শক্তিশালী পাসওয়ার্ড কীভাবে তৈরি করবেন: দৈর্ঘ্য, Passphrase ও MFA
NIST ও CISA-র সর্বশেষ পরামর্শ অনুযায়ী শক্তিশালী পাসওয়ার্ড কীভাবে বানাবেন: লম্বা, ইউনিক ও র্যান্ডম রাখুন, passphrase ব্যবহার করুন, পাসওয়ার্ড ম্যানেজার আর MFA চালু করুন।
এই গাইড শুধু সাধারণ তথ্যের জন্য, পেশাদার আর্থিক, আইনি বা প্রযুক্তিগত পরামর্শ নয়। ডিভাইস ও দেশভেদে মেনু ও নিয়ম আলাদা হতে পারে।
শক্তিশালী পাসওয়ার্ড হলো লম্বা, র্যান্ডম আর শুধু একটি অ্যাকাউন্টের জন্য ইউনিক। মার্কিন সরকারের বর্তমান নির্দেশনা জটিলতার চেয়ে দৈর্ঘ্যকে বেশি গুরুত্ব দেয়: CISA কমপক্ষে ১৬ অক্ষরের পাসওয়ার্ড ব্যবহারের পরামর্শ দেয়, যেমন পাসওয়ার্ড ম্যানেজারের তৈরি একটি র্যান্ডম স্ট্রিং, অথবা ৫–৭টি সম্পর্কহীন শব্দ দিয়ে তৈরি একটি passphrase।
অক্ষরের বদলে চিহ্ন বসানোর চেয়ে দৈর্ঘ্য আর ইউনিক হওয়াটা অনেক বেশি জরুরি। গুরুত্বপূর্ণ অ্যাকাউন্টে multi-factor authentication (MFA) যোগ করুন, তাহলে পাসওয়ার্ড ফাঁস হয়ে গেলেও আপনি সুরক্ষিত থাকবেন।
সংক্ষেপে উত্তর
- লম্বা করুন: কমপক্ষে ১৬ অক্ষর রাখার চেষ্টা করুন। যত লম্বা, তত শক্তিশালী।
- ইউনিক করুন: প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড ব্যবহার করুন।
- র্যান্ডম করুন: পাসওয়ার্ড ম্যানেজারকে তৈরি করতে দিন, অথবা ৫–৭টি সম্পর্কহীন শব্দ দিয়ে passphrase বানান।
- পুরনো নিয়ম বাদ দিন: জোর করে চিহ্ন যোগ করা বা নিয়মিত পাসওয়ার্ড বদলানোর দরকার নেই। পাসওয়ার্ড ফাঁস হয়ে থাকতে পারে মনে হলে বদলান।
- পাসওয়ার্ড ম্যানেজার ব্যবহার করুন পাসওয়ার্ড তৈরি, সংরক্ষণ আর অটো-ফিল করার জন্য।
- MFA চালু করুন ইমেইল, ব্যাংকিং, স্বাস্থ্য আর অন্যান্য গুরুত্বপূর্ণ অ্যাকাউন্টে।
কোন জিনিস পাসওয়ার্ডকে শক্তিশালী করে?
হ্যাকাররা খুব কমই হাতে হাতে পাসওয়ার্ড অনুমান করে। তারা এমন সফটওয়্যার ব্যবহার করে যা সাধারণ পাসওয়ার্ড, ফাঁস হওয়া পাসওয়ার্ড আর অনুমানযোগ্য প্যাটার্নের বিশাল তালিকা একে একে চেষ্টা করে। একটি শক্তিশালী পাসওয়ার্ড তিনভাবে এসব টুলকে হারিয়ে দেয়।
- দৈর্ঘ্য। প্রতিটি বাড়তি অক্ষর সম্ভাব্য কম্বিনেশনের সংখ্যা বহুগুণ বাড়িয়ে দেয়। তাই NIST আর CISA দুটোই দৈর্ঘ্যের উপর জোর দেয়।
- র্যান্ডমনেস। শব্দ, নাম, তারিখ আর "qwerty"-র মতো কীবোর্ড প্যাটার্নই হ্যাকাররা সবার আগে চেষ্টা করে। সত্যিকারের র্যান্ডম পাসওয়ার্ড ভাঙা অনেক কঠিন।
- ইউনিক হওয়া। কোনো ওয়েবসাইটের ডেটা ফাঁস হলে অপরাধীরা চুরি হওয়া ইমেইল আর পাসওয়ার্ড অন্য সাইটে চেষ্টা করে। একই পাসওয়ার্ড বারবার ব্যবহার করলে একটি ফাঁসেই অনেক অ্যাকাউন্ট খুলে যেতে পারে।
বর্তমান নির্দেশনা কী বলে
