এক দশকেরও বেশি সময় ধরে সাইবার নিরাপত্তার প্রচলিত প্রবাদ ছিল: "কোনো 2FA না থাকার চেয়ে যেকোনো 2FA থাকা ভালো।" সাধারণ ও অসতর্ক ক্রেডেনশিয়াল স্টাফিং আক্রমণের ক্ষেত্রে এটি সত্য হলেও, SMS-ভিত্তিক দ্বি-পদক্ষেপ প্রমাণীকরণ এখন এক বিপর্যয়কর একক ব্যর্থতার বিন্দুতে (Single Point of Failure - SPOF) পরিণত হয়েছে। ডার্ক ওয়েবে ব্যক্তিগত শনাক্তকরণযোগ্য তথ্যের (PII) বিপুল ফাঁস, আপসকৃত টেলিকম অপারেটর স্টোর এবং Evilginx-এর মতো স্বয়ংক্রিয় Adversary-in-the-Middle (AiTM) রিভার্স প্রক্সি ফ্রেমওয়ার্কের কারণে SMS 2FA নিরাপত্তার এক ভুয়ো আশ্বাস দেয়। এই প্রযুক্তিগত নথিতে বিশদভাবে তুলে ধরা হয়েছে কীভাবে SMS যাচাইকরণ কোড ইন্টারসেপ্ট করা হয় এবং কেন আপনার নিরাপত্তায় অবিলম্বে TOTP এবং FIDO2 কিতে মাইগ্রেশন প্রয়োজন।
০১. SMS নিরাপত্তার বিভ্রম ও ঐতিহাসিক প্রেক্ষাপট
২০০০-এর দশকের শুরুতে ব্যবহারকারীদের কোনো অতিরিক্ত ঝামেলা না থাকায় অনলাইন গ্রাহক নিরাপত্তার প্রধান মানদণ্ড হিসেবে SMS-ভিত্তিক যাচাইকরণ বিস্তার লাভ করে। ব্যবহারকারীদের কোনো বিশেষ ক্রিপ্টোগ্রাফিক অ্যাপ্লিকেশন ইনস্টল করতে হতো না বা হার্ডওয়্যার কি কিনতে হতো না। ব্যক্তির একটি মোবাইল ফোন থাকলেই তার পকেটে সরাসরি ৪ থেকে ৬ সংখ্যার ভেরিফিকেশন কোড পৌঁছে যেত।
তবে Short Message Service (SMS) প্রোটোকলটি মূলত ১৯৮০-এর দশকে European Telecommunications Standards Institute (ETSI) দ্বারা GSM স্ট্যান্ডার্ডাইজেশনের আওতায় তৈরি হয়েছিল। এটি কখনোই ক্রিপ্টোগ্রাফিক সিক্রেট বহন বা পরিচয় যাচাইকরণ প্রোটোকল হিসেবে কাজ করার জন্য নকশা করা হয়নি। SMS বার্তায় এন্ড-টু-এন্ড এনক্রিপশন নেই, উৎস বা প্রেরকের প্রমাণীকরণ (Origin Authentication) নেই এবং ব্যবহারকারীর সক্রিয় ওয়েব ব্রাউজার সেশনের সাথে কোনো ক্রিপ্টোগ্রাফিক চ্যানেল বাইন্ডিং (Channel Binding) নেই।
টেলিকম অপারেটররা টেক্সট মেসেজ রাউট করে সেলুলার টাওয়ারে নিবন্ধিত International Mobile Subscriber Identity (IMSI)-এর ওপর ভিত্তি করে—ডিভাইসধারী প্রকৃত মানুষের পরিচয়ের ওপর ভিত্তি করে নয়। আপনি যখন SMS 2FA-এর ওপর নির্ভর করেন, তখন আপনার ডিজিটাল পরিচয় ক্রিপ্টোগ্রাফি দ্বারা সুরক্ষিত থাকে না; বরং এটি সুরক্ষিত থাকে স্থানীয় মোবাইল দোকানের এক সাধারণ কাস্টমার সাপোর্ট প্রতিনিধির সিদ্ধান্তের ওপর।
০২. আক্রমণ পদ্ধতি ১: SIM সোয়াপিং মেকানিক্সের গভীর বিশ্লেষণ
SIM সোয়াপিং (বা SIM হাইজ্যাকিং / পোর্ট-আউট স্ক্যাম) হলো ক্রিপ্টোকারেন্সির বড় বিনিয়োগকারী, কর্পোরেট নির্বাহী এবং সিস্টেম অ্যাডমিনিস্ট্রেটরদের লক্ষ্য করে পরিচালিত সুনির্দিষ্ট সাইবার আক্রমণের প্রধান হাতিয়ার। এক্ষেত্রে লক্ষ্যবস্তুর ফোনে আক্রমণকারীর শারীরিক অ্যাক্সেসের কোনো প্রয়োজন হয় না।
SIM সোয়াপিং আক্রমণের জীবনচক্র:
আক্রমণকারীরা ডার্ক-ওয়েব ডেটা ব্রিচ ডেটাবেস থেকে তথ্য কিনে ভিকটিমের জাতীয় পরিচয়পত্র নম্বর/SSN, পূর্ণ নাম, জন্মতারিখ, বাড়ির ঠিকানা এবং প্রাথমিক মোবাইল অপারেটরের তথ্য সংগ্রহ করে।
আক্রমণকারী "সিম হারিয়ে গেছে বা নষ্ট হয়েছে" দাবি করে ভিকটিম সেজে কাস্টমার কেয়ারে কল করে সহজ যাচাইকরণ প্রশ্নের উত্তর দিয়ে প্রতারণা করে। বিকল্পভাবে, সাইবার অপরাধী চক্রগুলো অননুমোদিত সিম প্রতিস্থাপনের জন্য রিটেল স্টোরের কর্মীদের প্রতি সিম সোয়াপে ৫০০ থেকে ১,০০০ ডলার ঘুষ দেয়।
টেলিকম অপারেটর ভিকটিমের MSISDN ফোন নম্বর আক্রমণকারীর নতুন সিম কার্ডে স্থানান্তর করে। ভিকটিমের ফোন তাৎক্ষণিকভাবে নেটওয়ার্ক হারিয়ে "No Service" বা "Emergency Calls Only" মোডে চলে যায়। বেশিরভাগ ভিকটিম এটিকে সাময়িক নেটওয়ার্ক গোলযোগ ভেবে উপেক্ষা করেন, ফলে প্রথম ১০ মিনিটের অত্যন্ত গুরুত্বপূর্ণ পদক্ষেপ গ্রহণের সুযোগটি নষ্ট হয়।
ফোন নম্বরের নিয়ন্ত্রণ নিয়ে আক্রমণকারীরা Gmail, Microsoft, Telegram, Binance এবং অনলাইন ব্যাংকিংয়ে পাসওয়ার্ড রিসেট প্রক্রিয়া শুরু করে। প্রতিটি ইনকামিং SMS OTP সরাসরি আক্রমণকারীর বার্নার ফোনে আসে, যার ফলে তাৎক্ষণিকভাবে পুরো অ্যাকাউন্টের পূর্ণ নিয়ন্ত্রণ তাদের হাতে চলে যায়।
- জ্যাক ডরসি (Twitter সিইও): ২০১৯ সালের আগস্টে হ্যাকাররা একটি AT&T রিটেল আউটলেটের মাধ্যমে ডরসির সিম সোয়াপ করে। এরপর তার ছিনতাইকৃত ফোন নম্বর ব্যবহার করে Twitter-এর পুরনো SMS-to-tweet গেটওয়ে (Cloudhopper)-এর মাধ্যমে আপত্তিকর টুইট প্রকাশ করে।
- মার্কিন সিকিউরিটিজ অ্যান্ড এক্সচেঞ্জ কমিশন (SEC) X অ্যাকাউন্ট (২০২৪): আক্রমণকারীরা SEC-এর অফিসিয়াল অ্যাকাউন্ট রিকভারি মোবাইল নম্বরে অননুমোদিত সিম সোয়াপ চালায় এবং স্পট বিটকয়েন ETF অনুমোদনের ভুয়ো ঘোষণা দেয়। ফলে বিশ্ববাজারে কয়েকশ মিলিয়ন ডলারের লিভারেজড ট্রেড লিকুইডেট হয়ে যায়।
০৩. আক্রমণ পদ্ধতি ২: SS7 ও সেলুলার প্রোটোকলের দুর্বলতা শোষণ
সিম সোয়াপিং যেখানে মানুষের ভুলের ওপর নির্ভর করে, সেখানে Signaling System No. 7 (SS7)-এর দুর্বলতা বৈশ্বিক টেলিকমিউনিকেশন রাউটিংয়ের কাঠামোগত ত্রুটিকে শোষণ করে।
১৯৭৫ সালে প্রণীত SS7 প্রোটোকল বিশ্বজুড়ে শত শত টেলিকমের মধ্যে কল সেটআপ, নম্বর ট্রান্সলেশন, SMS ডেলিভারি এবং আন্তর্জাতিক রোমিং পরিচালনা করে। সবচেয়ে উদ্বেগের বিষয় হলো, SS7 একটি অন্ধ বিশ্বাসের (blind-trust) মডেলের ওপর তৈরি: SS7 ব্যাকবোনের সাথে সংযুক্ত যেকোনো টেলিকম সেবাদাতাকে বৈধ ও বিশ্বস্ত হিসেবে ধরে নেওয়া হয়।
এর ফলে কোনো দেশের গোয়েন্দা সংস্থা বা দক্ষ অপরাধী সিন্ডিকেট আন্তর্জাতিক সীমানা পেরিয়ে ব্যাংকিং ও ক্রিপ্টো OTP ইন্টারসেপ্ট করতে পারে, যেখানে ভিকটিম কোনো সন্দেহই করতে পারেন না। এমনকি LTE Diameter প্রোটোকল আপগ্রেড করার পরেও পুরনো SS7-এর সাথে ব্যাকওয়ার্ড সামঞ্জস্য রাখার কারণে এই ঝুঁকি বহাল রয়েছে।
০৪. আক্রমণ পদ্ধতি ৩: রিয়েল-টাইম AiTM ফিশিং (Evilginx ফ্রেমওয়ার্ক)
অনেক ব্যবহারকারী ভুলবশত ভাবেন: "আমার সিম যদি সোয়াপ না হয়, তবে আমার টেক্সট কোড নিরাপদ।" আধুনিক Adversary-in-the-Middle (AiTM) রিভার্স প্রক্সি টুল যেমন Evilginx 3.0, Modlishka ও Muraena-র সামনে এই ধারণা সম্পূর্ণ অকার্যকর প্রমাণিত হয়।
চিরাচরিত ক্রেডেনশিয়াল ফিশিং ছিল স্ট্যাটিক জাল লগইন ফর্ম। আজকের আক্রমণাত্মক রিভার্স প্রক্সিগুলো সক্রিয় ও স্বচ্ছ মধ্যস্থতাকারী হিসেবে কাজ করে:
স্থির পাসওয়ার্ড চুরি করে। 2FA সক্রিয় থাকলে তাৎক্ষণিকভাবে ব্যর্থ হয়, কারণ আক্রমণকারী ৬০ সেকেন্ডের মেয়াদোত্তীর্ণ কোড পুনরায় ব্যবহার করতে পারে না।
ব্যবহারকারী ও আসল সার্ভারের মাঝে লাইভ ট্রাফিক প্রক্সি করে। ব্যবহারকারী SMS কোড প্রবেশ করালে প্রক্সি তা সাথে সাথে ফরওয়ার্ড করে প্রমাণীকরণ সম্পন্ন করে এবং প্রমাণীকৃত সেশন কুকি ও OAuth বেয়ারার টোকেন চুরি করে নেয়।
login.example.com-এ দিচ্ছেন নাকি login.examp1e.com-এ দিচ্ছেন তা কোড যাচাই করতে পারে না। অপরদিকে, FIDO2/WebAuthn প্রমাণীকরণকারী সরাসরি ব্রাউজারের অরিজিন URL-এর সাথে পাবলিক-কি স্বাক্ষর আবদ্ধ করে, ফলে ফিশিং আক্রমণ তাৎক্ষণিকভাবে প্রতিহত হয়।
০৫. আক্রমণ পদ্ধতি ৪: IMSI ক্যাচার ও অ্যান্ড্রয়েড ট্রোজান
স্থানীয় রেডিও ফ্রিকোয়েন্সি এবং এন্ডপয়েন্ট ডিভাইসের স্তরেও SMS বার্তা চরম ঝুঁকির মুখে পড়ে:
-
●
IMSI ক্যাচার (Stingrays) ও 2G ফলব্যাক আক্রমণ: ভুয়ো বহনযোগ্য সেলুলার বেস স্টেশনগুলো উচ্চ-ক্ষমতার বীকন সংকেত পাঠায়, যা আশেপাশের মোবাইলগুলোকে 4G/5G নেটওয়ার্ক থেকে বিচ্ছিন্ন করে পুরনো 2G (GSM)-তে নামিয়ে আনতে বাধ্য করে। যেহেতু GSM মোবাইল হ্যান্ডসেটের কাছে বেস স্টেশনের সত্যতা যাচাই করে না, তাই আক্রমণকারীরা দুর্বল A5/1 সাইফার ভেঙে বাতাস থেকেই ভয়েস কল এবং প্লেইনটেক্সট SMS টোকেন ডিক্রিপ্ট করে ফেলে।
-
●
অ্যান্ড্রয়েড SMS স্নিফার ম্যালওয়্যার: প্রতারণামূলক ইউটিলিটি বা সাইডলোডেড APK অ্যাপগুলো
android.permission.RECEIVE_SMSবাBIND_NOTIFICATION_LISTENER_SERVICEপারমিশন চেয়ে নেয়। একবার ইনস্টল হয়ে গেলে ব্যাকগ্রাউন্ড ডিমন প্রসেস আসার সাথে সাথেই ভেরিফিকেশন কোড ইন্টারসেপ্ট করে এনক্রিপ্ট করা Telegram বট বা কমান্ড-অ্যান্ড-কন্ট্রোল সার্ভারে রিয়েল-টাইমে পাচার করে দেয়।
০৬. NIST SP 800-63B বর্জনের নির্দেশিকা
এই ভয়াবহ আক্রমণ পদ্ধতিগুলো বিবেচনা করে National Institute of Standards and Technology (NIST) তাদের ঐতিহাসিক পরিচয় নির্দেশিকা Special Publication 800-63B (ডিজিটাল আইডেন্টিটি গাইডলাইন্স: প্রমাণীকরণ এবং লাইফসাইকেল ম্যানেজমেন্ট)-এ SMS প্রমাণীকরণকে আনুষ্ঠানিকভাবে সীমাবদ্ধ করেছে:
"PSTN সিস্টেম (SMS বা ভয়েস) ব্যবহার করে আউট-অফ-ব্যান্ড (OOB) প্রমাণীকরণ আনুষ্ঠানিকভাবে RESTRICTED (সীমাবদ্ধ) হিসেবে চিহ্নিত করা হলো। যেসব সিস্টেমে SMS ভেরিফিকেশন মোতায়েন করা হয়, তাদের অবশ্যই সিম সোয়াপিং, নম্বর স্পুফিং, সিগন্যালিং ইন্টারসেপশন এবং ডিভাইস ক্লোনিংয়ের অস্তিত্বমূলক ঝুঁকিগুলো স্পষ্টভাবে নথিভুক্ত ও স্বীকার করতে হবে। যেসব সংস্থা Authenticator Assurance Level 2 (AAL2) বা তার উচ্চতর মান বজায় রাখে, তাদের জন্য ক্রিপ্টোগ্রাফিক মাল্টি-ফ্যাক্টর প্রমাণীকরণকারী (TOTP অ্যাপ বা হার্ডওয়্যার FIDO টোকেন) ব্যবহার কঠোরভাবে বাধ্যতামূলক।"
ইউরোপীয় কর্তৃপক্ষ (ENISA) এবং Cybersecurity and Infrastructure Security Agency (CISA)-ও এই নীতির পুনরাবৃত্তি করেছে এবং এন্টারপ্রাইজ ও সরকারি সংস্থাগুলোকে গুরুত্বপূর্ণ অবকাঠামো থেকে SMS প্রমাণীকরণ দ্রুত প্রত্যাহার করার নির্দেশ দিয়েছে।
০৭. আর্কিটেকচার তুলনা: SMS বনাম TOTP বনাম FIDO2
কেন Time-based One-Time Password (RFC 6238 TOTP) কাঠামোগতভাবে SMS-এর চেয়ে বহুগুণ উন্নত? নিচের তুলনামূলক সারণিতে তাদের কাঠামোগত নিরাপত্তা বৈশিষ্ট্য তুলে ধরা হলো:
| নিরাপত্তা মাত্রা | SMS যাচাইকরণ | TOTP প্রমাণীকরণকারী (RFC 6238) | হার্ডওয়্যার FIDO2 / YubiKey |
|---|---|---|---|
| ডেলিভারি চ্যানেল | সেলুলার টেলিকম নেটওয়ার্ক | ১০০% ক্লায়েন্ট-সাইড লোকাল ম্যাথ | লোকাল সিকিউর এলিমেন্ট চিপ |
| SIM সোয়াপ প্রতিরোধ ক্ষমতা | শূন্য (তাৎক্ষণিকভাবে হাইজ্যাক হয়) | সুরক্ষিত (ফোন নম্বরের ওপর নির্ভরশীল নয়) | সুরক্ষিত (হার্ডওয়্যারে বিচ্ছিন্ন) |
| SS7 সিগন্যালিং ইন্টারসেপশন | অত্যন্ত ঝুঁকিপূর্ণ | সুরক্ষিত (নেটওয়ার্ক প্যাকেট নেই) | সুরক্ষিত (নেটওয়ার্ক ট্রানজিট নেই) |
| IMSI ক্যাচার / 2G ডাউনগ্রেড | ঝুঁকিপূর্ণ | সুরক্ষিত | সুরক্ষিত |
| AiTM রিভার্স প্রক্সি (Evilginx) | সহজেই বাইপাস করা যায় | মাঝারি (সচেতনতা প্রয়োজন) | সম্পূর্ণ সুরক্ষিত (অরিজিন বাইন্ডিং) |
| এয়ারপ্লেন মোড / অফলাইন ব্যবহার | অনুপলব্ধ | পুরোপুরি কার্যকর (শুধু টাইমস্ট্যাম্প প্রয়োজন) | পুরোপুরি কার্যকর |
| বাস্তবায়ন খরচ | SMS প্রতি অপারেটর ফি | বিনামূল্যে ও উন্মুক্ত মানদণ্ড | হার্ডওয়্যার টোকেন ক্রয় ($৪৫ - $৮০) |
০৮. কার্যকর প্রতিরক্ষা ও মাইগ্রেশন রোডম্যাপ
আপনার ফোনের নেটওয়ার্ক রহস্যজনকভাবে হারিয়ে যাওয়া পর্যন্ত অপেক্ষা করবেন না। এই দুর্বলতা দূর করতে আজই নিচের পদক্ষেপগুলো গ্রহণ করুন:
Google, Apple ID, GitHub, Binance, Kraken এবং আপনার প্রধান ইমেল সরবরাহকারী অ্যাকাউন্টে লগইন করুন। একটি প্রমাণীকরণকারী অ্যাপ (যেমন Aegis, 2FAS, বা Bitwarden) অথবা হার্ডওয়্যার সিকিউরিটি কি যুক্ত করুন। অপশন থাকলে ফলব্যাক রিকভারি পদ্ধতি হিসেবে SMS স্পষ্টভাবে নিষ্ক্রিয় করুন।
আপনার টেলিকম অপারেটরের (AT&T, Verizon, T-Mobile, Vodafone, Grameenphone ইত্যাদি) সাথে যোগাযোগ করে বাধ্যতামূলক Port-Out PIN বা "Account Takeover Freeze" সক্রিয় করুন। আপনার iOS/Android সেটিংসে অন-ডিভাইস SIM PIN সেট করুন, যেন চুরি হওয়া সিম কার্ড অন্য কোনো ফোনে প্রবেশ করিয়ে ব্যবহার করা না যায়।
যখনই কোনো প্রমাণীকরণকারী সেটআপ করবেন, মূল ১৬-অক্ষরের Base32 সিক্রেট কি একটি অফলাইন মাধ্যমে (কাগজে বা এনক্রিপ্ট করা কোল্ড স্টোরেজে) সংরক্ষণ করুন এবং অ্যাকাউন্টের ১০টি একক-ব্যবহার্য জরুরি রিকভারি কোড নিরাপদ রাখুন।
০৯. সাধারণ প্রশ্নোত্তর (FAQ)
প্রশ্ন ১: কোনো দ্বিতীয় স্তর না থাকার চেয়ে SMS 2FA কি তবুও ভালো নয়? ▼
দুর্বল ও পূর্বে ব্যবহৃত পাসওয়ার্ড স্ক্যানকারী সাধারণ স্বয়ংক্রিয় বট আক্রমণের বিরুদ্ধে SMS 2FA নামমাত্র সুরক্ষা দেয়। তবে SMS 2FA-এর প্রধান সমস্যা হলো অনলাইন সেবাগুলো আপনার ফোন নম্বরকে অলঙ্ঘনীয় মাস্টার রিকভারি কি হিসেবে বিবেচনা করে। কোনো সুনির্দিষ্ট আক্রমণকারী যদি আপনার সিম সোয়াপ করে ফেলে, তবে SMS তখন সুরক্ষার পরিবর্তে আপনার প্রতিটি পাসওয়ার্ড রিসেট করার মারণাস্ত্র হয়ে ওঠে।
প্রশ্ন ২: eSIM ব্যবহার করলে কি আমি SIM সোয়াপিং থেকে নিরাপদ থাকব? ▼
না। eSIM শারীরিক কার্ড চুরি থেকে সুরক্ষা দেয়, কিন্তু এটি সোশ্যাল ইঞ্জিনিয়ারিং প্রতিহত করতে পারে না। আক্রমণকারীরা যদি টেলিকম কর্মীকে রাজি করিয়ে আপনার নম্বরটি অন্য ডিভাইসে স্থানান্তর করায়, তবে তারা কেবল একটি নতুন ইলেকট্রনিক eSIM QR কোড পায় এবং ইন্টারনেটের মাধ্যমে কয়েক সেকেন্ডেই নম্বরটি নিজেদের ফোনে ডাউনলোড করে নেয়।
প্রশ্ন ৩: বাণিজ্যিক ব্যাংকগুলো এখনও কেন SMS ভেরিফিকেশন বাধ্যতামূলক করে রেখেছে? ▼
গ্রাহকদের দীর্ঘদিনের অভ্যাস এবং কাস্টমার সাপোর্টের বিশাল ব্যয়ের কারণে। কোটি কোটি সাধারণ ব্যাংকিং গ্রাহককে প্রমাণীকরণকারী অ্যাপে রূপান্তর করতে গেলে তাদের কল সেন্টারগুলো অচল হয়ে পড়বে। ব্যাংকগুলো বরং প্রতি বছর জালিয়াতির বিপুল আর্থিক ক্ষতি নিজেরাই বহন করে এবং পর্দার আড়ালে ঝুঁকি মডেলিংয়ের ওপর নির্ভর করে (যেমন গত ২৪ ঘণ্টায় সিম পরিবর্তন হয়েছে কি না তা টেলিকম থেকে যাচাই করা)।
প্রশ্ন ৪: আমার স্মার্টফোনে হঠাৎ "No Service" দেখালে তাৎক্ষণিকভাবে কী করা উচিত? ▼
এটিকে একটি গুরুতর নিরাপত্তা সংকট হিসেবে বিবেচনা করুন। অবিলম্বে ওয়াই-ফাইতে সংযুক্ত হোন, ল্যান্ডলাইন বা অন্য কোনো ফোন থেকে আপনার মোবাইল অপারেটরকে কল করুন এবং নিশ্চিত হোন যে আপনার নম্বরটি অন্য সিমে পোর্ট করা হয়েছে কি না। একই সাথে একটি নিরাপদ কম্পিউটার থেকে ক্রিপ্টোকারেন্সি এক্সচেঞ্জ অ্যাকাউন্ট ফ্রিজ করুন এবং প্রধান ইমেলের পাসওয়ার্ড পরিবর্তন করুন।
প্রশ্ন ৫: আক্রমণকারী আমার সিম সোয়াপ করলে কি আমার TOTP প্রমাণীকরণকারীর কোডও হাতিয়ে নিতে পারবে? ▼
না। প্রমাণীকরণকারী অ্যাপগুলো আপনার ডিভাইসের সুরক্ষিত হার্ডওয়্যার কি-স্টোরে সংরক্ষিত প্রি-শেয়ার্ড ক্রিপ্টোগ্রাফিক কি ব্যবহার করে লোকালভাবে কোড গণনা করে। এই কিতে সেলুলার নেটওয়ার্কের কোনো অ্যাক্সেস নেই। আক্রমণকারী আপনার ফোন নম্বরের পূর্ণ নিয়ন্ত্রণ নিলেও আপনার TOTP কোড তৈরি করতে পারবে না।
সরাসরি আপনার ব্রাউজারে নিরাপদ TOTP কোড তৈরি করুন
সেলুলার ইন্টারসেপশনের ঝুঁকিকে চিরতরে বিদায় জানান। 2FA-Tool W3C Web Crypto API ব্যবহার করে সম্পূর্ণ লোকাল ব্রাউজার স্যান্ডবক্সের মধ্যে RFC 6238 কোড তৈরি করে, যা আপনার সিক্রেট কি-কে সম্পূর্ণ ব্যক্তিগত ও অফলাইন রাখে।