দুই-ফ্যাক্টর প্রমাণীকরণ এবং পাসওয়ার্ড সুরক্ষা সেরা অনুশীলন

আপনি একটি ওয়েব অ্যাপ্লিকেশন তৈরি করেছেন, এবং ব্যবহারকারীরা সাইন আপ করছেন। কিন্তু তাদের অ্যাকাউন্ট কি সত্যিই সুরক্ষিত? দুর্বল পাসওয়ার্ড এবং দুই-ফ্যাক্টর প্রমাণীকরণ (2FA) এর অভাব আক্রমণকারীদের জন্য সহজেই প্রবেশ করার অন্যতম উপায়। এই গাইডে, আমরা পাসওয়ার্ড সুরক্ষা এবং 2FA এর জন্য ব্যবহারিক, চিরসবুজ সেরা অনুশীলনগুলি নিয়ে আলোচনা করব যা আপনি আজই প্রয়োগ করতে পারেন।

কেন পাসওয়ার্ড সুরক্ষা এখনও গুরুত্বপূর্ণ

বছরের পর বছর সতর্কতা সত্ত্বেও, পাসওয়ার্ড বেশিরভাগ ওয়েব অ্যাপ্লিকেশনের জন্য প্রাথমিক প্রমাণীকরণ পদ্ধতি হিসাবে রয়ে গেছে। আক্রমণকারীরা এটি জানে এবং ফিশিং, ক্রেডেনশিয়াল স্টাফিং এবং ব্রুট ফোর্সের মাধ্যমে পাসওয়ার্ডকে লক্ষ্য করে। একটি লঙ্ঘিত পাসওয়ার্ড অ্যাকাউন্ট দখল, ডেটা চুরি এবং সুনামের ক্ষতির দিকে নিয়ে যেতে পারে।

শক্তিশালী পাসওয়ার্ড নীতি এবং 2FA আক্রমণকারীদের জন্য বাধা অনেক বাড়িয়ে দেয়। আসুন দেখি কীভাবে উভয়ই সঠিকভাবে করবেন।

পাসওয়ার্ড সংরক্ষণ: সঠিকভাবে হ্যাশিং

কখনও পাসওয়ার্ড প্লেইন টেক্সটে সংরক্ষণ করবেন না। সর্বদা একটি শক্তিশালী, ধীর অ্যালগরিদম দিয়ে সেগুলি হ্যাশ করুন যা পাসওয়ার্ডের জন্য ডিজাইন করা হয়েছে। SHA-256 এর মতো দ্রুত হ্যাশ অনুপযুক্ত কারণ তারা দ্রুত ব্রুট-ফোর্স আক্রমণ সক্ষম করে।

প্রস্তাবিত অ্যালগরিদম:

• Argon2id – পাসওয়ার্ড হ্যাশিং প্রতিযোগিতার বিজয়ী, GPU এবং সাইড-চ্যানেল আক্রমণের বিরুদ্ধে প্রতিরোধী।
• bcrypt – ব্যাপকভাবে সমর্থিত, পরীক্ষিত, এবং ডিজাইনে ধীর।
• scrypt – মেমরি-হার্ড, হার্ডওয়্যার-ত্বরান্বিত আক্রমণ প্রতিরোধের জন্য ভাল।

Node.js-এ bcrypt ব্যবহারের উদাহরণ:

const bcrypt = require('bcrypt');
const saltRounds = 12;

async function hashPassword(password) {
  return await bcrypt.hash(password, saltRounds);
}

async function verifyPassword(password, hash) {
  return await bcrypt.compare(password, hash);
}

প্রতিটি পাসওয়ার্ডের জন্য সর্বদা একটি অনন্য সল্ট ব্যবহার করুন (বেশিরভাগ লাইব্রেরি এটি স্বয়ংক্রিয়ভাবে পরিচালনা করে)। কস্ট ফ্যাক্টর সামঞ্জস্য করুন যাতে আপনার সার্ভারে হ্যাশিং ~100-500ms সময় নেয়।

পাসওয়ার্ড নীতি যা সত্যিই সাহায্য করে

"অবশ্যই একটি চিহ্ন এবং একটি সংখ্যা অন্তর্ভুক্ত করতে হবে" এর মতো জটিল নিয়ম ভুলে যান। আধুনিক নির্দেশিকা (NIST SP 800-63B) সুপারিশ করে:

• সর্বনিম্ন দৈর্ঘ্য 8 অক্ষর, তবে পাসফ্রেজ উৎসাহিত করুন (যেমন, 4+ র্যান্ডম শব্দ)।
• লঙ্ঘিত পাসওয়ার্ড তালিকার বিরুদ্ধে চেক করুন (যেমন, Have I Been Pwned API)।
• আপস সন্দেহ না হলে জোরপূর্বক পর্যায়ক্রমিক মেয়াদ শেষ করবেন না।
• সমস্ত মুদ্রণযোগ্য ASCII অক্ষর এবং স্পেস অনুমোদন করুন।
• ব্রুট ফোর্স প্রতিরোধে লগইন প্রচেষ্টা রেট-লিমিট করুন।

একটি সাধারণ শক্তি মিটার প্রয়োগ করুন যা বৈধ পাসওয়ার্ড ব্লক না করে প্রতিক্রিয়া দেয়।

দুই-ফ্যাক্টর প্রমাণীকরণ (2FA) পদ্ধতি

2FA একটি দ্বিতীয় ফ্যাক্টর যোগ করে: আপনার কাছে যা আছে (ফোন, হার্ডওয়্যার কী) বা আপনি যা (বায়োমেট্রিক্স)। এখানে সাধারণ পদ্ধতিগুলি, সুরক্ষা অনুসারে র‍্যাঙ্ক করা:

SMS সিম স্ব্যাপিং এবং ইন্টারসেপশনের জন্য ঝুঁকিপূর্ণ। সম্ভব হলে TOTP বা WebAuthn পছন্দ করুন।

TOTP-ভিত্তিক 2FA প্রয়োগ করা

TOTP (সময়-ভিত্তিক এককালীন পাসওয়ার্ড) সুরক্ষা এবং ব্যবহারযোগ্যতার একটি দুর্দান্ত ভারসাম্য। এখানে একটি উচ্চ-স্তরের কর্মপ্রবাহ:

1. ব্যবহারকারীর জন্য একটি গোপন কী তৈরি করুন (যেমন, 32 র্যান্ডম বাইট, base32 এনকোডেড)।
2. একটি otpauth:// URI তৈরি করুন এবং ব্যবহারকারীকে অথেন্টিকেটর অ্যাপ দিয়ে স্ক্যান করার জন্য একটি QR কোড প্রদর্শন করুন।
3. 2FA সক্ষম করার আগে ব্যবহারকারী একটি বৈধ কোড তৈরি করতে পারে তা যাচাই করুন।
4. গোপন কীটি নিরাপদে সংরক্ষণ করুন (বিশ্রামে এনক্রিপ্ট করা)।
5. অ্যাকাউন্ট পুনরুদ্ধারের জন্য ব্যাকআপ কোড সরবরাহ করুন।

লগইন করার সময়, পাসওয়ার্ড যাচাই করার পরে, TOTP কোডের জন্য অনুরোধ করুন। এটি otplib বা speakeasy এর মতো লাইব্রেরি দিয়ে যাচাই করুন।

const { authenticator } = require('otplib');

// Generate secret
const secret = authenticator.generateSecret();

// Verify token
const isValid = authenticator.verify({ token: userToken, secret });

ক্লক ড্রিফটের জন্য একটি ছোট সময় উইন্ডো (যেমন, ±1 ইন্টারভাল) অনুমোদন করুন।

WebAuthn: প্রমাণীকরণের ভবিষ্যৎ

WebAuthn (FIDO2 এর অংশ) হার্ডওয়্যার কী বা প্ল্যাটফর্ম অথেন্টিকেটর (Touch ID, Windows Hello) ব্যবহার করে পাসওয়ার্ডলেস এবং দ্বিতীয়-ফ্যাক্টর প্রমাণীকরণ সক্ষম করে। এটি ফিশিং-প্রতিরোধী কারণ ক্রেডেনশিয়াল মূলের সাথে আবদ্ধ।

WebAuthn প্রয়োগ করতে প্রয়োজন:

• সার্ভার-সাইড চ্যালেঞ্জ জেনারেশন এবং ভেরিফিকেশন।
• WebAuthn API ব্যবহার করে ক্লায়েন্ট-সাইড জাভাস্ক্রিপ্ট।
• প্রতিটি ব্যবহারকারীর জন্য পাবলিক কী এবং ক্রেডেনশিয়াল আইডি সংরক্ষণ।

SimpleWebAuthn এর মতো লাইব্রেরি এটি সহজ করে তোলে। TOTP এর চেয়ে জটিল হলেও, WebAuthn সবচেয়ে শক্তিশালী সুরক্ষা প্রদান করে।

