প্রমাণীকরণ এবং পাসওয়ার্ডের কি হবে? মন্তব্য সহ জ্যাভলিন রিপোর্ট "শক্তিশালী প্রমাণীকরণ স্থিতি" অনুবাদ

প্রতিবেদনের শিরোনাম থেকে স্পয়লার "নতুন ঝুঁকি এবং নিয়ন্ত্রক প্রয়োজনীয়তার হুমকি দ্বারা চালিত শক্তিশালী প্রমাণীকরণের ব্যবহার।"
জ্যাভলিন স্ট্র্যাটেজি অ্যান্ড রিসার্চ গবেষণা সংস্থা "দ্য স্টেট অফ স্ট্রং অথেনটিকেশন 2019" রিপোর্ট প্রকাশ করেছে ( মূল পিডিএফ এখানে ডাউনলোড করা যেতে পারে) এই প্রতিবেদনটি বলে: আমেরিকান এবং ইউরোপীয় কোম্পানিগুলির কত শতাংশ পাসওয়ার্ড ব্যবহার করে (এবং কেন এখন খুব কম লোক পাসওয়ার্ড ব্যবহার করে); ক্রিপ্টোগ্রাফিক টোকেনগুলির উপর ভিত্তি করে দ্বি-ফ্যাক্টর প্রমাণীকরণের ব্যবহারের শতাংশ কেন এত দ্রুত বাড়ছে; কেন এসএমএসের মাধ্যমে পাঠানো এক-কালীন কোডগুলি অনিরাপদ।

এন্টারপ্রাইজ এবং ব্যবহারকারী অ্যাপ্লিকেশনগুলিতে প্রমাণীকরণের বর্তমান, অতীত এবং ভবিষ্যতের বিষয়ে আগ্রহী প্রত্যেককে স্বাগত জানাই।

অনুবাদকের কাছ থেকে

হায়রে, এই প্রতিবেদনটি যে ভাষায় লেখা হয়েছে তা বরং "শুষ্ক" এবং আনুষ্ঠানিক। এবং একটি সংক্ষিপ্ত বাক্যে "প্রমাণিকরণ" শব্দের পাঁচগুণ ব্যবহার অনুবাদকের আঁকাবাঁকা হাত (বা মস্তিষ্ক) নয়, লেখকদের বাতিক। দুটি বিকল্প থেকে অনুবাদ করার সময় - পাঠকদের একটি পাঠ্যকে আসলটির কাছাকাছি বা আরও আকর্ষণীয় দেওয়ার জন্য, আমি কখনও কখনও প্রথমটি এবং কখনও কখনও দ্বিতীয়টি বেছে নিয়েছি। তবে ধৈর্য ধরুন, প্রিয় পাঠক, প্রতিবেদনের বিষয়বস্তুটি মূল্যবান।

সামান্য তাৎপর্যপূর্ণ এবং আখ্যানের জন্য প্রয়োজনীয় নয় এমন কিছু অংশ মুছে ফেলা হয়েছে, অন্যথায় সংখ্যাগরিষ্ঠরা পুরো পাঠ্যটি আয়ত্ত করতে পারত না। যারা "আনকাট" প্রতিবেদনটি পড়তে ইচ্ছুক তারা লিঙ্কটিতে ক্লিক করে মূল ভাষায় তা করতে পারেন।

দুর্ভাগ্যবশত, লেখক সবসময় পরিভাষা দিয়ে সঠিক নয়। তাই, ওয়ান টাইম পাসওয়ার্ড (ওয়ান টাইম পাসওয়ার্ড - ওটিপি) সেগুলিকে কখনও কখনও "পাসওয়ার্ড" এবং কখনও কখনও "কোড" বলা হয়। প্রমাণীকরণ পদ্ধতির সাথে, জিনিসগুলি আরও খারাপ। অপ্রস্তুত পাঠকের পক্ষে অনুমান করা সবসময় সহজ নয় যে "ক্রিপ্টোগ্রাফিক কী ব্যবহার করে প্রমাণীকরণ" এবং "শক্তিশালী প্রমাণীকরণ" একই জিনিস। আমি যতটা সম্ভব শর্তাবলী একত্রিত করার চেষ্টা করেছি, পাশাপাশি, রিপোর্টে তাদের বর্ণনার সাথে একটি খণ্ড রয়েছে।

তবুও, প্রতিবেদনটি পড়ার জন্য অত্যন্ত সুপারিশ করা হয়, কারণ এতে অনন্য গবেষণা ফলাফল এবং সঠিক সিদ্ধান্ত রয়েছে।

সমস্ত পরিসংখ্যান এবং তথ্যগুলি সামান্য পরিবর্তন ছাড়াই দেওয়া হয় এবং আপনি যদি তাদের সাথে একমত না হন তবে অনুবাদকের সাথে নয়, প্রতিবেদনের লেখকদের সাথে তর্ক করা ভাল। এবং এখানে আমার মন্তব্যগুলি (উদ্ধৃতি হিসাবে টাইপ করা হয়েছে, এবং পাঠ্যে চিহ্নিত করা হয়েছে৷ তির্যক).

ওভারভিউ

আজকাল, গ্রাহকদের সাথে ডিজিটাল যোগাযোগের চ্যানেলগুলি ব্যবসার জন্য আগের চেয়ে অনেক বেশি গুরুত্বপূর্ণ। এবং এন্টারপ্রাইজের মধ্যে, কর্মীদের মধ্যে যোগাযোগ আগের চেয়ে আরও বেশি ডিজিটাল ভিত্তিক। এবং এই মিথস্ক্রিয়াগুলি কতটা নিরাপদ হবে তা ব্যবহারকারীর প্রমাণীকরণের নির্বাচিত পদ্ধতির উপর নির্ভর করে। আক্রমণকারীরা ব্যবহারকারীর অ্যাকাউন্টে ব্যাপকভাবে আপস করতে দুর্বল প্রমাণীকরণ ব্যবহার করে। প্রতিক্রিয়া হিসাবে, নিয়ন্ত্রকেরা ব্যবসায়িকদের ব্যবহারকারীর অ্যাকাউন্ট এবং ডেটা আরও ভালভাবে সুরক্ষিত করতে বাধ্য করার জন্য মান কঠোর করছে।

প্রমাণীকরণ হুমকি ভোক্তা অ্যাপ্লিকেশনের বাইরেও প্রসারিত হয়, আক্রমণকারীরা একটি এন্টারপ্রাইজের ভিতরে চলমান একটি অ্যাপ্লিকেশনে অ্যাক্সেসও পেতে পারে। এই অপারেশন তাদের কর্পোরেট ব্যবহারকারীদের ছদ্মবেশী করার অনুমতি দেয়। দুর্বল প্রমাণীকরণ সহ অ্যাক্সেস পয়েন্ট ব্যবহার করে আক্রমণকারীরা ডেটা চুরি করতে পারে এবং অন্যান্য প্রতারণামূলক কার্যকলাপ করতে পারে। সৌভাগ্যক্রমে, এটি মোকাবেলা করার ব্যবস্থা আছে। শক্তিশালী প্রমাণীকরণ ভোক্তা অ্যাপ্লিকেশন এবং এন্টারপ্রাইজ ব্যবসায়িক সিস্টেম উভয় ক্ষেত্রেই আক্রমণকারীর দ্বারা আক্রমণের ঝুঁকি উল্লেখযোগ্যভাবে হ্রাস করতে পারে।

