এআই-এর যুগে পাসওয়ার্ড: ঝুঁকি, এআই এবং পাসওয়ার্ডবিহীন ভবিষ্যৎ

হোম » প্রযুক্তি » এআই-এর যুগে পাসওয়ার্ড: ঝুঁকি, এআই এবং পাসওয়ার্ডবিহীন ভবিষ্যৎ

কৃত্রিম বুদ্ধিমত্তার বিপ্লবের মাঝে পাসওয়ার্ড এক কঠিন পরীক্ষার সম্মুখীন হচ্ছে । এটি এখনও বিশ্বের সবচেয়ে বহুল প্রচলিত প্রমাণীকরণ ব্যবস্থা, কিন্তু এআই, সাইবার আক্রমণ এবং অটোমেশনের প্রতিটি অগ্রগতি অন্য এক যুগে জন্ম নেওয়া এই মডেলটির উপর আরও বেশি চাপ সৃষ্টি করছে। এদিকে, লক্ষ লক্ষ ব্যবহারকারী তাদের ইমেল, ব্যাংকিং এবং সোশ্যাল মিডিয়া অ্যাকাউন্ট এমন পাসওয়ার্ড দিয়ে সুরক্ষিত রাখছেন যা একজন আধুনিক আক্রমণকারী কয়েক সেকেন্ডের মধ্যেই ভেঙে ফেলতে পারে।

একই সাথে, সব অ্যাকাউন্ট পাসওয়ার্ডবিহীন জগতে প্রবেশের জন্য প্রস্তুত নয় । পাসকি, বায়োমেট্রিক প্রমাণীকরণ এবং জিরো ট্রাস্ট মডেলের উন্নতি হচ্ছে বটে, কিন্তু এগুলো ক্লাসিক লগইন ফর্ম এবং পুরোনো পরিষেবাগুলোর সাথে সহাবস্থান করে, যেগুলো এখনও সেই 'আপনার জানা কোনো কিছুর' উপর নির্ভর করে। এই প্রেক্ষাপটে, পাসওয়ার্ড কেন আগের চেয়ে বেশি গুরুত্বপূর্ণ, কীভাবে এআই সেগুলোকে চ্যালেঞ্জ করছে এবং আমাদের কাছে আসল বিকল্প কী আছে—এই বিষয়গুলো বোঝা এখন আর কোনো প্রযুক্তিগত বিষয় নয়: এটি ডিজিটাল জগতে টিকে থাকার একটি মৌলিক প্রশ্ন।

এআই-এর যুগেও কেন পাসওয়ার্ড অপরিহার্য

আজকাল ব্যক্তিগত ও প্রাতিষ্ঠানিক তথ্য নগদ অর্থে পরিণত হয়েছে । ফাঁস হওয়া একটি পাসওয়ার্ড গোপন ফোরামে কয়েক ডলারে বিক্রি করা যায়, কিন্তু সেই পাসওয়ার্ড যদি কোনো প্রাতিষ্ঠানিক ইমেইল, অভ্যন্তরীণ ফাইল সিস্টেম বা ব্যাংক অ্যাকাউন্টের দরজা খুলে দেয়, তবে এর আর্থিক প্রভাব কয়েক লক্ষ ইউরো পর্যন্ত পৌঁছাতে পারে।

অনলাইন ব্যাংকিং, ইমেল, মেডিকেল রেকর্ড, সোশ্যাল মিডিয়া এবং ক্লাউড-ভিত্তিক কাজের সরঞ্জামের মতো বিভিন্ন পরিষেবা এখনও প্রাথমিক অ্যাক্সেস কন্ট্রোল হিসেবে পাসওয়ার্ডের উপর নির্ভর করে। যদি কেউ 'password123' বা এই ধরনের কোনো দুর্বল পাসওয়ার্ড দিয়ে লগ ইন করে, তবে তা ডিজিটাল জগতে আপনার সদর দরজা খোলা রেখে তাতে 'না-কেটে ভেতরে আসুন' লেখা একটি সাইনবোর্ড ঝুলিয়ে দেওয়ার মতোই।

গবেষণায় দেখা গেছে যে, প্রায় অর্ধেক অ্যাপ্লিকেশন কোনো অতিরিক্ত নিরাপত্তা ব্যবস্থা ছাড়াই শুধুমাত্র পাসওয়ার্ডের ওপর নির্ভর করে। এর ওপর, খুব কম সংখ্যক ব্যবহারকারীই প্রতিটি পরিষেবার জন্য আলাদা পাসওয়ার্ড ব্যবহার করেন। বাস্তবতার সাথে এর বিরাট বৈপরীত্য রয়েছে: বেশিরভাগ মানুষ ৭০ থেকে ১০০টি অনলাইন অ্যাকাউন্ট পরিচালনা করেন, অথচ আমরা বড়জোর ৫ থেকে ৭টি ভিন্ন পাসওয়ার্ড মনে রাখতে পারি।

আমরা যা মনে রাখতে পারি এবং প্রতিদিন যতগুলো অ্যাকাউন্ট ব্যবহার করি, এই দুইয়ের মধ্যেকার ব্যবধানটি কিছু বিপজ্জনক অভ্যাসের জন্ম দেয়: যেমন—পাসওয়ার্ড পুনরায় ব্যবহার করা, এনক্রিপ্ট না করা নোটে লিখে রাখা, বা অনিরাপদ মাধ্যমে তা শেয়ার করা । যদিও আপনি সম্ভবত এমনটা করেন না, তবুও অনেকেই নোটস অ্যাপে বা মনিটরে লাগানো কাগজের টুকরোতে পাসওয়ার্ড সংরক্ষণ করেন, যা মোটামুটি গোছানো যেকোনো আক্রমণকারীর কাজকে অনেক সহজ করে দেয়।

