राउटर का पासवर्ड, और कंपनी वाला पासवर्ड क्यों काफ़ी नहीं

आपके राउटर में दो पासवर्ड हैं, और लगभग किसी को यह पता नहीं।

एक वाई-फ़ाई का है: वही जो आप फ़ोन पर बोलकर बताते हैं, जो रसोई में एक पर्ची पर लिखा है, जो आप प्लंबर को पढ़कर सुना देते हैं। दूसरा ख़ुद डिवाइस के एडमिन पैनल का है, वह जो उस स्क्रीन को खोलता है जहाँ से सब कुछ सेट होता है। दूसरे को लगभग कभी नहीं छुआ जाता, और अगर आपने उसे नहीं बदला है तो वह आज भी ठीक वही है जो नीचे चिपके स्टिकर पर छपकर आया था।

दोनों अलग चीज़ों की हिफ़ाज़त करते हैं और अलग तरीक़ों से टूटते हैं। इन्हें अलग करके देखना ज़रूरी है, क्योंकि “वाई-फ़ाई के पासवर्ड” पर बीस साल की बातचीत ने, और भी कई काम करने के साथ-साथ, दूसरे को ढक देने का काम बख़ूबी किया है।

जो आपको याद है, और जिसे आपने कभी देखा ही नहीं

वाई-फ़ाई का पासवर्ड तय करता है कि नेटवर्क से कौन जुड़ सकता है। यह दाख़िले का परमिट है: उसके साथ एक डिवाइस आपके लोकल नेटवर्क में घुसकर बाक़ी सबके साथ रहने लगता है।

एडमिन पासवर्ड तय करता है कि नेटवर्क कैसे चलेगा, यह कौन बदल सकता है। उसी पैनल से नेटवर्क का नाम बदलता है, एन्क्रिप्शन का तरीक़ा बदलता है, पूरा घर कौन-से DNS सर्वर इस्तेमाल करेगा यह बदलता है, बाहर की तरफ़ कौन-से पोर्ट खुले हैं यह बदलता है, और यह भी कि राउटर को इंटरनेट से चलाया जा सकता है या नहीं। यह एक और दरवाज़ा नहीं है: यह वह दरवाज़ा है जहाँ से बाक़ी दरवाज़े दोबारा सेट किए जाते हैं।

यहीं वह असहज असमानता है। किसी के पास वाई-फ़ाई का पासवर्ड है, तो वह आपके नेटवर्क के भीतर है। किसी के पास एडमिन पासवर्ड है, तो आपका नेटवर्क उसका है: वह वाई-फ़ाई का पासवर्ड बदल सकता है, एन्क्रिप्शन कमज़ोर कर सकता है, या आपका ट्रैफ़िक किस रास्ते बाहर जाए यह मोड़ सकता है — और आपको पता किसी सूचना से नहीं, असर से चलेगा।

इस मामले पर CISA की सिफ़ारिश में कोई लाग-लपेट नहीं है: राउटर में लॉगिन करने का यूज़रनेम और पासवर्ड बदलिए, क्योंकि कंपनी से आई जानकारी सार्वजनिक हो सकती है और किसी के भी हाथ लग सकती है, और नया पासवर्ड लंबा, रैंडम और अनोखा रखिए। इसमें एक नियम और जोड़ लीजिए जिसे लगभग हर कोई बिना जाने तोड़ता है: वह वाई-फ़ाई वाले जैसा न हो। ये दो अलग चीज़ें हैं और इनके साझा होने का ढंग बिल्कुल अलग है — एक आधे मोहल्ले को पता है; दूसरा किसी को पता नहीं होना चाहिए।

2011 वह बटन जो सुविधाजनक लगता था

आपके राउटर में एक तीसरा राज़ भी है जिसकी बात लगभग कभी नहीं होती: WPS का PIN, यानी वह झटपट जोड़ने वाली व्यवस्था जो डिवाइस पर एक बटन की शक्ल में और स्टिकर पर आठ अंकों की संख्या की शक्ल में मौजूद है।