মার্কিন National Institute of Standards and Technology (NIST) পাসওয়ার্ডের এমন নিয়ম লেখে যা অনেক প্রতিষ্ঠান মেনে চলে। এর digital identity guidelines অনুযায়ী সার্ভিসগুলোর উচিত:
- পাসওয়ার্ডই যখন সাইন ইনের একমাত্র উপায়, তখন কমপক্ষে ১৫ অক্ষরের পাসওয়ার্ড বাধ্যতামূলক করা, আর MFA-র সঙ্গে ব্যবহার হলে কমপক্ষে ৮ অক্ষর।
- কমপক্ষে ৬৪ অক্ষর পর্যন্ত পাসওয়ার্ড রাখার সুযোগ দেওয়া।
- "একটি বড় হাতের অক্ষর, একটি সংখ্যা, একটি চিহ্ন"-এর মতো অক্ষরের মিশ্রণ জোর করে না চাওয়া।
- নিয়মিত পাসওয়ার্ড বদলাতে জোর না করা, তবে পাসওয়ার্ড ফাঁস হওয়ার প্রমাণ থাকলে বদলানো বাধ্যতামূলক করা।
- নতুন পাসওয়ার্ড সাধারণ বা আগে ফাঁস হওয়া পাসওয়ার্ডের তালিকার সঙ্গে মিলিয়ে দেখা।
- পাসওয়ার্ড ম্যানেজার, অটো-ফিল আর পেস্ট করার সুযোগ দেওয়া।
Cybersecurity and Infrastructure Security Agency (CISA) সাধারণ মানুষকে একই রকম পরামর্শ দেয়: কমপক্ষে ১৬ অক্ষর, প্রতিটি অ্যাকাউন্টে আলাদা পাসওয়ার্ড, আর কাজটা সহজ করতে একটি পাসওয়ার্ড ম্যানেজার।
ধাপে ধাপে শক্তিশালী পাসওয়ার্ড কীভাবে তৈরি করবেন
বিকল্প ১: পাসওয়ার্ড ম্যানেজারকে তৈরি করতে দিন (সবচেয়ে ভালো)
- একটি নির্ভরযোগ্য পাসওয়ার্ড ম্যানেজার বেছে নিন। অনেক ব্রাউজার আর ফোনে আগে থেকেই একটি থাকে, আলাদা অ্যাপও পাওয়া যায়।
- ম্যানেজারটিকে একটি লম্বা, ইউনিক master password বা passphrase দিয়ে সুরক্ষিত করুন আর এর জন্য MFA চালু করুন।
- অ্যাকাউন্ট তৈরি বা আপডেট করার সময় ম্যানেজারের generate password অপশন ব্যবহার করুন।
- দৈর্ঘ্য কমপক্ষে ১৬ অক্ষর সেট করুন। সাইট অনুমতি দিলে আরও লম্বা করুন।
- ম্যানেজারে সেভ করুন। পরের বার এটি নিজেই পাসওয়ার্ড বসিয়ে দেবে, তাই মুখস্থ করার দরকার নেই।
বিকল্প ২: মনে রাখা যায় এমন একটি passphrase বানান
যে কয়েকটি পাসওয়ার্ড আপনাকে মনে রেখে টাইপ করতে হয়, যেমন কম্পিউটারের লগইন বা পাসওয়ার্ড ম্যানেজারের master password, সেগুলোর জন্য এটি ব্যবহার করুন।
- ৫–৭টি সম্পর্কহীন শব্দ বেছে নিন। যত র্যান্ডম, তত ভালো। গানের লাইন, উক্তি আর আপনার সম্পর্কিত কিছু এড়িয়ে চলুন।
- ভাগ্যের উপর ছেড়ে শব্দ বাছাই করা (যেমন, একটি শব্দতালিকা থেকে লুডুর ছক্কা গড়িয়ে, বা অভিধানের যেকোনো পাতা খুলে) "র্যান্ডম মনে হয়" এমন শব্দ বাছার চেয়ে বেশি শক্তিশালী।
- সাইট অনুমতি দিলে স্পেস বা কোনো বিভাজক দিয়ে বা ছাড়াই শব্দগুলো জুড়ে দিন: যেমন lantern-gravel-oyster-tundra-pickle। (এই উদাহরণটি ব্যবহার করবেন না। এটি এখন সবার জানা।)
- দেখে নিন এটি কমপক্ষে ১৬ অক্ষর লম্বা কিনা। বেশিরভাগ পাঁচ-শব্দের passphrase সহজেই এই সীমা পার হয়।
- এটি শুধু একটি অ্যাকাউন্টে ব্যবহার করুন।
বিকল্প ৩: পুরনো দুর্বল পাসওয়ার্ড উন্নত করুন