এআই জটিলতার আরেকটি স্তর যোগ করে: ব্রুট-ফোর্স , ডিকশনারি এবং ক্রেডেনশিয়াল স্টাফিং অ্যাটাক এখন শিল্প পর্যায়ে স্বয়ংক্রিয় এবং অপ্টিমাইজ করা যেতে পারে । যা আগে সময়, প্রচেষ্টা এবং কিছু প্রযুক্তিগত দক্ষতার প্রয়োজন হতো, তা এখন উন্নত সরঞ্জাম দিয়ে পরিচালনা করা যায়, যা বাস্তব ডেটা লঙ্ঘনের ঘটনা থেকে শেখা লক্ষ লক্ষ সংমিশ্রণ পরীক্ষা করে।

দৈর্ঘ্য, জটিলতা এবং এনট্রপি: কী একটি পাসওয়ার্ডকে সত্যিকারের শক্তিশালী করে তোলে

সবচেয়ে প্রচলিত ভুল ধারণাগুলোর মধ্যে একটি হলো, যে পাসওয়ার্ড 'দেখতে জটিল' তা এমনিতেই সুরক্ষিত । বড় হাতের অক্ষর যোগ করা, অক্ষরের বদলে সংখ্যা ব্যবহার করা, বা কোনো প্রতীক অন্তর্ভুক্ত করা পাসওয়ার্ডকে শক্তিশালী বলে মনে করায়, কিন্তু আধুনিক আক্রমণ পদ্ধতির বিরুদ্ধে নির্ণায়ক বিষয়টি হলো অন্য কিছু: এর দৈর্ঘ্য।

যখন কোনো আক্রমণকারী কোনো বড় কোম্পানির ফাঁস হওয়া ক্রেডেনশিয়াল ডেটাবেসে অ্যাক্সেস পায়, তখন পাসওয়ার্ডগুলো সাধারণত প্লেইন টেক্সটে নয়, বরং এনক্রিপ্টেড হ্যাশ হিসেবে সংরক্ষিত থাকে । আসল পাসওয়ার্ড পুনরুদ্ধার করার জন্য, তারা ক্র্যাকিং কৌশল ব্যবহার করে: তারা পাসওয়ার্ডের অনুমান তৈরি করে, সেগুলোকে একইভাবে এনক্রিপ্ট করে এবং মিল না পাওয়া পর্যন্ত ফলাফলগুলো তুলনা করতে থাকে।

সেই পরিস্থিতিতে, পাসওয়ার্ড যত দীর্ঘ হবে, সম্ভাব্য সংমিশ্রণের সংখ্যাও তত দ্রুতগতিতে বাড়বে । একটি ৮-অক্ষরের পাসওয়ার্ড জিপিইউ ক্লাস্টারে বা ক্লাউড কম্পিউটিং পরিবেশে কয়েক সেকেন্ড বা মিনিটের মধ্যে ভাঙা যেতে পারে, এমনকি যদি তাতে অক্ষর, সংখ্যা এবং প্রতীক পর্যায়ক্রমে থাকে। এর বিপরীতে, একটি সুগঠিত ১৬-অক্ষরের পাসওয়ার্ড ভাঙতে বছর, শতাব্দী লেগে যেতে পারে, অথবা বর্তমান সংস্থান দিয়ে তা ভাঙা কেবল অসম্ভবই হতে পারে।

ভবিষ্যতের কোয়ান্টাম কম্পিউটারের কথা ভাবলেও, দৈর্ঘ্যই মূল পার্থক্য গড়ে দেয়: একই অক্ষর ৪০ বার ব্যবহারের মতো একটি উদ্ভট বিন্যাস তাত্ত্বিক কোয়ান্টাম ক্ষমতা দিয়েও ভাঙা প্রায় অসম্ভব হবে, অথচ আপনার ফুটবল দল বা কোনো বিখ্যাত গানের ওপর ভিত্তি করে তৈরি একটি ছোট ‘সৃজনশীল’ পাসওয়ার্ড নিমিষেই অনুমান করা যাবে।

আরও আনুষ্ঠানিক দৃষ্টিকোণ থেকে, পাসওয়ার্ডের নিরাপত্তা পরিমাপ করা হয় এনট্রপির বিটের মাধ্যমে , যা নির্দেশ করে যে এটিকে অনুমান করতে গড়ে কতবার চেষ্টা করতে হবে। ব্যবহৃত অক্ষরের সেট (বড় হাতের অক্ষর, ছোট হাতের অক্ষর, সংখ্যা, প্রতীক) যত বিস্তৃত হয় এবং সংমিশ্রণটি যত দীর্ঘ হয়, এনট্রপি তত বেশি হয় এবং ব্রুট-ফোর্স অ্যাটাক ব্যবহার করে এটি ভাঙা তত কঠিন হয়।

প্রায় ২০ বিট এনট্রপির একটি পাসওয়ার্ড প্রায় দশ লক্ষ সম্ভাব্য সংমিশ্রণ তৈরি করে, যা আধুনিক জিপিইউ ব্যবহারকারী একজন আক্রমণকারী কয়েক সেকেন্ডের মধ্যেই ভেঙে ফেলতে পারে । এর বিপরীতে, প্রায় ১০০ বিট এনট্রপির একটি পাসওয়ার্ডে এত বেশি সংমিশ্রণ থাকে যে, বাস্তবে, তা ডিক্রিপ্ট করতে কয়েক বিলিয়ন বছর সময় লাগবে। এই দুটির মধ্যে পার্থক্যটি কোনো জাদু নয়: এটি কেবল জটিলতার বাহ্যিক রূপ নয়, বরং অক্ষরগুলোর প্রকৃত দৈর্ঘ্য এবং কার্যকর বৈচিত্র্যের উপর নির্ভরশীল।

সবচেয়ে বড় ভুল: নিরাপত্তার ভার এআই-নির্মিত পাসওয়ার্ডের হাতে ছেড়ে দেওয়া।

চ্যাটবটের উত্থানের সাথে সাথে, ChatGPT, Claude বা Gemini-এর মতো মডেলকে "সংখ্যা, প্রতীক এবং অক্ষর ব্যবহার করে একটি সুরক্ষিত ১৬-অক্ষরের পাসওয়ার্ড তৈরি করতে " বলার লোভ সামলানো কঠিন। কাগজে-কলমে এটি নিখুঁত শোনায়: মডেলটি জটিল স্ট্রিং তৈরি করে, যা পড়া কঠিন এবং এক নজরে মনে রাখা অসম্ভব, এবং যা পাসওয়ার্ড ম্যানেজারগুলোর দেওয়া পাসওয়ার্ডের মতোই।

সমস্যাটি হলো, অভ্যন্তরীণভাবে ল্যাঙ্গুয়েজ মডেলগুলো সত্যিকারের র‍্যান্ডমনেস তৈরি করার জন্য ডিজাইন করা হয় না । যে ডেটার ওপর ভিত্তি করে তাদের প্রশিক্ষণ দেওয়া হয়েছে, তার ওপর নির্ভর করে পরবর্তী সবচেয়ে সম্ভাব্য টেক্সট (টোকেন) ভবিষ্যদ্বাণী করার মাধ্যমে তারা কাজ করে। একটি শক্তিশালী পাসওয়ার্ডের জন্য যা প্রয়োজন, এটি তার ঠিক বিপরীত; কারণ একটি শক্তিশালী পাসওয়ার্ডের জন্য সমানভাবে সম্ভাব্য এবং অপ্রত্যাশিত বিকল্প প্রয়োজন।

এআই নিরাপত্তা বিশেষজ্ঞদের সাম্প্রতিক গবেষণায় দেখা গেছে যে, যখন এই মডেলগুলোকে কয়েক ডজন “অনন্য” পাসওয়ার্ড তৈরি করতে বলা হয়েছিল, তখন খুব স্পষ্ট এবং পুনরাবৃত্তিমূলক কিছু প্যাটার্ন উঠে আসে । ক্লদ-কে নিয়ে করা পরীক্ষায় দেখা গেছে, অনেক পাসওয়ার্ড একই অক্ষর দিয়ে শুরু হয়েছে এবং দ্বিতীয় অক্ষরটি প্রায় সবসময়ই একই সংখ্যা ছিল; এছাড়াও, বর্ণমালার একটি খুব ছোট অংশ পুনরায় ব্যবহার করা হয়েছিল, যার ফলে বেশিরভাগ অক্ষরই বাদ পড়েছিল।

ChatGPT-এর ক্ষেত্রেও একই রকম কিছু ঘটেছিল: প্রায় সব পাসওয়ার্ডই একই অক্ষর দিয়ে শুরু হয়েছিল এবং প্রায় অর্ধেকের দ্বিতীয় অক্ষর হিসেবে "Q" ব্যবহৃত হয়েছিল । Gemini-তেও পুনরাবৃত্তিমূলক প্যাটার্ন দেখা গিয়েছিল, যার সংমিশ্রণগুলো এলোমেলো মনে হলেও, পরিসংখ্যানগতভাবে বিশ্লেষণ করলে দেখা যায় যে সেগুলো কোনোভাবেই একটি সুষম বণ্টন ছিল না।

সবচেয়ে আশ্চর্যজনক বিষয় হলো, এই তৈরি করা পাসওয়ার্ডগুলোর অনেকগুলোতে একটিও অক্ষরের পুনরাবৃত্তি দেখা যায়নি । মানুষের চোখে, এটি একটি বিশৃঙ্খল বিন্যাসের অনুভূতি দেয়, কিন্তু সম্ভাবনার দৃষ্টিকোণ থেকে, যদি সিদ্ধান্তগুলো সত্যিই এলোমেলোভাবে নেওয়া হতো, তবে এমনটা ঘটার সম্ভাবনা অত্যন্ত কম। এটি একটি স্পষ্ট ইঙ্গিত যে মডেলটি এমন কিছু 'অভ্যন্তরীণ নিয়ম' অনুসরণ করছে যা এটিকে দেখতে যতটা মনে হয় তার চেয়ে অনেক বেশি অনুমানযোগ্য করে তোলে।

যখন এলএলএম (LLM) দ্বারা তৈরি এই পাসওয়ার্ডগুলির এনট্রপি পরিমাপ করা হয়েছিল, তখন ফলাফল ছিল ভয়াবহ: একটি সত্যিকারের র‍্যান্ডম জেনারেটর যেখানে প্রতি অক্ষরে প্রায় ৬.১৩ বিট এনট্রপি তৈরি করে , সেখানে মডেলগুলি প্রতি অক্ষরে মাত্র প্রায় ২.০৮ বিট এনট্রপি তৈরি করতে পেরেছিল। একটি ১৬-অক্ষরের পাসওয়ার্ডের ক্ষেত্রে, এর অর্থ হলো প্রায় ৯৮ বিট (যা অত্যন্ত শক্তিশালী) থেকে কমে মাত্র ২৭ বিটে নেমে আসা, যা একজন আক্রমণকারী অনায়াসে ব্রুট-ফোর্স আক্রমণের মাধ্যমে ভেঙে ফেলতে পারে।

অবশেষে, গবেষকরা বাস্তব ইন্টারনেট পরিষেবা জুড়ে এআই-দ্বারা তৈরি পাসওয়ার্ডগুলিতে কিছু বৈশিষ্ট্যসূচক প্যাটার্ন শনাক্ত করেছেন । অন্য কথায়, এমন কিছু অ্যাপ্লিকেশন এবং ওয়েবসাইট রয়েছে যা ইতিমধ্যেই পাসওয়ার্ড দ্বারা সুরক্ষিত এবং যেগুলোর কাঠামো অনুমানযোগ্য। ফলে, এগুলো বিশেষায়িত ডিকশনারি অ্যাটাকের জন্য উপযুক্ত লক্ষ্যবস্তুতে পরিণত হয়, যার মধ্যে "সাধারণ চ্যাটবট পাসওয়ার্ডের তালিকা" অন্তর্ভুক্ত থাকে।

এ কারণেই অনেক নিরাপত্তা সংস্থা এই বিষয়ে স্পষ্ট: পাসওয়ার্ড তৈরির দায়িত্ব কোনো সাধারণ এআই-এর ওপর ছেড়ে দেওয়া বুদ্ধিমানের কাজ নয় । এগুলোকে বিশ্বাসযোগ্য টেক্সট তৈরির জন্য অপ্টিমাইজ করা হয়, বিশ্লেষণ-প্রতিরোধী এলোমেলো বিন্যাস নিশ্চিত করার জন্য নয়। আপনি যদি ইতিমধ্যেই কোনো চ্যাটবট দিয়ে পাসওয়ার্ড তৈরি করে থাকেন, তবে সেগুলো পরিবর্তন করা এবং সুরক্ষার মাত্রা বাড়াতে ন্যূনতম টু-ফ্যাক্টর অথেন্টিকেশন (2FA) যোগ করা উচিত।

পাসওয়ার্ড ম্যানেজার, প্রকৃত এলোমেলোতা, এবং মৌলিক সর্বোত্তম অনুশীলন

যদি কয়েক ডজন স্বতন্ত্র, দীর্ঘ এবং জটিল পাসওয়ার্ড মুখস্থ করা অসম্ভব হয় (যা আসলেই অসম্ভব), তবে এর বাস্তবসম্মত সমাধান হলো ব্যবস্থাপনাকে কেন্দ্রীভূত করা । এখানেই পাসওয়ার্ড ম্যানেজারের ভূমিকা আসে , যা একটি মাস্টার পাসওয়ার্ড এবং ক্রমবর্ধমানভাবে অতিরিক্ত প্রমাণীকরণ ব্যবস্থা দ্বারা সুরক্ষিত একটি এনক্রিপ্টেড 'ভল্ট'-এ শক্তিশালী পাসওয়ার্ড তৈরি ও সংরক্ষণ করে।

এলএলএম-এর বিপরীতে, পাসওয়ার্ড ম্যানেজার ক্রিপ্টোগ্রাফিক র‍্যান্ডম নম্বর জেনারেটর ব্যবহার করে । এগুলি অপারেটিং সিস্টেমের এনট্রপি এবং ভৌত উৎসের (মাউসের নড়াচড়া, বিভিন্ন ঘটনার মধ্যবর্তী সময় ইত্যাদি) উপর নির্ভর করে সম্পূর্ণ অপ্রত্যাশিত বিট তৈরি করে, যেগুলিকে পরে মানুষের চোখে কোনো ‘সুন্দর’ প্যাটার্ন তৈরি না করেই ক্যারেক্টার স্ট্রিং-এ রূপান্তরিত করা হয়।

বিটওয়ার্ডেন-এর মতো টুল , যার একটি বেশ ব্যাপক ফ্রি ভার্সন রয়েছে, অথবা ১পাসওয়ার্ড-এর মতো টুল, যা একটি পেইড কিন্তু খুবই শক্তিশালী পরিষেবা , আপনাকে শুধু পাসওয়ার্ডই নয়, বরং ক্রেডিট কার্ড, সুরক্ষিত নোট এবং অন্যান্য সংবেদনশীল তথ্যও পরিচালনা করার সুযোগ দেয়। ব্যবহারকারীকে শুধুমাত্র একটি খুব শক্তিশালী মাস্টার পাসওয়ার্ড মনে রাখতে হয় (এবং আদর্শগতভাবে, টু-ফ্যাক্টর অথেনটিকেশন দিয়ে অ্যাকাউন্টটি সুরক্ষিত রাখতে হয়), বাকি সবকিছুর দায়িত্ব ম্যানেজারের উপরই বর্তায়।

শক্তিশালী পাসওয়ার্ড তৈরি করার পাশাপাশি, এই ম্যানেজারগুলিতে সাধারণত পর্যায়ক্রমিক ক্রেডেনশিয়াল রোটেশন, পরিচিত ডেটা লঙ্ঘনের জন্য সতর্কতা এবং পাসওয়ার্ড পুনঃব্যবহার যাচাইয়ের মতো বৈশিষ্ট্য অন্তর্ভুক্ত থাকে । যদি কোনো ওয়েবসাইট ডেটা লঙ্ঘনের শিকার হয় বা আপনার ডেটা ডার্ক ওয়েবের তালিকায় প্রকাশিত হয়, তবে ম্যানেজারটি আপনাকে সতর্ক করতে পারে, যাতে কেউ সেগুলোর অপব্যবহার করার আগেই আপনি প্রভাবিত পাসওয়ার্ডগুলো পরিবর্তন করতে পারেন।

আরেকটি ভালো অভ্যাস হলো যে অ্যাকাউন্টগুলো আপনি আর ব্যবহার করেন না, সেগুলো মুছে ফেলা । একটি পুরোনো মাইস্পেস প্রোফাইল, ২০০০-এর দশকের শুরুর দিকের একটি হটমেইল অ্যাকাউন্ট, বা 'শুধু একবার পরখ করে দেখার জন্য' সাইন আপ করা কোনো পরিষেবার কথা ভুলে যাওয়া সহজ। তবে, যদি আপনি কখনও সেই ইমেল ঠিকানাটি অন্য কোনো গুরুত্বপূর্ণ অ্যাকাউন্টের রিকভারি অ্যাড্রেস হিসেবে ব্যবহার করে থাকেন, তাহলে এটি আপনার নিরাপত্তা শৃঙ্খলে একটি দুর্বল সংযোগ হয়ে দাঁড়ায়।

অবশেষে, সম্ভাব্য সকল অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন চালু করা কার্যত বাধ্যতামূলক । আপনি এসএমএস, অথি (Authy) বা গুগল অথেনটিকেটর (Google Authenticator)-এর মতো অ্যাপ, বা আরও উন্নত পদ্ধতি ব্যবহার করুন না কেন, দ্বিতীয় একটি ফ্যাক্টর (কোড, ভৌত চাবি, বায়োমেট্রিক্স) বাধ্যতামূলক করা হলে, পাসওয়ার্ড ফাঁস হয়ে যাওয়ার প্রভাব ব্যাপকভাবে হ্রাস পায়।

কীভাবে এআই আক্রমণকারী এবং রক্ষাকারী উভয়কেই শক্তিশালী করে

কৃত্রিম বুদ্ধিমত্তা উভয় পক্ষের জন্যই খেলার নিয়ম বদলে দিচ্ছে। একদিকে, সাইবার অপরাধীরা এখন আর শুধুমাত্র চিরাচরিত ব্রুট ফোর্স পদ্ধতির উপর নির্ভর করে না : তারা লক্ষ লক্ষ ফাঁস হওয়া পাসওয়ার্ড দিয়ে মডেলকে প্রশিক্ষণ দেয় অত্যন্ত কার্যকর ডিকশনারি তৈরি করার জন্য, যা পাসওয়ার্ড তৈরির সময় মানুষের ব্যবহৃত প্যাটার্ন (যেমন নাম, তারিখ, দল, গানের কথা ইত্যাদি) ধরতে সক্ষম।

জেনারেটিভ নেটওয়ার্কের উপর ভিত্তি করে তৈরি PassGAN-এর মতো টুলগুলো কোনো সুস্পষ্ট, মানুষের তৈরি নিয়ম ছাড়াই বিপুল পরিমাণে পাসওয়ার্ডের অনুমান তৈরি করতে পারে । Hashcat-এর মতো প্রচলিত ইউটিলিটিগুলোর বিপরীতে, যেগুলো পরিচিত তালিকার উপর পূর্বনির্ধারিত রূপান্তর প্রয়োগ করে, এই মডেলগুলো যত বেশি চেষ্টা করে, ততই শিখতে থাকে এবং তাদের আউটপুটকে আরও উন্নত করে।

কুখ্যাত রকইউ লিক বা লিঙ্কডইন পাসওয়ার্ডের মতো ডেটাসেট ব্যবহার করে পরিচালিত পরীক্ষায় , পাসগ্যান নিয়ম-ভিত্তিক টুলগুলোর তুলনায় ৫১% থেকে ৭৩% বেশি স্বতন্ত্র পাসওয়ার্ড সঠিকভাবে অনুমান করেছে । একটি নির্দিষ্ট লিকের নমুনাগুলোর ওপর বিশেষভাবে প্রশিক্ষিত হয়ে, এটি অন্য একটি স্বাধীন সেটের প্রায় এক-চতুর্থাংশ পাসওয়ার্ড সঠিকভাবে অনুমান করতে সক্ষম হয়েছিল—যা একটি বিশেষভাবে উদ্বেগজনক পরিসংখ্যান, বিশেষ করে সেইসব ব্যবহারকারীদের কথা বিবেচনা করলে যারা বিভিন্ন পরিষেবাতে একই পাসওয়ার্ড ব্যবহার করেন।

এছাড়াও, ক্রেডেনশিয়াল স্টাফিং এবং পাসওয়ার্ড স্প্রেয়িং-এর মতো আক্রমণ কৌশলগুলো উন্নত অটোমেশন থেকে ব্যাপকভাবে উপকৃত হয় । এআই-এর সাহায্যে আক্রমণকারীরা ভুক্তভোগীর প্রোফাইলের উপর ভিত্তি করে তাদের চেষ্টা করা পাসওয়ার্ডগুলোর ক্রম এবং অগ্রাধিকার সামঞ্জস্য করতে পারে, যার ফলে রিসোর্স অপ্টিমাইজ করা যায় এবং সফল হওয়ার উচ্চ সম্ভাবনাযুক্ত কম্বিনেশনগুলোর উপর মনোযোগ কেন্দ্রীভূত করা যায়।

কিন্তু এআই আরও একটি মাত্রায় ক্ষতি বহুগুণ বাড়িয়ে দেয়: ফিশিং এবং সোশ্যাল ইঞ্জিনিয়ারিং । জেনারেটিভ মডেলগুলো ডিপফেক ব্যবহার করে ইমেল, নকল লগইন ওয়েবসাইট, এমনকি ভয়েস কলও তৈরি করতে পারে, যা পরিবারের সদস্য, বস বা সহকর্মীদেরকে উদ্বেগজনক মাত্রার বাস্তবতার সাথে অনুকরণ করে। এই পরিস্থিতিতে, আপনার পাসওয়ার্ড যতই শক্তিশালী হোক না কেন, তার কোনো লাভ হয় না, যদি আপনি সেটি এমন কোনো নকল পেজে টাইপ করেন যা সরাসরি আক্রমণকারীর কাছে পাঠিয়ে দেয়।

তবে, প্রতিরক্ষার ক্ষেত্রে এআই একটি অপরিহার্য সহযোগী হয়ে উঠেছে । অনেক নিরাপত্তা ব্যবস্থা লগইন প্যাটার্ন বিশ্লেষণ করতে এবং অস্বাভাবিক আচরণ শনাক্ত করতে মডেল ব্যবহার করে: যেমন—অপরিচিত দেশ থেকে প্রবেশ, সন্দেহজনক সময়, মানুষের সাথে অসামঞ্জস্যপূর্ণ টাইপিং গতি, বা অপ্রচলিত ডিভাইস।

উদাহরণস্বরূপ, যদি কোনো অস্বাভাবিক স্থান থেকে প্রবেশের চেষ্টা শনাক্ত করা হয় এবং তার সাথে আপাতদৃষ্টিতে একটি স্বয়ংক্রিয় কার্যকলাপের ধরণ দেখা যায় , তবে সিস্টেমটি সেই প্রচেষ্টাটি আটকে দিতে পারে, অতিরিক্ত যাচাইকরণের অনুরোধ করতে পারে, অথবা পাসওয়ার্ড পরিবর্তনে বাধ্য করতে পারে। এখানে মূল বিষয়টি হলো অবিরাম পর্যবেক্ষণ: শুধু দরজা বন্ধ রাখাই যথেষ্ট নয়; কে এবং কীভাবে প্রবেশের চেষ্টা করছে, সেদিকেও নজর রাখতে হবে।

পাসওয়ার্ডের বাইরে: এমএফএ, বায়োমেট্রিক্স, জিরো ট্রাস্ট এবং পাসকি

আক্রমণের ক্রমাগত বৃদ্ধি এবং ডিজিটাল পরিচয়ের (মানুষ ও অমানুষ উভয়ই) প্রসারের ফলে, শুধুমাত্র ইউজারনেম ও পাসওয়ার্ডের উপর ভিত্তি করে তৈরি চিরাচরিত মডেলটি অকার্যকর হয়ে পড়েছে । এখনকার প্রবণতা হলো নিরাপত্তার ভার একটিমাত্র গোপন ব্যবস্থা থেকে সরিয়ে সংকেত, প্রেক্ষাপট এবং নিরন্তর যাচাইকরণের সমন্বয়ের দিকে নিয়ে যাওয়া।

প্রথমত, মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) একটি অপরিহার্য অংশ হয়ে উঠেছে । সব ফ্যাক্টর সমানভাবে শক্তিশালী নয়: উদাহরণস্বরূপ, এসএমএস-এর মাধ্যমে পাঠানো ওয়ান-টাইম কোডগুলো ইন্টারসেপশন অ্যাটাক, সিম কার্ড ক্লোনিং বা অত্যাধুনিক ফিশিংয়ের ঝুঁকিতে থাকে। তা সত্ত্বেও, এগুলো একেবারে কিছু না থাকার চেয়ে ভালো, এবং পরবর্তী পদক্ষেপ হলো আরও সুরক্ষিত পদ্ধতিতে বিনিয়োগ করা, যেমন ডেডিকেটেড অ্যাপ, সিকিউরিটি কী, বা জালিয়াতি সুরক্ষাসহ পুশ নোটিফিকেশন।

আধুনিক মোবাইল ফোন ও ল্যাপটপে মুখমণ্ডল শনাক্তকরণ বা আঙুলের ছাপ স্ক্যানিংয়ের মতো বায়োমেট্রিক্স অত্যন্ত সুবিধাজনক অভিজ্ঞতা প্রদান করে এবং আক্রমণকারীদের জন্য কাজটা আরও কঠিন করে তোলে, যদিও এটি সম্পূর্ণ নিরাপদ নয়। ডিভাইসে সংরক্ষিত ক্রিপ্টোগ্রাফিক কী-এর সাথে মিলিত হয়ে এটি এমন সিস্টেম তৈরি করতে সাহায্য করে যেখানে ব্যবহারকারীকে কোনো পাসওয়ার্ড টাইপ করতে হয় না, ফলে ফিশিংয়ের ঝুঁকি কমে যায়।

এইখানেই পাসকি এবং পাসওয়ার্ডবিহীন সমাধানগুলো কাজে আসে , যা কোনো প্রচলিত কী-এর প্রয়োজন ছাড়াই পাবলিক-কী ক্রিপ্টোগ্রাফি ব্যবহার করে ব্যবহারকারীকে প্রমাণীকরণ করে। Okta FastPass-এর মতো পরিষেবাগুলো আপনাকে ক্রিপ্টোগ্রাফিক কী ব্যবহার করে একটি ডিভাইসকে কোনো পরিচয়ের সাথে নিরাপদে লিঙ্ক করতে এবং অ্যাক্সেস যাচাই করতে দেয়, এবং এটি Windows Hello, Apple Touch ID বা Face ID-এর মতো পদ্ধতির সাথেও সমন্বিত হয়।

এই ধরনের সমাধান কেবল ব্যবহারকারীর অভিজ্ঞতাই উন্নত করে না (ডজন ডজন পাসওয়ার্ড মনে রাখার ঝামেলা থেকে মুক্তি দেয়), বরং আক্রমণকারীর দ্বারা পুনঃব্যবহারযোগ্য ক্রেডেনশিয়াল চুরির সম্ভাবনাও ব্যাপকভাবে হ্রাস করে । এখানে নেটওয়ার্ক জুড়ে এমন কোনো 'শেয়ার্ড সিক্রেট' থাকে না যা হাতিয়ে নেওয়া যেতে পারে: যাচাইকরণ করা হয় ক্রিপ্টোগ্রাফিক চ্যালেঞ্জের মাধ্যমে, যা কেবল বৈধ ডিভাইসটিই সমাধান করতে পারে।

এর পাশাপাশি, অনেক সংস্থা জিরো ট্রাস্ট পদ্ধতি গ্রহণ করছে, যা অনুযায়ী কোনো অ্যাক্সেসকেই স্বাভাবিকভাবে বিশ্বাসযোগ্য বলে ধরে নেওয়া হয় না , এমনকি যদি তা কর্পোরেট নেটওয়ার্কের ভেতর থেকেও আসে। প্রতিটি অনুরোধ একাধিক বিষয় বিবেচনা করে মূল্যায়ন করা হয়: ব্যবহারকারী কে, তিনি কোন ডিভাইস ব্যবহার করছেন, তার অবস্থান, অ্যাক্সেসের সময়, তার সাম্প্রতিক কার্যকলাপ, ইত্যাদি।

এই মডেলে, পরিচয় ও প্রবেশাধিকার ব্যবস্থাপনা (IAM/IGA) নিরাপত্তা নিয়ন্ত্রণের কেন্দ্রবিন্দুতে পরিণত হয় । এখানে ন্যূনতম বিশেষাধিকারের নীতি, পর্যায়ক্রমিক অনুমতি পর্যালোচনা এবং ঝুঁকির সংকেতগুলোর রিয়েল-টাইম পারস্পরিক সম্পর্ক স্থাপন প্রয়োগ করা হয়। যখন কোনো কিছু প্রত্যাশিত ধারা থেকে বিচ্যুত হয়, তখন সিস্টেমটি তাৎক্ষণিকভাবে বিশেষাধিকার প্রত্যাহার করতে পারে অথবা আরও যাচাইকরণের প্রয়োজন হতে পারে।

নতুন ফ্রন্ট: এআই এজেন্টের পরিচয় এবং অ-মানবিক অ্যাকাউন্ট

স্বায়ত্তশাসিত এজেন্টসহ কৃত্রিম বুদ্ধিমত্তার আবির্ভাব বিষয়টিকে আরও জটিল করে তুলেছে। এই এজেন্টগুলো শুধু সিস্টেমকে প্রশ্নই করে না, বরং সেগুলোর ভেতরে থেকেই কাজও করে : তারা প্রমাণীকরণ করে, এপিআই (API) কল করে, ডেটা পড়ে ও লেখে এবং এমনকি কোম্পানির পক্ষ থেকে পরিচালন সংক্রান্ত সিদ্ধান্তও গ্রহণ করে।

এই ধরনের প্রতিটি এজেন্টের নিজস্ব পরিচয় অথবা অন্ততপক্ষে এক সেট ক্রেডেনশিয়াল প্রয়োজন । এটি আক্রমণের ক্ষেত্রকে উল্লেখযোগ্যভাবে প্রসারিত করে, কারণ আমরা এপিআই কী, ওঅথ টোকেন, সার্ভিস অ্যাকাউন্ট এবং অন্যান্য গোপনীয় তথ্য নিয়ে কথা বলছি, যেগুলোর প্রায়শই দুর্বল ইনভেন্টরি থাকে, অতিরিক্ত অনুমতি থাকে, অথবা মেয়াদ অনেক দেরিতে শেষ হয় (যদি আদৌ হয়)।

এছাড়াও, এজেন্ট-ভিত্তিক সিস্টেমগুলো নতুন এবং সুনির্দিষ্ট দুর্বলতা সৃষ্টি করে : যেমন—প্রাপ্ত নির্দেশাবলীতে কমান্ড ইনজেকশন, মডেল পয়জনিং, ডেটা ম্যানিপুলেশন, অনাকাঙ্ক্ষিত প্রিভিলেজ এসকেলেশন ইত্যাদি। এতে শুধু প্রচলিত কোডই আক্রান্ত হয় না, বরং এআই-এর সিদ্ধান্ত গ্রহণের লজিকও আক্রমণের শিকার হয়।

তথাকথিত “শ্যাডো এআই” পরিস্থিতিকে আরও খারাপ করে তোলে: যেসব কর্মচারী তাদের কর্মপ্রবাহে অননুমোদিত এআই টুল যুক্ত করেন, তারা এমন দুর্বলতা তৈরি করতে পারেন যা মোকাবেলা করার জন্য প্রচলিত নিয়ন্ত্রণ ব্যবস্থা (ফায়ারওয়াল, অ্যান্টিভাইরাস, পুরোনো পলিসি) তৈরি করা হয়নি। উদাহরণস্বরূপ, একটি ভুলভাবে কনফিগার করা এজেন্ট সময়মতো কারও নজরে আসার আগেই বৈধ ক্রেডেনশিয়াল বাতিল করে দিতে পারে বা গুরুত্বপূর্ণ রিসোর্স কোয়ারেন্টাইন করে ফেলতে পারে।

তাই, বিশেষজ্ঞরা এআই এজেন্টদের উচ্চ-মূল্যের ডিজিটাল পরিচয় হিসেবে বিবেচনা করার পরামর্শ দেন । এর জন্য প্রয়োজন শুধু একান্ত প্রয়োজনীয় অনুমতি প্রদান করা, তাদের কার্যকলাপ নিবিড়ভাবে পর্যবেক্ষণ করা, প্রত্যাশিত আচরণ থেকে বিচ্যুত হলে তাদের কার্যক্রম বন্ধ বা সীমিত করার ব্যবস্থা গ্রহণ করা এবং ব্যাকআপ, পুনরুদ্ধার ও পরিচালনা ব্যবস্থা যেন এই উপাদানগুলোকে অন্তর্ভুক্ত করে তা নিশ্চিত করা।

একটি বড় চ্যালেঞ্জ হলো দৃশ্যমানতার অভাব: অনেক কোম্পানি জানেই না যে কোনো নির্দিষ্ট সময়ে কতগুলো এজেন্ট কাজ করছে, তারা কোন সিস্টেমের সাথে সংযুক্ত হচ্ছে, বা কোন ডেটা অ্যাক্সেস করছে । ইনভেন্টরি বা শনাক্তকরণ ব্যবস্থা না থাকলে নিয়ন্ত্রণ হারানোর ঝুঁকি বহুগুণ বেড়ে যায়, এবং এই সিস্টেমগুলোর স্বায়ত্তশাসনের কারণেই যেকোনো ঘটনা আরও গুরুতর আকার ধারণ করতে পারে।

সুখবরটি হলো যে, মানুষ ও অমানুষ উভয়ের পরিচয়, অনুমতি এবং প্রবেশাধিকার ব্যবস্থাপনার সরঞ্জামগুলো ইতিমধ্যেই বিদ্যমান এবং বেশ উন্নত । আসল চ্যালেঞ্জটি হলো সাংস্কৃতিক ও প্রাতিষ্ঠানিক: এআই-কে একটি সাধারণ প্লাগ-এন্ড-প্লে প্লাগইন হিসেবে বিবেচনা না করে, শুরু থেকেই সুশাসন, স্থিতিস্থাপকতা এবং প্রশিক্ষণকে একীভূত করা।

বৃহত্তর প্রেক্ষিতে দেখলে এটা স্পষ্ট যে, পাসওয়ার্ড এখনও একটি গুরুত্বপূর্ণ ভূমিকা পালন করে, কিন্তু এটি আর এককভাবে ডিজিটাল নিরাপত্তা নিশ্চিত করতে পারে না । এমন একটি প্রেক্ষাপটে যেখানে কৃত্রিম বুদ্ধিমত্তা (AI) আক্রমণ ও প্রতিরক্ষা উভয়কেই ত্বরান্বিত করছে, যেখানে স্বয়ংক্রিয় এজেন্টরা গুরুত্বপূর্ণ সিস্টেমগুলোতে সিদ্ধান্ত গ্রহণ করে এবং যেখানে পরিচয়ের সংখ্যা বহুগুণে বাড়ছে, সেখানে কৌশলটি হলো—শক্তিশালী টুলের সাহায্যে পরিচালিত দীর্ঘ ও অনন্য পাসওয়ার্ড ব্যবহার করা, সেগুলোকে সর্বদা মাল্টি-ফ্যাক্টর অথেনটিকেশন (MFA) দ্বারা সুরক্ষিত রাখা, পাসকি (passkey) ও পাসওয়ার্ডবিহীন পদ্ধতির মাধ্যমে ধীরে ধীরে সেগুলোর গুরুত্ব কমিয়ে আনা এবং জিরো ট্রাস্ট (Zero Trust) ও নিরবচ্ছিন্ন পর্যবেক্ষণের উপর ভিত্তি করে একটি পরিচয় ও অ্যাক্সেস মডেলকে শক্তিশালী করা। শুধুমাত্র এইভাবেই আমরা এমন এক হুমকি-পরিবেশকে দূরে রাখতে পারি যা দিন দিন আরও দ্রুত, আরও স্বয়ংক্রিয় এবং আরও বুদ্ধিমান হয়ে উঠছে।