OTP (One-Time Password) নেটওয়ার্ক সিকিউরিটিতে: কাজকর্ম, প্রকার ও সিকিউরিটি

OTP (One-Time Password) কী? নেটওয়ার্ক সিকিউরিটিতে ভূমিকা, প্রকার ও সেরা অনুশীলন

OTP কী? (One-Time Password)

OTP (One-Time Password) হলো একটি অটোমেটিক্যালি জেনারেটেড সংখ্যা বা অ্যালফানিউমেরিক স্ট্রিং যা শুধুমাত্র একবার লগইন বা ট্রানজ্যাকশনের জন্য ব্যবহারযোগ্য। এটি স্ট্যাটিক পাসওয়ার্ডের একটি শক্তিশালী সেকেন্ড ফ্যাক্টর (2FA/MFA) হিসেবে কাজ করে। OTP সাধারণত SMS, ভয়েস কল, পুশ নোটিফিকেশন, ইমেইল বা অথেন্টিকেটর অ্যাপ (Google Authenticator, Authy, Microsoft Authenticator) এর মাধ্যমে পাঠানো হয়।

OTP কীভাবে কাজ করে? (Technical Workflow)

1. ব্যবহারকারী ইউজারনেম/পাসওয়ার্ড দিয়ে লগইন চেষ্টা করে।
2. সার্ভার OTP জেনারেট করার অনুরোধ পাঠায় (ব্যাকএন্ডে)।
3. OTP জেনারেট হয় দুটি প্রধান অ্যালগরিদম দিয়ে:
   • HOTP (HMAC-based OTP - RFC 4226): কাউন্টার-ভিত্তিক। প্রতিটি রিকোয়েস্টে কাউন্টার বাড়ে। (যেমন: YubiKey OTP)।
   • TOTP (Time-based OTP - RFC 6238): টাইম-ভিত্তিক (সাধারণত ৩০ সেকেন্ড উইন্ডো)। বর্তমান Unix টাইম + শেয়ার্ড সিক্রেট দিয়ে HMAC-SHA1/SHA256/SHA512 ক্যালকুলেট করে। (Google Authenticator, Authy, Microsoft Authenticator এই পদ্ধতি ব্যবহার করে)।
4. OTP ব্যবহারকারীর রেজিস্টার্ড চ্যানেলে (SMS, Email, App, Voice) পাঠানো হয়।
5. ব্যবহারকারী OTP এন্টার করে।
6. সার্ভারareil OTP ভেরিফাই করে (সেম অ্যালগরিদম, সেম শেয়ার্ড সিক্রেট, সেম টাইম/কাউন্টার)। মিললে অ্যাক্সেস দেওয়া হয়।

OTP-এর প্রকারভেদ

OTP নেটওয়ার্ক সিকিউরিটিতে কেন গুরুত্বপূর্ণ?

• ক্রেডেনশিয়াল স্টাফিং/ফিশিং রোধ: পাসওয়ার্ড চুরি হলে ও OTP ছাড়া লগইন সম্ভব নয়।
• রিপ্লে আক্রমণ রোধ: OTP একবার ব্যবহার হলে ব্যর্থ হয়।
• MFA কম্প্লায়েন্স: PCI-DSS, NIST 800-63B, GDPR, PSD2 (SCA) - সকলেই MFA বাধ্যতামূলক করেছে।
• রিমোট অ্যাক্সেস সুরক্ষা: VPN, RDP, SSH, ক্লাউড কনসোলে OTP/2FA অনুবায়শক।

OTP-এর সিকিউরিটি লিমিটেশন (ঝুঁকি)

• ফিশিং (Real-time Phishing / Proxy): হ্যাকার ফেক লগইন পেজ দিয়ে ইউজার থেকে OTP নেয় এবং রিয়েল টাইমে রিয়াল সাইটে লগইন করে (Evilginx2, Modlishka টুলস)। সমাধান: FIDO2/WebAuthn (Passkeys), Push Notification with Number Matching।
• SMS ইন্টারসেপশন / SIM Swap: ক্যারিয়ার সপোর্ট সোশ্যাল ইঞ্জিনিয়ারিং দিয়ে SIM পোর্ট আউট। সমাধান: Authenticator App / Hardware Token ব্যবহার করুন।
• MFA Fatigue (Push Bombing): বারবার পুশ রিকোয়েস্ট পাঠিয়ে ব্যবহারকারীকে বিভ্রান্ত করে "Approve" করানো। সমাধান: Number Matching, Rate Limiting, Account Lockout।
• ম্যান-ইন-দ্য-মিডল (MitM): লোকাল নেটওয়ার্কে ARP স্পুফিং/র‍্যাগ AP দিয়ে OTP ইন্টারসেপ্ট (যদি TLS না থাকে)।
• টাইম সিঙ্ক সমস্যা (TOTP): সার্ভার/ক্লায়েন্ট ঘড়ি ড্রিফট করলে OTP মিসম্যাচ।

সেরা অনুশীলন (Best Practices)

1. SMS OTP এড়িয়ে Authenticator App (TOTP) বা Hardware Token (FIDO2) ব্যবহার করুন।
2. Push Notification-এ Number Matching এনেবল করুন (Microsoft Authenticator, Duo, Okta Verify-এ উপলব্ধ)।
3. ব্যাকআপ কোড সুরক্ষিত জায়গায় রাখুন (প্রিন্ট করে বা পাসওয়ার্ড ম্যানেজারে) - ডিভাইস হারালে কাজে আসবে।
4. রেট লিমিটিং ও অ্যাকাউন্ট লকআউট কনফিগার করুন (৫-১০ ব্যর্থ চেষ্টার পর)।
5. প্রিভিলেজড অ্যাকাউন্টের জন্য Hardware Token (YubiKey) বাধ্যতামূলক করুন।
6. OTP শেয়ার করবেন না (কোনো লেজিট সাপোর্ট OTP চাইবে না)।
7. সময় সিঙ্ক (NTP) নিশ্চিত করুন সার্ভার ও ক্লায়েন্ট দুটোই।

OTP বনাম Passkeys (FIDO2/WebAuthn) - ভবিষ্যত

Passkeys (FIDO2/WebAuthn) OTP-এর Nachfolger। এটি পাবলিক-কী ক্রিপ্টোগ্রাফি ব্যবহার করে, ফিশিং-প্রুফ, কোনো শেয়ার্ড সিক্রেট নেই, ডিভাইস-বাউন্ড (FaceID/TouchID/Windows Hello/YubiKey)। বড় টেক কোম্পানিগুলো (Apple, Google, Microsoft, Amazon) ইতিমধ্যে Passkeys রোল আউট করছে। OTP ধীরে ধীরে প্রতিস্থাপিত হবে।

সার্টিফিকেট অথরিটি (CA) কে হতে পারে এবং কীভাবে পাওয়া যায়?

নেটওয়ার্ক সিকিউরিটি নম্বর (Network Security Key) কী এবং কোথায় পাবেন?

• 5G
• নেটওয়ার্কিং
• ক্লাউড পরিষেবা
• ইন্টারনেট
• নেটওয়ার্ক নিরাপত্তা
• VPN
• WiFi