পাসওয়ার্ডের সাধারণ ভূমিকা

পাসওয়ার্ড হলো এখনো আপনার অধিকাংশ অ্যাকাউন্টের তালা, কিন্তু বেশিরভাগ মানুষই এটি খুব বাজেভাবে নির্বাচন করেন। সমস্যাগুলো প্রায়শই প্রকাশ্য কোনো বিষয় নয়—যেমন ১০টি সাইটে একই পাসওয়ার্ড পুনরায় ব্যবহার করা, শেষে একটি “1!” সহ ছোট একটি পাসওয়ার্ড দেওয়া, কিংবা সহজে অনুমান করা যায় এমন পাসওয়ার্ড ব্যবহার করা।

এই পেজটিতে ব্যাখ্যা করা হয়েছে কীভাবে পাসওয়ার্ড চুরি বা অনুমান করা হয়, কোনটি একটি পাসওয়ার্ডকে শক্তিশালী করে তোলে, কখন এটি পরিবর্তন করতে হয় এবং এগুলোকে কোথায় নিরাপদ রাখা যায়। এটি টু-ফ্যাক্টর অথেনটিকেশন বা পাসকী নিয়ে বিস্তারিত আলোচনা করে না, তবে সেগুলো কোথায় কীভাবে মানানসই তা উল্লেখ করে।

পাসওয়ার্ড কী রক্ষা করে এবং কীভাবে ব্যর্থ হয়

একটি পাসওয়ার্ড প্রমাণ করে যে আপনিই সেই ব্যক্তি। এটি সাধারণত ৩টি উপায়ে ব্যর্থ হয়:

১. পুনরায় ব্যবহার (Reuse): যখন কোনো একটি সার্ভিস হ্যাক হয় এবং আপনার ইমেইল ও পাসওয়ার্ড লিক হয়, তখন আক্রমণকারীরা সেই পাসওয়ার্ড অন্য সাইটগুলোতে চেষ্টা করে। একে ক্রিডেনশিয়াল স্টাফিং (Credential stuffing) বলা হয়। নিউ ইয়র্ক ইউনিভার্সিটি এবং ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, সান ডিয়েগো-র গবেষকদের সাথে গুগলের করা এক গবেষণায় দেখা গেছে—অধিকাংশ অ্যাকাউন্ট হাইজ্যাকিংয়ের চেষ্টা এসেছিল অন্যান্য সাইট থেকে লিক হওয়া পাসওয়ার্ড ব্যবহারকারী অটোমেটেড বট থেকে। আপনি যদি আগে থেকে লিক হওয়া একই পাসওয়ার্ড ব্যবহার করেন, তবে তা শক্তিশালী হলেও কোনো কাজে আসবে না।
২. অনুমান করা (Guessing): কোনো সার্ভিস যদি বাজেভাবে পাসওয়ার্ড সেভ করে এবং সেই ডাটাবেস লিক হয়ে যায়, তবে আক্রমণকারীরা চুরি হওয়া ডেটার ওপর দ্রুতগতিতে অনুমান করার টুল চালাতে পারে। ছোট এবং সহজ পাসওয়ার্ডগুলো এতে সবার আগে ধরা পড়ে।
৩. প্রতারণা করে হাতিয়ে নেওয়া (Phishing): ফিশিং সাইট এবং ভুয়া ফোন কল সরাসরি আপনার কাছ থেকে পাসওয়ার্ড হাতিয়ে নেয়—তা যত শক্তিশালীই হোক না কেন। মার্কিন সাইবার নিরাপত্তা সংস্থা CISA দুর্বল পাসওয়ার্ডকে সাইবার অপরাধীদের অ্যাকাউন্টে প্রবেশের সবচেয়ে সাধারণ উপায় হিসেবে বর্ণনা করেছে।