- আপনার সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্ট দিয়ে শুরু করুন: ইমেইল, ব্যাংকিং, আর যে অ্যাকাউন্ট দিয়ে অন্য অ্যাকাউন্ট রিসেট করা যায়।
- ছোট বা বারবার ব্যবহৃত পাসওয়ার্ড বদলে একটি জেনারেট করা পাসওয়ার্ড বা নতুন passphrase দিন।
- অ্যাকাউন্টের সিকিউরিটি সেটিংসে থাকতেই MFA চালু করে ফেলুন।
- পাসওয়ার্ড ম্যানেজারের বারবার ব্যবহৃত বা দুর্বল পাসওয়ার্ডের তালিকাকে কাজের তালিকা হিসেবে ধরে ধীরে ধীরে বাকিগুলো ঠিক করুন।
দুর্বল বনাম শক্তিশালী পাসওয়ার্ড
| পাসওয়ার্ডের ধরন | উদাহরণ প্যাটার্ন | শক্তি | কেন |
|---|---|---|---|
| অক্ষর বদলানো সাধারণ শব্দ | P@ssw0rd1 | দুর্বল | ছোট আর প্রতিটি হ্যাকারের তালিকায় আছে |
| নাম বা তারিখ | নাম + জন্মসাল | দুর্বল | সোশ্যাল মিডিয়ায় সহজেই পাওয়া যায় |
| ছোট র্যান্ডম মিশ্রণ | ৮টি র্যান্ডম অক্ষর | মাঝারি | অনুমান করা কঠিন, কিন্তু বর্তমান নির্দেশনা অনুযায়ী খুব ছোট |
| Passphrase | ৫–৭টি র্যান্ডম সম্পর্কহীন শব্দ | শক্তিশালী | লম্বা আর মনে রাখা সহজ |
| জেনারেট করা র্যান্ডম স্ট্রিং | ১৬+ র্যান্ডম অক্ষর | সবচেয়ে শক্তিশালী | লম্বা, র্যান্ডম আর আপনার হয়ে সংরক্ষিত |
টেবিলে প্যাটার্ন দেখানো হয়েছে, আসল পাসওয়ার্ড নয়। কোনো ওয়েবসাইটের উদাহরণ পাসওয়ার্ড কখনো ব্যবহার করবেন না।
Multi-Factor Authentication (MFA) চালু করুন
MFA সাইন ইনের সময় একটি দ্বিতীয় ধাপ যোগ করে, তাই শুধু চুরি করা পাসওয়ার্ড দিয়ে কাজ হয় না। CISA ইমেইল, ব্যাংকিং, স্বাস্থ্যসেবা আর অন্যান্য গুরুত্বপূর্ণ অ্যাকাউন্টে এটি চালু করার পরামর্শ দেয়। ইমেইল সবার আগে, কারণ যার হাতে আপনার ইমেইল, সে আপনার অন্য পাসওয়ার্ডগুলো রিসেট করতে পারে।
MFA-র সাধারণ পদ্ধতিগুলো হলো:
- Authenticator অ্যাপ, যা প্রতি ৩০ সেকেন্ডে নতুন কোড দেখায়।
- টেক্সট বা ইমেইলে পাঠানো কোড। MFA না থাকার চেয়ে ভালো, তবে CISA বলছে টেক্সট আর ভয়েস কোড ফিশিং আর SIM-swap আক্রমণের ঝুঁকিতে থাকে, তাই এগুলোকে শেষ উপায় হিসেবে ধরুন।
- বায়োমেট্রিক্স, যেমন আঙুলের ছাপ বা ফেস স্ক্যান।
- FIDO-ভিত্তিক সাইন ইন, যেমন একটি ফিজিক্যাল security key। CISA-র মতে FIDO/WebAuthn-ই একমাত্র ব্যাপকভাবে পাওয়া যায় এমন phishing-resistant পদ্ধতি।
সেটআপ করতে অ্যাকাউন্টের Security বা Sign-in সেটিংসে "two-step verification" বা "multi-factor authentication" জাতীয় অপশন খুঁজুন। ব্যাকআপ কোডগুলো নিরাপদ কোথাও সেভ করে রাখুন।
যে সাধারণ ভুলগুলো এড়াবেন
- একই পাসওয়ার্ড বারবার ব্যবহার। এটিই সবচেয়ে বড় ঝুঁকি। একটি ফাঁসে একই পাসওয়ার্ডের সব অ্যাকাউন্ট বিপদে পড়তে পারে।
