पासवर्ड मैनेजर और क्रिप्टो: क्या स्टोर करें और क्या कभी नहीं

पासवर्ड मैनेजर आपके एक्सचेंज और ईमेल पासवर्ड के लिए अच्छी जगह है, लेकिन सीड फ़्रेज़ या प्राइवेट की के लिए नहीं: इन्हें ऑफ़लाइन रहना चाहिए, क्योंकि जिसे भी ये मिल जाएँ, वह आपके क्रिप्टो को हमेशा के लिए नियंत्रित कर लेता है। सही तरीके से इस्तेमाल करने पर पासवर्ड मैनेजर आपके क्रिप्टो अकाउंट को कहीं ज़्यादा सुरक्षित बनाता है; हर चीज़ रखने वाले वॉल्ट की तरह इस्तेमाल करने पर यह विफलता का एकल बिंदु बन सकता है।

ज़्यादातर क्रिप्टो चोरियाँ किसी टूटे हुए ब्लॉकचेन से नहीं, बल्कि अकाउंट टेकओवर या चुराए गए सीक्रेट से शुरू होती हैं। यह गाइड बताती है कि हमलावर पासवर्ड वॉल्ट और उनके अंदर के सीक्रेट को कैसे निशाना बनाते हैं, क्या स्टोर करें और क्या बाहर रखें, और कुछ गड़बड़ होने पर क्या करें।

क्या स्टोर करें और क्या कभी नहीं

मूल सिद्धांत: पासवर्ड मैनेजर उन अकाउंट तक पहुँच की रक्षा करता है जिनके पास दूसरे सुरक्षा उपाय भी होते हैं (विदड्रॉल में देरी, 2FA, सपोर्ट टीम)। सीड फ़्रेज़ के पास कोई सुरक्षा उपाय नहीं होता। इसकी वजह जानने के लिए पढ़ें सीड फ़्रेज़ क्या है और रिकवरी फ़्रेज़ कैसे काम करते हैं।

हमलावर वॉल्ट और सीक्रेट को कैसे निशाना बनाते हैं

हमले के रास्तों को समझने से ऊपर दिए नियम साफ़ हो जाते हैं:

1. 1इन्फ़ोस्टीलर मैलवेयर। कोई नकली ऐप, क्रैक किया गया सॉफ़्टवेयर या दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन आपके कंप्यूटर से ब्राउज़र डेटा, सेव किए गए पासवर्ड और फ़ाइलें कॉपी कर लेता है। अगर आपका वॉल्ट अनलॉक है, या आपका सीड फ़्रेज़ किसी नोट में पड़ा है, तो वह कुछ ही सेकंड में चुराया जा सकता है।
2. 2मास्टर पासवर्ड की फ़िशिंग। एक नकली लॉगिन पेज या नकली “वॉल्ट सुरक्षा अलर्ट” ईमेल आपसे अपने पासवर्ड मैनेजर में साइन इन करने को कहता है।
3. 3प्रोवाइडर में सेंधमारी। पासवर्ड मैनेजर कंपनियों में ऐसी सेंधमारी हो चुकी है जिनमें एन्क्रिप्टेड वॉल्ट डेटा कॉपी कर लिया गया। एन्क्रिप्शन आपको तभी तक बचाता है जब तक आपका मास्टर पासवर्ड अनुमान लगाने के प्रयासों को झेलने लायक मज़बूत हो।
4. 4क्लिपबोर्ड हाईजैकिंग। मैलवेयर आपके क्लिपबोर्ड पर नज़र रखता है और कॉपी किए गए वॉलेट पते को हमलावर के पते से बदल देता है, या आपके द्वारा कॉपी किया गया सीड फ़्रेज़ पकड़ लेता है।
5. 5वॉल्ट में कीवर्ड खोजना। वॉल्ट के अंदर पहुँचते ही हमलावर “seed”, “mnemonic”, “wallet” या “private key” जैसे शब्द खोजते हैं।

एक काल्पनिक उदाहरण

नीचे दिया गया उदाहरण समझाने के लिए बनाया गया एक मिश्रित परिदृश्य है, कोई असली मामला नहीं। मान लीजिए Alex सब कुछ एक ही पासवर्ड मैनेजर में रखता है, जिसमें “MetaMask seed” नाम का एक नोट भी है। Alex एक मुफ़्त “क्रिप्टो प्राइस ट्रैकर” एक्सटेंशन इंस्टॉल करता है जो दुर्भावनापूर्ण निकलता है। यह Alex के टाइप करते समय मास्टर पासवर्ड पकड़ लेता है और वॉल्ट एक्सपोर्ट कर देता है। हमलावर “seed” खोजता है, वॉलेट इम्पोर्ट करता है और एक घंटे के भीतर उसे खाली कर देता है। Alex का एक्सचेंज अकाउंट सिर्फ़ इसलिए बच जाता है क्योंकि विदड्रॉल के लिए हार्डवेयर सिक्योरिटी की ज़रूरी है। दोनों नतीजों में फ़र्क़ सिर्फ़ इस बात का था कि हर सीक्रेट कहाँ रखा गया था।

चेतावनी संकेत कि आपके वॉल्ट या अकाउंट निशाने पर हैं

• ऐसे ईमेल जो आपसे अपने पासवर्ड मैनेजर या एक्सचेंज अकाउंट को “वेरिफ़ाई” या “री-सिंक” करने को कहें।
• ऐसे लॉगिन अलर्ट या 2FA प्रॉम्प्ट जो आपने ट्रिगर नहीं किए।
• आपका पासवर्ड मैनेजर किसी ऐसी साइट पर ऑटोफ़िल करने से इनकार करे जिसे आप अपना एक्सचेंज समझते हैं।
• नए ब्राउज़र एक्सटेंशन जिन्हें इंस्टॉल करना आपको याद नहीं।
• आपके ईमेल अकाउंट के लिए अप्रत्याशित पासवर्ड रीसेट ईमेल।

क्रिप्टो के लिए पासवर्ड मैनेजर को सुरक्षित तरीके से कैसे सेट करें

1. 1एक भरोसेमंद मैनेजर चुनें जिसका सुरक्षा मॉडल प्रकाशित हो और जिसमें एंड-टू-एंड एन्क्रिप्शन हो, और उसे सिर्फ़ आधिकारिक साइट या ऐप स्टोर से डाउनलोड करें।
2. 2एक मज़बूत मास्टर पासफ़्रेज़ बनाएँ जिसमें कई रैंडम शब्द हों और जिसे आप कहीं और इस्तेमाल न करते हों, और आपातकालीन रिकवरी के लिए उसे लिखकर किसी सुरक्षित जगह रखें।
3. 3वॉल्ट के लिए मज़बूत टू-फ़ैक्टर ऑथेंटिकेशन चालू करें, आदर्श रूप से SMS के बजाय हार्डवेयर सिक्योरिटी की या ऑथेंटिकेटर ऐप।
4. 4यूनिक पासवर्ड जनरेट करें हर एक्सचेंज, ईमेल अकाउंट और क्रिप्टो सेवा के लिए। अपने ईमेल को प्राथमिकता दें, क्योंकि वह बाकी सब कुछ रीसेट कर सकता है।
5. 5ऑटोफ़िल को फ़िशिंग जाँच की तरह इस्तेमाल करें। अगर यह आपके क्रेडेंशियल भरने का विकल्प नहीं देता, तो कुछ भी टाइप करने से पहले URL जाँचें।
6. 6वॉलेट सीक्रेट बाहर रखें। सीड फ़्रेज़ ऑफ़लाइन रखें। अगर आप वॉल्ट में कोई रिमाइंडर चाहते हैं, तो सिर्फ़ यह लिखें कि बैकअप कहाँ रखा है, यह नहीं कि उसमें क्या लिखा है।
7. 7वॉल्ट को अपने-आप लॉक होने दें थोड़े समय की निष्क्रियता के बाद और डिवाइस के स्लीप में जाने पर।

ज़्यादा व्यापक रूटीन के लिए हमारी गाइड एक मज़बूत क्रिप्टो सुरक्षा रूटीन बनाना और क्रिप्टो यूज़र्स के लिए ईमेल अकाउंट सुरक्षा देखें।

अगर आपके वॉल्ट से समझौता हो जाए तो क्या करें

1. 1मान लें कि अंदर का हर सीक्रेट उजागर हो चुका है। अगर वहाँ कोई सीड फ़्रेज़ स्टोर था, तो तुरंत नए सीड फ़्रेज़ वाले नए वॉलेट में फ़ंड ट्रांसफ़र करें; अगर आपके वॉलेट से समझौता हो जाए तो तुरंत क्या करें का पालन करें।
2. 2सबसे पहले अपना ईमेल पासवर्ड बदलें, फिर एक्सचेंज पासवर्ड, किसी साफ़ डिवाइस से।
3. 3टू-फ़ैक्टर ऑथेंटिकेशन रीसेट करें और एक्सचेंज पर अनजान सेशन और API की रद्द करें।
4. 4विदड्रॉल एड्रेस व्हाइटलिस्ट जाँचें कि उनमें कोई ऐसा पता तो नहीं जो आपने नहीं जोड़ा।
5. 5प्रभावित डिवाइस को स्कैन या री-इंस्टॉल करें उसे दोबारा इस्तेमाल करने से पहले।
6. 6फ़िशिंग साइटों और स्कैम पतों की रिपोर्ट करें संबंधित सेवा को और हमारे स्कैम रिपोर्ट फ़ॉर्म के ज़रिए।

निष्कर्ष

पासवर्ड मैनेजर किसी क्रिप्टो यूज़र के पास मौजूद सबसे अच्छे सुरक्षा टूल में से एक है, बशर्ते उसमें सही चीज़ें रखी हों। इसे यूनिक अकाउंट पासवर्ड के लिए और ऑटोफ़िल के ज़रिए फ़िशिंग जाँच के तौर पर इस्तेमाल करें, इसे मज़बूत पासफ़्रेज़ और हार्डवेयर-आधारित टू-फ़ैक्टर से सुरक्षित रखें, और सीड फ़्रेज़ व प्राइवेट की को ऑफ़लाइन रखें जहाँ मैलवेयर और सेंधमारी उन तक न पहुँच सकें।