সিল থেকে ডিজিটাল স্বাক্ষর: রূপান্তরের সময়ে নিরাপত্তা

জাপানে "হানকো" (hanko) — ব্যক্তিগত নামের সিল — শতাব্দীর পর শতাব্দী ধরে পরিচয় যাচাইয়ের মূল ভিত্তি হয়ে আছে। প্রতিটি চুক্তি, ব্যাংক লেনদেন আর সরকারি ফর্মে লাগত সত্যিকারের সিলের ছাপ। কিন্তু COVID-19 এক নাটকীয় পরিবর্তন ঘটাতে বাধ্য করেছে: জাপানের ডিজিটাল এজেন্সি (Digital Agency) এখন কাগজবিহীন, সিলমুক্ত সরকারি সেবার পক্ষে জোর দিচ্ছে। প্রতিষ্ঠানগুলো কালি-কলমে করা স্বাক্ষরের জায়গায় ই-সিগনেচার চালু করায় সারা বিশ্বেই একই ধরনের রূপান্তর ঘটছে।

এই রূপান্তর এমন কিছু নতুন নিরাপত্তা ঝুঁকি তৈরি করছে, যার জন্য বেশিরভাগ মানুষই প্রস্তুত নন।

কাগুজে সিল ও হাতে-করা স্বাক্ষরের সমস্যা

প্রথাগত দুর্বলতা

ঝুঁকি	বিবরণ
জাল করা	আধুনিক 3D প্রিন্টিংয়ের যুগে সিল নকল করা একেবারেই সহজ
চুরি/হারানো	আপনার সিল যে খুঁজে পাবে, সে-ই সেটি ব্যবহার করতে পারে
অন্যের হয়ে সিল দেওয়া	সিল যিনি লাগাচ্ছেন তিনিই যে অনুমোদিত ব্যক্তি, তা যাচাইয়ের কোনো উপায় নেই
অডিট ট্রেইল নেই	কখন বা কে সিলটি লাগিয়েছে, তা প্রমাণ করা অসম্ভব

কেন ডিজিটাল রূপান্তর অনিবার্য

• দূর থেকে কাজ করতে হলে দূর থেকে স্বাক্ষর করার সুবিধাও লাগে
• আন্তর্জাতিক ব্যবসা কোনো নির্দিষ্ট দেশের কাগুজে সিলের ওপর নির্ভর করতে পারে না
• তরুণ কর্মীরা শুরু থেকেই ডিজিটাল-নির্ভর কাজের ধারা প্রত্যাশা করেন
• সরকারি ডিজিটালাইজেশনের বাধ্যবাধকতা (জাপানের ডিজিটাল এজেন্সি, ইউরোপীয় ইউনিয়নের eIDAS)

ডিজিটাল স্বাক্ষরের ধরন ও নিরাপত্তার স্তর

ধরন	নিরাপত্তার স্তর	উদাহরণ
সাধারণ ই-সিগনেচার	নিম্ন	নিজের নাম টাইপ করা, চেকবক্সে টিক দিয়ে সম্মতি
অ্যাডভান্সড ই-সিগনেচার	মাঝারি	পরিচয় যাচাইসহ DocuSign, Adobe Sign
কোয়ালিফায়েড ই-সিগনেচার	উচ্চ	সরকার-প্রদত্ত ডিজিটাল সার্টিফিকেট (eIDAS QES)
ব্লকচেইন-ভিত্তিক	অত্যন্ত উচ্চ	ক্রিপ্টোগ্রাফিক প্রমাণসহ ডিস্ট্রিবিউটেড লেজার স্বাক্ষর