প্রতিটি অ্যাকাউন্টের জন্য একটি করে পাসওয়ার্ড

একই পাসওয়ার্ড বারবার ব্যবহারের ফলে একটি তথ্য লিক অনেকগুলো অ্যাকাউন্টকে ঝুঁকির মুখে ফেলে। আপনার ভুলে যাওয়া ছোট কোনো ফোরামের ডেটা ব্রিচ একজন আক্রমণকারীকে এমন একটি পাসওয়ার্ডের সন্ধান দিতে পারে যা দিয়ে হয়তো আপনার প্রধান ইমেইল অ্যাকাউন্টও খুলে যেতে পারে।

মানুষ বিষয়টি জানা সত্ত্বেও বারবার একই ভুল করে। নর্ডপাস (NordPass)-এর ২০২৫ সালের জরিপে ৬২% আমেরিকান জানিয়েছেন যে তারা প্রায়ই বা সব সময়ই একই পাসওয়ার্ড একাধিক জায়গায় ব্যবহার করেন। নর্ডপাস যেহেতু পাসওয়ার্ড ম্যানেজার বিক্রি করে, তাই এই সংখ্যাটিকে একটি নির্দেশক মান হিসেবে দেখুন। কারণটি পরিষ্কার: কেউ ডজন ডজন ভিন্ন ভিন্ন পাসওয়ার্ড মনে রাখতে পারে না। আর এটাই হলো একটি পাসওয়ার্ড ম্যানেজারের কাজ, যা নিচে আলোচনা করা হয়েছে।

জটিলতার চেয়ে দৈর্ঘ্য এবং এলোমেলো হওয়া বেশি কার্যকর

বছরের পর বছর ধরে সার্ভিসগুলো একটি বড় হাতের অক্ষর, একটি সংখ্যা এবং একটি প্রতীক দাবি করে এসেছে। মানুষও তার জবাবে Password1! এর মতো অনুমানযোগ্য প্যাটার্ন ব্যবহার করেছে। যুক্তরাজ্যের ন্যাশনাল সাইবার সিকিউরিটি সেন্টার (NCSC) যুক্তি দেয় যে এই ধরনের নিয়মগুলো “pa55word”-এর মতো বাজে পাসওয়ার্ড ব্যবহারের সুযোগ করে দেয়। মার্কিন মান নিয়ন্ত্রণ সংস্থা NIST-ও একই পথ অনুসরণ করেছে। তাদের স্পেশাল পাবলিকেশন SP 800-63B-4 গাইডলাইনে (যা ২০২৫ সালের আগস্টে চূড়ান্ত হয়) বাধ্যতামূলক গঠনমূলক নিয়মাবলী নিষিদ্ধ করা হয়েছে, যেখানে পাসওয়ার্ড একমাত্র লগইন মাধ্যম সেখানে সর্বনিম্ন ১৫ অক্ষরের বাধ্যবাধকতা দেওয়া হয়েছে এবং সার্ভিসগুলোকে অন্তত ৬৪ অক্ষর পর্যন্ত গ্রহণ করার আহ্বান জানানো হয়েছে।

আপনাকে পাসওয়ার্ডটি নিজ হাতে টাইপ করতে হবে কি না—তার ওপর ভিত্তি করে ২ ধরনের পাসওয়ার্ড বেশ ভালো কাজ করে:

এলোমেলো চরিত্র (Random characters)

একটি পাসওয়ার্ড ম্যানেজার যদি আপনার পাসওয়ার্ড তৈরি ও পূরণ করে দেয়, তবে সেটি অনেক বড় এবং পড়া যায় না এমন জটিল হতে পারে। CISA-র পরামর্শ হলো অন্তত ১৬ অক্ষরের পাসওয়ার্ড ব্যবহার করা, এবং তারা বলে যে অক্ষর, সংখ্যা ও প্রতীকের এলোমেলো সারি সবচেয়ে শক্তিশালী বিকল্প। কিছু সার্ভিস দৈর্ঘ্যের সীমা বেঁধে দেয় বা নির্দিষ্ট কিছু চিহ্ন নিষিদ্ধ করে, তাই সার্ভিসটিতে যতটুকু সর্বোচ্চ দৈর্ঘ্য ব্যবহার করা যায় তা ব্যবহার করুন।

