Two-factor authentication (2FA)-এর জন্য password ছাড়াও identity-র একটা দ্বিতীয় প্রমাণ লাগে — সাধারণত একজন মানুষ যা জানে (password) তার পাশাপাশি যা তার কাছে আছে (একটা phone)। এর পুরো উদ্দেশ্য: একা চুরি বা leaked একটা password ঢোকার জন্য আর যথেষ্ট না।
| Method | কীভাবে কাজ করে | Security level |
|---|---|---|
| Authenticator app | Phone-এই offline generate হওয়া একটা time-based code (Google Authenticator, Authy, ইত্যাদি) | সবচেয়ে শক্তিশালী common option |
| Hardware security key | Confirm করতে plug in বা tap করা একটা physical USB/NFC key | সামগ্রিকভাবে সবচেয়ে শক্তিশালী, প্রতিদিনের account-এর জন্য কম common |
| SMS text code | Text message-এ পাঠানো একটা code | সবচেয়ে দুর্বল — SIM-swapping-এর জন্য দুর্বল |
| Email code | একটা backup email-এ পাঠানো একটা code | শুধু সেই email account-এর নিজের security-র মতোই শক্তিশালী |
SMS 2FA SIM swapping-এর মাধ্যমে bypass করা যায় — একজন attacker একটা mobile carrier-কে একটা phone number তাদের নিয়ন্ত্রণে থাকা একটা SIM card-এ transfer করাতে রাজি করায়, প্রায়ই কোনো technical hack-এর বদলে carrier-এর support staff-এর বিরুদ্ধে social engineering ব্যবহার করে। এটা সফল হলে, আসল মালিকের জন্য পাঠানো প্রতিটা SMS code সরাসরি attacker-এর কাছে যায়। এটা এখনো কোনো 2FA না থাকার চেয়ে অনেক ভালো, শুধু আসল option-গুলোর মধ্যে সবচেয়ে দুর্বল।
প্রায় প্রতিটা major service একই pattern follow করে: account security setting খুলুন, "Two-Factor Authentication" বা "2-Step Verification" খুঁজুন, method হিসেবে একটা authenticator app বেছে নিন, authenticator app দিয়ে দেখানো QR code scan করুন, আর confirm করতে এটা generate করা six-digit code লিখুন। এই পয়েন্টে service কিছু one-time backup code-ও দেবে।
সবসময় backup code save করুন
Setup-এর সময় দেওয়া backup code কোথাও নিরাপদ আর offline জায়গায় save করুন — একটা password manager-এর secure note, বা print করে physically store করা। Authenticator app সহ phone আর এই code দুটোই হারানো মানে একটা account থেকে permanent lockout হতে পারে।
