বাংলাদেশী সরকারি ওয়েবসাইটের পাসওয়ার্ড নিরাপত্তা বিষয়ক একটি অধ্যয়ন

1. ভূমিকা

'ডিজিটাল বাংলাদেশ' উদ্যোগের অধীনে সরকারি সেবার দ্রুত ডিজিটাইজেশনের সাথে সাথে, বাংলাদেশ সরকার অনলাইন সেবা প্রদানের জন্য অসংখ্য ওয়েবসাইট চালু করেছে। তবে, এই প্ল্যাটফর্মগুলোর নিরাপত্তা, বিশেষ করে পাসওয়ার্ড পদ্ধতি, একটি গুরুত্বপূর্ণ উদ্বেগের বিষয় হিসেবে রয়ে গেছে। এই অধ্যয়নটি ছয়টি পাসওয়ার্ড নিরাপত্তা হিউরিস্টিকসের বিরুদ্ধে ৩৬টি বাংলাদেশী সরকারি ওয়েবসাইট বিশ্লেষণ করে সাইবার হুমকির বিরুদ্ধে তাদের প্রস্তুতি মূল্যায়ন করে।

2. বিষয়বস্তুর সারণী

• 1. ভূমিকা
• 3. পটভূমি এবং সম্পর্কিত কাজ
• 4. পদ্ধতি
• 5. ফলাফল এবং বিশ্লেষণ
  • 5.1 পাসওয়ার্ড নির্মাণ নির্দেশিকা
  • 5.2 পাসওয়ার্ড পুনরুদ্ধার প্রক্রিয়া
  • 5.3 CAPTCHA ব্যবহার
  • 5.4 নিরাপত্তা প্রশ্ন
  • 5.5 HTTPS গ্রহণ
  • 5.6 পাসওয়ার্ড শক্তি মিটার
• 6. পরিসংখ্যানগত সারসংক্ষেপ
• 7. মূল অন্তর্দৃষ্টি
• 8. প্রযুক্তিগত বিবরণ এবং গাণিতিক সূত্রায়ন
• 9. পরীক্ষামূলক ফলাফল এবং চার্ট বর্ণনা
• 10. বিশ্লেষণ কাঠামোর উদাহরণ
• 11. মূল বিশ্লেষণ
• 12. ভবিষ্যত প্রয়োগ এবং দিকনির্দেশনা
• 13. তথ্যসূত্র
• 14. বিশেষজ্ঞ মন্তব্য

3. পটভূমি এবং সম্পর্কিত কাজ

জ্ঞাত দুর্বলতা থাকা সত্ত্বেও পাসওয়ার্ড এখনও সবচেয়ে বহুল ব্যবহৃত প্রমাণীকরণ প্রক্রিয়া। পূর্ববর্তী গবেষণাগুলো তুলে ধরেছে যে দুর্বল পাসওয়ার্ড নীতি এবং HTTPS এনক্রিপশনের অভাব বিশ্বব্যাপী সরকারি পোর্টালগুলিতে সাধারণ সমস্যা। এই অধ্যয়নটি বিশেষভাবে বাংলাদেশী সরকারি ওয়েবসাইটগুলির উপর দৃষ্টি নিবদ্ধ করে প্রথম ধরণের।

4. পদ্ধতি

আমরা নিবন্ধন এবং লগইন সেবা প্রদানকারী ৩৬টি বাংলাদেশী সরকারি ওয়েবসাইট নির্বাচন করেছি। প্রতিটি ওয়েবসাইট ছয়টি হিউরিস্টিকসের বিরুদ্ধে মূল্যায়ন করা হয়েছে: পাসওয়ার্ড নির্মাণ নির্দেশিকা, পাসওয়ার্ড পুনরুদ্ধার প্রক্রিয়া, CAPTCHA ব্যবহার, নিরাপত্তা প্রশ্ন, HTTPS গ্রহণ এবং পাসওয়ার্ড শক্তি মিটার। তথ্য ম্যানুয়ালি সংগ্রহ করা হয়েছে এবং ক্রস-ভেরিফাই করা হয়েছে।

5. ফলাফল এবং বিশ্লেষণ

5.1 পাসওয়ার্ড নির্মাণ নির্দেশিকা

৩৬টি ওয়েবসাইটের মধ্যে মাত্র ১২টি (৩৩.৩%) স্পষ্ট পাসওয়ার্ড নির্মাণ নির্দেশিকা প্রদান করেছে। বাকি ২৪টি ওয়েবসাইট (৬৬.৭%) কোনো নির্দেশনা দেয়নি, যার ফলে দুর্বল পাসওয়ার্ড নির্বাচন হয়েছে।

5.2 পাসওয়ার্ড পুনরুদ্ধার প্রক্রিয়া

২৮টি ওয়েবসাইট (৭৭.৮%) ইমেলের মাধ্যমে পাসওয়ার্ড পুনরুদ্ধারের সুযোগ দিয়েছে, যখন ৮টি ওয়েবসাইটের (২২.২%) কোনো পুনরুদ্ধার প্রক্রিয়া ছিল না বা ম্যানুয়াল হস্তক্ষেপের উপর নির্ভর করত।

5.3 CAPTCHA ব্যবহার

২০টি ওয়েবসাইটে (৫৫.৬%) CAPTCHA বাস্তবায়িত হয়েছিল। বাকি ১৬টি ওয়েবসাইটে (৪৪.৪%) কোনো বট-শনাক্তকরণ প্রক্রিয়ার অভাব ছিল, যা স্বয়ংক্রিয় আক্রমণের ঝুঁকি বাড়িয়েছে।

5.4 নিরাপত্তা প্রশ্ন

পাসওয়ার্ড পুনরুদ্ধারের জন্য মাত্র ৯টি ওয়েবসাইট (২৫%) নিরাপত্তা প্রশ্ন ব্যবহার করেছে। বেশিরভাগ প্রশ্ন অনুমানযোগ্য ছিল (যেমন, 'আপনার পোষা প্রাণীর নাম কী?'), যা ন্যূনতম নিরাপত্তা প্রদান করে।

5.5 HTTPS গ্রহণ

৩০টি ওয়েবসাইট (৮৩.৩%) HTTPS ব্যবহার করেছে, কিন্তু ৬টি ওয়েবসাইট (১৬.৭%) এখনও HTTP-তে পরিচালিত হচ্ছে, যা প্লেইনটেক্সটে ক্রেডেনশিয়াল প্রেরণ করে।

5.6 পাসওয়ার্ড শক্তি মিটার

মাত্র ১০টি ওয়েবসাইট (২৭.৮%) একটি রিয়েল-টাইম পাসওয়ার্ড শক্তি মিটার প্রদান করেছে। এই ধরনের প্রতিক্রিয়ার অনুপস্থিতি দুর্বল পাসওয়ার্ড নির্বাচনে অবদান রাখে।

6. পরিসংখ্যানগত সারসংক্ষেপ

7. মূল অন্তর্দৃষ্টি

• বেশিরভাগ ওয়েবসাইটে পাসওয়ার্ড নির্মাণ নির্দেশিকার অভাব রয়েছে, যা দুর্বল পাসওয়ার্ডের দিকে পরিচালিত করে।
• CAPTCHA গ্রহণ অপর্যাপ্ত, যা ওয়েবসাইটগুলিকে ব্রুট-ফোর্স এবং স্বয়ংক্রিয় আক্রমণের মুখোমুখি করে।
• HTTPS গ্রহণ তুলনামূলকভাবে বেশি কিন্তু সর্বজনীন নয়, যা ডেটা আটকানোর ঝুঁকি তৈরি করে।
• পাসওয়ার্ড শক্তি মিটারগুলি কম ব্যবহার করা হয়, যা ব্যবহারকারীদের গাইড করার একটি সুযোগ হাতছাড়া করে।

8. প্রযুক্তিগত বিবরণ এবং গাণিতিক সূত্রায়ন

পাসওয়ার্ড এনট্রপি $H$ গণনা করা হয় $H = L \cdot \log_2(N)$ হিসাবে, যেখানে $L$ হল পাসওয়ার্ড দৈর্ঘ্য এবং $N$ হল সম্ভাব্য অক্ষরের সংখ্যা। ৬২টি অক্ষর (a-z, A-Z, 0-9) ব্যবহার করে দৈর্ঘ্য ৮-এর একটি পাসওয়ার্ডের জন্য, এনট্রপি হল $H = 8 \cdot \log_2(62) \approx 47.6$ বিট। নিম্ন-ঝুঁকির সিস্টেমের জন্য ন্যূনতম ৩০ বিট এনট্রপি সুপারিশ করা হয়, যখন সংবেদনশীল ডেটার জন্য ৫০+ বিট সুপারিশ করা হয়।

9. পরীক্ষামূলক ফলাফল এবং চার্ট বর্ণনা

চার্ট 1: হিউরিস্টিক গ্রহণের হার - একটি বার চার্ট যা প্রতিটি হিউরিস্টিক বাস্তবায়নকারী ওয়েবসাইটের শতাংশ দেখায়। HTTPS গ্রহণ ৮৩.৩% এ শীর্ষে, যখন নিরাপত্তা প্রশ্ন ২৫% এ পিছিয়ে রয়েছে। চার্টটি নিরাপত্তা অনুশীলনের বৈষম্য স্পষ্টভাবে দৃশ্যমান করে।

চার্ট 2: পাসওয়ার্ড শক্তি বিতরণ - একটি পাই চার্ট যা দেখায় যে ৬০% ওয়েবসাইট ৮টির কম অক্ষরের পাসওয়ার্ড গ্রহণ করে, ৩০% ৮-১২টি অক্ষর প্রয়োজন, এবং মাত্র ১০% ১২+ অক্ষর বাধ্যতামূলক করে।

10. বিশ্লেষণ কাঠামোর উদাহরণ

কেস স্টাডি: ওয়েবসাইট X (বেনামী)

• পাসওয়ার্ড নির্দেশিকা: কোনোটি প্রদান করা হয়নি।
• পুনরুদ্ধার: ইমেল-ভিত্তিক, কোনো নিরাপত্তা প্রশ্ন নেই।
• CAPTCHA: বাস্তবায়িত নয়।
• HTTPS: হ্যাঁ।
• শক্তি মিটার: না।
• ঝুঁকির স্তর: উচ্চ - ব্রুট-ফোর্স এবং ফিশিং আক্রমণের জন্য ঝুঁকিপূর্ণ।

11. মূল বিশ্লেষণ

এই অধ্যয়নটি বাংলাদেশের ই-সরকার নিরাপত্তায় নীতি এবং অনুশীলনের মধ্যে একটি উদ্বেগজনক ব্যবধান প্রকাশ করে। সরকার সেবা ডিজিটাইজ করার ক্ষেত্রে অগ্রগতি করলেও, মৌলিক পাসওয়ার্ড নিরাপত্তা ব্যবস্থা—যেমন নির্দেশিকা, CAPTCHA এবং শক্তি মিটার—এর অভাব সাইবার ঝুঁকির একটি পদ্ধতিগত অবমূল্যায়ন নির্দেশ করে। ১৬.৭% ওয়েবসাইট এখনও HTTP ব্যবহার করছে বিশেষভাবে উদ্বেগজনক, কারণ এটি ম্যান-ইন-দ্য-মিডল আক্রমণের মাধ্যমে ব্যবহারকারীর ক্রেডেনশিয়াল আটকানোর ঝুঁকি তৈরি করে। বিশ্বব্যাংকের ২০২১ সালের একটি প্রতিবেদন অনুসারে, উন্নয়নশীল দেশগুলি বার্ষিক জিডিপির আনুমানিক ০.৫% সাইবার অপরাধে হারায়, যা হস্তক্ষেপ ছাড়া বাড়তে পারে। ফলাফলগুলি হার্লি এবং ভ্যান ওরশট (২০১২) এর পাসওয়ার্ড নিরাপত্তার অর্থনীতি সম্পর্কিত বিস্তৃত গবেষণার সাথে সামঞ্জস্যপূর্ণ, যা যুক্তি দেয় যে ব্যবহারকারীর আচরণ সিস্টেম ডিজাইন দ্বারা ব্যাপকভাবে প্রভাবিত হয়। শক্তি মিটার এবং নির্দেশিকার অনুপস্থিতি কার্যকরভাবে নিরাপত্তার বোঝা ব্যবহারকারীদের উপর স্থানান্তরিত করে, যাদের প্রায়শই দক্ষতার অভাব থাকে। ভারত এবং পাকিস্তানের অনুরূপ গবেষণার সাথে একটি তুলনামূলক বিশ্লেষণ দেখায় যে বাংলাদেশ CAPTCHA গ্রহণে পিছিয়ে (৫৫.৬% বনাম ভারতে ৭০%) কিন্তু HTTPS ব্যবহারে এগিয়ে (৮৩.৩% বনাম পাকিস্তানে ৬৫%)। এটি পরামর্শ দেয় যে অবকাঠামো বিনিয়োগ হচ্ছে, কিন্তু ব্যবহারকারী-মুখী নিরাপত্তা বৈশিষ্ট্যগুলি উপেক্ষিত হচ্ছে। উন্নতির জন্য, সরকারের ন্যূনতম পাসওয়ার্ড মান বাধ্যতামূলক করা, সমস্ত ডোমেইনে HTTPS প্রয়োগ করা এবং একটি ভিত্তি প্রয়োজনীয়তা হিসাবে CAPTCHA সংহত করা উচিত। বাস্তবায়নের খরচ একটি লঙ্ঘন থেকে সম্ভাব্য ক্ষতির তুলনায় নগণ্য।

12. ভবিষ্যত প্রয়োগ এবং দিকনির্দেশনা

ভবিষ্যতের কাজের জন্য হিউরিস্টিক সেটটি মাল্টি-ফ্যাক্টর প্রমাণীকরণ (MFA) গ্রহণ, পাসওয়ার্ড হ্যাশিং অ্যালগরিদম এবং সেশন ম্যানেজমেন্ট অনুশীলন অন্তর্ভুক্ত করার জন্য প্রসারিত করা উচিত। সময়ের সাথে সাথে পরিবর্তনগুলি ট্র্যাক করে অনুদৈর্ঘ্য অধ্যয়ন নীতি হস্তক্ষেপের প্রভাব পরিমাপ করতে সাহায্য করবে। অতিরিক্তভাবে, বাংলাদেশী নাগরিকদের মধ্যে পাসওয়ার্ড আচরণের উপর ব্যবহারকারী-কেন্দ্রিক অধ্যয়ন আরও ভাল ডিজাইন নির্দেশিকা জানাতে পারে। বায়োমেট্রিক প্রমাণীকরণ এবং পাসওয়ার্ডবিহীন সিস্টেমের (যেমন, WebAuthn) সংহতকরণ ব্যবহারযোগ্যতার সাথে আপস না করে নিরাপত্তা বাড়ানোর জন্য একটি প্রতিশ্রুতিশীল দিক নির্দেশ করে।

13. তথ্যসূত্র

1. Herley, C., & van Oorschot, P. (2012). A research agenda acknowledging the persistence of passwords. IEEE Security & Privacy, 10(1), 28-36.
2. World Bank. (2021). Cybersecurity and Economic Development: A Global Perspective. Washington, DC.
3. Florencio, D., & Herley, C. (2007). A large-scale study of web password habits. Proceedings of the 16th International Conference on World Wide Web, 657-666.
4. Bonneau, J., et al. (2012). The quest to replace passwords: A framework for comparative evaluation of web authentication schemes. IEEE Symposium on Security and Privacy, 553-567.
5. Bangladesh Computer Council. (2020). National Cybersecurity Strategy 2020-2025. Dhaka.

14. বিশেষজ্ঞ মন্তব্য