VPN টানেল শেষ হওয়ার পরেও HTTPS কেন গুরুত্বপূর্ণ

সবুজ VPN সূচক, গোপনীয়তার অনুভূতি, আর তারপর ব্রাউজার ব্যাংকের সাইটে একটি সার্টিফিকেট সতর্কবার্তা দেখায়। ওই সতর্কবার্তার কিছুই টানেলের কারণে ভালো হয় না। VPN আপনার ডিভাইস থেকে তার নিজের সার্ভার পর্যন্ত পথ রক্ষা করে; HTTPS আপনার ব্রাউজার থেকে ওয়েবসাইটের TLS প্রান্ত পর্যন্ত অনুরোধ রক্ষা করে। তারা যাত্রার আলাদা আলাদা অংশ ঢাকে, এবং একটি অন্যটির বিকল্প নয়।

দুটি ভিন্ন প্রান্তবিশিষ্ট দুটি টানেল

VPN টানেল VPN সার্ভারে শেষ হয়। সেই বিন্দুর পরে, আপনার ট্রাফিক সাধারণ ইন্টারনেটে গন্তব্যের দিকে চলতে থাকে। VPN পরিচালক সংযোগের মেটাডেটা দেখতে পারেন, যদিও তিনি পেলোড পড়তে পারেন না।

HTTPS আপনার ব্রাউজারে শুরু হয় এবং ওয়েবসাইটের TLS প্রান্তে শেষ হয়। প্যাকেট কীভাবে সার্ভারে পৌঁছাল তা তার বিষয় নয়, আর এটি VPN উপস্থিত থাকার উপর নির্ভর করে না।

এই কারণেই দুটি সুরক্ষা প্রতিযোগিতা না করে একসাথে কাজ করে। VPN অনুরোধটিকে স্থানীয় নেটওয়ার্ক ও আপনার ISP থেকে তার বহির্গমন পর্যন্ত লুকায়। HTTPS সেই বহির্গমনের পরের প্রতিটি পর্যবেক্ষকের কাছ থেকে এটি লুকায়, এমনকি VPN সরবরাহকারীর কাছ থেকেও। কোনোটিই অন্যটির ফাঁক ঢাকে না। যে ব্যক্তি এটি বোঝে সে কোনটি যথেষ্ট এই প্রশ্ন করা বন্ধ করে দেয়।

সাধারণ HTTP ফর্ম বহির্গমনের পরেও সাধারণই থাকে

HTTP-র উপর ফর্ম গ্রহণ করা পুরোনো সাইট VPN সার্ভারের পরে অসুরক্ষিত। টানেল ফর্মটি বহির্গমন পর্যন্ত বহন করে, আর বাকি পথটি এটি খোলাখুলি বহন করে।

সংবেদনশীল যেকোনো কিছুর জন্য আসল HTTPS সংস্করণ বা অন্য কোনো সরকারি চ্যানেল ব্যবহার করুন।

সংযুক্ত সূচক অ্যাপ্লিকেশনের পরিবহন বদলায় না। ব্রাউজারের শুধু-HTTPS মোড আকস্মিক পতন ঠেকাতে সাহায্য করতে পারে, কিন্তু যে সাইট কখনো TLS দেয়নি তাকে ঠিক করতে পারে না।

সার্টিফিকেট সতর্কবার্তা VPN দিয়ে সারানো যায় না

ভুল হোস্টনাম, মেয়াদোত্তীর্ণ সার্টিফিকেট, বেঠিক ডিভাইস ঘড়ি বা হস্তক্ষেপ — সবই যাচাই ব্যর্থতার কারণ হতে পারে। VPN এর কোনোটিকেই নিরাপদ করে না।

সবার আগে সঠিক ঠিকানা ও সিস্টেম ঘড়ি যাচাই করুন।

যদি নেটওয়ার্ক সাইন-ইন পৃষ্ঠা জড়িত থাকে, প্ল্যাটফর্মের স্বাভাবিক captive portal প্রবাহ ব্যবহার করুন। হোটেল নেটওয়ার্ক চেয়েছে বলে অসম্পর্কিত অ্যাকাউন্ট সাইটকে স্থায়ী ছাড় দেবেন না।

পরিচালিত ডিভাইসে জিজ্ঞাসা করুন ইনস্পেকশন সার্টিফিকেট ইনস্টল করা আছে কি না। এটি স্বাভাবিক বিশ্বাস ব্যবস্থা বদলে দেয় এবং কাঁধ ঝাঁকানোর বদলে নির্দিষ্ট ব্যাখ্যা দাবি করে। সার্টিফিকেটের উদ্দেশ্য ও এর মালিক কে তা জিজ্ঞাসা করুন।

এনক্রিপশন ট্র্যাকিং থামায় না

সেশন কুকি, লগইন ও ফর্ম ডেটা ঠিক যেমন উদ্দেশ্য ছিল তেমনই সাইটে বহন করে। ট্র্যাকারও এনক্রিপ্টেড সংযোগে চড়তে পারে, এবং অধিকাংশই চড়ে।

VPN পথ ও আপাত বহির্গমন ঠিকানা বদলায়। এটি অ্যাকাউন্টের মাধ্যমে আপনি যে পরিচয় দেন তা বদলায় না, এবং সাইটগুলির মধ্যে আপনাকে অনুসরণ করা কুকিটি মুছে দেয় না।

আপনি ইতিমধ্যে যে ব্রাউজার সুরক্ষা ব্যবহার করেন তা রাখুন। VPN সেগুলির সঙ্গে একটি সংযোজন, প্রতিস্থাপন নয়।

ঠিকানা যাচাই করুন, সূচক নয়

ঠিকানা বারে হোস্টনাম এবং সাইট যে সার্টিফিকেট উপস্থাপন করে তা যাচাই করুন। তালা মানে সংযোগটি কোনো এক প্রান্ত পর্যন্ত এনক্রিপ্টেড; এর মানে এই নয় যে প্রান্তটি আপনার ইচ্ছাকৃত প্রান্ত।

দুটি কমান্ড সার্টিফিকেট ও রিডাইরেক্ট শৃঙ্খল দেখায়:

curl -sSI https://bank.example/ | head -5
openssl s_client -connect bank.example:443 -servername bank.example < /dev/null 2>/dev/null | openssl x509 -noout -subject -dates

সার্টিফিকেট ভিন্ন হোস্টের নাম বললে থামুন। ঘড়ি ভুল হলে আবার চেষ্টা করার আগে ঠিক করুন। রিডাইরেক্ট আপনাকে সাধারণ HTTP-তে পাঠালে সেটিকে যাচাই বন্ধ করার কারণ নয়, বরং সাইটের ব্যর্থতা হিসেবে ধরুন। ব্রাউজার সতর্কবার্তা আছে কারণ বিকল্পটি হলো অনুমান করা কোন প্রান্ত আপনার পাসওয়ার্ড পেয়েছে।