पासवर्ड कितनी बार बदलना चाहिए: सिर्फ़ तब, जब कोई वजह हो

अंत से शुरू करते हैं, क्योंकि जवाब छोटा है और लगभग कोई इसे पूरा नहीं देता: जब कोई वजह हो। हर नब्बे दिन पर नहीं।

कैलेंडर देखकर पासवर्ड बदलने की आदत इतनी गहरी बैठी है कि यह सफ़ाई जैसी लगती है, दाँत साफ़ करने जैसी। लेकिन यह एक सलाह थी जिसकी मियाद थी, और वह मियाद बीत चुकी है: अमेरिका के NIST ने इसे 2003 में लिखा, 2017 में वापस लिया, और उस दस्तावेज़ के लेखक ने उसी साल सार्वजनिक रूप से माफ़ी माँगी। वह पूरा किस्सा हमने पासवर्ड क्या है में सुनाया है; यहाँ दूसरी बात मायने रखती है, जो लगभग कभी नहीं बताई जाती: आप, आज, अपने पासवर्ड के साथ क्या करें।

कैलेंडर को नहीं पता कि आपसे कुछ चोरी हुआ या नहीं

तारीख़ देखकर बदलने की दिक़्क़त यह है कि तारीख़ के पास कोई जानकारी होती ही नहीं।

अगर किसी ने फ़रवरी के किसी मंगलवार को आपका पासवर्ड हथिया लिया, तो 1 अप्रैल को «बारी आ गई» कहकर उसे बदलना उस आदमी को डेढ़ महीने से ज़्यादा की पहुँच तोहफ़े में देना है। और अगर किसी ने उसे छुआ ही नहीं, तो बदलने ने किसी चीज़ से नहीं बचाया: आपने एक अच्छे पासवर्ड की जगह एक ऐसा पासवर्ड रख दिया जो शायद उससे ख़राब है, क्योंकि मजबूरी में गढ़े गए पासवर्ड बेमन से गढ़े जाते हैं।

नाकामी की पूरी मशीन यहीं है। ज़बरदस्ती की अदला-बदली नए पासवर्ड नहीं बनाती, वह रूपांतर बनाती है। Garmi2026! Barsat2026! बन जाता है और फिर Sardi2026!, और आप पर हमला करने वाला यह जानता है, क्योंकि यह क्रम उसी दीवार-कैलेंडर जितना ही अनुमान लगाने लायक़ है जिससे वह निकला है। सिस्टम ख़ुश हो जाता है — पासवर्ड «बदल गया» — और असली सुरक्षा बढ़ी नहीं, घटी है।

इसीलिए NIST SP 800-63B में दोनों बातें साथ कहता है: समय देखकर मनमाना बदलाव नहीं, और जैसे ही सेंध का कोई संकेत मिले, बदलाव अनिवार्य करो। बात यह नहीं कि बदलना बेकार है। बात यह है कि ट्रिगर कोई तथ्य होना चाहिए, तारीख़ नहीं।

वे वजहें जो सचमुच गिनी जाती हैं

यह रही सूची। इनमें से कुछ भी हो जाए, तो पासवर्ड अगले महीने नहीं, आज बदलता है:

• वह किसी लीक में सामने आ गया। उसी सेवा की लीक हो, या किसी और की जहाँ आप वही पासवर्ड इस्तेमाल करते थे।
• आपने उसे दोहराया था। अगर X लीक हुआ है और वही चार और साइटों पर लगा है, तो बदलने को एक नहीं, पाँच पासवर्ड हैं।
• आपने उसे ऐसी साइट पर टाइप किया जो असल में वह साइट थी ही नहीं। जल्दबाज़ी वाला एक ईमेल, एक लिंक, एक हूबहू दिखने वाला फ़ॉर्म। इससे फ़र्क़ नहीं पड़ता कि दो सेकंड बाद आपको समझ आ गया: आप उसे भेज चुके थे।
• आपने उसे साझा किया। साथी के साथ, किसी सहकर्मी के साथ, दफ़्तर की चैट में, काग़ज़ पर। जो पासवर्ड ऐसे रास्ते से गुज़र चुका है जहाँ यह आपके हाथ में नहीं कि कौन पढ़ रहा है, वह अब आपका नहीं रहा।
• आपको अजीब हलचल दिखती है। ऐसी जगह से लॉगिन जहाँ आप कभी गए ही नहीं, बिना माँगे आए रीसेट ईमेल, भेजा हुआ ऐसा संदेश जो आपने लिखा ही नहीं।
• डिवाइस पर सेंध लगी थी। मैलवेयर वाला कंप्यूटर, खोया हुआ फ़ोन, किसी अनजान मरम्मत की दुकान से होकर आया लैपटॉप।
• सेवा ख़ुद चेतावनी देती है। जब कोई कंपनी वह ईमेल भेजे, उसी दिन कार्रवाई कीजिए। यह अक्षरशः वही मामला है जिसकी बात SP 800-63B करता है।
• साथ रहना ख़त्म हुआ। पूर्व साथी, साझा घर, कारोबारी साझेदार। वे खाते जो दो लोगों के थे और अब एक के हैं।

