पासवर्ड: Difference between revisions

पासवर्ड का उपयोग प्राचीन काल से किया जाता रहा है। संतरी एक पासवर्ड या वॉचवर्ड की आपूर्ति करने के लिए एक क्षेत्र में प्रवेश करने के इच्छुक लोगों को चुनौती देंगे, और केवल एक व्यक्ति या समूह को पास होने की अनुमति देंगे यदि वे पासवर्ड जानते हैं। [[पोलिबियस]] [[प्राचीन रोम की सेना]] में वॉचवर्ड्स के वितरण के लिए प्रणाली का वर्णन इस प्रकार करता है:

<blockquote>जिस तरह से वे रात के लिए वाचवर्ड के पासिंग राउंड को सुरक्षित करते हैं, वह इस प्रकार है: पैदल सेना और घुड़सवार सेना के प्रत्येक वर्ग के दसवें [[मणिपल (सैन्य इकाई)]] से, वह मैनिपल जो सड़क के निचले सिरे पर डेरा डाले हुए है , एक आदमी चुना जाता है जिसे गार्ड ड्यूटी से मुक्त किया जाता है, और वह हर दिन सूर्यास्त के समय [[ट्रिब्यून]] के तम्बू में उपस्थित होता है, और उससे वॉचवर्ड प्राप्त करता है - जो कि उस पर अंकित शब्द के साथ एक लकड़ी की गोली है - उसकी छुट्टी लेता है, और अपने क्वार्टर में लौटने पर अगले मैनिपिल के कमांडर को गवाहों से पहले वॉचवर्ड और टैबलेट पर गुजरता है, जो बदले में उसे उसके बगल में भेजता है। सभी ऐसा ही तब तक करते हैं जब तक कि वह पहले जोड़ तक नहीं पहुँच जाता, जो ट्रिब्यून के तंबू के पास डेरा डाले हुए हैं। ये बाद वाले अंधेरे से पहले ट्रिब्यून को टैबलेट देने के लिए बाध्य हैं। ताकि यदि जारी किए गए सभी को वापस कर दिया जाए, तो ट्रिब्यून को पता चल जाएगा कि सभी लोगों को वॉचवर्ड दिया गया है, और उसके पास वापस जाने के रास्ते में सभी को पार कर गया है। यदि उनमें से कोई भी गायब हो जाता है, तो वह तुरंत पूछताछ करता है, क्योंकि वह निशान से जानता है कि किस तिमाही से टैबलेट वापस नहीं आया है, और जो भी रोकने के लिए जिम्मेदार है वह सजा के योग्य है।<ref>[http://ancienthistory.about.com/library/bl/bl_text_polybius6.htm Polybius on the Roman Military] {{webarchive|url=https://web.archive.org/web/20080207011711/http://ancienthistory.about.com/library/bl/bl_text_polybius6.htm |date=2008-02-07 }}. Ancienthistory.about.com (2012-04-13). Retrieved on 2012-05-20.</ref></ब्लॉककोट>

पासवर्ड याद रखने और उन्हें कभी न लिखने की पारंपरिक सलाह एक चुनौती बन गई है क्योंकि कंप्यूटर और इंटरनेट के उपयोगकर्ताओं द्वारा पासवर्ड बनाए रखने की अपेक्षा की जाती है। एक सर्वेक्षण ने निष्कर्ष निकाला कि औसत उपयोगकर्ता के पास लगभग 100 पासवर्ड होते हैं।<ref name=nordpass100 />पासवर्ड के प्रसार को प्रबंधित करने के लिए, कुछ उपयोगकर्ता एक से अधिक खातों के लिए एक ही पासवर्ड का उपयोग करते हैं, यह एक खतरनाक अभ्यास है क्योंकि एक खाते में डेटा का उल्लंघन बाकी खातों से समझौता कर सकता है। कम जोखिम वाले विकल्पों में [[पासवर्ड प्रबंधक]]ों का उपयोग, एकल साइन-ऑन सिस्टम और कम महत्वपूर्ण पासवर्डों की केवल कागजी सूची रखना सम्मिलित है।<ref>{{cite web|url=https://www.macworld.com/article/226857/write-your-passwords-down-to-improve-safety.html |title=सुरक्षा में सुधार के लिए अपने पासवर्ड लिख लें — एक प्रति-सहज धारणा आपको दूरस्थ हमले के प्रति कम संवेदनशील बनाती है, अधिक नहीं।|first=Glenn |last=Fleishman|date=November 24, 2015|publisher=MacWorld|access-date=April 28, 2021}}</ref> इस तरह के अभ्यास पासवर्ड की संख्या को कम कर सकते हैं जिन्हें याद रखना चाहिए, जैसे कि पासवर्ड मैनेजर का मास्टर पासवर्ड, अधिक प्रबंधनीय संख्या में।

