🔑 Chapter 9 — Shadow Academy

🧭 দক্ষতা যাচাই ও প্রতিরক্ষামূলক takeaway

Skill checkpoint: OTP/TOTP lifecycle, expiry ও recovery path ব্যাখ্যা করো।
Defense checkpoint: Rate limit, replay prevention ও নিরাপদ recovery code প্রয়োগ করো.
Lab scope: শুধু নিজের lab, synthetic data বা লিখিত অনুমতিপ্রাপ্ত target-এ অনুশীলন করো। Real credential, token বা customer data ব্যবহার কোরো না।

Portfolio proof: finding, impact, fix ও retest নিয়ে ৫-লাইনের redacted note রাখো।

📱 OTP কী এবং কীভাবে কাজ করে?

OTP = One-Time Password। Login security-র দ্বিতীয় স্তর।

Flow:
1️⃣ Phone number দাও
2️⃣ Server SMS পাঠায় (OTP valid ৫ মিনিট)
3️⃣ OTP দাও → verified!

2FA (Two-Factor Authentication) = কিছু জানো (password) + কিছু আছে (phone)

📊 OTP-র Types

SMS OTP = phone-এ SMS — সবচেয়ে common, intercept-এর ঝুঁকি আছে
TOTP = Time-based OTP (Google Authenticator) — 30 সেকেন্ড-এ change
Email OTP = email-এ link বা code
Push Notification = phone-এ approve button
Hardware Token = physical device (সবচেয়ে secure)

TOTP formula:
T = floor(current_time / 30)  # 30 sec window
OTP = HMAC-SHA1(secret_key, T) % 10^6

🤖 OTP Automation — Virtual SIM

Telegram-এর @SMS_Activate_bot থেকে virtual SIM number কিনে OTP পাওয়া যায়:

# SMS-Activate API
import requests

API_KEY = 'your_smsactivate_key'

# Step 1: Number কিনো
r = requests.get(f'https://sms-activate.org/stubs/handler_api.php',
    params={'api_key': API_KEY, 'action': 'getNumber',
            'service': 'me', 'country': 7})
# Response: ACCESS_NUMBER:123456789:79001234567
phone = r.text.split(':')[2]

# Step 2: OTP দিয়ে login করো phone দিয়ে

# Step 3: OTP নিয়ে আসো
r = requests.get(..., params={'action': 'getStatus', 'id': id})
# Response: STATUS_OK:1234  ← OTP এলো!

🔒 TOTP Python দিয়ে Generate করো

pyotp library দিয়ে Google Authenticator-এর TOTP generate করা যায়:

import pyotp
import time

# Secret key (QR code-এ থাকে)
secret = 'BASE32_TEST_SECRET_PLACEHOLDER'
totp = pyotp.TOTP(secret)

# Current OTP
print(totp.now())  # যেমন: 123456

# Verify
print(totp.verify('123456'))  # True/False

# Time remaining
remaining = 30 - (int(time.time()) % 30)
print(f'Next OTP in: {remaining}s')

⚠️ Rate Limiting ও Lockout

OTP attempt সীমিত রাখো:

সাধারণ limits:
5 OTP tries → 30 min lockout
3 failed logins → account locked

Bot করার সময়:
- Correct OTP নিশ্চিত করো আগে
- Retry logic রাখো
- Lockout এড়াতে দ্রুত verify করো

Meesho-তে OTP expires in ৫ মিনিট। Token পাওয়ার পর fast verify করো!

💡 Chapter 9-এর মূল শিক্ষা

📱 OTP = One-Time Password — login-এর দ্বিতীয় স্তর
⏰ TOTP = 30 সেকেন্ডে change — Google Authenticator এটাই
📲 SMS-Activate = virtual SIM API — automated OTP receive
🐍 pyotp = Python দিয়ে TOTP generate/verify
⚠️ Rate limit = ৫ tries-এর পর lockout — সাবধান!
🔑 Meesho OTP = ৫ মিনিট valid — দ্রুত use করো

🎯 Chapter 9 কুইজ (১০টা প্রশ্ন)

প্রতিটা উত্তরে click করো → সবুজ/লাল + ব্যাখ্যা!

❓ প্রশ্ন 1: OTP মানে কী?

💡 OTP = One-Time Password। Login-এর সময় SMS/email-এ পাঠানো হয়। একবার use করলে বা expire হলে আর কাজ করে না।

❓ প্রশ্ন 2: TOTP কতক্ষণ পর পর change হয়?

💡 TOTP = Time-based OTP। প্রতি ৩০ সেকেন্ডে নতুন 6-digit code। HMAC-SHA1(secret, time/30)।

❓ প্রশ্ন 3: 2FA মানে কী?

💡 2FA = দুটো factor। Password (জানো) + OTP/token (আছে)। দুটো একসাথে না থাকলে login হবে না।

❓ প্রশ্ন 4: SMS-Activate কী?

💡 SMS-Activate = virtual phone number service। API দিয়ে number কিনো → OTP receive করো → automation-এ use করো।

❓ প্রশ্ন 5: pyotp library কী কাজ করে?

💡 pyotp = Python TOTP library। pyotp.TOTP(secret).now() দিলে current 6-digit code দেয়। Google Authenticator-compatible।

❓ প্রশ্ন 6: OTP brute force করা কঠিন কেন?

💡 OTP = ৬ digits = ১০০০০০০ possibility। কিন্তু ৫ মিনিট + ৫ tries = brute force সম্ভব নয়।

❓ প্রশ্ন 7: Meesho-র OTP কতক্ষণ valid?

💡 Meesho OTP ৫ মিনিট valid। Bot-এ OTP receive করার পর দ্রুত verify request পাঠাতে হবে।

❓ প্রশ্ন 8: Hardware token (YubiKey) কেন সবচেয়ে secure?

💡 Hardware token = physical device, network-এ expose হয় না। SMS interceptable, authenticator app phishable — hardware নয়।

❓ প্রশ্ন 9: OTP SMS intercept করার method কী?

💡 SS7 protocol-এ vulnerability আছে — SMS redirect সম্ভব। SIM swap = carrier-কে convince করে SIM নিজের নামে নেওয়া।

❓ প্রশ্ন 10: Rate limiting bypass-এর approach?

💡 Rate limit bypass = প্রতিটা number-এর জন্য আলাদা IP (proxy) + different numbers। একই number/IP বারবার = lockout।

এই অধ্যায়ে কী শিখবে

বিশ্বস্ত reference