অথেনটিকেটর আইকন ভুল? লোগো কেন কিছুই প্রমাণ করে না

ব্র্যান্ড লোগোর জায়গায় ধূসর চৌকো দেখতে উদ্বেগজনক লাগে, কিন্তু সেগুলোই ভুল জিনিস যার উপর প্রতিক্রিয়া জানানো উচিত। একটি অথেনটিকেটর যে ছবি আঁকে তা এন্ট্রির লেবেল থেকে নেওয়া একটি প্রদর্শন বিবরণ, অন্যদিকে নিরাপত্তার প্রশ্ন হলো সেই এন্ট্রির ভেতরের গোপন তথ্য আপনার অ্যাকাউন্টের কি না। এই দুটিকে আলাদা রাখাই একটি কসমেটিক মেরামত আর একটি ক্রেডেনশিয়াল ঘটনার মধ্যে পার্থক্য গড়ে দেয়। এটি সেই মেরামতও আটকায় যা পরিস্থিতি আরও খারাপ করে।

আইকন ও গোপন তথ্য ভিন্ন প্রশ্নের উত্তর দেয়

একটি অথেনটিকেটর এন্ট্রি তৈরি হয় একটি কী URI থেকে, যা একটি ভাগ করা গোপন তথ্যের সঙ্গে অ্যাকাউন্ট লেবেল ও ইস্যুয়ারের নাম বহন করে। অ্যাপটি যে ইস্যুয়ারকে চেনে তার লোগো আঁকে, আর অচেনা বা পরিবর্তিত ইস্যুয়ার শুধু একটি সাধারণ ছবি তৈরি করে। সেই উপস্থাপনা থেকে আপনি জানতে পারেন না আর কে গোপন তথ্যের কপি রাখে, আর সঠিক লোগো থেকেও জানতে পারেন না যে এন্ট্রিটি কেবল আপনারই। প্রদর্শনটিকে লেবেল সম্পর্কে একটি ইঙ্গিত হিসেবে পড়ুন, সংরক্ষণ সম্পর্কে বিবৃতি হিসেবে নয়।

উল্টোটাও সত্য, এবং সেটিই বেশি বিপজ্জনক দিক। বিশ্বাসযোগ্য লোগো অনুপস্থিত লোগোর চেয়েও কম প্রমাণ করে।

ছবি ঠিক করতে কখনও পুনরায় এনরোল করবেন না

অনলাইনে যে মেরামত ঘুরে বেড়ায় তা হলো QR কোড আবার তৈরি করা, যার অর্থ গোপন তথ্য রপ্তানি করে অন্য একটি টুলের মধ্য দিয়ে পাঠানো। এটি একটি প্রদর্শন সমস্যাকে প্রকাশে পরিণত করে, কারণ রপ্তানিতে ঠিক সেই উপাদানই থাকে যা একজন আক্রমণকারীর বৈধ কোড তৈরির জন্য দরকার। এটি একটি ওয়েব জেনারেটরে আপলোড করা আরও সুন্দর আইকনের বিনিময়ে দ্বিতীয় ফ্যাক্টরটি তৃতীয় পক্ষের হাতে তুলে দেয়।

যদি অ্যাকাউন্ট এখনও কোড যাচাই করে, তবে এনরোলমেন্ট অক্ষত এবং প্রদর্শনটি কসমেটিক। ইস্যুয়ার লেবেল ও আইকন লুকআপ সম্পর্কে অথেনটিকেটরের নিজস্ব ডকুমেন্টেশন দেখুন এবং এন্ট্রিটি অপরিবর্তিত রাখুন। লোগো জোর করতে লেবেল সম্পাদনা করা হলো এমন একটি কারণে এন্ট্রিতে পরিবর্তন যা অথেনটিকেশনের সঙ্গে কোনো সম্পর্ক রাখে না।

মূল QR ছবি, কাঁচা কী URI এবং যেকোনো ম্যানুয়াল গোপন তথ্য টিকিট, চ্যাট থ্রেড, স্ক্রিনশট ও পাবলিক ইস্যু ট্র্যাকার থেকে দূরে রাখুন। সেটআপ পৃষ্ঠার একটি স্ক্রিনশটে প্রায়ই যিনি নিয়েছেন তিনি যা ভেবেছিলেন তার চেয়ে বেশি কিছু থাকে।

