অথেনটিকেটর অ্যাপ ও অ্যাপ পাসওয়ার্ড: কীভাবে কাজ করে

অথেনটিকেটর অ্যাপ সময়-ভিত্তিক একবার-ব্যবহারযোগ্য পাসওয়ার্ড তৈরি করে, যে পদ্ধতিকে সাধারণত TOTP বলা হয়। অ্যাপভিত্তিক টু-ফ্যাক্টর অথেনটিকেশন চালু করার সময় সার্ভিস একটি QR কোড দেখায়। সেই কোডে একটি গোপন কী থাকে, আর স্ক্যান করলে কী-টির একটি কপি আপনার অ্যাপে সংরক্ষিত হয়। তখন থেকে সার্ভিস ও আপনার ফোনের কাছে একই গোপন কী থাকে, এবং সেটি আর কখনো নেটওয়ার্কের মধ্য দিয়ে যেতে হয় না।

কোড তৈরি করতে অ্যাপ সেই গোপন কী-এর সঙ্গে বর্তমান সময় যুক্ত করে, সময়টিকে একটি ছোট ব্যবধানে, সাধারণত ত্রিশ সেকেন্ডে, রাউন্ড করে, তারপর ফলাফলটি একটি প্রমিত ক্রিপ্টোগ্রাফিক ফাংশনে চালায়। এরপর ফলাফল ছেঁটে একটি ছোট সংখ্যা বানায়, সাধারণত ছয় অঙ্কের। সার্ভার নিজের দিকে একই হিসাব কষে দুটি ফলাফল মেলায়। দুই পক্ষেরই শুধু গোপন কী ও একটি ঘড়ি লাগে বলে অ্যাপটি মোবাইল ডেটা বা Wi-Fi ছাড়াই কাজ করে।

এই নকশাই সবচেয়ে সাধারণ সমস্যার ব্যাখ্যা দেয়: ঠিকভাবে টাইপ করার পরও কোড প্রত্যাখ্যাত হওয়া। ফোনের ঘড়ি সরে গেলে সেটি ভুল সময়ের ব্যবধানের কোড হিসাব করে। তারিখ ও সময় স্বয়ংক্রিয়ভাবে হালনাগাদ হওয়ার সেটিং দিলে সাধারণত সমস্যাটি মেটে, আর কিছু অ্যাপে সময় সংশোধনের অপশনও আছে।

প্রমিত TOTP পদ্ধতি সমর্থন করে এমন যেকোনো অ্যাপ বেশির ভাগ সার্ভিসের সঙ্গে কাজ করে, তাই আসল পছন্দটি নির্ভর করে অ্যাপ আপনার গোপন কী কীভাবে সামলায় তার ওপর। বড় প্ল্যাটফর্ম কোম্পানিগুলোর নিজস্ব অ্যাপ আছে, যেমন Google Authenticator ও Microsoft Authenticator, এবং অনেক পাসওয়ার্ড ম্যানেজারও TOTP কোড সংরক্ষণ করতে পারে।

কোড ব্যাকআপ বা এক্সপোর্টের কোনো উপায় আছে কি না দেখুন, কারণ যে অ্যাপ কোডগুলো শুধু একটি ফোনে রাখে, সেখানে ফোন হারালেই আপনি বাইরে আটকে পড়েন। অ্যাপটি ক্লাউড অ্যাকাউন্টের সঙ্গে সিঙ্ক করলে সেই অ্যাকাউন্টও ভালোভাবে সুরক্ষিত কি না নিশ্চিত করুন, এবং ব্যাকআপ এনক্রিপ্ট করে এমন অ্যাপ পছন্দ করুন। আঙুলের ছাপ, মুখ বা পিন দিয়ে অ্যাপ লক থাকলে আপনার আনলক করা ফোন কেউ তুলে নিলেও বাড়তি সুরক্ষা মেলে।

কিছু অথেনটিকেটর অ্যাপ নিজেদের কোম্পানির অ্যাকাউন্টের জন্য পুশ অনুমোদনও দেয়, যেখানে কোড টাইপ করার বদলে সাইন-ইন নিশ্চিত করতে ট্যাপ করতে হয়। এটি সুবিধাজনক, কিন্তু কাজ করে কেবল সেই প্রোভাইডারের সঙ্গে। অন্য সব সার্ভিসের জন্য অ্যাপটি সাধারণ একটি কোড জেনারেটরের মতোই আচরণ করে।

অ্যাকাউন্টের সিকিউরিটি সেটিংসে অথেনটিকেটর অ্যাপ সেট আপের অপশনটি বেছে নিন। অ্যাপ দিয়ে QR কোড স্ক্যান করুন, স্ক্যান করতে না পারলে সেটআপ কী হাতে টাইপ করুন। সেটআপ কাজ করেছে প্রমাণ করতে সার্ভিস তখন বর্তমান কোডটি চায়। এই ধাপ এড়িয়ে যাবেন না, এবং সার্ভিস কোডটি মেনে না নেওয়া পর্যন্ত পেজ বন্ধ করবেন না।

