আপনি যদি আপনার Google অ্যাকাউন্টে পাসকি চালু করে থাকেন, তাহলে সম্ভবত এই কথাগুলো শুনেছেন: টাইপ করার মতো কোনো পাসওয়ার্ড নেই, ফিশ করার মতো কিছু নেই, ফাঁস হওয়ার অপেক্ষায় ডেটাবেসে পড়ে থাকা কিছু নেই। কথাটা মোটের ওপর সত্যি। কিন্তু গবেষকেরা এখন “Pass-ta-key” নামে পরিচিত একটি কৌশলের কথা বর্ণনা করেছেন, যা দেখায় আপনার নিজের ডিভাইসে থাকা ম্যালওয়্যার Google Password Manager-এ সংরক্ষিত পাসকিগুলোতে এখনও পৌঁছাতে পারে। এর অর্থ ঠিক কী এবং কী নয়, তা বোঝা জরুরি, কারণ সমাধান “পাসকি ব্যবহার বন্ধ করুন” নয়।
পাসকি আসলে কীভাবে কাজ করে—একটি দ্রুত ঝালাই
পাসকি হলো একটি কী-জোড়া, টাইপ করে দেওয়া কোনো গোপন তথ্য নয়। এর ব্যক্তিগত অংশটি আপনার ডিভাইস থেকে কখনোই বের হওয়ার কথা নয়; সাইট বা অ্যাপ সর্বোচ্চ যা দেখে, তা হলো সার্বজনিক অংশ এবং আপনি ব্যক্তিগত কীটি ধরে রেখেছেন—এটি প্রমাণ করা একটি স্বাক্ষর। এ কারণেই পাসকি প্রচলিত ফিশিং প্রতিরোধ করতে পারে—ভুয়া লগইন পেজের চুরি করার মতো কোনো পাসওয়ার্ড বা একবার-ব্যবহারযোগ্য কোড নেই, কারণ ব্যক্তিগত কী এমন কিছু নয় যা আপনাকে ধোঁকা দিয়ে কোথাও টাইপ করানো যায়।
জটিলতাটি হলো “সিঙ্কড” শব্দটিতে। আপনার ফোন, ল্যাপটপ ও ট্যাবলেটজুড়ে একটি পাসকি কাজ করানোর জন্য Google Password Manager প্রতিটি পাসকিকে একটি নির্দিষ্ট ভৌত ডিভাইসে আটকে না রেখে, আপনার Google অ্যাকাউন্টের মাধ্যমে সেগুলো এনক্রিপ্ট ও সিঙ্ক করে। এই সুবিধার ফলে একটি নিরাপত্তা কী বা একটি ডিভাইসের সঙ্গে শারীরিকভাবে আবদ্ধ পাসকির তুলনায় আক্রমণের ক্ষেত্রও বড় হয়।
Pass-ta-key গবেষণা আসলে কী নির্দেশ করছে
এই গবেষণা নিয়ে প্রকাশিত প্রতিবেদন অনুযায়ী (Malwarebytes-এর মাধ্যমে), অনুসন্ধানটি হলো—যে ডিভাইসে Google Password Manager আনলক করা আছে, সেখানে চলা ম্যালওয়্যার পাসকি-সুরক্ষিত অ্যাকাউন্ট হাইজ্যাক করতে পারে; অন্তর্নিহিত পাবলিক-কি ক্রিপ্টোগ্রাফি ভেঙে নয়, বরং কীগুলো সংরক্ষণ, আনলক ও সিঙ্ক করা সফটওয়্যার স্তরকে অপব্যবহার করে। অন্যভাবে বললে: পাসকির পেছনের গণিত ভাঙা হয়নি। লক্ষ্য করা হচ্ছে গণিতের চারপাশের সবকিছু—স্থানীয় ভল্ট, আনলক করার প্রক্রিয়া, সিঙ্ক চ্যানেল।