রূপান্তরের সময়ের ৫টি নিরাপত্তা ঝুঁকি

১. সার্টিফিকেট চুরি

কম্পিউটার বা USB ড্রাইভে রাখা ডিজিটাল সার্টিফিকেট ম্যালওয়্যারের মাধ্যমে চুরি হয়ে যেতে পারে। সিন্দুকে তালাবন্ধ সিলের সঙ্গে এর পার্থক্য হলো, ল্যাপটপে থাকা ডিজিটাল সার্টিফিকেট সব ধরনের সাইবার হুমকির মুখে খোলা পড়ে থাকে।

ঝুঁকি কমানোর উপায়:

• সার্টিফিকেট হার্ডওয়্যার সিকিউরিটি টোকেনে (FIDO2/WebAuthn) রাখুন
• ক্লাউড-ভিত্তিক সার্টিফিকেট ম্যানেজমেন্ট ব্যবহার করুন
• স্বাক্ষরের জন্য মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করুন

২. ই-সিগনেচারকে টার্গেট করা ফিশিং আক্রমণ

"অনুগ্রহ করে এই ডকুমেন্টটি দেখে স্বাক্ষর করুন" — এটি এখন সবচেয়ে কার্যকর ফিশিং টোপগুলোর একটি। ভুয়া DocuSign ও Adobe Sign ইমেইলের ফাঁদে পড়ে ব্যবহারকারীরা হুবহু একই রকম দেখতে নকল সাইটে নিজের লগইন তথ্য দিয়ে ফেলেন।

ঝুঁকি কমানোর উপায়:

• স্বাক্ষরের লিংকে ক্লিক করার আগে সবসময় প্রেরক যাচাই করুন
• ইমেইলের লিংকে ক্লিক না করে প্ল্যাটফর্মের URL নিজে টাইপ করুন
• অপ্রত্যাশিত স্বাক্ষরের অনুরোধ এলে প্রেরককে ফোন করে নিশ্চিত হয়ে নিন

৩. দ্বৈত ব্যবস্থাপনার বোঝা

রূপান্তরের সময় প্রতিষ্ঠানগুলোকে কাগুজে সিল আর ডিজিটাল সার্টিফিকেট — দুটোই সামলাতে হয়। এই দ্বিগুণ বোঝার কারণে প্রায়ই দুই দিকেই নিরাপত্তায় ঢিলেমি দেখা দেয়।

৪. আইনি অস্পষ্টতা

কোন ডকুমেন্টে কোন ধরনের স্বাক্ষর লাগবে? উত্তরটা আইনি এখতিয়ারভেদে আলাদা, আর এখনো তা বদলাচ্ছে। ই-সিগনেচারের বৈধতা নিয়ে আইনি বিরোধ বেশ ব্যয়বহুল হতে পারে।

৫. অন্যের হয়ে স্বাক্ষরের জন্য লগইন তথ্য শেয়ার

"আমার হয়ে সিলটা একটু মেরে দাও" — এই পুরোনো অভ্যাস এখন রূপ নিচ্ছে পাসওয়ার্ড আর স্বাক্ষরের লগইন তথ্য শেয়ার করায়। এটি নিরাপত্তার গুরুতর লঙ্ঘন, যার ফলে এমন স্বাক্ষর তৈরি হয় যা আসলে কে করেছেন, তা নির্ধারণ করা যায় না।

নিরাপদ ডিজিটাল স্বাক্ষরের সেরা অনুশীলন

ব্যক্তিদের জন্য

1. স্বাক্ষরের লগইন তথ্য সুরক্ষিত রাখুন: হার্ডওয়্যার টোকেন বা বায়োমেট্রিক অথেন্টিকেশন ব্যবহার করুন
2. স্বাক্ষরের পাসওয়ার্ড কখনো শেয়ার করবেন না: WhatsApp, Messenger বা অন্য কোনো চ্যাট অ্যাপেই নয়
3. স্বাক্ষরের আগে পড়ে নিন: ডিজিটাল স্বাক্ষর মাত্র এক ক্লিকের ব্যাপার — ক্লিকটা ভেবেচিন্তে দিন
4. অব্যবহৃত সার্টিফিকেট বাতিল করুন: মেয়াদোত্তীর্ণ বা অব্যবহৃত সার্টিফিকেট ফেলে রাখবেন না

প্রতিষ্ঠানের জন্য

1. সার্টিফায়েড প্ল্যাটফর্ম বেছে নিন: eIDAS, ESIGN Act বা স্থানীয় বিধিমালা মেনে চলে এমন ই-সিগনেচার সেবা ব্যবহার করুন
2. স্বাক্ষরের এখতিয়ার নিয়ন্ত্রণ করুন: কে কোন ডকুমেন্টে স্বাক্ষর করতে পারবেন, তা নির্ধারণ করে দিন
3. অডিট লগ রাখুন: সব ডিজিটাল স্বাক্ষরের রেকর্ড সংরক্ষণ করুন
4. কর্মীদের প্রশিক্ষণ দিন: ডিজিটাল স্বাক্ষরের আইনি গুরুত্ব ও নিরাপত্তার শর্ত সম্পর্কে কর্মীদের সচেতন করুন

স্বাক্ষরের সময় সংবেদনশীল তথ্য শেয়ার করা

চুক্তির দর-কষাকষি আর স্বাক্ষর প্রক্রিয়ায় প্রায়ই পাসওয়ার্ড, ভেরিফিকেশন কোড ও ব্যক্তিগত তথ্য শেয়ার করতে হয়। এগুলো ইমেইল বা চ্যাটে খোলা টেক্সট হিসেবে পাঠানো বিপজ্জনক। LOCK.PUB দিয়ে আপনি পাসওয়ার্ড-সুরক্ষিত মেমো তৈরি করতে পারেন, যার লিংক নির্ধারিত মেয়াদ (Pro) শেষে আর খোলে না — আলাদা, নিরাপদ একটি চ্যানেলে স্বাক্ষরের লগইন তথ্য, ভেরিফিকেশন কোড বা চুক্তির সংবেদনশীল খুঁটিনাটি শেয়ার করার জন্য একেবারে উপযুক্ত।

রূপান্তরের চেকলিস্ট

☑ কাগুজে সিল তালাবন্ধ, প্রবেশ-নিয়ন্ত্রিত জায়গায় রাখা
☑ ডিজিটাল সার্টিফিকেট হার্ডওয়্যার টোকেনে বা ক্লাউড HSM-এ রাখা
☑ সব স্বাক্ষর প্ল্যাটফর্মে MFA চালু
☑ ই-সিগনেচার ফিশিং নিয়ে কর্মীদের প্রশিক্ষণ
☑ কোন ডকুমেন্টে কোন ধরনের স্বাক্ষর লাগবে, তা নিয়ে স্পষ্ট নীতি
☑ স্বাক্ষরের সংবেদনশীল তথ্য LOCK.PUB-এর মতো নিরাপদ চ্যানেলে শেয়ার
☑ স্বাক্ষরের এখতিয়ার ও সার্টিফিকেট ব্যবহারের নিয়মিত অডিট

শেষ কথা

কাগুজে সিল থেকে ডিজিটাল স্বাক্ষরে যাওয়া জরুরি, আর এই পথ থেকে ফেরার উপায় নেই। কিন্তু নিরাপত্তা ছাড়া সুবিধা আসলে একটি ফাঁদ। কোম্পানির সিল যেভাবে আগলে রাখতেন, ডিজিটাল সার্টিফিকেটও সেভাবেই সুরক্ষিত রাখুন, স্বাক্ষর-সংক্রান্ত ফিশিং সম্পর্কে সতর্ক থাকুন, আর সংবেদনশীল অথেন্টিকেশন তথ্য নিরাপদ ও মেয়াদ শেষে খোলা বন্ধ হয়ে যাওয়া চ্যানেলে শেয়ার করতে LOCK.PUB-এর মতো টুল ব্যবহার করুন।