ডেটা সিকিউরিটি ও গোপনীয়তা 점점 বুঝতে কঠিন হচ্ছে। আমরা কীভাবে নিশ্চিত হব যে আমরা যে মেসেজগুলো পাঠাচ্ছি সেগুলো ভুল হাতে না পড়েছে, এবং আপলোড করা ছবিগুলো মিসিউজ (misuse) হচ্ছে না?
ডেটা সিকিউরিটির লুপহোল (loopholes) এবং আমরা কীভাবে এগুলো এড়াতে পারি সেটি বুঝতে, MakeUseOf শান মারফির (Shaun Murphy) সাথে কথা বলল। মারফি একজন সাবেক সরকারি সিকিউরিটি কনসালটেন্ট এবং Sndr-এর ফাউন্ডার, একটি বিনামূল্যে মেসেজিং ও ফাইল-শেয়ারিং অ্যাপ যা তিনি দাবি করেন সবচেয়ে সাধারণ এনক্রিপ্টেড ডেটা ও অনলাইন সিকিউরিটির সমস্যা সমাধান করে।
ক্রিপ্টোগ্রাফি এবং এনক্রিপ্টেড ইমেইলের সমস্যা
আমরা প্রায় শুনি কীভাবে সরকার আমাদের ইমেইল পড়ছে এবং আমাদের সকল টেক্সট যোগাযোগ নিরাপদ নয়। সাধারণ সমাধান যেটি দেওয়া হয় সেটি হচ্ছে আপনার ইমেইল এনক্রিপ্ট করা। এই সমাধানগুলো ইমেইলের ওপর একটি লেয়ার হিসেবে কাজ করে, ক্রিপ্টোগ্রাফিক প্লাগইন (cryptographic plugins)-এর রূপে। কিন্তু, এটি সাধারণত একটি ব্যবহারিক সমাধান নয়।
"এটি আপনার প্রাপকদের ওপর দায়িত্ব ফেলায় যেন তারা একই প্লাগইন ব্যবহার করে, কিছু শেয়ার করা সিক্রেট কোড/কী এক্সচেঞ্জ করে আপনার মেসেজ পড়তে," মারফি বলেন। "এই লেয়ারগুলো যোগাযোগে এতটুকু ঘর্ষণ (friction) যোগ করে আপনার যেসব লোকের সাথে জানেন তাদের সাথে, যে লোকেরা একদম ছাড়ি দিয়ে দেয়।"
ক্রিপ্টোগ্রাফি, যাইহোক, ডেভেলপ করা কঠিন; লোকেদের ব্যবহার করতে রাজি করা কঠিন; এবং কোম্পানিগুলোর জন্য আপনার সকল মেসেজ ও ডেটা ডেটা মাইন (data mine) করার ক্ষমতা ত্যাগ করা খুব কঠিন, তিনি যোগ করেন।
"কেউ বা কোনো 엔্টিটি (entity) প্রাইভেট সিটিজেনের মেসেজ ও ডেটা অ্যাক্সেস করবেন না যা পাবলিক কনসাম্পশনের জন্য স্পষ্টভাবে ইচ্ছিত নয়। এবং সেটির জন্য আমাদের প্রেরক ও প্রাপকদের মধ্যে সব জায়গায়—ইমেইল, মেসেজিং, সোশ্যাল মিডিয়া, ফাইল শেয়ারিং—ক্রিপ্টোগ্রাফি সার্ভিসের ব্যাপক আনব、〝দত্ত গ্রহণ (wide adoption) দরকার। বিশ্ব জুড়ে ছড়িয়ে পড়া সার্ভারে এই জিনিসগুলো নিরাপদ না রেখে ঝুঁকিপূর্ণ। সেটিই Sndr আসে, সেটি সবকुठ এক জায়গায় রেখে।"
আপনার ইনবক্স সুরক্ষিত করার সেরা টিপ: ২এফএ (2FA)
মারফি টু-ফ্যাক্টর অথেন্টিকেশন (two-factor authentication - 2FA বা 2-স্টেপ ভেরিফিকেশন) সুপারিশ করেন আপনার ইনবক্স আক্রমণকারীদের থেকে সুরক্ষিত করার সবচেয়ে ভালো উপায় হিসেবে। ২এফএ একটি ডবল-স্টেপ সিকিউরিটি প্রোটোকল, অধিকাংশ প্রominant ওয়েব সার্ভিসের জন্য উপলব্ধ। আপনি পাসওয়ার্ড ইনপুট দিলে পর, সার্ভিস একটি দ্বিতীয় কোড পাঠায়, সাধারণত এসএমএস (SMS) দিয়ে, যাতে নিশ্চিত হয় সত্যিই আপনি।
"এটি একটি খুব শক্তিশালী প্রমাণীকরণ মেকানিজম (authentication mechanism) যেহেতু এতে কিছু কিছু আপনি জানেন (পাসওয়ার্ড) এবং কিছু কিছু আপনার پاسে আছে (মোবাইল ডিভাইস)—সাধারণত, দূরনীতির লক্ষ্যে কেউ উভয় একসাথে অ্যাক্সেস করবে না," মারফি বলেন। "প্রমাণীকরণ আপনার যোগাযোগ সুরক্ষিত করা শুরু করার জন্য অপরিহার্য। মনে রাখুন, কেউ আপনার ইমেইলে যদি ঢুকে পায়, তবে সে আপনার সকল অন্যান্য একাউন্ট রিসেট করতে পারবে সোশ্যাল মিডিয়া এবং অধিকাংশ অন্যান্য ওয়েবসাইটের 'reset my password' লিংক দিয়ে... ভয়ঙ্কর জিনিস!"
অফলাইন ইমেইল ক্লায়েন্ট ব্যবহার করুন, বিশেষ করে ভ্রমণের সময়
যেহেতু জিমেইল (Gmail) বা আউटलুক (Outlook) বা অন্যান্য ওয়েব-ভিত্তিক ইমেইল ক্লায়েন্ট এখন কতটুকু শক্তিশালী, আপনার কাছে হয়তো আউटलুক এক্সপ্রেস (Outlook Express) বা থান্ডারবার্ড (Thunderbird)-এর মতো অফলাইন ক্লায়েন্ট নেই। কিন্তু এটিই একটি ভুল, মারফির মতে। ওয়েব-ভিত্তিক জিমেইল বা আউटलুক ব্রাউজার থেকে অ্যাক্সেস করার বদলে অফলাইন ইমেইল ক্লায়েন্ট যেমন থান্ডারবার্ড ব্যবহার করার কিছু সুবিধা রয়েছে।
"আপনার কীস্ট্রোক (keystrokes) ক্যাপচার (capture) হবে না (যেমন সাম্প্রতিক কোনো সোশ্যাল মিডিয়া যোদ্ধা করা পকাওয়া গেল) আপনি আপনার মেসেজ টাইপ করার সময়," তিনি বলেন। "আপনার কাছে সময় থাকে আপনার মেসেজ ও কন্টেন্ট যেকোনো সংবেদনশীল তথ্যের জন্য রিভিউ করার জন্য যেন কোনো কানেক্টেড সার্ভিসে সাবমিট করার আগে। এবং আপনি আপনার সময় নিতে পারেন নিশ্চিত করতে একটি নিরাপদ নেটওয়ার্কের সাথে কানেক্ট হওয়ার জন্য।"
মারফি বিশেষ করে ভ্রমণের সময় অফলাইন ইমেইল ক্লায়েন্ট ব্যবহার করার পরামর্শ দেন। আপনি যখন আপনার বাসা বা অফিসের ওয়াই-ফাই নেটওয়ার্ক ব্যবহার করছেন না, আপনি নিশ্চিত হতে পারবেন না কতটুকু নিরাপদ। "আমি ভ্রমণের সময় অফলাইন ক্লায়েন্ট ব্যবহার করি শুধু এই সহজ কারণেই যে অধিকাংশ ওয়াই-ফাই অ্যাক্সেস পয়েন্ট নিরাপদ নয় এমনকি আপনি অনেক লেয়ার ব্যবহার করে সেটি রক্ষা করার চেষ্টা করলেও," মারফি বলেন।