এখন পর্যন্ত প্রকাশ্যে যা জানা গেছে, তাতে এই এক্সপ্লয়েট-চেইনের নির্দিষ্ট প্রযুক্তিগত প্রক্রিয়া পুরোপুরি বিস্তারিতভাবে জানানো হয়নি। তাই এটিকে বাড়িয়ে “পাসকি ভেঙে গেছে” বলা থেকে সতর্ক থাকা উচিত। যা স্পষ্ট, এবং এ ধরনের বিষয় সাধারণত যেভাবে কাজ করে তার সঙ্গে সামঞ্জস্যপূর্ণ, তা হলো ঝুঁকির সাধারণ রূপ: আনলক করা পাসকি-স্টোর থাকা কোনো ডিভাইসে ম্যালওয়্যার যদি যথেষ্ট উচ্চস্তরের প্রবেশাধিকার পায়, তাহলে সেটি সম্ভাব্যভাবে ওই স্টোরের মধ্যে আপনার হয়ে কাজ করতে পারে, অথবা এমন উপাদান রপ্তানি করতে পারে যা আক্রমণকারীকে অন্যত্র আপনার পরিচয়ে প্রমাণীকরণ করতে সাহায্য করে।
কেন এতে পাসকির পক্ষে যুক্তি বদলে যায় না
এমন শিরোনাম দেখে “পাসকি ব্যর্থ হয়েছে” মনে হওয়া স্বাভাবিক। তা হয়নি—পাসকি একটি নির্দিষ্ট, অত্যন্ত প্রচলিত আক্রমণ বন্ধ করেছে: দূরবর্তী ফিশিং, যেখানে বিশ্বের যেকোনো প্রান্তের আক্রমণকারী আপনাকে ভুয়া সাইটে পাসওয়ার্ড বা একবার-ব্যবহারযোগ্য কোড টাইপ করাতে ধোঁকা দেয়। প্রকৃত পাসকির বিরুদ্ধে সেই আক্রমণ এখনও অকার্যকর। Pass-ta-key যা দেখায়, তা হলো ভিন্ন ও পুরোনো একটি হুমকি-মডেল: এমন আক্রমণকারী, যার কোড ইতিমধ্যেই আপনার ডিভাইসে চলছে। এই হুমকি সবসময়ই ছিল, এবং পাসওয়ার্ডের ক্ষেত্রে তা সম্ভবত আরও খারাপ ছিল—সংক্রমিত মেশিনে থাকা কোনো কী-লগার বা ইনফোস্টিলার একই সহজতায় টাইপ করা পাসওয়ার্ড ও সেশন কুকি হাতিয়ে নিতে পারত। পাসকি আক্রমণের ক্ষেত্র সংকুচিত করে; “আপনার ডিভাইস আক্রান্ত”—এই শ্রেণির ঝুঁকি দূর করে না।
আসলে কী পরীক্ষা করবেন এবং কী করবেন
প্রভাবের গুরুত্বের আনুমানিক ক্রমে কয়েকটি নির্দিষ্ট, যাচাইযোগ্য পদক্ষেপ:
- আপনার কোন পাসকি সিঙ্কড আর কোনগুলো ডিভাইস-নির্দিষ্ট, তা জানুন। Google Password Manager-এ (passwords.google.com, “Passkeys”-এর অধীনে) আপনি দেখতে পারবেন আপনার অ্যাকাউন্টে কী সংরক্ষিত ও সিঙ্ক করা আছে। একটি ভৌত নিরাপত্তা কী (যেমন YubiKey) দিয়ে তৈরি ও নিশ্চিত করা কোনো পাসকি, যা আপনি সিঙ্ক করেননি, সেটি ওই হার্ডওয়্যারের সঙ্গে আবদ্ধ এবং এই ধরনের আক্রমণের কাছে একইভাবে উন্মুক্ত নয়।
