দুটি পাসওয়ার্ড অনুরোধ MFA নয়: VPN লগইন কী যাচাই করে

লগইন পাতা প্রথমে পাসওয়ার্ড চায়, তারপর দ্বিতীয় গোপন তথ্য, আর ডিপ্লয়মেন্টকে সঙ্গে সঙ্গে বহু-ফ্যাক্টর বলা শুরু হয়। কখনও তা সত্যিই হয়। বেশিরভাগ সময় এটি একই ফ্যাক্টর দুবার সংগ্রহ করা হয়, কারণ দুটি মানই সেই একই ব্যক্তির একই স্মৃতি বা একই নোট থেকে টাইপ করা জ্ঞান। শক্তিশালী টানেল সাইফার এটি বদলায় না, পণ্যের নামে থাকা „নিরাপদ“ শব্দও বদলায় না।

দাবিটিকে প্রক্রিয়া থেকে আলাদা করতে একটি প্রশ্নই লাগে: প্রতিটি ধাপ কী এবং কার কাছে প্রমাণ করে?

ফ্যাক্টর একটি প্রমাণ, ক্ষেত্র নয়

বহু-ফ্যাক্টর প্রমাণীকরণের অর্থ হলো একই অ্যাকাউন্টের জন্য একাধিক আলাদা ধরনের প্রমাণ যাচাই করা হয়: কিছু যা ব্যবহারকারী জানে, কিছু যা তার আছে, কিছু যা সে নিজে। দুটি ক্ষেত্র যারা দুটিই একটি মনে রাখা স্ট্রিং সংগ্রহ করে তারা একই ধরনের প্রমাণ যা দুবার চাওয়া হয়েছে। এটি উপকারী নিয়ন্ত্রণ হতে পারে, কারণ দুটি স্বাধীন গোপন তথ্য অনুমান করা একটির চেয়ে কঠিন, তবে এটি তা নয় যা শব্দটি বর্ণনা করে এবং ঝুঁকি মূল্যায়নে এটিকে তা হিসেবে গণনা করা উচিত নয়।

যাচাইয়ের দিকটি সংগ্রহের দিকটির মতোই গুরুত্বপূর্ণ। একটি ডিভাইসে তৈরি কোড সেই ডিভাইসের নিয়ন্ত্রণ তখনই প্রমাণ করে যখন সার্ভার এটি এই অ্যাকাউন্টে আবদ্ধ গোপন তথ্যের সঙ্গে মিলিয়ে দেখে এবং পুনরাবৃত্তি প্রত্যাখ্যান করে। সবার জন্য কাজ করা ভাগ করা কোড, সীমাহীন কোড, বা এমন ডিভাইসে অনুমোদিত অনুরোধ যা কখনও দেখায় না কী অনুমোদিত হচ্ছে — সবই লেবেলের ইঙ্গিতের চেয়ে দুর্বল।

তাই কেউ জিজ্ঞাসা করলে VPN-এ MFA আছে কি না, জিজ্ঞাসা করুন দ্বিতীয় ধাপটি কী প্রমাণ করে এবং সার্ভার তা কীভাবে আবদ্ধ করে। উত্তর যদি হয় „একই ডিরেক্টরি থেকে দ্বিতীয় পাসওয়ার্ড“, তাহলে আপনার কাছে একটি ফ্যাক্টর ও নীতি নিয়ে আলোচনা আছে, দ্বিতীয় ফ্যাক্টর নেই।

সার্টিফিকেটের বিষয়টি পড়তে হয়, ধরে নিতে নয়

ক্লায়েন্ট সার্টিফিকেটের সঙ্গে পাসওয়ার্ড দুটি ফ্যাক্টর মনে হয়, এবং তা হতে পারে: সার্টিফিকেট একটি ভাণ্ডার বা টোকেনে রাখা হয়, আর পাসওয়ার্ড মনে রাখা হয়। এটি একটি-ও হতে পারে, যদি সার্টিফিকেট ফাইলটি সংরক্ষিত পাসওয়ার্ডের সঙ্গে একই প্রোফাইল ডিরেক্টরিতে অসুরক্ষিত থাকে, বা যদি সার্টিফিকেট এমন ডিভাইসে ইস্যু করা হয় যা একাধিক ব্যক্তি ব্যক্তিগত জবাবদিহি ছাড়াই ভাগ করে।

যে প্রশ্নটি নিষ্পত্তি করতে হবে তা হলো সার্টিফিকেট কার বা কী পরিচয় দেয়। ডিভাইস সার্টিফিকেট প্রমাণ করে একটি পরিচালিত মেশিন উপস্থিত। ব্যবহারকারী সার্টিফিকেট একটি পরিচয় প্রমাণ করে। যদি ডিপ্লয়মেন্ট প্রতিটি ল্যাপটপের জন্য একটি সার্টিফিকেট ইস্যু করে এবং পরে তার উপস্থিতিকে ব্যক্তির প্রমাণ হিসেবে ধরে, তবে দ্বিতীয় ফ্যাক্টরটি নীরবে এমন হার্ডওয়্যারের বৈশিষ্ট্য হয়ে গেছে যা ল্যাপটপ হাতে রাখা যে কেউ উত্তরাধিকারে পায়।

