पासवर्ड, हैश और Base64 अलग काम करते हैं
यादृच्छिक पासवर्ड, फ़ाइल हैश और Base64 तीनों उलझी स्ट्रिंग दिख सकते हैं। उनके काम अलग हैं; एक की जगह दूसरा रखने से संवेदनशील सूचना खुल सकती है।
पासवर्ड रहस्य है, एन्कोडिंग गोपनीयता नहीं
आसानी से अनुमानित नाम या तारीख की जगह लंबा, अप्रत्याशित पासवर्ड चुनें। भरोसेमंद पासवर्ड प्रबंधक उसे बनाने और रखने में मदद कर सकता है। प्रकाशित उदाहरण को वास्तविक पासवर्ड न बनाएँ।
Base64 डेटा को पाठ में बदलता है जिसे बिना गुप्त कुंजी वापस पढ़ सकते हैं। RFC 4648 स्पष्ट करता है कि इसमें गोपनीयता नहीं: एन्कोड किया पासवर्ड डिकोड करने वाले को खुल जाता है।
संदर्भ: NCSC — Three Random Words · IETF RFC 4648 — Base Encodings and Security Considerations
हैश क्या प्रमाणित करता है?
SHA-256 निश्चित लंबाई का सार बनाता है। भरोसेमंद संदर्भ से तुलना सामग्री की समानता जाँचती है, फ़ाइल की सुरक्षा या लेखक की विश्वसनीयता नहीं।
फ़ाइल और हैश एक ही प्रभावित स्रोत से आएँ तो दोनों बदले हो सकते हैं। संदर्भ उतना ही महत्वपूर्ण है जितनी सही गणना।
संदर्भ: MDN — SubtleCrypto digest()
तेज़ हैश पासवर्ड-संग्रह प्रणाली नहीं है
सामान्य SHA-256 अकेला पूरा पासवर्ड-संग्रह डिज़ाइन नहीं। OWASP उचित सुरक्षा के साथ विशेष पासवर्ड हैश फ़ंक्शन सुझाता है। यह लॉगिन प्रणाली का अभियांत्रिकी काम है, केवल पाठ बदलना नहीं।
JWT डिकोड करना भी हस्ताक्षर या मान्य पहुँच प्रमाणित नहीं करता। कोडित दिखने के कारण वास्तविक क्रेडेंशियल सहायता संदेश में न चिपकाएँ।
संदर्भ: OWASP — Password Storage Cheat Sheet · IETF RFC 7519 — Validating JWTs
बिना किसी रहस्य का उदाहरण
Test का Base64 VGVzdA== है, जिसे वापस करने पर Test मिलता है। दोनों दिशाओं में रहस्य नहीं चाहिए; इसलिए यह गोपनीय सामग्री छिपाने का तरीका नहीं।
Test के बाद नई पंक्ति जोड़ने से हैश किए जाने वाले बाइट बदलते हैं। अलग हैश को कैलकुलेटर की गलती मानने से पहले एन्कोडिंग और लाइन-अंत जाँचें।