অ্যাপ অনুমতি দিলে প্রতিটি এন্ট্রির একটি স্পষ্ট নাম দিন, বিশেষ করে একই সার্ভিসে একাধিক অ্যাকাউন্ট সামলালে। যে এন্ট্রিতে শুধু ব্র্যান্ডের নাম থাকে, সেটি অন্যটির সঙ্গে গুলিয়ে ফেলা সহজ, আর ভুল এন্ট্রি মুছে ফেললে আপনি বাইরে আটকে যেতে পারেন।

একই সময়ে সার্ভিসের দেওয়া ব্যাকআপ বা রিকভারি কোডগুলোও সংরক্ষণ করুন। আপনার কোডের ব্যাকআপ নেওয়ার আগেই অথেনটিকেটর থাকা ফোন হারিয়ে গেলে এগুলোই ফেরার সবচেয়ে সহজ পথ।

সবচেয়ে নিরাপদ নিয়ম সহজ: পুরোনো ফোন কাজ করতে থাকাকালেই নতুন ফোন সেট আপ করুন। প্রতিটি কোড সরিয়ে পরীক্ষা করা না হওয়া পর্যন্ত পুরোনো ডিভাইস মুছবেন না, বিক্রি করবেন না, বদলেও দেবেন না।

অনেক অথেনটিকেটর অ্যাপে ট্রান্সফার বা এক্সপোর্ট ফিচার আছে, যা পুরোনো ফোনে এক বা একাধিক QR কোড দেখায় এবং নতুন ফোন সেগুলো স্ক্যান করে। অন্যগুলো নতুন ডিভাইসে সাইন ইন করলে এনক্রিপ্টেড ক্লাউড ব্যাকআপ থেকে আপনার এন্ট্রি ফিরিয়ে আনে। সরানোর পর কয়েকটি অ্যাকাউন্টে নতুন কোড দিয়ে সাইন ইন করে দেখুন, কোডগুলো মিলছে কি না।

অ্যাপে ট্রান্সফারের অপশন না থাকলে অ্যাকাউন্টগুলো একে একে সরান। প্রতিটি সার্ভিসে সাইন ইন করুন, তার টু-ফ্যাক্টর সেটিংস খুলুন, অথেনটিকেটর যোগ বা পরিবর্তনের অপশন বেছে নিন, নতুন ফোনে নতুন QR কোড স্ক্যান করুন এবং কোডটি নিশ্চিত করুন। অনেক সার্ভিসে গোপন কী বদলে গেলে পুরোনো এন্ট্রি আর কাজ করে না, তাই বিভ্রান্তি এড়াতে পরে সেটি মুছে দিন। মাঝপথে কিছু ভুল হলে কাজে লাগবে বলে সরানোর সময় ব্যাকআপ কোডগুলো হাতের কাছে রাখুন।

অ্যাপ পাসওয়ার্ড হলো একটি দীর্ঘ, এলোমেলোভাবে তৈরি পাসওয়ার্ড, যা কোনো নির্দিষ্ট অ্যাপ বা ডিভাইসকে টু-ফ্যাক্টর অথেনটিকেশনের ধাপ ছাড়াই আপনার অ্যাকাউন্টে সাইন ইন করতে দেয়। এটি আছে সেই পুরোনো সফটওয়্যারের জন্য, যা শুধু ইউজারনেম ও পাসওয়ার্ড বোঝে এবং কোড চাওয়ার প্রম্পট দেখাতে বা সাইন-ইন পেজ খুলতে পারে না।

Google, Microsoft ও Yahoo অ্যাকাউন্টসহ আরও কিছু সার্ভিসে অ্যাকাউন্টের সিকিউরিটি সেটিংস থেকে অ্যাপ পাসওয়ার্ড তৈরি করা যায়, বেশির ভাগ ক্ষেত্রে দুই ধাপে যাচাইকরণ চালু করার পরেই। কিছু অ্যাকাউন্টের ধরনে, যেমন কিছু অফিস বা স্কুলের অ্যাকাউন্ট কিংবা কঠোরতম নিরাপত্তা প্রোগ্রামে থাকা অ্যাকাউন্টে, এটি একেবারেই না-ও থাকতে পারে। প্রতিটি অ্যাপ পাসওয়ার্ড সাধারণত তৈরির সময় শুধু একবারই দেখা যায়, তাই সঙ্গে সঙ্গে অ্যাপে পেস্ট করে নিন।

অ্যাপ পাসওয়ার্ড দ্বিতীয় ধাপ এড়িয়ে যায় বলে এটিকে যে মেইলবক্স সুরক্ষা করছে, তার পূর্ণ পাসওয়ার্ডের মতোই গণ্য করুন। প্রতিটি অ্যাপ বা ডিভাইসের জন্য আলাদা একটি তৈরি করুন, সার্ভিস অনুমতি দিলে বর্ণনামূলক নাম দিন, এবং আর কোথাও পুনরায় ব্যবহার করবেন না।