এই গবেষণাটি দেখায়: কীভাবে এন্টারপ্রাইজগুলি ব্যবহারকারীর অ্যাপ্লিকেশন এবং এন্টারপ্রাইজ ব্যবসায়িক সিস্টেমগুলিকে সুরক্ষিত করতে প্রমাণীকরণ প্রয়োগ করে; একটি প্রমাণীকরণ সমাধান নির্বাচন করার সময় তারা যে বিষয়গুলি বিবেচনা করে; শক্তিশালী প্রমাণীকরণ তাদের প্রতিষ্ঠানে যে ভূমিকা পালন করে; এই সংস্থাগুলি যে সুবিধাগুলি পায়।

সারাংশ

প্রধান ফলাফল

2017 থেকে শুরু করে, শক্তিশালী প্রমাণীকরণের ব্যবহার আকাশচুম্বী হয়েছে। প্রথাগত প্রমাণীকরণ সমাধানগুলিকে প্রভাবিত করে দুর্বলতার সংখ্যা বৃদ্ধির সাথে, সংস্থাগুলি শক্তিশালী প্রমাণীকরণের সাথে তাদের প্রমাণীকরণ ক্ষমতাকে শক্তিশালী করছে। 2017 সাল থেকে গ্রাহক অ্যাপ্লিকেশনের জন্য ক্রিপ্টোগ্রাফিক মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) ব্যবহারকারী সংস্থার সংখ্যা তিনগুণ বেড়েছে এবং এন্টারপ্রাইজ অ্যাপ্লিকেশনগুলির জন্য প্রায় 50% বৃদ্ধি পেয়েছে। বায়োমেট্রিক প্রমাণীকরণের ক্রমবর্ধমান প্রাপ্যতার কারণে দ্রুততম বৃদ্ধি মোবাইল প্রমাণীকরণে।

এখানে আমরা প্রবাদটির একটি দৃষ্টান্ত দেখতে পাচ্ছি "যতক্ষণ না বজ্রপাত না হয়, কৃষক নিজেকে অতিক্রম করবে না।" বিশেষজ্ঞরা যখন পাসওয়ার্ডের নিরাপত্তাহীনতা সম্পর্কে সতর্ক করেছিলেন, তখন কেউ দ্বি-ফ্যাক্টর প্রমাণীকরণ বাস্তবায়নের জন্য তাড়াহুড়ো করেনি। হ্যাকাররা পাসওয়ার্ড চুরি করা শুরু করার সাথে সাথে লোকেরা দ্বি-ফ্যাক্টর প্রমাণীকরণ প্রয়োগ করতে শুরু করে।

সত্য, ব্যক্তিরা অনেক বেশি সক্রিয়ভাবে 2FA বাস্তবায়ন করছে। প্রথমত, স্মার্টফোনে তৈরি বায়োমেট্রিক প্রমাণীকরণের উপর নির্ভর করে তাদের ভয়কে শান্ত করা তাদের পক্ষে সহজ, যা আসলে খুবই অবিশ্বস্ত। অন্যদিকে, সংস্থাগুলিকে টোকেন কেনার জন্য অর্থ ব্যয় করতে হবে এবং তাদের বাস্তবায়নে কাজ (আসলে খুব সহজ) করতে হবে। এবং দ্বিতীয়ত, শুধুমাত্র অলস লোকেরা ফেসবুক এবং ড্রপবক্সের মতো পরিষেবাগুলি থেকে পাসওয়ার্ড ফাঁস সম্পর্কে লেখেন না, তবে এই সংস্থাগুলির সিআইওরা কোনও পরিস্থিতিতে কীভাবে পাসওয়ার্ড চুরি হয়েছিল (এবং পরবর্তী কী হয়েছিল) সে সম্পর্কে গল্পগুলি ভাগ করবে না।

যারা শক্তিশালী প্রমাণীকরণ ব্যবহার করেন না তারা তাদের ব্যবসা এবং গ্রাহকদের ঝুঁকিকে অবমূল্যায়ন করেন। কিছু সংস্থা যেগুলি বর্তমানে শক্তিশালী প্রমাণীকরণ ব্যবহার করে না তারা লগইন এবং পাসওয়ার্ডগুলিকে ব্যবহারকারীর প্রমাণীকরণ পদ্ধতিগুলির মধ্যে সবচেয়ে কার্যকর এবং ব্যবহার করা সহজ হিসাবে দেখতে থাকে। অন্যরা তাদের নিজস্ব ডিজিটাল সম্পদের মূল্য দেখতে পায় না। সর্বোপরি, এটি বিবেচনা করা উচিত যে সাইবার অপরাধীরা যে কোনও ভোক্তা এবং ব্যবসায়িক তথ্যে আগ্রহী। দুই-তৃতীয়াংশ কোম্পানি যারা শুধুমাত্র তাদের কর্মীদের প্রমাণীকরণের জন্য পাসওয়ার্ড ব্যবহার করে তারা তা করে কারণ তারা বিশ্বাস করে যে পাসওয়ার্ডগুলি তারা যে ধরনের তথ্য সুরক্ষিত রাখে তার জন্য যথেষ্ট ভালো।

যাইহোক, পাসওয়ার্ডগুলি কবরে যাওয়ার পথে। গত এক বছরে, ভোক্তা এবং এন্টারপ্রাইজ উভয় অ্যাপ্লিকেশনের জন্য পাসওয়ার্ডের উপর নির্ভরতা উল্লেখযোগ্যভাবে হ্রাস পেয়েছে (যথাক্রমে 44% থেকে 31%, এবং 56% থেকে 47%, যথাক্রমে) যেহেতু সংস্থাগুলি তাদের ঐতিহ্যগত MFA এবং শক্তিশালী প্রমাণীকরণের ব্যবহার প্রসারিত করেছে৷
কিন্তু আপনি যদি সামগ্রিকভাবে পরিস্থিতি মূল্যায়ন করেন, তাহলে দুর্বল প্রমাণীকরণ পদ্ধতি এখনও বিরাজ করে। ব্যবহারকারীর প্রমাণীকরণের জন্য, প্রায় এক-চতুর্থাংশ প্রতিষ্ঠান নিরাপত্তা প্রশ্ন সহ SMS OTP (ওয়ান-টাইম পাসওয়ার্ড) ব্যবহার করে। ফলস্বরূপ, একটি দুর্বলতা থেকে রক্ষা করার জন্য অতিরিক্ত সুরক্ষা প্রয়োগ করতে হবে, যা খরচ বাড়ায়। অনেক শক্তিশালী প্রমাণীকরণ পদ্ধতির ব্যবহার, যেমন হার্ডওয়্যার-ভিত্তিক ক্রিপ্টোগ্রাফিক কী, প্রায় 5% প্রতিষ্ঠানে অনেক কম ব্যবহৃত হয়।

