আপনার VPN পাসওয়ার্ড শুধু তার যাচাইকারীর গোপনীয়তার সমান গোপন

যেকোনো VPN লগইন নিয়ে চারটি প্রশ্ন ভাবুন: পরিবহনের সময় পাসওয়ার্ড কী রক্ষা করে, কোন উপাদান তা পায়, সেই উপাদান তা দিয়ে কী করে, এবং পরে কী সংরক্ষিত হয়। প্রতিটি উত্তর আলাদা নিয়ন্ত্রণ, আর একটির শক্তিশালী উত্তর অন্যগুলো সম্পর্কে কিছুই বলে না। ভুলটি হলো টানেল এনক্রিপশনকে এমনভাবে ধরা যেন তা চারটিই ঢাকে। এটি প্রথমটি ঢাকে, কেবল প্রথমটি।

সেশনটি এনক্রিপ্ট করা কি না তা নয়, বরং কে সেশনটি শেষ করে তা জিজ্ঞাসা করুন।

ঠিক কার কাছে এনক্রিপ্ট করা?

TLS ক্লায়েন্ট ও সংযোগটি শেষ করে যে তার মধ্যে পাসওয়ার্ড রক্ষা করে। যদি সেই প্রান্তবিন্দু VPN গেটওয়ে হয়, তবে গেটওয়ের প্রমাণীকরণ কোড প্লেইনটেক্সট পাসওয়ার্ড দেখে, তা যাচাই করে এবং তা বা একটি উদ্ভূত মান সামনে পাঠায়। এটি অভিপ্রেত নকশা, ফাঁস নয়। পথে থাকা নেটওয়ার্ক পর্যবেক্ষক কোনো কাজের তথ্য পায় না, আর যাচাই করা উপাদানটি তার প্রয়োজনীয় সবকিছু পায়।

OpenVPN কমিউনিটি এটি স্পষ্টভাবে নথিভুক্ত করে: auth-user-pass-verify জমা দেওয়া প্রমাণপত্র একটি যাচাইকরণ স্ক্রিপ্ট বা প্লাগইনে হস্তান্তর করে। এটি উপাদানগুলোর মধ্যে ইচ্ছাকৃত হস্তান্তর, এবং এটি একটি নামকরণকৃত পক্ষ হিসেবে বিশ্বাস মডেলে অন্তর্ভুক্ত।

যাচাইকারী পাসওয়ার্ড দেখে

একটি উপাদান যাচাইয়ের জন্য পাসওয়ার্ড পেলে, সেই উপাদানের প্রবেশাধিকার নিয়ন্ত্রণ, লগিং ও কোডের গুণমানই ঠিক করে গোপনীয়তা ভেতরে থাকে কি না। যে স্ক্রিপ্ট প্রমাণপত্র লগে লেখে, বা যে প্লাগইন তা ক্যাশে রাখে, প্রোটোকলের চেয়ে অনেক বড় প্রকাশ তৈরি করে। প্রবেশাধিকার টানেলের বদলে স্থাপত্য ও ভূমিকার উপর নির্ভর করে, তাই যাচাইকারী নিয়ন্ত্রণ করা সেবা মালিক মূল্যায়নে অন্তর্ভুক্ত হন।

ভিন্ন পদ্ধতি ভিন্ন উপাদান প্রকাশ করে। সার্টিফিকেট প্রমাণীকরণ ব্যক্তিগত কী পাঠানো ছাড়াই তা প্রমাণ করে, আর ফেডারেশন প্রবাহ VPN-এ সীমিত দাবি জারি করে পাসওয়ার্ড পরিচয় প্রদানকারীর কাছে রাখতে পারে। সেই নকশাগুলো বৃত্ত সংকুচিত করে; এর কোনোটিই সব বিশ্বস্ত পক্ষ দূর করে না।

সংরক্ষিত হ্যাশ ভিন্ন একটি পর্যায় রক্ষা করে

NIST-এর নির্দেশনা সুরক্ষিত পরিবহন ও প্রতিরোধী যাচাইকারী সংরক্ষণকে আলাদা করে। সল্টিং ও ব্যয়বহুল হ্যাশিং স্কিম সংরক্ষিত-যাচাইকারী হুমকির সমাধান করে, যা ডেটাবেস ফাঁস হলে পরে ঘটে। তুলনা করার জন্য ইনপুট পেতে হয় এমন রানটাইম উপাদান নিয়ে তারা কিছুই করে না। নির্দেশনাকে রানটাইম গোপনীয়তার প্রতিশ্রুতি হিসেবে পড়া একটি শ্রেণিগত ভুল।

তাই ভালোভাবে হ্যাশ করা পাসওয়ার্ড ভাণ্ডার ও প্রকাশিত যাচাইকরণ স্ক্রিপ্ট একটি পণ্যে দ্বন্দ্ব ছাড়াই সহাবস্থান করতে পারে।

বৃত্ত সংকুচিত করে এমন পদ্ধতি বেছে নেওয়া

যদি প্রয়োজন হয় গেটওয়ে কখনো পুনর্ব্যবহারযোগ্য পাসওয়ার্ড না পায়, তবে এমন পদ্ধতি বেছুন যা সত্যিই তা নিশ্চিত করে; ডেটা সাইফার বদলালে সেই বৈশিষ্ট্য তৈরি হয় না। VPN সার্ভারের সার্টিফিকেট যাচাই করা আপনাকে বলে আপনি কোন পিয়ারে পৌঁছেছেন; সেই পিয়ার পরে প্রমাণপত্র কীভাবে সামলায় তা নিয়ে এটি কিছুই বলে না। সার্ভার যাচাই রাখুন, প্রতি সেবার জন্য আলাদা প্রমাণপত্র ব্যবহার করুন, এবং প্রতিষ্ঠানের সমর্থিত পরিচয় প্রবাহ অনুসরণ করুন।

পাসওয়ার্ড যে পক্ষ পায়, যে যাচাই করে এবং যে আকারে তা রাখা হয় তা লিখে রাখুন। ওই তিনটি উত্তর সংযোগ প্রোফাইলের পাশে থাকা উচিত, কারণ তারা যেকোনো নির্দিষ্ট টানেলের চেয়ে বেশি টেকে।

কাজের প্রশ্ন পাসওয়ার্ড এনক্রিপ্ট করা কি না তা নয়, বরং কার থেকে তা লুকানো, কোন উপাদান তা পায় এবং পরে কী রূপ টিকে থাকে।