ग़ौर कीजिए कि इन सबमें साझा क्या है: ये सब घटनाएँ हैं। इनमें से कोई भी «नब्बे दिन बीत गए» नहीं है।

पहली वजह के लिए औज़ार मौजूद है। अगर आप जानना चाहते हैं कि कोई ख़ास पासवर्ड पहले से घूम रही सूचियों में है या नहीं, और साथ ही वह कितनी देर टिकेगा, तो उसे चेकर से गुज़ारिए: विश्लेषण आपके ब्राउज़र में होता है और वहीं रह जाता है।

जब वजह हो, तो क्रम मायने रखता है

पासवर्ड बदलना ज़ाहिर क़दम है, और कई बार पहला क़दम नहीं होता। यह वह क्रम है जो एक ही काम दो बार करने से बचाता है:

पहले, डिवाइस। अगर आपको शक है कि कुछ ऐसा लगा हुआ है जो आपकी टाइपिंग पढ़ रहा है, तो उसी मशीन से पासवर्ड बदलने का मतलब है उसे नया पासवर्ड ख़ुद थमा देना। पहले सफ़ाई कीजिए, या कोई दूसरा डिवाइस इस्तेमाल कीजिए।

फिर, ईमेल। आपका ईमेल खाता बाक़ी खातों जैसा एक और खाता नहीं है: यह वही है जो बाक़ी सबके «पासवर्ड भूल गया» लिंक पाता है। जो ईमेल पर क़ाबिज़ है, वह बाक़ी सब पर सामने के दरवाज़े से क़ाबिज़ है। अगर शुरुआत के लिए एक ही पासवर्ड हो, तो वही है।

इसके बाद, खुले सत्र बंद कीजिए। पासवर्ड बदलने से अंदर बैठा शख़्स हमेशा बाहर नहीं होता। खाते की सेटिंग में «सभी डिवाइस से साइन आउट» जैसा विकल्प ढूँढ़िए और इस्तेमाल कीजिए: वरना घुसपैठिया ऐसे सत्र से जुड़ा रहेगा जिसे अब आपके पासवर्ड की ज़रूरत ही नहीं।

और आख़िर में, देखिए कि वह क्या छोड़ गया है। यही वह क़दम है जिसे सबसे ज़्यादा लोग छोड़ देते हैं। जो किसी खाते में घुसता है, वह सिर्फ़ देखकर नहीं जाता: वह रिकवरी ईमेल बदल देता है, एक फ़ोन नंबर जोड़ देता है, अपना दूसरा फ़ैक्टर चालू कर देता है, कोई ऐप जोड़ देता है, इनबॉक्स में फ़ॉरवर्डिंग नियम लगा देता है। अगर आपने पासवर्ड बदल दिया और यह नहीं देखा, तो वह कल फिर उसी खुले दरवाज़े से अंदर आ जाएगा। रिकवरी के तरीक़े, अधिकृत डिवाइस, जुड़े हुए ऐप और फ़ॉरवर्डिंग नियम — सब दोबारा देखिए।

एक बात और, इतनी ज़ाहिर कि इसी वजह से सबसे ज़्यादा अनदेखी होती है: जब बदलें, तो नया पासवर्ड सचमुच नया होना चाहिए। हमेशा वाला, बस दूसरे अंक के साथ, नहीं। जेनरेटर में बनाइए और वहाँ रखिए जहाँ वह आपकी याददाश्त पर निर्भर न हो।

बाक़ी तीन सौ साठ दिन आप क्या करते हैं

अगर ट्रिगर कोई तथ्य है और तथ्य कम ही होते हैं, तो सवाल बदल जाता है: यानी कुछ करना ही नहीं है? उल्टा। जिसे अदला-बदली ख़राब तरीक़े से सुलझाना चाहती थी, उसे चार चीज़ें ठीक से सुलझा देती हैं — और चारों एक ही बार करनी हैं।