- অক্ষর বদলানোর উপর ভরসা করা। "a"-র বদলে "@" দেওয়া বা শেষে "1!" যোগ করা খুব অনুমানযোগ্য, আর পাসওয়ার্ড ভাঙার টুলগুলো এটি অটোমেটিক চেষ্টা করে।
- ব্যক্তিগত তথ্য ব্যবহার। পোষা প্রাণীর নাম, জন্মদিন আর প্রিয় দলের নাম অনলাইনে সহজেই পাওয়া যায়।
- অরক্ষিত নোট বা স্প্রেডশিটে পাসওয়ার্ড লিখে রাখা। এর বদলে এনক্রিপ্টেড পাসওয়ার্ড ম্যানেজার ব্যবহার করুন।
- পাসওয়ার্ড বা MFA কোড শেয়ার করা। আসল কোম্পানি কখনো ফোন, টেক্সট বা ইমেইলে আপনার পাসওয়ার্ড বা সাইন-ইন কোড চায় না। জেনে নিন অনলাইন প্রতারণা কীভাবে চিনবেন আর ফিশিং থেকে বাঁচবেন।
- অকারণে নির্দিষ্ট সময় পরপর পাসওয়ার্ড বদলানো। NIST এখন আর জোর করে নিয়মিত পাসওয়ার্ড বদলানোর পরামর্শ দেয় না, কারণ এতে প্রায়ই ছোটখাটো, অনুমানযোগ্য পরিবর্তন হয়। পাসওয়ার্ড ফাঁস হওয়ার লক্ষণ দেখলে বদলান।
সচরাচর জিজ্ঞাসিত প্রশ্ন
শক্তিশালী পাসওয়ার্ড কত লম্বা হওয়া উচিত?
CISA কমপক্ষে ১৬ অক্ষরের পরামর্শ দেয়, আর লম্বা হলে আরও ভালো। NIST বলে, পাসওয়ার্ডই যখন সাইন ইনের একমাত্র উপায়, তখন সার্ভিসগুলোর কমপক্ষে ১৫ অক্ষর বাধ্যতামূলক করা উচিত। পাসওয়ার্ড ম্যানেজার থাকলে লম্বা পাসওয়ার্ড ব্যবহার করা সহজ হয়ে যায়।
Passphrase কি সত্যিই জটিল পাসওয়ার্ডের চেয়ে নিরাপদ?
সত্যিকারের র্যান্ডম শব্দ দিয়ে তৈরি একটি লম্বা passphrase সাধারণত চিহ্নে ভরা ছোট পাসওয়ার্ডের চেয়ে শক্তিশালী, আর মনে রাখাও অনেক সহজ। জটিলতার নিয়মের চেয়ে দৈর্ঘ্য বেশি শক্তি যোগ করে।
আমার কি নিয়মিত পাসওয়ার্ড বদলানো উচিত?
NIST-এর বর্তমান নির্দেশনা বলছে, নির্দিষ্ট সময় পরপর পাসওয়ার্ড বদলানোর দরকার নেই। তবে কোনো সার্ভিস ডেটা ফাঁসের খবর দিলে, সন্দেহজনক কার্যকলাপ চোখে পড়লে, বা ভুল করে শেয়ার করে ফেললে সঙ্গে সঙ্গে বদলান।
পাসওয়ার্ড ম্যানেজার কি নিরাপদ?
শক্তিশালী master password আর MFA দিয়ে সুরক্ষিত একটি নির্ভরযোগ্য পাসওয়ার্ড ম্যানেজার, একই পাসওয়ার্ড বারবার ব্যবহার বা লিখে রাখার চেয়ে অনেক বেশি নিরাপদ। এতে সব জায়গায় ইউনিক পাসওয়ার্ড ব্যবহার করাও বাস্তবে সম্ভব হয়।
আমার পাসওয়ার্ড ডেটা ফাঁসে চলে গেলে কী করব?
সঙ্গে সঙ্গে সেই পাসওয়ার্ড বদলান, আর যেসব অ্যাকাউন্টে একই পাসওয়ার্ড ব্যবহার করেছেন সেগুলোরও বদলান। MFA চালু করুন আর অ্যাকাউন্টের সাম্প্রতিক কার্যকলাপ দেখে নিন। অ্যাকাউন্টটি টাকাপয়সার কাজে ব্যবহার হলে স্টেটমেন্টও চেক করুন।
ব্রাউজারে পাসওয়ার্ড সেভ করতে দেওয়া কি নিরাপদ?
বড় ব্রাউজার আর ফোনের বিল্ট-ইন পাসওয়ার্ড ম্যানেজার অনেকের জন্যই যুক্তিসংগত পছন্দ, বিশেষ করে ডিভাইস লক আর MFA চালু থাকলে। ব্রাউজারের cache ক্লিয়ার করার আগে নিশ্চিত হয়ে নিন যে আপনার দরকারি সেভ করা পাসওয়ার্ডগুলোও মুছে ফেলছেন না।