রেট লিমিটিং এবং অ্যাকাউন্ট লকআউট

2FA থাকলেও, আপনাকে পাসওয়ার্ডে ব্রুট-ফোর্স আক্রমণ প্রতিরোধ করতে হবে। প্রয়োগ করুন:

• প্রতি IP এবং প্রতি অ্যাকাউন্টে রেট লিমিটিং (যেমন, প্রতি মিনিটে 5টি প্রচেষ্টা)।
• ব্যর্থ প্রচেষ্টার পরে এক্সপোনেনশিয়াল ব্যাকঅফ।
• বারবার ব্যর্থতার পরে অ্যাকাউন্ট লকআউট, একটি নিরাপদ আনলক প্রক্রিয়া সহ (যেমন, ইমেল ভেরিফিকেশন)।
• কয়েকটি ব্যর্থতার পরে CAPTCHA।

বৈধ ব্যবহারকারীদের স্থায়ীভাবে লক আউট না করতে সতর্ক থাকুন; অস্থায়ী লকআউট ব্যবহার করুন এবং ব্যবহারকারীকে অবহিত করুন।

নিরাপদ পাসওয়ার্ড রিসেট

পাসওয়ার্ড রিসেট প্রবাহ একটি সাধারণ আক্রমণ ভেক্টর। এই নিয়মগুলি অনুসরণ করুন:

• ইমেলের মাধ্যমে পাঠানো একটি একক-ব্যবহার, সময়-সীমাবদ্ধ টোকেন ব্যবহার করুন।
• সিস্টেমে একটি ইমেল বিদ্যমান কিনা তা প্রকাশ করবেন না।
• ব্যবহারকারী ইতিমধ্যে লগ ইন থাকলে পুনরায় প্রমাণীকরণের প্রয়োজন করুন।
• পাসওয়ার্ড রিসেটের পরে সমস্ত সেশন অবৈধ করুন।

ব্যবহারকারীদের দোষ না দিয়ে শিক্ষিত করা

সুরক্ষা একটি ভাগ করা দায়িত্ব। স্পষ্ট নির্দেশনা প্রদান করুন:

• অনন্য পাসওয়ার্ড তৈরি এবং সংরক্ষণ করতে একটি পাসওয়ার্ড ম্যানেজার ব্যবহার করুন।
• যেখানেই সম্ভব 2FA সক্ষম করুন।
• ফিশিং প্রচেষ্টা সম্পর্কে সতর্ক থাকুন।

ইন-অ্যাপ টিপস এবং একটি ডেডিকেটেড সুরক্ষা পৃষ্ঠা সাহায্য করতে পারে।

সাধারণ জিজ্ঞাসা

SMS-ভিত্তিক 2FA কি 2FA না থাকার চেয়ে ভাল?

হ্যাঁ, SMS 2FA কিছু না থাকার চেয়ে ভাল, তবে এটি সিম স্ব্যাপিং এবং ইন্টারসেপশনের জন্য ঝুঁকিপূর্ণ। শক্তিশালী সুরক্ষার জন্য TOTP বা WebAuthn পছন্দ করুন।

আমি কত ঘন ঘন পাসওয়ার্ড হ্যাশিং অ্যালগরিদম ঘোরানো উচিত?

কোনও দুর্বলতা পাওয়া না গেলে আপনাকে ঘোরানোর প্রয়োজন নেই। তবে, আপনি প্যারামিটার আপগ্রেড করার সময় (যেমন, bcrypt কস্ট বাড়ানো) সফল লগইনে পাসওয়ার্ড পুনরায় হ্যাশ করতে পারেন।

আমি কি OAuth বা সোশ্যাল লগইনের সাথে 2FA ব্যবহার করতে পারি?

হ্যাঁ, তবে 2FA সাধারণত পরিচয় প্রদানকারী দ্বারা পরিচালিত হয়। আপনি যদি সোশ্যাল লগইন ব্যবহার করেন, তবে নিশ্চিত করুন যে আপনার নিজের অ্যাকাউন্ট পুনরুদ্ধার প্রক্রিয়া সুরক্ষিত।

আপনার অ্যাপ্লিকেশনের সুরক্ষা বাড়াতে প্রস্তুত? আজই শক্তিশালী পাসওয়ার্ড হ্যাশিং এবং TOTP-ভিত্তিক 2FA প্রয়োগ করে শুরু করুন। আরও ডেভেলপার সরঞ্জামের জন্য, API প্রতিক্রিয়া দ্রুত ডিবাগ করতে আমাদের JSON Formatter দেখুন।