টু-ফ্যাক্টর অথেন্টিকেশন (2FA) সাইন ইনের সময় দুটি ভিন্ন জিনিস চেয়ে আপনার অ্যাকাউন্ট সুরক্ষিত রাখে: এমন কিছু যা আপনি জানেন, যেমন পাসওয়ার্ড, আর এমন কিছু যা আপনার কাছে আছে, যেমন ফোনের অথেন্টিকেটর অ্যাপের ছয় অঙ্কের কোড। কেউ আপনার পাসওয়ার্ড চুরি করলেও দ্বিতীয় ফ্যাক্টর ছাড়া ঢুকতে পারবে না।
একজন সাধারণ মানুষ যত নিরাপত্তা পদক্ষেপ নিতে পারেন, তার মধ্যে এটি সবচেয়ে কার্যকরগুলোর একটি, আর সেট আপ করতে সাধারণত মাত্র কয়েক মিনিট লাগে। এই গাইডে জানবেন 2FA কীভাবে কাজ করে, কোন পদ্ধতি বেছে নেবেন, আর কীভাবে নিজের অ্যাকাউন্টে নিজেই আটকে যাওয়া এড়াবেন।
শুধু পাসওয়ার্ড কেন যথেষ্ট নয়
পাসওয়ার্ড অনেকভাবে ফাঁস হয়। মানুষ একই পাসওয়ার্ড কয়েকটি সাইটে ব্যবহার করে, ওয়েবসাইটে ডেটা ফাঁস হয়, আর ফিশিং পেজ মানুষকে ভুয়া ফর্মে লগইনের তথ্য টাইপ করতে ফাঁদে ফেলে। পাসওয়ার্ড একবার জানা হয়ে গেলে যে কেউ সেটি আপনার ইমেইল, সোশ্যাল মিডিয়া বা অনলাইন শপিং অ্যাকাউন্টে চেষ্টা করতে পারে।
2FA দ্বিতীয় একটি তালা যোগ করে। চুরি হওয়া পাসওয়ার্ড একা আর যথেষ্ট নয়, কারণ আক্রমণকারীর আপনার ডিভাইসের কোডও লাগবে। এতে অ্যাকাউন্ট দখলের অনেক প্রচলিত কৌশল অনেক কঠিন হয়ে যায়, বিশেষ করে যেগুলো একাধিক জায়গায় ব্যবহৃত বা ফাঁস হওয়া পাসওয়ার্ডের ওপর নির্ভর করে।
দ্বিতীয় ফ্যাক্টরের প্রধান ধরনগুলো
সব দ্বিতীয় ফ্যাক্টর সমান শক্তিশালী নয়। সবচেয়ে প্রচলিত বিকল্পগুলো:
- অথেন্টিকেটর অ্যাপ। Google Authenticator, Microsoft Authenticator ও অন্যান্য সামঞ্জস্যপূর্ণ অ্যাপ প্রতি ৩০ সেকেন্ডে নতুন ছয় অঙ্কের কোড তৈরি করে। কোডগুলো আপনার ফোনেই তৈরি হয়, তাই মোবাইল নেটওয়ার্কের মধ্য দিয়ে যায় না।
- SMS কোড। টেক্সট মেসেজে একটি কোড পাঠানো হয়। কোনো 2FA না থাকার চেয়ে অনেক ভালো, তবে টেক্সট মেসেজ আটকানো বা অন্যদিকে ঘুরিয়ে দেওয়া যায়, যেমন সিম-সোয়াপ প্রতারণায়, যেখানে অপরাধী মোবাইল অপারেটরকে রাজি করিয়ে আপনার নম্বর তার সিমে সরিয়ে নেয়।
- পুশ নোটিফিকেশন। কিছু সার্ভিস ফোনের একটি অ্যাপে "এটা কি আপনি?" জিজ্ঞেস করে প্রম্পট পাঠায়। সুবিধাজনক, তবে অপ্রত্যাশিত প্রম্পট কখনো অনুমোদন করবেন না।
- সিকিউরিটি কি ও পাসকি। ফিজিক্যাল কি বা ডিভাইসে রাখা পাসকি সবচেয়ে শক্তিশালী বিকল্পগুলোর মধ্যে, কারণ এগুলো ফিশিং প্রতিরোধের জন্য তৈরি। সার্ভিসভেদে সমর্থন আলাদা।
বেশিরভাগ মানুষের জন্য অথেন্টিকেটর অ্যাপ শক্তিশালী ও বাস্তবসম্মত পছন্দ। কোনো সার্ভিস শুধু SMS দিলে সেটাই চালু করুন। শুধু পাসওয়ার্ডের চেয়ে এটা অনেক বড় উন্নতি।
অথেন্টিকেটর অ্যাপ কীভাবে কাজ করে
