1. ভূমিকা

এই গবেষণাপত্রটি আধুনিক ডিজিটাল ইকোসিস্টেমে পাসওয়ার্ড ব্যবস্থাপনার গুরুত্বপূর্ণ চ্যালেঞ্জটি সমাধান করে। নিরাপত্তা সংক্রান্ত ব্যাপক উদ্বেগ সত্ত্বেও, পাসওয়ার্ড ব্যবহারকারী প্রমাণীকরণের প্রধান রূপ হিসেবে থেকে গেছে। আমরা পাসওয়ার্ড জেনারেটরকে ঐতিহ্যগত পাসওয়ার্ড ম্যানেজারের একটি বিকল্প হিসেবে অন্বেষণ করছি, এই ধরনের সিস্টেমের জন্য প্রথম সাধারণ মডেল প্রস্তাব করছি এবং বিদ্যমান ও নতুন বাস্তবায়ন বিকল্পগুলির সমালোচনামূলক মূল্যায়ন করছি।

2. পটভূমি ও প্রেরণা

অসংখ্য শক্তিশালী, অনন্য পাসওয়ার্ড মুখস্থ করার জন্য ব্যবহারকারীদের উপর অস্থায়ী বোঝা এই গবেষণার একটি প্রাথমিক চালিকা শক্তি। গবেষণা নির্দেশ করে যে ব্যবহারকারীরা ডজন ডজন অ্যাকাউন্ট পরিচালনা করে, ফ্লোরেনসিও এবং হারলির (২০০৭) মৌলিক কাজের পর থেকে এই সংখ্যা কেবল বেড়েছে।

2.1. পাসওয়ার্ডের স্থায়িত্ব

হারলে, ভ্যান ওরসচট এবং প্যাট্রিকের আলোচনা অনুযায়ী, পাসওয়ার্ড তাদের কম খরচ, সরলতা এবং ব্যবহারকারীর পরিচিতির কারণে টিকে আছে। FIDO/UAF-এর মতো প্রতিস্থাপন প্রযুক্তিগুলি গ্রহণের বাধার সম্মুখীন হচ্ছে।

2.2. পাসওয়ার্ড ম্যানেজারের সীমাবদ্ধতা

পাসওয়ার্ড ম্যানেজারগুলি, জনপ্রিয় হওয়া সত্ত্বেও, উল্লেখযোগ্য ত্রুটি বহন করে। স্থানীয়-সংরক্ষণ ম্যানেজারগুলি গতিশীলতাকে বাধা দেয়, অন্যদিকে ক্লাউড-ভিত্তিক ম্যানেজারগুলি কেন্দ্রীয় ব্যর্থতার বিন্দু প্রবর্তন করে, যেমন বাস্তব-বিশ্বের ডেটা লঙ্ঘন দ্বারা প্রমাণিত [3, 13, 18, 19]।

3. পাসওয়ার্ড জেনারেটরের জন্য একটি সাধারণ মডেল

আমরা একটি একীভূত মডেল প্রস্তাব করছি যেখানে একটি সাইট-নির্দিষ্ট পাসওয়ার্ড $P_{site}$ একটি নির্ধারক ফাংশন $G$ এর মাধ্যমে চাহিদামাফিক তৈরি করা হয়।

3.1. মডেল উপাদান ও আনুষ্ঠানিকীকরণ

মূল জেনারেশন ফাংশনটি আনুষ্ঠানিকভাবে প্রকাশ করা যেতে পারে: $P_{site} = G(M, C, S, Aux)$। যেখানে:

  • $M$: মাস্টার সিক্রেট (যেমন, ব্যবহারকারীর পাসওয়ার্ড/বাক্যাংশ)।
  • $C$: ক্লায়েন্ট-নির্দিষ্ট ডেটা (যেমন, ডিভাইস আইডি)।
  • $S$: সার্ভার/সাইট-নির্দিষ্ট ডেটা (যেমন, ডোমেইন নাম)।
  • $Aux$: সহায়ক প্যারামিটার (যেমন, পুনরাবৃত্তি গণনা)।
ফাংশন $G$ সাধারণত একটি কী ডেরিভেশন ফাংশন (KDF) যেমন PBKDF2, bcrypt, বা scrypt।

