পাসকি সহ FIDO প্রমাণীকরণ

ভূমিকা

FIDO (ফাস্ট আইডেন্টিটি অনলাইন) প্রমাণীকরণ মান ব্যবহারকারীদের ওয়েবসাইট এবং অ্যাপ্লিকেশন অ্যাক্সেস করার জন্য একটি দ্রুত এবং নিরাপদ প্রমাণীকরণ প্রক্রিয়া সংজ্ঞায়িত করে।

FIDO অ্যালায়েন্স , বিভিন্ন সংস্থার প্রতিনিধিদের সাথে, উন্মুক্ত এবং মাপযোগ্য প্রযুক্তিগত বৈশিষ্ট্যগুলি বিকাশ করে যা লোকেদের একটি সাধারণ প্রোটোকলের মাধ্যমে ওয়েবসাইট এবং অ্যাপগুলি অ্যাক্সেস করতে দেয়৷ এর মানে হল যে কোনও কোম্পানি নিরাপদ প্রমাণীকরণের জন্য পাসকিগুলির মতো প্রযুক্তিগুলি প্রয়োগ করতে FIDO মানগুলি ব্যবহার করতে পারে৷

একটি পাসকি হল একটি FIDO লগইন শংসাপত্র, একটি মূল (ওয়েবসাইট বা অ্যাপ্লিকেশন) এবং একটি শারীরিক ডিভাইসের সাথে আবদ্ধ। পাসকিগুলি ব্যবহারকারীদের একটি ব্যবহারকারীর নাম, পাসওয়ার্ড প্রবেশ করানো বা কোনো অতিরিক্ত প্রমাণীকরণ ফ্যাক্টর প্রদান না করেই প্রমাণীকরণ করতে দেয়। এই প্রযুক্তির লক্ষ্য প্রাথমিক প্রমাণীকরণ প্রক্রিয়া হিসাবে পাসওয়ার্ড প্রতিস্থাপন করা।

কেন নিরাপদ প্রমাণীকরণ গুরুত্বপূর্ণ?

কয়েক দশক ধরে কম্পিউটিংয়ে প্রমাণীকরণের জন্য পাসওয়ার্ড ব্যবহার করা হচ্ছে। যাইহোক, পাসওয়ার্ড-ভিত্তিক প্রমাণীকরণ প্রমাণীকরণের জন্য সবচেয়ে নিরাপদ বিকল্প নয়, কারণ ডাটাবেসগুলি লঙ্ঘন করা যেতে পারে এবং পাসওয়ার্ডগুলি ফিশ করা যেতে পারে।

অনেক ব্যবহারকারী একই পাসওয়ার্ড ব্যবহার করে বিভিন্ন ওয়েবসাইটে লগ ইন করেন। এর মানে হল যখন একটি ওয়েবসাইট লঙ্ঘন করা হয়, একই পাসওয়ার্ড ব্যবহার করে এমন প্রতিটি অ্যাকাউন্ট ঝুঁকিতে থাকে। সুতরাং আপনি একটি সুরক্ষিত পাসওয়ার্ড সিস্টেম তৈরি করলেও, লোকেরা এখনও ঝুঁকির মধ্যে থাকে যখন একটি পাসওয়ার্ড তাদের একমাত্র সুরক্ষা।

কিছু সাইট এবং অ্যাপ্লিকেশন একটি দ্বিতীয় শংসাপত্রের অনুরোধ করে দ্বি-পদক্ষেপ যাচাইকরণের অনুরোধ করে যা এসএমএস, ইমেল, অ্যাপ্লিকেশন, ইত্যাদির মাধ্যমে বিতরণ করা হয়। যদিও এটি শুধুমাত্র একটি পাসওয়ার্ড ব্যবহার করার চেয়ে বেশি নিরাপদ, দ্বি-পদক্ষেপ যাচাইকরণের এই পদ্ধতিটি এখনও ফিশিংয়ের জন্য ঝুঁকিপূর্ণ, কারণ ব্যবহারকারী একটি দূষিত ওয়েবসাইটে তাদের দ্বি-পদক্ষেপ যাচাইকরণের বিশদ লিখতে রাজি হতে পারে।

কিভাবে FIDO শক্তিশালী নিরাপত্তা তৈরি করে?

