OCSP গোপনীয়তা: উত্তরদাতা একটি সার্টিফিকেট দেখে, আপনার URL নয়

একটি স্ট্যাটাস যাচাই একটি সার্টিফিকেট সম্পর্কে একটি প্রশ্ন করে এবং উত্তরটি তার নিজস্ব সংযোগে যায়। এতে সেই পৃষ্ঠার পথ থাকে না যা যাচাইয়ের দিকে নিয়ে গেছে। গোপনীয়তা আলোচনায় এই বিনিময়কে প্রায়ই ব্রাউজিং ইতিহাসের ফিড হিসেবে ধরা হয়, যা অনুরোধটি কী বহন করে তা বাড়িয়ে বলে এবং উত্তরদাতা কী পর্যবেক্ষণ করতে পারে তা কমিয়ে বলে। অনুরোধটি কী প্রকাশ করে তা ঠিক করার আগে সেটি পড়ুন।

অনুরোধটি একটি সার্টিফিকেট চিহ্নিত করে

OCSP সার্টিফিকেট শনাক্তকারী একটি হ্যাশ ফাংশন, দুটি ইস্যুয়ার হ্যাশ এবং লক্ষ্য সার্টিফিকেটের সিরিয়াল নম্বর থেকে তৈরি হয়, যেমনটি RFC 6960-এ নির্দিষ্ট। প্রতিটি ক্ষেত্র একটি সার্টিফিকেটের দিকে নির্দেশ করে, কোনো URL বা HTTP অনুরোধের দিকে নয়।

পৃষ্ঠার পথ, কোয়েরি স্ট্রিং এবং যেকোনো ফর্মের বিষয়বস্তু মানক শনাক্তকারীতে অনুপস্থিত। উত্তরদাতা হুবহু URL পায় এই দাবির জন্য সার্টিফিকেট যাচাই ছাড়া অন্য কোথাও থেকে প্রমাণ দরকার। অনুরোধটি তবুও একটি সার্টিফিকেট ও একটি মুহূর্তের নাম বলে এবং উত্তরদাতা জানতে পারে কোন পরিষেবা এটি উপস্থাপন করে।

যা অনুপস্থিত তা হলো পৃষ্ঠাটি, সম্পূর্ণ প্রসঙ্গ নয়। একটি সার্টিফিকেট যাচাইয়ের সঙ্গে একটি পরিচিত পরিষেবা ও একটি পুনরাবৃত্ত উৎস যোগ করলে এগুলোর যেকোনো একটির চেয়ে বেশি তথ্য মিলতে পারে।

উত্তরদাতা আসলে কী পর্যবেক্ষণ করতে পারে

উত্তরদাতা তার কাছে পৌঁছানো সংযোগটি দেখে: উৎস ঠিকানা, সময় এবং তার স্থাপনা যে পরিবহন মেটাডেটা রেকর্ড করে। যদি স্ট্যাটাস অনুরোধ VPN-এর মধ্য দিয়ে যায়, তবে সেই উৎস ব্যবহারকারীর অ্যাক্সেস নেটওয়ার্ক নয়, VPN exit হতে পারে। কেবল দুটিই একটি ব্রাউজার সেশনের অংশ বলে ধরে নেবেন না যে স্ট্যাটাস অনুরোধ পৃষ্ঠার অনুরোধের মতো একই পথ নেয়।

একটি মাত্র ট্রেস থেকে অনুমান না করে ক্লায়েন্টের সমর্থিত রাউটিং ও যাচাই আচরণ পরীক্ষা করুন। একটি বিভক্ত টানেল দুটি অনুরোধকে ভিন্ন দিকে পাঠাতে পারে।

স্ট্যাপল করা উত্তর হলো অন্য সাধারণ ধরন। RFC 6066-এর TLS status_request এক্সটেনশন সার্ভারকে নিজের হ্যান্ডশেকে একটি OCSP উত্তর সংযুক্ত করতে দেয়, ফলে ক্লায়েন্ট ওই সংযোগের জন্য নিজে স্ট্যাটাস আনার বদলে যা দেওয়া হয়েছে তা যাচাই করে। এই পরিবর্তন পর্যবেক্ষককে বদলে দেয়। আনাটা সার্ভারের দিক করে এবং ক্লায়েন্টের নিজের ঠিকানা ওই সংযোগের জন্য কখনো উত্তরদাতার কাছে পৌঁছায় না।

