টোকেন কোড, স্মার্ট কার্ড বা FIDO কি: একটি VPN কী গ্রহণ করে

একই কানেক্টর ও একই কীরিং লুপযুক্ত তিনটি ডিভাইস তিনটি সম্পর্কহীন বিনিময়ে অংশ নেয়। একটি এমন কোড দেখায় যা সার্ভার যাচাই করে, একটি এমন কী দিয়ে সই করে যা কখনো ডিভাইস ছাড়ে না, আর একটি নিজস্ব প্রোটোকলের মাধ্যমে ব্রাউজার সাইন-ইন অনুমোদন করে। তাই VPN-এর সার্টিফিকেট নাকি হার্ডওয়্যার টোকেন ব্যবহার করা উচিত—এই প্রশ্নটি একটি ফরম্যাটকে ডিভাইস শ্রেণির সঙ্গে তুলনা করে। উত্তর নির্ভর করে আপনি আসলে তিনটির মধ্যে কোনটি কিনেছেন তার উপর।

ডিভাইসের আগে প্রমাণের নাম দিন

এক-বার ব্যবহারযোগ্য কোড টোকেন এমন একটি মান তৈরি করে যা একটি প্রমাণীকরণ সেবা নিজস্ব প্রক্রিয়ায় যাচাই করে। VPN RADIUS বা একটি ফেডারেটেড পরিচয় প্রদানকারীর মাধ্যমে ওই সেবায় পৌঁছাতে পারে, এবং টোকেনকে কখনোই টানেলের নিজের কোনো কিছু ধারণ করতে হয় না। এটি প্রমাণ করে যে ব্যক্তিটি কোড তৈরি করা ডিভাইসটি ধরে আছেন। কোডটি যে মেশিনে টাইপ করা হয়েছে সে সম্পর্কে এটি কিছুই প্রমাণ করে না।

স্মার্ট কার্ড ধরনের টোকেন একটি প্রাইভেট কী সংরক্ষণ করে এবং অনুরোধে সই করার কাজ সম্পাদন করে, এভাবেই কী রপ্তানি না করে সার্টিফিকেট পরিচয় প্রমাণ করা হয়। এর পাশের সার্টিফিকেটটি সর্বজনীন উপাদান, এবং সেই সার্টিফিকেট হস্তান্তর করা কী হস্তান্তর করার চেয়ে সম্পূর্ণ ভিন্ন কাজ।

একটি FIDO কি আবার তৃতীয় একটি প্রোটোকলে কথা বলে। ব্রাউজারভিত্তিক সাইন-ইন পরিচয় প্রদানকারীর কাছে এটি ব্যবহার করতে পারে, কিন্তু সেই ওয়েবসাইটে সফল হওয়ার অর্থ এই নয় যে একই কী VPN ক্লায়েন্টের স্মার্ট কার্ড ইন্টারফেস দিয়ে দেখা যাবে।

কিছু ডিভাইস এই অ্যাপ্লিকেশনগুলোর কয়েকটি পাশাপাশি বাস্তবায়ন করে, আর নির্মাতার নথি ঠিক এ কারণেই মোডগুলো আলাদাভাবে তালিকাভুক্ত করে। বাজারের প্রতিটি কী প্রতিটি মোড সমর্থন করে—এটি তার প্রমাণ নয়।

হার্ডওয়্যার কী রক্ষা করে, নীতি নয়

সার্টিফিকেট-সমর্থিত ডিভাইসের একটি PIN সাধারণত কীর স্থানীয় ব্যবহার অনুমোদন করে, এবং এটি সেই পাসওয়ার্ড নয় যা VPN অ্যাকাউন্ট সিস্টেম যাচাই করে। NIST-এর প্রমাণীকরণকারী নির্দেশনা-এর মতো নির্দেশনা সেই স্থানীয় ইনপুটকে অ্যাক্টিভেশন সিক্রেট বলে, যা প্রমাণীকরণকারীর থেকে আলাদা। নিশ্চয়তা আসে সম্পূর্ণ নকশা থেকে, স্ক্রিনে প্রম্পটের সংখ্যা থেকে নয়।

নিবন্ধন, নবায়ন ও অপসারণ যেকোনোভাবেই পরিচয়ের মালিকের কাছেই থাকে। এখনো কেউ সিদ্ধান্ত নেয় কে নিবন্ধন করতে পারবে, সঠিক ব্যক্তির সঙ্গে প্রমাণপত্র বাঁধে এবং ডিভাইস হারালে প্রতিস্থাপন সম্ভব করে। নতুন কী কেনা পুরোনো কী বাতিল করে না।

হার্ডওয়্যার বাছার আগে সাইন-ইন অনুষ্ঠানটি বর্ণনা করুন: ব্যবহারকারী কি কোড টাইপ করেন, সই করার কী আনলক করেন, নাকি ব্রাউজার প্রম্পট অনুমোদন করেন? প্রতিটি উত্তর ভিন্ন ক্লায়েন্ট, ভিন্ন গেটওয়ে সেটিং এবং ভিন্ন সহায়তা-ডেস্ক স্ক্রিপ্ট বোঝায়।

বাস্তবে প্রবাহগুলো কোথায় আলাদা হয়

কোড টোকেন চালু করা সবচেয়ে সহজ এবং বিশ্বাসযোগ্য নকল পাতার বিরুদ্ধে সবচেয়ে দুর্বল, কারণ টাইপ করা কোড রিয়েল টাইমে পাচার করা যায়। সার্টিফিকেট-সমর্থিত কী এই ধরনের আক্রমণ প্রতিরোধ করে এবং পরিচালনা করতে বেশি খরচ হয়, যেহেতু ইস্যু ও বাতিল সেবার অংশ হয়ে যায়। FIDO কী ওয়েব সাইন-ইনের সঙ্গে থাকে এবং সম্পূর্ণভাবে নির্ভর করে পরিচয় প্রদানকারী এই অ্যাপ্লিকেশনের জন্য এটি সমর্থন করে কি না তার উপর।

মিশ্র পরিবেশ সাধারণ, এবং সেগুলো স্বয়ংক্রিয়ভাবে ভুল নয়: টানেলের জন্য একটি সার্টিফিকেট আর প্রশাসনিক কনসোলের জন্য একটি কোড টোকেন একটি সুসংগত বিভাজন, তবে শর্ত হলো দুটোই একই পরিচয়ের বিরুদ্ধে নিবন্ধিত। যা ভাঙে তা হলো এমন বিভাজন যা কেউ নথিভুক্ত করেনি, যেখানে সহায়তা ডেস্ক বলতে পারে না ব্যবহারকারীর কোন উপাদানটি নেই।

সিদ্ধান্তটি সুনির্দিষ্ট করুন

একজন প্রকৃত ব্যবহারকারী যে ধাপগুলো সম্পাদন করেন সেগুলোর ক্রম হিসেবে অনুষ্ঠানটি লিখে রাখুন, তারপর যাচাই করুন ক্লায়েন্ট, গেটওয়ে ও পরিচয় প্রদানকারী সবাই সেই ক্রম সমর্থন করে। অসঙ্গতি সাধারণত শেষ ধাপে দেখা যায়, যেখানে ক্লায়েন্ট ডিভাইসটিকে আদৌ সম্বোধন করতে পারে না।

তারপর নিশ্চিত করুন ডিভাইস হারালে বা সার্টিফিকেটের মেয়াদ শেষ হলে কী হয়। সেই উত্তর লেখা না থাকলে স্থাপনায় একটি ফাঁক থাকে যা সোমবার সকালে ধরা পড়বে।

pkcs11-tool --list-slots
pkcs11-tool --list-objects --type cert