIST भी इसी दिशा में आगे बढ़ा है। इसका SP 800-63B-4 मार्गदर्शन (जिसे अगस्त 2025 में अंतिम रूप दिया गया) अनिवार्य संरचना नियमों को प्रतिबंधित करता है, जहाँ केवल पासवर्ड ही लॉगिन का एकमात्र चरण है वहाँ 15-वर्णों का न्यूनतम मान तय करता है, और सेवाओं से कम से कम 64 वर्णों को स्वीकार करने के लिए कहता है।
दो प्रकार के पासवर्ड अच्छी तरह से काम करते हैं, यह इस बात पर निर्भर करता है कि आपको उन्हें टाइप करना है या नहीं।
| प्रकार | किसके लिए सबसे अच्छा है | नोट्स |
|---|---|---|
| जनरेटर से यादृच्छिक वर्ण (Random characters) | वे खाते जिन्हें आप कभी हाथ से टाइप नहीं करते हैं | CISA कम से कम 16 वर्णों का सुझाव देता है |
| छह या अधिक शब्दों का यादृच्छिक पासफ़्रेज़ (Random passphrase) | पासवर्ड मैनेजर का मास्टर पासवर्ड, डिवाइस अनलॉक | EFF का कहना है कि छह शब्द लगभग 77 बिट्स की एन्ट्रॉपी देते हैं |
| तीन यादृच्छिक शब्द | वे पासवर्ड जिन्हें आपको याद रखना आवश्यक है और जिन्हें आप स्टोर नहीं कर सकते | NCSC का कहना है कि यह उपयोग करने योग्य है लेकिन पूर्ण नहीं है, और अधिक शब्द अधिक मजबूत होते हैं |
यादृच्छिक वर्ण (Random characters)
यदि कोई पासवर्ड मैनेजर पासवर्ड बनाता है और भरता है, तो यह लंबा और न पढ़ा जाने योग्य हो सकता है। CISA का मार्गदर्शन कम से कम 16 वर्णों का है, और कहता है कि अक्षरों, संख्याओं और प्रतीकों की एक यादृच्छिक स्ट्रिंग सबसे मजबूत विकल्प है। कुछ सेवाएं लंबाई को सीमित करती हैं या कुछ वर्णों पर प्रतिबंध लगाती हैं, इसलिए सेवा द्वारा अनुमत सबसे लंबे पासवर्ड का उपयोग करें।
पासफ़्रेज़ (Passphrases)
एक पासफ़्रेज़ एक साथ जुड़े कई शब्द होते हैं। आप इसे याद रख सकते हैं, और यह लंबा होता है। इलेक्ट्रॉनिक फ्रंटियर फाउंडेशन (EFF) जिस पद्धति की सिफारिश करता है, वह पासे-आधारित (dice-based) दृष्टिकोण है जिसे डाइसवेयर (Diceware) कहा जाता है। आप 7,776 शब्दों की सूची में से प्रत्येक शब्द को चुनने के लिए पाँच पासे फेंकते हैं। अधिकांश उपयोगों के लिए EFF छह शब्दों की सिफारिश करता है।
यहाँ ताकत को एन्ट्रॉपी (entropy) में मापा जाता है, जो इस बात का माप है कि कोई चीज़ कितनी अप्रत्याशित (unpredictable) है। उस सूची का प्रत्येक शब्द लगभग 12.9 बिट्स जोड़ता है। प्रत्येक अतिरिक्त शब्द संभावित पासफ़्रेज़ की संख्या को 7,776 से गुणा करता है, और छह शब्द लगभग 77 बिट्स तक पहुँचते हैं। शब्द यादृच्छिक रूप से चुने जाने चाहिए। यदि आप उन्हें स्वयं चुनते हैं, तो आप अनुमानित संयोजनों को चुनेंगे, यही कारण है कि एक उपकरण या वास्तविक पासे को ही चुनाव करना चाहिए। शैली का एक उदाहरण (केवल दृष्टांत के लिए और कभी उपयोग न करने के लिए) होगा: pencil sunset glacier bargain violet ribbon।
NCSC ने पासवर्ड मैनेजर का उपयोग न करने वाले लोगों के लिए 2016 से “तीन यादृच्छिक शब्द” (three random words) की सलाह दी है। इसका कहना है कि इसे याद रखना आसान है, यह एक जटिल छोटे पासवर्ड से लंबा होता है, और किसी नियम-आधारित पासवर्ड की तुलना में इसका अनुमान लगाना कठिन होता है। NCSC स्वीकार करता है कि यह पूरी तरह से सुरक्षित नहीं है, क्योंकि लोग अनुमानित शब्द चुन सकते हैं, और यह कि अधिक शब्द अधिक मजबूत होते हैं।
मैनेजर के मास्टर पासवर्ड के लिए, प्राइवेसी गाइड्स (Privacy Guides) कम से कम सात शब्दों की सिफारिश करता है, जो लगभग 90 बिट्स देता है। इसके पीछे तर्क यह है कि यह पासवर्ड बाकी सब चीज़ों की सुरक्षा करता है।