হ্যান্ডশেকে স্ট্যাপল করা অবস্থায় স্ট্যাটাস আসতে পারে

এর কোনোটিই গ্যারান্টি দেয় না যে ক্লায়েন্ট আর কখনো যাচাইয়ের অনুরোধ করবে না। চেইন তৈরি, স্ট্যাটাস নীতি ও সমর্থিত পদ্ধতি বাস্তবায়নভেদে ভিন্ন হয়।

একটি ব্রাউজারের সার্টিফিকেট ভিউয়ার প্রতিটি অপারেটিং সিস্টেম ও VPN ক্লায়েন্টের বর্ণনা নয়। একই নেটওয়ার্ক ক্যাপচার ভিন্ন যাচাই সেটিংসে ভিন্ন অর্থ বহন করতে পারে।

ক্যাশিং এক পৃষ্ঠা এক সন্ধান অনুমানটি ভেঙে দেয়

ক্যাশিং পৃষ্ঠা লোডকে সন্ধান থেকে আলাদা করে। ব্রাউজার একটি উত্তর কিছু সময় পুনরায় ব্যবহার করতে পারে, তাই একবার পৃষ্ঠা দেখা মানে একটি নেটওয়ার্ক অনুরোধ নয়।

বিপরীত ভুলটিও সমান সাধারণ। ক্যাশ করা উত্তর পরবর্তী রিফ্রেশ কখন হবে সে সম্পর্কে কিছু বলে না এবং রিফ্রেশের সময়সূচি খোলা পৃষ্ঠার সঙ্গে সম্পর্কহীন হতে পারে। একটি ক্যাপচারকে OCSP-এর সঙ্গে যুক্ত করার আগে ক্লায়েন্টের বর্তমান ডকুমেন্টেশন ও বলবৎ যাচাই নীতি ব্যবহার করুন।

বৈধ স্ট্যাটাস উত্তরকে যাচাইকারীর সত্যতা ও সতেজতার নিয়ম পূরণ করতে হয় এবং HTTP 200 ভালো স্ট্যাটাসের সমান নয়। টাইমআউট কোনো প্রত্যাহার নয়। এই ফলাফলগুলো ভিন্ন ক্লায়েন্ট আচরণে নিয়ে যায় এবং একটিমাত্র ত্রুটিতে মেলানো উচিত নয়।

যে গোপনীয়তা পছন্দ যাচাই অক্ষুণ্ণ রাখে

যেখানে সন্ধানটি নিজেই সংবেদনশীল, সেখানে সিস্টেম মালিকের সঙ্গে সমর্থিত বিতরণ ও ক্যাশিং বিকল্প নিয়ে আলোচনা করুন। প্রত্যাহার যাচাই বা চেইন যাচাই বন্ধ করে এটি সমাধান করবেন না।

শান্ততর ট্রেস মানে নিরাপদতর সংযোগ নয়। পিয়ার পরিচয়, চেইন যাচাই ও অভীষ্ট প্রত্যাহার নীতি অক্ষুণ্ণ রাখুন এবং কেবল স্থাপনা যে বিকল্প সমর্থন করে তার মাধ্যমেই বিতরণ পথ বদলান। কোন বিকল্প বেছে নেওয়া হয়েছে এবং এর মালিক কে তা লিখে রাখুন।

যখন কোনো সন্ধান অপ্রত্যাশিতভাবে দেখা যায়, তখন প্রাপক, রুট ও সার্টিফিকেট ক্রিয়াকলাপ আলাদা করে নাম দিন। ইস্যুয়ার ডাউনলোড, স্ট্যাটাস কোয়েরি ও পৃষ্ঠার অনুরোধ তিনটি ঘটনা। এগুলোকে একটি হিসেবে ধরা গোপনীয়তা পর্যালোচনাকে ভুল করে তোলে এবং কোন পক্ষ আসলে কিছু জেনেছে তা লুকায়। প্রোটোকল ক্ষেত্রগুলো থেকে শুরু করুন এবং নেটওয়ার্ক পথের দিকে বাইরের দিকে এগিয়ে যান।