वे लंबे हों। SP 800-63B लंबाई को उलझाव से आगे रखता है: एक लंबा पासवर्ड चिह्नों से ठूँसे हुए छोटे पासवर्ड से बेहतर है। असल काम का बड़ा हिस्सा यहीं है।

हर जगह अलग हों। यही वह चीज़ है जो किसी और की लीक को आग की जगह एक छोटी घटना बना देती है। अगर हर खाते का अपना पासवर्ड है, तो एक का लीक होना बाक़ियों को नहीं छूता; अगर आप एक ही पासवर्ड बाँटते हैं, तो कोई ऐसी सेवा — जिसे इस्तेमाल करना आपको याद भी नहीं — आपके बैंक की सुरक्षा तय कर देती है।

वे लीक सूचियों से मिलाए जाते रहें। NIST ने ठीक यही अदला-बदली की: चिह्न माँगने के बजाय, यह जाँचना कि आपका पासवर्ड पहले से चलन में तो नहीं। यह जाँच सचमुच बासी होती है — जो पासवर्ड आज सूचियों में नहीं है, वह अगले साल हो सकता है — और इसीलिए अच्छे मैनेजर इसे ख़ुद दोहराते हैं और आपको बता देते हैं।

जहाँ हो सके, दूसरा फ़ैक्टर हो। दूसरा फ़ैक्टर लगा हो, तो चोरी हुआ पासवर्ड चाबी नहीं रह जाता, आधी चाबी बन जाता है।

चारों मिलकर वह करते हैं जो अदला-बदली ने कभी नहीं किया: वे पासवर्ड ठीक तभी बदलते हैं जब वजह होती है, क्योंकि आपको पता चल जाता है कि वजह है। सूचियों पर नज़र रखने वाला मैनेजर एक चेतावनी-तंत्र है; कैलेंडर किसी चीज़ की चेतावनी नहीं देता, वह बस बीत जाता है।

और अगर दफ़्तर हर नब्बे दिन पर मजबूर करे

ऐसा होता है, और ख़ूब होता है, क्योंकि पंद्रह साल पहले लिखी गई नीतियाँ हैं जिन्हें उसके बाद किसी ने खोलकर नहीं देखा। दो बातें।

पहली, व्यावहारिक: अगर बदलना ही पड़े, तो सचमुच बदलिए। पूरा नया पासवर्ड बनाइए और मैनेजर में रखिए। मौसम के हिसाब वाला रूपांतर न बदलने से भी बुरी इकलौती चीज़ है, क्योंकि उससे यह एहसास होता है कि कुछ कर लिया।

दूसरी, उनके लिए जो नीति हिला सकते हैं: दलील गढ़नी नहीं पड़ेगी। वह SP 800-63B में है, NIST का आधिकारिक दिशानिर्देश है, और उसमें साफ़ लिखा है कि पासवर्ड के आवधिक बदलाव की माँग नहीं की जानी चाहिए और सेंध का संकेत होने पर बदलाव अनिवार्य किया जाना चाहिए। जो आज नब्बे दिन का नियम चला रहा है, वह उस दस्तावेज़ पर चल रहा है जिसे उसे छापने वाली संस्था ने ख़ुद बरसों पहले बदल दिया।

छोटा जवाब, एक बार फिर

पासवर्ड कितनी बार बदलना चाहिए? जब कुछ हो जाए।

और चूँकि «जब कुछ हो जाए» तभी काम करता है जब आपको पता चले कि कुछ हुआ है, लंबा जवाब यह है: हर पासवर्ड को लंबा, अलग और निगरानी में रखिए — तब जिस दिन किसी एक को बदलना होगा, आपको पता चल जाएगा, वह एक ही होगा, और उसमें दो मिनट लगेंगे।

बाक़ी सब तो बस कैलेंडर पर एक ख़ाना भरना है, ताकि ख़ुद को सुरक्षित महसूस किया जा सके।

स्रोत: NIST SP 800-63, «Electronic Authentication Guideline» (2003), जिसमें रचना के नियम और आवधिक बदलाव आते हैं · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): जटिलता से पहले लंबाई, कोई मनमाना आवधिक बदलाव नहीं, सेंध का संकेत होने पर अनिवार्य बदलाव, और लीक हुए पासवर्ड की सूचियों से मिलान · 2003 के दिशानिर्देश के लेखक बिल बर के अगस्त 2017 में वॉल स्ट्रीट जर्नल को दिए बयान।

तस्वीर: Hatice Baran · Pexels

← ब्लॉग पर वापस