যখন গোপন তথ্য সত্যিই প্রকাশিত হয়েছে

প্রকাশকে আলাদা ঘটনা হিসেবে দেখুন, যার নিজস্ব প্রতিক্রিয়া আছে। নতুন অথেনটিকেটর এনরোল করতে পরিষেবার সমর্থিত প্রতিস্থাপন প্রক্রিয়া ব্যবহার করুন, নিশ্চিত করুন যে নতুন এন্ট্রি গৃহীত কোড তৈরি করে, এবং সার্ভারে পুরোনো এনরোলমেন্ট প্রত্যাহার করুন। স্থানীয়ভাবে এন্ট্রি মুছে ফেলা সার্ভার-সাইড নিবন্ধন সরায় না, তাই প্রকাশিত গোপন তথ্য পরিষেবাকে অন্যভাবে না জানানো পর্যন্ত কাজ চালিয়ে যেতে পারে। স্থানীয় মুছে ফেলা ও সার্ভারের অবস্থার মধ্যে এই ফাঁকেই বেশিরভাগ ঝুঁকি থাকে।

এখানে ক্রম গুরুত্বপূর্ণ। প্রথমে প্রতিস্থাপনটি এনরোল করুন, যাচাই করুন, তারপরই পুরোনোটি সরান, কারণ শেষ ফ্যাক্টরটি হারিয়ে গেলে বেশিরভাগ পরিষেবা আপনাকে লক আউট করবে। রিকভারি কোডও এই ক্রমের অন্তর্ভুক্ত, কারণ ফোন না থাকলে সেগুলোই বিকল্প পথ।

একই গোপন তথ্য অন্য কোথাও ব্যবহার হয়েছে কি না দেখুন। জেনারেটরে পেস্ট করা একটি কী URI আপনার নিয়ন্ত্রণ ছেড়ে গেছে, এবং এর পেছনের অ্যাকাউন্টটিকে নিবন্ধন প্রতিস্থাপিত হওয়া পর্যন্ত ভাগ করা হিসেবে ধরতে হবে।

সহায়তা অনুরোধে কোড বা সেটআপ উপাদান না দিয়ে কেবল দৃশ্যমান সমস্যাটি বর্ণনা করা উচিত। অ্যাকাউন্ট-সংক্রান্ত সব কিছু প্রদানকারীর যাচাইকৃত চ্যানেলে যাবে, পাবলিক থ্রেডে নয়।

মুছে ফেলার আগে পুনরুদ্ধারের পথ রাখুন

কোনো কাজ করা এন্ট্রি সরানোর আগে নিশ্চিত করুন যে একটি অনুমোদিত পুনরুদ্ধার পথ আছে এবং আপনি তা ব্যবহার করতে পারেন। লক আউটে শেষ হওয়া কসমেটিক মেরামত ভুল লোগোর চেয়েও খারাপ ফল, আর একমাত্র এনরোল করা ডিভাইসটিই যখন সম্পাদনা করা হয় তখন লক আউট সাধারণ ব্যাপার।

গ্রহণের শর্ত সংকীর্ণ: অ্যাকাউন্ট ও অথেনটিকেটরের মধ্যে যাচাইকৃত সম্পর্ক, এবং এনরোলমেন্ট উপাদান ব্যক্তিগতভাবে রাখা। পরিচিত ব্যাজ এই শর্তের অংশ নয়, এবং এর অনুপস্থিতি আপসের প্রমাণ নয়।

কী URI ফরম্যাটটি Google Authenticator কী URI স্পেসিফিকেশন-এ নথিভুক্ত, যা এও মনে করিয়ে দেয় যে পেলোডে লোগো নয়, গোপন তথ্য থাকে। যে এন্ট্রি হারানোর সামর্থ্য আপনার নেই, তা থেকে কিছু রপ্তানি করার আগে এটি পড়ুন।