जून 2023 में नील अगरवाल नाम के एक प्रोग्रामर ने अपनी वेबसाइट neal.fun पर The Password Game नाम की एक चीज़ डाली। वह आपसे पासवर्ड लिखने को कहती है। फिर कि कम से कम पाँच अक्षर हों। फिर एक अंक। फिर एक बड़ा अक्षर। फिर एक विशेष चिह्न।
यहाँ तक यह खेल नहीं है। यह आपके बैंक का फ़ॉर्म है।
इसके बाद दूसरा हिस्सा शुरू होता है। अंकों का जोड़ 25 हो। किसी महीने का नाम हो। रोमन अंक हों जिनका गुणनफल 35 हो। आज के Wordle का जवाब हो। एक तस्वीर में दिख रहे देश की पहचान हो। शतरंज की किसी स्थिति की सबसे अच्छी चाल हो, बीजगणितीय संकेतन में। कुल पैंतीस नियम हैं, और बीच रास्ते आपके पासवर्ड के भीतर Paul नाम का अंडा-इमोजी फूटता है जिसे इल्लियाँ खिलानी पड़ती हैं, और साथ ही एक लपट आपके अक्षर खाती जाती है अगर आपने उसे समय पर नहीं बुझाया।
यह खेल एक असहज वजह से चलता है: मज़ाक आपको किसी को समझाना नहीं पड़ता। पहले ही पल में समझ आ जाता है, क्योंकि यह तंत्र आप आधी ज़िंदगी से भुगत रहे हैं। अगरवाल ने बस उस धागे को और खींचा है।
और यही वह जगह है जहाँ रुककर देखना चाहिए। पहले चार नियम उन्होंने नहीं गढ़े।
जिन नियमों को आप पहले से जानते थे, वे आए कहाँ से
एक बड़ा अक्षर, एक अंक, एक चिह्न और एक न्यूनतम लंबाई — यह इंटरनेट की लोककथा नहीं है: यह अमेरिकी NIST के एक दस्तावेज़ का व्यावहारिक अनुवाद है, जो 2003 में छपा था — SP 800-63, लिखने वाले बिल बर। वहाँ से ये आधी दुनिया के फ़ॉर्मों में उतरे, और वहाँ से आपके दिमाग़ में।
पूरी कहानी हमने पासवर्ड क्या है में लिखी है: बर के पास असली पासवर्डों का कोई आँकड़ा नहीं था — थे ही नहीं — इसलिए उन्होंने वही सोचा जो समझदारी भरा लगता था। अक्षरों की जितनी ज़्यादा किस्में, उतने ज़्यादा संयोजन, उतनी ज़्यादा सुरक्षा। 2017 में ख़ुद NIST पलटा, और बर ने Wall Street Journal से कहा कि उन्हें अपने लिखे का बड़ा हिस्सा अफ़सोस देता है।
तो अगरवाल का खेल किसी सुरक्षा नीति को बढ़ा-चढ़ाकर नहीं दिखाता। वह उस सूची को आगे बढ़ाता है जो पहली ही पंक्ति में ग़लत थी। «एक चिह्न होना चाहिए» और «अंकों का जोड़ 25 होना चाहिए» में फ़र्क़ बस इतना है कि पहले वाले के आप आदी हो चुके हैं।
इन नियमों ने कभी जो नहीं मापा
यहाँ मज़ाक मज़ेदार रहना बंद कर देता है, क्योंकि इसे मापा जा सकता है।
ये आँकड़े इस साइट के पासवर्ड चेकर से आते हैं, उसके घोषित मॉडल के साथ: तेज़ हैश पर ऑफ़लाइन हमला, प्रति सेकंड 10¹² कोशिशें। ये किसी पर्चे के अनुमान नहीं हैं; यही आपको दिखेगा अगर आप वही स्ट्रिंग वहाँ टाइप करें।
| पासवर्ड | कितने नियम पूरे | कोशिशें | कितना टिकता है |
|---|---|---|---|
Password1! |
चारों | 20,000 | 1 सेकंड से कम |
Garmi2026! |
चारों | 4.3 × 10⁸ | 1 सेकंड से कम |
Zx9#kQ2m |
चारों | 3.3 × 10¹⁵ | 55 मिनट |
| पासे से निकाले छह शब्द, छोटे अक्षरों में | एक भी नहीं | 1.1 × 10²³ | 3,500 साल |
आख़िरी पंक्ति चेकर से नहीं, गणित से आती है, और यह जानबूझकर है: चेकर को यह पता नहीं चल सकता कि वे छह शब्द पासे से निकले हैं, इसलिए वह कुछ और गिनेगा। छह बार पासा फेंकना ठीक 77.5 बिट है, और प्रति सेकंड 10¹² कोशिशों पर 77.5 बिट लगभग साढ़े तीन हज़ार साल हैं। अंत में इस पर लौटेंगे।
फिर से पढ़िए। Password1! दुनिया का कोई भी फ़ॉर्म पार कर लेता है और आपके कुंजी
छोड़ने से पहले गिर जाता है, क्योंकि वह शब्द शब्दकोश में है और बाक़ी वही सजावट है जो
सब लगाते हैं: आगे बड़ा अक्षर, पीछे अंक और चिह्न। और आख़िरी पंक्ति, छोटे अक्षरों में छह
आम शब्द, जिन साइटों पर आपका खाता है उनमें से आधी उसे लेंगी ही नहीं: न बड़ा अक्षर,
न अंक, न चिह्न।
Zx9#kQ2m पर रुकना बनता है, क्योंकि यह इस नियम का सबसे अच्छा संभव मामला है। सचमुच
यादृच्छिक आठ अक्षर, चारों किस्मों के साथ — ठीक वही जिसे 2003 की नीति आदर्श पासवर्ड
मानती थी। पचपन मिनट। और यह एक ऊपरी सीमा है: चेकर को पता नहीं चल सकता कि आपने
इसे यादृच्छिक ढंग से टाइप किया, इसलिए वह आपको संदेह का लाभ देकर सबसे अच्छा परिदृश्य
गिनता है। वैसे भी कोई ऐसे टाइप नहीं करता। किसी इंसान से चिह्न सहित आठ अक्षर माँगिए और
जो निकलेगा वह Namaste123! जैसा होगा — 1.4 × 10⁸ कोशिशें, एक सेकंड से कम।
नियम इन दोनों में फ़र्क़ नहीं कर पाता। फ़ॉर्म के लिए Namaste123! और Zx9#kQ2m एक
ही पासवर्ड हैं। पूरी ख़राबी यही है: रचना का नियम स्ट्रिंग का आकार मापता है, और
मज़बूती आकार में नहीं होती।
90 दिन वाला नियम, यानी Sardi2026! कैसे जन्मता है
2003 की विरासत का दूसरा आधा हिस्सा है समय-सीमा। हर नब्बे दिन में बदलो।
हर नब्बे दिन में कोई नया पासवर्ड नहीं गढ़ता। लोग जो करते हैं — जो आप करते हैं, और
मैं भी — वह है पुराने को एक क़दम आगे बढ़ा देना। Garmi2026! बन जाता है Sardi2026!
और काम ख़त्म। दोनों एक सेकंड से कम टिकते हैं, और अगर हमलावर के पास पहला है तो
दूसरा भाँपना हमला नहीं है: वह ख़ाली जगह भरना है।
NIST ने अनिवार्य बदलाव 2017 में SP 800-63B में हटा दिया। अगस्त 2025 के संशोधन में भाषा सख़्त हुई: जहाँ पहले लिखा था कि सत्यापनकर्ताओं को रचना के नियम थोपने और समय-समय पर बदलाव माँगने से बचना चाहिए, अब लिखा है कि वे दोनों में से कुछ भी नहीं कर सकते। बदलाव तभी ज़बरदस्ती कराया जाता है जब पासवर्ड के उजागर होने के संकेत हों।
पहली वापसी के नौ साल बाद भी आपकी कंपनी हर तिमाही एक बड़ा अक्षर माँगती है।
अक्षरों की ऊपरी सीमा सबसे बुरा संकेत है
अगरवाल ने बताया है कि आख़िरी धक्का — जिसने उन्हें यह खेल बनाने पर मजबूर किया — यह था कि उन्होंने खाता बनाने की कोशिश की और उन्हें बताया गया कि उनका पासवर्ड बहुत लंबा है।
सारे बेतुके नियमों में यही अकेला है जो साथ में एक बुरा संकेत भी है।
जो सिस्टम आपका पासवर्ड ठीक से रखता है वह उसे रखता ही नहीं: वह उसका हैश रखता है, और हैश हमेशा एक ही लंबाई का होता है, चाहे आप उसे आठ अक्षर दें या आठ सौ। सोलह की सीमा के लिए भंडारण की कोई वजह नहीं है। एक ही ज्ञात और जायज़ तकनीकी अपवाद है — bcrypt 72 बाइट से आगे को अनदेखा कर देता है — और वह उन फ़ॉर्मों की व्याख्या नहीं करता जो बारह पर रुक जाते हैं।
छोटी सीमा यह साबित नहीं करती कि वे आपका पासवर्ड सादे रूप में रख रहे हैं, पर यह उस क़िस्म का ब्योरा है जो तभी दिखता है जब किसी ने उसे तयशुदा चौड़ाई वाले डेटाबेस कॉलम में ठूँस दिया हो। ख़ुद SP 800-63B उल्टा माँगता है: कम से कम 64 अक्षर स्वीकार किए जाएँ।
जो नियम सचमुच काम करता है वह फ़ॉर्म में समाता नहीं
बुनियादी असहजता यह है कि अच्छी आदत को जाँच के एक ख़ाने की तरह नहीं लिखा जा सकता। «आपने इसे कहीं और इस्तेमाल नहीं किया» या «यह पिछली लीक में नहीं है» के लिए कोई रेगुलर एक्सप्रेशन नहीं लिखी जा सकती।
जो किया जा सकता है वह है गिनना। पासे से चुने शब्दों का वाक्यांश — Diceware — प्रति शब्द 12.9 साफ़ बिट जोड़ता है, और वे बिट सचमुच बिट होते हैं। प्रति सेकंड 10¹² कोशिशों वाले उसी मॉडल के साथ:
- पाँच शब्द 64.6 बिट हैं: लगभग 164 दिन।
- छह शब्द 77.5 बिट हैं: लगभग 3,500 साल।
दोनों आँकड़े कहने चाहिए, सिर्फ़ दूसरा नहीं। अक्सर दोहराया जाता है कि पाँच शब्दों का वाक्यांश «सदियों टिकता है»; तेज़ हैश के सामने वह सदियों नहीं टिकता: साढ़े पाँच महीने टिकता है। इसीलिए राइनहोल्ड ने पाँच को न्यूनतम और छह को उस चीज़ के लिए सुझाया जो सचमुच अहम हो। पैमाना छठा शब्द बदलता है, और वह मुफ़्त है।
इनमें से कोई भी आपके बैंक का फ़ॉर्म पार नहीं करेगा।
यह खेल मज़ेदार क्यों है
जब खेल कहता है कि अंकों का जोड़ 25 हो, तो आप हँसते हैं क्योंकि यह एक मनमानी शर्त है जिसका पासवर्ड को सुरक्षित बनाने वाली चीज़ से कोई लेना-देना नहीं।
चिह्न माँगना भी उतनी ही मनमानी शर्त है जिसका पासवर्ड को सुरक्षित बनाने वाली चीज़ से कोई लेना-देना नहीं। फ़र्क़ बस इतना है कि उसे आधा इंटरनेट परोसता है, और उससे हमें मोह हो गया है।
अगर आपको व्यावहारिक सार चाहिए तो वह तीन पंक्तियों में आ जाता है: जनरेटर या
कुछ पासे इस्तेमाल कीजिए, नतीजा पासवर्ड मैनेजर में रखिए, और फ़ॉर्म के नियम उसकी माँग
जोड़कर पूरे कीजिए — यह मानकर नहीं कि इससे आप किसी चीज़ से बच गए। आगे का बड़ा अक्षर
और पीछे का ! एक टोल है, बचाव नहीं।
बाक़ी सब एक खेल है। बहुत बढ़िया बना है, और काश वह खेल ही रह जाता।
स्रोत: नील अगरवाल, «The Password Game» (neal.fun, 27 जून 2023), उसके 35 नियम और उस फ़ॉर्म के बारे में ख़ुद लेखक का बयान जिसने कहा था कि उनका पासवर्ड बहुत लंबा है · NIST SP 800-63 (2003), SP 800-63B (2017) और SP 800-63B-4 (अगस्त 2025), जो रचना के नियमों और समय-सीमा पर «नहीं करना चाहिए» से «नहीं कर सकते» पर आता है और कम से कम 64 अक्षर स्वीकारने को कहता है · बिल बर के Wall Street Journal से बयान, अगस्त 2017 · आर्नोल्ड जी. राइनहोल्ड, Diceware (1995), जहाँ से प्रति शब्द 12.9 बिट आते हैं। तालिका के समय इस साइट के चेकर से मापे गए हैं, उसके घोषित मॉडल — तेज़ हैश पर प्रति सेकंड 10¹² कोशिशें — के साथ; Diceware के आँकड़े उसी रफ़्तार पर प्रति शब्द log₂(7,776) से गिने गए हैं।
तस्वीर: Olha Ruskykh · Pexels