Two-Factor Authentication কি এবং কেন এটি প্রয়োজন?

Two-Factor Authentication (2FA) হল একটি সুরক্ষা প্রক্রিয়া যা ব্যবহারকারীর পরিচয় নিশ্চিত করতে দুটি পৃথক উপাদান চায়। এটি সাধারণত পাসওয়ার্ড (প্রথম ফ্যাক্ট) এবং একটি অতিরিক্ত উপাদান (যেমন, OTP - One Time Password, ফিঙ্গারপ্রিন্ট, বা হার্ডওয়্যার টোকেন - দ্বিতীয় ফ্যাক্ট) এর সংমিশ্রণ হয়।

2FA হল একটি শক্তিশালী নিরাপত্তা ব্যবস্থা যা একটি একক পাসওয়ার্ডের তুলনায় বেশি সুরক্ষা প্রদান করে। এটি নিশ্চিত করে যে, শুধুমাত্র পাসওয়ার্ড জানলেই কোনো অ্যাকাউন্ট অ্যাক্সেস করা সম্ভব নয়। এর মাধ্যমে ব্যবহারকারীর নিরাপত্তা বৃদ্ধি পায়, কারণ আক্রমণকারীকে দুটি ভিন্ন ধরনের প্রমাণ দিতে হয়।

Two-Factor Authentication (2FA) এর কাজ করার পদ্ধতি

2FA সাধারণত দুটি ভিন্ন ফ্যাক্টর দিয়ে কাজ করে:

1. Something you know (Knowledge factor):
   • এটি সাধারণত পাসওয়ার্ড বা পিন হতে পারে যা ব্যবহারকারী জানে।
2. Something you have (Possession factor):
   • এটি সাধারণত একটি মোবাইল ডিভাইস, হার্ডওয়্যার টোকেন বা OTP (One Time Password) হতে পারে, যা ব্যবহারকারী তার কাছে থাকে।

এই দুটি ফ্যাক্টরের সমন্বয়ে, ব্যবহারকারীর পরিচয় নিশ্চিত করা হয়।

Two-Factor Authentication কেন প্রয়োজন?

1. পাসওয়ার্ড সুরক্ষা দুর্বলতা:
   • পাসওয়ার্ড সাধারণত কমপ্লেক্স হলেও, তা যদি চুরি বা অনুমান করা যায় (যেমন ফিশিং আক্রমণের মাধ্যমে), তবে একমাত্র পাসওয়ার্ডের মাধ্যমে অ্যাকাউন্ট অ্যাক্সেস পাওয়া সম্ভব হয়। 2FA ব্যবহারকারীকে আরও একটি স্তরের সুরক্ষা প্রদান করে, যাতে কেবল পাসওয়ার্ডের মাধ্যমেই অ্যাক্সেস সম্ভব না হয়।
2. ফিশিং আক্রমণ প্রতিরোধ:
   • ফিশিং আক্রমণের মাধ্যমে আক্রমণকারী ব্যবহারকারীর পাসওয়ার্ড চুরি করতে পারে, কিন্তু OTP বা মোবাইল ফোনের মাধ্যমে প্রাপ্ত কোড (যা পাসওয়ার্ড থেকে আলাদা) চুরি করা বেশ কঠিন।
3. ব্যবহারকারীর অ্যাকাউন্ট সুরক্ষা:
   • 2FA নিশ্চিত করে যে, শুধু পাসওয়ার্ড জানলেই অ্যাকাউন্টে প্রবেশ করা সম্ভব নয়, বরং ব্যবহারকারীকে একটি আরেকটি "তথ্য" (যেমন, OTP) প্রদান করতে হবে। এটি অ্যাকাউন্টের নিরাপত্তা আরও উন্নত করে।
4. বড় প্রতিষ্ঠানে নিরাপত্তা চাহিদা:
   • বড় প্রতিষ্ঠান এবং সংস্থাগুলি যেখানে অ্যাক্সেসের জন্য সংবেদনশীল ডেটা থাকে, সেখানে 2FA ব্যবহার করা একটি প্রয়োজনীয় নিরাপত্তা ব্যবস্থা।
5. নতুন নিরাপত্তা স্ট্যান্ডার্ড:
   • অনেক বড় প্রতিষ্ঠান যেমন গুগল, ফেসবুক, ব্যাংকিং সিস্টেম এবং অন্যান্য সেবাগুলি ইতিমধ্যেই তাদের সিস্টেমে 2FA ব্যবহার শুরু করেছে। এটি এখন নিরাপত্তার জন্য একটি অত্যন্ত গুরুত্বপূর্ণ ফিচার।

