आपके सहेजे गए पासवर्ड कहाँ हैं, और उन्हें और कौन खोल सकता है

अगर आपने कभी स्क्रीन के नीचे आने वाली उस छोटी-सी खिड़की में «पासवर्ड सहेजें» दबाया है, तो आप पहले से ही एक पासवर्ड मैनेजर इस्तेमाल कर रहे हैं। किसी ने आपको बताया नहीं, आपने कोई चुना भी नहीं, फिर भी आपके पास एक है। शायद सौ प्रविष्टियों के साथ।

यही समझाता है कि पासवर्ड को लेकर सबसे ज़्यादा दोहराया जाने वाला सवाल «अच्छा पासवर्ड कैसे बनाऊँ» नहीं, बल्कि «मेरे पासवर्ड कहाँ हैं» क्यों है। लोग सुरक्षा की किताब नहीं ढूँढ़ रहे: वे एक सूची ढूँढ़ रहे हैं जिसके होने का उन्हें पता है और जो उन्हें मिल नहीं रही।

सूची है। लेकिन वह कहाँ रखी है, यह उस अगले सवाल के जवाब से कहीं कम मायने रखता है जिसे लगभग कोई नहीं पूछता: उसे खोलने के लिए क्या चाहिए?

वे कहाँ हैं, इस पर निर्भर कि आप क्या इस्तेमाल करते हैं

क्रोम में वे गूगल के पासवर्ड मैनेजर में हैं। वे एक साथ दो जगह रहते हैं: एक प्रति आपके कंप्यूटर में और दूसरी आपके गूगल खाते में, आपस में समन्वित। passwords.google.com पर या ब्राउज़र की सेटिंग में दिख जाते हैं।

सफारी, आईफ़ोन और मैक पर वे आईक्लाउड किचेन में हैं, जिसका कुछ समय से अपना ऐप भी है: पासवर्ड्स। वही विचार: उपकरण में और आपके ऐपल खाते में।

फ़ायरफ़ॉक्स में वे आपकी प्रोफ़ाइल के भीतर दो फ़ाइलों में हैं, और उनके नाम जानने लायक हैं: logins.json, जिसमें उपयोगकर्ता नाम और पासवर्ड कूटबद्ध पड़े हैं, और key4.db, जिसमें उन्हें खोलने वाली कुंजी है। मोज़िला इसे ठीक इन्हीं नामों के साथ प्रलेखित करता है।

एज में वे आपके माइक्रोसॉफ़्ट खाते में हैं, क्रोम वाली ही व्यवस्था के साथ। और एंड्रॉइड पर वही गूगल मैनेजर है जो क्रोम इस्तेमाल करता है, भले आप उसे फ़ोन की सेटिंग से खोलें।

यहाँ तक वह जवाब था जिसके लिए आप आए थे। अब वह हिस्सा जो कुछ बदलता है।

तीन मॉडल, और वे बराबर क्यों नहीं हैं

तीनों कहते हैं «आपके पासवर्ड कूटबद्ध हैं»। तीनों मामलों में यह सच है और किसी में भी इसका एक ही अर्थ नहीं है, क्योंकि जो बदलता है वह है कुंजी किसके पास है।

ऐपल का किचेन छोर-से-छोर तक कूटबद्ध है। जिन कुंजियों से वह खुलता है, उन्हें ऐपल नहीं जानता; वे केवल आपके भरोसेमंद उपकरणों में मौजूद हैं। ऐपल इसे अपने सुरक्षा दस्तावेज़ में प्रकाशित करता है और एक सराहनीय ब्योरा जोड़ता है: सिस्टम कोशिशों की संख्या सीमित करता है, ठीक इसलिए कि उसके अपने ढाँचे के भीतर से भी कोई ज़ोर-आज़माइश न कर सके। कुछ चालू करने को नहीं है। यह पहले से ऐसा ही है।

