यह पोस्ट मैंने 2020 में लिखी थी और तभी वादा किया था कि जब यह पुरानी पड़ जाएगी, तो मैं इसे अपडेट करूँगा। वह घड़ी आ गई है। 💥 अगस्त 2025 में NIST ने अपने SP 800-63B-4 दिशानिर्देशों का अंतिम संस्करण प्रकाशित किया और पूरी बाज़ी पलट दी: अब न अनिवार्य विशेष वर्ण, न समय-समय पर पासवर्ड बदलना। नीचे आपको अपडेट की गई नीति मिलेगी — और यह भी पता चलेगा कि पुरानी कुछ “बेस्ट प्रैक्टिसेज़” आज सचमुच नुकसानदेह क्यों हैं।
2020 के बाद से क्या बदला है?
चुराए गए पासवर्ड आज भी हमले का नंबर एक रास्ता हैं। Verizon DBIR 2025 रिपोर्ट के अनुसार, बुनियादी वेब एप्लिकेशनों पर हुए हमलों में से 88% तक में चुराए गए क्रेडेंशियल्स शामिल थे, और वेब एप्लिकेशनों पर brute force हमलों की संख्या साल-दर-साल लगभग तीन गुना हो गई।
बदला है तो बचाव करने वालों का जवाब। NIST — वह अमेरिकी मानक संस्थान जिसके दिशानिर्देश आख़िरकार पूरी दुनिया अपनाती है — ने SP 800-63B-4 में उन तौर-तरीक़ों पर स्पष्ट रूप से प्रतिबंध लगा दिया है जो वर्षों तक मानक माने जाते रहे: अनिवार्य जटिलता और समय-समय पर पासवर्ड रोटेशन।
उदाहरण पासवर्ड नीति (वर्तमान संस्करण)
IT सिस्टमों में स्थायी पासवर्ड ऐसे होने चाहिए:
- लंबाई कम से कम 15 वर्ण हो (NIST के अनुसार सख़्त न्यूनतम 8 वर्ण है, लेकिन सिफ़ारिश — ख़ासकर जब पासवर्ड ही एकमात्र सुरक्षा हो — 15 की है);
- सिस्टम उन्हें कम से कम 64 वर्णों तक की लंबाई में स्वीकार करे, स्पेस समेत — ताकि पूरा वाक्यांश इस्तेमाल किया जा सके, जैसे “घोड़ा मंगल पर साइकिल चलाता है”;
- उन पर ज़बरदस्ती जटिलता लागू न हो — कोई अनिवार्य “कम से कम एक बड़ा अक्षर, एक अंक और एक विशेष वर्ण” नहीं। NIST यहाँ सख़्त “SHALL NOT” का इस्तेमाल करता है — सिस्टमों को ऐसी माँग करने की अनुमति ही नहीं है;
- वे तयशुदा समय पर एक्सपायर न हों — पासवर्ड बदलाव सिर्फ़ सेंधमारी के संदेह या पुष्टि पर, न कि “हर 30 दिन में, बस यूँ ही”;
- सेट करते समय उन्हें ब्लॉकलिस्ट से जाँचा जाए — लीक हुए, शब्दकोश वाले और ज़ाहिर पासवर्डों की सूचियों से (और वहाँ मिलने पर अस्वीकार किया जाए);
- उनमें लॉगिन, कंपनी का नाम, एप्लिकेशन का नाम, ई-मेल पता, या उपयोगकर्ता का नाम-उपनाम न हो;
- वे केवल हैश के रूप में संग्रहीत हों: Argon2id (न्यूनतम 19 MiB मेमोरी, 2 इटरेशन, parallelism 1); लीगेसी सिस्टमों में bcrypt (work factor कम से कम 10), और जहाँ FIPS-140 अनुपालन ज़रूरी हो — वहाँ PBKDF2 कम से कम 600,000 इटरेशन के साथ;
- पासवर्ड मैनेजर से पेस्ट करने की अनुमति हो — पासवर्ड फ़ील्ड में “paste” ब्लॉक करना सुरक्षा नहीं, बल्कि सुरक्षा में तोड़फोड़ है;
- वे अद्वितीय हों — हर सेवा के लिए अलग पासवर्ड।
लंबाई, जटिलता पर भारी क्यों पड़ती है?