3.2. মূল কার্যকরী প্রয়োজনীয়তা

একটি শক্তিশালী পাসওয়ার্ড জেনারেটর অবশ্যই প্রদান করবে: নির্ধারকতা (একই ইনপুট একই পাসওয়ার্ড দেয়), অনন্যতা (ভিন্ন সাইট ভিন্ন পাসওয়ার্ড দেয়), আক্রমণের বিরুদ্ধে প্রতিরোধ (প্রিমেজ, সংঘর্ষ), এবং ব্যবহারযোগ্যতা।

4. বিদ্যমান স্কিমগুলির বিশ্লেষণ

পূর্ববর্তী স্কিমগুলি (যেমন, PwdHash, SuperGenPass) প্রস্তাবিত মডেলের মধ্যে বিশ্লেষণ করা হয়েছে, তাদের $M$, $C$, $S$, এবং $G$ এর বাস্তবায়নগুলি তুলে ধরা হয়েছে।

4.1. স্কিম শ্রেণীবিভাগ

স্কিমগুলিকে শ্রেণীবদ্ধ করা যেতে পারে:

  • ইনপুট জটিলতা: সরল (মাস্টার সিক্রেট + ডোমেইন) থেকে জটিল (মাল্টি-ফ্যাক্টর)।
  • বিস্তার: ব্রাউজার এক্সটেনশন, স্ট্যান্ডালোন অ্যাপ, হার্ডওয়্যার টোকেন।
  • ক্রিপ্টোগ্রাফিক আদিম: হ্যাশ-ভিত্তিক, এনক্রিপশন-ভিত্তিক।

4.2. নিরাপত্তা ও ব্যবহারযোগ্যতার মধ্যে ট্রেড-অফ

একটি মূল সন্ধান হল অন্তর্নিহিত টান। ব্যবহারযোগ্যতাকে অগ্রাধিকার দেওয়া স্কিমগুলি (ন্যূনতম ব্যবহারকারী ইনপুট) প্রায়শই লক্ষ্যবস্তু আক্রমণের বিরুদ্ধে নিরাপত্তা দুর্বল করে। আরও বেশি ব্যবহারকারী প্রচেষ্টা দাবি করা স্কিমগুলি (যেমন, একটি কাউন্টার প্রবেশ করা) ব্যবহারিকতা হ্রাস করে।

নিরাপত্তা-ব্যবহারযোগ্যতা ট্রেড-অফ বিশ্লেষণ

উচ্চ ব্যবহারযোগ্যতা / নিম্ন নিরাপত্তা: প্রাথমিক PwdHash বৈকল্পিকের মতো স্কিমগুলি ফিশিংয়ের জন্য সংবেদনশীল যদি ডোমেইন নিষ্কাশন জাল করা হয়।

উচ্চ নিরাপত্তা / নিম্ন ব্যবহারযোগ্যতা: একটি পরিবর্তনশীল কাউন্টার ($Aux$) এর ম্যানুয়াল এন্ট্রি প্রয়োজন এমন স্কিমগুলি ব্যবহারকারীর ত্রুটি এবং ডিসিঙ্ক্রোনাইজেশনের প্রবণ।

5. অটোপাস: একটি অভিনব প্রস্তাবনা

মডেল এবং বিশ্লেষণ দ্বারা অবহিত হয়ে, আমরা অটোপাস এর একটি রূপরেখা দিচ্ছি, একটি নকশা যা পূর্ববর্তী কাজের শক্তিগুলিকে একত্রিত করতে এবং দুর্বলতাগুলি প্রশমিত করতে লক্ষ্য করে।

5.1. নকশা নীতি

  • ফিশিং প্রতিরোধ: নিরাপদ চ্যানেল এবং সাইট প্রমাণীকরণ ডেটা সংহত করুন।
  • অবস্থা সিঙ্ক্রোনাইজেশন: সহায়ক প্যারামিটারগুলি (কাউন্টারের মতো) স্বচ্ছভাবে পরিচালনা করুন যাতে ডিসিঙ্ক্রোনাইজেশন প্রতিরোধ করা যায়।
  • ক্রস-প্ল্যাটফর্ম সামঞ্জস্য: নিশ্চিত করুন যে $C$ এবং অবস্থা ব্যবহারকারীর ডিভাইস জুড়ে নিরাপদে সিঙ্ক করা আছে।