जब तक कोई कारण न हो रोटेशन (बदलाव) को छोड़ दें
हर 90 दिनों में जबरन पासवर्ड बदलने का चलन अब खत्म हो गया है। NIST अब कहता है कि सेवाओं को आवधिक परिवर्तनों की आवश्यकता नहीं होनी चाहिए, बल्कि तब आवश्यकता होनी चाहिए जब समझौते का साक्ष्य हो। कारण यह है कि बार-बार बदलाव लोगों को छोटे, अनुमानित संपादनों की ओर धकेलते हैं।
प्राइवेसी गाइड्स उन पासवर्डों के बारे में एक संबंधित बिंदु बनाता है जिन्हें आपको याद रखना है: अपने मास्टर पासवर्ड को अक्सर बदलने से केवल यह जोखिम बढ़ता है कि आप इसे भूल जाएंगे। मैनेजर में संग्रहीत पासवर्ड के लिए, यह सुझाव देता है कि उच्च जोखिम वाले लोग ऐसे महत्वपूर्ण खातों को रोटेट करना चाह सकते हैं जिनमें टू-फैक्टर प्रमाणीकरण की कमी है। यह एक निर्णय कॉल (judgement call) है जो आपके थ्रेट मॉडल (threat model) पर निर्भर करता है।
उपयोगी ट्रिगर एक्सपोज़र (उजागर होना) है। Have I Been Pwned आपको यह जांचने देता है कि क्या कोई ईमेल पता ज्ञात उल्लंघनों में दिखाई देता है, और इसकी Pwned Passwords सेवा आपको बिना भेजे पासवर्ड की जांच करने देती है। जांच केवल पासवर्ड के हैश (hash) के पहले पांच वर्ण भेजती है, इसलिए सेवा कभी भी पासवर्ड नहीं सीख पाती है। जो पासवर्ड सूची में नहीं है वह आवश्यक रूप से सुरक्षित नहीं है, और एक सूचीबद्ध पासवर्ड को आपके द्वारा उपयोग की जाने वाली हर जगह बदल दिया जाना चाहिए।
अपने पासवर्ड कहाँ रखें
CISA का कहना है कि हर खाते के लिए लंबे, यादृच्छिक, अद्वितीय पासवर्ड बनाना और याद रखना अधिकांश लोगों के लिए संभव नहीं है, और वह पासवर्ड मैनेजर की सिफारिश करता है। एक मैनेजर पासवर्ड बनाता है, स्टोर करता है और भरता है, और कई आपको कमजोर या पुन: उपयोग किए गए पासवर्ड के बारे में चेतावनी देते हैं। आप एक मजबूत पासवर्ड (मास्टर पासवर्ड) याद रखते हैं, और मैनेजर बाकी सब संभालता है। NCSC भी मैनेजर को तरजीह देता है, और पासवर्ड मैनेजर का उपयोग न करने वाले लोगों के लिए तीन यादृच्छिक शब्दों की पेशकश करता है।
मैनेजर जोखिम मुक्त नहीं हैं। 2022 में हमलावरों ने (जिन्होंने पहले एक डेवलपर के खाते से समझौता किया था) बाद में लास्टपास (LastPass) के क्लाउड बैकअप स्टोरेज तक पहुंच प्राप्त की और ग्राहक तिजोरी (vault) डेटा की नकल की। संग्रहीत लॉगिन प्रत्येक उपयोगकर्ता के मास्टर पासवर्ड से प्राप्त कुंजियों के साथ एन्क्रिप्ट किए गए थे, लेकिन वेबसाइट पते एन्क्रिप्ट नहीं किए गए थे। सुरक्षा लेखकों ने नोट किया कि लास्टपास ने 2018 में ही अपने मास्टर-पासवर्ड न्यूनतम मान को बढ़ाकर 12 वर्ण किया था, और पुराने खातों को अपडेट करने के लिए मजबूर नहीं किया गया था। लास्टपास ने कहा कि इसकी अनुशंसित प्रथाओं का पालन करने से ब्रूट-फोर्सिंग (brute-forcing) अत्यधिक कठिन हो जाती है। बाद में मास्टर पासवर्ड बदलने से उस वॉल्ट पर असर नहीं पड़ता है जिसकी पहले ही नकल की जा चुकी है।
सबक यह नहीं है कि मैनेजरों से बचा जाए। सबक यह है कि मास्टर पासवर्ड वास्तविक भार वहन करता है, इसलिए इसे लंबा, यादृच्छिक और कहीं भी पुन: उपयोग न किया गया बनाएं। प्राइवेसी गाइड्स आपके पासवर्ड के एक से अधिक डिवाइस या प्रदाता पर एक एन्क्रिप्टेड बैकअप रखने की भी सलाह देता है, ताकि फ़ोन खो जाने पर आप सब कुछ से बाहर (lock out) न हो जाएं।
पासवर्ड क्या नहीं कर सकते