অথেন্টিকেটর অ্যাপ দিয়ে 2FA চালু করলে ওয়েবসাইট আপনাকে একটি কিউআর কোড দেখায়। সেই কিউআর কোডে একটি গোপন কি থাকে। অথেন্টিকেটর অ্যাপ দিয়ে একবার এটি স্ক্যান করেন, আর তারপর থেকে অ্যাপ ও ওয়েবসাইট দুটোই ওই শেয়ার করা গোপন কি আর বর্তমান সময় ব্যবহার করে একই ছয় অঙ্কের কোড হিসাব করে।
কোড প্রতি ৩০ সেকেন্ডে বদলায়, তাই কেউ কাঁধের ওপর দিয়ে কোড দেখে ফেললেও কিছুক্ষণ পরই তা অকেজো হয়ে যায়। আর কোডগুলো ফোনেই হিসাব হয় বলে ইন্টারনেট সংযোগ ছাড়াও অ্যাপটি কাজ করে।
একটি গুরুত্বপূর্ণ বিষয়: সেটআপের কিউআর কোডটি সংবেদনশীল। যে কেউ এটি স্ক্যান করলে আপনার কোড তৈরি করতে পারবে। এর স্ক্রিনশট নেবেন না, শেয়ার করবেন না, বা অন্যরা দেখতে পায় এমনভাবে স্ক্রিনে রেখে দেবেন না।
ধাপে ধাপে 2FA সেট আপ
সার্ভিসভেদে মেনু আলাদা, তবে প্রক্রিয়া সাধারণত একই রকম:
- ফোনে একটি অথেন্টিকেটর অ্যাপ ইনস্টল করুন।
- যে অ্যাকাউন্ট সুরক্ষিত করতে চান সেখানে সাইন ইন করে সিকিউরিটি সেটিংস খুলুন।
- "Two-factor authentication", "Two-step verification" বা "2-step sign-in" খুঁজে অথেন্টিকেটর অ্যাপের অপশন বেছে নিন।
- স্ক্রিনে দেখানো কিউআর কোডটি অথেন্টিকেটর অ্যাপ দিয়ে স্ক্যান করুন।
- কাজ করছে কি না নিশ্চিত করতে অ্যাপের ছয় অঙ্কের কোডটি লিখুন।
- সার্ভিসের দেওয়া ব্যাকআপ কোডগুলো সেভ করুন (পরের অংশ দেখুন)।
- সাইন আউট করে আবার সাইন ইন করে দেখুন সব ঠিক আছে কি না।
সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো দিয়ে শুরু করুন: আপনার প্রধান ইমেইল (কারণ এটি দিয়ে অন্য পাসওয়ার্ড রিসেট করা যায়), ব্যাংকিং, মোবাইল ওয়ালেট, সোশ্যাল মিডিয়া, ক্লাউড স্টোরেজ আর পেমেন্টের তথ্য রাখা যেকোনো অ্যাকাউন্ট। QR-TH-এ অ্যাকাউন্ট সেটিংস থেকে অথেন্টিকেটর অ্যাপ দিয়ে টু-স্টেপ সাইন-ইন চালু করতে পারেন, যা আপনার কিউআর কোড আর ছোট লিংক অন্য কেউ বদলে ফেলা থেকে রক্ষা করে।
ব্যাকআপ কোড: আবার ঢোকার পথ
2FA-র সবচেয়ে প্রচলিত সমস্যা হ্যাকিং নয়, ফোন হারানো। ফোন হারালে, চুরি হলে, ভেঙে গেলে বা বদলালে সাইন ইন করার আরেকটি উপায় লাগবে।
ব্যাকআপ কোড ঠিক এর জন্যই। 2FA চালু করলে বেশিরভাগ সার্ভিস আপনাকে একবার ব্যবহারযোগ্য কোডের একটি তালিকা দেয়। অ্যাপের কোডের বদলে প্রতিটি কোড একবার ব্যবহার করা যায়।
এগুলো নিরাপদে রাখুন:
- প্রিন্ট করে কাগজটি বাসায় নিরাপদ কোথাও রাখুন, অথবা
- একটি বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে সেভ করুন, এবং
- শুধু সেই ফোনেই রাখবেন না যেখানে অথেন্টিকেটর অ্যাপ আছে।
প্রতিটি ব্যাকআপ কোড একবারই কাজ করে। ব্যবহার করলে কেটে দিন। কোড ফুরিয়ে এলে বেশিরভাগ সার্ভিস নতুন সেট তৈরি করতে দেয়, যাতে পুরোনোগুলো বাতিল হয়ে যায়।
আটকে না গিয়ে ফোন বদলানো