বিকশিত নিয়ন্ত্রক পরিবেশ ভোক্তা অ্যাপ্লিকেশনের জন্য শক্তিশালী প্রমাণীকরণ গ্রহণকে ত্বরান্বিত করার প্রতিশ্রুতি দেয়। PSD2 প্রবর্তনের সাথে সাথে EU এবং ক্যালিফোর্নিয়ার মতো মার্কিন যুক্তরাষ্ট্রের বেশ কয়েকটি রাজ্যে নতুন ডেটা সুরক্ষা প্রবিধানের সাথে, কোম্পানিগুলি তাপ অনুভব করছে। প্রায় 70% কোম্পানি সম্মত হয় যে তারা তাদের গ্রাহকদের শক্তিশালী প্রমাণীকরণ প্রদানের জন্য শক্তিশালী নিয়ন্ত্রক চাপের সম্মুখীন হয়। অর্ধেকেরও বেশি এন্টারপ্রাইজ বিশ্বাস করে যে কয়েক বছরের মধ্যে তাদের প্রমাণীকরণ পদ্ধতি নিয়ন্ত্রক মান পূরণের জন্য যথেষ্ট হবে না।

প্রোগ্রাম এবং পরিষেবাগুলির ব্যবহারকারীদের ব্যক্তিগত ডেটা সুরক্ষার জন্য রাশিয়ান এবং আমেরিকান-ইউরোপীয় আইনপ্রণেতাদের পদ্ধতির পার্থক্য স্পষ্টভাবে দৃশ্যমান। রাশিয়ানরা বলেছেন: প্রিয় পরিষেবা মালিকরা, আপনি যা চান এবং কীভাবে চান তা করুন, তবে আপনার অ্যাডমিন যদি ডাটাবেস ফাঁস করে, তবে আমরা আপনাকে শাস্তি দেব। তারা বিদেশে বলে: আপনি যে ব্যবস্থা একটি সেট বাস্তবায়ন করতে হবে অনুমতি দেবে না বেস ডাম্প. এই কারণেই শক্তিশালী দ্বি-ফ্যাক্টর প্রমাণীকরণের উপস্থিতির প্রয়োজনীয়তাগুলি শক্তি এবং প্রধানের সাথে চালু করা হচ্ছে।
সত্য, এটি একটি সত্য থেকে দূরে যে আমাদের আইন প্রণয়ন মেশিন একটি সূক্ষ্ম মুহূর্তে তার জ্ঞানে আসবে না এবং পশ্চিমা অভিজ্ঞতাকে বিবেচনা করবে না। তখনই দেখা যাচ্ছে যে প্রত্যেকেরই 2FA বাস্তবায়ন করতে হবে যা রাশিয়ান ক্রিপ্টোগ্রাফিক মান পূরণ করে, এবং জরুরিভাবে।

একটি শক্তিশালী প্রমাণীকরণ ভিত্তি তৈরি করা কোম্পানিগুলিকে তাদের মনোযোগ নিয়ন্ত্রক প্রয়োজনীয়তা পূরণ থেকে গ্রাহকের চাহিদা মেটাতে স্থানান্তর করতে দেয়। যে সংস্থাগুলি এখনও সাধারণ পাসওয়ার্ড ব্যবহার করে বা এসএমএসের মাধ্যমে কোড গ্রহণ করে, তাদের জন্য সম্মতি একটি প্রমাণীকরণ পদ্ধতি বেছে নেওয়ার ক্ষেত্রে সবচেয়ে গুরুত্বপূর্ণ বিষয় হবে। যাইহোক, যে কোম্পানিগুলি ইতিমধ্যে শক্তিশালী প্রমাণীকরণ ব্যবহার করে তারা সেই প্রমাণীকরণ পদ্ধতিগুলি বেছে নেওয়ার উপর ফোকাস করতে পারে যা গ্রাহকের আনুগত্য বাড়ায়।

একটি এন্টারপ্রাইজের মধ্যে কর্পোরেট প্রমাণীকরণের একটি পদ্ধতি বেছে নেওয়ার সময়, নিয়ন্ত্রকদের প্রয়োজনীয়তা আর একটি উল্লেখযোগ্য ফ্যাক্টর নয়। এই ক্ষেত্রে, একীকরণের সহজতা (32%) এবং খরচ (26%) অনেক বেশি গুরুত্বপূর্ণ।

ফিশিংয়ের যুগে, আক্রমণকারীরা স্ক্যাম করতে কর্পোরেট ইমেল ব্যবহার করতে পারে, প্রতারণামূলকভাবে ডেটা, অ্যাকাউন্টগুলিতে অ্যাক্সেস লাভ করা (উপযুক্ত অ্যাক্সেসের অধিকার সহ), এমনকি কর্মচারীদের তার অ্যাকাউন্টে অর্থ স্থানান্তর করতে রাজি করানো। অতএব, কর্পোরেট মেইল ​​এবং পোর্টাল অ্যাকাউন্টগুলিকে বিশেষভাবে সুরক্ষিত রাখতে হবে।

Google শক্তিশালী প্রমাণীকরণ প্রয়োগ করে তার নিরাপত্তা বাড়িয়েছে। দুই বছরেরও বেশি আগে, Google FIDO U2F স্ট্যান্ডার্ড অনুযায়ী ক্রিপ্টোগ্রাফিক নিরাপত্তা কীগুলির উপর ভিত্তি করে দ্বি-ফ্যাক্টর প্রমাণীকরণ বাস্তবায়নের উপর একটি প্রতিবেদন প্রকাশ করেছে, চিত্তাকর্ষক ফলাফলের প্রতিবেদন করেছে। কোম্পানির মতে, 85 এর বেশি কর্মচারীর বিরুদ্ধে একটি ফিশিং আক্রমণ করা হয়নি।

সুপারিশ

মোবাইল এবং অনলাইন অ্যাপ্লিকেশনের জন্য শক্তিশালী প্রমাণীকরণ প্রয়োগ করুন। ক্রিপ্টোগ্রাফিক কীগুলির উপর ভিত্তি করে মাল্টি-ফ্যাক্টর প্রমাণীকরণ ঐতিহ্যগত MFA পদ্ধতির তুলনায় হ্যাকিংয়ের বিরুদ্ধে অনেক বেশি নিরাপদ। এছাড়াও, ক্রিপ্টোগ্রাফিক কীগুলির ব্যবহার অনেক বেশি সুবিধাজনক, কারণ অতিরিক্ত তথ্য ব্যবহার এবং স্থানান্তর করার প্রয়োজন নেই - পাসওয়ার্ড, ওয়ান-টাইম পাসওয়ার্ড বা বায়োমেট্রিক ডেটা ব্যবহারকারীর ডিভাইস থেকে প্রমাণীকরণ সার্ভারে। উপরন্তু, প্রমাণীকরণ প্রোটোকলের মানীকরণ নতুন প্রমাণীকরণ পদ্ধতিগুলিকে সহজলভ্য করার সাথে সাথে প্রয়োগ করা সহজ করে তোলে, ব্যবহারের খরচ কমায় এবং আরও জটিল জালিয়াতি স্কিম থেকে রক্ষা করে।

