پاس ورڈ کو مضبوط کیا چیز بناتی ہے
دو چیزیں، اور صرف دو: لمبائی، اور بے قاعدگی۔ باقی سب کچھ — بدلے ہوئے حروف، آخر میں لگا فجائیہ نشان، شروع کا بڑا حرف — محض سجاوٹ ہے جس کا حساب حملہ آور 2000ء کی ابتدا سے رکھتے آ رہے ہیں۔
اوپر دیا گیا جنریٹر آپ کے براؤزر کے خفیہ نگاری والے بے ترتیب عدد ساز سے، 88 حروف کے مجموعے سے پاس ورڈ بناتا ہے جس میں چھوٹے حروف، بڑے حروف، ہندسے اور علامتیں شامل ہیں۔ چنانچہ ہر حرف تقریباً 6.5 بٹس انٹروپی رکھتا ہے، جس سے 16 حروف کا پاس ورڈ تقریباً 103 بٹس پر آتا ہے۔ موازنے کے لیے، 80 بٹس انٹروپی والا پاس ورڈ موجودہ ہارڈویئر کی بروٹ فورس پہنچ سے پہلے ہی بہت دور ہے؛ 103 بٹس مستقبل کی بہتری کے مقابل خاصی گنجائش چھوڑ دیتے ہیں۔
پاس ورڈ آپ ہی کے آلے پر بنتے ہیں۔ کچھ بھیجا، ریکارڈ یا محفوظ نہیں ہوتا، اور کوئی پاس ورڈ آپ کے براؤزر ٹیب کے سوا کہیں موجود ہی نہیں ہوتا۔ یہ ایسا دعویٰ نہیں جس کی تصدیق آپ زیادہ تر جنریٹر سائٹس پر کر سکیں، اور اس کی پروا کرنا واقعی اہم ہے — وہ پاس ورڈ جو بننے کے لیے کسی سرور کو بھیجا جائے، تعریف کے اعتبار سے، پہلے ہی کسی اور کے ساتھ بانٹا جا چکا ہے۔
”P@ssw0rd!“ مضبوط پاس ورڈ کیوں نہیں
حروف کی تبدیلی ایسی لگتی ہے جیسے مدد کرتی ہو۔ ایسا نہیں ہے، کیونکہ پاس ورڈ توڑنے والا سافٹ ویئر بالکل یہی تبدیلیاں خودکار طور پر لگاتا ہے۔ کریکنگ کا ایک قاعدہ مجموعہ a→@، o→0، i→1، s→$ آزمائے گا، پہلا حرف بڑا کرے گا اور آخر میں ہندسے اور رموز جوڑے گا — یہ سب لغت کے الفاظ کی معیاری تبدیلیوں کے طور پر۔
نتیجہ یہ نکلتا ہے کہ کسی حقیقی لفظ کو سجا کر بنایا گیا پاس ورڈ خود اُس لفظ سے بمشکل ہی زیادہ مشکل ثابت ہوتا ہے۔ کریکنگ کو جو چیز شکست دیتی ہے وہ کسی بھی قابلِ استعمال نمونے کا سرے سے نہ ہونا ہے — اور بالکل یہی چیز بے ترتیب تیاری فراہم کرتی ہے اور انسانی اختراع نہیں کر پاتی۔
پاس ورڈ کتنا لمبا ہونا چاہیے؟
| لمبائی |
تخمینی انٹروپی |
کس کے لیے موزوں |
| 8 حروف | ~52 بٹس | کم سے کم حد جو کئی سائٹیں قبول کرتی ہیں؛ کسی قیمتی چیز کے لیے ناکافی |
| 12 حروف | ~78 بٹس | عام اکاؤنٹس کے لیے مناسب |
| 16 حروف | ~103 بٹس | ہر چیز کے لیے ایک معقول ڈیفالٹ |
| 24+ حروف | ~155 بٹس | پاس ورڈ مینیجر کا ماسٹر پاس ورڈ، خفیہ کاری کی کلیدیں، روٹ اکاؤنٹس |
