এনকোড করা VPN সিক্রেটের কোনো ‘ডিক্রিপ্ট’ নেই

এনকোড করা কী ডিক্রিপ্ট করার বাক্যাংশটি এমন একটি একক কাজ ধরে নেয় যা নেই। সংরক্ষিত VPN সিক্রেট হতে পারে বেস-এনকোড করা বাইট, কীস্টোরের সাথে বাঁধা এনক্রিপ্ট করা ব্লব, বা একমুখী ভেরিফায়ার যা আদৌ উল্টানো যায় না, এবং প্রতিটির জন্য আলাদা সাড়া দরকার। বেস এনকোডিং নকশা অনুযায়ী কোনো গোপনীয়তা যোগ করে না, তাই এটি ডিকোড করলে সুরক্ষিত সিক্রেট প্রকাশের বদলে ব্যবহারযোগ্য একটি সিক্রেট ফিরে আসতে পারে। ফিল্ড এবং যে পণ্য এটি লিখেছে সেখান থেকেই শুরু করা একমাত্র নির্ভরযোগ্য শনাক্তকরণ।

মানটি ওয়েব ডিকোডার এবং প্রকাশ্য ফোরামের পোস্ট—দুটো থেকেই দূরে রাখুন, কারণ এনকোড করা সিক্রেটও সিক্রেটই থাকে।

এনকোডিং, এনক্রিপশন আর ভেরিফায়ার তিনটি আলাদা জিনিস

RFC 4648 বেস এনকোডিংকে সীমিত পরিবেশে ডেটার উপস্থাপনা হিসেবে সংজ্ঞায়িত করে, আর এর নিরাপত্তা অংশে স্পষ্ট বলা আছে যে এগুলো কোনো গণনামূলক গোপনীয়তা দেয় না। তার মানে Base64 ফিল্ড যে কেউ বাইটে ফিরিয়ে আনতে পারে, যা ক্রিপ্টোগ্রাফিক প্রতিবন্ধক নয়, বরং উদ্ধারের ঝুঁকি। এনক্রিপশন আলাদা: কী উপাদান ছাড়া বাইটগুলো অস্পষ্টই থাকে। ভেরিফায়ার আবার আলাদা, কারণ এটি উল্টানো না যাওয়ার জন্যই তৈরি। নথিভুক্ত ফিল্ডের নাম পড়লেই সাধারণত বোঝা যায় তিনটির কোনটি আপনার কাছে আছে।

কোনো স্ট্রিংকে Base64 বলা তার ভেতরে কী আছে তা প্রমাণ করে না। এটি একটি কী-তে, সিরিয়ালাইজ করা কাঠামোয় বা এলোমেলো প্যাডিংয়ে ডিকোড হতে পারে, আর লেখার চেহারা কোনটি তা নিয়ে কিছুই বলে না।

স্পর্শ করার আগে ফিল্ডটি চিনুন

রপ্তানিকারক পণ্য ও সংস্করণ, প্রোফাইল ফরম্যাট এবং নথিভুক্ত ফিল্ডের নাম লিখে রাখুন। তারপর জড়িত সিক্রেটের ধরনগুলো আলাদা করুন: গ্রুপ প্রি-শেয়ারড কী কোনো ব্যক্তিগত অ্যাকাউন্ট পাসওয়ার্ড নয়, প্রাইভেট-কী পাসফ্রেজ নয়, বা প্রমাণীকরণ টোকেন নয়। এগুলোর মালিক আলাদা এবং প্রতিস্থাপনের পদ্ধতিও আলাদা, আর এগুলো গুলিয়ে ফেললে ভুল শংসাপত্রই বদলানো হয়। এখনো সংযোগ করা একটি প্রোফাইলও অন্যের মালিকানাধীন শংসাপত্র বের করার অনুমতি নয়।

সহায়তাকে দেওয়ার কাজে লাগা তথ্য হলো পণ্য, ফিল্ড, ত্রুটি এবং অনুমোদিত লক্ষ্য। সিক্রেট নিজে সেই তালিকার অংশ নয়।

পুনরুদ্ধার একটি অনুমোদিত পদ্ধতি, ডিকোডার নয়

পণ্যটি যদি অনুমোদিত পুনরুদ্ধারের জন্য উল্টানো-সাধ্য রপ্তানি নথিভুক্ত করে, তবে সুরক্ষিত পরিবেশে তার নিজস্ব আমদানি বা পুনরুদ্ধার পদ্ধতি ব্যবহার করুন। মূল ফাইলটি সংরক্ষণ করুন, আর ডিকোড করা উপাদান লগ, শেল হিস্টরি ও টিকেট থেকে দূরে রাখুন। মানটি এনক্রিপ্ট করা বা সুরক্ষিত স্টোরে বাঁধা হলে নথিভুক্ত আনলক পদ্ধতি ও প্রয়োজনীয় অনুমোদন মালিকের কাছ থেকেই আসে, কারণ ডিকোডিং কোনো কী দেয় না, অন্য ব্যবহারকারীর প্রবেশাধিকার প্রসঙ্গও দেয় না। ফিল্ডে ভেরিফায়ার থাকলে ডিকোডার চেষ্টা না করে নথিভুক্ত প্রতিস্থাপন পথ অনুসরণ করুন।

মালিক মানটি উদ্ধার বা নিরাপদে পুনঃইস্যু করতে না পারলে উত্তর হলো নতুন শংসাপত্র এবং হালনাগাদ পিয়ার কনফিগারেশন। এটি কাটওভারসহ একটি প্রকল্প, কোনো কমান্ড নয়।

শেয়ারড সিক্রেট প্রতিস্থাপন একটি সমন্বিত পরিবর্তন

প্রোডাকশনের শেয়ারড সিক্রেট কেবল এক পাশে ওভাররাইট করলে আগের মান ধরে রাখা প্রতিটি অনুমোদিত ক্লায়েন্ট ভেঙে পড়ে। কাটওভারের পরিকল্পনা করুন, কোনো প্রবেশাধিকার প্রত্যাহার করতে হবে কি না ঠিক করুন, এবং যেকোনো প্রান্ত বদলানোর আগে পুনরুদ্ধারের পথ খোলা রাখুন। যাঁরা লক্ষ্য করবেন তাঁদের জানালার কথা জানিয়ে দিন।

মূল মানটি প্রকাশ পেয়ে থাকলে ঘূর্ণনই সঠিক সাড়া, আর এটি ডিকোড করলে কিছুই যোগ হয় না। প্রকাশ পাওয়া সিক্রেট ক্ষতিগ্রস্ত, কেউ বাইটগুলো উদ্ধার করুক বা না করুক।

নতুন মান কোথায় থাকে এবং কার মালিকানায় তা লিখে রাখুন। পরের ঘটনাটি সেটাই জানতে চাইবে, ডিকোডার নয়।