ওয়ান-টাইম পাসওয়ার্ড (OTP) শেষ হওয়ার জন্য প্রস্তুত হন। OTP-এর অন্তর্নিহিত দুর্বলতাগুলি ক্রমশ স্পষ্ট হয়ে উঠছে কারণ সাইবার অপরাধীরা এই প্রমাণীকরণ সরঞ্জামগুলির সাথে আপস করার জন্য সামাজিক প্রকৌশল, স্মার্টফোন ক্লোনিং এবং ম্যালওয়্যার ব্যবহার করে। এবং যদি কিছু ক্ষেত্রে OTP-এর কিছু সুবিধা থাকে, তবে এটি শুধুমাত্র সমস্ত ব্যবহারকারীর জন্য সার্বজনীন অ্যাক্সেসযোগ্যতার ক্ষেত্রে, কিন্তু নিরাপত্তার ক্ষেত্রে নয়।

এটা লক্ষ্য করা অসম্ভব যে এসএমএস বা পুশ বিজ্ঞপ্তির মাধ্যমে কোড গ্রহণ করা, সেইসাথে স্মার্টফোন প্রোগ্রাম ব্যবহার করে কোড তৈরি করা, সেই একই ওয়ান-টাইম পাসওয়ার্ডের (OTP) ব্যবহার যা আমাদের প্রস্তুত করার প্রস্তাব দেওয়া হয়। প্রযুক্তিগত দৃষ্টিকোণ থেকে, সমাধানটি খুবই সঠিক, কারণ একজন বিরল প্রতারক একজন নির্বোধ ব্যবহারকারীর কাছ থেকে একটি ওয়ান-টাইম পাসওয়ার্ড খুঁজে বের করার চেষ্টা করে না। কিন্তু আমি মনে করি এই ধরনের সিস্টেমের নির্মাতারা শেষ পর্যন্ত মৃতপ্রায় প্রযুক্তিকে আঁকড়ে থাকবে।

গ্রাহকের আস্থা বাড়াতে মার্কেটিং টুল হিসেবে শক্তিশালী প্রমাণীকরণ ব্যবহার করুন। শক্তিশালী প্রমাণীকরণ আপনার ব্যবসার প্রকৃত নিরাপত্তা উন্নত করার চেয়ে আরও বেশি কিছু করতে পারে। গ্রাহকদের অবহিত করা যে আপনার ব্যবসা শক্তিশালী প্রমাণীকরণ ব্যবহার করছে সেই ব্যবসার নিরাপত্তা সম্পর্কে জনসাধারণের ধারণাকে শক্তিশালী করতে পারে - একটি গুরুত্বপূর্ণ কারণ যখন শক্তিশালী প্রমাণীকরণ পদ্ধতির জন্য উল্লেখযোগ্য গ্রাহকের চাহিদা থাকে।

কর্পোরেট ডেটার একটি পুঙ্খানুপুঙ্খ ইনভেন্টরি এবং গুরুত্ব মূল্যায়ন পরিচালনা করুন এবং গুরুত্ব অনুযায়ী এটি রক্ষা করুন। এমনকি কম-ঝুঁকির ডেটা যেমন গ্রাহকের যোগাযোগের তথ্য (না, এটা সত্য যে রিপোর্টে বলা হয়েছে “কম-ঝুঁকি”, এটা খুবই অদ্ভুত যে তারা এই তথ্যের গুরুত্বকে অবমূল্যায়ন করে) প্রতারকদের কাছে উল্লেখযোগ্য মূল্য আনতে পারে এবং কোম্পানির জন্য সমস্যা সৃষ্টি করতে পারে।

আপনার এন্টারপ্রাইজে শক্তিশালী প্রমাণীকরণ ব্যবহার করুন। বেশ কয়েকটি সিস্টেম অপরাধীদের জন্য সবচেয়ে আকর্ষণীয় লক্ষ্য। এর মধ্যে রয়েছে অভ্যন্তরীণ এবং ইন্টারনেট-সংযুক্ত সিস্টেম যেমন একটি অ্যাকাউন্টিং প্রোগ্রাম বা কর্পোরেট ডেটা গুদাম। শক্তিশালী প্রমাণীকরণ আক্রমণকারীদের অননুমোদিত অ্যাক্সেস পেতে বাধা দেয় এবং আপনাকে ঠিক কোন কর্মচারী দূষিত কার্যকলাপ করেছে তা নির্ধারণ করতে দেয়।

শক্তিশালী প্রমাণীকরণ কি?

শক্তিশালী প্রমাণীকরণ ব্যবহার করার সময়, ব্যবহারকারীকে প্রমাণীকরণ করতে বিভিন্ন পদ্ধতি বা কারণ ব্যবহার করা হয়:

• জ্ঞান ফ্যাক্টর: ব্যবহারকারী এবং ব্যবহারকারীর প্রমাণীকরণ বিষয়ের মধ্যে একটি ভাগ করা গোপনীয়তা (উদাহরণস্বরূপ, পাসওয়ার্ড, নিরাপত্তা প্রশ্নের উত্তর ইত্যাদি)
• মালিকানা ফ্যাক্টর: একটি ডিভাইস যা শুধুমাত্র ব্যবহারকারীর আছে (উদাহরণস্বরূপ, একটি মোবাইল ডিভাইস, একটি ক্রিপ্টোগ্রাফিক কী, ইত্যাদি)
• উত্তরাধিকার ফ্যাক্টর: ব্যবহারকারীর শারীরিক (প্রায়শই বায়োমেট্রিক) বৈশিষ্ট্য (যেমন আঙ্গুলের ছাপ, আইরিস প্যাটার্ন, ভয়েস, আচরণ ইত্যাদি)

একাধিক ফ্যাক্টর ক্র্যাক করার প্রয়োজনীয়তা আক্রমণকারীদের ব্যর্থতার সম্ভাবনাকে ব্যাপকভাবে বাড়িয়ে দেয়, যেহেতু বিভিন্ন ফ্যাক্টরকে বাইপাস বা প্রতারণা করার জন্য প্রতিটি ফ্যাক্টরের জন্য আলাদাভাবে বিভিন্ন ধরণের ক্র্যাকিং কৌশল ব্যবহার করা প্রয়োজন।

উদাহরণস্বরূপ, "পাসওয়ার্ড + স্মার্টফোন" 2FA দিয়ে, একজন আক্রমণকারী ব্যবহারকারীর পাসওয়ার্ড দেখে এবং তার স্মার্টফোনের একটি সঠিক সফ্টওয়্যার কপি তৈরি করে প্রমাণীকরণ করতে পারে। এবং এটি শুধুমাত্র একটি পাসওয়ার্ড চুরি করার চেয়ে অনেক বেশি কঠিন।