दिसंबर 2011 में CERT/CC ने, Stefan Viehböck के काम के आधार पर, भेद्यता नोट VU#723755 प्रकाशित किया — उस PIN की जाँच के तरीक़े में मौजूद एक डिज़ाइन कमज़ोरी के बारे में। आपके लिए अहम तकनीकी ब्योरा नहीं है: अहम आधिकारिक जवाब है, जो पंद्रह साल बाद आज भी वही है। पैच नहीं था; एक स्विच था। सिफ़ारिश तब भी यही थी और आज भी यही है — सेटिंग्स में जाइए और WPS बंद कर दीजिए। CISA आज अपनी घरेलू नेटवर्क गाइड में यही दोहराता है, उसी सूची में जहाँ वह रिमोट मैनेजमेंट बंद करने को कहता है।

इस पूरे लेख का सबसे फ़ायदेमंद हिस्सा यही है: दो टिक जो एक बार हटाए जाते हैं और फिर कभी परेशान नहीं करते।

2015 जब कंपनी की चाबी हिसाब से निकाली जा सकती थी

कंपनी का दिया पासवर्ड आपका राज़ नहीं है। वह निर्माता का चुना हुआ एक मान है, डिवाइस पर छपा हुआ, मैनुअल में दर्ज, और अक्सर एक ही मॉडल की हर इकाई में एक जैसा।

और इससे बुरी चीज़ों के प्रकाशित मामले भी हैं: कंपनी की ऐसी चाबियाँ जो रैंडम थीं ही नहीं, बल्कि उस डेटा से निकाली जाती थीं जो राउटर ख़ुद हवा में प्रसारित करता है। NIST की सूची में CVE-2015-0558 दर्ज है, एक घरेलू राउटर के बारे में जो अपनी WPA चाबी एक तय स्ट्रिंग और अपने MAC पते से बनाता था। कुछ ही बाद, यूरोप में ख़ूब फैले एक केबल मॉडेम पर SEARCH-LAB की सार्वजनिक एडवाइज़री ने इसे एक वाक्य में कह दिया: “डिफ़ॉल्ट SSID और पासफ़्रेज़ सिर्फ़ MAC पते से निकाले जाते हैं। चूँकि डिवाइस का MAC पता वाई-फ़ाई पर प्रसारित होता है, डिफ़ॉल्ट पासवर्ड आसानी से निकाला जा सकता है।” उस ऑपरेटर को आख़िरकार अपने ग्राहकों को चिट्ठी लिखकर पासवर्ड बदलने को कहना पड़ा।

यह जानना ज़रूरी नहीं कि वह कैसे किया जाता था — और यहाँ बताया भी नहीं जाएगा — काम की बात सिर्फ़ एक है: जो चाबी निर्माता बना सकता था, उसे कोई दूसरा दोहरा भी सकता था। आपकी कंपनी वाली चाबी लंबी और भद्दी होने की वजह से रैंडम नहीं है। वह भद्दी इसलिए है कि वह एक तरीक़े से निकली है, और तरीक़ों का अध्ययन किया जाता है।

सबसे आसानी से लंबा किया जा सकने वाला पासवर्ड

अब अच्छी ख़बर, और यह दुर्लभ है, क्योंकि सुरक्षा की कोई सलाह मुफ़्त में नहीं आती।

आपकी ज़िंदगी के हर पासवर्ड के पीछे वही छिपा दुश्मन लगा रहता है: उसे टाइप करना पड़ता है। बार-बार, हाथ से, फ़ोन पर, जल्दी में। इसीलिए लोग उन्हें छोटा रखते हैं, और इसीलिए “तीस अक्षर का रखिए” सज़ा जैसा लगता है।

वाई-फ़ाई वाले के साथ यह दिक़्क़त है ही नहीं। आप उसे हर डिवाइस पर एक बार टाइप करते हैं और दोबारा कभी नहीं देखते: फ़ोन, लैपटॉप और टीवी उसे हमेशा के लिए याद रख लेते हैं। और जब किसी को देना ही हो, तो ज़्यादातर फ़ोन और आजकल के बहुत सारे राउटर उसे QR कोड से थमा देते हैं, बिना किसी के कुछ टाइप किए।

यानी: लंबाई यहाँ लगभग मुफ़्त है, और इसीलिए छोटा रखने का कोई बहाना नहीं। IEEE 802.11i मानक, जो 2004 से इसे परिभाषित करता आ रहा है, 63 अक्षरों तक के पासफ़्रेज़ की इजाज़त देता है। आधे तक भी लगभग कोई नहीं पहुँचता।

