কেউ কত দ্রুত আপনার VPN পাসওয়ার্ড অনুমান করতে পারে?

লেটেন্সি এমন এক প্রশ্নের উত্তর দেয় যা কেউ করেনি। তিনটি শর্ত ঠিক করে দেয় একটি অনুমান-সূচক আসলে কী বোঝায়: অনুমানটি জীবন্ত সেবায় যাচাই হয় নাকি ধৃত উপাদানের বিপরীতে, কোন প্রমাণীকরণ পদ্ধতি সেই উপাদান তৈরি করেছে, এবং সেবাটি কী কী নিয়ন্ত্রণ প্রয়োগ করে। একটি ping একটি পথে এক রাউন্ড ট্রিপ মাপে এবং এর কোনোটিরই উত্তর দেয় না। সেকেন্ডকে ওই সংখ্যা দিয়ে ভাগ করলে একটি মান পাওয়া যায় যা নিখুঁত, অপ্রাসঙ্গিক এবং প্রায়ই নিরাপত্তার গুণ বলে পুনরাবৃত্তি করা হয়।

লেটেন্সি সংযোগ-সংক্রান্ত কাজের অংশ। প্রমাণীকরণের শক্তি যাচাইকারী এবং প্রোটোকলের একটি গুণ।

এক রাউন্ড ট্রিপ কোনো হার-সীমা নয়

রাউন্ড-ট্রিপ সময় বলে দেয় একটি অনুরোধ ও তার প্রতিক্রিয়া নির্দিষ্ট পথে কত সময় নেয়। অনলাইন প্রচেষ্টাতেও থ্রুপুট নির্ভর করে ক্লায়েন্ট কতগুলি অনুরোধ ঝুলিয়ে রাখে, সার্ভার প্রতি প্রচেষ্টায় কত সময় ব্যয় করে এবং কী হার-সীমা প্রয়োগ করা হয় তার উপর। এগুলি ping-এর থেকে স্বাধীন। Ethernet লিঙ্ক এমন নিয়ম চাপায় না যে প্রতি রাউন্ড ট্রিপে কেবল একটি প্রচেষ্টা থাকতে পারে, আর দ্রুত ping প্রমাণ করে না যে যাচাইকারী সেই হারে অনুমান গ্রহণ করবে।

সেবাটি পাঁচটি ব্যর্থতার পর অ্যাকাউন্ট লক করলে ব্যবহারিক হার প্রতিটি লকআউট উইন্ডোতে পাঁচটি প্রচেষ্টা, নেটওয়ার্ক নির্বিশেষে। এটি একটি নিয়ন্ত্রণ, আর এটিই উদ্ধৃত করার মতো সংখ্যা।

অনুমান আসলে কোথায় যাচাই হয়

অনলাইনে দাবিদার প্রতিটি প্রার্থী আসল সেবায় জমা দেয়, যা পর্যবেক্ষণ, বিলম্ব, লক ও সতর্ক করতে পারে। অফলাইনে উপযুক্ত যাচাই-উপাদানধারী আক্রমণকারী সেবার কোনো অংশগ্রহণ ছাড়াই স্থানীয়ভাবে প্রার্থীদের যাচাই করে। এই পার্থক্যই গণিতের প্রায় সবকিছু ঠিক করে। NIST-এর পাসওয়ার্ড নির্দেশিকা এই হুমকিগুলো আলাদাভাবে দেখে, ব্যর্থ অনলাইন প্রচেষ্টার হার-সীমা এবং খরচ-গুণকসহ লবণাক্ত হ্যাশিংয়ের মাধ্যমে অফলাইন আক্রমণ প্রতিরোধী সঞ্চয়ের আহ্বান জানায়। দুটিই যাচাইকারী ও সঞ্চয় স্তরের গুণ, ব্যবহারকারীর লিঙ্ক কত দ্রুত উত্তর দেয় তার উপর কোনো নির্ভরতা ছাড়াই।

প্যাকেট ক্যাপচার কাজে লাগার মতো উপাদান দেয় কি না তা প্রোটোকল ও প্রমাণীকরণ পদ্ধতির উপর নির্ভর করে। একটি ক্যাপচার, একটি সার্টিফিকেট বা একটি এনক্রিপ্টেড টানেল থাকা নিজে নিজে কিছুই উত্তর দেয় না, ক্লায়েন্ট বিল্ডের বয়সও দেয় না।

ক্র্যাক-সময়ের গণিত কেন বিভ্রান্ত করে

সম্ভাব্য স্ট্রিংয়ের সংখ্যা তার অনুমানের চেয়ে ভালো নয়। মানুষের বেছে নেওয়া পাসওয়ার্ড একটি সূত্র যে স্থান বর্ণনা করে সেখানে সমানভাবে বিতরিত নয়, এবং পুনরায় ব্যবহৃত প্রমাণপত্র ইতিমধ্যেই কোনো তালিকায় থাকতে পারে। যাচাইয়ের খরচও গুরুত্বপূর্ণ: প্রয়োগকৃত নিয়ন্ত্রণসহ অনলাইন সেবা স্থানীয়ভাবে পরীক্ষিত চুরি করা যাচাইকারীর থেকে সম্পূর্ণ আলাদা। যে গণনা নিঃশব্দে ওই কেসগুলোর মধ্যে ঘোরাফেরা করে তা বছরে-ক্র্যাক দাবিকে সমর্থন করতে পারে না।

প্রোটোকলের ত্রুটিগুলোও আলাদা কলামে রাখুন। দীর্ঘতর পাসওয়ার্ড দুর্বল প্রমাণীকরণ গঠন মেরামত করে না, আর একটি অচল পদ্ধতি প্রমাণ করে না যে প্রতিটি পাসওয়ার্ডভিত্তিক নকশা তার দুর্বলতাগুলো ভাগ করে। এগুলো আলাদা অনুসন্ধান, আলাদা সমাধান।

লেটেন্সি নয়, যাচাইকারীর প্রমাণ চান

গেটওয়ে মূল্যায়নের জন্য প্রমাণীকরণ পদ্ধতি, কে যাচাইকারী ধরে রাখে, কী কী প্রচেষ্টা-নিয়ন্ত্রণ আছে এবং দ্বিতীয় উপাদান সত্যিই স্বাধীন কি না তা চিহ্নিত করুন। দুটি পাসওয়ার্ড বাক্সসহ একটি ডায়ালগ দুটি উপাদান প্রতিষ্ঠা করে না। সঞ্চিত প্রমাণপত্রের জন্য নির্ধারণ করুন কী উপাদান আছে, কে তা পড়তে পারে এবং বাস্তবায়ন আসলে কী সুরক্ষা প্রয়োগ করে। একটি কাল্পনিক হ্যাশ-হারের সংখ্যা অজ্ঞাত সঞ্চয় ব্যবস্থা সম্পর্কে প্রমাণ নয়।

অনুমানের বাইরের ঝুঁকিও বিবেচনা করুন। চুরি করা প্রোফাইল, আপসকৃত এন্ডপয়েন্ট বা ফিশিং প্রবাহ পাসওয়ার্ড গুনে যাওয়া আক্রমণকারীর থেকে ভিন্ন সমস্যা তৈরি করে, আর পাসওয়ার্ডের দৈর্ঘ্য ইতিমধ্যেই সক্রিয় সেশনে দেওয়া ক্ষমতার বিরুদ্ধে কিছুই করে না।

পদ্ধতি, নিয়ন্ত্রণ ও সঞ্চয় সুরক্ষা লিপিবদ্ধ করুন। এই তিনটিই সেই প্রশ্নের উত্তর দেয় যা ping কখনো মাপেনি।