পুরোনো ফোন রিসেট, বিক্রি বা এক্সচেঞ্জ করার আগে অথেন্টিকেটর কোডগুলো নতুন ফোনে সরিয়ে নিন। কিছু অথেন্টিকেটর অ্যাপে ট্রান্সফার বা ক্লাউড ব্যাকআপের সুবিধা আছে; অন্যগুলোতে প্রতিটি অ্যাকাউন্টের জন্য আবার 2FA সেট আপ করতে হয়।
একটি নিরাপদ পদ্ধতি:
- নতুন ফোনে প্রতিটি অ্যাকাউন্ট নিশ্চিত না হওয়া পর্যন্ত পুরোনো ফোনটি সচল রাখুন।
- যেসব অ্যাকাউন্ট ট্রান্সফার করা যায় না, সেখানে সাইন ইন করে 2FA বন্ধ করে আবার চালু করুন এবং নতুন ফোন দিয়ে নতুন কিউআর কোড স্ক্যান করুন।
- পুরোনো ডিভাইস মুছে ফেলার আগে প্রতিটি অ্যাকাউন্ট পরীক্ষা করুন।
2FA-র যে ভুলগুলো এড়াবেন
- কোড শেয়ার করা। কোনো আসল ব্যাংক, দোকান বা সাপোর্ট টিম আপনাকে 2FA কোড বা OTP বলে দিতে বলবে না। কেউ চাইলে খুব সম্ভবত সে প্রতারক।
- অপ্রত্যাশিত প্রম্পট অনুমোদন করা। নিজে শুরু করেননি এমন সাইন-ইন অনুরোধ এলে প্রত্যাখ্যান করুন এবং পাসওয়ার্ড বদলান।
- মেসেজের লিংক থেকে খোলা পেজে কোড টাইপ করা। ফিশিং সাইটও আপনার কোড চাইতে পারে। এর বদলে সরাসরি ওয়েবসাইটে যান।
- ব্যাকআপ কোড সেভ না করা। সেভ করতে এক মিনিট লাগে, আর এটি অ্যাকাউন্ট পুনরুদ্ধারের কয়েক দিন বাঁচিয়ে দিতে পারে।
দৈনন্দিন আরও সুরক্ষার জন্য পড়ুন আমাদের মোবাইল নিরাপত্তা টিপস, আর লগইনের তথ্য চুরির চেষ্টা করা কিউআর কোড স্ক্যাম কীভাবে চিনবেন তা জেনে নিন।
FAQ
টু-ফ্যাক্টর অথেন্টিকেশন কি সত্যিই দরকার?
ইমেইল, ব্যাংকিং ও সোশ্যাল মিডিয়ার মতো গুরুত্বপূর্ণ অ্যাকাউন্টের জন্য হ্যাঁ। চুরি হওয়া বা একাধিক জায়গায় ব্যবহৃত পাসওয়ার্ডের ওপর নির্ভরশীল অনেক আক্রমণ এটি ঠেকিয়ে দেয়।
অথেন্টিকেটর অ্যাপ কি SMS-এর চেয়ে নিরাপদ?
সাধারণত হ্যাঁ। অথেন্টিকেটর কোড আপনার ফোনেই তৈরি হয়, অন্যদিকে SMS কোড আটকানো বা সিম-সোয়াপ প্রতারণার মাধ্যমে অন্যদিকে পাঠানো যায়। তবু কোনো 2FA না থাকার চেয়ে SMS ভালো।
ফোন হারিয়ে গেলে কী হবে?
সেভ করা ব্যাকআপ কোডের একটি দিয়ে সাইন ইন করুন, তারপর নতুন ফোনে আবার 2FA সেট আপ করুন। ব্যাকআপ কোড না থাকলে সার্ভিসের অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়ার মধ্য দিয়ে যেতে হবে।
আমার 2FA কোড পেলে কি কেউ অ্যাকাউন্ট হ্যাক করতে পারে?
একটি কোড অল্প সময়ের জন্যই বৈধ থাকে, তবে প্রতারক যদি ফাঁদে ফেলে সঙ্গে সঙ্গে কোডটি নিয়ে নেয়, তাহলে সে এটি ব্যবহার করতে পারে। কখনো কাউকে আপনার কোড দেবেন না।
টু-ফ্যাক্টর অথেন্টিকেশন চালু করতে কয়েক মিনিট লাগে, আর এতে আপনার অ্যাকাউন্টে ঢোকা অনেক কঠিন হয়ে যায়। আজই ইমেইল ও ব্যাংকিংয়ে এটি চালু করুন, তারপর টু-স্টেপ সাইন-ইন দিয়ে আপনার QR-TH অ্যাকাউন্টও সুরক্ষিত করুন। আরও জানতে পড়ুন আমাদের FAQ।