FIDO-ভিত্তিক প্রমাণীকরণ পাসওয়ার্ড-ভিত্তিক প্রমাণীকরণ এবং ঐতিহ্যগত দ্বিতীয়-পদক্ষেপ ব্যবহার করে এমন প্রমাণীকরণ থেকে উদ্ভূত অনেক সমস্যা দূর করে। নির্দিষ্টভাবে:

  • FIDO প্রমাণীকরণ পাবলিক কী ক্রিপ্টোগ্রাফি ব্যবহার করে।
  • FIDO নিশ্চিত করতে সাহায্য করে যে শংসাপত্রগুলি দূষিত দল বা অন্য দলগুলির সাথে শেয়ার করা হয় না যেগুলি শংসাপত্রের মালিক নয়

পাবলিক কী ক্রিপ্টোগ্রাফি সম্ভাব্য ডাটাবেস লঙ্ঘনের হুমকি হ্রাস করে। ব্যবহারকারী একটি একক উত্স (একটি সাইট বা অ্যাপ্লিকেশন) দিয়ে নিবন্ধন করে, যা ব্যবহারকারীর প্রমাণীকরণকারীতে (একটি শারীরিক ডিভাইস) একটি পাবলিক-প্রাইভেট কী জোড়া তৈরি করে। ব্যবহারকারীর সর্বজনীন কী মূল সার্ভার দ্বারা সংরক্ষণ করা হয়, কিন্তু এটি একা আক্রমণকারীর জন্য অকেজো। একজন আক্রমণকারী সার্ভারে সংরক্ষিত ডেটা থেকে ব্যবহারকারীর ব্যক্তিগত কী পেতে পারে না, যা প্রমাণীকরণ সম্পূর্ণ করার জন্য প্রয়োজন।

FIDO এর সাথে, ব্যবহারকারীরা নিশ্চিত করার জন্য দায়ী নয় যে একটি ওয়েবসাইট বা অ্যাপ্লিকেশন আসলে তারা কে বলে তারা। আরও, শংসাপত্রগুলি ভুল জায়গায় ব্যবহার না করা হয়েছে তা নিশ্চিত করার জন্য ব্যবহারকারী দায়ী নয়। FIDO প্রতিটি শংসাপত্রকে একটি নির্দিষ্ট উত্সের সাথে আবদ্ধ করে, যার অর্থ ওয়েবসাইট বা অ্যাপ্লিকেশন সঠিকভাবে সনাক্ত করার জন্য ডিভাইস (মানুষ নয়) দায়ী।

উদাহরণস্বরূপ, ধরা যাক ব্যবহারকারী example.com এ লগ ইন করার চেষ্টা করছে। ব্যবহারকারী যদি phishing-example.com - example.com এ example.com-এর মালিকানাধীন শংসাপত্রের জন্য অনুরোধ করে, তাহলে প্রমাণীকরণকারী অনুরোধটি প্রত্যাখ্যান করবে এইভাবে ব্যবহারকারীকে রক্ষা করবে। প্রমাণীকরণ প্রক্রিয়াটি ফিশিং ওয়েবসাইট বা অ্যাপগুলির জন্য অন্য উত্সগুলির জন্য যাচাইকরণ প্রাপ্ত করা খুব কঠিন করে তোলে৷

সামগ্রিকভাবে, FIDO এবং পাসকিগুলি আপনাকে আরও শক্তিশালী প্রমাণীকরণ স্থাপন করতে দেয় যা এখনও বেশিরভাগ ব্যবহারকারীর জন্য ব্যবহারযোগ্য এবং সহজ।

ডেমো

পাসকি কি?

একটি পাসকি হল একটি ডিজিটাল শংসাপত্র যা FIDO এবং W3C ওয়েব প্রমাণীকরণ (WebAuthn) মান মেনে চলে। একটি পাসওয়ার্ডের মতো, ওয়েবসাইট এবং অ্যাপ্লিকেশনগুলি অনুরোধ করতে পারে যে কোনও ব্যবহারকারী তাদের অ্যাকাউন্ট অ্যাক্সেস করার জন্য একটি পাসকি তৈরি করুন৷

পাসকিগুলি ব্যবহারকারীর পরিচয় যাচাই করতে একটি ডিভাইস আনলক করার উপর নির্ভর করে। এটি একটি বায়োমেট্রিক সেন্সর (যেমন একটি আঙ্গুলের ছাপ বা মুখের স্বীকৃতি), পিন, বা প্যাটার্ন দিয়ে সঞ্চালিত হতে পারে। একজন ব্যবহারকারীকে তাদের পাসকি (একটি পাবলিক-প্রাইভেট কী জোড়া) তৈরি করতে প্রথমে মূলের সাথে নিবন্ধন করতে হবে।