আধুনিক ইমেইল অ্যাপগুলো বড় প্রোভাইডারগুলোতে ব্রাউজার-ধাঁচের সাইন-ইন উইন্ডোর মাধ্যমে সাইন ইন করে, যা টু-ফ্যাক্টর অথেনটিকেশন সরাসরি সামলায়, তাই অ্যাপ পাসওয়ার্ড লাগে না। সাধারণত এটি লাগে কেবল তখন, যখন কোনো প্রোগ্রাম বা ডিভাইস সাধারণ IMAP, POP বা SMTP সেটিংস ও শুধু পাসওয়ার্ডের একটি ঘর দিয়ে সংযুক্ত হয়: পুরোনো ডেস্কটপ মেইল ক্লায়েন্ট, কিছু মোবাইল মেইল অ্যাপ, ইমেইল পাঠানো স্ক্যানার ও প্রিন্টার, ব্যাকআপ টুল, স্ক্রিপ্ট এবং পুরোনো স্মার্ট ডিভাইস।

ভালো একটি পরীক্ষা হলো আগে সাধারণ সাইন-ইনই চেষ্টা করা। অ্যাপ প্রোভাইডারের নিজস্ব সাইন-ইন পেজ খুললে সেটিই ব্যবহার করুন। শুধু সার্ভার সেটিংস দেখালে এবং দুই ধাপে যাচাইকরণ চালুর পর আপনার সঠিক পাসওয়ার্ডও বারবার প্রত্যাখ্যান করলে বুঝবেন, এখন অ্যাপ পাসওয়ার্ড তৈরির সময়। আপনার সাধারণ পাসওয়ার্ডের জায়গায় সেটি বসান এবং বাকি সেটিংস অপরিবর্তিত রাখুন।

প্রোভাইডাররা তৃতীয় পক্ষের অ্যাপে সাধারণ পাসওয়ার্ড সাইন-ইন থেকে মানুষকে সরিয়ে আনছে, তাই আজ কাজ করা অ্যাপ পাসওয়ার্ড পরে আর সমর্থিত নাও থাকতে পারে। যে প্রোগ্রামের ওপর নির্ভর করেন সেটি সংযুক্ত হওয়া বন্ধ করলে আরেকটি অ্যাপ পাসওয়ার্ড বানানোর আগে দেখুন তার নতুন সংস্করণ আধুনিক সাইন-ইন পদ্ধতি সমর্থন করে কি না।

মাঝেমধ্যে অ্যাকাউন্টের সিকিউরিটি সেটিংসে আপনার অ্যাপ পাসওয়ার্ডগুলো দেখুন এবং যেগুলো আর ব্যবহার করেন না সেগুলো বাতিল করুন, বিশেষ করে বিক্রি করে দেওয়া ডিভাইস বা আনইনস্টল করা প্রোগ্রামের জন্য তৈরি পাসওয়ার্ড। কিছু প্রোভাইডার প্রতিটি অ্যাপ পাসওয়ার্ড আলাদাভাবে তালিকাভুক্ত করে, আবার কেউ কেউ শুধু একসঙ্গে সবগুলো সরাতে দেয়। কিছু সার্ভিসে মূল পাসওয়ার্ড বদলালে বিদ্যমান অ্যাপ পাসওয়ার্ডও বাতিল হয়ে যায়, তাই পরে নতুন করে বানাতে প্রস্তুত থাকুন।

কোনো ইমেইল অ্যাকাউন্ট যদি অন্য কারও কাছ থেকে পেয়ে থাকেন, যেমন rStock-এর মতো ডিজিটাল পণ্যের কোনো মার্কেটপ্লেসের মাধ্যমে, তাহলে আপনার তৈরি নয় এমন যেকোনো অ্যাপ পাসওয়ার্ড ও অথেনটিকেটর এন্ট্রি সরিয়ে দিন, তারপর নিজের অথেনটিকেটর সেট আপ করে নতুন ব্যাকআপ কোড তৈরি করুন। rStock-এ ডেলিভারি করা কন্টেন্ট আপনার অর্ডার পেজে অর্ডারের সঙ্গে যুক্ত একটি ডেলিভারি রেকর্ড হিসেবে দেখা যায়, তাই বদলানো শুরুর আগে তথ্যগুলো পাসওয়ার্ড ম্যানেজারে কপি করে নিন। যে অ্যাকাউন্টই পান, প্রোভাইডারের ব্যবহারের শর্ত অনুযায়ী ব্যবহার করুন, এবং মনে রাখুন এই লেখায় উল্লিখিত Google, Microsoft, Yahoo বা অন্য কোনো প্রোভাইডারের সঙ্গে rStock যুক্ত নয়।

সবশেষে, সম্ভব হলে আপনার অথেনটিকেটর অ্যাপ, ব্যাকআপ কোড ও অ্যাপ পাসওয়ার্ড আলাদা আলাদা জায়গায় রাখুন। একটিমাত্র চুরি হওয়া ফোন বা ফাঁস হওয়া নোটই যেন আপনার মেইলের সব চাবি কারও হাতে তুলে দিতে না পারে।