AES-256 বনাম OFB: সম্পূর্ণ VPN সাইফার গঠন বেছে নিন

AES-256 ও OFB ভিন্ন প্রশ্নের উত্তর দেয়, আর সাইফার পর্যালোচনা ঠিক এখানেই ভুল হয় যখন এদের প্রতিদ্বন্দ্বী বিকল্প হিসেবে ধরা হয়। একটি কী সাইজসহ ব্লক সাইফারের নাম বলে; অন্যটি বর্ণনা করে কীভাবে একটি ব্লক সাইফার দীর্ঘ বার্তার জন্য স্রোতে রূপান্তরিত হয়। সুরক্ষা বাছাইয়ের রানবুকে পুরো গঠনটি দেখতে হবে, যার মধ্যে রয়েছে প্রাপক কীভাবে পরিবর্তিত প্যাকেট শনাক্ত করে।

গঠনের চারটি অংশের নাম দিন

প্রতিটি পর্যালোচনা চারটি প্রশ্নে নেমে আসে: কোন প্রিমিটিভ ও কী সাইজ, তা দিয়ে বার্তা কীভাবে প্রক্রিয়া হয়, প্রাপক কীভাবে অননুমোদিত পরিবর্তন প্রত্যাখ্যান করে, এবং প্রোটোকল ইনপুট, কী ও তাদের আয়ুষ্কাল কীভাবে পরিচালনা করে। পরিচিত নামের তালিকা কেবল প্রথমটির উত্তর দেয়। দ্বিতীয় ও তৃতীয়তেই আসল পার্থক্য থাকে, আর চতুর্থটিতে বাস্তবায়ন চুপচাপ আলাদা হয়। এই ক্রমে জিজ্ঞাসা করুন এবং উত্তর লিখে রাখুন।

OFB NIST-এর ব্লক-সাইফার মোড প্রকাশনায় গোপনীয়তার মোডগুলির মধ্যে রয়েছে, এবং গোপনীয়তাই এর একমাত্র দেওয়া। এনক্রিপশন মোডকে আলাদা MAC-এর সঙ্গে জোড়া দেওয়া প্রোটোকলকে সেগুলি সঠিকভাবে সংযোজন করতে হয়, আর অ্যালগরিদমের নাম সেই সংযোজন প্রমাণ করে না। তাই মোডের নাম একা মোতায়েনের সিদ্ধান্ত স্থির করতে পারে না।

চতুর্থ প্রশ্নটি হলো যা অপারেটর চলমান সিস্টেমে সত্যিই যাচাই করতে পারেন।

প্রমাণিত গঠনকে প্রাধান্য দিন

প্রমাণিত এনক্রিপশন গোপনীয়তা ও অখণ্ডতা একসঙ্গে দেয়, আর AEAD গঠন সংযুক্ত ডেটাকে এনক্রিপ্ট না করেই পরিবর্তন থেকে রক্ষা করে। এটি প্যাকেট সুরক্ষার একটি ধর্ম, এবং কোনো মানুষ সফলভাবে সাইন-ইন করেছে কিনা তার সঙ্গে এর সম্পর্ক নেই।

Netgate-এর Netgate-এর OpenVPN ক্রিপ্টোগ্রাফিক সেটিংস নির্দেশিকা ডেটা চ্যানেলের জন্য AEAD বিকল্প, তার মধ্যে AES-GCM, দেখায়, আর এটিই অনুসরণযোগ্য সমর্থিত নীতি। ইনস্টল করা সংস্করণ ও পিয়ার ক্লায়েন্ট যেসব পছন্দ সমর্থন করে সেগুলি ব্যবহার করুন, নতুন মোতায়েনে ঐতিহাসিক মোড ক্রম কপি না করে। পুরনো সামঞ্জস্য, ক্রিপ্টো ব্যাকএন্ড ও অফলোড সমর্থন প্রকৃতপক্ষে যা পাওয়া যায় তা সীমিত করে।

সমর্থিত গঠন প্রতিবারই চতুর সংযোজনকে হারায়।

প্রস্তাব নয়, সমঝোতার ফলাফল পড়ুন

গৃহীত তালিকায় একটি সাইফার দেখা যাওয়া বর্তমান সেশনের বিষয়ে কিছুই বলে না। ক্লায়েন্ট বা গেটওয়ে থেকে সমঝোতাকৃত ডেটা-চ্যানেল সুরক্ষা পড়ুন, তারপর আপনি যে নীতি প্রয়োগ করতে চেয়েছিলেন তার সঙ্গে তুলনা করুন। একটি পুরনো পিয়ারের জন্য এখনও পুরনো বিকল্প তালিকাভুক্ত করা কনফিগারেশন একটি সামঞ্জস্য সিদ্ধান্ত, আপনার সামনের সেশন সম্পর্কে বিবৃতি নয়।

openvpn --config client.conf --verb 4 2>&1 | grep -Ei 'cipher|data channel|auth'

গেটওয়েতে সমতুল্য আউটপুট হলো সিকিউরিটি অ্যাসোসিয়েশন বা সংযোগের ক্রিপ্টো বিবরণ, প্ল্যাটফর্ম অনুযায়ী। দুই ক্ষেত্রেই প্রস্তাব ও ফলাফল আলাদা তথ্য। একটি পুরনো পিয়ারের জন্য পুরনো বিকল্প থাকা তালিকার মানে এই নয় যে প্রতিটি সেশন তা ব্যবহার করে, আর যে সেশন করে সেটিই আপনার জানা দরকার ছিল।

দুটি তথ্য একসঙ্গে লিপিবদ্ধ করুন, তারিখ ও ক্লায়েন্ট সংস্করণসহ।

যা তুলনা করতে পারেন কেবল তা-ই মাপুন

থ্রুপুট নির্ভর করে প্রান্তের হার্ডওয়্যার, বাস্তবায়ন, ত্বরণ, প্যাকেটের আকার ও নির্বাচিত কনফিগারেশনের উপর। কী-এর দৈর্ঘ্য বা OFB শব্দ কোনোটিই বলে না কোন মোতায়েন দ্রুত হবে। তাই অন্য সাইটের বেঞ্চমার্ক বড়জোর অন্য কারও হার্ডওয়্যার সম্পর্কে ইঙ্গিত। আপনার নিজের সংখ্যা আপনার নিজের প্রান্ত থেকেই শুরু হয়।

অনুমোদিত তুলনার জন্য প্রান্ত, কাজের ভার ও প্রয়োজনীয় নীতি স্থির রাখুন, এবং সমঝোতাকৃত সুরক্ষা ও বাস্তবায়ন সংস্করণ লিপিবদ্ধ করুন। তারপর ফলাফল বিচার করুন অ্যাপ্লিকেশনটি শেষ হয়েছে কি না, কতটা হারিয়েছে এবং প্রান্তগুলি কী করছিল তা দিয়ে, একটি গতি পরীক্ষা থেকে ক্রিপ্টো ব্যয় অনুমান না করে। ভিন্ন পরিস্থিতিতে উৎপাদিত সংখ্যা একটি গল্প, মাপ নয়।

যদি একটি পুরনো পিয়ার নীতি মানতে না পারে, সেটি তার মালিকের জন্য সামঞ্জস্য সিদ্ধান্ত।

অখণ্ডতাকে লেনদেনের বাইরে রাখুন

অখণ্ডতা পরীক্ষা বন্ধ করা বা অ-প্রমাণিত সার্ভার গ্রহণ করা কার্যদক্ষতার উন্নয়ন নয়, সামঞ্জস্যের মেরামতও নয়। এটি গঠন যে সুরক্ষা ধর্ম দেওয়ার জন্য বাছা হয়েছিল তা বদলে দেয়। গৃহীত সাইফার তালিকা পুরনো পিয়ার সংযুক্ত হওয়া পর্যন্ত বাড়ানোর ক্ষেত্রেও একই: সংযোগ সফল হয় আর নীতি আর থাকে না।

গৃহীত গঠন ও তার মালিক রানবুকে লিখুন, যাতে পরের পরিবর্তন পছন্দ থেকে নয় সিদ্ধান্ত থেকে শুরু হয়।

আপনি চান এমন নীতি যা দুই প্রান্তই প্রয়োগ করতে পারে। একটি নাম সবচেয়ে শক্তিশালী বলে তর্ক করা আলাদা কথাবার্তা, আর তা সাধারণত সিদ্ধান্ত ছাড়াই শেষ হয়।