गूगल में वह तरीका मौजूद है पर वैकल्पिक है। तयशुदा तौर पर आपके पासवर्ड कूटबद्ध होकर जाते हैं और कूटबद्ध ही रखे जाते हैं, पर कुंजियाँ गूगल संभालता है। आप इसे बदल सकते हैं: एक सिंक पासफ़्रेज़ —या उपकरण पर कूटलेखन, इस पर निर्भर कि आप कहाँ से घुसते हैं— कुंजियाँ केवल आपके हाथ में छोड़ देता है। व्यावहारिक अंतर बहुत बड़ा है और ज़्यादातर लोगों ने इसे कभी चालू नहीं किया, क्योंकि किसी ने बताया ही नहीं कि ऐसा कुछ है। इसकी एक कीमत है, और उसे पूरा कहना ज़रूरी है: अगर आप वह पासफ़्रेज़ भूल गए, तो आपके सहेजे गए पासवर्ड कोई वापस नहीं दिला सकता। «केवल आप» का ठीक यही अर्थ है।

फ़ायरफ़ॉक्स में, प्राथमिक पासवर्ड के बिना, कूटलेखन आपको उससे नहीं बचाता जिसके पास आपकी फ़ाइलें हैं। यह इस लेख का सबसे असहज हिस्सा है, और यह मोज़िला कहता है, हम नहीं: प्राथमिक पासवर्ड सेट किए बिना, जो कोई आपकी प्रोफ़ाइल से logins.json और key4.db की नकल कर ले, वह आपके क्रेडेंशियल पढ़ सकता है। दोनों फ़ाइलें साथ चलती हैं: एक ताला ढोती है, दूसरी चाबी। प्राथमिक पासवर्ड लगाना वही काम है जो उस चाबी को कूटबद्ध करता है और जोड़ी को तोड़ देता है।

असली परिदृश्य कोई फ़िल्म नहीं है

जब कोई सोचता है कि उसके पासवर्ड चोरी हो रहे हैं, तो वह सर्वर पर हमला करते किसी को सोचता है। व्यवहार में जो दो चीज़ें होती हैं, वे कहीं ज़्यादा घरेलू हैं।

पहली: आपके अनलॉक कंप्यूटर तक पहुँच रखने वाला कोई। कुछ जानने की ज़रूरत नहीं। सूची ब्राउज़र की सेटिंग में दो क्लिक दूर है, और अगर उन्हें साफ़ दिखाने के लिए सिस्टम का पासवर्ड माँगा भी जाए, वह पासवर्ड उसे पता है जो आपके साथ रहता है या जिसने आपको टाइप करते देखा है।

दूसरी: एक प्रोग्राम जो आपके ब्राउज़र की प्रोफ़ाइल की नकल कर लेता है। वह कुछ तोड़ता नहीं। फ़ाइलें उठाकर ले जाता है और कहीं और आराम से खोलता है। यह ऐसा सॉफ़्टवेयर है जो इतना आम है कि उद्योग में उसका अपना नाम है, इन्फ़ोस्टीलर, और ठीक इसी वजह से «पर वे तो कूटबद्ध हैं» वाक्य को हमेशा अगला सवाल चाहिए: कूटबद्ध हैं, ठीक — और चाबी कहाँ है?

उस दूसरे परिदृश्य के सामने ऐपल का मॉडल टिकता है, गूगल का तब टिकता है जब आपने पासफ़्रेज़ चालू किया हो, और प्राथमिक पासवर्ड के बिना फ़ायरफ़ॉक्स कुछ नहीं टिकता।

क्या करें, सबसे ज़्यादा फ़र्क़ डालने वाले क्रम में

एक। अगर आप फ़ायरफ़ॉक्स इस्तेमाल करते हैं, उस पर प्राथमिक पासवर्ड लगाइए। यह निजता सेटिंग का एक खाना है और इस पूरी सूची में सबसे कम मेहनत में सबसे ज़्यादा बचाने वाला बदलाव है।

दो। अगर आप क्रोम या एंड्रॉइड इस्तेमाल करते हैं, गूगल के मैनेजर में जाइए और उपकरण पर कूटलेखन या सिंक पासफ़्रेज़ चालू कीजिए। चालू करने से पहले उसे किसी काग़ज़ पर लिख लीजिए, और समझ लीजिए कि आप किस पर दस्तख़त कर रहे हैं: उस पल से वही वाक्यांश इकलौता दरवाज़ा है।

तीन। उस खाते के पासवर्ड को देखिए जो बाक़ी सब संभाल रहा है। आपका गूगल खाता, आपका ऐपल आईडी या आपका माइक्रोसॉफ़्ट खाता उसी क्षण «एक और खाता» होना बंद हो गया जब आपने उसमें पासवर्ड सहेजने शुरू किए: अब वही बाक़ी सबकी चाबी है। अगर वह पासवर्ड आपने आठ साल पहले ख़ुद गढ़ा था, उसे चेकर से गुज़ारिए और देखिए वह क्या कहता है। और मन हो तो जेनरेटर वाले से बदल दीजिए।

चार। उस खाते पर दूसरा कारक चालू कीजिए। यही वह क़दम है जो «उन्हें आपका पासवर्ड पता है» को «फिर भी वे अंदर नहीं आते» में बदल देता है।

क्या इतना काफ़ी है, या असली मैनेजर चाहिए?

किसलिए, इस पर निर्भर है — और यहाँ ईमानदार जवाब वह नहीं है जो बिकता है।

ज़्यादातर लोगों के लिए, ठीक से कूटलेखन सेट किए हुए ब्राउज़र का मैनेजर काफ़ी है, और असली विकल्प से अनगिनत गुना बेहतर है; वह विकल्प कोई बेहतर मैनेजर नहीं है: वह चालीस जगहों पर दोहराया गया वही एक पासवर्ड है।

अलग मैनेजर तब जीतता है जब ऐसी चीज़ें आती हैं जो ब्राउज़र वाला ख़राब करता है या करता ही नहीं: दो अलग ब्राउज़र पागल हुए बिना इस्तेमाल करना, जीवनसाथी के साथ पासवर्ड व्हाट्सएप से भेजे बिना साझा करना, वे चीज़ें रखना जो पासवर्ड नहीं हैं, एक पारिस्थितिकी से सब कुछ खोए बिना निकलना, या अपने राज़ रखने वाले का कोड जाँच पाना। उस पर हमने दूसरे लेख में बात की है, और सार यह है कि बड़ी छलाँग एक मैनेजर से दूसरे तक नहीं है: वह किसी भी मैनेजर के न होने से किसी एक के होने तक है।

असल में आप क्या ढूँढ़ रहे थे

आप एक सूची ढूँढ़ रहे थे। वह passwords.google.com पर है, आपके आईफ़ोन के पासवर्ड्स ऐप में है, या आपके ब्राउज़र की सेटिंग में — इस पर निर्भर कि आप क्या इस्तेमाल करते हैं।

पर अंदर पहुँच ही गए हैं तो एक चीज़ और देखिए: उस सूची में वही पासवर्ड कितनी बार दोहराया गया है। तीनों मैनेजर पूछने पर बता देते हैं। वह संख्या आपकी असली स्थिति को कूटलेखन पर पढ़ी जा सकने वाली किसी भी चीज़ से बेहतर समझाती है — इस लेख समेत।

स्रोत: आईक्लाउड किचेन पर ऐपल के सुरक्षा दस्तावेज़ —उन कुंजियों के साथ छोर-से-छोर कूटलेखन जिन्हें ऐपल नहीं जानता, और कोशिशों की सीमा— · समन्वयन, सिंक पासफ़्रेज़ और उपकरण पर कूटलेखन पर गूगल क्रोम की सहायता · फ़ायरफ़ॉक्स पासवर्ड कैसे सहेजता है (logins.json और key4.db) और प्राथमिक पासवर्ड पर मोज़िला के दस्तावेज़।

तस्वीर: Ron Lach · Pexels

← ब्लॉग पर वापस