अधिक सुरक्षित प्रणालियाँ प्रत्येक पासवर्ड को क्रिप्टोग्राफ़िक रूप से संरक्षित रूप में संग्रहीत करती हैं, इसलिए वास्तविक पासवर्ड तक पहुँच एक स्नूपर के लिए अभी भी मुश्किल होगी जो सिस्टम में आंतरिक पहुँच प्राप्त करता है, जबकि उपयोगकर्ता पहुँच प्रयासों का सत्यापन संभव रहता है। सबसे सुरक्षित पासवर्ड को स्टोर नहीं करते हैं, लेकिन एक तरफ़ा व्युत्पत्ति, जैसे [[बहुपद]], [[मोडुलो ऑपरेशन]], या एक उन्नत क्रिप्टोग्राफ़िक हैश फ़ंक्शन।<ref name="SS1">{{cite web| last=Lundin|first=Leigh |title= पिन और पासवर्ड, भाग 2| url=http://www.sleuthsayers.org/2013/08/pins-and-passwords-part-2.html |work=Passwords| publisher=SleuthSayers| location=Orlando| date=2013-08-11}}</ref> [[रोजर नीधम]] ने प्लेनटेक्स्ट पासवर्ड के केवल हैशेड फॉर्म को स्टोर करने के लिए अब-सामान्य दृष्टिकोण का आविष्कार किया।<ref>Wilkes, M. V. Time-Sharing Computer Systems. American Elsevier, New York, (1968).</ref><ref name="guardian">{{cite news|last=Schofield|first=Jack|title=रोजर नीधम|work=The Guardian|date=10 March 2003|url=https://www.theguardian.com/news/2003/mar/10/guardianobituaries.microsoft}}</ref> जब कोई उपयोगकर्ता ऐसी प्रणाली पर पासवर्ड टाइप करता है, तो पासवर्ड प्रबंधन सॉफ़्टवेयर क्रिप्टोग्राफ़िक हैश फ़ंक्शन एल्गोरिथम के माध्यम से चलता है, और यदि उपयोगकर्ता की प्रविष्टि से उत्पन्न हैश मान पासवर्ड डेटाबेस में संग्रहीत हैश से मेल खाता है, तो उपयोगकर्ता को एक्सेस की अनुमति है। हैश मान एक क्रिप्टोग्राफ़िक हैश फ़ंक्शन को सबमिट किए गए पासवर्ड से युक्त स्ट्रिंग पर लागू करके बनाया गया है, और कई कार्यान्वयनों में, नमक (क्रिप्टोग्राफी) के रूप में जाना जाने वाला एक अन्य मूल्य। एक नमक हमलावरों को सामान्य पासवर्ड के लिए हैश मानों की सूची बनाने से आसानी से रोकता है और पासवर्ड क्रैकिंग प्रयासों को सभी उपयोगकर्ताओं के बीच स्केल करने से रोकता है।<ref>[http://bugcharmer.blogspot.com/2012/06/passwords-matter.html The Bug Charmer: Passwords Matter] {{webarchive|url=https://web.archive.org/web/20131102172331/http://bugcharmer.blogspot.com/2012/06/passwords-matter.html |date=2013-11-02 }}. Bugcharmer.blogspot.com (2012-06-20). Retrieved on 2013-07-30.</ref> [[MD5]] और [[SHA1]] प्रायः क्रिप्टोग्राफ़िक हैश फ़ंक्शंस का उपयोग करते हैं, लेकिन उन्हें पासवर्ड हैशिंग के लिए अनुशंसित नहीं किया जाता है, जब तक कि उनका उपयोग बड़े निर्माण जैसे कि [[PBKDF2]] के हिस्से के रूप में नहीं किया जाता है।<ref name="bugcharmer.blogspot.com">Alexander, Steven. (2012-06-20) [http://bugcharmer.blogspot.com/2012/06/how-long-should-passwords-be.html The Bug Charmer: How long should passwords be?] {{webarchive|url=https://web.archive.org/web/20120920143554/http://bugcharmer.blogspot.com/2012/06/how-long-should-passwords-be.html |date=2012-09-20 }}. Bugcharmer.blogspot.com. Retrieved on 2013-07-30.</ref>