পাসফ্রেজ (Passphrases)

পাসফ্রেজ হলো পাশাপাশি যুক্ত কতগুলো শব্দের সমষ্টি। এটি মনে রাখা সহজ এবং এটি বেশ লম্বাও হয়। ইলেকট্রনিক ফ্রন্টিয়ার ফাউন্ডেশন (EFF) এর জন্য একটি ছক্কা বা ডাইস-ভিত্তিক পদ্ধতি সুপারিশ করে যাকে ডাইসওয়্যার (Diceware) বলা হয়। ৭,৭ ৭৬টি শব্দের একটি তালিকা থেকে প্রতিটি শব্দ বাছাই করতে আপনি পাঁচটি ডাইস বা ছক্কা গড়ায়েন। অধিকাংশ ব্যবহারের জন্য EFF ৬টি শব্দের সুপারিশ করে।

এখানে শক্তিমত্তা মাপা হয় এন্ট্রপি (Entropy) দিয়ে, যা কোনো কিছু কতটা অস্পষ্ট বা অনুমান করা কঠিন তার পরিমাপ। তালিকা থেকে পাওয়া প্রতিটি শব্দ প্রায় ১২.৯ বিট যোগ করে। প্রতিটি অতিরিক্ত শব্দ সম্ভাব্য পাসফ্রেজের সংখ্যাকে ৭,৭৭৬ গুণ বাড়ায় এবং ৬টি শব্দে এটি প্রায় ৭৭ বিটে পৌঁছায়। শব্দগুলো অবশ্যই এলোমেলোভাবে বাছাই করতে হবে। আপনি নিজে বাছাই করলে অনুমানযোগ্য কম্বিনেশন বেছে ফেলবেন, যার কারণে একটি টুল বা আসল ডাইস দিয়ে বাছাই করা উচিত। উদাহরণের জন্য কেবল (যা কখনোই ব্যবহার করবেন না): pencil sunset glacier bargain violet ribbon।

যেসব মানুষ পাসওয়ার্ড ম্যানেজার ব্যবহার করেন না, তাদের জন্য NCSC ২০১৬ সাল থেকে “তিনটি এলোমেলো শব্দ” ব্যবহারের পরামর্শ দিয়ে আসছে। তারা বলে যে এটি মনে রাখা সহজ, ছোট জটিল পাসওয়ার্ডের চেয়ে লম্বা হয় এবং নিয়ম-ভিত্তিক পাসওয়ার্ডের চেয়ে অনুমান করা কঠিন। NCSC স্বীকার করে যে এটি পুরোপুরি নিরাপদ নয়, কারণ মানুষ হয়তো খুব পরিচিত শব্দ বেছে নিতে পারে, তবে বেশি শব্দ থাকলে তা আরও বেশি শক্তিশালী হয়।

পাসওয়ার্ড ম্যানেজারের মাস্টার পাসওয়ার্ডের জন্য প্রাইভেসি গাইডস অন্তত ৭টি শব্দের সুপারিশ করে, যা প্রায় ৯০ বিট এন্ট্রপি দেয়। এর পেছনের যুক্তি হলো এই একটি পাসওয়ার্ড আপনার বাকি সমস্ত কিছুকে রক্ষা করে।

কোনো সুনির্দিষ্ট কারণ না থাকলে নিয়মিত পরিবর্তন এড়িয়ে চলুন

প্রতি ৯০ দিন পর পর জোরপূর্বক পাসওয়ার্ড পরিবর্তন করার নিয়মটি এখন আর জনপ্রিয় নয়। NIST এখন বলছে সার্ভিসগুলোর নিয়মিত পাসওয়ার্ড পরিবর্তনের বাধ্যবাধকতা রাখা উচিত নয়, কেবল কোনো হ্যাক বা লিকের প্রমাণ থাকলে তা চাওয়া উচিত। কারণ ঘন ঘন পরিবর্তনের ফলে মানুষ ছোটখাটো এবং সহজ অনুমানযোগ্য পরিবর্তনের দিকে ঝুঁকে পড়ে।

যেসব পাসওয়ার্ড আপনাকে মনে রাখতে হয়, সেগুলোর বিষয়ে প্রাইভেসি গাইডস একটি অনুরূপ পয়েন্ট তুলে ধরেছে: বারবার মাস্টার পাসওয়ার্ড পরিবর্তন করলে কেবল সেটি ভুলে যাওয়ার ঝুঁকিই বাড়ে। আর ম্যানেজারে সেভ থাকা পাসওয়ার্ডগুলোর ক্ষেত্রে তারা বলে যে—যাদের ঝুঁকি অনেক বেশি, তারা টু-ফ্যাক্টর অথেনটিকেশন না থাকা গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর পাসওয়ার্ড সময়ে সময়ে পরিবর্তন করতে পারেন। এটি সম্পূর্ণ আপনার নিজস্ব থ্রেট মডেলের ওপর নির্ভর করে।

পাসওয়ার্ড পরিবর্তনের দরকারী ট্রিগার হলো লিক বা এক্সপোজ হওয়া। ‘হ্যাভ আই বিন পোনড’ (Have I Been Pwned)-এর মাধ্যমে আপনি চেক করতে পারেন আপনার ইমেইল কোনো ডেটা লিকের তালিকায় আছে কি না, এবং তাদের ‘Pwned Passwords’ সার্ভিসের মাধ্যমে পাসওয়ার্ড না পাঠিয়েই তা চেক করা যায়। এই চেকিংয়ে পাসওয়ার্ডের হ্যাশ (Hash)-এর কেবল প্রথম ৫টি ক্যারেক্টার পাঠানো হয়, ফলে সার্ভিসটি কখনোই আপনার আসল পাসওয়ার্ডটি জানতে পারে না। তালিকায় না থাকা পাসওয়ার্ড যে ১০০% নিরাপদ তা নয়, তবে তালিকায় থাকা পাসওয়ার্ডটি যে যে জায়গায় ব্যবহার করেছেন—সব জায়গা থেকে অবিলম্বে বদলে ফেলা উচিত।

পাসওয়ার্ডগুলো কোথায় রাখবেন

CISA বলে যে প্রতিটি অ্যাকাউন্টের জন্য লম্বা, এলোমেলো এবং ইউনিক পাসওয়ার্ড তৈরি করা এবং মনে রাখা বেশিরভাগ মানুষের পক্ষে সম্ভব নয়, তাই তারা একটি পাসওয়ার্ড ম্যানেজার ব্যবহারের সুপারিশ করে। একটি ম্যানেজার পাসওয়ার্ড তৈরি করে, সংরক্ষণ করে এবং স্বয়ংক্রিয়ভাবে তা পূরণ করে দেয়; এবং এদের অনেকগুলো দুর্বল বা একই পাসওয়ার্ডের পুনরাবৃত্তি সম্পর্কে সতর্কও করে। আপনি কেবল একটি শক্তিশালী মাস্টার পাসওয়ার্ড মনে রাখবেন, আর বাকি সব দায়িত্ব পালন করবে ম্যানেজার। NCSC-ও পাসওয়ার্ড ম্যানেজার পছন্দ করে, এবং যারা এটি ব্যবহার করেন না তাদের ৩টি এলোমেলো শব্দ ব্যবহারের পরামর্শ দেয়।