तो रखें क्या? CISA का सुझाव बेहद ठोस है और हूबहू माना जा सकता है: आपस में बेमेल पाँच से सात शब्दों का एक याद रहने लायक़ पासफ़्रेज़, कुल मिलाकर कम से कम सोलह अक्षर, और वह किसी और खाते पर इस्तेमाल न हो। यह diceware का तर्क आपके बैठक-कमरे पर लागू करना है। अगर आपको रैंडम स्ट्रिंग रखना और काम QR पर छोड़ देना ज़्यादा ठीक लगे, तो और भी अच्छा: उसे जनरेटर से निकालिए और दोबारा मत देखिए। और अभी जो चल रहा है उस पर शक हो, तो कुछ तय करने से पहले उसे चेकर से गुज़ार दीजिए।

2018 WPA3 क्या है, और इससे हिसाब क्यों बदल जाता है

2018 में Wi-Fi Alliance ने WPA2 के उत्तराधिकारी के तौर पर WPA3 पेश किया। आज Wi-Fi CERTIFIED का ठप्पा चाहने वाले हर उपकरण के लिए यह अनिवार्य है।

बुनियादी बदलाव का नाम भद्दा है — SAE — लेकिन उसका नतीजा समझना बहुत आसान। WPA2 में, पास खड़ा कोई भी आपके फ़ोन और राउटर के बीच की शुरुआती बातचीत पकड़ सकता था, उसे घर ले जाकर उस फ़ाइल के ख़िलाफ़ हर सेकंड लाखों चाबियाँ आज़मा सकता था — कोशिशों की कोई सीमा नहीं, और किसी को कानोकान ख़बर नहीं। यह ठीक वही समस्या है जो पासवर्ड लीक की है: जब सामग्री हमलावर की डिस्क पर पहुँच जाए, तो दूसरी तरफ़ कोई नहीं बैठा जो मना कर सके।

WPA3 इसे तोड़ देता है। ख़ुद Wi-Fi Alliance के शब्दों में: “WPA3-Personal, WPA2 की प्री-शेयर्ड की (WPA2-PSK) की जगह Simultaneous Authentication of Equals (SAE) ले आता है। WPA2-PSK के उलट, SAE ऑफ़लाइन डिक्शनरी हमलों के प्रति प्रतिरोधी है।” हर कोशिश के लिए दोबारा राउटर से बात करनी पड़ती है, और हज़ारों नाकाम कोशिशें झेलने वाला राउटर उसे भाँपकर रफ़्तार पर लगाम लगा सकता है।

और फिर वह ईमानदार हिस्सा है जिसे वही दस्तावेज़ ख़ुद दर्ज करता है। यह प्रतिरोध का मतलब है कि “पासवर्ड की सुरक्षा का बोझ उपयोगकर्ताओं पर नहीं डाला जाता”, और यह कि बड़े-छोटे अक्षरों और चिह्नों की माँग SAE के साथ अब कोई जायज़ शर्त नहीं रही। लेकिन यह घटिया पासवर्ड रखने की इजाज़त नहीं है: सक्रिय हमला अब भी मौजूद है, और स्पेसिफ़िकेशन बिना घुमाए-फिराए कह देती है — SAE के साथ इस्तेमाल होने वाले पासवर्ड का अंदाज़ा लगाना बेहद मुश्किल होना चाहिए। यह वही बात है जो NIST आपके बाक़ी पासवर्डों के बारे में सालों से कह रहा है: लंबाई, पेचीदगी पर भारी पड़ती है।

दो व्यावहारिक चेतावनियाँ। अगर आपका राउटर WPA3 तक नहीं पहुँचता, तो CISA सिर्फ़ दो को सही मानता है: WPA3 Personal और AES वाला WPA2। खुला नेटवर्क, WEP या TKIP कमज़ोर पासवर्ड नहीं हैं, वे कोई पासवर्ड न होने के बराबर हैं। और अगर आप ट्रांज़िशन मोड चालू करते हैं, तो पुराने उपकरण घुस सकें इसके लिए आपका नेटवर्क WPA3 और WPA2 दोनों को एक साथ स्वीकार करता है: 2013 के प्रिंटर वाले घर में यह समझदारी का फ़ैसला है, पर यह जान लेना ठीक रहेगा कि यह है क्या — जब तक यह चालू है, आपके नेटवर्क में एक WPA2 वाला दरवाज़ा बना रहता है। अगर आपकी हर चीज़ WPA3 से जुड़ जाती है, तो इसे बंद कर दीजिए।

