টু-ফ্যাক্টর অথেনটিকেশন: Google Authenticator-এর মতো অ্যাপ, নাকি SMS?

টু-ফ্যাক্টর অথেনটিকেশন (2FA) হলো সেই বাড়তি সুরক্ষার স্তর, যা আপনার অ্যাকাউন্ট আর পাসওয়ার্ড জেনে ফেলা যে-কারো মাঝখানে দাঁড়িয়ে থাকে। ধারণাটা সহজ: শুধু পাসওয়ার্ড জানলেই চলবে না, প্রমাণ করতে হবে আপনার কাছে কিছু একটা আছে — সাধারণত আপনার ফোন। কিন্তু সব টু-ফ্যাক্টর অথেনটিকেশন পদ্ধতি সমান শক্তিশালী নয়। সবচেয়ে সাধারণ প্রশ্ন হলো: Google Authenticator-এর মতো অথেনটিকেটর অ্যাপ ব্যবহার করব, নাকি SMS-এ আসা কোডের ওপর ভরসা করব?

এই লেখায় আমরা এই পার্থক্যটা স্পষ্ট করে ব্যাখ্যা করব, এবং কেন Paperino-তে বা এমন যেকোনো প্ল্যাটফর্মে যেখানে আপনার টাকা জড়িত, সেখানে অথেনটিকেটর অ্যাপ ব্যবহারের পরামর্শ আমরা এত জোর দিয়ে দিই তাও বলব।

প্রতিটি পদ্ধতি কীভাবে কাজ করে?

SMS: আপনি লগ ইন করার সময়, প্ল্যাটফর্ম মোবাইল নেটওয়ার্কের মাধ্যমে আপনার ফোন নম্বরে একটি সংখ্যার কোড পাঠায়। আপনি কোডটি কপি করে বসিয়ে দেন, আর আপনার পরিচয় নিশ্চিত হয়ে যায়। এই কোডটি আপনার কাছে পৌঁছাতে টেলিকম অপারেটরের নেটওয়ার্কের ওপর নির্ভরশীল।

অথেনটিকেটর অ্যাপ (TOTP): Google Authenticator, Authy বা Microsoft Authenticator-এর মতো একটি অ্যাপ প্রতি ৩০ সেকেন্ডে সরাসরি আপনার ফোনের ভেতরেই নতুন একটি কোড তৈরি করে। এই কোড কোনো নেটওয়ার্কের মধ্য দিয়ে যায় না, আর কোথাও থেকে আপনাকে পাঠানোও হয় না — এটি আপনার ডিভাইসেই স্থানীয়ভাবে হিসাব করা হয়, একটি "সিক্রেট কি"-এর ভিত্তিতে, যা সেটআপের সময় মাত্র একবার (QR কোড স্ক্যান করে) শেয়ার করা হয়। এই মৌলিক পার্থক্যটাই অ্যাপকে নিরাপত্তার দিক থেকে এগিয়ে রাখে।

SMS-এর সবচেয়ে বড় সমস্যা: সিম-সোয়াপ

SMS অথেনটিকেশনের সবচেয়ে বিপজ্জনক দুর্বলতা হলো সিম-সোয়াপ আক্রমণ। সংক্ষেপে বলতে গেলে, আক্রমণকারী টেলিকম কোম্পানিকে বিশ্বাস করাতে সক্ষম হয় যে আপনার নম্বরটি তার হাতে থাকা একটি নতুন সিমে স্থানান্তর করে দেওয়া হোক — কখনো আপনার পরিচয় জাল করে, কখনো কাস্টমার সার্ভিসের কর্মীকে বিভ্রান্ত করে, আবার কখনো ফাঁস হওয়া তথ্যের সুযোগ নিয়ে। এটি সফল হওয়ার সাথে সাথেই আপনার সব SMS — অথেনটিকেশন কোডসহ — আক্রমণকারীর কাছে পৌঁছাতে শুরু করে, আর আপনার নম্বর তখন আপনার নয়, তার হাতে চলে যায়।

SMS-এর ঝুঁকি এখানেই শেষ নয়:

• মেসেজ রিডাইরেকশন — পুরনো টেলিকম নেটওয়ার্কের দুর্বলতার সুযোগে মাঝপথে মেসেজ আটকে দেওয়া।
• ফিশিং: একটি ভুয়া পেজ আপনার কাছে কোড চায়, আর আপনি না বুঝেই নিজেই সেটা সেখানে বসিয়ে দেন।
• নেটওয়ার্ক কভারেজের ওপর নির্ভরতা: আপনি নেটওয়ার্কের বাইরে থাকলে বা অন্য সিম নিয়ে ভ্রমণ করলে কোনো কোডই পৌঁছাবে না।
• ফোনে থাকা ম্যালওয়্যার যা মেসেজের কনটেন্ট পড়ে ফেলতে পারে।

কেন অথেনটিকেটর অ্যাপ এগিয়ে?