ম্যানেজারগুলো পুরোপুরি ঝুঁকি মুক্ত নয়। ২০২২ সালে আক্রমণকারীরা প্রথমে একজন ডেভেলপারের অ্যাকাউন্ট হ্যাক করে লাস্টপাস (LastPass)-এর ক্লাউড ব্যাকআপ স্টোরেজে পৌঁছায় এবং গ্রাহকদের ভল্ট ডেটা কপি করে নেয়। সেভ থাকা লগইনগুলো প্রতিটি ব্যবহারকারীর মাস্টার পাসওয়ার্ড দিয়ে এনক্রিপ্ট করা ছিল, তবে ওয়েবসাইট অ্যাড্রেসগুলো এনক্রিপ্ট করা ছিল না। নিরাপত্তা বিশ্লেষকরা লক্ষ্য করেছেন যে লাস্টপাস ২০১৮ সালে তাদের মাস্টার পাসওয়ার্ডের সর্বনিম্ন সীমা ১২ অক্ষরে উন্নীত করেছিল, তবে পুরোনো অ্যাকাউন্টগুলোকে তা আপডেট করতে বাধ্য করেনি। লাস্টপাস জানিয়েছিল যে তাদের নির্দেশিত নিয়মগুলো অনুসরণ করলে ভল্ট ক্র্যাক করা অত্যন্ত কঠিন। তবে পরবর্তীতে মাস্টার পাসওয়ার্ড পরিবর্তন করলেও যে ভল্টটি আগেই চুরি হয়ে গেছে তার ওপর কোনো প্রভাব পড়ে না।

এর মূল শিক্ষা কিন্তু ম্যানেজার এড়িয়ে চলা নয়; শিক্ষাটি হলো মাস্টার পাসওয়ার্ডটির গুরুত্ব অপরিসীম, তাই এটিকে অত্যন্ত লম্বা, এলোমেলো করুন এবং অন্য কোথাও ব্যবহার করবেন না। প্রাইভেসি গাইডস একাধিক ডিভাইস বা সার্ভিস প্রদানকারীর কাছে আপনার পাসওয়ার্ডের একটি এনক্রিপ্ট করা ব্যাকআপ রাখার পরামর্শ দেয়, যাতে একটি ফোন হারিয়ে গেলেও আপনি সমস্ত কিছু থেকে লক-আউট না হয়ে যান।

পাসওয়ার্ড যা করতে পারে না

একটি নিখুঁত পাসওয়ার্ডও ফিশিংয়ের কাছে হেরে যায়, কারণ আপনি নিজেই তা প্রতারকদের হাতে তুলে দেন। পাসওয়ার্ড লিক হলেও টু-ফ্যাক্টর অথেনটিকেশন বা দ্বিতীয় ধাপের লগইন সুরক্ষা বাড়িয়ে দেয়। আর পাসকী (Passkey)—যা ক্রিপ্টোগ্রাফিক কি-র ওপর ভিত্তি করে তৈরি—ফিশিং প্রতিরোধ করার জন্যই ডিজাইন করা হয়েছে এবং এটি পাসওয়ার্ডের প্রয়োজনীয়তাই দূর করে দেয়। অ্যাকাউন্ট খোলা (Account creation) পেজে পাসকী কীভাবে কাজ করে এবং কখন এটি ব্যবহার করবেন তা ব্যাখ্যা করা হয়েছে। যেহেতু একটি পাসওয়ার্ড ম্যানেজারের মাস্টার পাসওয়ার্ডটি এমন একটি জিনিস যা আপনি কোনো ম্যানেজার দিয়ে প্রতিস্থাপন করতে পারবেন না, তাই সেটিতে দেওয়া সমস্ত অতিরিক্ত সুরক্ষা ফিচার চালু রাখা বুদ্ধিমানের কাজ।

কোথা থেকে শুরু করবেন

এই ধাপগুলো সবচেয়ে প্রয়োজনীয় থেকে ক্রমানুসারে সাজানো হয়েছে:

১. আপনার ইমেইল অ্যাকাউন্ট দিয়ে শুরু করুন: কারণ অন্যান্য সার্ভিস পাসওয়ার্ড রিসেট করার জন্য এটিই ব্যবহার করে। এতে একটি লম্বা, এলোমেলো এবং সম্পূর্ণ নতুন পাসওয়ার্ড দিন।
২. একটি পাসওয়ার্ড ম্যানেজার বেছে নিন: ব্যাংকিং এবং অর্থ বা পরিচয়ের সাথে যুক্ত অ্যাকাউন্টগুলো দিয়ে শুরু করে বাকি প্রতিটি অ্যাকাউন্টের জন্য আলাদা পাসওয়ার্ড তৈরি করতে এটি ব্যবহার করুন।
৩. মাস্টার পাসওয়ার্ড তৈরি করুন: ম্যানেজারের মাস্টার পাসওয়ার্ড হিসেবে ৬ বা তার বেশি শব্দের একটি এলোমেলো পাসফ্রেজ বেছে নিন। এটি মুখস্থ না হওয়া পর্যন্ত কোনো নিরাপদ জায়গায় লিখে রাখুন।
৪. দ্বিতীয় ধাপের লগইন চালু করুন: ইমেইল, পাসওয়ার্ড ম্যানেজার এবং ব্যাংকের জন্য টু-ফ্যাক্টর অথেনটিকেশন চালু করুন।
৫. লিক হওয়া পাসওয়ার্ড পরিবর্তন করুন: কোনো লিকের তালিকায় আসা পাসওয়ার্ড এবং যেখানে যেখানে তা পুনরায় ব্যবহার করেছিলেন—সব জায়গা থেকে অবিলম্বে তা বদলে দিন।

প্রতিটি ধাপে কতটা শ্রম দেবেন তা নির্ভর করে অ্যাকাউন্টটি কী রক্ষা করছে তার ওপর। থ্রেট মডেলিং (Threat modeling) আপনাকে সিদ্ধান্ত নিতে সাহায্য করবে এবং সাধারণ ডিজিটাল হুমকি (Common threats) দেখাবে আপনি কিসের মুখোমুখি হওয়ার সম্ভাবনা সবচেয়ে বেশি।

উৎসসমূহ (Sources)

• Introduction to Passwords, প্রাইভেসি গাইডস, ২০২৫।
• New research: How effective is basic account hygiene at preventing hijacking, গুগল সিকিউরিটি ব্লগ, ২০১৯।
• Use Strong Passwords, সাইবার সিকিউরিটি অ্যান্ড ইনফ্লাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA), তথ্য সংগ্রহ অক্টোবর ২০২৬।
• Secure Our World Passwords Tip Sheet, CISA (Mass.gov-এ সংগৃহীত), ২০২৩।
• Stop reusing passwords, নর্ডপাস, ২০২৫।
• SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি, ২০২৫।
• NIST 800-63B Rev 4: What’s New in Password Security, এনজোইক, ২০২৫।
• NIST-SP800-63B-4: Deciphering the New Password Security Standard, ন্যাট সাকিমুরা, ২০২৫।
• Using three random words is safer than using complex passwords, NCSC says, কম্পিউটিং, ২০২১ (NCSC গাইডলাইনের প্রতিবেদন)।
• Want a strong password? You’re probably still doing it the wrong way, এইচকেসিইআরটি (HKCERT), ২০২২ (NCSC গাইডলাইনের প্রতিবেদন)।
• EFF’s New Wordlists for Random Passphrases, ইলেকট্রনিক ফ্রন্টিয়ার ফাউন্ডেশন, ২০১৬।
• Validating Leaked Passwords with k-Anonymity, ক্লাউডফ্লেয়ার, ২০১৮।
• Go client for the Pwned Passwords API, প্যাকেজ ডকুমেন্টেশন, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• Get Breach Notifications, হ্যাভ আই বিন পোনড, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• LastPass Shares Details of Security Breach, টিডবিটস, ২০২২।
• LostPass: after the LastPass hack, here’s what you need to know, গ্রাহাম ক্লুলি, ২০২২।
• What Has Happened?, ইউনিভার্সিটি অব নিউ ইংল্যান্ড সাইবার সিকিউরিটি ব্লগ, ২০২৩ (লাস্টপাসের বক্তব্য উদ্ধৃত করে)।

সম্পর্কিত পেজসমূহ

• অ্যাকাউন্ট খোলা (Account creation)
• অ্যাকাউন্ট মুছে ফেলা (Account deletion)
• সাধারণ ভুল ধারণা (Common misconceptions)
• থ্রেট মডেলিং (Threat modeling)