एक सही पासवर्ड भी फ़िशिंग के खिलाफ विफल हो जाता है, क्योंकि आप इसे स्वयं सौंप देते हैं। यदि पासवर्ड लीक हो जाता है तो एक दूसरा लॉगिन चरण सुरक्षा जोड़ता है। एक पासकी (passkey), जो क्रिप्टोग्राफ़िक कुंजियों पर आधारित लॉगिन है, फ़िशिंग का विरोध करने के लिए डिज़ाइन की गई है और पासवर्ड को पूरी तरह से हटा देती है। खाता निर्माण (account creation) बताता है कि पासकी कैसे काम करती हैं और उनका उपयोग कब करना है। चूंकि पासवर्ड मैनेजर का मास्टर पासवर्ड वह है जिसे आप मैनेजर से नहीं बदल सकते, इसलिए इसके द्वारा दिए जाने वाले हर अतिरिक्त सुरक्षा विकल्प को चालू करना फ़ायदेमंद है।
कहाँ से शुरुआत करें
ये कदम सबसे उपयोगी से कम उपयोगी की ओर चलते हैं।
- अपने ईमेल खाते से शुरुआत करें, क्योंकि अन्य सेवाएं पासवर्ड रीसेट करने के लिए इसका उपयोग करती हैं। इसे एक लंबा, यादृच्छिक, अनूठा पासवर्ड दें।
- एक पासवर्ड मैनेजर चुनें और बैंकिंग तथा पैसे या पहचान रखने वाले किसी भी खाते से शुरुआत करते हुए, हर दूसरे खाते के लिए एक अलग पासवर्ड बनाने के लिए इसका इस्तेमाल करें।
- मैनेजर के मास्टर पासवर्ड को छह या अधिक शब्दों का यादृच्छिक पासफ़्रेज़ (random passphrase) बनाएं। जब तक आप इसे दिल से न जान लें, तब तक इसे कहीं सुरक्षित लिख लें।
- ईमेल, मैनेजर और अपने बैंक के लिए दूसरा लॉगिन चरण (2FA) चालू करें।
- किसी भी ऐसे पासवर्ड को बदलें जो किसी ब्रीच में दिखाई दिया हो, और जहाँ भी आपने इसका पुनरुत् उपयोग किया हो।
प्रत्येक कदम कितना प्रयास का हकदार है यह इस बात पर निर्भर करता है कि कोई खाता किसकी सुरक्षा करता है। थ्रेट मॉडलिंग (threat modeling) आपको निर्णय लेने में मदद करता है, और सामान्य खतरे (common threats) दिखाता है कि आप किसका सामना करने की सबसे अधिक संभावना रखते हैं।
स्रोत (Sources)
- Introduction to Passwords, Privacy Guides, 2025.
- New research: How effective is basic account hygiene at preventing hijacking, Google Security Blog, 2019.
- Use Strong Passwords, Cybersecurity and Infrastructure Security Agency, एक्सेस किया गया अक्टूबर 2026.
- Secure Our World Passwords Tip Sheet, CISA (Mass.gov द्वारा होस्ट किया गया), 2023.
- Stop reusing passwords, NordPass, 2025.
- SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, National Institute of Standards and Technology, 2025.
- NIST 800-63B Rev 4: What’s New in Password Security, Enzoic, 2025.
- NIST-SP800-63B-4: Deciphering the New Password Security Standard, Nat Sakimura, 2025.
- Using three random words is safer than using complex passwords, NCSC says, Computing, 2021 (NCSC मार्गदर्शन की रिपोर्टिंग).
- Want a strong password? You’re probably still doing it the wrong way, HKCERT, 2022 (NCSC मार्गदर्शन की रिपोर्टिंग).
- EFF’s New Wordlists for Random Passphrases, Electronic Frontier Foundation, 2016.
- Validating Leaked Passwords with k-Anonymity, Cloudflare, 2018.
- Go client for the Pwned Passwords API, पैकेज दस्तावेज़ीकरण, एक्सेस किया गया अक्टूबर 2026.
- Get Breach Notifications, Have I Been Pwned, एक्सेस किया गया अक्टूबर 2026.
- LastPass Shares Details of Security Breach, TidBITS, 2022.
- LostPass: after the LastPass hack, here’s what you need to know, Graham Cluley, 2022.
- What Has Happened?, University of New England साइबर सुरक्षा ब्लॉग, 2023 (लास्टपास के बयान का हवाला देते हुए).