পাবলিক VPN পাসওয়ার্ড: কেন এটি আপনার ইমেইলের পাসওয়ার্ড হওয়া উচিত নয়

পাবলিক VPN ডিরেক্টরির প্রোফাইলগুলোতে একটি সার্ভার, একটি ব্যবহারকারীনাম ও একটি পাসওয়ার্ড তালিকাভুক্ত থাকে যা হাজারো অন্য মানুষেরও আছে, আর প্রলোভন হলো মনে রাখার মতো কিছু টাইপ করা। সেই প্রবৃত্তিই সমস্যা: মানটি ব্যক্তিগত গোপনীয়তা নয়, আর আপনি যেসব কাজে এটি পুনরায় ব্যবহার করেন সেগুলোও প্রকাশ্য হয়ে যায়। প্রকাশিত লগইনকে একটি পাবলিক সেবার ভাগ করা চাবি হিসেবে ধরুন, আর আপনাকে শনাক্ত করে এমন প্রতিটি অ্যাকাউন্টকে সম্পূর্ণ ভিন্ন শ্রেণি হিসেবে। এই বিচ্ছেদ বজায় রাখা সহজ, যেদিন এটি গুরুত্বপূর্ণ হয় সেদিন পর্যন্ত।

ক্রেডেনশিয়াল আসলে কী

পাবলিক VPN ডিরেক্টরিতে প্রকাশিত লগইন হলো অপারেটর ও পৃষ্ঠাটি পড়া যে কেউ, এর মধ্যে অ্যাক্সেসের একটি ব্যবস্থা। এটি একজন ব্যক্তির বদলে একটি ভাগ করা সেবা-অ্যাকাউন্ট শনাক্ত করতে পারে, এবং অপারেটর গেটওয়েতে সংযোগটি পর্যবেক্ষণ করতে পারে।

শেষ কথাটি বিশেষ জোর দাবি করে: যে কেউ একটি টানেল শেষ করে, সে তাতে ঢোকা ও বেরোনো ট্রাফিক দেখে, এবং যে পাসওয়ার্ড এটি খুলেছে তা ধরে রাখে। একটি মেইল অ্যাকাউন্টের জন্য মান পুনরায় ব্যবহার করলে অপারেটর এমন একটি অ্যাকাউন্ট সম্পর্কে কিছু জেনে যায় যা তাদের কখনোই অনুমান করার কথা ছিল না। ভাগ করা পাসওয়ার্ড কোনো অর্থবহ অর্থে গোপনীয়তা নয়, কারণ অনেক মানুষ এটি ধরে রাখে। শ্রেণিগুলো আলাদা: একটি পাবলিক অ্যাক্সেস গোপনীয়তা, একটি ব্যক্তিগত অ্যাকাউন্ট পাসওয়ার্ড, একটি ক্লায়েন্ট সার্টিফিকেট এবং একটি পিয়ার কী, প্রতিটি ভিন্ন প্রশ্নের উত্তর দেয়।

পুনরায় ব্যবহার একটি জানা মান, দুর্বল মান নয়

পাসওয়ার্ড শক্তির নির্দেশনা সাধারণত দৈর্ঘ্য ও অনন্যতার ওপর জোর দেয়, আর পুনরায় ব্যবহার ঠিক সেই অনন্যতাই নষ্ট করে। দুই জায়গায় ব্যবহৃত একটি দীর্ঘ পাসওয়ার্ড, যেকোনো এক জায়গা ফাঁস হলেই উভয় জায়গায় একটি জানা মান হয়ে যায়।

ক্রেডেনশিয়াল স্টাফিং এই ওভারল্যাপের ওপর নির্ভর করে, আর পাবলিক ডিরেক্টরি জোড়ার প্রথম অর্ধেকটি যে কারোর জন্য বিনামূল্যে করে দেয়। প্রতি সেবার জন্য আলাদা মান তৈরি করলে আরও মনে রাখার মতো কিছু না চেয়েই এই সুবিধাটি চলে যায়। দৈর্ঘ্য কখনোই এমন একটি মানের ক্ষতিপূরণ দেয় না যা ইতিমধ্যে একটি পাবলিক পৃষ্ঠায় ছাপা আছে।

পাসওয়ার্ড যদি ইতিমধ্যে পুনরায় ব্যবহৃত হয়ে থাকে

অসম্পর্কিত অ্যাকাউন্টটি তার যাচাইকৃত পুনরুদ্ধার প্রক্রিয়ার মাধ্যমে পরিবর্তন করুন, তারপর এর সক্রিয় সেশন ও পুনরুদ্ধার সেটিংস পর্যালোচনা করুন, কারণ একটি পুরনো সেশন জীবিত রেখে দেওয়া রিসেট কাজটি শেষ করেনি। ভুলটি প্রদর্শন করতে পাসওয়ার্ড VPN সহায়তায় পাঠাবেন না। যেখানে বহু-ফ্যাক্টর প্রমাণীকরণ পাওয়া যায়, সেখানে এটি চালু করুন, কারণ এটি ফাঁস হওয়া পাসওয়ার্ডও টিকে থাকে।

অপারেটর যে প্রক্রিয়াই নথিভুক্ত করুক, সেই প্রক্রিয়ায় VPN ক্রেডেনশিয়াল ঘুরান, এবং মনে রাখুন এটি আপনার নিজের অ্যাকাউন্ট বদলানোর থেকে আলাদা কাজ। দুটি পরিবর্তন একই টিকিটে রাখুন যাতে কেউ না ভাবে একটি অন্যটিকে ঢেকে দিয়েছে।

যদি পাসওয়ার্ডের বদলে একটি ব্যক্তিগত ক্লায়েন্ট কী প্রকাশ পায়, তবে প্রতিকার হলো বাতিলকরণ। ইমেইল পাসওয়ার্ড বদলালে কপি করা কী মুছে যায় না।

ঘোরানোর আগে ক্রেডেনশিয়ালের ধরন যাচাই করুন

কিছু তৈরি করার আগে ক্ষেত্রটি আসলে কী আশা করে তা শনাক্ত করুন। পোর্টাল রুম কোড, পিয়ার কী ও পাসওয়ার্ড পরস্পর বিনিময়যোগ্য নয়, আর ভুলটি ঘোরালে প্রকাশটি জায়গাতেই থেকে যায়।

python3 -c 'import secrets; print(secrets.token_urlsafe(24))'
gpg --gen-random --armor 2 32
pass generate work/mail 24

তৈরি করা মানগুলো নোটের বদলে একটি পাসওয়ার্ড ম্যানেজারে সংরক্ষণ করুন, যাতে আলাদা এন্ট্রিগুলো ব্যবহারযোগ্য থাকে। তারপর পুরনোটি ফেলে দেওয়ার আগে নিশ্চিত করুন নতুন মানটি কাজ করে, এবং দুটি ঘটনাই একই টিকিটে রাখুন।

পুরনো লগইন ব্যবহার করা যেকোনো শেয়ার্ড ইনস্টলেশনে সংরক্ষিত ক্রেডেনশিয়াল পরিষ্কার করে শেষ করুন। সার্ভার থেকে সরানো ক্রেডেনশিয়ালও একটি ফাঁস, যদি কোনো ডিভাইস ক্যাশে করা কপি দিয়ে পুনরায় সংযোগ করতে থাকে।