মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA): নেটওয়ার্ক সিকিউরিটির কোর ডিফেন্স লেয়ার
MFA কী? (What is MFA?)
Multi-Factor Authentication (MFA) হলো একটি সিকিউরিটি মেকানিজম যেখানে ইউজারকে একাধিক ভেরিফিকেশন ফ্যাক্টর (২ বা তার বেশি) প্রদান করতে হয় তাদের পরিচয় প্রমাণ করতে। এটি সিঙ্গল ফ্যাক্টর (শুধু পাসওয়ার্ড) থেকে অনেক বেশি সিকিউর।
MFA-এর ৩টি প্রধান ফ্যাক্টর ক্যাটাগরি
| ফ্যাক্টর টাইপ | বর্ণনা | উদাহরণ |
|---|---|---|
| Something You Know (Knowledge) | যা ইউজার জানে | Password, PIN, Passphrase, Security Question Answer |
| Something You Have (Possession) | যা ইউজারের posesión-এ আছে | Smartphone (Authenticator App), Hardware Token (YubiKey), Smart Card, SMS/Email OTP, FIDO2 Security Key |
| Something You Are (Inherence) | ইউজারের বায়োমেট্রিক বৈশিষ্ট্য | Fingerprint, Face ID, Iris Scan, Voice Recognition, Behavioral Biometrics |
MFA = ২ বা তার বেশি ভিন্ন ক্যাটাগরির ফ্যাক্টর কম্বাইন করা। (উদাহরণ: Password + Authenticator App OTP = MFA। Password + Security Question =.Single Factor, কারণ দুটোই Knowledge)।
MFA কেন জরুরি? (Purpose & Benefits)
- ক্রেডেনশিয়াল চুরি নিরস্ত করে: ফিশিং, কিডেন্সিয়াল স্টাফিং, ব্রুট-ফোর্স, কী-লগার — পাসওয়ার্ড চুরি হলেেও অ্যাটাকার লগইন করতে পারবে না।
- Microsoft রিপোর্ট: MFA ৯৯.৯%+ অ্যাকাউন্ট কমপ্রোমাইজ রোধ করে।
- কমপ্লায়েন্স বাধ্যতামূলক: PCI-DSS Req 8.3, NIST 800-53 IA-2, HIPAA, GDPR, Cyber Insurance Requirements।
- রিমোট অ্যাক্সেস সিকিউর করে: VPN, RDP, SSH, Cloud Console, SaaS Apps — সবজায়গা MFA এনফোর্স করুন।
- প্রিভিলেজড অ্যাক্সেস (PAM): অ্যাডমিন একাউন্ট, রুট এক্সেস, ডেটাবেস অ্যাক্সেস — MFA বাধ্যতামূলক।
MFA-এর টাইপস ও সিকিউরিটি লেভেল
| MFA মেথড | সিকিউরিটি লেভেল | ফিশিং রেজিস্ট্যান্স | ইউজার এক্সপেরিয়েন্স |
|---|---|---|---|
| SMS/Email OTP | Low-Medium | Low (SIM Swap, SS7 Attack) | High (amiliar) |
| Authenticator App (TOTP) | High | Medium (Phishing Site-এ OTP দিতে পারে) | Good (Microsoft/Google Auth, Authy)য় |
| Push Notification (Number Matching) | High | High (User দেখে কোথায় লগইন হচ্ছে) | Excellent (Microsoft Authenticator, Duo, Okta Verify)য় |
| FIDO2/WebAuthn (Passkeys, YubiKey) | Very High (Phishing-Resistant) | Very High (Origin-bound, No Shared Secret) | Excellent (Passwordless Future)য় |
| Smart Card / PIV / CAC | Very High | High | Medium (Reader দরকার)য় |
MFA ইমপ্লিমেন্টেশন রোডম্যাপ (NIST 800-63B / CISA Guidance)
- Critical Systems First: VPN, Email (Office 365/Gmail), Cloud Console (AWS/Azure/GCP), IdP (Okta/Azure AD/Ping), PAM।
- Phishing-Resistant MFA優先: FIDO2 Security Keys (YubiKey), Passkeys, PIV/CAC — অ্যাডমিন/প্রিভিলেজড ইউজারদের জন্য।
- Conditional Access Policies: Risk-based MFA (Impossible Travel, Anonymous IP, Device Compliance, App Sensitivity)য়।
- User Enrollment Campaign: Communication, Training, Support, Grace Period, Enforcement Deadline।
- Break-glass / Emergency Access: ২-৩টি ব্রেক-গ্লাস অ্যাকাউন্ট (MFA-বর্জিত, স্ট্রং পাসওয়ার্ড, অডিটেড, সিকিউর ভল্টে)য়।
- Monitoring & Reporting: MFA Registration Rate, MFA Success/Failure Rate, MFA Bypass Attempts, Legacy Auth Blocking।
MFA vs 2FA (Two-Factor Authentication)
- 2FA: ঠিক ২ ফ্যাক্টর (সাবসেট অফ MFA)।
- MFA: ২ বা তার বেশি ফ্যাক্টর (ব্রডার টার্ম)। আধুনিক স্ট্যান্ডার্ডে MFA টার্মটি ব্যবহার করা হয়।
MFA বাইপাস আটাক ও প্রতিকার
- MFA Fatigue (Push Bombing): অটাকার বারবার পুশ পাঠায় → Number Matching / Rate Limiting / Account Lockout দিয়ে মিটিগেট।
- Adversary-in-the-Middle (AiTM): Evilginx2, Modlishka → FIDO2/WebAuthn (Origin-bound) দিয়ে প্রতিরোধ।
- Session Hijacking (Cookie Theft): MFA বাইপাস করে সেশন কুকি চুরি → Short Session Lifetime, Device Compliance, Token Binding।
- SIM Swapping: SMS OTP ইন্টারসেপ্ট → SMS OTP এড়িয়ে চলুন, Authenticator App/FIDO2 ব্যবহার করুন।
উপসংহার
MFA আর অপশনাল নয়—**এটি নেটওয়ার্ক সিকিউরিটির মিনিমাম বেসলাইন**। পাসওয়ার্ড একা যেকোনো দিন নিরাপদ নয়। ফিশিং-রেজিস্ট্যান্ট MFA (FIDO2, Passkeys, Number-Matching Push) বাস্তবায়ন করা আজকের সাইবার সিকিউরিটির সেরা ROI-দায়ক নিবেশ।