কিন্তু যদি 2FA এর জন্য একটি পাসওয়ার্ড এবং একটি ক্রিপ্টোগ্রাফিক টোকেন ব্যবহার করা হয়, তাহলে অনুলিপি বিকল্পটি এখানে কাজ করে না - টোকেনটি নকল করা অসম্ভব। প্রতারককে নীরবে ব্যবহারকারীর কাছ থেকে টোকেন চুরি করতে হবে। ব্যবহারকারী যদি সময়মতো ক্ষতি লক্ষ্য করে এবং প্রশাসককে অবহিত করে তবে টোকেনটি ব্লক করা হবে এবং প্রতারকের কাজ বৃথা যাবে। এই কারণেই মালিকানা ফ্যাক্টরের জন্য, আপনাকে বিশেষ সুরক্ষিত ডিভাইস (টোকেন) ব্যবহার করতে হবে, সাধারণ-উদ্দেশ্য ডিভাইস (স্মার্টফোন) নয়।

তিনটি কারণের ব্যবহার এই ধরনের একটি প্রমাণীকরণ পদ্ধতি বাস্তবায়নের জন্য ব্যয়বহুল এবং ব্যবহার করা বরং অসুবিধাজনক করে তুলবে। অতএব, তিনটি কারণের মধ্যে দুটি সাধারণত ব্যবহৃত হয়।

দ্বি-ফ্যাক্টর প্রমাণীকরণের নীতিগুলি আরও বিশদে বর্ণনা করা হয়েছে। এখানে, "কিভাবে দুই-ফ্যাক্টর প্রমাণীকরণ কাজ করে" বিভাগে।

এটি লক্ষ করা গুরুত্বপূর্ণ যে শক্তিশালী প্রমাণীকরণে ব্যবহৃত প্রমাণীকরণের কারণগুলির মধ্যে অন্তত একটিকে অবশ্যই সর্বজনীন কী ক্রিপ্টোগ্রাফি ব্যবহার করতে হবে।

শক্তিশালী প্রমাণীকরণ ক্লাসিক পাসওয়ার্ড-ভিত্তিক ওয়ান-ফ্যাক্টর প্রমাণীকরণ এবং ঐতিহ্যগত MFA থেকে অনেক বেশি নিরাপদ। কী-লগার, ফিশিং সাইট বা সোশ্যাল ইঞ্জিনিয়ারিং আক্রমণ (যখন প্রতারিত শিকার নিজেই তার পাসওয়ার্ড প্রকাশ করে) ব্যবহার করে পাসওয়ার্ড গুপ্তচরবৃত্তি করা বা আটকানো যেতে পারে। তাছাড়া পাসওয়ার্ডের মালিক চুরির ঘটনা সম্পর্কে কিছুই জানতে পারবেন না। প্রথাগত MFA (যাতে OTP কোড, স্মার্টফোন বা SIM কার্ড বাইন্ডিং অন্তর্ভুক্ত) সহজেই হ্যাক করা যেতে পারে কারণ এটি পাবলিক কী ক্রিপ্টোগ্রাফির উপর ভিত্তি করে নয় (যাইহোক, এমন অনেক উদাহরণ রয়েছে যখন, একই সোশ্যাল ইঞ্জিনিয়ারিং কৌশল ব্যবহার করে, স্ক্যামাররা ব্যবহারকারীদের এক-কালীন পাসওয়ার্ড বলতে রাজি করায়).

সৌভাগ্যবশত, গত বছর থেকে, ভোক্তা এবং এন্টারপ্রাইজ উভয় অ্যাপ্লিকেশনে শক্তিশালী প্রমাণীকরণ এবং ঐতিহ্যগত MFA-এর ব্যবহার গতি পাচ্ছে। ভোক্তা অ্যাপ্লিকেশনগুলিতে শক্তিশালী প্রমাণীকরণের ব্যবহার বিশেষভাবে দ্রুত বৃদ্ধি পেয়েছে। যদি 2017 সালে শুধুমাত্র 5% কোম্পানি এটি ব্যবহার করে, তাহলে 2018 সালে এটি ইতিমধ্যে তিনগুণ বেশি ছিল - 16%। পাবলিক কী ক্রিপ্টোগ্রাফি (PKC) অ্যালগরিদম সমর্থন করে এমন টোকেনগুলির বর্ধিত প্রাপ্যতা দ্বারা এটি ব্যাখ্যা করা যেতে পারে। এছাড়াও, PSD2 এবং GDPR-এর মতো নতুন ডেটা সুরক্ষা নিয়মগুলি গ্রহণ করার পরে ইউরোপীয় নিয়ন্ত্রকদের চাপ বৃদ্ধি ইউরোপের বাইরেও শক্তিশালী প্রভাব ফেলেছিল (রাশিয়া সহ).

আসুন এই সংখ্যাগুলি ঘনিষ্ঠভাবে দেখে নেওয়া যাক। আমরা দেখতে পাচ্ছি, মাল্টি-ফ্যাক্টর প্রমাণীকরণ ব্যবহার করে প্রাইভেট ট্রেডারদের শতাংশ বছরে একটি চিত্তাকর্ষক 11% বৃদ্ধি পেয়েছে। এবং এটি স্পষ্টতই পাসওয়ার্ড প্রেমীদের খরচে ঘটেছে, যেহেতু পুশ বিজ্ঞপ্তি, এসএমএস এবং বায়োমেট্রিক্সের নিরাপত্তায় বিশ্বাসী তাদের সংখ্যা পরিবর্তিত হয়নি।

কিন্তু কর্পোরেট ব্যবহারের জন্য দ্বি-ফ্যাক্টর প্রমাণীকরণ সহ, সবকিছু এত ভাল নয়। প্রথমত, রিপোর্ট অনুসারে, শুধুমাত্র 5% কর্মচারী পাসওয়ার্ড প্রমাণীকরণ থেকে টোকেনে স্থানান্তরিত হয়েছিল। এবং দ্বিতীয়ত, যারা কর্পোরেট পরিবেশে বিকল্প MFA অপশন ব্যবহার করেন তাদের সংখ্যা 4% বৃদ্ধি পেয়েছে।

আমি বিশ্লেষণ খেলা এবং আমার ব্যাখ্যা দিতে চেষ্টা করব. স্বতন্ত্র ব্যবহারকারীদের ডিজিটাল জগতের কেন্দ্রে রয়েছে স্মার্টফোন। অতএব, এতে আশ্চর্যের কিছু নেই যে বেশিরভাগই ডিভাইসটি তাদের সরবরাহ করে এমন সুযোগগুলি ব্যবহার করে - বায়োমেট্রিক প্রমাণীকরণ, এসএমএস এবং পুশ বিজ্ঞপ্তিগুলি, সেইসাথে স্মার্টফোনেই অ্যাপ্লিকেশনগুলির দ্বারা তৈরি করা ওয়ান-টাইম পাসওয়ার্ড৷ লোকেরা সাধারণত তাদের অভ্যস্ত সরঞ্জামগুলি ব্যবহার করার সময় নিরাপত্তা এবং নির্ভরযোগ্যতা সম্পর্কে চিন্তা করে না।

এই কারণেই আদিম "ঐতিহ্যগত" প্রমাণীকরণ কারণগুলির ব্যবহারকারীদের শতাংশ অপরিবর্তিত রয়েছে। কিন্তু যারা আগে পাসওয়ার্ড ব্যবহার করেছে তারা বুঝতে পারে যে তারা কতটা ঝুঁকিপূর্ণ, এবং একটি নতুন প্রমাণীকরণ ফ্যাক্টর বেছে নেওয়ার সময়, তারা নতুন এবং সবচেয়ে নিরাপদ বিকল্পে থামে - একটি ক্রিপ্টোগ্রাফিক টোকেন।

কর্পোরেট বাজারের জন্য, কোন সিস্টেমে প্রমাণীকরণ করা হয় তা বোঝা গুরুত্বপূর্ণ। যদি একটি উইন্ডোজ ডোমেন লগইন প্রয়োগ করা হয়, তাহলে ক্রিপ্টোগ্রাফিক টোকেন ব্যবহার করা হয়। 2FA-এর জন্য এগুলি ব্যবহার করার সম্ভাবনাগুলি ইতিমধ্যেই উইন্ডোজ এবং লিনাক্স উভয়েই তৈরি করা হয়েছে এবং বিকল্প বিকল্পগুলি দীর্ঘ এবং বাস্তবায়ন করা কঠিন। এখানে পাসওয়ার্ড থেকে টোকেনে 5% মাইগ্রেশন হয়েছে।

এবং একটি কর্পোরেট তথ্য ব্যবস্থায় 2FA বাস্তবায়ন ডেভেলপারদের যোগ্যতার উপর অনেকটাই নির্ভর করে। এবং ক্রিপ্টোগ্রাফিক অ্যালগরিদমগুলির ক্রিয়াকলাপ বোঝার চেয়ে ডেভেলপারদের জন্য এককালীন পাসওয়ার্ড তৈরির জন্য তৈরি মডিউলগুলি নেওয়া অনেক সহজ। এবং ফলস্বরূপ, একক সাইন-অন বা প্রিভিলেজড অ্যাক্সেস ম্যানেজমেন্টের মতো অবিশ্বাস্যভাবে নিরাপত্তা-সমালোচনামূলক অ্যাপ্লিকেশনগুলিও দ্বিতীয় কারণ হিসাবে OTP ব্যবহার করে।

ঐতিহ্যগত প্রমাণীকরণ পদ্ধতিতে অনেক দুর্বলতা

যদিও অনেক প্রতিষ্ঠান লিগ্যাসি একক-ফ্যাক্টর সিস্টেমের উপর নির্ভরশীল থাকে, ঐতিহ্যগত মাল্টি-ফ্যাক্টর প্রমাণীকরণের দুর্বলতাগুলি ক্রমশ স্পষ্ট হয়ে উঠছে। ওটিপি, সাধারণত ছয় থেকে আট অক্ষর দীর্ঘ, এসএমএসের মাধ্যমে বিতরণ করা হয়, এটি প্রমাণীকরণের সবচেয়ে সাধারণ রূপ (অবশ্যই পাসওয়ার্ড জানা ছাড়াও)। এবং যদি জনপ্রিয় প্রেসে "টু-ফ্যাক্টর প্রমাণীকরণ" বা "দুই-পদক্ষেপ যাচাইকরণ" শব্দগুলি উল্লেখ করা হয়, তবে তারা প্রায় সবসময়ই এসএমএস ওয়ান-টাইম পাসওয়ার্ড ব্যবহার করে প্রমাণীকরণকে নির্দেশ করে।

এখানে লেখক সামান্য ভুল করেছেন। এসএমএসের মাধ্যমে এককালীন পাসওয়ার্ড বিতরণ কখনও দ্বি-ফ্যাক্টর প্রমাণীকরণ ছিল না। এটি তার বিশুদ্ধতম আকারে দ্বি-পদক্ষেপ প্রমাণীকরণের দ্বিতীয় পর্যায়, যেখানে প্রথম ধাপটি একটি ব্যবহারকারীর নাম এবং পাসওয়ার্ড প্রবেশ করানো।

2016 সালে, ন্যাশনাল ইনস্টিটিউট অফ স্ট্যান্ডার্ডস অ্যান্ড টেকনোলজি (NIST) SMS এর মাধ্যমে পাঠানো এককালীন পাসওয়ার্ডের ব্যবহার বাদ দিতে তার প্রমাণীকরণ নীতি আপডেট করেছে। যাইহোক, শিল্পের প্রতিবাদের পর এই নিয়মগুলি যথেষ্ট শিথিল করা হয়েছে।

তো চলুন গল্পটি অনুসরণ করি। আমেরিকান নিয়ন্ত্রক যথাযথভাবে স্বীকার করে যে পুরানো প্রযুক্তি ব্যবহারকারীদের নিরাপত্তা নিশ্চিত করতে সক্ষম নয় এবং নতুন মান প্রবর্তন করে। অনলাইন এবং মোবাইল অ্যাপ্লিকেশনের (ব্যাংকিং সহ) ব্যবহারকারীদের সুরক্ষার জন্য ডিজাইন করা মান। সত্যিকারের নির্ভরযোগ্য ক্রিপ্টোগ্রাফিক টোকেন কিনতে, অ্যাপ্লিকেশন রিমেক করতে, একটি পাবলিক কী অবকাঠামো স্থাপন করতে এবং "তার পিছনের পায়ে উঠতে" এর জন্য কত টাকা খরচ করতে হবে তা শিল্পটি খুঁজে বের করছে। একদিকে, ব্যবহারকারীরা ওয়ান-টাইম পাসওয়ার্ডের নির্ভরযোগ্যতার বিষয়ে নিশ্চিত ছিলেন, এবং অন্যদিকে, NIST-তে আক্রমণ হয়েছিল। ফলস্বরূপ, মান শিথিল ছিল, এবং হ্যাক সংখ্যা, পাসওয়ার্ড চুরি (এবং ব্যাঙ্কিং অ্যাপ্লিকেশন থেকে অর্থ) নাটকীয়ভাবে বৃদ্ধি পেয়েছে। কিন্তু শিল্পকে কাঁটাচামচ করতে হয়নি।

তারপর থেকে, SMS OTP এর অন্তর্নিহিত দুর্বলতাগুলি আরও স্পষ্ট হয়ে উঠেছে। প্রতারকরা এসএমএস মেসেজ আপস করার জন্য বিভিন্ন পদ্ধতি ব্যবহার করে:

• ডুপ্লিকেট সিম কার্ড। হামলাকারীরা সিমের একটি কপি তৈরি করে (একটি মোবাইল অপারেটরের কর্মচারীদের সাহায্যে, বা স্বাধীনভাবে, বিশেষ সফ্টওয়্যার এবং হার্ডওয়্যার ব্যবহার করে) ফলস্বরূপ, আক্রমণকারী একটি ওয়ান-টাইম পাসওয়ার্ড সহ একটি এসএমএস পায়। একটি বিশেষভাবে কুখ্যাত ক্ষেত্রে, হ্যাকাররা এমনকি ক্রিপ্টোকারেন্সি বিনিয়োগকারী মাইকেল টারপিনের AT&T অ্যাকাউন্টের সাথে আপস করতে এবং প্রায় $24 মিলিয়ন ক্রিপ্টোকারেন্সি চুরি করতে সক্ষম হয়েছিল। ফলস্বরূপ, টারপিন দাবি করেছে যে সিম কার্ডের নকলের ফলে শিথিল বৈধকরণ ব্যবস্থার কারণে AT&T-এর ত্রুটি ছিল।
  

