এনক্রিপশন ডেটা লুকায়; প্রমাণীকরণ সাথীকে চিহ্নিত করে
এনক্রিপশন বিষয়বস্তু রক্ষা করে, সাথীর প্রমাণীকরণ সার্ভারকে চিহ্নিত করে, আর অনুমোদন ঠিক করে একটি পরিচয় কী খুলতে পারে। VPN নকশায় তিনটিই জিজ্ঞাসা করুন।
সাথী যাচাই ছাড়া এনক্রিপশন একটি গোপন আলাপ ভুল পক্ষের কাছে পৌঁছে দিতে পারে। অনুমোদন ছাড়া প্রমাণীকরণ প্রমাণ করে কে যোগ দিয়েছে, কিন্তু সে কী খুলতে পারে তা নয়। এগুলো তিনটি আলাদা নিয়ন্ত্রণ, এবং যে VPN পর্যালোচনা কেবল সাইফার সম্পর্কে জিজ্ঞাসা করে তা একটিরই উত্তর দেয়। যেকোনো সেটিংস পাতা খোলার আগে প্রশ্নগুলো সাজিয়ে নিন।
নিরাপদ বলার আগে চারটি প্রশ্ন
পর্যালোচনার কাঠামো চারটি প্রশ্ন: পর্যবেক্ষকরা কী পড়তে পারে, কোন সার্ভার উত্তর দেয়, কে যোগ দিচ্ছে, এবং সেই পরিচয় কী ব্যবহার করতে পারে। প্রথমটির উত্তর দেয় এনক্রিপশন, দ্বিতীয়টির সাথীর প্রমাণীকরণ, তৃতীয়টির ব্যবহারকারী বা ডিভাইস প্রমাণীকরণ, আর শেষটির অনুমোদন। সাইফারের নাম বা সফল লগইন আংশিক উত্তর মাত্র।
| Control | Question it answers | What a failure looks like |
|---|---|---|
| Encryption | Who can read the traffic | Readable content on the path |
| Peer authentication | Which server is answering | Certificate or key mismatch |
| Joining identity | Which user or device connected | Rejected credentials |
| Authorization | What that identity may use | Access denied inside a working tunnel |
একটি সারি অসমাধিত রেখে দেওয়া নকশা অন্য সারি শক্ত করে নিরাপদ হয় না। নিয়ন্ত্রণগুলো পরিপূরক, বিনিময়যোগ্য নয়।
সাথীর প্রমাণীকরণ কোনো লগইন নয়
ক্লায়েন্ট যাচাই করে যে সার্ভারটিই তার উদ্দিষ্ট, কনফিগার করা সার্টিফিকেট, পাবলিক কী বা অন্য কোনো সমর্থিত পদ্ধতি ব্যবহার করে। বিশ্বস্ত সার্টিফিকেট কর্তৃপক্ষ তার ইস্যু করা প্রতিটি সার্টিফিকেটকে সঠিক সার্ভার বানায় না, তাই পরিচয় যাচাই তবুও গুরুত্বপূর্ণ। অযাচাইকৃত প্রান্তবিন্দুতে বৈধ পাসওয়ার্ড টাইপ করা সেই প্রান্তকে বিশ্বাসযোগ্য করে না। পাসওয়ার্ড কেবল প্রমাণ করে আপনি যে উত্তর দিয়েছে তার কাছে প্রমাণীকরণ করতে রাজি ছিলেন।
WireGuard একই ধারণা ভিন্ন উপকরণে দেখায়: কনফিগার করা সাথী-কী ব্রাউজার-ধাঁচের সার্টিফিকেট প্রম্পট ছাড়াই পরিচয় যাচাই করে। অনেক ব্যবহারকারীর জানা একটি সাধারণ গোপন তথ্য কোনো একক ব্যক্তির চেয়ে দলটিকেই বেশি চিহ্নিত করে, তাই অনন্য ডিভাইস ক্রেডেনশিয়াল প্রায়ই বেশি শক্তিশালী পরিচয় বহন করে।
প্রমাণীকৃত এনক্রিপশন একটি ক্রিপ্টোগ্রাফিক পরিভাষা
প্রমাণীকৃত এনক্রিপশন মানে সাইফার গোপনীয়তা রক্ষা করে এবং অননুমোদিত পরিবর্তন শনাক্ত করে। এর মানে নয় যে কোনো মানুষ লগইন করেছে, আর এটি ঠিক করে না একটি অ্যাকাউন্ট কোন ফাইল খুলতে পারে। সাইফার-স্যুটের নাম একটি গঠন বর্ণনা করে, দুই পক্ষের সম্পর্ক নয়। প্যাকেটের অখণ্ডতা, সাথীর পরিচয় ও অ্যাকাউন্টের অনুমতি সম্পর্কিত প্রয়োজন, কিন্তু প্রতিটির আলাদা প্রমাণ আছে।
RFC 5280 বিশ্বাস প্রোফাইল হলো সার্টিফিকেট পথ ও পরিচয় যাচাইয়ের তথ্যসূত্র, যখন স্থাপনাটি X.509 ব্যবহার করে। এটি পড়া প্রমাণীকৃত শব্দটিকে নিরাপদ অর্থের সমার্থক ধরে নেওয়ার চেয়ে বেশি কাজে দেয়।
নিয়ন্ত্রণ দুর্বল করার আগে ব্যর্থতাটি পড়ুন
মেয়াদোত্তীর্ণ সার্টিফিকেট, ভুল সিস্টেম ঘড়ি আর অপ্রত্যাশিত সার্ভার পরিচয় প্রত্যেকের আলাদা সংশোধন আছে। প্রত্যাখ্যাত অ্যাকাউন্টের আছে আরেকটি। সার্ভার বৈধভাবে বদলে থাকলে যাচাইকৃত অপারেটরের কাছ থেকে হালনাগাদ বিশ্বাস উপাদান নিন। টানেল সংযোগ করার জন্য পরিচয় যাচাই সরানো একটি দৃশ্যমান ব্যর্থতার বদলে অদৃশ্য ব্যর্থতা ডেকে আনে।
টানেল যে ক্রেডেনশিয়ালের উপর নির্ভর করে তা রক্ষা করুন। একটি প্রোফাইলে ব্যক্তিগত কী থাকতে পারে, আর সংরক্ষিত পাসওয়ার্ড দূরবর্তী প্রবেশাধিকার দিতে পারে। একটি ফাঁস হলে সেবার অ্যাকাউন্ট বা কী-ব্যবস্থাপনা প্রক্রিয়া ব্যবহার করুন, কারণ ক্লায়েন্ট ডিরেক্টরিতে অন্য দেশ বেছে নিলে পুরোনো পরিচয় বাতিল হয় না।