2024 क़ानून स्टिकर के नीचे तक पहुँच जाता है

दशकों तक यह सलाहों का मामला था। अब यह नियमों का मामला भी है।

29 अप्रैल 2024 को ब्रिटेन में जुड़े हुए उत्पादों की सुरक्षा से जुड़े क़ानून PSTI की व्यवस्था लागू हुई, जो उपभोक्ता उत्पादों में सर्वव्यापी डिफ़ॉल्ट पासवर्डों पर रोक लगाती है: वह तरीक़ा ख़त्म, जिसमें किसी उत्पाद की हर इकाई एक ही चाबी लेकर कारख़ाने से निकलती थी। हाँ, क़ानून हर इकाई के लिए अलग डिफ़ॉल्ट पासवर्ड की इजाज़त देता है, और हर राउटर पर अलग स्ट्रिंग छपे स्टिकर का मामला ठीक यही है। यूरोपीय संघ में, रेडियो उपकरण निर्देश की साइबर सुरक्षा शर्तें — प्रत्यायोजित विनियम (EU) 2022/30 — 1 अगस्त 2025 से अनिवार्य रूप से लागू हैं।

इससे दो बातें निकलती हैं, और वे एक नहीं हैं। पहली: नए राउटर कारख़ाने से बेहतर हालत में आएँगे। दूसरी, और यही आप पर लागू होती है: इसमें से कुछ भी उस डिवाइस पर पीछे जाकर लागू नहीं होता जो पहले से आपके कमरे में रखा है। अगर वह वहाँ छह साल से है, तो आपके घर में अब भी पुरानी दुनिया के नियम चल रहे हैं।

गेस्ट नेटवर्क, यानी अपना पासवर्ड बोलकर बताना बंद करना

ज़रा गिनिए कि आपका वाई-फ़ाई पासवर्ड कितने लोगों को पता है। जीजा, बच्चों को सँभालने वाली, वह दोस्त जो 2022 में खाने पर आया था और जिसके फ़ोन में सेटिंग अब भी पड़ी है, वह मिस्त्री जो कुछ लगाने ऊपर आया था।

इनमें से किसी को सिर्फ़ इंटरनेट तक जाने की इजाज़त नहीं मिली है: हर एक के पास आपके लोकल नेटवर्क के भीतर एक डिवाइस है, आपके NAS, आपके प्रिंटर और आपके कैमरों के बग़ल में। और उस डिवाइस की हालत क्या है, आपको ज़रा भी अंदाज़ा नहीं।

इसका जवाब गेस्ट नेटवर्क है, और यह वह सुविधा है जो आपके पास पहले से है और जिसे आप इस्तेमाल नहीं करते। CISA इसे साफ़-साफ़ लिखता है: अगर आपके राउटर में गेस्ट वाई-फ़ाई है तो उसे चालू कीजिए, उसका अपना पासवर्ड रखिए — लंबा, रैंडम और अनोखा — और जो भी आपके घरेलू वाई-फ़ाई से रोज़ नहीं जुड़ता, वह उसी को इस्तेमाल करे। और इसमें वह बात जोड़िए जो लगभग कोई नहीं करता: जुड़े हुए उपकरणों को भी वहीं भेजिए — स्मार्ट प्लग, टीवी, रोबोट — अगर उन्हें सिर्फ़ इंटरनेट तक पहुँचना है, ताकि वे घर के बाक़ी उपकरणों को खोज न सकें।

यह इस पूरे ब्लॉग का उसूल है, बस बैठक-कमरे पर लागू किया हुआ: हर जगह के लिए एक अलग क्रेडेंशियल। आपका मुख्य वाई-फ़ाई एक जगह है। मेहमान दूसरी जगह हैं।