  আশ্চর্যজনক যুক্তি. তাহলে এটা সত্যিই AT&T এর দোষ? না, মোবাইল অপারেটরের দোষ হল যোগাযোগ সেলুনে বিক্রেতারা একটি ডুপ্লিকেট সিম কার্ড ইস্যু করেছে, সন্দেহ নেই। ক্রিপ্টোকারেন্সি এক্সচেঞ্জ প্রমাণীকরণ সিস্টেম সম্পর্কে কি? কেন তারা নিরাপদ ক্রিপ্টোগ্রাফিক টোকেন ব্যবহার করেনি? বাস্তবায়নের জন্য অর্থ কি করুণা ছিল? মাইকেল নিজেই দায়ী নয় কি? কেন তিনি প্রমাণীকরণ প্রক্রিয়া পরিবর্তন করার জন্য জোর দেননি বা শুধুমাত্র সেই এক্সচেঞ্জগুলি ব্যবহার করেন যা ক্রিপ্টোগ্রাফিক টোকেনের উপর ভিত্তি করে দ্বি-ফ্যাক্টর প্রমাণীকরণ বাস্তবায়ন করে?

  সত্যিকারের নির্ভরযোগ্য প্রমাণীকরণ পদ্ধতির প্রবর্তন সুনির্দিষ্টভাবে বিলম্বিত হয়েছে কারণ ব্যবহারকারীরা হ্যাকিংয়ের আগে আশ্চর্যজনক অসাবধানতা দেখায় এবং তারপরে তারা প্রাচীন এবং "ফাঁকা" প্রমাণীকরণ প্রযুক্তিগুলি ব্যতীত তাদের সমস্যার জন্য কাউকে এবং যেকোন কিছুকেই দোষারোপ করে।

• ক্ষতিকারক প্রোগ্রাম (ম্যালওয়্যার)। মোবাইল ম্যালওয়্যারের প্রথম দিকের কাজগুলির মধ্যে একটি ছিল আক্রমণকারীদের কাছে পাঠ্য বার্তাগুলিকে আটকানো এবং ফরওয়ার্ড করা। এছাড়াও, ম্যান-ইন-দ্য-ব্রাউজার এবং ম্যান-ইন-দ্য-মিডল অ্যাটাকগুলি সংক্রামিত ল্যাপটপ বা ডেস্কটপ ডিভাইসগুলিতে প্রবেশ করার সময় এক-কালীন পাসওয়ার্ডগুলিকে আটকাতে পারে।
  

  যখন আপনার স্মার্টফোনের Sberbank অ্যাপ্লিকেশন স্ট্যাটাস বারে একটি সবুজ আইকনকে ব্লিঙ্ক করে, তখন এটি আপনার ফোনে "ম্যালওয়্যার" খুঁজছে। এই ইভেন্টের উদ্দেশ্য হল একটি সাধারণ স্মার্টফোনের অবিশ্বস্ত এক্সিকিউশন এনভায়রনমেন্টকে অন্তত কোনো না কোনোভাবে বিশ্বস্ত করা।
  যাইহোক, একটি স্মার্টফোন, একেবারে অবিশ্বস্ত ডিভাইস হিসাবে যার উপর কিছু করা যেতে পারে, এটি ব্যবহারের আরেকটি কারণ শুধুমাত্র হার্ডওয়্যার টোকেনযেগুলি সুরক্ষিত এবং ভাইরাস এবং ট্রোজান বর্জিত।

• সামাজিক প্রকৌশলী. যখন স্ক্যামাররা জানতে পারে যে শিকারের কাছে এসএমএসের মাধ্যমে এককালীন পাসওয়ার্ড চালু আছে, তখন তারা শিকারের সাথে সরাসরি যোগাযোগ করতে পারে, তাদের ব্যাঙ্ক বা ক্রেডিট ইউনিয়নের মতো বিশ্বস্ত সত্তার ছদ্মবেশ ধারণ করে, ভিকটিমকে তারা এইমাত্র পাওয়া কোডটি প্রদান করার জন্য প্রতারণা করতে পারে।
  

  আমি ব্যক্তিগতভাবে অনেকবার এই ধরনের প্রতারণার সম্মুখীন হয়েছি, উদাহরণস্বরূপ, একটি জনপ্রিয় অনলাইন ফ্লি মার্কেটে কিছু বিক্রি করার চেষ্টা করার সময়। আমি নিজেই সেই প্রতারককে উপহাস করেছি যে আমার হৃদয়ের বিষয়বস্তুতে আমাকে বোকা বানানোর চেষ্টা করেছিল। কিন্তু আফসোস, আমি নিয়মিত খবরে পড়ি যে কীভাবে অন্য একজন স্ক্যামারের শিকার "চিন্তা করেনি", নিশ্চিতকরণ কোড রিপোর্ট করেছে এবং প্রচুর পরিমাণে হারিয়েছে। এবং এই সব কারণ ব্যাঙ্ক তাদের অ্যাপ্লিকেশনে ক্রিপ্টোগ্রাফিক টোকেন প্রবর্তনের সাথে জড়িত হতে চায় না। সর্বোপরি, যদি কিছু ঘটে থাকে তবে গ্রাহকরা "দায়িত্ব"।

যদিও এককালীন পাসওয়ার্ড প্রদানের বিকল্প পদ্ধতিগুলি এই প্রমাণীকরণ পদ্ধতিতে কিছু দুর্বলতা প্রশমিত করতে পারে, অন্যান্য দুর্বলতাগুলি রয়ে গেছে। স্বতন্ত্র কোড জেনারেশন অ্যাপ্লিকেশানগুলি ইভড্রপিংয়ের বিরুদ্ধে সর্বোত্তম প্রতিরক্ষা, কারণ এমনকি ম্যালওয়্যার কোড জেনারেটরের সাথে সরাসরি যোগাযোগ করতে প্রায় অক্ষম (গুরুত্ব সহকারে? প্রতিবেদনের লেখক রিমোট কন্ট্রোল সম্পর্কে ভুলে গেছেন?), কিন্তু ব্রাউজারে টাইপ করার সময় ওটিপি এখনও আটকানো যেতে পারে (যেমন একটি কীলগার ব্যবহার করা), একটি হ্যাক করা মোবাইল অ্যাপ্লিকেশনের মাধ্যমে; এবং সামাজিক প্রকৌশলের মাধ্যমে ব্যবহারকারীর কাছ থেকে সরাসরি প্রাপ্ত করা যেতে পারে।
একাধিক ঝুঁকি মূল্যায়ন সরঞ্জাম ব্যবহার করা যেমন ডিভাইস স্বীকৃতি (আইনি ব্যবহারকারীর অন্তর্গত নয় এমন ডিভাইসগুলি থেকে লেনদেন করার প্রচেষ্টার সনাক্তকরণ), ভূ-অবস্থান (একজন ব্যবহারকারী যিনি সবেমাত্র মস্কোতে এসেছেন তিনি নভোসিবিরস্ক থেকে একটি অপারেশন করার চেষ্টা করছেন) এবং আচরণগত বিশ্লেষণ, দুর্বলতাগুলিকে মোকাবেলা করতে অনেক দূর এগিয়ে যায়, কিন্তু কোন সমাধানই একটি প্যানেসিয়া নয়। প্রতিটি পরিস্থিতি এবং ডেটার প্রকারের জন্য, ঝুঁকিগুলি যত্ন সহকারে মূল্যায়ন করা এবং কোন প্রমাণীকরণ প্রযুক্তি ব্যবহার করা উচিত তা চয়ন করা প্রয়োজন৷

