টু-ফ্যাক্টর অথেনটিকেশন আসলে কী করে
শুধু পাসওয়ার্ডের ওপর ভরসা করা মানে সব নিরাপত্তা একটিমাত্র জায়গার ওপর দাঁড়িয়ে থাকা। এটি অনুমান করা হলে, পরে ফাঁস হওয়া কোনো সাইটে পুনরায় ব্যবহৃত হলে, বা বিশ্বাসযোগ্য নকল লগইন পেজে টাইপ করা হলে যার হাতে পাসওয়ার্ড আছে, সে-ই আপনার হয়ে সাইন ইন করতে পারে। টু-ফ্যাক্টর অথেনটিকেশন, সংক্ষেপে 2FA, এমন একটি দ্বিতীয় যাচাই যোগ করে যার সঙ্গে আপনার জানা কোনো কিছুর সম্পর্ক নেই: আপনার কাছে থাকা কিছু, যেমন ফোন বা একটি ফিজিক্যাল কি, অথবা আপনি নিজে যা, যেমন আঙুলের ছাপ।
ফলে চুরি হওয়া পাসওয়ার্ড আর যথেষ্ট থাকে না। আপনার পাসওয়ার্ড থাকা আক্রমণকারীর তবুও দরকার হয় আপনার অথেনটিকেটর অ্যাপের কোড, সিকিউরিটি কি-তে ট্যাপ বা বিশ্বস্ত ডিভাইসের অনুমোদন। সাধারণ অ্যাকাউন্টের ওপর অনেক আক্রমণ স্বয়ংক্রিয় ও সুযোগসন্ধানী, তাই এই বাড়তি ধাপ আপনাকে সহজ শিকারের দল থেকে সরিয়ে আনে এবং অ্যাকাউন্ট দখল করা অনেক কঠিন করে তোলে।
2FA ভালো পাসওয়ার্ডের বিকল্প নয়। পাসওয়ার্ড ম্যানেজারে রাখা অনন্য, দীর্ঘ পাসওয়ার্ডের ওপরেই এটি সবচেয়ে ভালো কাজ করে। দুটি মিলে একে অপরের দুর্বলতা ঢেকে দেয়: অনন্য পাসওয়ার্ড অন্য কোথাও ঘটা ফাঁসের ক্ষতি সীমিত রাখে, আর পাসওয়ার্ড ফাঁস হলেও দ্বিতীয় ধাপ আপনাকে সুরক্ষা দেয়।
দ্বিতীয় ধাপের প্রধান ধরনগুলো
অথেনটিকেটর অ্যাপ একটি ছোট, নতুন কোড তৈরি করে, সাধারণত ছয় অঙ্কের এবং সাধারণত প্রতি ত্রিশ সেকেন্ডে বদলায়। QR কোড স্ক্যান করার সময় সার্ভিস অ্যাপের সঙ্গে যে গোপন কী ভাগ করে নেয়, তা থেকেই কোডটি আসে। এটি অফলাইনে কাজ করে, সাধারণত বিনামূল্যে, এবং বেশির ভাগ বড় প্ল্যাটফর্ম একে সমর্থন করে, তাই বেশির ভাগ মানুষের জন্য এটি যুক্তিসঙ্গত প্রথম পছন্দ।
হার্ডওয়্যার সিকিউরিটি কি হলো ছোট USB, NFC বা ব্লুটুথ ডিভাইস, সাইন ইনের সময় যেটিতে ট্যাপ করতে বা যেটি ঢোকাতে হয়। পাসকিও একই নীতিতে কাজ করে, তবে সেটি থাকে আপনার ফোন বা কম্পিউটারে এবং আঙুলের ছাপ, মুখ বা ডিভাইসের পিন দিয়ে আনলক হয়। দুটিই আসল ওয়েবসাইটের ঠিকানার সঙ্গে বাঁধা, তাই নকল ফিশিং পেজে সাড়া দেয় না। সাধারণ ব্যবহারকারীর জন্য এগুলোই সবচেয়ে শক্তিশালী বিকল্প।
পুশ প্রম্পট আপনাকে ইতিমধ্যে লগ ইন করা কোনো ডিভাইসে সাইন-ইন অনুমোদন করতে বলে। এসএমএস ও ভয়েস কোড আপনার ফোন নম্বরে একবার-ব্যবহারযোগ্য কোড পাঠায়। ব্যাকআপ কোড হলো একবার-ব্যবহারযোগ্য কোডের একটি তালিকা, জরুরি অবস্থায় নিয়মিত পদ্ধতি না পেলে কাজে লাগে। বেশির ভাগ সার্ভিস একাধিক পদ্ধতি চালু করতে দেয়, এবং আপনারও তা করা উচিত: একটি প্রধান পদ্ধতি ও অন্তত একটি বিকল্প।
এসএমএস কোড কেন সবচেয়ে দুর্বল বিকল্প
টেক্সট মেসেজের কোড কোনো দ্বিতীয় ধাপ না থাকার চেয়ে অনেক ভালো, কিন্তু এটি আপনার ফোন নম্বরের ওপর নির্ভর করে, আর ফোন নম্বর পুরোপুরি আপনার নিয়ন্ত্রণে নয়। সিম সোয়াপে একজন অপরাধী মোবাইল অপারেটরের কাউকে রাজি করিয়ে বা ঘুষ দিয়ে আপনার নম্বর নিজের হাতে থাকা একটি সিম কার্ডে সরিয়ে নেয়। সেই মুহূর্ত থেকে আপনার জন্য আসা প্রতিটি কোড তার ফোনে পৌঁছায়।
পাসওয়ার্ডের মতোই এসএমএস কোডও ফিশিংয়ের শিকার হতে পারে: নকল লগইন পেজ কোড চায়, আর আক্রমণকারী কয়েক সেকেন্ডের মধ্যে সেটি আসল সাইটে পাঠিয়ে দেয়। আরও সাধারণ কারণেও অ্যাক্সেস হারাতে পারেন, যেমন রোমিং ছাড়া ভ্রমণে গেলে, অপারেটর বদলালে, বা প্রিপেইড নম্বর মেয়াদোত্তীর্ণ হয়ে পরে অন্য কাউকে বরাদ্দ হয়ে গেলে।
কোনো সার্ভিস অথেনটিকেটর অ্যাপ, সিকিউরিটি কি বা পাসকি দিলে সেগুলোর কোনো একটিতে চলে যান এবং এসএমএস শুধু বিকল্প হিসেবে রাখুন, সার্ভিস অনুমতি দিলে পুরোপুরি সরিয়ে দিন। এসএমএসই একমাত্র বিকল্প হলে নম্বরটিকেই সুরক্ষিত করুন: অনেক অপারেটর অ্যাকাউন্ট পিন বা ট্রান্সফার লক দিতে দেয়, যা অননুমোদিতভাবে নম্বর সরানো কঠিন করে।
সঠিকভাবে 2FA সেট আপ করার উপায়
সেই অ্যাকাউন্টগুলো দিয়ে শুরু করুন, যেগুলো বাকি সবকিছু খুলে দেয়। আপনার প্রধান ইমেইল ঠিকানা আগে, কারণ পাসওয়ার্ড রিসেট লিংক সেখানেই আসে; তারপর আপনার Apple, Google বা Microsoft অ্যাকাউন্ট, পাসওয়ার্ড ম্যানেজার এবং অর্থ বা মূল্যবান তথ্য থাকা যেকোনো অ্যাকাউন্ট। সেগুলো সুরক্ষিত হলে সোশ্যাল নেটওয়ার্ক, Telegram ও Discord-এর মতো মেসেঞ্জার এবং বাকিগুলো করুন।