5.2. স্থাপত্য সংক্ষিপ্ত বিবরণ

অটোপাস একটি ক্লায়েন্ট-সাইড উপাদান কল্পনা করে যা একটি (ঐচ্ছিক) বিশ্বস্ত সিঙ্ক্রোনাইজেশন পরিষেবার সাথে ইন্টারঅ্যাক্ট করে। জেনারেশন ফাংশন $G_{AutoPass}$ একটি সময়-ভিত্তিক বা সার্ভার-চ্যালেঞ্জ উপাদান অন্তর্ভুক্ত করবে ব্যবহারকারীর বোঝা ছাড়াই পুনরাবৃত্তি আক্রমণ প্রতিরোধ প্রদান করতে।

অটোপাস সম্পর্কে মূল অন্তর্দৃষ্টি

  • এর অভিনবত্ব $Aux$ প্যারামিটারের ব্যবস্থাপনা স্বয়ংক্রিয় করা এবং $S$ কে প্রমাণীকৃত সেশনে নিরাপদে বাঁধার মধ্যে নিহিত।
  • এটি "স্টেটলেস" জেনারেটরগুলির প্রধান ত্রুটিটিকে সরাসরি সমাধান করে: যখন $S$ (ডোমেইন) নির্ভরযোগ্যভাবে যাচাই করা হয় না তখন ফিশিংয়ের জন্য দুর্বলতা।

6. প্রযুক্তিগত গভীর অনুসন্ধান

6.1. গাণিতিক আনুষ্ঠানিকীকরণ

একটি শক্তিশালী পাসওয়ার্ড জেনারেটরকে একটি বিশেষায়িত KDF হিসাবে দেখা যেতে পারে। অটোপাস-অনুপ্রাণিত স্কিমগুলির জন্য একটি সম্ভাব্য নির্মাণ: $$P_{site} = Truncate( HMAC( K_{derived}, S \, || \, C_{sync} \, || \, Challenge ) )$$ যেখানে: $K_{derived} = KDF(M, Salt, iterations)$, $C_{sync}$ একটি সিঙ্ক্রোনাইজড ক্লায়েন্ট অবস্থা, এবং $Challenge$ সার্ভার থেকে একটি ননস বা একটি সময়-স্লাইস। $Truncate$ ফাংশন আউটপুটটিকে নির্দিষ্ট পাসওয়ার্ড নীতির (দৈর্ঘ্য, অক্ষর সেট) সাথে খাপ খাইয়ে দেয়।

6.2. হুমকি মডেল বিশ্লেষণ

মডেলটিকে অবশ্যই প্রতিরক্ষা করতে হবে:

  • ক্লায়েন্ট আপস: আক্রমণকারী $M$ অর্জন করে। সমাধান: $M$ সুরক্ষার জন্য একটি হার্ডওয়্যার নিরাপত্তা মডিউল বা শক্তিশালী বায়োমেট্রিক্স ব্যবহার করুন।
  • ফিশিং: আক্রমণকারী ব্যবহারকারীকে জাল সাইটের জন্য পাসওয়ার্ড তৈরি করতে প্রতারিত করে। সমাধান: $S$ কে TLS সার্টিফিকেটের সাথে ক্রিপ্টোগ্রাফিকভাবে বাঁধুন বা FIDO-এর মতো দাবি ব্যবহার করুন।
  • সার্ভার লঙ্ঘন: আক্রমণকারী পাসওয়ার্ড হ্যাশ $H(P_{site})$ অর্জন করে। জেনারেটরটি নিশ্চিত করবে যে $P_{site}$ শক্তিশালী (উচ্চ এনট্রপি) ক্র্যাকিং প্রতিরোধ করার জন্য।