यदि एक क्रिप्टोग्राफ़िक हैश फ़ंक्शन अच्छी तरह से डिज़ाइन किया गया है, तो यह एक सादे टेक्स्ट पासवर्ड को पुनर्प्राप्त करने के लिए फ़ंक्शन को रिवर्स करने के लिए कम्प्यूटेशनल रूप से संभव नहीं है। हालांकि, एक हमलावर पासवर्ड का अनुमान लगाने का प्रयास करने के लिए व्यापक रूप से उपलब्ध टूल का उपयोग कर सकता है। ये उपकरण संभावित पासवर्ड को हैश करके और प्रत्येक अनुमान के परिणाम की वास्तविक पासवर्ड हैश से तुलना करके काम करते हैं। यदि हमलावर को कोई मेल मिलता है, तो वे जानते हैं कि उनका अनुमान संबंधित उपयोगकर्ता के लिए वास्तविक पासवर्ड है। पासवर्ड क्रैकिंग टूल ब्रूट फ़ोर्स (अर्थात वर्णों के हर संभव संयोजन को आज़माकर) या सूची से प्रत्येक शब्द को हैश करके संचालित कर सकते हैं; कई भाषाओं में संभावित पासवर्ड की बड़ी सूची इंटरनेट पर व्यापक रूप से उपलब्ध है।<ref name="SS1" />पासवर्ड क्रैकिंग टूल की सम्मिलित हमलावरों को खराब चुने गए पासवर्ड को आसानी से पुनर्प्राप्त करने की अनुमति देती है। विशेष रूप से, हमलावर छोटे पासवर्ड, शब्दकोश शब्द, शब्दकोश शब्दों पर सरल बदलाव या आसानी से अनुमान लगाने योग्य पैटर्न का उपयोग करने वाले पासवर्ड को जल्दी से पुनर्प्राप्त कर सकते हैं।<ref>[http://blog.thireus.com/cracking-story-how-i-cracked-over-122-million-sha1-and-md5-hashed-passwords Cracking Story – How I Cracked Over 122 Million SHA1 and MD5 Hashed Passwords « Thireus' Bl0g] {{webarchive|url=https://web.archive.org/web/20120830223146/http://blog.thireus.com/cracking-story-how-i-cracked-over-122-million-sha1-and-md5-hashed-passwords |date=2012-08-30 }}. Blog.thireus.com (2012-08-29). Retrieved on 2013-07-30.</ref>

