SSO মডিউল ৪- অনলাইন নিরাপত্তা বৃদ্ধি: 2FA, এর সীমাবদ্ধতা এবং SIM Swapping-এর হুমকি অন্বেষণ

web3-এ, শক্তিশালী নিরাপত্তা ব্যবস্থা নিশ্চিত করা সর্বাধিক গুরুত্বপূর্ণ।

এমন একটি নিরাপত্তা ব্যবস্থা হলো Two-Factor Authentication (2FA), যা ব্যবহারকারীর অ্যাকাউন্ট এবং লেনদেনে অতিরিক্ত সুরক্ষা স্তর যোগ করে।

এই কোর্সে, আমরা web3-এ 2FA-এর কার্যপ্রণালী অনুসন্ধান করি, এর সীমাবদ্ধতা পরীক্ষা করি এবং SIM swapping-এর ক্রমবর্ধমান হুমকির উপর আলোকপাত করি।

Web3-এ 2FA বোঝা

Two-Factor Authentication হলো একটি নিরাপত্তা ব্যবস্থা যা অ্যাকাউন্টে প্রবেশের জন্য ব্যবহারকারীদের দুটি ভিন্ন প্রমাণীকরণ উপাদান প্রদান করতে বাধ্য করে।

এর উদ্দেশ্য হলো পাসওয়ার্ড চোরের মতো সাধারণ কিছু একটি পলকে আপনার সব তহবিল শূন্য করে দেওয়ার ঝুঁকি কমিয়ে আপনার অর্থ যতটা সম্ভব সুরক্ষিত রাখা।

এই প্রমাণীকরণ উপাদানগুলো তিনটি শ্রেণিতে পড়ে:

1. Something You Know: এর মধ্যে রয়েছে পাসওয়ার্ড, PIN বা নিরাপত্তা প্রশ্ন।
2. Something You Have: একটি ভৌত ডিভাইস, যেমন স্মার্টফোন বা হার্ডওয়্যার টোকেন, যা সময়-সংবেদনশীল কোড তৈরি করে।
3. Something You Are: আঙুলের ছাপ বা মুখ শনাক্তকরণের মতো বায়োমেট্রিক ডেটা।

web3 জগতে, 2FA-এর সবচেয়ে সাধারণ প্রয়োগ হলো একটি পাসওয়ার্ড (something you know) এর সাথে স্মার্টফোন অ্যাপ দ্বারা তৈরি একটি সময়-সংবেদনশীল কোড (something you have) একত্রিত করা।

Source: Swoopnow

এই গতিশীল কোডটি প্রতি কয়েক সেকেন্ডে পরিবর্তিত হয়, ফলে আক্রমণকারীরা পাসওয়ার্ড পেয়ে গেলেও অননুমোদিত অ্যাক্সেস পাওয়া তাদের জন্য অত্যন্ত কঠিন হয়ে পড়ে।

2FA হলো সেন্ট্রালাইজড এক্সচেঞ্জে (CEX) একটি আদর্শ প্রথা, KYC-র মতোই গুরুত্বপূর্ণ একটি অবশ্যপালনীয় প্রক্রিয়া।

CEX-গুলো প্রায়ই নিজস্ব “অথেনটিকেটর” তৈরি করে, যেমন Binance Authenticator, যা QR কোড ও ১৬-সংখ্যার কী-এর মাধ্যমে আপনার অ্যাকাউন্টে প্রবেশ করতে দেয়।

Source: Binance

2FA-এর সীমাবদ্ধতা

কার্যকারিতা সত্ত্বেও, 2FA-এর কিছু নির্দিষ্ট সীমাবদ্ধতা রয়েছে:

1. ফিশিং আক্রমণ: যদি ব্যবহারকারীদের ভুয়া ওয়েবসাইট বা ইমেইলের মাধ্যমে তাদের ক্রেডেনশিয়াল প্রকাশ করতে প্রতারিত করা হয়, তাহলে 2FA অননুমোদিত অ্যাক্সেস সম্পূর্ণভাবে প্রতিরোধ নাও করতে পারে।
2. ডিভাইস নির্ভরতা: 2FA-এর জন্য একক ডিভাইসের উপর নির্ভর করা একটি একক ব্যর্থতার কারণ হতে পারে। ডিভাইস হারানো বা প্রযুক্তিগত সমস্যার সম্মুখীন হলে ব্যবহারকারীরা তাদের অ্যাকাউন্ট থেকে লক আউট হতে পারেন।
3. সোশ্যাল ইঞ্জিনিয়ারিং: দক্ষ আক্রমণকারীরা গ্রাহকসেবা প্রতিনিধিদের ম্যানিপুলেট করে একজন ব্যবহারকারীর 2FA নতুন ডিভাইসে স্থানান্তর করাতে পারে, যার ফলে অননুমোদিত অ্যাক্সেস পায়। SIM Swapping-এর হুমকি

web3 জগতে, SIM swapping একটি উল্লেখযোগ্য হুমকি হিসেবে আবির্ভূত হয়েছে।

SIM swapping-এ একজন দূষিত অভিনেতা ব্যবহারকারীর মোবাইল ক্যারিয়ারকে প্রতারিত করে তাদের ফোন নম্বর আক্রমণকারীর নিয়ন্ত্রণাধীন একটি নতুন SIM কার্ডে স্থানান্তর করায়।

একবার এটি সম্পন্ন হলে, আক্রমণকারী SMS-এর মাধ্যমে পাঠানো 2FA কোড আটকে দিতে পারে।

সূত্র: SimSwapLaw

web3-এর প্রেক্ষাপটে SIM swapping-এর প্রভাব মারাত্মক।

যদি কোনো আক্রমণকারী ভুক্তভোগীর ফোন নম্বরের নিয়ন্ত্রণ পায়, তবে তারা সম্ভাব্যভাবে 2FA বাইপাস করে ক্রিপ্টো ওয়ালেট, dApps এবং অন্যান্য সংবেদনশীল অ্যাকাউন্টে প্রবেশাধিকার পেতে পারে।

এতে অনেক ব্যক্তির উল্লেখযোগ্য আর্থিক ক্ষতি হয়েছে।

2018 সালে, ক্রিপ্টো বিনিয়োগকারী Michael Terpin $23.8 মিলিয়ন মূল্যের এক বিস্ময়কর SIM swap আক্রমণের শিকার হন। 2021 সালের অক্টোবরে, Coinbase প্রকাশ করে যে সাইবার অপরাধীরা সিম সোয়াপিংয়ের মাধ্যমে তাদের 2FA সিস্টেমে breaches-এর ফলে ন্যূনতম 6,000 ব্যবহারকারীর কাছ থেকে অবৈধভাবে ক্রিপ্টোকারেন্সি নিয়েছে।

“যেহেতু Web3-এর জনপ্রিয়তা বাড়ছে এবং আরও বেশি মানুষকে এই শিল্পে আকর্ষণ করছে, সিম সোয়াপিং আক্রমণের সম্ভাবনাও বাড়ছে কারণ এর প্রযুক্তিগত প্রয়োজনীয়তা তুলনামূলকভাবে কম।” সম্প্রতি ব্লকচেইন সিকিউরিটি ফার্ম Slowmist-এর CISO-কে বলেছেন CoinTelegraph.