7. সমালোচনামূলক বিশ্লেষণ ও শিল্প দৃষ্টিভঙ্গি

মূল অন্তর্দৃষ্টি: আল মাকবালি এবং মিচেলের কাজ পাসওয়ার্ড জেনারেটরগুলির জন্য একটি গুরুত্বপূর্ণ, দীর্ঘদিন ধরে বিলম্বিত জ্ঞানের পদ্ধতিগতকরণ (SoK)। এই ক্ষেত্রটি অ্যাড-হক, বিচ্ছিন্ন প্রস্তাবনা দ্বারা ভুগেছে। একটি আনুষ্ঠানিক মডেল $P_{site} = G(M, C, S, Aux)$ প্রতিষ্ঠা করে, তারা নিরাপত্তা দাবি এবং ব্যবহারযোগ্যতার প্রতিশ্রুতি মূল্যায়নের জন্য প্রয়োজনীয় লেন্স প্রদান করে। এটি সেই গুরুত্বপূর্ণ ভূমিকাকে প্রতিফলিত করে যা আনুষ্ঠানিক মডেলগুলি অন্যান্য ক্রিপ্টোগ্রাফিক ডোমেন অগ্রসর করতে খেলেছে, যেমন এনক্রিপশনের জন্য অদৃশ্যতা কাঠামো।

যুক্তিগত প্রবাহ ও অবদান: গবেষণাপত্রের যুক্তি অমোঘ: ১) পাসওয়ার্ড সমস্যার অপরিবর্তনীয়তা স্বীকার করুন, ২) বিদ্যমান সমাধানের (পাসওয়ার্ড ম্যানেজার) ত্রুটিগুলি প্রকাশ করুন, ৩) বিকল্পের (জেনারেটর) জন্য একটি একীভূত মডেল প্রস্তাব করুন, ৪) পূর্ববর্তী কাজগুলি বিশ্লেষণ করতে মডেলটি ব্যবহার করুন, তাদের প্রায়শই উপেক্ষিত ট্রেড-অফগুলি প্রকাশ করুন, এবং ৫) একটি নতুন নকশার (অটোপাস) রূপরেখা দিন যা মডেল নিজেই প্রস্তাব করে। প্রস্তাবিত অটোপাস, সম্পূর্ণরূপে নির্দিষ্ট না হলেও, সঠিকভাবে গুরুত্বপূর্ণ অনুপস্থিত টুকরাটি চিহ্নিত করে: নিরাপদ, স্বয়ংক্রিয় অবস্থা ব্যবস্থাপনা। বর্তমান জেনারেটরগুলি হয় স্টেটলেস (ফিশিংয়ের জন্য দুর্বল) অথবা ব্যবহারকারীর উপর অবস্থা ব্যবস্থাপনা রাখে (ত্রুটির জন্য দুর্বল)। স্বচ্ছ সিঙ্ক্রোনাইজেশনের অটোপাসের দৃষ্টিভঙ্গি এটি সরাসরি মোকাবেলা করে।

শক্তি ও ত্রুটি: প্রধান শক্তি হল মডেল নিজেই—এটি সরল কিন্তু অভিব্যক্তিপূর্ণ। $S$ (সাইট প্যারামিটার) এর বিশ্লেষণ বিশেষভাবে তীক্ষ্ণ, তুলে ধরে কীভাবে ফিশিং আক্রমণগুলি মৌলিকভাবে সেই স্কিমগুলিকে দুর্বল করে যা শুধুমাত্র দৃশ্যমান ডোমেইন নামের উপর নির্ভর করে। গবেষণাপত্রের ত্রুটি, লেখকদের দ্বারা স্বীকৃত, হল অটোপাসের প্রাথমিক প্রকৃতি। এটি একটি নকশার রূপরেখা, একটি বিবরণ নয়। তদুপরি, বিশ্লেষণটি যৌক্তিক নিরাপত্তার উপর ব্যাপকভাবে ঝুঁকে পড়ে; জেনারেটর স্কিমগুলির তুলনা করে একটি কঠোর অভিজ্ঞতামূলক ব্যবহারযোগ্যতা গবেষণা অনুপস্থিত। 1Password-এর মতো ক্লাউড-ভিত্তিক ম্যানেজার ব্যবহার করার তুলনায় একটি জেনারেটরের জন্য মাস্টার সিক্রেট পরিচালনার জ্ঞানীয় বোঝা কেমন? পাসওয়ার্ড ম্যানেজার ব্যবহারযোগ্যতা নিয়ে পিয়ারম্যান এট আল. (CHI 2017) এর মতো গবেষণা নির্দেশ করে যে এটি একটি তুচ্ছ প্রশ্ন নয়।