যখন তারা লগ ইন করার জন্য ওয়েবসাইট বা অ্যাপে ফিরে আসে, ব্যবহারকারী নিম্নলিখিত পদক্ষেপগুলি নিতে পারে:

  1. অ্যাপ্লিকেশনে যান।
  2. সাইন ইন এ ক্লিক করুন।
  3. তাদের পাসকি নির্বাচন করুন।
  4. লগইন সম্পূর্ণ করতে ডিভাইসটি আনলক করুন।

প্রাইভেট কী ব্যবহার করে প্রমাণীকরণকারী একটি স্বাক্ষর তৈরি করে। এই স্বাক্ষরটি সর্বজনীন কী ব্যবহার করে এবং ব্যক্তিগত কী প্রকাশ না করেই মূল এবং প্রমাণীকরণকারীর মধ্যে লগইন শংসাপত্র যাচাই করতে ব্যবহৃত হয়।

পাসকি যেখানেই সংরক্ষিত থাকুক না কেন একজন ব্যবহারকারী পাসকির সাহায্যে যেকোনো ডিভাইসে পরিষেবাগুলিতে সাইন ইন করতে পারেন। উদাহরণস্বরূপ, একটি মোবাইল ফোনে সংরক্ষিত একটি পাসকি একটি পৃথক ল্যাপটপে একটি ওয়েবসাইটে সাইন ইন করতে ব্যবহার করা যেতে পারে।

পাসকি কিভাবে কাজ করে?

পাসকিগুলি অপারেটিং সিস্টেমের মাধ্যমে তৈরি এবং সিঙ্ক্রোনাইজ করা হয়। কিছু অপারেটিং সিস্টেম ব্যবহারকারীর ডিভাইসগুলির মধ্যে পাসকিগুলির স্বয়ংক্রিয় সিঙ্ক্রোনাইজেশনের অনুমতি দিতে পারে, যেমন একটি Android ফোন এবং ChromeOS ডিভাইস যা একই Google অ্যাকাউন্টে সাইন ইন করা আছে।

যখন পাসকিগুলি অপারেটিং সিস্টেমের সাথে সংযুক্ত থাকে, একটি ব্যবহারকারী ল্যাপটপে লগ ইন করার সময় তাদের ফোন থেকে পাসকিগুলি ব্যবহার করতে পারে৷ যেহেতু পাসকিগুলি FIDO এবং W3C মান দিয়ে তৈরি করা হয়েছে, সমস্ত ব্রাউজার সেগুলি গ্রহণ করতে পারে৷ উদাহরণস্বরূপ, একজন ব্যবহারকারী তাদের Chromebook-এ site.example ভিজিট করেন। এই ব্যবহারকারী আগে তাদের iOS ডিভাইসে site.example লগ ইন করেছেন। ব্যবহারকারীকে iOS ডিভাইসে তাদের পরিচয় নিশ্চিত করতে বলা হবে। সাধারণত, site.example ব্যবহারকারীর Chromebook এর জন্য একটি নতুন পাসকি তৈরি করবে যাতে ভবিষ্যতে লগইন করার জন্য ফোনটির আর প্রয়োজন না হয়।

পাসকিগুলি এন্ড-টু-এন্ড এনক্রিপ্ট করা হয়, যার অর্থ হল যদিও Google এগুলিকে বিভিন্ন Android ডিভাইসে সিঙ্ক্রোনাইজ করার জন্য দায়ী, Google পাসকি পড়তে পারে না বা অন্যথায় সেই ডেটা জানতে পারে না৷

প্রমাণীকরণ প্রক্রিয়া

প্রমাণীকরণ উইন্ডোটি কেমন হতে পারে তার একটি উপস্থাপনা।

একটি ওয়েবসাইট বা অ্যাপে পাসকিগুলি প্রয়োগ করতে, নিম্নলিখিতগুলির সাথে নিজেকে পরিচিত করা গুরুত্বপূর্ণ:

  • প্রমাণীকরণকারী হল ব্যবহারকারীর মালিকানাধীন, ভৌত ডিভাইস যা ব্যবহারকারীর পাসকি ধারণ করে এবং ব্যবহারকারীকে সনাক্ত করতে পারে।
  • নির্ভরকারী পক্ষ হল আপনার ওয়েবসাইট বা অ্যাপ, ফ্রন্ট-এন্ড অ্যাপ্লিকেশন এবং ব্যাক-এন্ড সার্ভারের সমন্বয়ে গঠিত।

