মাল্টিফ্যাক্টর প্রমাণীকরণ (MFA)

সহজ ভাষায় মাল্টিফ্যাক্টর প্রমাণীকরণ কী

মাল্টিফ্যাক্টর প্রমাণীকরণ (MFA) হলো পরিচয় যাচাইয়ের এমন একটি পদ্ধতি, যেখানে সিস্টেমে প্রবেশের জন্য শুধু লগইন ও পাসওয়ার্ড নয়, বিভিন্ন শ্রেণির সুরক্ষা থেকে নিশ্চিতকরণ দাবি করা হয়। এটি দরজার দুটি তালার মতো: আক্রমণকারী একটি তালার চাবি খুঁজে পেলেও দ্বিতীয়টি তাকে আটকে দেবে।

চিরায়ত উদাহরণ হলো এটিএম থেকে নগদ তোলা: টাকা পেতে হলে আপনাকে ফিজিক্যাল কার্ড ঢোকাতে হয় (যা আপনার আছে) এবং PIN কোড দিতে হয় (যা আপনি জানেন)। ডিজিটাল জগতে MFA ঠিক একই নীতিতে কাজ করে।

Microsoft-এর পরিসংখ্যান অনুযায়ী, MFA ব্যবহার স্বয়ংক্রিয় আক্রমণের 99.9% পর্যন্ত ঠেকায় এবং অ্যাকাউন্ট কম্প্রোমাইজের ঝুঁকি উল্লেখযোগ্যভাবে কমায়। সে সত্ত্বেও মাত্র প্রায় 30% ব্যবহারকারী নিজের অ্যাকাউন্টে দ্বিফ্যাক্টর প্রমাণীকরণ চালু করে। অন্যান্য সুরক্ষা পদ্ধতি সম্পর্কে তথ্য নিরাপত্তা নিবন্ধে পড়ুন।

প্রমাণীকরণের তিনটি মূল ফ্যাক্টর

সত্যতা যাচাইয়ের জন্য তিনটি মূল ধরনের ফ্যাক্টর ব্যবহৃত হয়, যেগুলো মিলিয়ে মাল্টিফ্যাক্টর সুরক্ষা গড়া যায়:

• জ্ঞান (যা আপনি জানেন): পাসওয়ার্ড, PIN কোড, গোপন প্রশ্নের উত্তর, কোডওয়ার্ড। সবচেয়ে প্রচলিত কিন্তু সবচেয়ে দুর্বল ফ্যাক্টর — পাসওয়ার্ড অনুমান, চুরি বা উঁকি দেওয়া সম্ভব।
• মালিকানা (যা আপনার আছে): SMS-এ ওয়ান-টাইম কোড, স্মার্টফোনে push-নোটিফিকেশন, অথেনটিকেটর অ্যাপ (Google Authenticator, Yandex Key), ফিজিক্যাল USB-টোকেন (YubiKey, Rutoken) বা স্মার্ট-কার্ড। এটি নিরাপত্তা উল্লেখযোগ্যভাবে বাড়ায়, কারণ আক্রমণকারীকে আপনার ডিভাইসটি শারীরিকভাবে দখল করতে হয়।
• বৈশিষ্ট্য (আপনি কে): বায়োমেট্রিক ডেটা — আঙুলের ছাপ, মুখের স্ক্যান (Face ID), চোখের রেটিনা, কণ্ঠস্বর বা আচরণগত প্যাটার্ন। জাল করা সবচেয়ে কঠিন ফ্যাক্টর।

MFA থেকে 2FA-এর পার্থক্য কী

এই দুটি শব্দ প্রায়ই গুলিয়ে ফেলা হয়, কিন্তু মধ্যে গুরুত্বপূর্ণ পার্থক্য আছে:

• 2FA (দ্বিফ্যাক্টর প্রমাণীকরণ): ভিন্ন শ্রেণির ঠিক দুটি ফ্যাক্টর ব্যবহার করে (যেমন পাসওয়ার্ড + SMS কোড)। এটি MFA-এর একটি বিশেষ রূপ, বাস্তবে সবচেয়ে প্রচলিত।
• MFA (মাল্টিফ্যাক্টর প্রমাণীকরণ): দুই বা ততোধিক ফ্যাক্টর ব্যবহার করে (যেমন পাসওয়ার্ড + আঙুলের ছাপ + push-নোটিফিকেশন)। MFA-তে তিন বা ততোধিক ফ্যাক্টর থাকতে পারে, যা সর্বোচ্চ নিরাপত্তা নিশ্চিত করে।

প্রমাণীকরণ ও অথরাইজেশনের পার্থক্য সম্পর্কে প্রমাণীকরণ নিবন্ধে পড়ুন।

বাস্তবে MFA কীভাবে কাজ করে

অ্যাকাউন্টে লগইনের সময় সাধারণ দ্বিফ্যাক্টর প্রমাণীকরণের ধাপগুলো এরকম:

1. আপনি নিজের লগইন ও পাসওয়ার্ড দেন (ফ্যাক্টর ১ — জ্ঞান)।
2. সিস্টেম আপনার ফোনে SMS বা push-নোটিফিকেশনে কোড পাঠায় বা অথেনটিকেটর অ্যাপে কোড তৈরি করে (ফ্যাক্টর ২ — মালিকানা)।
3. আপনি পাওয়া কোডটি লিখে দেন বা অ্যাপে লগইন নিশ্চিত করেন।
4. দুটি ধাপই সফলভাবে পার হলে তবেই প্রবেশাধিকার মেলে। আক্রমণকারী আপনার পাসওয়ার্ড চুরি করেছে মাত্র, কিন্তু আপনার ফোনে প্রবেশাধিকার না থাকলে সে ঢুকতে পারবে না।

MFA কনফিগার করা সম্পর্কে OAuth নিবন্ধে পড়ুন।

MFA বাস্তবায়নের পদ্ধতি

MFA বাস্তবায়নের কয়েকটি পদ্ধতি রয়েছে, প্রতিটির নিজস্ব সুবিধা ও অসুবিধা আছে:

• SMS ও ভয়েস কল: সবচেয়ে সহজ ও জনপ্রিয় উপায়। কোড SMS-এ বা ভয়েস কলে ফোনে আসে। অসুবিধা — SIM-সোয়াপিং-এর ঝুঁকি (আক্রমণকারী সিম পুনঃইস্যু করায়) ও বার্তা আটকানোর ঝুঁকি।
• অথেনটিকেটর অ্যাপ: Google Authenticator, Microsoft Authenticator, Authy, Yandex Key। কোড ডিভাইসেই তৈরি হয়, ইন্টারনেট লাগে না। কোড নেটওয়ার্কে যায় না বলে SMS-এর চেয়ে নিরাপদ।
• Push-নোটিফিকেশন: অ্যাপ লগইন নিশ্চিত করার অনুরোধ পাঠায়; স্মার্টফোনে শুধু "হ্যাঁ" চাপলেই হয়। সুবিধাজনক ও দ্রুত, তবে ডিভাইসে ইন্টারনেট লাগে।
• হার্ডওয়্যার কি (U2F): ফিজিক্যাল ডিভাইস (YubiKey, Rutoken)। সবচেয়ে নির্ভরযোগ্য উপায় — কি USB-পোর্টে সংযুক্ত হয় বা NFC-এর মাধ্যমে কাজ করে। ফিশিং ও দূরবর্তী আক্রমণ প্রতিরোধ করে। Google-সহ বড় কোম্পানিগুলো এটি ব্যবহার করে।
• বায়োমেট্রিকস: আঙুলের ছাপ, Face ID, চোখের ইরিস স্ক্যানার, ভয়েস বায়োমেট্রিকস। সুবিধাজনক ও নিরাপদ, তবে ডিভাইসে বায়োমেট্রিক সেন্সর থাকা জরুরি।

বায়োমেট্রিকসের নিরাপত্তা সম্পর্কে বায়োমেট্রিকস নিবন্ধে পড়ুন।

MFA-এর ঝুঁকি ও সীমাবদ্ধতা

উচ্চ কার্যকারিতা সত্ত্বেও MFA-এর কিছু সীমাবদ্ধতা আছে, যা মাথায় রাখা জরুরি:

• ডিভাইসনির্ভরতা: অথেনটিকেটরসহ ফোন বা সিম হারালে অ্যাক্সেস চলে যেতে পারে। MFA সেটআপের সময় দেওয়া রিকভারি কোড অবশ্যই সংরক্ষণ করুন।
• SIM-সোয়াপিং: আক্রমণকারী অপারেটরের মাধ্যমে সিম পুনঃইস্যু করে SMS কোড আটকাতে পারে। তাই SMS কোডকে সবচেয়ে কম নির্ভরযোগ্য পদ্ধতি ধরা হয়।
• ফিশিং: ভুয়া সাইট দ্বিতীয় ফ্যাক্টরের অনুরোধ নকল করতে পারে। যেমন আক্রমণকারী ভুয়া লগইন পেজ বানিয়ে SMS কোড চেয়ে তা আটকায়। হার্ডওয়্যার কি (U2F) ব্যবহার এ থেকে সুরক্ষা দেয়।
• অসুবিধা: প্রতিবার লগইনে অতিরিক্ত সময় ও ধাপ লাগে। তবে এই ছোট অসুবিধা নিরাপত্তার উল্লেখযোগ্য উন্নতির কাছে তুচ্ছ।

ডিজিটাল স্বাস্থ্যবিধি সম্পর্কে ডিজিটাল ফুটপ্রিন্ট নিবন্ধে পড়ুন।