এর কোনোটিই সার্টিফিকেটকে খারাপ ধারণা করে না। এটি ডিভাইস আশ্বাস ও ব্যবহারকারী আশ্বাসের মধ্যে পার্থক্যটিকে লিখে রাখার যোগ্য করে, কারণ দুটি ভিন্ন প্রশ্নের উত্তর দেয় এবং যে সম্মতি-পত্র তাদের এক হিসেবে গোনে তা কী সুরক্ষিত তা বাড়িয়ে বলবে।

গেটওয়েতে আস্থা ও ব্যবহারকারীতে আস্থা আলাদা সমস্যা

দ্বিতীয় ফ্যাক্টর এমন একটি এন্ডপয়েন্টে ক্রেডেনশিয়াল লেখা নিরাপদ করে না যা আপনি যাচাই করেননি। ক্লায়েন্টকে অভীষ্ট গেটওয়ে চিনতে হয়, এবং এজন্য সার্ভার সার্টিফিকেট ও ক্লায়েন্টের আস্থা কনফিগারেশন রয়েছে। ফিশিং লগইনকে আক্রমণকারীর নিয়ন্ত্রিত সার্ভারে সরিয়ে কাজ করে, আর সেখানে দেওয়া সঠিক এককালীন কোড বাস্তব সময়েই আসল সেবায় পাঠিয়ে দেওয়া হয়।

তাই পদ্ধতির পছন্দ অনুরোধের শব্দের চেয়ে বেশি ফলাফল বদলায়। একজন ব্যক্তির টাইপ করা কোড যে কেউ পাঠাতে পারে যে বিশ্বাসযোগ্য পাতা দেখাতে পারে, অন্যদিকে যে ক্রিপ্টোগ্রাফিক পদ্ধতি প্রমাণীকরণকে নির্দিষ্ট উৎস ও সেশনে আবদ্ধ করে তারা নিজের নকশাতেই এই পাঠানো প্রতিরোধ করে। আপনার কাছে এর কোনটি আছে তা পদ্ধতির বৈশিষ্ট্য, সংলাপের ধাপসংখ্যা নয়।

সরবরাহকারীর সমর্থিত নিবন্ধন ও ক্লায়েন্ট প্রবাহ অনুসরণ করুন, পাসওয়ার্ড ক্ষেত্রে বাড়তি অনুরোধ জোড়া দেওয়ার বদলে। ঘরে তৈরি দ্বিতীয় ধাপ সাধারণত মাঝখানে কোথাও নামে এবং ফ্যাক্টরকে অর্থবহ করে যে বন্ধন তা ছাড়াই ঘর্ষণ যোগ করে।

পুনরুদ্ধার দ্বিতীয় সামনের দরজা

প্রতিটি শক্তিশালী লগইনের প্রমাণক হারিয়ে গেলে ফেরার পথ থাকে, এবং এই পথটিই সাধারণত নকশার দুর্বলতম স্থান। যদি সহায়তা এজেন্ট কোনো নথিভুক্ত নম্বরে ফোনের পর দ্বিতীয় ফ্যাক্টর রিসেট করতে পারে, তবে আক্রমণকারীর সবচেয়ে সস্তা পথ লগইন পাতা নয়, সহায়তা ডেস্ক।

জিজ্ঞাসা করুন প্রতিস্থাপন কীভাবে কাজ করে, কে অনুমোদন করে এবং কী প্রমাণ চায়। তারপর যাচাই করুন ব্যাকআপ কোডের মতো পুনরুদ্ধার উপাদান প্রাথমিক ক্রেডেনশিয়াল থেকে আলাদা রাখা হয়, যাতে একটি লঙ্ঘন দুটিই তুলে না দেয়। NIST-এর ডিজিটাল পরিচয় নির্দেশিকা যাচাইকারীর বন্ধন ও প্রমাণকের জীবনচক্রকে প্রয়োজনের অংশ মনে করে, পরে ভাবা পরিচালনিক বিষয় নয়।

মূল্যায়নে কী লিখবেন

ফ্যাক্টরগুলিকে ধরন অনুসারে বর্ণনা করুন, প্রতিটি কী প্রমাণ করে তা নাম দিন এবং অ্যাকাউন্টের সঙ্গে তা কীভাবে আবদ্ধ তা উল্লেখ করুন। পদ্ধতিটি পাঠানো প্রতিরোধ করে কি না তা টুকে রাখুন, এবং পুনরুদ্ধার পথ লগইনের মতোই সতর্কতার সঙ্গে বর্ণনা করুন।

তারপর স্পষ্ট বলুন ডিপ্লয়মেন্ট সেই সংজ্ঞা অনুসারে বহু-ফ্যাক্টর কি না। „দুটি পাসওয়ার্ড ও একটি মেশিন সার্টিফিকেট“ একটি সৎ বাক্য, এবং এটি পাঠককে „হ্যাঁ“ বলা চেকবক্সের চেয়ে অনেক বেশি বলে।