কার্যকরী অন্তর্দৃষ্টি: নিরাপত্তা স্থপতিদের জন্য, এই গবেষণাপত্রটি একটি আদেশ: পাসওয়ার্ড জেনারেটরগুলিকে বিচ্ছিন্নভাবে মূল্যায়ন করা বন্ধ করুন। $G(M, C, S, Aux)$ মডেলটি একটি চেকলিস্ট হিসাবে ব্যবহার করুন। $S$ এর সঠিক বাস্তবায়ন কী? এটি ফিশিংযোগ্য কি? $Aux$ কীভাবে পরিচালিত হয়, এবং ব্যর্থতার ব্যয় কে বহন করে? গবেষকদের জন্য, সামনের পথটি স্পষ্ট। সর্বোচ্চ-মূল্যের কাজ হল অটোপাসের দৃষ্টিভঙ্গি পূর্ণ করা, বিশেষত সিঙ্ক্রোনাইজেশন প্রক্রিয়া। এটি কি ব্যক্তিগত ডিভাইস ব্যবহার করে একটি বিকেন্দ্রীকৃত, গোপনীয়তা-সংরক্ষণকারী পদ্ধতিতে করা যেতে পারে, অ্যাপলের iCloud কীচেনের মতো কিন্তু তৈরি করা পাসওয়ার্ডের জন্য? আরেকটি উপায় হল WebAuthn/FIDO2 প্যারাডাইমের সাথে সংহতকরণ—একটি জেনারেটরের $P_{site}$ কি একটি হার্ডওয়্যার-ব্যাকড ক্রেডেনশিয়াল থেকে উদ্ভূত হতে পারে, একটি "পাসকি জেনারেটর" তৈরি করে? গবেষণাপত্রটি সফলভাবে কথোপকথনকে "কিনা" জেনারেটরগুলি কার্যকর থেকে "কীভাবে" একটি কার্যকরী তৈরি করতে হয় তার দিকে নিয়ে যায়, যা তার সবচেয়ে উল্লেখযোগ্য অবদান।

বিশ্লেষণ কাঠামো: একটি পাসওয়ার্ড জেনারেটর স্কিম মূল্যায়ন

কেস: একটি প্রকল্পিত "সিম্পলহ্যাশ" ব্রাউজার এক্সটেনশন মূল্যায়ন করা।

  1. মডেল প্যারামিটার চিহ্নিত করুন:
    • $M$: ব্যবহারকারীর মাস্টার পাসওয়ার্ড।
    • $C$: নেই (স্টেটলেস)।
    • $S$: ব্রাউজারের অ্যাড্রেস বার থেকে নিষ্কাশিত URL ডোমেইন স্ট্রিং।
    • $Aux$: নেই।
    • $G$: $SHA256(M \, || \, S)$, ১২টি আলফানিউমেরিক অক্ষরে ছাঁটা।
  2. নিরাপত্তা মূল্যায়ন:
    • ফিশিং দুর্বলতা (গুরুতর ত্রুটি): $S$ একটি জাল ওয়েবসাইট দ্বারা তুচ্ছভাবে জাল করা যেতে পারে। জেনারেটর আক্রমণকারীর সাইটের জন্য সঠিক পাসওয়ার্ড তৈরি করবে।
    • মাস্টার সিক্রেট আক্রমণ: যদি $M$ দুর্বল হয়, অফলাইন ব্রুট-ফোর্স সম্ভব।
    • এনট্রপি: আউটপুট সমস্ত সাইটের জটিলতা নিয়ম পূরণ নাও করতে পারে।
  3. ব্যবহারযোগ্যতা মূল্যায়ন: উচ্চ। ব্যবহারকারী শুধুমাত্র $M$ মনে রাখে।
  4. উপসংহার: এই স্কিমটি ভাল ব্যবহারযোগ্যতা সত্ত্বেও ফিশিংযোগ্য $S$ প্যারামিটারের কারণে নিরাপত্তা মূল্যায়নে ব্যর্থ হয়। এটি গ্রহণ করা উচিত নয়।