অপশনটি সাধারণত অ্যাকাউন্টের সিকিউরিটি সেটিংসে থাকে, দুই ধাপে যাচাইকরণ, টু-ফ্যাক্টর অথেনটিকেশন বা লগইন ভেরিফিকেশনের মতো কোনো নামে। অথেনটিকেটর অ্যাপ বা সিকিউরিটি কি অপশনটি বেছে নিন, অ্যাপ দিয়ে QR কোড স্ক্যান করুন এবং সবকিছু ঠিকভাবে কাজ করছে নিশ্চিত করতে অ্যাপে দেখানো কোডটি লিখুন। সার্ভিস পাসকি সমর্থন করলে ফোন ও কম্পিউটারে একটি করে পাসকি যোগ করুন; তাতে সাইন ইনের এমন একটি পদ্ধতি পাবেন, যা সুবিধাজনক এবং ফিশিং-প্রতিরোধী।
সেটিংস পেজ বন্ধ করার আগে ব্যাকআপ কোডগুলো সংরক্ষণ করুন, সম্ভব হলে দ্বিতীয় একটি পদ্ধতি যোগ করুন, এবং রিকভারি ইমেইল ও ফোন নম্বর হালনাগাদ এবং আপনার নিজের কি না দেখে নিন। তারপর একবার সাইন আউট করে আবার সাইন ইন করুন, যাতে প্রকৃত প্রয়োজনের আগেই প্রম্পটটি দেখতে কেমন, তা জানা থাকে।
ব্যাকআপ কোড: যে অংশটি বেশির ভাগ মানুষ এড়িয়ে যায়
ফোন হারালে, ভেঙে গেলে বা রিসেট হয়ে গেলে ব্যাকআপ কোডই আপনার ফেরার পথ। প্রতিটি কোড একবারই কাজ করে, আর অনেক সার্ভিসে নতুন সেট তৈরি করলে পুরোনোটি বাতিল হয়ে যায়। এগুলোকে ঘরের বাড়তি চাবির মতো দেখুন: দরকারের সময় অপরিহার্য, খুঁজে না পেলে অকেজো এবং অচেনা কারও হাতে গেলে বিপজ্জনক।
রাখার ভালো জায়গা হলো গুরুত্বপূর্ণ নথির সঙ্গে রাখা একটি ছাপানো কপি, অথবা পাসওয়ার্ড ম্যানেজারে একটি এনক্রিপ্টেড নোট, যা অথেনটিকেটর থাকা ফোন ছাড়াই খোলা যায়। খারাপ জায়গা হলো ইমেইল ইনবক্স, আনলক করা নোট অ্যাপ, ফটো গ্যালারির স্ক্রিনশট, বা যে ডিভাইসে কোড তৈরি হয় সেখানকার কোনো ফাইল, কারণ সেই একটি ডিভাইস হারালে আপনি পুরোপুরি বাইরে আটকে যাবেন।
প্রতিটি কোড ব্যবহারের সঙ্গে সঙ্গে কেটে দিন এবং কোড কমে এলে নতুন সেট তৈরি করুন। কেউ আপনার কোড দেখেছে বলে সন্দেহ হলে অবিলম্বে নতুন সেট তৈরি করুন, যাতে পুরোনো তালিকা আর কাজ না করে।
সদ্য পাওয়া অ্যাকাউন্টকে সুরক্ষিত করা
কোনো অ্যাকাউন্ট যদি অন্য কারও কাছ থেকে পেয়ে থাকেন, তা কোনো সহকর্মীর হস্তান্তর করা প্রজেক্ট অ্যাকাউন্ট হোক বা ডিজিটাল পণ্যের মার্কেটপ্লেসে কেনা, ধরে নিন আগের ব্যবহারকারীর এখনো অ্যাক্সেস থাকতে পারে। লক্ষ্য হলো সাইন ইন করতে পারা একমাত্র ব্যক্তি আপনি হওয়া। অ্যাকাউন্টটি সবসময় ব্র্যান্ডের ব্যবহারের শর্ত অনুযায়ী ব্যবহার করুন।
