মাল্টিফ্যাক্টর অথেনটিকেশন

অ্যাকাউন্টে কেবল একটি পাসওয়ার্ড থাকা মানে হলো যেকোনো একটি অনুমান, একটি ডেটা লিক বা একটি ফিশিং পেজের মাধ্যমেই আপনার অ্যাকাউন্ট অন্যের দখলে চলে যাওয়া। মাল্টিফ্যাক্টর অথেনটিকেশন (MFA) দ্বিতীয় একটি প্রমাণ যোগ করে, যার ফলে কেবল পাসওয়ার্ড চুরি করাই যথেষ্ট হয় না। কোনো অ্যাকাউন্টের নিরাপত্তার জন্য এটি অন্যতম কার্যকর একক পদক্ষেপ, তবে এর কার্যকারিতা পদ্ধতিভেদে ভিন্ন। কিছু পদ্ধতি প্রায় সব গণ-আক্রমণ থামিয়ে দেয়, আবার কিছু পদ্ধতি আক্রমণকারীদের সাধারণ কৌশলগুলোর কাছে হেরে যায়।

এই পেজটিতে ব্যাখ্যা করা হয়েছে MFA কী, এটি কতটা সাহায্য করে, মূল পদ্ধতিগুলোর তুলনা এবং কোনটি কী থামাতে পারে না। এটি নির্দিষ্ট কোনো অ্যাপ বা সিকিউরিটি কি কেনার কথা বলবে না। আপনি যা রক্ষা করছেন তার ওপর ভিত্তি করে সঠিক পদ্ধতি বেছে নিন, যা নির্ধারণ করতে থ্রেট মডেলিং (Threat modeling) আপনাকে সাহায্য করবে।

সহজ কথায় MFA কী

অথেনটিকেশন বা প্রমাণীকরণ মানে হলো আপনি যে সত্যিই আপনি তা প্রমাণ করা। প্রমাণ তিন ধরণের হতে পারে: এমন কিছু যা আপনি জানেন (যেমন পাসওয়ার্ড), এমন কিছু যা আপনার কাছে আছে (যেমন ফোন বা সিকিউরিটি কি), এবং এমন কিছু যা আপনার শারীরিক বৈশিষ্ট্য (যেমন আঙুলের ছাপ)। MFA এই তিনটির মধ্যে অন্তত দুটি ভিন্ন ধরণের প্রমাণ চায়। পাসওয়ার্ড এবং আপনার ফোনে আসা কোড হলো MFA। কিন্তু একটি পাসওয়ার্ড এবং দ্বিতীয় আরেকটি পাসওয়ার্ড কিন্তু MFA নয়, কারণ দুটোই আপনার জানা বিষয়।

আপনি “টু-ফ্যাক্টর অথেনটিকেশন” (2FA) এবং “টু-স্টেপ ভেরিফিকেশন” শব্দগুলোও দেখতে পাবেন। এগুলো মূলত একই জিনিস নির্দেশ করে: পাসওয়ার্ড এবং অতিরিক্ত আরেকটি যাচাইকরণ।

ধারণাটি সহজ। যার কাছে আপনার ফোনটিও প্রয়োজন, তার কাছে কেবল চুরি করা পাসওয়ার্ডটি কোনো কাজে আসবে না। সাধারণ মানুষের ওপর পরিচালিত অধিকাংশ আক্রমণই শুরু হয় চুরি হওয়া, পুনরায় ব্যবহার করা বা অনুমান করা পাসওয়ার্ড দিয়ে (যা আমাদের সাধারণ ডিজিটাল হুমকি (Common threats) পেজে আলোচনা করা হয়েছে); তাই একটি দ্বিতীয় ফ্যাক্টর বা উপাদান আক্রমণকারীদের প্রবেশের সবচেয়ে সাধারণ পথটি বন্ধ করে দেয়।

এটি কতটা সাহায্য করে

দুটি বড় গবেষণা এর সেরা পরিসংখ্যান প্রদান করে।

মাইক্রোসফটের গবেষকরা ২০২২ সালে কয়েক মাস ধরে সন্দেহজনক কার্যক্রম দেখানো বাণিজ্যিক অ্যাকাউন্টগুলোর ওপর গবেষণা করেন। তারা দেখেন যে MFA সাধারণ ব্যবহারকারীদের ক্ষেত্রে আক্রমণের ঝুঁকি ৯৯.২২% কমিয়ে দিয়েছে এবং যাদের পাসওয়ার্ড আগেই লিক হয়েছিল তাদের ক্ষেত্রে ৯৮.৫৬% ঝুঁকি কমিয়েছে। তারা আরও দেখেন যে ডেডিকেটেড অথেনটিকেটর অ্যাপ এসএমএস কোডের চেয়ে বেশি কার্যকরী ছিল, যদিও উভয় পদ্ধতিই কোনো MFA না থাকার চেয়ে অনেক ভালো। এগুলো ছিল একটি নির্দিষ্ট প্ল্যাটফর্মের অফিশিয়াল অ্যাকাউন্ট, তাই পরিসংখ্যানগুলো আপনার ব্যক্তিগত অ্যাকাউন্টের ক্ষেত্রে হুবহু মিলবে না।

গুগল ২০১৯ সালে নিউ ইয়র্ক ইউনিভার্সিটি এবং ইউনিভার্সিটি অব ক্যালিফোর্নিয়া, সান ডিয়েগো-র গবেষকদের সাথে ব্যক্তিগত অ্যাকাউন্টগুলোর ওপর একটি গবেষণা চালায়। রিকভারি ফোনে পাঠানো একটি এসএমএস কোড ১০০% অটোমেটেড বট, ৯৬% গণ-ফিশিং আক্রমণ এবং ৭৬% লক্ষ্যভিত্তিক আক্রমণ আটকে দিয়েছে। অন-ডিভাইস প্রম্পট (On-device prompts) ১০০%, ৯৯% এবং ৯০% আক্রমণ আটকেছে। আর যারা কেবল সিকিউরিটি কি-র ওপর নির্ভর করেছিলেন, গবেষণার সময় তাদের কেউই লক্ষ্যভিত্তিক ফিশিংয়ের শিকার হননি।

চিত্রটি পরিষ্কার: যেকোনো দ্বিতীয় ফ্যাক্টর প্রায় সব গণ-আক্রমণ থামিয়ে দেয়, আর আক্রমণকারীরা যতই দৃঢ়প্রতীজ্ঞ হতে থাকে, সঠিক পদ্ধতি বেছে নেওয়ার বিষয়টি ততই গুরুত্বপূর্ণ হয়ে ওঠে।

প্রধান পদ্ধতিসমূহ এবং কোনটা কী থামায়

মার্কিন সাইবার নিরাপত্তা সংস্থা CISA বাস্তব জগতের আক্রমণের প্রতিরোধ ক্ষমতার ওপর ভিত্তি করে পদ্ধতিগুলোকে কয়েকটি ভাগে ভাগ করেছে। তাদের গাইডলাইনটি প্রতিষ্ঠানের জন্য লেখা হলেও, এর র‍্যাঙ্কিং আপনার জন্য সমানভাবে প্রযোজ্য।

ইমেইল-কোডের মূল্যায়নটি আমাদের নিজস্ব বিশ্লেষণ। CISA-র প্রকাশিত র‍্যাঙ্কিং অন্যান্য সারিগুলোকে নির্দেশ করে।

টেক্সট মেসেজ এবং ভয়েস কোড

এগুলো আপনার ফোন নম্বরে একটি এককালীন কোড (OTP) পাঠায়। এগুলো সেটআপ করা সবচেয়ে সহজ এবং প্রচলিত অপশনগুলোর মধ্যে সবচেয়ে দুর্বল। CISA-র তথ্যমতে, এসএমএস এবং ভয়েস কোডগুলো ফিশিং, ফোন নেটওয়ার্কের দুর্বলতা এবং সিম সোয়াপের কাছে ঝুঁকিপূর্ণ; তাই এগুলোকে শেষ উপায় হিসেবে ব্যবহার করা উচিত। মার্কিন মান নিয়ন্ত্রণ সংস্থা NIST এসএমএস-ভিত্তিক যাচাইকরণকে একটি “সীমাবদ্ধ” বা Restricted পদ্ধতি হিসেবে শ্রেণীবদ্ধ করেছে—যার অর্থ ঝুঁকি জেনেও এটি ব্যবহারের অনুমতি দেওয়া যায়। সিম সোয়াপের মাধ্যমে কোনো প্রতারক যদি আপনার সেবাদাতাকে বুঝিয়ে আপনার নম্বরটি নিজের সিমে নিয়ে নেয়, তবে আপনার কোডগুলো তাদের কাছে চলে যাবে। সাধারণ ডিজিটাল হুমকি (Common threats) পেজে এটি কীভাবে কাজ করে তা ব্যাখ্যা করা হয়েছে।

তবে এটি টেক্সট কোডকে পুরোপুরি মূল্যহীন করে তোলে না। গুগলের উপরের তথ্যগুলো দেখায় যে এগুলো বেশিরভাগ অটোমেটেড আক্রমণ থামিয়ে দেয়। কোনো নিরাপত্তা না থাকার চেয়ে এটি বড় একটি উন্নতি, তবে সত্যিকারের গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর জন্য এটি দুর্বল পছন্দ।

পুশ প্রম্পট (Push prompts)

আপনার ফোনের একটি অ্যাপ আপনাকে লগইন অনুমোদন বা প্রত্যাখ্যান করার অনুরোধ জানায়। এটি সুবিধাজনক, তবে এর একটি পরিচিত দুর্বলতা রয়েছে। পুশ বম্বিং (Push bombing)—যাকে MFA ক্লান্তি বা MFA fatigue বলা হয়—সেখানে একজন আক্রমণকারী আপনার পাসওয়ার্ড পাওয়ার পর ক্রমাগত প্রম্পট পাঠাতে থাকে যতক্ষণ না আপনি একটি অনুমোদন করেন। CISA এটিকে বর্ণনা করেছে এভাবে: ব্যবহারকারী ভুলবশত বা বিরক্ত হয়ে অনুমোদন না দেওয়া পর্যন্ত তাকে বার্তার পর বার্তা দিয়ে বিচলিত করা।

২০২২ সালে উবার (Uber)-এর ডাটা লিকের ঘটনাটি এর সবচেয়ে পরিচিত উদাহরণ। প্রতিবেদন অনুযায়ী, আক্রমণকারী একজন ঠিকাদারের পাসওয়ার্ড চুরি করে তাকে ক্রমাগত পুশ রিকোয়েস্ট পাঠাতে থাকে এবং হোয়াটসঅ্যাপে আইটি কর্মকর্তা সেজে মেসেজ দিয়ে বলে যে একটি রিকোয়েস্ট অনুমোদন করলেই বার্তা পাঠানো বন্ধ হবে। ঠিকাদারটি একটি অনুমোদন দিয়ে বসে। CISA এই সমস্যা এড়াতে নম্বর ম্যাচিং (Number matching) ব্যবহারের সুপারিশ করে, যেখানে লগইন স্ক্রিনে দেখানো একটি নম্বর অ্যাপে টাইপ করতে হয়—যা অন্ধভাবে অনুমোদন করা ঠেকায়।

অথেনটিকেটর অ্যাপ কোড (TOTP)

একটি অথেনটিকেটর অ্যাপ ৬ সংখ্যার একটি কোড দেখায় যা প্রতি ৩০ সেকেন্ড পর পর পরিবর্তিত হয়। এটি হলো টাইম-বেসড ওয়ান-টাইম পাসওয়ার্ড (TOTP) পদ্ধতি, যা RFC 6238 নামক ইন্টারনেট স্ট্যান্ডার্ডে সংজ্ঞায়িত। আপনি যখন এটি সেটআপ করেন (সাধারণত একটি কিউআর কোড স্ক্যান করে), তখন সার্ভিসটি এবং আপনার অ্যাপ একটি গোপন সংকেত বা সিক্রেট শেয়ার করে। এরপর দুটিই সেই সংকেত এবং বর্তমান সময়ের ওপর ভিত্তি করে একই কোড গণনা করে, ফলে কোনো ইন্টারনেট সংযোগ ছাড়াই কোডটি কাজ করে।