- আপনার সর্বাধিক গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর জন্য—প্রধান ইমেল, ব্যাংক, কাজের সিঙ্গল সাইন-অন—সিঙ্কড পাসকির বদলে হার্ডওয়্যার নিরাপত্তা কী ব্যবহার করুন। এতে সুবিধা সামান্য কম (ভৌত কীটি আপনার কাছে থাকতে হবে), কিন্তু এটি কখনোই ক্লাউড সিঙ্কে যায় না; ফলে ওই অ্যাকাউন্টের জন্য এই পুরো আক্রমণের ক্ষেত্রটি বাদ পড়ে।
- ডিভাইসটিকেই পরিষ্কার রাখুন, কারণ এখন সেটিই প্রকৃত যুদ্ধক্ষেত্র। দ্রুত অপারেটিং সিস্টেম ও ব্রাউজারের আপডেট ইনস্টল করুন, অফিসিয়াল স্টোরের বাইরে থেকে অ্যাপ বা এক্সটেনশন ইনস্টল করা এড়িয়ে চলুন, এবং অ্যান্টিভাইরাস/এন্ডপয়েন্ট সতর্কতা উপেক্ষা করবেন না—এই ধরনের আক্রমণের পূর্বশর্ত হলো ম্যালওয়্যার সংক্রমণ, তাই ডিভাইসের পরিচ্ছন্নতা একই সঙ্গে দুইভাবে সুরক্ষা দেয়।
- আপনি যদি সম্ভাব্য লক্ষ্য হন, তাহলে Google-এর Advanced Protection Program চালু করুন (সাংবাদিক, অধিকারকর্মী, নির্বাহী, অ্যাডমিন বা আগে যাদের লক্ষ্যবস্তু করা হয়েছে এমন যে কেউ)। এটি বিশেষভাবে এই ধরনের অ্যাকাউন্ট-দখল পরিস্থিতির বিরুদ্ধে অ্যাকাউন্ট পুনরুদ্ধার ও সাইন-ইন নিয়ম আরও কঠোর করে।
- নিয়মিতভাবে আপনার Google অ্যাকাউন্টের “Recent security activity” এবং সংযুক্ত ডিভাইসগুলো পর্যালোচনা করুন এবং এমন কিছু সরিয়ে ফেলুন যা আপনি চিনতে পারছেন না বা আর ব্যবহার করেন না—এর মধ্যে আপনি পরে বদলে ফেলা ডিভাইসগুলোতে পড়ে থাকা পুরোনো সিঙ্কড পাসকিও অন্তর্ভুক্ত।
- আপনার ব্যাকআপ প্রমাণীকরণ পদ্ধতি বাদ দেবেন না। এমন একটি পুনরুদ্ধার পদ্ধতি (ব্যাকআপ কোড, ভিন্ন ধরনের ডিভাইসে থাকা দ্বিতীয় একটি পাসকি) রাখুন, যা একই ডিভাইসের ওপর নির্ভরশীল নয়, যাতে আক্রান্ত মেশিন মুছে ফেলতে হলে আপনি নিজেই অ্যাকাউন্টের বাইরে আটকে না যান।
সংক্ষেপে: পাসকি এখনও পাসওয়ার্ডের চেয়ে ভালো, এবং দূরবর্তী ফিশিংয়ের বিরুদ্ধে তারা যা করে তাকে “ফিশ-অযোগ্য” বলা এখনও সঠিক। Pass-ta-key মনে করিয়ে দেয় যে “ফিশ-অযোগ্য” কখনোই “আক্রান্ত ডিভাইসের বিরুদ্ধে সম্পূর্ণ নিরাপদ”—এই দাবি ছিল না। দ্বিতীয়টির বিরুদ্ধে আপনার প্রতিরক্ষা হলো বিরক্তিকর সেই কাজগুলো: ডিভাইস প্যাচ করুন, ম্যালওয়্যারের লক্ষ রাখুন, এবং আপনার সবচেয়ে গুরুত্বপূর্ণ অ্যাকাউন্টগুলো সিঙ্কড কীর বদলে হার্ডওয়্যারের সঙ্গে আবদ্ধ কী দিয়ে সুরক্ষিত রাখুন।