উদাহরণ স্বরূপ, ধরা যাক একজন ব্যবহারকারী shoes.example (নির্ভরকারী পক্ষ) এ একটি দোকান থেকে এক জোড়া জুতা কিনতে চায়। ব্যবহারকারী ইতিমধ্যে একটি বায়োমেট্রিক সেন্সর সহ তাদের অ্যান্ড্রয়েড ফোন ব্যবহার করে, shoes.example এ একটি অ্যাকাউন্টের জন্য নিবন্ধন করেছেন৷ ব্যবহারকারী তাদের ডিভাইস আনলক করে তাদের Android ডিভাইসে shoes.example এ লগ ইন করে। তারপর, shoes.example ব্যবহারকারীর পরিচয় নির্ভুল তা নিশ্চিত করতে ব্যবহারকারীর পরিচিত পাবলিক কী-এর বিপরীতে ব্যবহারকারীর ক্রিপ্টোগ্রাফিকভাবে স্বাক্ষরিত লগইন শংসাপত্র যাচাই করে৷

প্রমাণীকরণকারী

প্রমাণীকরণকারী হল FIDO-অনুযায়ী ডিভাইস যা ব্যবহারকারীর পরিচয় নিশ্চিত করতে ব্যবহৃত হয়। এর মধ্যে রয়েছে বিশেষ উদ্দেশ্য ডিভাইস (FIDO নিরাপত্তা কী), সেইসাথে মোবাইল ফোন এবং অন্যান্য কম্পিউটার যা প্রমাণীকরণের প্রয়োজনীয়তা পূরণ করে। প্রমাণকারীরা FIDO এবং WebAuthn মানগুলিতে বর্ণিত ক্রিপ্টোগ্রাফিক ক্রিয়াকলাপগুলি সম্পাদন করে৷

রেজিস্ট্রেশন এবং প্রমাণীকরণের জন্য ডিভাইসটির দুটি ভূমিকা রয়েছে:

  • যখন ব্যবহারকারী একটি নির্ভরশীল পক্ষের সাথে নিবন্ধন করেন, তখন ডিভাইসটি একটি অনন্য পাবলিক-প্রাইভেট কী জোড়া তৈরি করে। এর মধ্যে রয়েছে ব্যবহারকারীর ফোন এবং কম্পিউটার।
  • যখন ব্যবহারকারী ভবিষ্যতে নির্ভরকারী পার্টিতে লগ ইন করে, ডিভাইসটি ব্যক্তিগত কী ব্যবহার করে একটি স্বাক্ষর তৈরি করে।

উভয় অপারেশনই সঞ্চালিত হয় যখন ব্যবহারকারী প্রমাণীকরণকারীর দখল প্রমাণ করে। এই কী জোড়া একটি নির্দিষ্ট উত্সের সাথে নিবন্ধিত, এবং শুধুমাত্র সঠিক উত্স দ্বারা ব্যবহার করা যেতে পারে৷ যদি একজন ব্যবহারকারী একটি ফিশিং সাইটে অবতরণ করে তাহলে শংসাপত্রটি অনুপলব্ধ হবে৷

FIDO-সম্মত ডিভাইস

সর্বাধিক সাধারণ প্রমাণীকরণকারী হল:

  • প্ল্যাটফর্ম প্রমাণীকরণকারী : এগুলি স্মার্টফোন এবং কম্পিউটারে তৈরি করা হয়। প্ল্যাটফর্ম প্রমাণীকরণকারীরা একটি বায়োমেট্রিক সেন্সর (যেমন একটি ফিঙ্গারপ্রিন্ট সেন্সর বা ফেসিয়াল রিকগনিশন সহ একটি ক্যামেরা), একটি পিন বা প্যাটার্ন ব্যবহার করে। কারণ প্রমাণীকরণ ইন্টারঅ্যাকশনটি ডিভাইসটি আনলক করার মাধ্যমে সম্পন্ন হয়, এটি একটি একক ধাপে প্রমাণ করে যে উভয় ব্যবহারকারীর ডিভাইসটির দখল রয়েছে এবং তারা তাদের অনন্য বায়োমেট্রিক্সের মাধ্যমে তাদের পরিচয় নিশ্চিত করতে পারে।
  • সিকিউরিটি কী : এগুলি হল সাধারণত ইউএসবি ডিভাইস যা প্রমাণীকরণ নির্দেশ করতে একটি বোতাম টিপুন। যখন একটি পাসওয়ার্ড ব্যবহার করা হয়, তখন নিরাপত্তা কী দুটি-ফ্যাক্টর প্রমাণীকরণের জন্য একটি দখল ফ্যাক্টর প্রদান করতে পারে। এর সবচেয়ে সাধারণ উদাহরণ হল একটি টাইটান নিরাপত্তা কী বা একটি YubiKey।

