पासवर्डहरू सुरक्षित रूपमा कसरी भण्डार गर्न र सम्भालन गर्न चाहिन्छ?

Question

Accepted Answer

पासवर्डहरू सुरक्षित रूपमा भण्डार गर्न अवश्य छ — **कहिले पनि plaintext मा नहोस्**, बरु **hashed** होस् एक शक्तिशाली, ढिलो, salted password-hashing algorithm (bcrypt, Argon2, scrypt) को साथ। सही पासवर्ड सम्भालन महत्वपूर्ण छ किनकि पासवर्ड उल्लङ्घनहरू अत्यन्त हानिकारक र सामान्य छन्।

## कहिले पनि plaintext भण्डार नगर्नुस्; सही तरिकाले hash गर्नुस्

```text
❌ NEVER store passwords in plaintext (a breach exposes all passwords directly)
❌ Don't use fast/general hashes (MD5, SHA-256) alone — too fast → easily brute-forced
✅ HASH with a dedicated PASSWORD HASHING algorithm: BCRYPT, ARGON2, or scrypt:
  → SLOW by design (resistant to brute-force/GPU cracking)
  → SALTED (a unique random salt per password) → prevents rainbow-table attacks and
    identical passwords hashing the same
```

```js
// hashing with bcrypt (handles salting automatically)
const hash = await bcrypt.hash(password, 12);   // store the hash (with salt + cost)
// verifying at login
const valid = await bcrypt.compare(inputPassword, storedHash);   // compare securely
```

## यी algorithms किन हुन्

```text
SALT → unique random value per password → identical passwords get DIFFERENT hashes;
  defeats precomputed (rainbow table) attacks
SLOW (work factor) → deliberately expensive to compute → brute-forcing millions of
  guesses becomes impractical (tunable cost factor as hardware improves)
→ bcrypt/Argon2/scrypt are designed for passwords; general hashes (SHA) are NOT.
```

## अन्य पासवर्ड अभ्यासहरू

```text
✓ Enforce reasonable strength (length over complexity); check against breached-password lists
✓ MULTI-FACTOR authentication (MFA) → strong protection even if a password leaks
✓ HTTPS for transmission; rate-limit / lock out brute-force login attempts
✓ Secure password RESET (time-limited tokens); never email passwords; never log them
```

## यो किन महत्वपूर्ण छ

सुरक्षित पासवर्ड भण्डार र सम्भालन बुझ्न आवश्यक छ किनकि **पासवर्ड उल्लङ्घनहरू अत्यन्त सामान्य र हानिकारक छन्**, र अनुचित पासवर्ड भण्डार एक गम्भीर, बारम्बार कमजोरी हो, त्यसैले यो अवश्य-जान्न सुरक्षा ज्ञान हो।

आधारभूत नियमहरू महत्वपूर्ण छन्: **पासवर्डहरू plaintext मा कहिले पनि भण्डार नगर्नुस्** (एक उल्लङ्घनले हरेक प्रयोगकर्ताको पासवर्ड प्रत्यक्ष रूपमा खोल्ने हुन्छ — विनाशकारी), र **द्रुत सामान्य hashes मा निर्भर नगर्नुस्** (MD5, SHA-256) जो धेरै द्रुत र सजिलै brute-forced हुन्छन्।

बरु, **dedicated password-hashing algorithms सँग hash गर्नुस्** (bcrypt, Argon2, scrypt) जो **डिजाइनद्वारा ढिलो छन्** (brute-force र GPU cracking को प्रतिरोधी) र **salted छन्** (प्रत्येक पासवर्डको लागि अनन्य random salt, rainbow-table आक्रमणहरू रोक्दै र सुनिश्चित गर्दै कि समान पासवर्डहरू फरक फरक hashes पाउन्छन्)।

**यी algorithms किन** बुझ्न — salting (precomputed आक्रमणहरू परास्त गर्दै, समान पासवर्डहरू फरक hash गर्दै) र ढिलोपन/work factor (सामूहिक brute-forcing असम्भव गर्दै, tunable लागत सँग जस्तै hardware सुधार हुन्छ) — सही दृष्टिकोण बनाम सामान्य गल्तीहरू (plaintext, द्रुत hashes, कुनै salt नहोस्) को व्याख्या गर्दछ।

**अन्य अभ्यासहरू** बुझ्न — उचित शक्तिशाली भाषा लागु गर्दै (complexity भन्दा length, breached-password सूचीहरू जाँच गर्दै), **MFA** (यदि पासवर्ड फस् गयो पनि शक्तिशाली सुरक्षा), transmission को लागि HTTPS, login प्रयासहरुमा rate-limiting, सुरक्षित पासवर्ड रिसेट (समय-सीमित tokens), र कहिले पनि पासवर्डहरू logging वा emailing नगर्दै — व्यापक पासवर्ड सुरक्षा प्रतिफलित गर्दछ।

पासवर्ड सम्भालन एक उच्च-दांवको क्षेत्र हो जहाँ गल्तीहरू (plaintext भण्डार, कमजोर hashing) सीधा प्रमुख उल्लङ्घनहरू कारण गर्दछन्, जबकि सही सम्भालन (शक्तिशाली salted hashing, MFA) प्रयोगकर्ताहरूलाई महत्त्वपूर्ण रूपमा सुरक्षा गर्दछ।

पासवर्ड उल्लङ्घनहरू सामान्य र हानिकारक छन् र अनुचित भण्डार एक गम्भीर, बारम्बार कमजोरी हो, र सुरक्षित भण्डार (कहिले पनि plaintext नहोस्, bcrypt/Argon2 सँग शक्तिशाली salted ढिलो hashing) र राम्रो अभ्यासहरू (MFA, rate-limiting) बुझ्न प्रयोगकर्ताहरूलाई रक्षा गर्न आवश्यक भएकोले, सुरक्षित पासवर्ड भण्डार र सम्भालन बुझ्न आवश्यक छ, अवश्य-जान्न सुरक्षा ज्ञान — एक महत्वपूर्ण, उच्च-दांवको क्षेत्र जहाँ सही दृष्टिकोण (dedicated password hashing, salting, MFA) अनुचित सम्भालनले कारण गर्ने विनाशकारी पासवर्ड उल्लङ्घनहरू रोक्दछ, authentication सम्भालन गर्ने कुनै पनि विकास कर्ताको लागि आधारभूत ज्ञान।