যেহেতু কোডটি আপনার ডিভাইসের ভেতরেই তৈরি হয়, ইন্টারনেট বা নেটওয়ার্ক সংযোগ ছাড়াই, তাই যে আক্রমণকারী আপনার ফোন নম্বর চুরি করে নেয়, সে কিছুই পায় না — কোডগুলো আসলে আপনার নম্বরের সাথে যুক্তই নয়, বরং আপনার ডিভাইসে সংরক্ষিত সিক্রেট কি-এর সাথে যুক্ত। এমনকি আপনি এয়ারপ্লেন মোডে থাকলেও, অ্যাপটি সঠিক কোড তৈরি করতে থাকবে। এখানে আটকানোর মতো কোনো নেটওয়ার্ক নেই, রিডাইরেক্ট করার মতো কোনো মেসেজও নেই।

এই কারণেই অথেনটিকেটর অ্যাপ বেশিরভাগ সাধারণ আক্রমণের বিরুদ্ধে অনেক বেশি শক্তিশালী, অথচ ব্যবহার করা ঠিক ততটাই সহজ থেকে যায় — শুধু কোড কপি করে পেস্ট করুন।

দ্রুত তুলনা

ধাপে ধাপে অথেনটিকেটর অ্যাপ চালু করবেন কীভাবে?

1. একটি বিশ্বস্ত অ্যাপ ডাউনলোড করুন: Google Authenticator, Authy বা Microsoft Authenticator।
2. আপনার অ্যাকাউন্টের সিকিউরিটি সেটিংস থেকে "অথেনটিকেটর অ্যাপ"-এর মাধ্যমে টু-ফ্যাক্টর অথেনটিকেশন চালু করুন।
3. স্ক্রিনে দেখানো QR কোডটি অ্যাপ দিয়ে স্ক্যান করুন।
4. লিংক নিশ্চিত করতে ৬ সংখ্যার কোডটি লিখুন।
5. ব্যাকআপ রিকভারি কোডগুলো নিরাপদে সংরক্ষণ করুন — এমন একটি জায়গায় যা আপনার ফোনের বাইরে (কাগজে, অথবা কোনো বিশ্বস্ত পাসওয়ার্ড ম্যানেজারে)।

অ্যাকাউন্ট সুরক্ষার জন্য মূল্যবান পরামর্শ

• আপনার অথেনটিকেশন কোড কারো সাথে শেয়ার করবেন না, অনুরোধটি যত অফিসিয়ালই মনে হোক না কেন। প্রকৃত সাপোর্ট এজেন্ট কখনোই এটা চাইবে না।
• প্রতিটি অ্যাকাউন্টের জন্য শক্তিশালী ও ইউনিক পাসওয়ার্ড ব্যবহার করুন — টু-ফ্যাক্টর অথেনটিকেশন একটি বাড়তি স্তর, ভালো পাসওয়ার্ডের বিকল্প নয়।
• ফিশিং লিংক থেকে সতর্ক থাকুন; কোনো কোড দেওয়ার আগে সবসময় ওয়েবসাইটের ঠিকানা যাচাই করে নিন।
• সম্ভব হলে প্রথমে আপনার ইমেইলে টু-ফ্যাক্টর অথেনটিকেশন চালু করুন, কারণ এটি প্রায়ই বাকি সব অ্যাকাউন্ট পুনরুদ্ধারের চাবি হয়ে দাঁড়ায়।

উপসংহার

শুধু পাসওয়ার্ডের ওপর নির্ভর করার চেয়ে দুটি পদ্ধতিই অনেক ভালো। কিন্তু বেছে নিতে হলে — আর আপনার টাকার প্রশ্নে এই বাছাইটা গুরুত্বপূর্ণ — তাহলে অথেনটিকেটর অ্যাপই সবচেয়ে শক্তিশালী ও নিরাপদ পছন্দ, কারণ এটি সিম-সোয়াপ আক্রমণ ও মেসেজ ইন্টারসেপশনের নাগালের বাইরে থাকে। বিকল্প না থাকলেই কেবল SMS ব্যবহার করুন, এটাকে আপনার প্রথম প্রতিরক্ষার লাইন বানাবেন না।

Paperino-তে আমরা প্রতিটি ব্যবহারকারীকে তাদের ব্যালেন্স সুরক্ষিত রাখতে অথেনটিকেটর অ্যাপের মাধ্যমে টু-ফ্যাক্টর অথেনটিকেশন চালু করার পরামর্শ দিই। মাত্র দুই মিনিটের একটি ধাপ, কিন্তু এটি আপনাকে এমন এক ক্ষতি থেকে বাঁচাতে পারে যা হয়তো পুষিয়ে নেওয়া সম্ভবই হবে না।