क्या करना है, किस क्रम में

• राउटर के पैनल में जाइए और एडमिन पासवर्ड बदलिए। इस सूची में यही अकेली चीज़ है जिसे आपने शायद कभी नहीं छुआ, और जिसका ज़ोर सबसे ज़्यादा है। लंबा, रैंडम और वाई-फ़ाई वाले से अलग।
• वाई-फ़ाई का पासवर्ड लंबा रखिए। आपस में बेमेल पाँच से सात शब्द, या जनरेटर से निकाली गई एक स्ट्रिंग। एक बार टाइप कीजिए, आगे QR से साझा कीजिए।
• राउटर इजाज़त दे तो WPA3 पर जाइए। न दे तो AES वाला WPA2।
• WPS और रिमोट मैनेजमेंट बंद कीजिए। दो टिक, एक ही बार।
• गेस्ट नेटवर्क चालू कीजिए और मेहमानों व उपकरणों को वहीं भेजिए।
• फ़र्मवेयर अपडेट कीजिए और अपने आप अपडेट होने का विकल्प हो तो चालू रहने दीजिए।
• इनमें से कोई भी पासवर्ड कहीं और दोबारा मत इस्तेमाल कीजिए। जो पहले से चल रहे हैं उनमें किसी पर शक हो तो उसे चेकर से गुज़ार दीजिए।

इसमें से किसी में बीस मिनट से ज़्यादा नहीं लगते, और वे बीस मिनट ज़िंदगी में एक बार लगते हैं।

राउटर आपके घर का सबसे अहम उपकरण है और अकेला ऐसा उपकरण भी, जो तब तक ख़ुद को सँभालता रहता है जब तक कोई उसे नहीं सँभालता। वह सालों से एक कोने में चालू है, बिना शिकायत अपना काम कर रहा है, और ठीक इसीलिए उसे देखने का “अभी” कभी नहीं आता।

कंपनी वाला पासवर्ड छोटा होने या भद्दा होने की वजह से बुरा नहीं है। वह इसलिए बुरा है कि वह आपका नहीं है। उसे किसी और ने चुना, एक चिपकने वाले लेबल पर छापा, और आपके जैसे हज़ारों घरों में भेज दिया। उसे बदलना घरेलू कंप्यूटिंग में सबसे क़रीब की वह चीज़ है जो नए घर में जाकर ताला बदलने जैसी है।

स्रोत: CISA, «Project Upskill · Module 5: Securing Your Home Wi-Fi», Joint Cyber Defense Collaborative — राउटर का लॉगिन यूज़रनेम और पासवर्ड बदलना क्योंकि कंपनी की दी जानकारी सार्वजनिक हो सकती है, आपस में बेमेल पाँच से सात शब्दों और कम से कम सोलह अक्षरों वाला पासफ़्रेज़, सुरक्षित माने जाने वाले एकमात्र एन्क्रिप्शन के तौर पर WPA3 Personal या WPA2 AES, WPS और रिमोट मैनेजमेंट बंद करना, और जुड़े उपकरणों के लिए भी गेस्ट वाई-फ़ाई चालू करना · Wi-Fi Alliance, «WPA3 Security Considerations Overview» (अप्रैल 2019), WPA2-PSK की जगह SAE, ऑफ़लाइन डिक्शनरी हमलों के प्रति उसका प्रतिरोध, और यह शर्त कि पासवर्डों का अंदाज़ा लगाना फिर भी बेहद मुश्किल होना चाहिए · CERT/CC भेद्यता नोट VU#723755 (27 दिसंबर 2011), Stefan Viehböck द्वारा रिपोर्ट, जिसका अनुशंसित हल WPS बंद करना है · NVD (NIST), CVE-2015-0558, एक घरेलू राउटर के बारे में जो अपनी WPA चाबी एक तय स्ट्रिंग और अपने MAC पते से बनाता था · SEARCH-LAB (Gergely Eberhardt) की Ubee EVW3226 मॉडेम पर सार्वजनिक एडवाइज़री, जुलाई 2016 में Full Disclosure पर प्रकाशित · IEEE 802.11i, जो पासफ़्रेज़ को 8 से 63 अक्षरों के बीच परिभाषित करता है · ब्रिटेन, Product Security and Telecommunications Infrastructure Act की व्यवस्था, 29 अप्रैल 2024 से लागू · यूरोपीय संघ, रेडियो उपकरण निर्देश का प्रत्यायोजित विनियम (EU) 2022/30, 1 अगस्त 2025 से अनिवार्य · NIST SP 800-63B, पेचीदगी के मुक़ाबले लंबाई पर।

तस्वीर: Jakub Zerdzicki · Pexels

← ब्लॉग पर वापस