2FA সিক্রেট কী কাকে বলে? Base32, TOTP ও otpauth URI সহজ ভাষায়

Digital Account Market

৫ অক্টোবর, ২০২৬ · সর্বশেষ হালনাগাদ: ৫ অক্টোবর, ২০২৬

2FA সিক্রেট কী হলো অক্ষর ও সংখ্যার একটি ছোট স্ট্রিং, যা থেকে অথেনটিকেটর অ্যাপ লগইনের সময় বসানোর ছয় ডিজিটের কোড তৈরি করে। আপনার অর্ডারের ডেলিভারিতে এমন কী থাকলে পাসওয়ার্ডের পরে লাইনের সবচেয়ে গুরুত্বপূর্ণ ফিল্ড এটাই, অথচ ক্রেতারা এই ফিল্ডটিই সবচেয়ে বেশি ভুল টাইপ করেন বা অন্য কিছুর সঙ্গে গুলিয়ে ফেলেন। এই গাইডে ব্যাখ্যা করা হয়েছে স্ট্রিংটি আসলে কী, Base32 দেখতে কেমন, এবং সিক্রেট কী ব্যাকআপ কোড ও QR কোডের তথ্য থেকে কীভাবে আলাদা।

এছাড়া জানবেন ডেলিভারি লাইনের মধ্যে সিক্রেট কী কীভাবে চিনবেন এবং কয়েক সেকেন্ডে কীভাবে নিশ্চিত হবেন যে সেটি কাজ করছে। ফলে ফাইলের যেকোনো স্ট্রিং দেখে বুঝতে পারবেন সেটি সিক্রেট কী, ব্যাকআপ কোড নাকি অন্য কিছু।

2FA সিক্রেট কী কী এবং কীভাবে ছয় ডিজিটের কোড তৈরি করে

সময়-ভিত্তিক ওয়ান-টাইম পাসওয়ার্ড (TOTP, যা RFC 6238-এ সংজ্ঞায়িত) দুটি উপাদান দিয়ে তৈরি হয়: একটি শেয়ার্ড সিক্রেট এবং বর্তমান সময়। 2FA চালু করার সময় প্ল্যাটফর্ম সিক্রেট তৈরি করে একটি কপি নিজের কাছে রাখে, আর অন্য কপিটি থাকে আপনার অথেনটিকেটর অ্যাপে। প্রতি 30 সেকেন্ডে দুই পক্ষই সিক্রেট ও ঘড়ির ওপর একই হিসাব কষে এবং একই ছয়টি সংখ্যায় পৌঁছায়।

এর থেকে তিনটি বাস্তব ফল পাওয়া যায়:

সিক্রেট কী হলো অ্যাকাউন্টের দ্বিতীয় চাবি। যার কাছে এটি আছে, ওই 2FA সেটআপ সক্রিয় থাকা পর্যন্ত সে যেকোনো ডিভাইস থেকে বৈধ কোড তৈরি করতে পারে।
কোড কোথাও জমা থাকে না। প্রতি 30 সেকেন্ডে প্রতিটি কোড নতুন করে হিসাব হয়, তাই পুরোনো কোডের স্ক্রিনশট কোনো কাজে আসে না।
ঘড়ি গুরুত্বপূর্ণ। কোড তৈরির ডিভাইসের ঘড়ি আসল সময় থেকে এক মিনিট বা তার বেশি এগিয়ে বা পিছিয়ে থাকলে সঠিক সিক্রেট কী থেকেও বাতিল হওয়া কোড আসে।

Base32: অক্ষরগুলো দেখতে কেমন এবং সাধারণ টাইপের ভুল

সিক্রেট কী Base32-এ লেখা হয়। এটি এমন একটি বর্ণমালা, যেখানে আছে A থেকে Z পর্যন্ত 26টি বড় হাতের ইংরেজি অক্ষর এবং 2 থেকে 7 পর্যন্ত সংখ্যা। পুরো বর্ণমালা এটুকুই। 0, 1, 8 ও 9 কখনোই আসে না, কোনো বিরামচিহ্নও আসে না। একটি উদাহরণ (আসল অ্যাকাউন্টের কী নয়) এমন দেখায়: JBSWY3DPEHPK3PXP। আসল সিক্রেট কী সাধারণত 16 থেকে 32 অক্ষর লম্বা হয়।

যেহেতু মাত্র 32টি অক্ষর বৈধ, তাই বেশিরভাগ টাইপের ভুল সহজে ধরা যায়:

কী-এর মাঝখানে 0, 1 বা 8 থাকলে বুঝতে হবে কোনো অক্ষর ভুল পড়া হয়েছে। 0 সাধারণত O অক্ষর, 1 সাধারণত I বা L অক্ষর, আর 8 সাধারণত B অক্ষর।
ছোট হাতের অক্ষর সাধারণত সমস্যা করে না, কারণ বেশিরভাগ অ্যাপ সেগুলো বড় হাতের অক্ষরে বদলে নেয়।
শেষে এক বা একাধিক "=" চিহ্ন হলো প্যাডিং। অনেক অ্যাপ সিক্রেট কী এই চিহ্ন সহ বা ছাড়া, দুভাবেই নেয়।
অদৃশ্য বাড়তি অংশ, যেমন টেক্সট ফাইল থেকে কপি করার সময় আসা শেষের স্পেস বা নতুন লাইন, প্রায়ই "invalid key" বার্তার কারণ হয়।

otpauth URI, QR কোড ও সাধারণ টেক্সট কী

একই সিক্রেট আপনার কাছে তিনটি রূপে আসতে পারে, আর এগুলো গুলিয়ে ফেললে অনেক বিভ্রান্তি তৈরি হয়:

সাধারণ টেক্সট কী। শুধু Base32 স্ট্রিংটি। অথেনটিকেটর অ্যাপগুলো একে বলে সেটআপ কী বা ম্যানুয়াল এন্ট্রি কী।
QR কোড। একটি ছবি, যার ভেতরে otpauth URI এনকোড করা থাকে, যাতে আপনাকে কী টাইপ করতে না হয় এবং ফোন স্ক্যান করেই কাজ সারতে পারে।
otpauth URI। otpauth://totp/Example:user?secret=JBSWY3DPEHPK3PXP&issuer=Example-এর মতো টেক্সটের একটি লাইন। secret= এর পরের মানটিই Base32 কী। বাকি অংশগুলো লেবেল এবং issuer, অ্যালগরিদম, ডিজিট সংখ্যা ও সময়ের ব্যবধানের মতো সেটিংস।

আপনার কাছে শুধু QR ছবি বা otpauth লিংক থাকলে সিক্রেট হলো secret= এর পরের এবং পরবর্তী অ্যাম্পারস্যান্ডের (&) আগের টেক্সট। সাধারণ সেটআপে SHA-1, ছয় ডিজিট ও 30 সেকেন্ডের ব্যবধান ব্যবহার হয়, আর আপনি শুধু সিক্রেট টাইপ করলে অ্যাপ এই ডিফল্ট মানগুলোই ধরে নেয়। QR কোড স্ক্যান করলে বা পূর্ণ URI ইমপোর্ট করলে তার ভেতরের ডিফল্ট-বহির্ভূত সেটিংসও প্রয়োগ হয়।

2FA সিক্রেট কী, ব্যাকআপ কোড ও রিকভারি ইমেইল

এই তিনটি জিনিস একই অ্যাকাউন্ট সুরক্ষিত রাখে, কিন্তু তাদের কাজ সম্পূর্ণ আলাদা:

2FA সিক্রেট কী। দীর্ঘস্থায়ী একটি Base32 স্ট্রিং, যা প্রতি 30 সেকেন্ডে নতুন কোড তৈরি করে। 2FA রিসেট বা নতুন করে সেটআপ করা হলেই কেবল এটি বদলায়।
ব্যাকআপ কোড। একবার ব্যবহারযোগ্য কোড, যা প্ল্যাটফর্ম এমন দিনের জন্য দিতে পারে যেদিন আপনি অথেনটিকেটর অ্যাপে ঢুকতে পারছেন না। প্রতিটি কোড মাত্র একবার কাজ করে। এগুলো Base32 সিক্রেট নয়, তাই অথেনটিকেটর অ্যাপ বা TOTP টুল এগুলো ব্যবহার করতে পারে না।
রিকভারি ইমেইল। এটি একটি ইনবক্স, কোড নয়। লগইন নিশ্চিতকরণ আর রিসেট লিংক এখানে আসে। ডেলিভারি লাইনে এটি একটি ইমেইল ঠিকানা হিসেবে থাকে, সাধারণত তার পরে ওই মেইলবক্সের নিজস্ব পাসওয়ার্ড বসে।

সিক্রেট কী প্রতিদিনের কোড তৈরি করে, ব্যাকআপ কোড হলো বাড়তি টায়ার, আর রিকভারি ইমেইল হলো অন্য কিছু বিগড়ে গেলে ফেরার পথ। নিজের রেকর্ডে এই তিনটি আলাদা করে লেবেল করে রাখুন।

ডেলিভারি লাইনে সিক্রেট কী খুঁজে বের করা ও টেস্ট করা

ডেলিভারি আসে TXT ফাইল হিসেবে, যার লাইনগুলো username:password:email:email_password:auth_token-এর মতো দেখতে, আর সঠিক ফিল্ডগুলো ক্যাটাগরি অনুযায়ী বদলায়। কোনো ক্যাটাগরিতে 2FA কী থাকলে সেটি ওই লাইনের আরও একটি ফিল্ড। অবস্থান অন্ধভাবে গুনবেন না: ক্যাটাগরির বর্ণনা পড়ুন, তারপর ফাইলের প্রথম লাইনের সঙ্গে মিলিয়ে দেখুন।

ফিল্ডগুলোর আকার দেখেও চেনা যায়:

সিক্রেট কী কমপক্ষে 16 অক্ষরের হয়, তাতে থাকে বড় হাতের অক্ষর ও 2 থেকে 7 পর্যন্ত সংখ্যা, কোনো বিরামচিহ্ন থাকে না।
auth_token একটি লম্বা হেক্সাডেসিমাল স্ট্রিং। এটি সেশন টোকেন, কোড জেনারেটর নয়, তাই সিক্রেট কী-এর বিকল্প হতে পারে না। সেই পদ্ধতির জন্য দেখুন auth token দিয়ে Twitter-এ লগইন।
পাসওয়ার্ডে কোলন থাকতে পারে, আর সে কারণেই ":" ধরে সরলভাবে ভাগ করলে মাঝে মাঝে লাইন ভেঙে যায়।

সব লাইন একই কাঠামো মেনে চলছে কি না যাচাই করতে একটি নমুনা ফরম্যাট আইডেন্টিফায়ারে পেস্ট করুন। শুধু সিক্রেটগুলো থাকা কলামটি আলাদা করতে split-by-delimiter ব্যবহার করুন।

এরপর কয়েক সেকেন্ডেই সিক্রেট টেস্ট করুন। বিনামূল্যের 2FA টুল খুলে সিক্রেট পেস্ট করলে কাউন্টডাউনসহ ছয় ডিজিটের একটি কোড দেখা যাবে। টুল সিক্রেট অবৈধ বললে উপরের টাইপের ভুলের তালিকায় ফিরে যান। কোড দেখা গেলেও লগইনে তা প্রত্যাখ্যাত হলে ডিভাইসের ঘড়ি পরীক্ষা করুন এবং 2FA কোড কাজ না করলে কী করবেন পড়ুন।

অনেক অ্যাকাউন্ট সামলানোর সময় সিক্রেট নিরাপদে রাখা

একটি ডেলিভারি লাইনে প্রায়ই পাসওয়ার্ড ও 2FA সিক্রেট একসঙ্গে থাকে, ফলে যে ফাইল খোলে তার হাতে দুটি ফ্যাক্টরই চলে যায়। তাই প্রতিটি ফিল্ড আলাদাভাবে না বাঁচিয়ে পুরো ফাইলটিকে সুরক্ষিত রাখুন:

ফাইলটি একটি ব্যক্তিগত ফোল্ডারে রাখুন, যেখানে প্রবেশাধিকার সীমিত, এবং চ্যাট অ্যাপ, শেয়ার করা ডকুমেন্ট ও স্ক্রিনশট এড়িয়ে চলুন।
ডেলিভারির কিছুক্ষণের মধ্যেই প্রতিটি সিক্রেট টেস্ট করুন এবং অ্যাকাউন্টের পাশে তারিখ লিখে রাখুন, যাতে সমস্যা আগেভাগেই ধরা পড়ে।
প্রতিটি স্ট্রিং কী, তা লেবেল করুন, যেন একবার-ব্যবহারযোগ্য ব্যাকআপ কোড কখনো অথেনটিকেটর অ্যাপে চলে না যায়।
কপির সংখ্যা গুনে রাখুন। একই সিক্রেট দ্বিতীয় একটি অথেনটিকেটর অ্যাপে লোড করা যুক্তিসঙ্গত ব্যাকআপ, কিন্তু প্রতিটি কপি আরও একটি জায়গা, যেখান থেকে তা ফাঁস হতে পারে।

আরও বিস্তৃত পরিকল্পনার জন্য পড়ুন টু-ফ্যাক্টর অথেনটিকেশন ও রিকভারি পরিকল্পনা, আর বিজ্ঞাপনের শব্দভাণ্ডারের জন্য দেখুন অ্যাকাউন্ট গ্লসারি। Phone Verified Aged Accounts-এর মতো ক্যাটাগরি তুলনা করার সময় বর্ণনা পড়ে দেখুন ডেলিভারি ফাইলে কী কী থাকে। 2FA কী-এর ওপর নির্ভর করলে অর্ডারের আগে তা নিশ্চিত করে নিন, অথবা Telegram-এ সাপোর্টকে জিজ্ঞাসা করুন।

সচরাচর জিজ্ঞাসিত প্রশ্ন

2FA সিক্রেট কী দেখতে কেমন?

এটি A থেকে Z পর্যন্ত বড় হাতের অক্ষর এবং 2 থেকে 7 পর্যন্ত সংখ্যার একটি স্ট্রিং, সাধারণত 16 থেকে 32 অক্ষর লম্বা, যেমন ডকুমেন্টেশনের উদাহরণে JBSWY3DPEHPK3PXP। কিছু প্ল্যাটফর্ম এটি স্পেস বা ড্যাশ দিয়ে ভাগ করা গ্রুপে দেখায়।

2FA সিক্রেট কী কি ব্যাকআপ কোডেরই মতো?

না। ওই 2FA সেটআপ সক্রিয় থাকা পর্যন্ত সিক্রেট কী প্রতি 30 সেকেন্ডে নতুন কোড তৈরি করে। ব্যাকআপ কোড হলো একবার-ব্যবহারযোগ্য কোড, যা মাত্র একবার কাজ করে এবং অথেনটিকেটর অ্যাপে ব্যবহার করা যায় না।

QR কোড থেকে কি সিক্রেট কী বের করা যায়?

হ্যাঁ। সেটআপ QR কোডে একটি otpauth URI এনকোড করা থাকে, আর ওই টেক্সটে secret= এর পরের মানটিই সিক্রেট কী। টেক্সটটি গোপন রাখুন, কারণ সেটি কী-এর মতোই স্পর্শকাতর।

কিছু সিক্রেট কী-তে স্পেস বা ড্যাশ থাকে কেন?

ফাঁকগুলো শুধু পড়ার সুবিধার জন্য, প্রায়ই চার অক্ষরের গ্রুপে। কোনো অ্যাপ কী প্রত্যাখ্যান করলে স্পেস ও ড্যাশ মুছে দিন; বিনামূল্যের 2FA টুল সেগুলো যেমন আছে তেমনই গ্রহণ করে।

একই সিক্রেট কি একসঙ্গে দুটি অ্যাপে ব্যবহার করা যায়?

হ্যাঁ। একই সিক্রেট থাকা এবং ঘড়ি ঠিক থাকা যেকোনো অ্যাপ বা ডিভাইস একই কোড দেখায়। ব্যাকআপ হিসেবে এটি সুবিধাজনক, কিন্তু প্রতিটি কপি আরও একটি জায়গা, যেখানে সিক্রেট প্রকাশ পেয়ে যেতে পারে।