چونکہ ٹائپ کرنے کا کام پاس ورڈ مینیجر کرتا ہے، اس لیے مختصر پاس ورڈ چننے کی کوئی خاص وجہ باقی نہیں رہتی۔ 16 کو اپنی کم سے کم حد بنائیں اور جہاں سائٹ اجازت دے وہاں اس سے لمبا رکھیں۔
وہ قاعدہ جو مضبوطی سے بھی زیادہ اہم ہے
ایک ہی پاس ورڈ کبھی مختلف سائٹس پر دوبارہ استعمال نہ کریں۔
یہ لمبائی سے زیادہ اہم ہے، اور اس کی وجہ یہ ہے کہ خلاف ورزیاں عملاً کیسے آگے بڑھتی ہیں۔ جب کوئی سروس متاثر ہوتی ہے تو چرائی گئی سندیں ہر دوسری بڑی سروس کے خلاف خودکار لاگ اِن کوششوں میں ڈال دی جاتی ہیں — اس طریقے کو کریڈنشل اسٹفنگ کہتے ہیں۔ بالکل مضبوط پاس ورڈ بھی، اگر آپ نے دو جگہ استعمال کیا ہو، تو ان میں سے ایک جگہ خلاف ورزی ہوتے ہی کوئی تحفظ نہیں دیتا۔ کمزور مگر منفرد پاس ورڈ کم از کم نقصان کو ایک اکاؤنٹ تک محدود رکھتا ہے۔
ہر جگہ منفرد پاس ورڈ رکھنا یاداشت کے بل پر ممکن نہیں، اور یہی پاس ورڈ مینیجر استعمال کرنے کی پوری دلیل ہے۔ بنائیں، محفوظ کریں، یاد نہ رکھیں، دوبارہ استعمال نہ کریں۔
بنائے گئے پاس ورڈ کہاں رکھیں
جیسے ہی آپ کے اکاؤنٹس چند سے زیادہ ہو جائیں، پاس ورڈ مینیجر ہی واحد عملی جواب رہ جاتا ہے۔ Bitwarden، 1Password اور KeePassXC سب اچھی ساکھ رکھتے ہیں، اور براؤزر اب اپنے اندر بھی قابلِ اعتماد مینیجر رکھتے ہیں۔ آپ صرف ایک لمبا پاس فریز یاد کرتے ہیں — ماسٹر پاس ورڈ — اور باقی سب کچھ مینیجر سنبھال لیتا ہے۔
اُس ایک ماسٹر پاس ورڈ کے لیے، چار یا پانچ بے ترتیب الفاظ کا پاس فریز کسی بے ترتیب اسٹرنگ کے مقابلے میں لکھنے اور یاد رکھنے میں آسان رہتا ہے، اور تب تک مضبوط رہتا ہے جب تک الفاظ واقعی بے ترتیب طور پر چنے گئے ہوں، نہ کہ آپ کے بنائے ہوئے کسی جملے سے جوڑے گئے ہوں۔
دو مرحلوں کی توثیق فعال کریں
مضبوط پاس ورڈ اندازہ لگانے کے خلاف تحفظ دیتا ہے۔ یہ کسی قائل کر دینے والے فشنگ صفحے، آپ کی مشین پر موجود مالویئر، یا خود سروس میں ہونے والی خلاف ورزی کے خلاف تحفظ نہیں دیتا۔ دو مرحلوں کی توثیق دیتی ہے، کیونکہ اکیلا چرایا ہوا پاس ورڈ پھر کافی نہیں رہتا۔
SMS کوڈز کے بجائے کوئی اوتھنٹی کیٹر ایپ یا ہارڈویئر سیکیورٹی کلید کو ترجیح دیں۔ SMS کچھ نہ ہونے سے بہتر ہے مگر سِم سواپنگ کے سامنے کمزور ہے، جہاں کوئی حملہ آور موبائل نیٹ ورک کو قائل کر لیتا ہے کہ آپ کا نمبر اُس کے آلے پر منتقل کر دے۔