কোন প্রমাণীকরণ সমাধান একটি প্যানেসিয়া

চিত্র 2. প্রমাণীকরণ বিকল্পের সারণী

প্রমাণীকরণ	গুণক	বিবরণ	মূল দুর্বলতা
পাসওয়ার্ড বা পিন	জ্ঞান	একটি নির্দিষ্ট মান যাতে অক্ষর, সংখ্যা এবং অন্যান্য বিভিন্ন অক্ষর অন্তর্ভুক্ত থাকতে পারে	আটকানো, উঁকি দেওয়া, চুরি করা, তোলা বা হ্যাক করা যেতে পারে
জ্ঞান ভিত্তিক প্রমাণীকরণ	জ্ঞান	যে প্রশ্নগুলোর উত্তর শুধুমাত্র একজন আইনি ব্যবহারকারীই জানতে পারেন	সামাজিক প্রকৌশল পদ্ধতি ব্যবহার করে আটকানো, তোলা, প্রাপ্ত করা যেতে পারে
হার্ডওয়্যার ওটিপি (উদাহরণ)	দখল	একটি বিশেষ ডিভাইস যা এককালীন পাসওয়ার্ড তৈরি করে	কোডটি আটকানো এবং পুনরাবৃত্তি করা যেতে পারে বা ডিভাইসটি চুরি করা যেতে পারে
সফ্টওয়্যার ওটিপি	দখল	একটি অ্যাপ্লিকেশন (মোবাইল, ব্রাউজারের মাধ্যমে অ্যাক্সেসযোগ্য, বা ই-মেইলের মাধ্যমে কোড পাঠানো) যা এককালীন পাসওয়ার্ড তৈরি করে	কোডটি আটকানো এবং পুনরাবৃত্তি করা যেতে পারে বা ডিভাইসটি চুরি করা যেতে পারে
এসএমএস ওটিপি	দখল	এসএমএস পাঠ্য বার্তার মাধ্যমে এককালীন পাসওয়ার্ড বিতরণ করা হয়েছে	কোডটি আটকানো এবং পুনরাবৃত্তি করা যেতে পারে, বা স্মার্টফোন বা সিম কার্ড চুরি করা যেতে পারে, বা সিম কার্ডটি নকল করা যেতে পারে
স্মার্ট কার্ড (উদাহরণ)	দখল	একটি কার্ড যাতে একটি ক্রিপ্টোগ্রাফিক চিপ এবং সুরক্ষিত কী মেমরি থাকে যা প্রমাণীকরণের জন্য একটি পাবলিক কী অবকাঠামো ব্যবহার করে	শারীরিকভাবে চুরি হতে পারেকিন্তু আক্রমণকারী পিন কোড না জেনে ডিভাইস ব্যবহার করতে পারবে না; একাধিক ভুল ইনপুট প্রচেষ্টার ক্ষেত্রে, ডিভাইসটি ব্লক করা হবে)
নিরাপত্তা কী - টোকেন (উদাহরণ, আরেকটি উদাহরণ)	দখল	একটি USB ডিভাইস যাতে একটি ক্রিপ্টোগ্রাফিক চিপ এবং সুরক্ষিত কী মেমরি থাকে যা প্রমাণীকরণের জন্য একটি পাবলিক কী অবকাঠামো ব্যবহার করে	শারীরিকভাবে চুরি করা যেতে পারে (কিন্তু একজন আক্রমণকারী পিন কোড না জেনে ডিভাইসটি ব্যবহার করতে পারবে না; বেশ কয়েকটি ভুল ইনপুট প্রচেষ্টার ক্ষেত্রে, ডিভাইসটি ব্লক করা হবে)
একটি ডিভাইসে বাঁধাই	দখল	একটি প্রক্রিয়া যা একটি প্রোফাইল তৈরি করে, প্রায়শই জাভাস্ক্রিপ্ট ব্যবহার করে বা একটি নির্দিষ্ট ডিভাইস ব্যবহার করা হচ্ছে তা নিশ্চিত করতে কুকিজ এবং ফ্ল্যাশ শেয়ার্ড অবজেক্টের মতো মার্কার ব্যবহার করে	টোকেন চুরি করা যেতে পারে (কপি করা), এবং একটি বৈধ ডিভাইসের বৈশিষ্ট্যগুলি তাদের ডিভাইসে আক্রমণকারী দ্বারা অনুকরণ করা যেতে পারে
আচরণ	অসঙ্গতি	ব্যবহারকারী ডিভাইস বা প্রোগ্রামের সাথে কীভাবে ইন্টারঅ্যাক্ট করে তা বিশ্লেষণ করে	আচরণ অনুকরণ করা যেতে পারে
আঙ্গুলের ছাপ	অসঙ্গতি	সংরক্ষিত আঙ্গুলের ছাপগুলি অপটিক্যালি বা ইলেকট্রনিকভাবে পড়ার সাথে তুলনা করা হয়	ছবি চুরি এবং প্রমাণীকরণের জন্য ব্যবহার করা যেতে পারে
আই স্ক্যান	অসঙ্গতি	চোখের বৈশিষ্ট্যগুলি, যেমন পুতুলের আইরিসের প্যাটার্ন, অপটিক্যালি প্রাপ্ত নতুন স্ক্যানগুলির সাথে তুলনা করা হয়	ছবি চুরি এবং প্রমাণীকরণের জন্য ব্যবহার করা যেতে পারে
মুখ স্বীকৃতি	অসঙ্গতি	মুখের বৈশিষ্ট্যগুলি অপটিক্যাল উপায়ে প্রাপ্ত নতুন স্ক্যানগুলির সাথে তুলনা করা হয়	ছবি চুরি এবং প্রমাণীকরণের জন্য ব্যবহার করা যেতে পারে
ভয়েস স্বীকৃতি	অসঙ্গতি	রেকর্ড করা ভয়েস নমুনার বৈশিষ্ট্যগুলি নতুন নমুনার সাথে তুলনা করা হয়	এন্ট্রি চুরি করা যেতে পারে এবং প্রমাণীকরণের জন্য ব্যবহার করা যেতে পারে, বা অনুকরণ করা যেতে পারে

প্রকাশনার দ্বিতীয় অংশে, সবচেয়ে সুস্বাদু আমাদের জন্য অপেক্ষা করছে - পরিসংখ্যান এবং তথ্য যার উপর ভিত্তি করে প্রথম অংশে প্রদত্ত উপসংহার এবং সুপারিশগুলি। ব্যবহারকারীর অ্যাপ্লিকেশন এবং কর্পোরেট সিস্টেমে প্রমাণীকরণ আলাদাভাবে বিবেচনা করা হবে।

শীঘ্রই দেখা হবে!

উত্স: www.habr.com