8. ভবিষ্যৎ প্রয়োগ ও গবেষণা দিকনির্দেশনা

  • FIDO/WebAuthn এর সাথে সংহতকরণ: মাস্টার সিক্রেট $M$ সুরক্ষিত করতে বা $G$ এর জন্য একটি বীজ তৈরি করতে একটি হার্ডওয়্যার প্রমাণীকরণকারী ব্যবহার করুন। এটি জেনারেটরগুলির সুবিধাকে শক্তিশালী ক্রিপ্টোগ্রাফিক হার্ডওয়্যারের সাথে একত্রিত করে।
  • বিকেন্দ্রীকৃত অবস্থা সিঙ্ক্রোনাইজেশন: ব্যক্তিগত ডিভাইস ইকোসিস্টেম (যেমন, ব্লুটুথ বা পিয়ার-টু-পিয়ার প্রোটোকলের মাধ্যমে) ব্যবহার করে একটি কেন্দ্রীয় ক্লাউড পরিষেবা ছাড়াই ক্লায়েন্ট অবস্থা $C_{sync}$ এবং সহায়ক প্যারামিটার $Aux$ সিঙ্ক করতে, গোপনীয়তা বাড়াতে।
  • AI-সহায়ক নীতি সম্মতি: এমন জেনারেটরগুলি তৈরি করুন যা লক্ষ্য সাইটের পাসওয়ার্ড নীতির উপর ভিত্তি করে গতিশীলভাবে $G$ এর আউটপুট ফরম্যাট (ছাঁটা, অক্ষর সেট) সামঞ্জস্য করে, ব্রাউজার ইন্টারঅ্যাকশন বা একটি ভাগ করা ডাটাবেসের মাধ্যমে শেখা।
  • পোস্ট-কোয়ান্টাম ক্রিপ্টোগ্রাফি (PQC): কোয়ান্টাম কম্পিউটার আক্রমণের বিরুদ্ধে দীর্ঘমেয়াদী নিরাপত্তা নিশ্চিত করার জন্য $G$ এর জন্য PQC-ভিত্তিক KDF গবেষণা করুন।
  • মানককরণ: যৌক্তিক পরবর্তী পদক্ষেপ হল IETF বা W3C-এর কাছে এই মডেলের উপর ভিত্তি করে একটি আনুষ্ঠানিক মান প্রস্তাব করা, বিভিন্ন জেনারেটর ক্লায়েন্ট এবং পরিষেবাগুলির মধ্যে আন্তঃক্রিয়াশীলতা সক্ষম করা।

9. তথ্যসূত্র

  1. Al Maqbali, F., & Mitchell, C. J. (2016). Password Generators: Old Ideas and New. arXiv preprint arXiv:1607.04421.
  2. Herley, C., van Oorschot, P. C., & Patrick, A. S. (2014). Passwords: If We’re So Smart, Why Are We Still Using Them?. In Financial Cryptography and Data Security.
  3. Florêncio, D., & Herley, C. (2007). A large-scale study of web password habits. In Proceedings of the 16th international conference on World Wide Web.
  4. McCarney, D. (2013). Password Managers: Attacks and Defenses. University of British Columbia.
  5. FIDO Alliance. (2015). FIDO UAF Protocol Specification.
  6. Pearman, S., et al. (2017). Let’s Go in for a Closer Look: Observing Passwords in Their Natural Habitat. In Proceedings of the 2017 ACM SIGSAC Conference on Computer and Communications Security.
  7. Bonneau, J., Herley, C., van Oorschot, P. C., & Stajano, F. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. In 2012 IEEE Symposium on Security and Privacy.
  8. Kaliski, B. (2000). PKCS #5: Password-Based Cryptography Specification Version 2.0. RFC 2898.