Password মনে রাখার ঝামেলা নেই, কিন্তু আসল সমস্যা অন্য জায়গায়
Facebook, Gmail, Amazon কিংবা অন্য কোনো website-এ ঢুকলেন, Chrome নিজেই password বসিয়ে দিল। আলাদা করে কিছু মনে রাখতে হলো না—Google Password Manager ব্যবহার করার সবচেয়ে বড় আরাম সম্ভবত এটাই।
কিন্তু একটা প্রশ্ন আছে। আপনার password যদি কোনোভাবে চুরি হয়ে যায়, Password Manager কি সেই password-কে আর চুরি হওয়া থেকে বাঁচাতে পারবে?
উত্তরটা একটু বুঝে নেওয়া দরকার। Google Password Manager নিজে বেশ শক্ত security ব্যবহার করে এবং saved password encryption-এর মাধ্যমে সুরক্ষিত রাখে। কিন্তু password নামের জিনিসটার কিছু পুরোনো দুর্বলতা থেকেই যায়।
Android Police-এর সাম্প্রতিক লেখাতেও এই জায়গা থেকেই গুরুত্বপূর্ণ account-এ সাধারণ password-এর বদলে passkey ব্যবহারের দিকে যাওয়ার কথা বলা হয়েছে।
অনলাইন নিরাপত্তা নিয়ে আরও লেখা পাওয়া যাবে TechnicalBD-এর Cyber Security বিভাগে।
ধরুন Facebook-এর মতো দেখতে একটা নকল Page খুললেন
Password-এর সবচেয়ে বড় ঝামেলা বোঝার জন্য কঠিন technical কথা জানার দরকার নেই। ধরুন Messenger-এ একটা link এলো—“আপনার Facebook account বন্ধ হয়ে যাবে, এখনই verify করুন।”
Link-এ চাপ দিয়ে দেখলেন Facebook-এর মতোই login page। Email আর password লিখে Login চাপলেন। Page-টা আসলে নকল হলে password সরাসরি scammer-এর হাতে চলে যেতে পারে।
এটাই phishing-এর পরিচিত কৌশল। দেখতে আসল website-এর মতো বানিয়ে আপনার কাছ থেকেই login তথ্য বের করে নেওয়া হয়।
Password Manager অনেক ক্ষেত্রে ভুল domain চিনতে সাহায্য করতে পারে, কারণ আসল site-এর password নকল site-এ autofill নাও হতে পারে। কিন্তু আপনি নিজে password copy করে সেখানে বসালে বা অন্যভাবে দিয়ে দিলে ঝুঁকি আবার ফিরে আসে।
Passkey-এর বড় সুবিধাটা ঠিক এখানেই।
Passkey-কে নকল Website-এ নিয়ে গিয়ে ব্যবহার করানো কঠিন
Google-এর official passkey documentation অনুযায়ী, একটি passkey যে website বা app-এর জন্য তৈরি করা হয়েছে, সেটির পরিচয়ের সঙ্গেই যুক্ত থাকে।
ধরুন example.com-এর জন্য আপনার passkey আছে। Scammer দেখতে হুবহু একই page বানিয়ে examp1e.com খুললেও সেখানে আসল site-এর passkey কাজ করবে না।
Browser এবং operating system যাচাই করে আপনি সঠিক website-এই আছেন কি না। তাই নকল login page দেখে ভুল করে passkey “টাইপ করে দিয়ে দিলাম”—password-এর মতো সেই সুযোগই নেই।
এই কারণেই Google passkey-কে phishing-resistant বলছে।
কিন্তু Passkey আবার কী জিনিস?
সহজ করে বললে, passkey হচ্ছে password-এর জায়গায় আপনার ফোন বা কম্পিউটারকে চাবি হিসেবে ব্যবহার করা।
Website-এ ঢুকলেন, তারপর ফোনের fingerprint, face unlock অথবা screen-lock PIN দিয়ে নিজের পরিচয় নিশ্চিত করলেন। আলাদা করে Rasel@12345 ধরনের password মনে রাখা বা টাইপ করার প্রয়োজন হলো না।
Google-এর Password Manager নির্দেশনা অনুযায়ী, Google Password Manager password-এর পাশাপাশি passkey-ও তৈরি, save এবং manage করতে পারে।
আর একটা গুরুত্বপূর্ণ বিষয়—fingerprint বা face scan website কিংবা Google-এর কাছে পাঠানো হয় না। আপনার biometric তথ্য device-এর মধ্যেই থাকে।
Password আর Passkey-এর পার্থক্যটা এখানে
| Password | Passkey |
|---|---|
| মনে রাখা বা manager-এ save করা লাগে | মনে রাখার দরকার নেই |
| একই password reuse করা সম্ভব | প্রতিটি site-এর জন্য আলাদা |
| Phishing page-এ দিয়ে ফেলা সম্ভব | সঠিক site/app-এর সঙ্গে যুক্ত |
| চুরি হলে অন্য কেউ ব্যবহার করতে পারে | Device unlock দরকার |
| Server-এ password-related secret থাকে | Server মূলত public key রাখে |
Passkey তৈরির সময় আপনার device-এ cryptographic key pair তৈরি হয়। Website নিজের কাছে public key রাখে, আর login-এর জন্য প্রয়োজনীয় private অংশটি আপনার device বা password manager-এর নিরাপদ ব্যবস্থায় থাকে।
তাই কোনো website-এর database চুরি হলেও attacker এমন কোনো সাধারণ password পায় না, যেটা নিয়ে অন্য জায়গায় গিয়ে login করার চেষ্টা করবে।
তাহলে Google Password Manager কি নিরাপদ নয়?
এখানে ভুল বোঝার সুযোগ আছে। Google Password Manager ব্যবহার বন্ধ করে দেওয়া উচিত—এমন কথা নয়।
বরং Google Password Manager নিজেই strong ও unique password তৈরি করতে পারে, password reuse কমাতে সাহায্য করে এবং কোনো saved password leak হয়েছে বলে শনাক্ত হলে সতর্কও করতে পারে।
Google-এর official security guidance অনুযায়ী, একই password একাধিক website-এ ব্যবহার করা নিরাপদ নয়। একটি site থেকে password চুরি হলে সেই একই password দিয়ে অন্য account-এ ঢোকার চেষ্টা হতে পারে।
তাই passkey support না করা website-এর জন্য Google Password Manager এখনও বেশ কাজের। নিজের মাথায় সহজ password বানিয়ে পাঁচটা website-এ একই password ব্যবহারের চেয়ে unique password manager-এ রাখা অনেক ভালো।
আসল বদলটা করুন গুরুত্বপূর্ণ Accountগুলোতে
সব website-এ আজই password বাদ দেওয়া সম্ভব নয়, কারণ এখনও অনেক service passkey support করে না। তাই একদিনে Password Manager খালি করে ফেলার কোনো দরকারও নেই।
বরং যেসব account হারালে সবচেয়ে বেশি বিপদ হবে, সেগুলো দিয়ে শুরু করুন। যেমন Google Account, email, shopping/payment-related account এবং গুরুত্বপূর্ণ social media account—passkey support থাকলে আগে এগুলোতে চালু করা যায়।
কারণ email account দখল হয়ে গেলে শুধু email পড়ার ঝুঁকি থাকে না। অন্য website-এর “Forgot Password” link-ও সাধারণত সেই email-এই আসে। অর্থাৎ একটি email account থেকে আরও অনেক account-এর দরজা খুলে যেতে পারে।
Google নিজেও বর্তমানে Google Account-এ passkey ব্যবহার করতে দেয়। Google-এর নির্দেশনা অনুযায়ী fingerprint, face scan বা device PIN ব্যবহার করে password ছাড়াই sign in করা যায়।
নতুন Phone কিনলে Passkey হারিয়ে যাবে?
এটা অনেকের প্রথম চিন্তা হতে পারে। ফোন হারিয়ে গেল বা নতুন ফোন কিনলেন—তাহলে সব account-এ ঢোকা বন্ধ হয়ে যাবে নাকি?
Google Password Manager-এ রাখা passkey supported device-এর মধ্যে securely sync করা যায়। Google-এর তথ্য অনুযায়ী Android ও Chrome-এর মাধ্যমে Windows, macOS, Linux এবং অন্য supported environment-এ একই account-এর passkey ব্যবহার করা সম্ভব।
নতুন device-এ passkey access করার সময় Google Password Manager PIN অথবা আগে ব্যবহার করা Android device-এর screen lock-এর মতো recovery verification লাগতে পারে।
তাই passkey ব্যবহার মানেই “একটা ফোন হারালেই সব শেষ”—বিষয়টা এমন নয়। তারপরও account recovery information ঠিক রাখা এবং গুরুত্বপূর্ণ account-এ 2-Step Verification চালু রাখা ভালো।
2-Step Verification তাহলে বন্ধ করে দেবেন?
না। Passkey চালু করার পর security settings-এর বাকি অংশ ভুলে গেলে চলবে না।
Google ২০২৬ সালেও ব্যবহারকারীদের 2-Step Verification (2SV) চালু রাখার পরামর্শ দিচ্ছে। Google বলছে, আপনি সাধারণত passkey ব্যবহার করলেও account recovery বা কেউ আপনার পরিচয় দেওয়ার চেষ্টা করলে 2SV বাড়তি সুরক্ষা দিতে পারে।
বিশেষ করে recovery phone number ও recovery email ঠিক আছে কি না মাঝে মাঝে দেখে নেওয়া ভালো। কারণ security শুধু login-এর সময় নয়, account হারিয়ে গেলে ফেরত পাওয়ার ব্যবস্থার ওপরও নির্ভর করে।
Password পুরো বাদ দেওয়ার আগে একটু হিসাব করুন
Passkey ভালো বলে আজই Password Manager খুলে সব saved password delete করে দেওয়া ঠিক হবে না। অনেক website এখনও password ছাড়া চলতে পারে না, আবার কোনো account-এ passkey যোগ করলেও পুরোনো password সঙ্গে সঙ্গে মুছে যায় না।
Google Account-এর ক্ষেত্রেও Google পরিষ্কারভাবে জানিয়েছে, passkey যোগ করলেই existing authentication বা recovery method স্বয়ংক্রিয়ভাবে মুছে যায় না।
তাই নিরাপদ পথ হচ্ছে ধীরে ধীরে বদলানো। যেখানে passkey আছে সেখানে সেটাকে প্রধান login method হিসেবে ব্যবহার করুন, আর যেখানে নেই সেখানে Password Manager দিয়ে strong ও unique password রাখুন।
একই সঙ্গে পুরোনো, দুর্বল এবং একই password বারবার ব্যবহার করা accountগুলো আগে ঠিক করুন।
আজ ৫ মিনিট সময় থাকলে এই কাজগুলো করুন
প্রথমে Google Password Manager খুলে Password Checkup চালান। কোনো password leak হয়েছে, দুর্বল অথবা একাধিক account-এ একই password ব্যবহার করছেন কি না দেখুন।
এরপর সবচেয়ে গুরুত্বপূর্ণ accountগুলো খুলে Security settings-এ Passkey option আছে কি না দেখুন। Google Account দিয়ে শুরু করাই সহজ, তারপর নিয়মিত ব্যবহার করা অন্য service-গুলো একে একে দেখা যায়।
Google Password Manager-এ চাইলে password ও passkey দুটোই manage করা যায়। Chrome থেকে Passwords and autofill > Google Password Manager-এ গেলেও saved credentials দেখা যাবে।
তবে security settings বদলানোর সময় তাড়াহুড়া করবেন না। আগে recovery email, phone number এবং 2-Step Verification ঠিক আছে কি না দেখে তারপর পুরোনো login method সরানোর সিদ্ধান্ত নিন।
Password Manager ছাড়ার দরকার নেই, Password-এর ওপর নির্ভরতা কমান
অনলাইন account নিরাপদ রাখার জন্য Google Password Manager বাদ দেওয়াটা আসল সমাধান নয়। বরং manager-টাকে শুধু password রাখার বাক্স হিসেবে না দেখে passkey ব্যবহারের জায়গা হিসেবেও কাজে লাগানো বেশি যুক্তিযুক্ত।
যেখানে passkey নেই, সেখানে strong এবং প্রতিটি account-এর জন্য আলাদা password ব্যবহার করুন। যেখানে passkey আছে, বিশেষ করে গুরুত্বপূর্ণ account-এ, ধীরে ধীরে password-এর ওপর নির্ভরতা কমিয়ে আনুন।
কারণ একটা password যতই জটিল হোক, আপনি ভুল করে সেটা নকল website-এ লিখে দিতে পারেন। কিন্তু passkey-এর বড় সুবিধা হলো—আপনাকে শুধু শক্ত চাবি দেয় না, কোন দরজায় সেই চাবি ব্যবহার করা যাবে সেটাও যাচাই করে।
আর phishing-এর যুগে এই ছোট পার্থক্যটাই আপনার গুরুত্বপূর্ণ account বাঁচিয়ে দিতে পারে।
