পাসওয়ার্ডের শক্তি যাচাই

আপনার পাসওয়ার্ড কখনো আপনার ডিভাইসের বাইরে যায় না। যেভাবে গোপন রাখা হয়

যাচাই করার পাসওয়ার্ড

চেষ্টা করুন:

ভাঙতে কত সময় লাগতে পারে এবং ফাঁস হয়েছে কি না দেখুন।

বিনামূল্যের password strength checker

এই password strength checker দিয়ে আপনার পাসওয়ার্ড কতটা নিরাপদ তা যাচাই করুন। উপরে পাসওয়ার্ড লিখুন বা পেস্ট করুন—দেখতে পাবেন এটি কতটা শক্তিশালী, এটি ভাঙতে কত সময় লাগতে পারে এবং এটি সবচেয়ে বেশি ফাঁস হওয়া দশ লাখ পাসওয়ার্ডের মধ্যে আছে কি না। আপনি টাইপ করার সঙ্গে সঙ্গেই সব যাচাই আপনার ব্রাউজারে হয়, আর পাসওয়ার্ড কখনো এই ডিভাইসের বাইরে যায় না।

আপনি টাইপ করা থামালে এটি Have I Been Pwned-এর Pwned Passwords তালিকাতেও পাসওয়ার্ডটি খুঁজে দেখে। এ জন্য শুধু পাসওয়ার্ডের রূপান্তরিত ডিজিটাল ছাপের 5টি অক্ষর পাঠায়, কখনোই পাসওয়ার্ডটি নয়। ঠিক কী পাঠানো হয় দেখুন।

সরাসরি যান: ফলাফলের অর্থ কী · কী পাঠানো হয় · দুর্বল হলে কী করবেন · প্রশ্ন

ফলাফলের অর্থ কী

বেশিরভাগ পাসওয়ার্ড কেউ সাইন-ইন পেজে বারবার অনুমান করে টাইপ করে ভাঙে না। কোনো সাইটে তথ্যফাঁস হলে সেখানে সংরক্ষিত পাসওয়ার্ডগুলো চুরি হয়। তারপর আক্রমণকারীরা নিজেদের কম্পিউটারে সেই তালিকার পাসওয়ার্ডগুলো অনুমান করে মেলাতে থাকে, তাদের হার্ডওয়্যার যত দ্রুত পারে। এই পাসওয়ার্ডের শক্তি যাচাই করার টুলে দেখানো সময়টি পুরো গতিতে 1,000 গ্রাফিক্স কার্ড দিয়ে অনুমান করার জন্য হিসাব করা হয়। সেই সময়ের ভিত্তিতেই শক্তির মাত্রা নির্ধারিত হয়:

খুব শক্তিশালী: দশ লাখ বছর বা তার বেশি; র‍্যান্ডম হলে এবং অন্য কোথাও ব্যবহার না করলে, এই টুল যা যা যাচাই করতে পারে তার সব ক্ষেত্রেই যথেষ্ট শক্তিশালী
শক্তিশালী: দশ লাখ বছরের কম; বেশিরভাগ অ্যাকাউন্টের জন্য যথেষ্ট, যদি অন্য কোথাও ব্যবহার না করেন
মোটামুটি: 100 বছরের কম; পরের বার সাইন ইন করার সময় বদলে ফেলুন
দুর্বল: এক বছরের কম; যেখানেই এটি ব্যবহার করেন, এখনই বদলে ফেলুন

দেখতে শক্তিশালী, আসলে নয়

পাসওয়ার্ডের শক্তি যাচাইকারী বেশির ভাগ টুল শুধু দৈর্ঘ্য আর কত ধরনের অক্ষর, সংখ্যা ও চিহ্ন আছে তা গোনে। তাই P@ssw0rd2024!-এর মতো পাসওয়ার্ডকে সেগুলো খুব ভালো বলে ধরে নেয়। পাসওয়ার্ড ভাঙার টুল এভাবে গোনে না; মানুষ সাধারণত যেসব ছকে পাসওয়ার্ড বানায়, সেগুলো আগে চেষ্টা করে। দেখতে ঠিকঠাক মনে হয় এমন কিছু পাসওয়ার্ড সম্পর্কে এই যাচাইকারী যা বলে:

P@ssw0rd2024!ফাঁস হয়েছেএকটি শব্দ, কিছু অক্ষরের বদলে দেখতে একই রকম সংখ্যা বা প্রতীক, একটি সাল আর একটি প্রতীক: তথ্যফাঁসে প্রায় 500 বার পাওয়া গেছে
Password123!ফাঁস হয়েছেতথ্যফাঁসে প্রায় 300,000 বার পাওয়া গেছে
Liverpool1892ফাঁস হয়েছেএকটি দলের নাম আর তার প্রতিষ্ঠার সাল: প্রায় 27,000 বার পাওয়া গেছে
k7#Rq!9vT$2m@Lxখুব শক্তিশালীর‍্যান্ডম: ভাঙতে 31 মিলিয়ন বছর লাগবে

তথ্যফাঁসে পাওয়া কোনো পাসওয়ার্ড যতই শক্তিশালী হোক, তা নিরাপদ নয়। কারণ আক্রমণকারীরা সবার আগে ফাঁস হওয়া পাসওয়ার্ডগুলো দিয়ে চেষ্টা করে। পাসওয়ার্ডের শক্তি যাচাই করার টুল দেখাতে পারে যে কোনো পাসওয়ার্ড দুর্বল; কিন্তু সেটি নিরাপদ কি না, তা প্রমাণ করতে পারে না।

সূত্র: গ্রাফিক্স কার্ডের বেঞ্চমার্ক (hashcat), zxcvbn (USENIX Security), NIST-এর পাসওয়ার্ড নির্দেশিকা, কোয়ান্টাম কম্পিউটিং নিয়ে NIST-এর তথ্য। শব্দতালিকা নেওয়া হয়েছে Hermit Dave-এর FrequencyWords থেকে, CC BY-SA 4.0 লাইসেন্সের অধীনে।

তথ্যফাঁস যাচাই করার সময় কী পাঠানো হয়

আপনি প্রতিটি অক্ষর টাইপ করার সময় কিছুই পাঠানো হয় না। আপনি টাইপ করা থামালে বা পাসওয়ার্ড পেস্ট করলে একবার কী হয়, তা password পাসওয়ার্ডটি দিয়ে দেখানো হলো:

আপনি পাসওয়ার্ড টাইপ করেনpasswordআপনার ডিভাইসেই থাকে
আপনার ব্রাউজার সেটিকে একটি SHA-1 ডিজিটাল ছাপে রূপান্তর করে5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8আপনার ডিভাইসেই থাকে
শুধু প্রথম 5টি অক্ষর Have I Been Pwned-এ পাঠানো হয়5BAA6পাঠানো হয়
সেবাটি একইভাবে শুরু হওয়া ফাঁস হওয়া পাসওয়ার্ডের সব ডিজিটাল ছাপ ফেরত পাঠায়—প্রায় 2,000টি, সঙ্গে কিছু নকল ছাপ মেশানো থাকেআপনার ব্রাউজার মিল খুঁজে দেখে

সেবাটি কখনোই পাসওয়ার্ড বা তার পুরো ডিজিটাল ছাপ দেখতে পায় না। তাই ওই 2,000টির মধ্যে আপনি কোনটি যাচাই করেছেন, তা জানতে পারে না।