এই ক্রমে কাজ করুন: পাসওয়ার্ড বদলে নতুন অনন্য একটি দিন, রিকভারি ইমেইল ও ফোন আপনার নিয়ন্ত্রণে থাকা ঠিকানা ও নম্বরে বদলান, আপনি যোগ করেননি এমন অথেনটিকেটর, সিকিউরিটি কি বা বিশ্বস্ত ডিভাইস সরিয়ে দিন, তারপর নিজের অ্যাপ দিয়ে 2FA চালু করে নতুন ব্যাকআপ কোড তৈরি করুন। সবশেষে সক্রিয় সেশনগুলো দেখুন এবং আপনার নিজের ডিভাইস ছাড়া বাকি সব ডিভাইস থেকে সাইন আউট করুন।
rStock-এ ডেলিভারি করা কন্টেন্ট আপনার অর্ডার পেজে অর্ডারের সঙ্গে যুক্ত একটি ডেলিভারি রেকর্ড হিসেবে দেখা যায়, তাই সেখান থেকে তথ্য সরাসরি আপনার পাসওয়ার্ড ম্যানেজারে কপি করে নিতে পারেন। আপনার অর্থ ধরে রাখা হয়, স্টোরের কাছে তখনই ছাড়া হয় না, এবং ডেলিভারি করা অ্যাকাউন্ট বর্ণনামতো কাজ না করলে ডেলিভারির পর সীমিত একটি সময়ের মধ্যে আপনি বিরোধ খুলতে পারেন। স্টোর প্রথমে উত্তর দেয়, আর সমঝোতা না হলে একজন মডারেটরকে ডাকা যায়। অ্যাকাউন্টটি দ্রুত সুরক্ষিত ও যাচাই করলে সেই সময়সীমা খোলা থাকতেই কোনো সমস্যা চোখে পড়ে। এই লেখায় উল্লিখিত কোনো ব্র্যান্ডের সঙ্গে rStock যুক্ত নয়।
এড়িয়ে চলার মতো সাধারণ ভুল
আপনি শুরু করেননি এমন একটি পুশ প্রম্পট অনুমোদন করা 2FA ব্যর্থ হওয়ার একটি সুপরিচিত উপায়। আপনি সাইন ইন করছেন না অথচ অনুরোধ এলে সেটি প্রত্যাখ্যান করুন এবং পাসওয়ার্ড বদলান, কারণ কারও কাছে তা ইতিমধ্যে আছে। কেউ ফোন করে বা লিখে কোড পড়ে শোনাতে বললেও একই কথা: বৈধ সার্ভিসের কারও সঙ্গে একবার-ব্যবহারযোগ্য কোড ভাগ করার প্রয়োজন হয় না।
আরেকটি ভুল হলো 2FA দিয়ে অ্যাকাউন্ট সুরক্ষিত করেও একটি পুরোনো, দুর্বল রিকভারি পথ খোলা রাখা, যেমন পরিত্যক্ত ইমেইল ঠিকানা বা যে ফোন নম্বর আর ব্যবহার করেন না। সবচেয়ে শক্ত দরজা এড়িয়ে আক্রমণকারী দুর্বল দরজা দিয়ে ঢোকে, যদি সেটি খোলা থাকে, তাই ফোন বা ইমেইল প্রোভাইডার বদলালে রিকভারি অপশনগুলো আবার দেখে নিন।
সবশেষে, নতুন ফোন হাতে আসা পর্যন্ত স্থানান্তরের পরিকল্পনা ফেলে রাখবেন না। কোনো ডিভাইস বদলানো বা রিসেট করার আগে অথেনটিকেটরের কোডগুলো সরিয়ে নিন, নতুন ডিভাইসে কাজ করছে কি না নিশ্চিত করুন, তারপরই পুরোনোটি মুছুন। কয়েক মিনিটের প্রস্তুতি অ্যাকাউন্ট রিকভারির কয়েক ঘণ্টা বাঁচিয়ে দিতে পারে।