গত কয়েক সপ্তাহে ক্রিপ্টো জগতে একগুচ্ছ সিম সোয়াপিং আক্রমণ সেই কথাগুলোর সত্যতা প্রমাণ করেছে।

জুন 2023 থেকে, 30+ এরও বেশি ক্রিপ্টো প্রকল্প সিম সোয়াপিং আক্রমণের লক্ষ্যবস্তু হয়েছে, যা টুইটার অ্যাকাউন্টের নিয়ন্ত্রণ নিতে এবং ওয়ালেট ড্রেনার পোস্ট করতে ব্যবহৃত হয়। একটি একক আক্রমণে, কমপক্ষে $765K মূল্যের NFT চুরি হয়েছে Gutter Cat Gang টুইটার অ্যাকাউন্ট হ্যাক হয়েছিল সিম স্ব্যাপিংয়ের মাধ্যমে।

সূত্র: Matt Medev, NFT Now-এর সহ-প্রতিষ্ঠাতা, CEO ও EIC

হুমকি প্রশমিত করা

সিম স্ব্যাপিংয়ের সাথে সম্পর্কিত ঝুঁকি মোকাবিলা করতে এবং web3-এ নিরাপত্তা বাড়াতে কয়েকটি পদক্ষেপ নেওয়া যেতে পারে:

1. অথেনটিকেটর অ্যাপ: Google Authenticator বা Authy-এর মতো ডেডিকেটেড 2FA অ্যাপ ব্যবহার করলে কোড অফলাইনে তৈরি হয়, যা সিম স্ব্যাপিংয়ের প্রতি দুর্বলতা কমায়।
2. আপনার ফোন নম্বরের বাইরে একটি অথেনটিকেটর সিস্টেম ব্যবহার করতে যদি আপনার অনীহা থাকে:

• তবুও আপনার উচিত যত কম সম্ভব মানুষকে আপনার ফোন নম্বর জানানো এবং কখনোই সোশ্যাল মিডিয়ায়, Linkedin-সহ, তা প্রকাশ না করা। পাশাপাশি নাম, ঠিকানা ও জন্মতারিখের মতো ব্যক্তিগত তথ্য সুরক্ষিত রাখা, যা আপনার ফোন নম্বর উদ্ধার করতে ব্যবহার করা যেতে পারে।
• সর্বোত্তম কৌশল যা আপনি প্রয়োগ করতে পারেন তা হলো এমন একটি সিম রাখা যা শুধুমাত্র আপনাকে প্রমাণীকরণের জন্য নিবেদিত। যার সংশ্লিষ্ট ফোন নম্বর আপনি ছাড়া অন্য কারও কাছে প্রকাশ করা হয় না।

3. হার্ডওয়্যার টোকেন: YubiKey-এর মতো হার্ডওয়্যার ডিভাইস 2FA কোড তৈরি করার একটি ভৌত উপায় প্রদান করে এবং SIM swapping থেকে সুরক্ষিত।

4. মাল্টি-সিগনেচার ওয়ালেট: মাল্টি-সিগনেচার ওয়ালেট ব্যবহার নিরাপত্তার একটি অতিরিক্ত স্তর যোগ করে, যেখানে লেনদেন অনুমোদনের জন্য একাধিক ডিভাইস বা পক্ষের প্রয়োজন হয়।

5. লেনদেন 2FA: Nefture-এ আমরা একটি 2FA লেনদেন ব্যবস্থা তৈরি করেছি যা আপনার প্রতিটি লেনদেন সম্পর্কে আপনাকে সতর্ক করে, আপনার যাচাই চায় এবং এর সাথে সম্পর্কিত সম্ভাব্য ঝুঁকি(গুলো) সম্পর্কে আপনাকে জানায়।

উন্নত অ্যালগরিদমের মাধ্যমে যা লেনদেন পর্যবেক্ষণ করে এবং রিয়েল-টাইমে সম্ভাব্য ঝুঁকি শনাক্ত করে, লেনদেনের ধরন, ব্লকচেইন ডেটা এবং ঐতিহাসিক ডেটা বিশ্লেষণ করে অস্বাভাবিকতা, প্রতারণামূলক কার্যকলাপ এবং সন্দেহজনক আচরণ শনাক্ত করে, ব্যবহারকারীকে**** ****তারা যে লেনদেনে অংশ নিতে চায় তার সাথে জড়িত ঝুঁকি সম্পর্কে আগাম সতর্ক করা হয় এবং রিয়েল-টাইমে যথাযথ পদক্ষেপ নিতে সক্ষম হয়।