পাসওয়ার্ড ৩০ ক্যারেক্টার বা তার বেশি বানান
XKCD-এর কমিক পাসওয়ার্ডের সিকিউরিটি রহস্য ঠিকই বুঝিয়েছে, মারফি বলেন। আপনি যত লম্বা এবং জটিল করবেন, কম্পিউটার অ্যালগরিদমের জন্য সেটি ক্র্যাক করা ততটুকু কঠিন হবে। তাই পাসওয়ার্ডের জন্য তার দুটি গোল্ডেন রুল (golden rules):
- ব্যবহারকারী সেটি মনে রাখতে পারবেন (লেখে রাখা ছাড়া)।
- সেটি যথেষ্ট জটিল হবে যাতে কম্পিউটার সহজে বের করতে না পারে।
জটিলতা অর্জন করা যায় স্পেশাল ক্যারেক্টার, ক্যাপিটালাইজড লেটার, নম্বর, ইত্যাদি দিয়ে, মারফি বলেন, একটি খুব শক্তিশালী পাসওয়ার্ডের উদাহরণ দিয়ে:
Ye8ufrUbruq@n=se
"এইটি রুল #১ লঙ্ঘন করে: আমাকে সেটি যেভাবে মনে রাখতে হবে। ভুলে যাও, আমি শুধু লিখে রাখব বা পাসওয়ার্ড ম্যানেজার প্রোগ্রামে রাখব... এবং সেটি সিকিউরিটির জন্য ততটুকু ভালো নয়," তিনি বলেন। "কি হবে যদি আমাদের একটি খুব লম্বা পাসওয়ার্ড হয় কিন্তু সেটি কিছুটা মেমোরেবল (memorable) হয়?" উদাহরণস্বরূপ:
TodayIsGoing2BeTheBestDayEver!
"মূল কথা হচ্ছে আমি সেটি মনে রাখতে পারি, এটি একটি লম্বা পাসফ্রেজ (passphrase) এবং এটি খুব জটিল এবং, কিছু স্ট্যান্ডার্ড অনুযায়ী, প্রথমটির চেয়ে বেশি সুরক্ষিত শুধু ক্যারেক্টার সংখ্যার কারণে।"
গুরুত্বপূর্ণ ডকুমেন্ট পিডিএফ (PDF) বা ৭-জিপ (7-Zip) ফাইল হিসেবে আট্যাচ করুন
ইমেইল প্রায়শ গুরুত্বপূর্ণ ফাইল ট্রান্সমিট করতে ব্যবহৃত হয়, ট্যাক্স রিটার্ন ইনফরমেশন থেকে সংবেদনশীল ছবি পর্যন্ত। যেহেতু ইমেইলের সিকিউরিটি ফ্লোইলরা ইতিমধ্যে জানি, আপনাকে এই ডকুমেন্টগুলোর বিষয়ে দ্বিগুণ নিশ্চিত হতে হবে। তাই প্রথম সেগুলো একটি এনক্রিপ্টেড, লক করা ফরম্যাটে রাখুন এবং তারপর ইমেইল করুন, মারফি বলেন।
- পিডিএফ (PDF)-এর মতো ডকুমেন্ট ফরম্যাট ব্যবহার করুন যা আপনাকে ডকুমেন্ট এনক্রিপ্ট করতে দেয় কমপক্ষে AES-256 কী (key) দিয়ে একটি বিশাল পাসওয়ার্ড (৩০+ ক্যারেক্টার) সহ যা ফাইল খোলার জন্য প্রয়োজন হবে, এবং আরও প্রাপককে প্রিন্ট করা, টেক্সট সিলেক্ট করা, ইত্যাদি থেকে বাধা দিন। এটি ভালো কারণ অধিকাংশ মানুষের পিডিএফ ভিউয়ার (PDF viewer) থাকে।
- এমন একটি কন্টেইনার ফরম্যাট ব্যবহার করুন যা কমপক্ষে AES-256 কী এবং বিশাল পাসওয়ার্ড (৩০+ ক্যারেক্টার) এনক্রিপশন দেয় ডেটার। ৭জিপ (7Zip) একটি ভালো ওপেন-সোর্স, এনক্রিপশন প্রোগ্রাম যা সিকিউরিটিতে সত্যিকারের দিক থেকে прилиক্তি ভালো দেখা গেছে কিন্তু ব্যাপকভাবে অডিট (audited) হয়নি। কিন্তু আবার, অন্য ব্যক্তির পাশেও সফ্টওয়্যার থাকতে হবে।
উপরের এক (বা দুটো) অপশন করার পর, আপনি সে ফাইলটি বিনা চিন্তা পাঠাতে পারবেন।
এই পদ্ধতিতেও আপনাকে সেই পাসওয়ার্ড অন্য ব্যক্তির কাছে পাঠাতে হবে। নিরাপত্তার জন্য, মারফি সুপারিশ করেন সেটাকে কল করুন এবং পাসওয়ার্ড বোলুন মুখস্থ; কোথাও লিখে রাখবেন না। এবং ৩০-ক্যারেক্টার পাসওয়ার্ড ট্রিকের নীতিগুলো ব্যবহার করুন যাতে সেটি মেমোরেবল ও সুরক্ষিত হয়।
পিসি (PC) ও ফোনের সিকিউরিটি রিস্ক আলাদা
যেহেতু আমাদের স্মার্টফোন ধীরে ধীরে আমাদের পিসিকে রিপ্লেস (replace) করছে, আপনি সিকিউরিটি প্র্যাক্টিসের ক্ষেত্রে তাদের একই ধরনের ডিভাইস হিসেবে বर्तাব করতে পারবেন না। ঝুঁকিগুলো আলাদা, এবং তাই আপনাকে সমস্যাটি ভিন্নভাবে সমাধান করতে হবে। মারফি কীভাবে ঝুঁকিগুলো আলাদা করে সেটি দেখান:
পিসির ঝুঁকি (Risks for PCs): একটি পিসি সাধারণত প্রোগ্রামগুলাকে যাচ্ছে যাচ্ছে করতে দেয়া সেট আপ থাকে কিছু হট আইটেম (নেটওয়ার্ক সার্ভার হিসেবে কাজ করা, সিস্টেম বা অন্য ইউজার ফাইল অ্যাক্সেস করা, ইত্যাদি) বাদে। আজকের পিসিতে হুমকি شامل র্যানসমওয়্যার (ransomware)—একটি প্রোগ্রাম যা আপনার প্রয়োজনীয় সকল ফাইল এনক্রিপ্ট করে এবং আপনাকে টাকা দিতে বাধ্য করে আনলক (unlock) করার জন্য—কিন্তু বড় হুমকি হচ্ছে সাইলেন্ট (silent) জিনিসগুলো। কিছু সফ্টওয়্যার প্রোগ্রাম আপনার কম্পিউটারে বসে থাকে, নেটওয়ার্ক ক্রল (crawl) করে জুসি (juicy) জিনিস খুঁজে বের করে এবং সাইলেন্টলি সেসব ফাইল বিদেশে ট্রান্সমিট করে।
ফোনের ঝুঁকি (Risks for Phones): একটি ফোনের সিকিউরিটি ইস্যুগুলো সাধারণত পিসির চেয়ে বেশি সীমাবদ্ধ কারণ ফোন প্রোগ্রামগুলাকে যাচ্ছে যাচ্ছে করার জন্য সেট আপ করা থাকে না। যাইহোক, অন্যান্য সমস্যা রয়েছে। ফোন সাধারণত জানে আপনি কোথায় আছেন সেল ফোন টাওয়ার (cell phone tower) যেটির সাথে সংযুক্ত, যেকোনো নিকটবর্তী ওয়াই-ফাই, এবং আপনার যদি জিপিএস মডিউল অন (turned on) থাকে। ডাউনলোড করা অ্যাপগুলো হয়তো অনেক বেশি পারমিশন রাখে এবং হয়তো আপনার বিষয়ে অনেক বেশি তথ্য ক্যাপচার করছে (যেমন আপনার কন্ট্যাক্ট লিস্ট অ্যাক্সেস করে সকলকে কোথাও এক সার্ভারে আপলোড করছে)।
মারফির টিপ: আপনার ফোন এনক্রিপ্ট করুন। অ্যান্ড্রয়েডে আপনাকে এক্সপ্লিসিটলি (explicitly) ফোনের সেটিংসে এটি করতে হবে। লেটেস্ট আইফোন (latest iPhones) পাসওয়ার্ড থাকলে এইভাবে শিপ করে। এখানে কীভাবে করবেন।
এছাড়া, সেল ফোনকে সেল টাওয়ারের সাথে যোগাযোগ করানোর আসল প্রযুক্তি সাধারণত একটি ব্ল্যাক বক্স (black box) যা সিকিউরিটি কমিউনিটি এর অভ্যন্তরীণ কাজকর্মে বেশি ভিজিবিলিটি (visibility) পায় না। কি এটি রিমোটলি আপনার ফোন কন্ট্রোল করতে পারে, অন করতে পারে বা এর ক্যামেরা এক্টিভেট করতে পারে?
মারফির টিপ: লগ-ইনের জন্য পাসফ্রেজ (passphrase) ব্যবহার করুন। একটি সিম্পল ৪-ডিজিট পিন (pin) যথেষ্ট নয়, ৬-ডিজিট পিন ভালো, পাসফ্রেজ সেরা। এবং প্যাটার্ন লক (pattern locks) প্রশ্নের বাইরে। ফিঙ্গারপ্রিন্ট স্ক্যানার (fingerprint scanners) ভালো হচ্ছে কিন্তু সেগুলো পাসওয়ার্ডের ভালো রিপ্লেসমেন্ট (replacement) নয়। ফিঙ্গারপ্রিন্ট এবং অন্যান্য বায়োমেট্রিক্স (biometrics) ইউজারনেম (username) রিপ্লেস করার জন্য পাসওয়ার্ডের চেয়ে উপযুক্ত যেহেতু পাসওয়ার্ড হওয়া উচিত কিছু যা আপনি জেনে। সেটيصহ, ফোন আনলকের জন্য ফিঙ্গারপ্রিন্ট স্ক্যানার কিছুই না থেকে ভালো।
শেষে, ফোনের আকার ছোট হওয়ায় এটি চুরি হওয়ার সম্ভাবনা বেশি। এবং যেহেতু সকল একাউন্ট লগ-ইন করা থাকে, চোরকে শুধু পাসওয়ার্ড রিসেট করে আপনাকে লক আউট (lock out) করতে হবে।
মারফির টিপ: রিমোট ডিভাইস ম্যানেজমেন্ট অন করুন (Turn on remote device management)। অ্যাপল (Apple) ব্যবহারকারীদের জন্য Find My iPhone এবং অ্যান্ড্রয়েডের জন্য Device Manager। এটি আপনাকে রিমোটলি সংবেদনশীল ডেটা আপনার ডিভাইস থেকে 와ইপ (wipe) করতে দেবে যদি চুরি হয়।
সাইটগুলোর জন্য গুগল/ফেসবুক লগ-ইন কখন ব্যবহার করবেন
অনেক সাইট আপনাকে আপনার সোশ্যাল একাউন্ট ব্যবহার করে সাইন-ইন করার জন্য বলে। আপনি কি করবেন?
"এটা সম্পূর্ণরূপে নির্ভর করে এবং সাইটটি আপনার ইনফরমেশনের জন্য কতটুকু অ্যাক্সেস চায়," মারফি বলেন। "যদি সাইটটি শুধু আপনাকে প্রমাণীকরণ করতে চায় যাতে আপনি কমেন্ট করতে পারেন, তাদের সার্ভিস চেষ্টা করতে পারেন, ইত্যাদি এবং তারা আপনার আইডেন্টিটি চায়, তবে সেটি সম্ভবত ঠিক আছে।"
"যদি তারা সব ধরনের পারমিশন চায়—আপনার নেটওয়ার্কে পোস্ট করা, আপনার পক্ষ থেকে মেসেজ পাঠানো, আপনার কন্ট্যাক্ট অ্যাক্সেস করা? সতর্ক থাকুন!"
আপনি কোন সার্ভিসগুলো ব্যবহার করবেন?
এই সব করার শেষে, আপনি হয়তো চিন্তা করছেন অনেক জনপ্রিয় সার্ভিসের মধ্যে কোনগুলো ব্যবহার করলে আপনি আপনার সিকিউরিটির प्रति আশ্বস্ত থাকতে পারবেন। জিমেইল নিরাপদ? ড্রপবক্সে (Dropbox) ডেটা স্টোর করা উচিত? সিকিউরিটি-ফোকাস্ড সার্ভিসগুলো কেমন?
মারফি বর্তমান কোনো ক্লাউড অ্যাপ রিকমেন্ড (recommend) করেন না। জনপ্রিয়, সুবিধাজনক এবং সহজ সার্ভিসগুলো আসল গোপনীয়তা ও সিকিউরিটির অভাব রয়েছে, তিনি বলেন, আর যেসব আসল গোপনীয়তা ও সিকিউরিটি দেয় সেগুলো ব্যবহার করা জটিল এবং 앞서োক্ত ঘর্ষণ (friction) খুব বেশি।
তাহলে মারফির সুপারিশগুলো কী?
ইমেইলের জন্য: "ইমেইল সর্ট অফ একটি হারানকার কারণ (lost cause)। এমনকি আপনার সবচেয়ে সিকিউর প্রোভাইডার থাকলেও, আপনার প্রাপকরা সবসময় স্লacée লিংক (weak link) থাকবে।"
ক্লাউড স্টোরেজের জন্য: "সেরা হচ্ছে একটি সার্ভার যা আপনি কন্ট্রোল করেন, ফাইলসিস্টেম লেভেলে লক ডাউন (lock down) করতে পারেন, এবং নিশ্চিত করতে পারেন প্রতিটি ফাইল একটি ইউনিক কী (unique key) দিয়ে প্রতি ফাইল বেসিসে এনক্রিপ্টেড।"
অফিস সুটের জন্য: "আপনি এখনও অফলাইন অফিস টুল কিনতে পারেন বা ওপেন সোর্স অপশন ব্যবহার করতে পারেন। রিয়েল-টাইম колাবোরেশন (real-time collaboration) আঘাত পায় কিন্তু কিছু সিকিউর/ওপেন সোর্স সমাধান সেটি জন্য আসতে শুরু করল।"
ছবির জন্য: "আমি পুরনো পদ্ধতিতে এই কাজ করি, আমার বাসার একটি ডিভাইসের সাথে কানেক্ট করি, আমার ডিভাইস থেকে ছবি ট্রান্সফার করি একটি লং-টার্ম স্টোরেজ ড্রাইভে (ফ্ল্যাশ নয়, ডেটা একাধিক বছর প্লাগ-ইন ছাড়া সার্বাইভ করবে না) এবং একটি অটোমেটেড প্রোগ্রাম এনক্রিপ্ট করে আপলোড করে একটি সার্ভারে যা আমি কন্ট্রোল করি। এটি সুবিধাজনক নয়, কিন্তু এটি নিরাপদ, শুধু চোখে না পড়ানোর জন্য নয় বরং সেই সার্ভিসগুলো থেকে যারা কয়েক মাস বা বছর পরে বন্ধ হয়ে যায়।"
শানকে জিজ্ঞেস করুন (Ask Shaun!)
আপনার ডেটা সিকিউরিটি নিয়ে কোয়েকো সন্দেহ আছে? হয়তো Sndr কীভাবে সেই সমস্যাগুলো সমাধান করতে পারে সেটি নিয়ে প্রশ্ন আছে? কমেন্টে আপনার প্রশ্ন দিন, আমরা শানকে মতামত জানাতে বলব!
