পাসওয়ার্ড জেনারেটর

যুক্তরাষ্ট্রের ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি (NIST) তাদের পাসওয়ার্ড নির্দেশিকা SP 800-63B-তে নতুন করে লিখেছে এবং ২০২৪ সালে প্রকাশিত রিভিশন ৪-এ আরও কড়া করেছে। এর মূল পরামর্শ পুরোনো কর্পোরেট নিয়মের উল্টো: সার্ভিসগুলো কমপক্ষে ৬৪ অক্ষরের পাসওয়ার্ড গ্রহণ করবে, বড় হাতের অক্ষর, সংখ্যা ও চিহ্নের মিশ্রণ বাধ্যতামূলক করবে না, নির্দিষ্ট সময় পরপর পাসওয়ার্ড বদলাতে বাধ্য করবে না, বরং নতুন পাসওয়ার্ড ফাঁস হওয়া ও বহুল ব্যবহৃত পাসওয়ার্ডের তালিকার সঙ্গে মিলিয়ে দেখবে।

এর পেছনে রয়েছে সহজ হিসাব। গঠনের নিয়ম মানুষকে "Summer2024!"-এর মতো অনুমানযোগ্য প্যাটার্নের দিকে ঠেলে দেয়, আর আক্রমণকারীরা সবার আগে সেগুলোই চেষ্টা করে। অন্যদিকে প্রতিটি বাড়তি র‍্যান্ডম অক্ষর ব্রুট-ফোর্স আক্রমণের কাজ অক্ষরভান্ডারের আকার অনুযায়ী গুণ করে বাড়ায়। ৯৪টি প্রিন্টযোগ্য ASCII চিহ্ন থেকে ১২টির জায়গায় ১৬টি র‍্যান্ডম অক্ষর নিলে প্রায় ২৬ বিট যোগ হয়, ফলে অনুমান করা প্রায় ৭ কোটি ৮০ লাখ গুণ কঠিন হয়ে যায়।

এন্ট্রপি মাপে জেনারেটর কতগুলো সমান সম্ভাবনার পাসওয়ার্ড তৈরি করতে পারত। র‍্যান্ডম পাসওয়ার্ডের ক্ষেত্রে এটি দৈর্ঘ্য × log2(ভান্ডারের আকার)। চার ধরনের অক্ষরসেট নিলে ভান্ডার ৯৪টি চিহ্নের, অর্থাৎ প্রতি অক্ষরে প্রায় ৬.৫৫ বিট, তাই ১৬ অক্ষরে প্রায় ১০৫ বিট। দেখতে একই রকম অক্ষর বাদ দিলে ভান্ডার ৮৪-তে নামে এবং প্রতি অক্ষরে এক বিটের পাঁচ ভাগের এক ভাগের কিছু কম হারায়। উপরের টেবিলেও একই হিসাব ব্যবহার হয়েছে এবং ধরা হয়েছে অফলাইন আক্রমণকারী প্রতি সেকেন্ডে ১০ বিলিয়ন অনুমান করছে, যা দ্রুত হ্যাশের বিরুদ্ধে GPU রিগের জন্য যুক্তিসংগত সংখ্যা; bcrypt-এর মতো ধীর হ্যাশ এই হার বহু গুণ কমিয়ে দেয়।

পাসফ্রেজ একইভাবে কাজ করে, তবে অক্ষরের বদলে শব্দ দিয়ে। এখানকার বিল্ট-ইন তালিকায় ৩৬৭টি ছোট, প্রচলিত শব্দ আছে, তাই প্রতি শব্দে প্রায় ৮.৫ বিট যোগ হয় এবং ছয়টি শব্দে প্রায় ৫১ বিট: টাইপ করা ও মনে রাখা সহজ, কিন্তু ১৬ অক্ষরের র‍্যান্ডম পাসওয়ার্ডের চেয়ে দুর্বল। বিভাজক হিসেবে "র‍্যান্ডম অঙ্ক" বেছে নিলে প্রতি ফাঁকে প্রায় ৩.৩ বিট যোগ হয়। গুরুত্বপূর্ণ কিছু সুরক্ষার পাসফ্রেজের জন্য আটটি শব্দ নিন, অথবা ৭,৭৭৬ শব্দের Diceware তালিকা ব্যবহার করুন, যেখানে প্রতি শব্দ ১২.৯ বিটের সমান।

মিটার ৪০ বিটের নিচে হলে দুর্বল, ৪০ থেকে ৫৯ মোটামুটি, ৬০ থেকে ৭৯ শক্তিশালী এবং ৮০ বা তার বেশি হলে খুব শক্তিশালী বলে। এটি স্ট্রিংয়ের নয়, জেনারেটরের সেটিংসের মূল্যায়ন করে, আর পাসওয়ার্ড যাচাইয়ের এটিই একমাত্র সৎ উপায়: "correct horse battery staple" প্যাটার্নভিত্তিক চেকারে উচ্চ স্কোর পায়, অথচ যেকোনো আক্রমণকারী সবার আগে এই বাক্যাংশটিই চেষ্টা করে।

প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন এবং মনে রাখার দায়িত্ব পাসওয়ার্ড ম্যানেজারকে দিন; একই পাসওয়ার্ড বারবার ব্যবহারই একটি সাইট ফাঁস হলে অনেক অ্যাকাউন্ট হাইজ্যাক হওয়ার কারণ। সাইন-আপ ফর্ম জমা দেওয়ার আগে পাসওয়ার্ডটি ম্যানেজারে সেভ করুন এবং যেখানে সুযোগ আছে সেখানে টু-ফ্যাক্টর অথেনটিকেশন চালু করুন। অ্যাকাউন্ট নয়, কোনো ডকুমেন্ট লক করতে চাইলে একটি শক্তিশালী পাসফ্রেজ PDF এ পাসওয়ার্ড দিন-এর সঙ্গে ভালো কাজ করে, যা আপনার পছন্দের পাসওয়ার্ড দিয়ে ফাইল এনক্রিপ্ট করে।