উপসংহারে, 2FA web3 পরিবেশে নিরাপত্তা অনেক বাড়ালেও এর সীমাবদ্ধতা এবং SIM swapping-এর আসন্ন হুমকি উপেক্ষা করা যায় না।

সর্বোচ্চ সুরক্ষা নিশ্চিত করতে ব্যবহারকারীদের অবশ্যই authenticator অ্যাপ এবং হার্ডওয়্যার টোকেন ব্যবহারের মতো সেরা অনুশীলন গ্রহণ করতে হবে।

web3 যেভাবে ক্রমাগত বিকশিত হচ্ছে, তেমনি উদীয়মান হুমকি ও দুর্বলতা মোকাবিলায় আমাদের নিরাপত্তা ব্যবস্থাও বিকশিত হতে হবে।

সারসংক্ষেপ

অভিনন্দন! আপনি মডিউল 4- Enhancing Security in Web3: Exploring 2FA, its Limitations, and the Menace of SIM Swapping সম্পন্ন করেছেন

আপনার শেখাগুলো একবার দেখে নিই:

Web3-এ 2FA: টু-ফ্যাক্টর অথেন্টিকেশন (2FA) হলো একটি নিরাপত্তা পদ্ধতি যা অ্যাকাউন্টে প্রবেশের জন্য দুটি ভিন্ন যাচাইকরণ উপাদান ব্যবহার করে।

• ধরন:
• জ্ঞান (যেমন, পাসওয়ার্ড)
• অধিকার (যেমন, সময়-সংবেদনশীল কোড তৈরি করা স্মার্টফোন)
• অন্তর্নিহিততা (যেমন, ফিঙ্গারপ্রিন্ট)।
• প্রয়োগ: web3-এ, পাসওয়ার্ডের সাথে স্মার্টফোনে তৈরি একটি গতিশীল কোডের সমন্বয় সাধারণ।

কেন্দ্রীভূত এক্সচেঞ্জ (CEX) ও 2FA: CEX-গুলো 2FA ব্যাপকভাবে ব্যবহার করে। যেমন, Binance-এর নিজস্ব “authenticator” আছে যা QR কোড ও একটি কী ব্যবহার করে।

2FA-এর সীমাবদ্ধতা:

• ফিশিং আক্রমণের প্রতি ঝুঁকিপূর্ণ।
• ডিভাইস-নির্ভরতা: হারানো বা ত্রুটিপূর্ণ ডিভাইস ব্যবহারকারীদের লক আউট করতে পারে।
• সোশ্যাল ইঞ্জিনিয়ারিং: আক্রমণকারীরা কারসাজিমূলক কৌশলে 2FA বাইপাস করতে পারে।

SIM সোয়াপিং:

• হুমকি: আক্রমণকারীরা মোবাইল অপারেটরকে প্রতারিত করে ভিক্টিমের ফোন নম্বর স্থানান্তর করে, ফলে SMS-এ পাঠানো 2FA কোড আটকে নেয়।
• প্রভাব: 2FA বাইপাস করলে ওয়ালেট, dApps এবং সংবেদনশীল অ্যাকাউন্টে অননুমোদিত অ্যাক্সেস পাওয়া যায়।
• উল্লেখযোগ্য ঘটনা: 2018 সালে বিনিয়োগকারী Michael Terpin-এর কাছ থেকে $23.8 মিলিয়ন চুরি এবং 2021 সালে Coinbase-এর 2FA সিস্টেমে লঙ্ঘন, যা 6,000 ব্যবহারকারীকে প্রভাবিত করে।

এই নিবন্ধটি আপনার জন্য উপস্থাপন করেছে: