দুটি VPN স্তর একসাথে রাখা উচিত কি? যাচাই করার তিনটি শর্ত

VPN-এ দ্বিতীয় এনক্রিপশন স্তর যোগ করার আগে একটি প্রশ্নের সৎ উত্তর দিন: দুই স্তর কাজ শেষ করার পরেও পর্যবেক্ষকের হাতে কী থাকে? উত্তর যদি ভেতরের সাইফারটেক্সট হয়, অপরিবর্তিত, তবে নেস্টিং সময় কিনেছে, আর কিছু নয়। এরপর যা আসছে তা সুপারিশ নয়, সিদ্ধান্তের পদ্ধতি। একই নকশা এক স্থাপনায় নষ্ট প্রসেসর, অন্য স্থাপনায় সঠিক উত্তর, আর কেবল তিনটি শর্ত এই দুইয়ের মধ্যে পার্থক্য করে।

পর্যবেক্ষক কী রেখে দেয় তা লিখে রাখুন

প্রতিপক্ষ আজ যা সংরক্ষণ করতে পারে সেই বস্তুটি লিখুন, তারপর সেই ক্রম যা একসময় সাধারণ পাঠ্য উন্মোচন করবে। বাইরের টানেল সাইফারটেক্সট তৈরি করে; তার সুরক্ষা শেষ হলে যা থাকে তা ভেতরের টানেলের সাইফারটেক্সট, এখনও সিল করা। মোড়ক খুলে ফেলা ডিক্রিপশন নয়। এই বাক্যটি নেস্টিং বর্ণনা করে, আর তা সত্য থাকে কেবল যতদিন ভেতরের কী টিকে থাকে। দুই স্তর যখনই কিছু ভাগ করে, তখনই সময়রেখা একটি ঘটনায় ভেঙে পড়ে।

তাই উপকারী বস্তুটি সময়রেখা, বাক্সের নকশা নয়। প্রতিটি স্তরের জন্য শেষবিন্দু, কী-র মালিক, পরিচয় যাচাই এবং যে বছরে অনুমানটি ব্যর্থ হওয়ার কথা, তা লিখুন।

নিজের দাবি যাচাইয়ের ব্যবহারিক উপায়: ধরে নিন পর্যবেক্ষক সবকিছু রেকর্ড করে এবং কখনও হাল ছাড়ে না। এই ধারণার অধীনে, নকশা কি এখনও প্রয়োজনীয় সময়ের জন্য পেলোড রক্ষা করে? উত্তর যদি নির্ভর করে পর্যবেক্ষক ট্রাফিক সংরক্ষণ না করার সিদ্ধান্তের উপর, তবে নকশার কোনো উত্তর নেই।

শর্ত এক: স্তরগুলো কি ভিন্ন জায়গায় থামে?

নেস্টিং লাভজনক যখন দুই স্তর ভিন্ন বিশ্বাস-ক্ষেত্রে শেষ হয়, যেমন সরবরাহকারী-পরিচালিত IPsec গেটওয়ে যার পেছনে আপনার নিজের নেটওয়ার্কের ভেতরে শেষ হওয়া অ্যাপ্লিকেশন-স্তরের টানেল। তখন বাইরের স্তর ভাঙলে এমন সাইফারটেক্সট পাওয়া যায় যা কেবল আপনার হোস্ট খুলতে পারে, এবং সরবরাহকারী কোনো মুহূর্তেই সাধারণ পাঠ্য দেখে না। দুই স্তরকে একই গেটওয়েতে রাখুন, সেই বৈশিষ্ট্য অদৃশ্য হয়ে যায়। যে বাক্সটি আক্রমণ করে, সে দুই ডিক্রিপশন ক্রিয়ার মধ্যবর্তী ট্রাফিক পড়ে, নকশায় যত মোড়কই দেখানো হোক।

এটি নকশা নয়, ইনস্টল করা অবস্থা দিয়ে যাচাই করুন। Linux-এ ip xfrm state প্রতিটি নিরাপত্তা সংযোগ ও তার শেষবিন্দু তালিকাভুক্ত করে, যা স্থির করে প্রতিটি স্তর আসলে কোথায় থামে।

শর্ত দুই: কী-উপাদান কি সত্যিই স্বাধীন?

একটি সার্টিফিকেট, একটি পূর্ব-ভাগ করা কী বা একটি সরবরাহকারী লাইব্রেরি থেকে তৈরি দুই স্তর হলো অতিরিক্ত ধাপসহ এক স্তর। তখন একটি শংসাপত্র ফাঁস দুইটিই খুলে দেয়, আর একটি বাস্তবায়ন ত্রুটি দুইটিই একসাথে মুছে দেয়। স্বাধীনতা কনফিগারেশনে দৃশ্যমান হতে হবে, স্লাইডে দাবি করা যাবে না।

এখানেই হাইব্রিড কী স্থাপন টানেল স্তূপ করার চেয়ে এগিয়ে। IKEv2 একটি আলোচনায় একাধিক কী বিনিময় বহন করতে পারে, তাই একটি চিরায়ত গ্রুপ এবং একটি পোস্ট-কোয়ান্টাম KEM একই সেশন কী সরবরাহ করতে পারে, একে অপরের চারপাশে মোড়ানোর বদলে। ফলাফল একটি নিরাপত্তা সংযোগ যার কী দুই গোপনীয়তার উপর নির্ভর করে, এবং আক্রমণকারীকে দুইটিই ভাঙতে হয়। এটি একটি নির্ধারিত গঠনসহ নথিভুক্ত নির্মাণ, যা দুই VPN পণ্যের হাতে তৈরি স্তূপ নয়। strongSwan-এ swanctl --list-sas প্রতিটি SA-এর জন্য আলোচিত প্রস্তাব ছাপে, আর এভাবেই আপনি নিশ্চিত করেন কী চলেছে, আপনি কী কনফিগার করেছেন তা নয়।

শর্ত তিন: ডেটা কি বাইরের অনুমানের চেয়ে বেশি বাঁচে?

যে স্তরকে বিশ বছর টিকতে হবে তার বিশ বছরের যুক্তি দরকার। এখন রেকর্ড করে পরে ডিক্রিপ্ট করা সস্তা, আর এ কারণেই চিরায়ত বাইরের স্তরকে আরও শক্তিশালী কিছুর চারপাশে সাময়িক মোড়ক হিসেবে গণ্য করা যায় না।

প্রতিটি কী কখন পুনরুদ্ধারযোগ্য হয় তা জিজ্ঞাসা করুন, আজ সাইফার ভাঙা কি না তা নয়। ফরওয়ার্ড সিক্রেসি ছাড়া স্থির কী বিনিময় ব্যক্তিগত কী পড়ে যাওয়ার দিনেই পিছনদিক থেকে ব্যর্থ হয়। ক্ষণস্থায়ী কী চুক্তি ব্যর্থ হয় কেবল সেই সেশনগুলির জন্য যেগুলিতে আক্রমণকারী সেগুলি জীবিত থাকাকালীন আক্রমণ করতে পারে, বা যখন অ্যালগরিদম নিজেই দুর্বল হয়। এই পার্থক্যই ঠিক করে 2040 সালে ভেতরের স্তর এখনও সাহায্য করে কি না। এটি এও ঠিক করে বাইরের স্তর আদৌ কিছু বদলায় কি না, কারণ দুর্বল কী-আয়ুষ্কালের বাইরের স্তর কেবল সময়রেখার সবচেয়ে আগের বিন্দু হয়ে যায়।

উত্তর না হলে বদলে কী তৈরি করবেন

তিনটি শর্তের যেকোনোটি ব্যর্থ হলে, নেস্টিং ছেড়ে দিন এবং পরিশ্রম সেই স্তরে ব্যয় করুন যা সত্যিই আয়ুষ্কালের প্রয়োজন বহন করে। যে প্রোটোকল আপনি আগেই চালান সেখানে একটি হাইব্রিড কী বিনিময় কনফিগার করুন, বাস্তবায়ন হালনাগাদ রাখুন, এবং যে গঠনের উপর নির্ভর করেন তা লিখে রাখুন। নকশা নথিতে ML-KEM উল্লেখ করা নিরাপত্তা বৈশিষ্ট্য নয়, আর FIPS 203 কী-এনক্যাপসুলেশন ব্যবস্থা সংজ্ঞায়িত করে, আপনার টানেল নয়।

যেখানে দ্বিতীয় স্তর সত্যিই তার জায়গা অর্জন করে, সেখানে এটিকে প্রমাণ হিসেবে নয়, গভীরতায় প্রতিরক্ষা হিসেবে বর্ণনা করুন। তারপর গঠন যাচাই করুন: কোন শেষবিন্দু কোন কী ধরে রাখে, প্রতিটি পক্ষ কোন পরিচয় যাচাই করে, এবং কনসোল অ্যাক্সেস থাকা অপারেটর কী পড়তে পারে। যে নকশা এই তিন প্রশ্ন টিকে যায়, তা অতিরিক্ত প্রসেসরের যোগ্য। যা টিকে যায় না, তা কেবল একটি নকশা-চিত্র।

পরিবর্তনের জানালার আগে বর্তমান SA সারণি ও আলোচিত প্রস্তাবগুলি ধরে রাখুন, এরপর আবার ধরে রাখুন এবং তুলনা করুন, কারণ একমাত্র গুরুত্বপূর্ণ প্রমাণ হলো ডিভাইসগুলি আসলে কীতে সম্মত হয়েছে।