কাস্টম VPN সার্টিফিকেট অতিরিক্ত এনক্রিপশন স্তর নয়

VPN এন্ডপয়েন্টে কাস্টম সার্টিফিকেট বসানো সুরক্ষা যোগ করার মতো মনে হয়, কারণ সার্টিফিকেট আর এনক্রিপশন সর্বত্র একসাথেই দেখা যায়। বাস্তবে এটি দুটি জিনিস বদলায়: এন্ডপয়েন্ট কোন পরিচয় উপস্থাপন করে, এবং তার সহকর্মী কোন ইস্যুয়ারকে বিশ্বাস করতে রাজি। এর কোনোটিই আপনার ডেটা দ্বিতীয়বার মোড়কে ঢোকায় না। যদি প্রকৃত প্রয়োজন দ্বিতীয় একটি সুরক্ষিত চ্যানেল হয়, তাহলে নিজস্ব এন্ডপয়েন্টসহ দ্বিতীয় চ্যানেল দরকার, আরেকটি সার্টিফিকেট নয়।

TLS 1.3 হ্যান্ডশেকে তিনটি আলাদা কাজ

RFC 8446 এগুলো আলাদা রাখে, এবং এই আলাদা রাখাই পুরো উত্তর। Certificate বার্তাটি এন্ডপয়েন্টের সার্টিফিকেট চেইন বহন করে। CertificateVerify সংশ্লিষ্ট প্রাইভেট কী-র অধিকার প্রমাণ করে এবং হ্যান্ডশেক ট্রান্সক্রিপ্ট বাঁধে। রেকর্ড স্তরটি সমঝোতায় আসা ট্রাফিক কী দিয়ে ট্রাফিক সুরক্ষিত রাখে।

সার্টিফিকেট বদলান—প্রথম দুটি বিষয় বদলে যায়। রেকর্ড সুরক্ষা দুবার চলে না, আর ইস্যুয়ার প্রাইভেট হয়ে যাওয়ায় তা আরও শক্তিশালী হয় না।

একটি প্রাইভেট CA আসলে কী দেয়

এটি একটি নিয়ন্ত্রিত পরিচয় ব্যবস্থা দেয়: কে ইস্যু পাবে তা আপনি ঠিক করেন, সহকর্মীরা কোন ইস্যুয়ার মানবে তা আপনি ঠিক করেন, এবং নিজের সময়সূচিতে প্রত্যাহার করতে পারেন। দুই প্রান্তই যখন আপনি চালান, তখন এটি সত্যিই উপকারী।

এটি দায়বদ্ধতাও আমদানি করে। বিশ্বাসকে সচেতনভাবে বিতরণ করতে হয়, সহকর্মী যাচাই চালু থাকতে হয়, এবং শংশাপত্রের জীবনচক্রের মালিক কেউ থাকতে হয়। প্রাইভেট CA এই তিনটির কোনোটিই এড়ানোর শর্টকাট নয়।

কখন দ্বিতীয় চ্যানেলই সঠিক উত্তর

ধরুন একটি অ্যাপ্লিকেশন নিজের সার্ভিসে যাচাইকৃত HTTPS খোলে, আর তার প্যাকেটও VPN দিয়ে যায়। সেই নকশার দুটি সীমানা আছে যাদের এন্ডপয়েন্ট আলাদা হতে পারে, এবং দ্বিতীয় সুরক্ষিত চ্যানেল ঠিক এমনিই দেখায়।

গেটওয়েতে এই পার্থক্যটাই গুরুত্বপূর্ণ। যদি অ্যাপ্লিকেশনের TLS সেশন অ্যাপ্লিকেশনে নয়, VPN গেটওয়েতে শেষ হয়, তবে টানেলের ওপারে আপনার যে সুরক্ষা আছে বলে ভেবেছিলেন তা সেখানে নেই। এই বৈশিষ্ট্যের দাবি করার আগে লিখে রাখুন কোনটি কোন চ্যানেল শেষ করে।

ইনস্টল কী বদলায় তা জিজ্ঞাসা করুন

সার্টিফিকেট ইনস্টল করার অনুরোধ তিনটি ভিন্ন জিনিস বোঝাতে পারে। এটি ক্লায়েন্টের নিজের পরিচয় বদলাতে পারে, অ্যাপ্লিকেশন-নির্দিষ্ট ট্রাস্ট অ্যাঙ্কর বদলাতে পারে, অথবা ডিভাইসের সবকিছুর জন্য প্ল্যাটফর্ম-ব্যাপী বিশ্বাস. এগুলো সমতুল্য নয়, এবং কেবল শেষটিই অসম্পর্কিত সফটওয়েরে প্রভাব ফেলে।

তিনটির মধ্যে কোনটি অভিপ্রেত তা জিজ্ঞাসা করুন, তারপর জিজ্ঞাসা করুন এটি কী অর্জন করার কথা। উত্তর যদি আরও এনক্রিপশন হয়, তাহলে প্রস্তাবটি ভুল কৌশলের দিকে তাক করা।

সীমানাগুলো লিখে রাখুন

প্রতিটি চ্যানেলের জন্য এন্ডপয়েন্ট, প্রতিটি পক্ষ যে পরিচয় যাচাই করে, এবং মাঝখানের অপারেটর কী দেখতে পায় তা লিখুন। তারপর ব্যর্থতার আচরণ লিখুন: যাচাই ব্যর্থ হলে কী হয়, এবং চ্যানেল প্রত্যাখ্যাত হলে কী হয়।

এক পাতায় দুই লাইন সাধারণত এমন একটি তর্ক মিটিয়ে দেয় যা সার্টিফিকেট রোটেশন মেটাতে পারে না।

তিনটি প্রশ্ন দিয়ে সিদ্ধান্ত নিন

সমস্যাটি কি এন্ডপয়েন্ট নিজেকে কে বলে দাবি করে তা, নাকি ডেটার কী হয় তা? সুরক্ষাকে কি VPN গেটওয়ের ওপারে নির্দিষ্ট কোনো অ্যাপ্লিকেশন পর্যন্ত চলতে হবে? আর দ্বিতীয় চ্যানেল শেষ করবে এমন দুটি এন্ডপয়েন্টের নাম বলতে পারবেন?

প্রথম প্রশ্নটি যদি আসলটি হয়, পরিচয় ও বিশ্বাস ঠিক করুন। দ্বিতীয় বা তৃতীয়টি হলে, দ্বিতীয় চ্যানেলের নকশা করুন এবং সার্টিফিকেটকে তার জায়গায় থাকতে দিন।