TOTP পুশ বম্বিং এবং সিম সোয়াপ প্রতিহত করে, কারণ কোডটি কখনোই ফোন নেটওয়ার্কের মধ্য দিয়ে পরিবাহিত হয় না। এর দুর্বলতা হলো আপনাকে কোনো পেজে কোডটি টাইপ করতে হয়, এবং একটি ভুয়া পেজ কোডটি সংগ্রহ করে মুহূর্তের মধ্যে তা ব্যবহার করে ফেলতে পারে। CISA অ্যাপ-ভিত্তিক কোডগুলোকে পুশ বম্বিংয়ের বিরুদ্ধে প্রতিরোধী কিন্তু ফিশিংয়ের কাছে ঝুঁকিপূর্ণ হিসেবে তালিকাভুক্ত করেছে।

সিকিউরিটি কি এবং পাসকী (Security keys and Passkeys)

এগুলো FIDO এবং WebAuthn স্ট্যান্ডার্ড ব্যবহার করে, যা ক্রিপ্টোগ্রাফিক কি-র ওপর নির্ভর করে। আপনার ডিভাইস বা সিকিউরিটি কি একটি ‘প্রাইভেট কি’ ধারণ করে, আর সার্ভিসটির কাছে থাকে কেবল মানানসই ‘পাবলিক কি’। প্রতিটি লগইন নির্দিষ্ট একটি সার্ভিসের জন্য অনন্য। ফলে চুরি করার মতো কোনো শেয়ার করা গোপন পাসওয়ার্ড থাকে না এবং লগইনটি আসল ওয়েবসাইটের ঠিকানার সাথে যুক্ত থাকে। কোনো ভুয়া ফিশিং সাইট এটি ব্যবহার করতে পারে না, আর তাই CISA FIDO/WebAuthn-কে একমাত্র ব্যাপকভাবে উপলব্ধ ফিশিং-প্রতিরোধী পদ্ধতি হিসেবে উল্লেখ করেছে।

একটি সিকিউরিটি কি হলো ছোট একটি ফিজিক্যাল বা শারীরিক ডিভাইস যা আপনি কম্পিউটারে প্লাগ ইন করেন বা ফোনে স্পর্শ করান। আর পাসকী হলো একই প্রযুক্তি যা আপনার ফোন বা কম্পিউটারে এনক্রিপ্ট করে সেভ থাকে এবং প্রায়ই আপনার ডিভাইসগুলোর মধ্যে সিঙ্ক হয়। FIDO অ্যালায়েন্স বলে যে পাসকী পুরোনো পাসওয়ার্ড-প্লাস-কোডের ঝামেলা দূর করতে পারে, এবং NIST-এর ২০২৫ গাইডলাইন সিঙ্কযোগ্য পাসকীকে মাল্টি-ফ্যাক্টর হিসেবে স্বীকৃতি দেয়। আপনি যখন সাইন-আপ করবেন তখন পাসকী কীভাবে ব্যবহার করবেন তা আমাদের অ্যাকাউন্ট খোলা (Account creation) পেজে রয়েছে।

এর মূল চ্যালেঞ্জ হলো খরচ, সব সার্ভিসে সমান সহায়তা না থাকা এবং ডিভাইস হারিয়ে গেলে তা পুনরুদ্ধারের পূর্ব পরিকল্পনা করা।

MFA যা থামাতে পারে না

MFA কোনো অদৃশ্য নিরাপত্তাবেষ্টনী নয়। এর সীমাবদ্ধতাগুলো জানুন:

• কোডের জন্য ফিশিং: একটি বিশ্বাসযোগ্য ভুয়া সাইট আপনার পাসওয়ার্ড এবং কোড একসাথে সংগ্রহ করে আসল সাইটে রিয়েল-টাইমে পাঠাতে পারে। কেবল ফিশিং-প্রতিরোধী (Phishing-resistant) পদ্ধতিগুলোই এটি থামাতে পারে।
• চাপ ও প্রতারণা: পুশ বম্বিং এবং সাপোর্ট সেন্টার থেকে আসা ভুয়া কল আপনাকে কোনো কিছু অনুমোদন করতে প্ররোচিত করে। নিজের শুরু না করা যেকোনো প্রম্পট প্রত্যাখ্যান করুন এবং ফোনে কাউকে কখনোই কোড বলবেন না।
• ফোন নম্বর দখল: একটি সিম সোয়াপ টেক্সট কোডকে ব্যর্থ করে এবং আক্রমণকারীকে আপনার নম্বর ব্যবহার করা অ্যাকাউন্টগুলো পুনরুদ্ধারের সুযোগ দেয়।
• দুর্বল রিকভারি পথ: কোনো আক্রমণকারী যদি কোনো অরক্ষিত ইমেইল বা হেল্পডেস্কের মাধ্যমে আপনার পাসওয়ার্ড রিসেট করতে পারে, তবে এই দ্বিতীয় ফ্যাক্টরটি কোনো কাজেই আসবে না। তাই প্রথমে আপনার ইমেইলকে MFA দিয়ে সুরক্ষিত করুন।

লক-আউট বা এক্সেস হারিয়ে ফেলা

MFA যত বেশি শক্তিশালী হবে, ডিভাইস হারিয়ে ফেলার মূল্যও তত বাড়বে। আমাদের এই পরামর্শটি কোনো গবেষণা থেকে নেওয়া নয়, তবে পদ্ধতিগুলো কীভাবে কাজ করে তার ওপর ভিত্তি করে তৈরি:

• একটি ব্যাকআপ যুক্ত করুন: প্রয়োজন হওয়ার আগেই একটি দ্বিতীয় সিকিউরিটি কি বা দ্বিতীয় একটি ডিভাইসে অথেনটিকেটর যোগ করুন।
• রিকভারি কোডগুলো সেভ রাখুন: MFA চালু করার সময় অনেক সার্ভিস এককালীন ব্যবহারের কিছু রিকভারি কোড দেয়। এগুলো পাসওয়ার্ডের সাথে না রেখে অন্য কোথাও অফলাইনে নিরাপদে রাখুন।
• অথেনটিকেটরের সিক্রেট কোথায় থাকে তা জানুন: আপনার অথেনটিকেটর অ্যাপ যদি ব্যাকআপ বা সিঙ্ক না করে, তবে ফোন হারিয়ে গেলে সেটিতে থাকা প্রতিটি অ্যাকাউন্ট থেকে আপনি লক-আউট হয়ে যেতে পারেন।
• বিকল্প অন্য কী দিয়ে লগইন করা যায় তা পরীক্ষা করুন: একটি অ্যাকাউন্ট ততটাই নিরাপদ যতটা তার সবচেয়ে দুর্বল পদ্ধতিটি নিরাপদ। আপনি যদি সিকিউরিটি কি ব্যবহার করেন কিন্তু টেক্সট কোডও চালু রেখে দেন, তবে আক্রমণকারী সিকিউরিটি কি বাইপাস করে টেক্সট কোড ব্যবহার করতে পারে।

কোথা থেকে শুরু করবেন

এই ধাপগুলো সবচেয়ে প্রয়োজনীয় থেকে ক্রমানুসারে সাজানো হয়েছে:

১. প্রথমে ইমেইলে MFA চালু করুন: তারপর আপনার পাসওয়ার্ড ম্যানেজার এবং ব্যাংকে চালু করুন। কারণ ইমেইল বাকি সবকিছু রিসেট করতে পারে।
২. সর্বোচ্চ শক্তিশালী পদ্ধতি ব্যবহার করুন: প্রতিটি সার্ভিস যে সবচেয়ে শক্তিশালী পদ্ধতি দেয় তা ব্যবহার করুন। আনুমানিক ক্রম হলো—সিকিউরিটি কি বা পাসকী, তারপর অথেনটিকেটর অ্যাপ বা নম্বর-ম্যাচিং পুশ, এবং সবশেষে টেক্সট কোড।
৩. নম্বর ম্যাচিং চালু করুন: আপনি যদি পুশ প্রম্পট ব্যবহার করেন, তবে সুযোগ থাকলে নম্বর ম্যাচিং চালু করুন এবং নিজের শুরু না করা যেকোনো প্রম্পট প্রত্যাখ্যান করুন।
৪. ব্যাকআপ ও রিকভারি কোড সেভ করুন: এই ব্যবস্থাগুলোর ওপর নির্ভর করার আগেই একটি ব্যাকআপ পদ্ধতি সেটআপ করুন এবং রিকভারি কোডগুলো অফলাইনে সেভ করুন।
৫. দুর্বল পদ্ধতিগুলো বন্ধ করুন: কোনো অ্যাকাউন্টে শক্তিশালী পদ্ধতি চালু করার পর দুর্বল পদ্ধতিগুলো (যেমন এসএমএস) বন্ধ করে দিন যাতে সেগুলোকে বাইপাস হিসেবে ব্যবহার করা না যায়।

কতটা গভীরে যাবেন তা নির্ভর করে অ্যাকাউন্টটি কী রক্ষা করছে তার ওপর। একটি সাধারণ ফোরাম অ্যাকাউন্টে সিকিউরিটি কি-র প্রয়োজন নেই, তবে ইমেইলের ক্ষেত্রে থাকতে পারে। প্রথম ফ্যাক্টরটি জানতে পাসওয়ার্ডের সাধারণ ভূমিকা (Introduction to passwords) পেজটি দেখুন।

উৎসসমূহ (Sources)

• Implementing Phishing-Resistant MFA, সাইবার সিকিউরিটি অ্যান্ড ইনফ্লাস্ট্রাকচার সিকিউরিটি এজেন্সি (CISA), অক্টোবর ২০২২।
• CISA Discourages Use of App-Based, SMS and Voice MFAs and Encourages Phishing-Resistant MFAs, ব্রিকার গ্রেডন, ২০২২।
• Implementing Phishing-resistant MFA, কমপ্লায়েন্স-পয়েন্ট, ২০২২ (CISA তথ্যপত্রের সারাংশ)।
• Why you need phishing-resistant MFA, রুট ফিফটি, ২০২২।
• How effective is multifactor authentication at deterring cyberattacks?, মাইক্রোসফট রিসার্চ (মেয়ার ও অন্যান্য), ২০২৩।
• New research: How effective is basic account hygiene at preventing hijacking, গুগল সিকিউরিটি ব্লগ, ২০১৯।
• What Is MFA Fatigue (Push Bombing)?, পাওয়ার-ডিএমএআরসি, তথ্য সংগ্রহ অক্টোবর ২০২৬ (২০২২ উবার লিকের প্রতিবেদন)।
• How Uber Was Breached Through MFA Fatigue, সেন্ট্রেক্স আইটি, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• What is TOTP?, লগটো, তথ্য সংগ্রহ অক্টোবর ২০২৬ (RFC 6238 ব্যাখ্যা করে)।
• What is TOTP? A short guide for developers (RFC 6238 explained), অথগিয়ার, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• How FIDO works, ফাইডো অ্যালায়েন্স, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• Passkeys, ফাইডো অ্যালায়েন্স, তথ্য সংগ্রহ অক্টোবর ২০২৬।
• SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, ন্যাশনাল ইনস্টিটিউট অব স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি, ২০২৫।
• NIST 800-63 Article 22, প্রেসেনসিস, তথ্য সংগ্রহ অক্টোবর ২০২৬ (এসএমএস ও সিঙ্কযোগ্য পাসকী নিয়ে NIST-এর দৃষ্টিভঙ্গি)।
• FTC Issues Guidance On Protecting Against SIM Swap Attacks, ব্লিপিংকম্পিউটার (FTC গাইডলাইনের প্রতিবেদন)।

সম্পর্কিত পেজসমূহ

• পাসওয়ার্ডের সাধারণ ভূমিকা (Introduction to passwords)
• অ্যাকাউন্ট খোলা (Account creation)
• সাধারণ ডিজিটাল হুমকি (Common threats)
• সাধারণ ভুল ধারণা (Common misconceptions)