HTTPS, DoH, ECH এবং VPN ভিন্ন ভিন্ন জিনিস লুকায়

যে ব্রাউজার ইতিমধ্যে HTTPS, DoH ও ECH ব্যবহার করে তাতে VPN যোগ করলে তিনটি সুরক্ষা একটিতে জমা হয় না; বরং কে কোনটা পর্যবেক্ষণ করতে পারে তা বদলে যায়। প্রতিটি ব্যবস্থা ভিন্ন একটি বিনিময় থেকে ভিন্ন একটি পক্ষকে সরায়, এবং প্রত্যেকটি কিছু পিছনে রেখে যায়। কোনটি সবচেয়ে শক্তিশালী সে প্রশ্ন নয়, বরং আপনি কোন পর্যবেক্ষককে সরাতে চান সেটাই কার্যকর প্রশ্ন, কারণ উত্তরই ঠিক করে টানেল আদৌ সাহায্য করে কি না। বাকি পর্যবেক্ষকদের তুলনা বৈশিষ্ট্যের তালিকার চেয়ে বেশি কাজে লাগে।

চার ব্যবস্থা, চার পর্যবেক্ষক

চারটি সম্পর্ক এবং প্রত্যেটি যে পক্ষকে বাইরে রাখতে তৈরি তা দিয়ে শুরু করুন। নিচের সারণিটিই পর্যালোচনায় আমি ব্যবহার করি, কারণ এটি আলোচনাকে প্রযুক্তির বদলে একজন পর্যবেক্ষকের নাম বলতে বাধ্য করে।

সারণির মূল্য হলো এটি যা বলতে অস্বীকার করে। এটি ব্যবস্থাগুলোকে ক্রমবিন্যাস করে না, এবং চারটিই ব্যবহার করলে চার পর্যবেক্ষকই সরে যাবে বলে দাবি করে না। যে ক্লাউড ওয়েব অ্যাপ্লিকেশন নিজের প্রান্তেই TLS শেষ করে, সেই বিনিময়ের জন্য সে অ্যাক্সেস নেটওয়ার্ক থেকে সুরক্ষিত, এবং কোনো টানেল ওই নির্দিষ্ট ধর্মটি উন্নত করে না। টানেল বদলাতে পারে কোন নেটওয়ার্ক বাইরের প্যাকেট দেখে এবং এখন কে অপারেটর হিসেবে পথে আছে।

HTTPS আসলে কী লুকায়

HTTPS ক্লায়েন্ট ও সার্টিফিকেটে নামকৃত প্রান্তবিন্দুর মধ্যে অ্যাপ্লিকেশনের বিনিময় রক্ষা করে। এটি গন্তব্যের ঠিকানা লুকায় না, সংযোগ ঘটেছে কী না তাও লুকায় না, এবং ECH চালু না থাকলে নামও লুকায় না। সার্টিফিকেট যাচাই সুরক্ষারই অংশ, তার আশপাশের কোনো আনুষ্ঠানিকতা নয়।

VPN-কে ওই TLS শেষ করতে হয় না, এবং ফরওয়ার্ডিং এগজিটকে অ্যাপ্লিকেশনের প্রমাণিত প্রান্তবিন্দু হিসেবে গণ্য করা উচিত নয়। যদি নকশায় এগজিট ডিক্রিপ্ট করে, তবে সেটি ভিন্ন বিশ্বাস-বিবৃতি সংবলিত ভিন্ন স্থাপত্য।

DoH ও ECH কী সরায়, আর কী রেখে যায়

DoH DNS বিনিময়কে একটি HTTPS রিজলভারে সরায়, অর্থাৎ সেই রিজলভার স্থানীয় নেটওয়ার্কের রিজলভারের বদলে আপনার কোয়েরি দেখে। এটি বাস্তব এবং সীমিত পরিবর্তন: নির্বাচিত রিজলভার এমন পক্ষ হয়ে ওঠে যে কোয়েরিগুলোকে আপনি পরে যে ঠিকানায় সংযোগ করেন তার সঙ্গে মিলিয়ে দেখতে পারে, এবং RFC 8484 ঠিক এই মিলকরণেরই আলোচনা করে। এনক্রিপ্টেড পরিবহন প্রাপককে সে যে কোয়েরিগুলোর উত্তর দেয় তা থেকে অজ্ঞ করে না।

ECH ClientHello-র সংবেদনশীল অংশ সুরক্ষা করে যাতে পথে নিষ্ক্রিয় পর্যবেক্ষক অভিপ্রেত সার্ভারের নাম পড়তে না পারে। এটি সহায়ক স্থাপনার উপর এবং সার্ভার ও নেটওয়ার্কের গ্রহণযোগ্যতার উপর নির্ভর করে, আর অন্য চ্যানেলগুলো অক্ষত রাখে: গন্তব্যের ঠিকানা দৃশ্যমান থাকে, এবং DNS এখনও নাম প্রকাশ করতে পারে।

ECH আর যা করে না তা হলো নিজেকে প্রমাণ করা। TLS 1.3 ব্যবহারকারী সংযোগ ECH গৃহীত হয়েছে তার প্রমাণ নয়, এবং যে ব্রাউজার সমর্থনহীন সার্ভারকে ECH প্রস্তাব করে সেটি নীরবে পিছিয়ে যায়। প্রোটোকল সংস্করণ থেকে অনুমান না করে সংযোগের প্রকৃত অবস্থা পরীক্ষা করুন।

এই পুরো তুলনার সাধারণ রূপ এটিই: প্রতিটি ব্যবস্থা নিজের স্তরে যাচাই হয়, এবং এগুলোর কোনোটিই অপরটির সাফল্যে যাচাই হয় না।

VPN কী সরায়, আর কী যোগ করে

ওয়েব ট্রাফিক VPN-এ ঢুকলে অ্যাক্সেস নেটওয়ার্ক পৃথক অ্যাপ্লিকেশন সংযোগের বদলে VPN পিয়ারের সঙ্গে বাইরের বিনিময় দেখে, এবং VPN অপারেটর পরবর্তী পথে একটি অবস্থান নেয়। এটি বিশ্বাসের সীমার স্থানান্তর, সীমা অপসারণ নয়। অপারেটর এখন দেখে আপনি কোন গন্তব্যে পৌঁছান, যদিও বিষয়বস্তু প্রান্ত থেকে প্রান্ত পর্যন্ত এনক্রিপ্টেড থাকে। এটি উন্নতি কি না তা পুরোপুরি নির্ভর করে এই দুই পক্ষের মধ্যে আপনি কোনটিকে কম বিশ্বাস করেন তার উপর।

এটি করার সময় অ্যাপ্লিকেশনের HTTPS এবং অভিপ্রেত রিজলভার সুরক্ষা অক্ষত রাখুন। টানেল সার্টিফিকেট যাচাইয়ের বিকল্প নয়, এবং ট্রাফিক টানেল দিয়ে যায় বলে রিজলভারের সুরক্ষা বন্ধ করা একটি নিয়ন্ত্রণকে প্রতিস্থাপন না করেই সরিয়ে দেয়।

প্রয়োজন থেকে বাছাই

প্রকৃত প্রয়োজনটি বলুন, কারণ সেটিই নকশা ঠিক করে। ব্যক্তিগত সম্পদে প্রবেশ, পরিচালিত ইগ্রেস পয়েন্ট, নির্দিষ্ট অ্যাক্সেস-নেটওয়ার্ক হুমকি এবং ডিভাইস অনুমোদন এই চারটি ভিন্ন প্রয়োজন, চারটি ভিন্ন উত্তর, এবং যে প্রতিষ্ঠান কেবল পাবলিক ক্লাউড অ্যাপ্লিকেশন ব্যবহার করে তাদেরও অনুমোদন ও ডেটা হ্যান্ডলিং ঠিক করতে হয়। অতিরিক্ত স্তর উপযুক্ত হতে পারে, তবে পরস্পর বিনিময়যোগ্য নয়। বেশি জটিল সংযোগ কোনো নামহীনতার মাপকাঠি নয়, এবং এটি নিজে থেকেই নিরাপত্তার যুক্তি নয়।

ECH-এর স্পেসিফিকেশন, RFC 9849, ব্যবস্থাটি কী ঢাকে আর কী ঢাকে না তা জানতে পড়ার মতো, এবং যে চ্যানেলগুলো সে নিজে থেকে ছেড়ে দেয় সে বিষয়ে এটি সৎ। প্রতিটি ব্যবস্থা যে পর্যবেক্ষককে সরায় সেই অনুযায়ী তুলনা করুন, সেই পর্যবেক্ষককে লিখে রাখুন, তারপর ঠিক করুন অতিরিক্ত স্তরটি তাকে সম্বোধন করছে কি না। উত্তর যদি হয় যে পর্যবেক্ষক আগেই আপনার হুমকি-মডেলের বাইরে ছিল, তবে টানেল হলো উপকার ছাড়া খরচ।