সামনের অংশ

অ্যাপ্লিকেশানগুলি ক্লায়েন্ট-সাইড APIগুলি ব্যবহার করে, যেমন WebAuthn এবং Android এর জন্য FIDO2 , প্রমাণীকরণকারীর সাথে ব্যবহারকারীর শংসাপত্র তৈরি এবং যাচাই করতে৷

অ্যাপ্লিকেশনটি একটি ক্রিপ্টোগ্রাফিক চ্যালেঞ্জ পাস করে, যা ব্যাক-এন্ড সার্ভার দ্বারা উত্পন্ন, প্রমাণীকরণকারীর কাছে। অ্যাপ্লিকেশনটি যাচাইকরণের জন্য সার্ভারে প্রমাণীকরণকারীর প্রতিক্রিয়া পাঠায়, যা সেই বৈধতার উপর ভিত্তি করে ব্যবস্থা নেয়।

ব্যাক-এন্ড

সার্ভার ব্যবহারকারীর সর্বজনীন কী শংসাপত্র এবং অ্যাকাউন্ট তথ্য সংরক্ষণ করে।

নিবন্ধন এবং প্রমাণীকরণে, সার্ভার একটি ক্রিপ্টোগ্রাফিক চ্যালেঞ্জ তৈরি করে। এই চ্যালেঞ্জটি যাচাই করে যে প্রমাণীকরণকারীর দ্বারা জারি করা স্বাক্ষর, নিশ্চিত করে যে ব্যবহারকারী সেই ব্যক্তি যাকে তারা দাবি করে।

প্রায়শই জিজ্ঞাসিত প্রশ্ন (FAQ)

কে পাসকি সমর্থন করে?

যেহেতু পাসকিগুলি FIDO মানগুলির উপর ভিত্তি করে, তারা Android এবং Chrome-এ কাজ করে, পাশাপাশি অন্যান্য অনেক জনপ্রিয় প্ল্যাটফর্ম এবং ব্রাউজার যেমন Microsoft Windows, Microsoft Edge, MacOS, iOS এবং Safari-এ কাজ করে৷

উপলব্ধতার বর্তমান অবস্থা নিশ্চিত করতে এই প্ল্যাটফর্মগুলি দ্বারা প্রদত্ত ডকুমেন্টেশন পড়ুন।

অ্যান্ড্রয়েডে, আমরা 2022 সালের শেষের দিকে বিকাশকারীদের কাছে পাসকি সমর্থন উপলব্ধ করার লক্ষ্য রাখি।

একজন ব্যবহারকারী তাদের ডিভাইস হারিয়ে ফেললে কি হবে?

Android-এ তৈরি পাসকিগুলিকে ব্যাক আপ করা হয় এবং একই Google অ্যাকাউন্টে সাইন ইন করা Android ডিভাইসগুলির সাথে সিঙ্ক করা হয়, যেভাবে পাসওয়ার্ডগুলি পাসওয়ার্ড ম্যানেজারে ব্যাক আপ করা হয়৷

এর মানে ব্যবহারকারীদের পাসকি তাদের সাথে যায় যখন তারা তাদের ডিভাইস প্রতিস্থাপন করে। একটি নতুন ফোনে অ্যাপগুলিতে সাইন ইন করতে, সমস্ত ব্যবহারকারীকে তাদের ফোন আনলক করতে হবে৷

একজন ব্যবহারকারী কি বন্ধুর ডিভাইসে সাইন ইন করতে তাদের ফোনে একটি পাসকি ব্যবহার করতে পারেন?

হ্যাঁ. ব্যবহারকারীরা সাইন ইন করার উদ্দেশ্যে তাদের ফোন এবং অন্য কারো ডিভাইসের মধ্যে একটি "এক সময় লিঙ্ক" সেট আপ করতে পারেন৷

পরবর্তী পদক্ষেপ

একটি কোডল্যাব নিন:

এই সম্পর্কে আরও জানো:

আপডেট পান: