ফেসবুক ২এফএ: আপনার কোড কোথা থেকে আসা উচিত, এবং বিক্রেতারা যেখানে বলে সেটা আসা উচিত
প্রতি ছয়টি Facebook অ্যাকাউন্টের তালিকায় একজন ক্রেতাকে বলা হয় দুই-ফ্যাক্টর সিক্রেট একটি নির্দিষ্ট ওয়েবসাইটে পেস্ট করতে। Meta 2FA সম্পর্কে যা নথিভুক্ত করেছে তা এখানে, এবং আপনার হাতে দেওয়া একটি কী নিয়ে কী করবেন।
Avery Bennett
ছয় অঙ্কের কোডটি এক মুহূর্ত দেরিতে টাইপ করুন, আর পরের স্ক্রিনে আসবে আপনার পরিচয় নিশ্চিত করার অনুরোধ। পাসওয়ার্ডে কোনো ভুল ছিল না। ফলাফল বদলে দিয়েছিল কোডটি কোথা থেকে এসেছে এবং সেখানে পৌঁছাতে কত সময় লেগেছে।
এই প্রশ্নের উত্তর আছে, যা বেশিরভাগ গাইড এড়িয়ে যায়, কারণ এটি আসলে নিরাপত্তা তত্ত্বের বিষয় নয়। এটি একটি অভ্যাসের বিষয় যা অ্যাকাউন্ট ব্যবসা গড়ে তুলেছে, এবং এটি পরিমাপযোগ্য।
মেটা আসলে কী নথিভুক্ত করে
টু-ফ্যাক্টর অথেনটিকেশন একটি জায়গায় থাকে। আপনার প্রোফাইল ছবি থেকে, Settings and privacy-তে যান, তারপর Settings, তারপর Accounts Center, তারপর Password and security, তারপর Two-factor authentication, তারপর যে অ্যাকাউন্টটি পরিবর্তন করতে চান সেটি বেছে নিন। মেটা সেখানে তিনটি পদ্ধতি নিজের ভাষায় তালিকাভুক্ত করে: সামঞ্জস্যপূর্ণ ডিভাইসে সিকিউরিটি কী ট্যাপ করা, তৃতীয় পক্ষের অথেনটিকেশন অ্যাপ থেকে লগইন কোড ব্যবহার করা এবং আপনার ফোন থেকে টেক্সট মেসেজ কোড ব্যবহার করা।
কোম্পানিটি ট্রিগারটিও নথিভুক্ত করে, এবং এটি লোককথার চেয়ে অনেক সংকীর্ণ। মেটার নিজের বাক্যে, টু-ফ্যাক্টর অথেনটিকেশন চালু থাকলে, প্রতিবার কেউ অচেনা ব্রাউজার বা ডিভাইস থেকে অ্যাকাউন্টে প্রবেশের চেষ্টা করলে আপনাকে লগইন কোড দিতে বা প্রচেষ্টা নিশ্চিত করতে বলা হয়। এটিই নথিভুক্ত নিয়ম। লোকেশন স্কোরিং, সেশন শেপ এবং ফিঙ্গারপ্রিন্ট ইতিহাস সম্পর্কে আপনি যা কিছু পড়েন তা কারও না কারও তত্ত্ব, যার মধ্যে এই পৃষ্ঠার আগের বেশ কয়েকটি সংস্করণও রয়েছে।
আরও একটি নথিভুক্ত বিষয়, এবং এটি এমন একটি যা মানুষ পরে চায় তারা আগেই সেট আপ করত: ফেসবুক দশটি রিকভারি লগইন কোড জারি করে যখন আপনি আপনার ফোন ব্যবহার করতে পারেন না। এগুলি Two-factor authentication, Additional methods, Recovery codes-এর অধীনে থাকে এবং টু-ফ্যাক্টর অথেনটিকেশন চালু না থাকলে এই বিকল্পটি একেবারেই দেখা যায় না।
যে অভ্যাসটি কেউ লেখে না
এখানে একটি বিষয় আছে যা এই সাইট দেখতে পারে এবং একটি সাধারণ গাইড পারে না।
১ সেপ্টেম্বর ২০২৬-এ এই মার্কেটপ্লেসে ৮৮ জন বিক্রেতার কাছ থেকে ১,৩৪৪টি লাইভ ফেসবুক অ্যাকাউন্ট তালিকা ছিল, যা স্টোরফ্রন্টের নিজস্ব দৃশ্যমানতার নিয়মে গণনা করা হয়েছে। তার মধ্যে ২৩৫টি, অর্থাৎ প্রতি ছয়টিতে একটি, তাদের নিজস্ব ডেলিভারি নির্দেশনায় একটি টু-ফ্যাক্টর কোড-জেনারেটর ওয়েবসাইট বহন করে। পাদটীকা হিসেবে নয়: ধাপ হিসেবে। লেখায় বলা হয় "2FA কোড পেতে, দেখুন" এবং তারপর একটি URL, অথবা "আপনার লগইন কোড পেতে প্রদত্ত 2FA সিক্রেট কী পেস্ট করুন।"
প্রতিটি URL-কে তার হোস্টনেমে সংক্ষিপ্ত করলে, একটি সাইট ১৫৭টির জন্য দায়ী, দ্বিতীয়টি ৩৭টির জন্য এবং তৃতীয়টি ২৩টির জন্য, আরও চারটি সাইট কয়েকবার করে নাম করা হয়েছে। কোনটি প্রাধান্য পায় সে সম্পর্কে গুগলও একমত: একই দিনে "facebook 2fa" বাক্যাংশের প্রথম সম্পূর্ণ ফলাফল ছিল সেই একই সাইটের নাম।
ঘনত্ব গণনার মতোই গুরুত্বপূর্ণ, তাই এটি স্পষ্টভাবে বলা উচিত। সেই ২৩৫টি তালিকা ৮৮ জন বিক্রেতার মধ্যে ১১ জনের কাছ থেকে আসে, এবং একজন একক বিক্রেতা তার মধ্যে ১৪০টির জন্য দায়ী। এটি কয়েকটি বড় বিক্রেতার ঘরোয়া শৈলী, পুরো তাকের কিছু নয়। বেশিরভাগ বিক্রেতা একটি কী হস্তান্তর করে এবং এটি দিয়ে কী করতে হবে সে সম্পর্কে কিছুই বলে না।
কেন একটি ওয়েবসাইট একটি অ্যাপ থেকে আলাদা জিনিস
ছয় অঙ্কের কোডটি একটি সময়-ভিত্তিক মান ব্যবহার করে একটি সিক্রেট কী থেকে উদ্ভূত হয়, তাই কীটি হল অ্যাকাউন্ট এবং কোডটি কেবল বর্তমান সেকেন্ডের উত্তর। তিনটি পরিণতি অনুসরণ করে, এবং এর কোনোটিই কোনো নির্দিষ্ট ওয়েবসাইট সম্পর্কে কোনো দাবির উপর নির্ভর করে না।
- সিক্রেটের মেয়াদ শেষ হয় না। একবার একটি পৃষ্ঠায় পেস্ট করা এককালীন প্রকাশ নয়। যার হাতে সেই স্ট্রিং থাকে, সে দ্বিতীয় ফ্যাক্টরটি যতক্ষণ থাকে ততক্ষণ একটি বৈধ কোড তৈরি করতে পারে।
- আপনি দেখতে পারেন না একটি পৃষ্ঠা আপনার পেস্ট করা জিনিস দিয়ে কী করে। একটি জেনারেটর যা আপনার ব্রাউজারে কোড গণনা করে এবং একটি যা আপনার কী সার্ভারে পাঠায়, বাইরে থেকে দেখতে একই রকম। এটি কোনো নাম করা সাইটের বিরুদ্ধে অভিযোগ নয়; এটি কেন প্রশ্নটি দেখে মীমাংসা করা যায় না।
- পাসওয়ার্ড পরিবর্তন করলে এটি স্পর্শ হয় না। পাসওয়ার্ড এবং দ্বিতীয় ফ্যাক্টর是两个 পৃথক পরিচয়পত্র। পাসওয়ার্ড পরিবর্তন সম্পর্কে মেটার নিজের নিবন্ধ সেশন বা দ্বিতীয় ফ্যাক্টর সম্পর্কে কিছুই বলে না, এবং একটি পার্শ্বপ্রতিক্রিয়া যা নথিভুক্ত নয় তা পরিকল্পনা নয়।
সুতরাং সমাধানটি ছোট এবং প্রতিটি ক্ষেত্রে একই। প্রথমবার যখন আপনার কাজের অ্যাক্সেস থাকে, কীটি আপনার নিয়ন্ত্রণে থাকা একটি অথেনটিকেটর অ্যাপে যোগ করুন, তারপর বিদ্যমান টু-ফ্যাক্টর পদ্ধতিটি সরান এবং আবার সেট আপ করুন যাতে একটি নতুন সিক্রেট জারি হয়, তারপর একটি নতুন সেট রিকভারি কোড তৈরি করুন। এই শেষ ধাপটি অন্য কেউ একবার ধারণ করেছিল এমন একটি কীকে কেবল আপনার হাতে থাকা একটি কীতে পরিণত করে। কীভাবে একটি সিক্রেট কোডে পরিণত হয় এবং আমাদের নিজস্ব জেনারেটর আপনার টাইপ করা স্ট্রিং দিয়ে কী করে, তা দেখুন TOTP জেনারেটর গাইড।
2FA আছে বলা তালিকা মানে আপনাকে কী দেওয়া হচ্ছে তা নয়
এগুলি দুটি ভিন্ন দাবি এবং তাক তাদের এক হিসাবে বিবেচনা করে। সেই ১,৩৪৪টি লাইভ ফেসবুক তালিকার মধ্যে, ৯৭৭টি কোনো না কোনো আকারে টু-ফ্যাক্টর অথেনটিকেশন উল্লেখ করে, যা তাকের প্রায় তিন-চতুর্থাংশ। ৯৭৭টির মধ্যে বারোটি বলছে অ্যাকাউন্টে কোনোটি নেই, এবং আরও ছয়টি "2FA সম্ভব" বা "কী থাকলে" এর মতো শব্দে দ্বিধা প্রকাশ করে, যা স্কিম না করে মনোযোগ দিয়ে পড়া উচিত।
একই পাঠ্যে প্রকৃত কী, সিক্রেট, ওয়ান-টাইম-পাসওয়ার্ড মান বা TOTP স্ট্রিং খুঁজলে ৩৫২টি পাওয়া যায়। এতে ৬২৫টি তালিকা বাকি থাকে যারা বৈশিষ্ট্যটি বিজ্ঞাপন দেয় কিন্তু কোড তৈরি করে এমন জিনিসটি আপনি পাবেন তা বলে না।
পার্থক্যটি নির্ধারণ করে আপনি দুবার লগ ইন করতে পারবেন কিনা। যদি দ্বিতীয় ফ্যাক্টরটি অন্য কারও ফোন বা অ্যাপের সাথে সংযুক্ত থাকে এবং এর সাথে কোনো কী না আসে, তবে প্রথম লগইন প্রম্পটেই কেনাকাটা শেষ। কেনার আগে লিখিতভাবে জিজ্ঞাসা করুন, এবং আপনার জন্য কোড তৈরি করে এমন একটি পৃষ্ঠার লিঙ্কের পরিবর্তে সরল কীটি চান, কারণ কীটি আপনাকে অ্যাকাউন্টটি আপনার নিজের টুলিংয়ে সরাতে দেয়।
প্রথম সাইন-ইন, লোককথা ছাড়া
এখানে যা সমর্থনযোগ্য তা সংক্ষিপ্ত, তাই এখানে সংক্ষিপ্ত সংস্করণ।
- শুরু করার আগে দ্বিতীয় ফ্যাক্টরটি খোলা রাখুন। কোড প্রতি ত্রিশ সেকেন্ডে ঘোরে। প্রম্পট আসার পরে উৎস খোঁজা একটি ধীর লগইনের এড়ানো যায় এমন অর্ধেক।
- একটি ব্রাউজার প্রোফাইল ব্যবহার করুন এবং সেটিতেই থাকুন। মেটার নথিভুক্ত ট্রিগার হল একটি অচেনা ব্রাউজার বা ডিভাইস, তাই আপনি যত কম পরিচয় করান, তত কম প্রম্পটের মুখোমুখি হন।
- রিকভারি উপকরণ হাতের কাছে রাখুন। একটি মেইলবক্স যা আপনি খুলতে পারেন, একটি ফোন নম্বর যা আপনার কাছে পৌঁছায় এবং রিকভারি কোড যদি অ্যাকাউন্টে আগে থেকেই থাকে। চেকপয়েন্ট এটিই চায়, এবং স্ক্রিন অপেক্ষা করার সময় এটি খোঁজা হল কীভাবে মানুষ লক আউট হয়।
- যদি একটি চেক আসে, থামুন। বিভিন্ন নেটওয়ার্ক থেকে প্রচেষ্টা পুনরাবৃত্তি করলে একটি অ্যাকাউন্টে অচেনা ডিভাইস যোগ হয় যা সবেমাত্র জিজ্ঞাসা করেছে এটি আপনাকে চিনতে পারে কিনা। অপেক্ষা করুন, তারপর একই জায়গা থেকে আবার চেষ্টা করুন।
- শংসাপত্র পরিবর্তন পরে করুন। প্রথম লগইনের একই মিনিটে সেগুলি করা একটি অ্যাকাউন্টে দুটি সংবেদনশীল কাজ স্তূপ করে যার সাথে আপনার কোনো ইতিহাস নেই। যে ক্রমটি কাজ করে তা আছে লক আউট না হয়ে ফেসবুক ইমেল এবং পাসওয়ার্ড পরিবর্তন করা।
যদি আপনি বরং মেটার নিজের বিবরণ পড়তে চান যখন একটি অথেনটিকেটর ডিভাইস চিরতরে চলে যায় তখন রিকভারি রুট সম্পর্কে, টু-ফ্যাক্টর অথেনটিকেশন সহায়তা নিবন্ধ হল সেই পৃষ্ঠা যা সেগুলি নথিভুক্ত করে।
ইতিমধ্যে 2FA আছে এমন একটি অ্যাকাউন্ট কেনা
অনেক ক্রেতা নিজের নিবন্ধন এবং ওয়ার্ম আপ করার পরিবর্তে অ্যাকাউন্ট গ্রহণ করে এবং এই তাকে বেশিরভাগ তালিকা বলে টু-ফ্যাক্টর অথেনটিকেশন ইতিমধ্যে চালু আছে। পাঁচটি বিষয় পেমেন্টের আগে মীমাংসা করা উচিত, পরে নয়।
- জিজ্ঞাসা করুন কীটি একটি সরল সিক্রেট হিসাবে আসে যা আপনি আপনার নিজের অথেনটিকেটরে যোগ করতে পারেন, কেবল একটি কোড পৃষ্ঠার লিঙ্ক হিসাবে নয়।
- জিজ্ঞাসা করুন কোন মেইলবক্স বা ফোন নম্বর সংযুক্ত এবং আপনি এটিতে অ্যাক্সেস পান কিনা, কারণ একটি চেকপয়েন্ট এটিই চাইবে।
- দ্বিধার শব্দের জন্য লেখাটি পড়ুন। এই তাকে ছয়টি তালিকা বলে কীটি কেবল তখনই আসে যদি এটি থাকে, এবং এটি বিক্রয় ভাষা নয় বরং একটি বাস্তব শর্ত।
- সাইটের গড় নয়, পৃথক বিক্রেতার জন্য সাম্প্রতিক রিভিউ দেখুন, যেহেতু ডেলিভারি ফরম্যাট বিক্রেতাদের মধ্যে তাকের মধ্যে থেকে অনেক বেশি পরিবর্তিত হয়।
- বিক্রয়-পরবর্তী শর্তাবলী কী কভার করে তা নিশ্চিত করুন যদি অ্যাকাউন্টটি একটি যাচাইকরণ চায় যা আপনি প্রথম ঘন্টায় পাস করতে পারেন না।
তাকটি নিজেই ফেসবুক অ্যাকাউন্ট-এ, এবং বৃদ্ধির দিকটি ফেসবুক সার্ভিস-এ। একবার ভিতরে গেলে কাজ করার স্ক্রিনগুলির জন্য, ফেসবুক অ্যাকাউন্ট নিরাপত্তা চেকলিস্ট পাসকি, রিকভারি কোড এবং সেশন তালিকা কভার করে, যার সবকটিই মেটা এই সেটিংস সরানোর সময় অবস্থান পরিবর্তন করেছে।
Frequently Asked Questions
মেটা একটি ট্রিগারের কথা উল্লেখ করেছে, এবং এটি বেশিরভাগ গাইডে যা বলা হয় তার চেয়ে সংকীর্ণ: টু-ফ্যাক্টর অথেনটিকেশন চালু থাকলে, যখনই কেউ অচেনা ব্রাউজার বা ডিভাইস থেকে অ্যাকাউন্টে ঢোকার চেষ্টা করে, তখনই আপনাকে লগইন কোড দিতে বা চেষ্টাটি নিশ্চিত করতে বলা হয়। লোকেশন স্কোরিং, ব্রাউজিং প্যাটার্ন বা সেশন শেপ নিয়ে যে দাবিগুলো করা হয়, সেগুলো মেটা প্রকাশ করেনি এবং এখানেও সেগুলো বলা হচ্ছে না। বাস্তবিক সমাধান হলো নতুন ব্রাউজার প্রোফাইল ব্যবহার না করে একটি নির্দিষ্ট ব্রাউজার প্রোফাইলেই থাকা।
সমস্যাটা এই নয় যে এটি ব্যর্থ হয়, বরং সিক্রেটটির মেয়াদ শেষ হয় না। যার কাছে সেই স্ট্রিং থাকে, সে অনির্দিষ্টকালের জন্য বৈধ কোড তৈরি করতে পারে, আর পেজের বাইরে থেকে আপনি বুঝতে পারবেন না যে এটি আপনার ব্রাউজারে কোড হিসাব করছে নাকি আপনার কী সার্ভারে পাঠাচ্ছে। পরিবর্তে, কীটি আপনার নিয়ন্ত্রণে থাকা একটি অথেনটিকেটর অ্যাপে যোগ করুন, তারপর দ্বিতীয় ফ্যাক্টরটি সরিয়ে আবার যোগ করুন যাতে একটি নতুন সিক্রেট জারি হয়, এবং নতুন রিকভারি কোড তৈরি করুন।
অনেকেই করে। ২০২৬ সালের ১ সেপ্টেম্বর এই সাইটে ১,৩৪৪টি লাইভ ফেসবুক অ্যাকাউন্টের তালিকার মধ্যে ২৩৫টিতে নিজস্ব ডেলিভারি নির্দেশনায় একটি কোড-জেনারেটর URL আছে, যা প্রতি ছয়টিতে একটি। একটি সাইট সেই উল্লেখগুলোর মধ্যে ১৫৭টি, দ্বিতীয়টি ৩৭টি এবং তৃতীয়টি ২৩টি ধারণ করে। এটি সর্বজনীন নয়, বরং কেন্দ্রীভূত: সেই ২৩৫টি তালিকা শেলফের ৮৮ জন বিক্রেতার মধ্যে ১১ জনের কাছ থেকে এসেছে, এবং একজন একক বিক্রেতা তার মধ্যে ১৪০টির জন্য দায়ী।
অগত্যা নয়, এবং পার্থক্যটা অনেক বড়। একই শেলফে, ৯৭৭টি লিস্টিংয়ে টু-ফ্যাক্টর অথেনটিকেশন উল্লেখ আছে, কিন্তু মাত্র ৩৫২টিতে আসল কী, সিক্রেট বা ওয়ান-টাইম-পাসওয়ার্ড ভ্যালু উল্লেখ আছে, অর্থাৎ ৬২৫টি ফিচারটি বিজ্ঞাপন দেয় কিন্তু বলে না যে আপনি সেই জিনিসটা পাবেন যা কোড তৈরি করে। যদি দ্বিতীয় ফ্যাক্টরটা অন্য কারও ডিভাইসের সাথে যুক্ত থাকে এবং এর সাথে কোনো কী না আসে, তাহলে প্রথম লগইন প্রম্পটেই কেনাকাটা শেষ হয়ে যায়। টাকা দেওয়ার আগে লিখিতভাবে জিজ্ঞেস করুন।
না, এবং Meta-এর নিজস্ব পাসওয়ার্ড পরিবর্তন সংক্রান্ত নিবন্ধে দ্বিতীয় ফ্যাক্টর বা অন্যান্য ডিভাইস সম্পর্কে কিছুই বলা নেই। পাসওয়ার্ড এবং দ্বিতীয় ফ্যাক্টর是两个 আলাদা credentials, তাই পাসওয়ার্ড পরিবর্তনের পরেও আগের মালিকের authenticator কাজ করতে থাকে। বিদ্যমান two-factor পদ্ধতিটি সরিয়ে আবার সেট আপ করুন যাতে একটি নতুন secret জারি হয়, তারপর অন্যান্য সেশনগুলো স্পষ্টভাবে শেষ করুন—ধরে নেবেন না যে পাসওয়ার্ড পরিবর্তন করলেই সেগুলো বন্ধ হয়ে গেছে।
ফেসবুক এই কাজের জন্যই দশটি রিকভারি লগইন কোড দেয়, প্রতিটি একবার ব্যবহার করা যায়, এবং সেই অপশনটি আসার আগে আপনাকে টু-ফ্যাক্টর অথেনটিকেশন চালু করতে হবে। এগুলো থাকে টু-ফ্যাক্টর অথেনটিকেশন, তারপর অ্যাডিশনাল মেথডস, তারপর রিকভারি কোডস-এ। এর বাইরে, আপনি অ্যাকাউন্টের সাথে যুক্ত ইমেইল এবং ফোন নম্বরের উপর নির্ভরশীল, তাই কোড ব্যবহারের অভ্যাসের চেয়ে সেগুলো নিজের হাতে রাখাটা বেশি গুরুত্বপূর্ণ।
Avery Bennett
সোশ্যাল মিডিয়া কনসালট্যান্ট এবং গ্রোথ হ্যাকার। সব আকারের ব্র্যান্ডের জন্য ভাইরাল কন্টেন্ট তৈরি এবং ইনফ্লুয়েন্সার মার্কেটিং কৌশলে বিশেষজ্ঞ।