“P@ssw0rd1!” पुरानी जटिलता के सारे नियम पूरे करता है — और सेकंड के एक अंश में टूट जाता है, क्योंकि हमलावर इस पैटर्न को बख़ूबी जानते हैं: शुरुआत में बड़ा अक्षर, अंत में विस्मयादिबोधक चिह्न, “a” की जगह “@”। ज़बरदस्ती की जटिलता से बनते हैं अनुमान लगाने लायक़ पासवर्ड और कीबोर्ड के नीचे चिपके पर्चे। एक लंबा वाक्यांश आपके लिए याद रखना आसान है और मशीन के लिए क्रैक करना किसी बुरे सपने जैसा।
लॉगिन को सुरक्षित ढंग से लागू करने के बारे में ढेर सारी उपयोगी जानकारी आपको OWASP — Authentication Cheat Sheet और OWASP Password Storage Cheat Sheet में मिलेगी।
पासवर्ड मैनेजर — आज भी बुनियाद
ज़्यादातर मामलों में आपको पता ही नहीं होता कि ऑनलाइन सेवाएँ आपके पासवर्ड कैसे संग्रहीत करती हैं। हो सकता है कि एडमिनिस्ट्रेटर ने आपके डेटा की सुरक्षा के लिए कोई भी तंत्र लागू न किया हो। इसलिए उनकी सुरक्षा का ख़याल आपको ख़ुद रखना होगा — और दर्जनों खातों और 15-वर्णों वाले पासवर्डों के साथ, सबको याद रखना नामुमकिन है। यहीं काम आता है पासवर्ड मैनेजर: आप एक मज़बूत पासवर्ड याद रखते हैं, बाक़ी सब वह सँभालता है। सुरक्षित माने जाने वाले और अनुशंसित पासवर्ड मैनेजरों में से एक है KeePass।
पासवर्ड मैनेजर आपको इसके अलावा देता है:
- लंबे, रैंडम पासवर्डों का स्वचालित निर्माण;
- एन्क्रिप्टेड तिजोरी और बैकअप;
- डिवाइसों के बीच सिंक्रोनाइज़ेशन;
- फ़ॉर्म का स्वचालित भरना — जो फ़िशिंग से भी बचाता है, क्योंकि मैनेजर नक़ली डोमेन पर आपका पासवर्ड पेस्ट ही नहीं करेगा। 🔓
MFA — हाँ, लेकिन अब SMS नहीं
2020 में मैंने लिखा था कि SMS कोड खाते की सुरक्षा को काफ़ी बढ़ा देता है। आज मुझे इसे सुधारना पड़ेगा: SMS दो-चरणीय प्रमाणीकरण का सबसे कमज़ोर रूप है — SIM swapping और रीयल-टाइम फ़िशिंग के प्रति असुरक्षित। हमलावर MFA को दरकिनार करने में लगातार बेहतर हो रहे हैं: DBIR 2025 के इर्द-गिर्द उद्धृत आँकड़ों के अनुसार, सबसे आम तकनीकें हैं सेशन टोकन की चोरी और “prompt bombing” — पीड़ित पर तब तक नोटिफ़िकेशनों की बौछार करना जब तक वह “approve” न दबा दे। ⚠️
सबसे मज़बूत सुरक्षा से शुरू करते हुए क्रम में:
- हार्डवेयर की (FIDO2) या passkey — फ़िशिंग-प्रतिरोधी;
- TOTP कोड वाला ऐप (जैसे आपके फ़ोन पर);
- SMS — बिना MFA से फिर भी बेहतर, लेकिन इसे आख़िरी सहारा ही मानें।
Passkeys — पासवर्ड के बिना दुनिया?
Passkeys, यानी FIDO2 पर आधारित एक्सेस कुंजियाँ, पहले से ही Google, Apple और Microsoft द्वारा समर्थित हैं, और NIST उन्हें फ़िशिंग-प्रतिरोधी तरीक़ों की श्रेणी में रखता है। जहाँ भी कोई सेवा इन्हें ऑफ़र करे — इन्हें चालू कर दें। आज यह सबसे आसान तरीक़ा है यह सुनिश्चित करने का कि पासवर्ड सबसे कमज़ोर कड़ी न रहे।
सारांश
नई पासवर्ड नीति विरोधाभासी रूप से पुरानी से सरल है: लंबे, अद्वितीय पासवर्ड जो ब्लॉकलिस्ट से जाँचे जाते हैं, बिना बनावटी जटिलता और बिना ज़बरदस्ती रोटेशन के — साथ में पासवर्ड मैनेजर और फ़िशिंग-प्रतिरोधी MFA। नियम कम, सुरक्षा ज़्यादा। ✔️
अगर आप जाँचना चाहते हैं कि आपकी कंपनी की पासवर्ड नीति (और बाक़ी बचाव) असली हमलावर के सामने टिक पाएँगे या नहीं — संपर्क करें: मैं एक एथिकल हैकर के तौर पर उसका परीक्षण करूँगा और एक ठोस रिपोर्ट दूँगा। और अगर NIS2 या DORA आपकी गर्दन पर साँस ले रहा है, तो अनुपालन पेज पर नज़र डालें।
