پاس ورڈ جنریٹر

امریکہ کے نیشنل انسٹی ٹیوٹ آف اسٹینڈرڈز اینڈ ٹیکنالوجی (NIST) نے SP 800-63B میں پاس ورڈ کی رہنمائی نئے سرے سے لکھی اور 2024 میں شائع ہونے والے ریویژن 4 میں اسے مزید سخت کیا۔ اس کی بنیادی ہدایات پرانے کارپوریٹ اصولوں کے برعکس ہیں: سروسز کو کم از کم 64 حروف کے پاس ورڈ قبول کرنے چاہئیں، بڑے حروف، ہندسوں اور علامات کا امتزاج لازمی نہیں کرنا چاہیے، لوگوں سے مقررہ وقفے سے پاس ورڈ نہیں بدلوانے چاہئیں، اور اس کے بجائے نئے پاس ورڈ کو لیک شدہ اور عام پاس ورڈ کی فہرستوں سے جانچنا چاہیے۔

اس کی وجہ حساب ہے۔ ترکیبی اصول لوگوں کو "Summer2024!" جیسے اندازے کے قابل نمونوں کی طرف دھکیلتے ہیں، جنہیں حملہ آور سب سے پہلے آزماتے ہیں۔ اس کے برعکس ہر اضافی بے ترتیب حرف بروٹ فورس حملے کی محنت کو حروف کے ذخیرے کے سائز سے ضرب دے دیتا ہے۔ 94 قابلِ طباعت ASCII علامات میں سے 12 کے بجائے 16 بے ترتیب حروف لینے سے تقریباً 26 بٹس بڑھتے ہیں، یعنی اندازہ لگانا تقریباً 7 کروڑ 80 لاکھ گنا مشکل ہو جاتا ہے۔

اینٹروپی بتاتی ہے کہ جنریٹر کتنے یکساں امکان والے پاس ورڈ بنا سکتا تھا۔ بے ترتیب پاس ورڈ کے لیے یہ لمبائی × log2(ذخیرے کا سائز) ہے۔ چاروں سیٹ کے ساتھ ذخیرہ 94 علامات کا ہے، یعنی تقریباً 6.55 بٹس فی حرف، اس لیے 16 حروف سے تقریباً 105 بٹس بنتے ہیں۔ ملتے جلتے حروف نکالنے سے ذخیرہ 84 رہ جاتا ہے اور فی حرف ایک بٹ کے پانچویں حصے سے کچھ کم نقصان ہوتا ہے۔ اوپر کا جدول یہی حساب استعمال کرتا ہے اور فرض کرتا ہے کہ آف لائن حملہ آور فی سیکنڈ 10 ارب اندازے لگاتا ہے، جو تیز ہیش کے مقابل GPU رِگ کے لیے مناسب اندازہ ہے؛ bcrypt جیسی سست ہیش اس رفتار کو کئی گنا کم کر دیتی ہے۔

پاس فریز بھی اسی طرح کام کرتے ہیں، بس حروف کی جگہ الفاظ ہوتے ہیں۔ یہاں کی بلٹ اِن فہرست میں 367 مختصر عام الفاظ ہیں، اس لیے ہر لفظ تقریباً 8.5 بٹس دیتا ہے اور چھ الفاظ سے تقریباً 51 بٹس بنتے ہیں: ٹائپ کرنا اور یاد رکھنا آسان، مگر 16 حروف کے بے ترتیب پاس ورڈ سے کمزور۔ جدا کرنے والے نشان کے طور پر "بے ترتیب ہندسہ" چننے سے ہر وقفے پر تقریباً 3.3 بٹس بڑھتے ہیں۔ کسی اہم چیز کی حفاظت کرنے والے پاس فریز کے لیے آٹھ الفاظ استعمال کریں، یا 7,776 الفاظ والی Diceware فہرست جس کا ہر لفظ 12.9 بٹس کا ہے۔

میٹر 40 بٹس سے کم کو کمزور، 40 سے 59 کو درمیانہ، 60 سے 79 کو مضبوط اور 80 یا زیادہ کو بہت مضبوط قرار دیتا ہے۔ یہ جنریٹر کی سیٹنگز کو جانچتا ہے، تیار شدہ تحریر کو نہیں، اور پاس ورڈ کو پرکھنے کا یہی واحد دیانت دار طریقہ ہے: "correct horse battery staple" نمونوں پر مبنی چیکرز میں اونچا اسکور لیتا ہے مگر ہر حملہ آور سب سے پہلے یہی جملہ آزماتا ہے۔

ہر اکاؤنٹ کے لیے الگ پاس ورڈ رکھیں اور انہیں یاد رکھنے کا کام پاس ورڈ مینیجر پر چھوڑ دیں؛ ایک ہی پاس ورڈ دہرانے سے ایک سائٹ کا لیک کئی اکاؤنٹس کے ہائی جیک ہونے میں بدل جاتا ہے۔ سائن اپ فارم جمع کرانے سے پہلے پاس ورڈ مینیجر میں محفوظ کریں، اور جہاں بھی دستیاب ہو ٹو فیکٹر تصدیق آن کریں۔ اکاؤنٹ کے بجائے کسی دستاویز کو لاک کرنا ہو تو مضبوط پاس فریز PDF پر پاس ورڈ لگائیں کے ساتھ اچھا کام کرتا ہے، جو فائل کو آپ کے چنے ہوئے پاس ورڈ سے انکرپٹ کرتا ہے۔