==== हैश-आधारित चुनौती-प्रतिक्रिया के तरीके ====

दुर्भाग्य से, संग्रहीत हैश-पासवर्ड और हैश-आधारित चुनौती-प्रतिक्रिया प्रमाणीकरण के बीच एक विरोध है; उत्तरार्द्ध को सर्वर को साबित करने के लिए क्लाइंट की आवश्यकता होती है कि वे जानते हैं कि [[साझा रहस्य|साझा  गोपनीयता]]  (अर्थात, पासवर्ड) क्या है, और ऐसा करने के लिए, सर्वर को अपने संग्रहीत रूप से साझा  गोपनीयता  प्राप्त करने में सक्षम होना चाहिए। दूरस्थ प्रमाणीकरण करने वाली कई प्रणालियों (यूनिक्स-प्रकार प्रणालियों सहित) पर, साझा  गोपनीयता  सामान्यतः हैशेड रूप बन जाता है और ऑफ़लाइन अनुमान लगाने वाले हमलों के लिए पासवर्ड को उजागर करने की गंभीर सीमा होती है। इसके अलावा, जब हैश का उपयोग एक साझा  गोपनीयता  के रूप में किया जाता है, तो हमलावर को दूरस्थ रूप से प्रमाणित करने के लिए मूल पासवर्ड की आवश्यकता नहीं होती है; उन्हें केवल हैश की जरूरत है।

एक कदम आगे बढ़ते हुए, पासवर्ड-प्रमाणित कुंजी समझौते के लिए संवर्धित सिस्टम (जैसे, [[यादगार पासवर्ड के माध्यम से प्रमाणीकरण और कुंजी समझौता]], [[SPEKE]]|B-SPEKE, [[PAK-Z]], [[सुरक्षित रिमोट पासवर्ड प्रोटोकॉल]]|SRP-6) के विरोध और सीमा दोनों से बचते हैं हैश-आधारित तरीके। एक संवर्धित प्रणाली क्लाइंट को सर्वर को पासवर्ड का ज्ञान साबित करने की अनुमति देती है, जहां सर्वर केवल एक (बिल्कुल नहीं) हैश पासवर्ड जानता है, और जहां पहुंच प्राप्त करने के लिए अन-हैश पासवर्ड की आवश्यकता होती है।

* पर्याप्त लंबाई के पासवर्ड की अनुमति देना। (प्रारंभिक संस्करणों सहित कुछ [[विरासती तंत्र]] ऑपरेटिंग सिस्टम{{Which|date=September 2010}} यूनिक्स और विंडोज के, अधिकतम 8 वर्णों तक सीमित पासवर्ड,<ref>Seltzer, Larry. (2010-02-09) [https://www.pcmag.com/article2/0,2817,2358985,00.asp "American Express: Strong Credit, Weak Passwords"] {{webarchive|url=https://web.archive.org/web/20170712160714/https://www.pcmag.com/article2/0,2817,2358985,00.asp |date=2017-07-12 }}. Pcmag.com. Retrieved on 2012-05-20.</ref><ref name="password_myths">[http://www.symantec.com/connect/articles/ten-windows-password-myths दस विंडोज पासवर्ड मिथक] {{webarchive|url=https://web.archive.org/web/20160128204127/http://www.symantec.com/connect/articles/ten-windows-password-myths |date=2016-01-28 }}: एनटी डायलॉग बॉक्स ... अधिकतम 14 वर्णों तक सीमित पासवर्ड

समय और धन की अनुमति के रूप में कई संभावनाओं का प्रयास करके पासवर्ड क्रैक करने का प्रयास करना एक क्रूर बल का हमला है। एक संबंधित विधि, ज्यादातर मामलों में अधिक कुशल, एक शब्दकोश हमला है। डिक्शनरी अटैक में, एक या अधिक डिक्शनरी के सभी शब्दों का परीक्षण किया जाता है। सामान्य पासवर्ड की सूची का भी  सामान्यतः परीक्षण किया जाता है।

* [[पासविंडो]] वन-टाइम पासवर्ड का उपयोग एकल-उपयोग पासवर्ड के रूप में किया जाता है, लेकिन दर्ज किए जा