ایسا مضبوط پاس ورڈ بنائیں جو یاد رکھنا نہ پڑے

پاس ورڈ کے بارے میں زیادہ تر مشورہ اب بھی وہی ہے: ایک بڑا حرف، ایک ہندسہ، ایک نشان، اور ہر 90 دن بعد بدلیں۔ حملہ آور ان اصولوں سے بہت پہلے نمٹ چکے ہیں، اور NIST جیسے معیار طے کرنے والے اداروں کی موجودہ رہنمائی آگے بڑھ چکی ہے۔ آج جو چیز آپ کو بچاتی ہے وہ سادہ ہے: لمبا، بے ترتیب، اور ہر اکاؤنٹ کے لیے الگ۔

پاس ورڈ اصل میں کیسے توڑے جاتے ہیں

کوئی لاگ اِن صفحے پر بیٹھ کر اندازے نہیں لگاتا۔ ویب سائٹیں چند کوششوں کے بعد روک دیتی ہیں۔ اصل حملے ایسے ہوتے ہیں:

• ڈیٹا بیس لیک۔ کسی سائٹ میں نقب لگتی ہے اور محفوظ کیے گئے پاس ورڈ hash کاپی ہو جاتے ہیں۔ پھر حملہ آور آف لائن اندازے لگاتے ہیں، فی سیکنڈ اربوں کی رفتار سے، اور کوئی lockout نہیں ہوتا۔
• Credential stuffing۔ ایک لیک سے ملے ای میل اور پاس ورڈ کے جوڑے بینکوں، ای میل اور سوشل میڈیا پر آزمائے جاتے ہیں۔ اگر آپ نے پاس ورڈ دہرایا ہے تو وہ اندر ہیں۔
• Wordlists اور پیٹرن۔ توڑنے والے ٹولز پہلے لیک شدہ پاس ورڈ، لغت کے الفاظ، نام اور تاریخیں آزماتے ہیں، اور P@ssw0rd یا Pakistan123! جیسی عام چالیں پہلے سے ان میں شامل ہوتی ہیں۔
• Phishing۔ جعلی لاگ اِن صفحہ سیدھا پاس ورڈ مانگ لیتا ہے۔ کوئی پاس ورڈ اتنا مضبوط نہیں کہ اسے روک سکے۔

جو پاس ورڈ آپ نے خود گھڑا ہو وہ عموماً کسی پیٹرن پر چلتا ہے، اور پیٹرن ہی وہ چیز ہیں جنہیں اندازہ لگانے والے ٹولز پکڑنے کے لیے بنے ہیں۔ جو پاس ورڈ واقعی بے ترتیب ہو اس میں ڈھونڈنے کو کوئی پیٹرن ہی نہیں ہوتا۔

لمبائی چالاک نشانوں سے بہتر ہے

بے ترتیب پاس ورڈ کی مضبوطی entropy کے بٹس میں ناپی جاتی ہے۔ ہر اضافی بٹ اندازوں کی ضرورت دگنی کر دیتا ہے۔ حروف کا ذخیرہ بڑا کرنے سے کہیں زیادہ تیزی سے بٹس لمبائی بڑھانے سے جڑتے ہیں۔ جدول فرض کرتا ہے کہ چوری شدہ hash کے ساتھ حملہ آور فی سیکنڈ 100,000,000,000 اندازے لگا رہا ہے، اور بے ترتیب بنائے گئے پاس ورڈ کے لیے اوسط اندازے میں لگنے والا وقت دکھاتا ہے۔

دو باتیں نمایاں ہیں۔ آٹھ حروف اب کافی نہیں، نشانوں کے ساتھ بھی نہیں۔ اور 12 سے 16 حروف تک جانا حروف بدلنے کی کسی بھی مقدار سے زیادہ کام کرتا ہے۔ جن اکاؤنٹس کی اہمیت ہو ان کے لیے 16 یا اس سے زیادہ حروف رکھیں۔

