A07: আইডেন্টিফিকেশন ও অথেন্টিকেশন ফেইলিওর

১ · A07 — পরিচয় যাচাই প্রক্রিয়ার দুর্বলতাসমূহ

Identification and Authentication FailuresIdentification and Authentication Failuresব্যবহারকারীর পরিচয় সঠিকভাবে যাচাই বা নিশ্চিত করতে ব্যর্থ হওয়ার সাথে সম্পর্কিত দুর্বলতার একটি ক্যাটাগরি — শুধু "ভুল পাসওয়ার্ড" নয়, পুরো অথেন্টিকেশন প্রক্রিয়ার ডিজাইন ও বাস্তবায়ন। একটি অ্যাপ্লিকেশনের সবচেয়ে গুরুত্বপূর্ণ নিরাপত্তা-সীমারেখাগুলোর একটি — কারণ একবার এই সীমারেখা ভাঙা গেলে আক্রমণকারী সরাসরি ভুক্তভোগীর পরিচয় নিয়ে কাজ করতে পারে।

এছাড়াও, সংবেদনশীল কাজের (যেমন টাকা ট্রান্সফার, পাসওয়ার্ড পরিবর্তন) জন্য MFAMulti-Factor Authenticationশুধু পাসওয়ার্ড (যা আপনি জানেন) ছাড়াও দ্বিতীয় একটি প্রমাণ (যেমন আপনার ফোনে পাঠানো কোড, যা আপনার কাছে আছে) দাবি করা — একটি ফ্যাক্টর চুরি হলেও অ্যাকাউন্ট সুরক্ষিত থাকে। না থাকাও এই ক্যাটাগরির অন্তর্ভুক্ত — একটি মাত্র চুরি হওয়া পাসওয়ার্ডই তখন সম্পূর্ণ অ্যাকাউন্ট দখলের জন্য যথেষ্ট হয়ে যায়।

২ · কেন রেট-লিমিটিং সবচেয়ে গুরুত্বপূর্ণ একক নিয়ন্ত্রণ

যদি একটি লগইন এন্ডপয়েন্ট সীমাহীন সংখ্যক চেষ্টার অনুমতি দেয়, তাহলে একজন আক্রমণকারী প্রোগ্রাম্যাটিকভাবে হাজার হাজার (এমনকি লক্ষ লক্ষ) পাসওয়ার্ড অনুমান চেষ্টা করতে পারে — এটিই ব্রুট-ফোর্স আক্রমণBrute-Force Attackসম্ভাব্য প্রতিটি (বা একটি বড় তালিকার) পাসওয়ার্ড ধারাবাহিকভাবে চেষ্টা করে সঠিকটি খুঁজে বের করার আক্রমণ কৌশল — L30-এ বিস্তারিত। (L30-এ বিস্তারিত)। এমনকি একটি "মোটামুটি শক্তিশালী" পাসওয়ার্ডও সীমাহীন চেষ্টার সামনে চিরকাল টিকতে পারে না। রেট-লিমিটিং (কয়েকটি ব্যর্থ চেষ্টার পর সাময়িক বা স্থায়ী লকআউট) এই আক্রমণকে ব্যবহারিকভাবে অসম্ভব করে তোলে — আক্রমণকারী প্রতি লকআউট-উইন্ডোতে মাত্র কয়েকটি অনুমান চেষ্টা করতে পারবে, যা কার্যকর ব্রুট-ফোর্সের জন্য অপর্যাপ্ত।

৩ · প্রতিরক্ষা চেকলিস্ট

• পাসওয়ার্ড কমপ্লেক্সিটি ও ব্রিচ-লিস্ট চেকিং — নতুন পাসওয়ার্ড সেট করার সময় তা পরিচিত-লিক-হওয়া পাসওয়ার্ড তালিকার সাথে না মেলে তা যাচাই করা।
• রেট-লিমিট/লকআউট — নির্দিষ্ট সংখ্যক ব্যর্থ চেষ্টার পর অ্যাকাউন্ট সাময়িকভাবে লক করা।
• ক্রিপ্টোগ্রাফিকভাবে র‍্যান্ডম সেশন টোকেন — অনুমানযোগ্য নয় এমন দীর্ঘ, র‍্যান্ডম টোকেন ব্যবহার করা।
• MFA — বিশেষ করে সংবেদনশীল কাজের জন্য দ্বিতীয় প্রমাণ-ফ্যাক্টর দাবি করা।

৪ · কোড ডেমো — লগইন রেট-লিমিটিং ও লকআউট

নিচের কোড সেলটি সম্পূর্ণ স্যান্ডবক্সড — এটি একটি ভুয়া ইন-মেমরি ইউজার-ডেটাবেস ও একটি "ব্যর্থ চেষ্টা" কাউন্টার ব্যবহার করছে। কোনো বাস্তব নেটওয়ার্ক অথেন্টিকেশন সার্ভার এখানে জড়িত নয় — এটি শুধু লকআউট-লজিকটি প্রদর্শন করছে।

# ভুয়া ইউজার-ডেটাবেস — শুধুই ইন-মেমরি ডিকশনারি
correct_passwords = {"anika": "S3cur3P@ss!"}

# প্রতিটি ইউজারের ব্যর্থ-চেষ্টার সংখ্যা ট্র্যাক করার জন্য
failed_attempts = {}
MAX_ATTEMPTS = 5

def login(username, password):
    if failed_attempts.get(username, 0) >= MAX_ATTEMPTS:
        return "লকড আউট — খুব বেশি ব্যর্থ চেষ্টার কারণে এই অ্যাকাউন্ট সাময়িকভাবে বন্ধ"

    correct = correct_passwords.get(username)
    if correct is not None and password == correct:
        failed_attempts[username] = 0  # সফল লগইনে কাউন্টার রিসেট
        return "লগইন সফল"

    failed_attempts[username] = failed_attempts.get(username, 0) + 1
    remaining = MAX_ATTEMPTS - failed_attempts[username]
    if remaining <= 0:
        return "ভুল পাসওয়ার্ড — এই ছিল শেষ সুযোগ, অ্যাকাউন্ট এখন লকড"
    return f"ভুল পাসওয়ার্ড — আর {remaining}টি চেষ্টা বাকি আছে"

# একজন আক্রমণকারী "anika"-র পাসওয়ার্ড ব্রুট-ফোর্স করার চেষ্টা করছে
guesses = ["12345", "password", "anika123", "qwerty", "letmein", "S3cur3P@ss!"]

for i, guess in enumerate(guesses, start=1):
    result = login("anika", guess)
    print(f"চেষ্টা #{i} (\"{guess}\"): {result}")