Spring Security-তে Two-Factor Authentication কনফিগারেশন

Spring Security তে 2FA বাস্তবায়ন করতে আপনি সাধারণত OTP বা TOTP (Time-based One-Time Password) ব্যবহার করতে পারেন। এখানে আমরা OTP-based 2FA কনফিগারেশনের উদাহরণ দেব।

ধাপ ১: ডিপেন্ডেন্সি যোগ করা

Spring Security 2FA বাস্তবায়ন করতে spring-security এবং spring-boot-starter ডিপেন্ডেন্সি ব্যবহার করতে হবে।

Maven:

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-otp</artifactId>
    <version>1.0.0</version>
</dependency>

Gradle:

implementation 'org.springframework.boot:spring-boot-starter-security'
implementation 'org.springframework.security:spring-security-otp:1.0.0'

ধাপ ২: OTP (One Time Password) জেনারেশন

OTP ব্যবহার করতে হলে, আপনি একটি OTP সার্ভিস তৈরি করতে পারেন। Spring Security এর সাথে OTP পাঠানোর জন্য সাধারণত SMS API (যেমন Twilio বা Nexmo) বা Email ব্যবহার করা হয়।

import org.springframework.stereotype.Service;

@Service
public class OTPService {

    public String generateOTP(String user) {
        // OTP জেনারেট করার জন্য কোনো লাইব্রেরি বা কাস্টম লজিক ব্যবহার করতে পারেন
        return "123456";  // উদাহরণস্বরূপ একটি স্ট্যাটিক OTP
    }

    public boolean validateOTP(String otp, String user) {
        // OTP যাচাই করার জন্য
        return otp.equals("123456");  // উদাহরণস্বরূপ
    }
}

ধাপ ৩: 2FA কনফিগারেশন

2FA বাস্তবায়ন করার জন্য, Spring Security কনফিগারেশন ক্লাসে অতিরিক্ত স্টেপ যোগ করতে হবে।

import org.springframework.context.annotation.Configuration;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
                .antMatchers("/login", "/login/otp").permitAll() // Login and OTP pages accessible to everyone
                .anyRequest().authenticated()  // Other pages require authentication
            .and()
            .formLogin()
                .loginPage("/login")
            .and()
            .addFilterBefore(new OTPAuthenticationFilter(), UsernamePasswordAuthenticationFilter.class); // Custom filter for OTP authentication
    }
}

ধাপ ৪: OTP Authentication Filter

OTP যাচাইয়ের জন্য একটি কাস্টম ফিল্টার তৈরি করা হয় যা OTP ইনপুট সংগ্রহ করবে এবং যাচাই করবে।

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;

@WebFilter("/login/otp")
public class OTPAuthenticationFilter implements Filter {

    private final OTPService otpService;

    public OTPAuthenticationFilter(OTPService otpService) {
        this.otpService = otpService;
    }

    @Override
    public void doFilter(javax.servlet.ServletRequest request, javax.servlet.ServletResponse response,
                         FilterChain chain) throws IOException, ServletException {

        HttpServletRequest httpRequest = (HttpServletRequest) request;
        String otp = httpRequest.getParameter("otp");
        
        if (otpService.validateOTP(otp, httpRequest.getUserPrincipal().getName())) {
            chain.doFilter(request, response); // OTP valid, continue request processing
        } else {
            ((HttpServletResponse) response).sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid OTP");
        }
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {}

    @Override
    public void destroy() {}
}

ধাপ ৫: OTP-ভিত্তিক লগইন পৃষ্ঠা

লগইন পৃষ্ঠায় পাসওয়ার্ড এবং OTP ইনপুট করতে হবে:

login.html

<form action="/login" method="post">
    <label for="username">Username</label>
    <input type="text" id="username" name="username" required>

    <label for="password">Password</label>
    <input type="password" id="password" name="password" required>

    <button type="submit">Login</button>
</form>

otp.html

<form action="/login/otp" method="post">
    <label for="otp">Enter OTP</label>
    <input type="text" id="otp" name="otp" required>

    <button type="submit">Verify OTP</button>
</form>

উপসংহার

Two-Factor Authentication (2FA) একটি গুরুত্বপূর্ণ নিরাপত্তা স্তর, যা ব্যবহারকারীর অ্যাকাউন্টকে অতিরিক্ত সুরক্ষা প্রদান করে। Spring Security-তে 2FA বাস্তবায়ন করতে OTP বা TOTP ব্যবহার করা যেতে পারে, যা একটি সাধারণ এবং শক্তিশালী পদ্ধতি। এটি পাসওয়ার্ড এবং একটি অতিরিক্ত উপাদান দিয়ে প্রমাণীকরণ নিশ্চিত করে, যা সিস্টেমের নিরাপত্তা বৃদ্ধি করে এবং আক্রমণকারীদের অ্যাক্সেস করা কঠিন করে।