دس سیکنڈ میں ایک بنائیں

1. پاس ورڈ جنریٹر کھولیں۔
2. لمبائی 16 یا اس سے زیادہ رکھیں۔
3. چاروں قسمیں آن رکھیں، جب تک کوئی سائٹ نشان رد نہ کرے۔
4. اگر کبھی پاس ورڈ ہاتھ سے ٹائپ کرنا پڑے تو "ملتے جلتے حروف نکال دیں" آن کریں، تاکہ l، 1 اور I میں الجھن نہ ہو۔
5. اسے سیدھا اپنے پاس ورڈ مینیجر یا سائٹ کے سائن اپ فارم میں کاپی کریں۔

جنریٹر آپ کے براؤزر کا cryptographic random number generator استعمال کرتا ہے، یہ وہی ذریعہ ہے جو encryption keys کے لیے استعمال ہوتا ہے۔ پاس ورڈ آپ کے ڈیوائس پر بنتے ہیں اور کہیں نہیں بھیجے جاتے۔

آپ کو زیادہ تر پاس ورڈ یاد نہیں رکھنے چاہییں

اگر ہر اکاؤنٹ کا اپنا بے ترتیب 16 حروف کا پاس ورڈ ہو تو کسی کو وہ یاد نہیں رہ سکتے۔ یہی تو مقصد ہے۔ انہیں پاس ورڈ مینیجر میں رکھیں: آپ کے فون یا براؤزر میں بنا ہوا، یا Bitwarden اور 1Password جیسی کوئی ایپ۔ وہ انہیں آپ کے لیے بھر دیتا ہے اور اگر آپ کی استعمال کی ہوئی کوئی سائٹ ہیک ہو جائے تو خبردار بھی کرتا ہے۔

آپ کو بس چند یاد رکھنے ہیں: خود مینیجر کا پاس ورڈ، آپ کی مرکزی ای میل، اور شاید فون کھولنے کا۔ ان کے لیے پانچ یا چھ بے ترتیب الفاظ کا passphrase مضبوط بھی ہے اور یاد رکھنے کے قابل بھی۔ الفاظ بے ترتیب چنیں، مثلاً پانسے اور لفظوں کی فہرست سے، کسی پسندیدہ گانے یا اقتباس سے نہیں۔

وہ عادتیں جو پاس ورڈ سے زیادہ اہم ہیں

• ٹو فیکٹر تصدیق آن کریں ای میل، بینکنگ اور سوشل میڈیا پر۔ Authenticator ایپ SMS سے بہتر ہے، جو SIM swap سے چرایا جا سکتا ہے۔
• کبھی پاس ورڈ نہ دہرائیں۔ ایک لیک سے صرف ایک ہی اکاؤنٹ کھلنا چاہیے۔
• پاس ورڈ تب بدلیں جب کوئی وجہ ہو، جیسے ہیک ہونے کی اطلاع، کسی مقررہ شیڈول پر نہیں۔ زبردستی بار بار بدلوانے سے لوگ آخر میں 1، 2، 3 لگانے جیسے اندازے کے قابل پیٹرن کی طرف چلے جاتے ہیں۔
• دیکھیں کہ آپ کی ای میل کسی معلوم لیک میں تو نہیں، haveibeenpwned.com پر، اور جس ہیک شدہ سائٹ پر پاس ورڈ استعمال ہوا ہو اسے بدل دیں۔
• ایڈریس خود ٹائپ کریں یا بینک کے لیے بک مارک استعمال کریں، SMS یا WhatsApp پیغامات کے لنک پر کلک کرنے کی بجائے۔

مختصر چیک لسٹ

• ہر اکاؤنٹ کے لیے 16 یا اس سے زیادہ بے ترتیب حروف۔
• ہر جگہ الگ پاس ورڈ، جو پاس ورڈ مینیجر میں رکھا ہو۔
• جو چند یاد رکھنے ہیں ان کے لیے لمبا passphrase۔
• اپنی ای میل اور بینک پر ٹو فیکٹر تصدیق۔

تیار ہیں؟ ابھی مضبوط پاس ورڈ بنائیں اور وہ پاس ورڈ بدل دیں جو آپ سب سے زیادہ دہراتے ہیں۔