দ্রুত ফাঁস যাচাই আপনার ডিভাইসেই হয়। পৃষ্ঠাটি সবচেয়ে বেশি ফাঁস হওয়া দশ লাখ পাসওয়ার্ডের ডিজিটাল ছাপের একটি ছোট আকারের তালিকা একবার ডাউনলোড করে। তাই টাইপ করার সময় যাচাই করতে কোনো অনুরোধ পাঠাতে হয় না। ভুল করে মিল পাওয়ার সম্ভাবনা প্রায় দশ লাখে এক।
প্রতি পাসওয়ার্ডের জন্য একটি অনুরোধ, কখনোই প্রতিবার কী চাপার জন্য নয়। আপনি টাইপ করা থামানো পর্যন্ত যাচাইয়ের কাজটি অপেক্ষা করে। কোনো পাসওয়ার্ড ডিভাইসে থাকা তালিকায় আগে থেকেই থাকলে কিছুই পাঠানো হয় না। আর পাসওয়ার্ডে সামান্য পরিবর্তন করলে (টাইপের ভুল ঠিক করলে বা কয়েকটি অক্ষর যোগ করলে) সর্বোচ্চ দুবার যাচাই করা হয়: প্রায় একই রকম যাচাইয়ের অনুরোধগুলো তুলনা করে পাসওয়ার্ডটি জেনে ফেলা সম্ভব হতে পারে। কিছু টুল প্রতিবার কী চাপার সঙ্গে সঙ্গে খোঁজার অনুরোধ পাঠায়। এসব অনুরোধ একসঙ্গে মিলিয়ে দেখলে একেকটি অক্ষর ধরে পুরো পাসওয়ার্ডটি জেনে ফেলা যায়।
কিছুই রেখে দেওয়া হয় না। পাসওয়ার্ড কখনো সংরক্ষণ করা হয় না, কখনো ঠিকানার বারে রাখা হয় না, আর পৃষ্ঠা ছেড়ে গেলে সেটি মুছে যায়।
নিজেই যাচাই করে দেখুন। আপনার ব্রাউজারের ডেভেলপার টুলসের নেটওয়ার্ক ট্যাব খুলে টাইপ করুন: আপনি টাইপ করা থামানো পর্যন্ত কিছুই বাইরে পাঠানো হয় না। তারপর api.pwnedpasswords.com-এ একটি অনুরোধ যেতে দেখবেন। এই অংশে যে 5টি অক্ষর দেখানো হয়, অনুরোধের ঠিকানার শেষে সেগুলোই থাকবে। অথবা ইন্টারনেট সংযোগ বন্ধ করে দেখুন: সব তথ্যফাঁস যাচাই করা ছাড়া বাকি সবকিছুই কাজ করবে।

ফাঁস হওয়া পাসওয়ার্ডের তথ্য: Have I Been Pwned-এর Pwned Passwords, ক্রিয়েটিভ কমন্স অ্যাট্রিবিউশন 4.0 লাইসেন্সের অধীনে ব্যবহৃত।

আপনার পাসওয়ার্ড দুর্বল হলে বা ফাঁস হয়ে গেলে

যেসব সাইটে এই পাসওয়ার্ড ব্যবহার করেন, সবগুলোতে তা বদলে ফেলুন, প্রথমে আপনার ইমেইল থেকে শুরু করুন, কারণ ইমেইল দিয়েই অন্য সব অ্যাকাউন্টের পাসওয়ার্ড রিসেট করা যায়।
পুরোনো পাসওয়ার্ডে সামান্য পরিবর্তন না করে নতুন একটি তৈরি করুন। একটি অক্ষর যোগ করা বা 1 বদলে 2 করা—আক্রমণকারীরা প্রথমেই এসব পরিবর্তন চেষ্টা করে। একটি এলোমেলো পাসওয়ার্ড তৈরি করুন অথবা একটি পাসফ্রেজ তৈরি করুন।
পাসওয়ার্ড ম্যানেজার ব্যবহার করুন, যাতে প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড রাখতে পারেন, এবং আপনাকে সেগুলোর কোনোটিই মনে রাখতে না হয়।
দুই ধাপে যাচাই চালু করুন যেখানেই এই সুবিধা আছে। পাসওয়ার্ড ফাঁস হয়ে গেলেও এটি অ্যাকাউন্ট সুরক্ষিত রাখে।

সাধারণ জিজ্ঞাসা

সবচেয়ে নিরাপদ পাসওয়ার্ড যাচাইয়ের টুল কোনটি?

যেটি আপনি টাইপ করার সময় কোনো তথ্য পাঠায় না, আর আপনাকে তা যাচাই করে দেখতে দেয়। এই পেজ আপনার ডিভাইসেই পাসওয়ার্ডের শক্তি যাচাই করে এবং সবচেয়ে বেশি ফাঁস হওয়া এক মিলিয়ন পাসওয়ার্ডের তালিকায় সেটি আছে কি না দেখে। সব তথ্যফাঁস যাচাই করার সুবিধাটি আপনি টাইপ করা থামানো পর্যন্ত অপেক্ষা করে, তারপর শুধু পাসওয়ার্ডের ডিজিটাল ছাপের 5টি অক্ষর একবার পাঠায়। আপনার ব্রাউজারের নেটওয়ার্ক ট্যাবে এটি দেখতে পারেন, অথবা ইন্টারনেট সংযোগ বন্ধ করে দেখতে পারেন যে পাসওয়ার্ডের শক্তি যাচাইয়ের টুলটি তখনও কাজ করছে।

আমার পাসওয়ার্ড ফাঁস হয়েছে কি না কীভাবে যাচাই করব?

ওপরে পাসওয়ার্ডটি টাইপ বা পেস্ট করুন। সবচেয়ে বেশি ফাঁস হওয়া এক মিলিয়ন পাসওয়ার্ডের মধ্যে এটি থাকলে সঙ্গে সঙ্গেই জানতে পারবেন। আপনি টাইপ করা থামালে এটি জানা সব তথ্যফাঁসেও খুঁজে দেখে। কোনো তালিকায় পাসওয়ার্ডটি পাওয়া গেলেই সেটি ব্যবহার করা বন্ধ করুন।

Have I Been Pwned ব্যবহার করা কি নিরাপদ?

হ্যাঁ, পাসওয়ার্ড যাচাইয়ের জন্য নিরাপদ। এর পাসওয়ার্ড যাচাইয়ের ব্যবস্থা এমনভাবে তৈরি যে এটি কখনোই আপনার পাসওয়ার্ড পায় না: আপনার ব্রাউজার শুধু পাসওয়ার্ডের ডিজিটাল ছাপের প্রথম 5টি অক্ষর পাঠায় এবং শেষ ধাপে নিজেই মিলিয়ে দেখে। এই পেজ উত্তরের সঙ্গে কিছু বাড়তি ডামি এন্ট্রিও চায়, যাতে উত্তরের আকার থেকেও কোনো তথ্য বোঝা না যায়।

কোন পাসওয়ার্ডটি সবচেয়ে বেশি হ্যাক হয়েছে?

123456—তথ্যফাঁসে এটি 210 মিলিয়নেরও বেশি বার পাওয়া গেছে। এরপর রয়েছে 123456789, 12345678, password এবং qwerty (পরিসংখ্যানের উৎস Have I Been Pwned)। মানুষ চট করে যা ভাবতে পারে, সেসবই এই তালিকাগুলোতে আছে।

একটি শক্তিশালী পাসওয়ার্ডের উদাহরণ দিতে পারেন?

প্রকাশিত কোনো উদাহরণ দেখলে সেটিকে আর শক্তিশালী ভাববেন না, কারণ সেটি এখন তালিকায় ঢুকে গেছে। এমনকি xkcd কমিকের correcthorsebatterystaple পাসওয়ার্ডটিও তথ্যফাঁসে হাজার হাজার বার পাওয়া গেছে। শক্তিশালী পাসওয়ার্ড হলো কোনো নির্দিষ্ট ছক ছাড়া শুধু আপনার জন্য তৈরি একটি পাসওয়ার্ড: পাসওয়ার্ড জেনারেটর বা পাসফ্রেজ জেনারেটর ব্যবহার করুন।

আমার পাসওয়ার্ড ভাঙতে কত সময় লাগবে?

ওপরে পাসওয়ার্ডটি টাইপ করুন। চুরি হওয়া পাসওয়ার্ডের তালিকা থেকে পুরো গতিতে 1,000 গ্রাফিক্স কার্ড দিয়ে অনুমান করে সেটি ভাঙতে গড়ে কত সময় লাগবে, এই পাসওয়ার্ডের শক্তি যাচাই করার টুল তা দেখায়। এই পরিস্থিতি মাথায় রেখেই সুরক্ষার প্রস্তুতি নেওয়া উচিত। 8 অক্ষরের একটি র‍্যান্ডম পাসওয়ার্ড কয়েক সেকেন্ডেই ভাঙা যায়; 16 অক্ষরের একটি র‍্যান্ডম পাসওয়ার্ড ভাঙতে প্রায় 3 বিলিয়ন বছর লাগে।

অন্য পাসওয়ার্ড যাচাইয়ের টুলগুলো কেন বেশি সময় দেখায়?

প্রতিটি যাচাইয়ের টুলকে আক্রমণকারীর সক্ষমতা সম্পর্কে কিছু ধরে নিতে হয়, আর বেশিরভাগ টুলই কী ধরে নিচ্ছে তা জানায় না। অনেক টুল ধরে নেয়, সাইটটি এমন পদ্ধতিতে পাসওয়ার্ড সংরক্ষণ করে যা ইচ্ছাকৃতভাবে ধীর করা হয়েছে। এতে সেকেন্ডে মাত্র কয়েক হাজার অনুমান পরীক্ষা করা যায়। কিছু টুল বহু বছর আগের গ্রাফিক্স কার্ডের গতি ব্যবহার করে, আর কিছু শুধু দৈর্ঘ্য গোনে, শব্দ বা তারিখের মতো পরিচিত ধরনগুলো ধরতে পারে না। আমরা আরও কঠিন একটি পরিস্থিতি ধরে সময় দেখাই এবং তা স্পষ্ট করে বলি: চুরি হওয়া পাসওয়ার্ডের তালিকায় পুরো গতিতে 1,000 গ্রাফিক্স কার্ড দিয়ে অনুমান করা হচ্ছে। সঠিকভাবে পরিচালিত অনেক সাইটের পাসওয়ার্ড ভাঙতে এর চেয়ে অনেক বেশি সময় লাগে। কিন্তু কোনো সাইট কোন পদ্ধতি ব্যবহার করে, তা আপনি বুঝতে পারবেন না। তাই সুরক্ষার প্রস্তুতি নেওয়ার সময় আমাদের দেখানো সময়কে সবচেয়ে প্রতিকূল পরিস্থিতির হিসাব হিসেবে ধরুন।

লম্বা পাসওয়ার্ডও কেন দুর্বল দেখায়?

কারণ পাসওয়ার্ড ভাঙার টুলগুলো একবারে একটি অক্ষর অনুমান করে না। এগুলো পুরো শব্দ, নাম, জায়গা, তারিখ আর প্রচলিত পাসওয়ার্ড অনুমান করে, তারপর সেগুলো জুড়ে দেয় এবং সংখ্যা যোগ করে। LiverpoolFootball1892-এ 21টি অক্ষর আছে, কিন্তু পাসওয়ার্ড ভাঙার টুলের কাছে এটি দুটি প্রচলিত শব্দ আর একটি সাল: প্রায় দশ কোটি অনুমান, যা একটি গ্রাফিক্স কার্ড এক সেকেন্ডেরও কম সময়ে পরীক্ষা করে ফেলতে পারে। অক্ষরগুলো আগে থেকে অনুমান করা না গেলেই কেবল দৈর্ঘ্য কাজে আসে, যেমন একটি র‍্যান্ডম পাসওয়ার্ড বা র‍্যান্ডম শব্দ দিয়ে তৈরি একটি পাসফ্রেজ।

আমার সংরক্ষিত পাসওয়ার্ডগুলোর কোনগুলো ফাঁস হয়েছে, তা কোথায় দেখতে পাব?

আপনার পাসওয়ার্ড ম্যানেজার একসঙ্গে সব পাসওয়ার্ড যাচাই করতে পারে। iPhone বা Mac-এ Passwords অ্যাপ খুলে নিরাপত্তা বিভাগে দেখুন। Chrome-এর Google পাসওয়ার্ড ম্যানেজারে Password Checkup আছে। NordPass, Bitwarden, 1Password এবং অন্যান্য বেশিরভাগ পাসওয়ার্ড ম্যানেজারেও একই ধরনের রিপোর্ট পাওয়া যায়।

পাসওয়ার্ড কত লম্বা হওয়া উচিত?

অন্তত 16টি র‍্যান্ডম অক্ষর বা সাতটি র‍্যান্ডম শব্দ। যুক্তরাষ্ট্রের মান নির্ধারণকারী সংস্থা NIST ওয়েবসাইটগুলোকে অন্তত 64 অক্ষর পর্যন্ত লম্বা পাসওয়ার্ড গ্রহণ করতে বলে। আর অ্যাকাউন্টের সুরক্ষায় শুধু পাসওয়ার্ড ব্যবহার করা হলে সেটি অন্তত 15 অক্ষরের হওয়া বাধ্যতামূলক করতে বলে।

ভাষা