VPN প্রোটোকল স্পেসিফিকেশন কী প্রমাণ করে আর কী করে না

একটি প্রোটোকল নথি হলো বাস্তবায়নগুলোর মধ্যে একটি চুক্তি, আর মনোযোগ দিয়ে পড়লে বোঝা যায় দুটি সামঞ্জস্যপূর্ণ পক্ষ কী বিনিময় করবে এবং ডিজাইনাররা কোন বৈশিষ্ট্য ধরে রাখতে চেয়েছিলেন। এটি বলে না আপনার সংযোগ করা সার্ভারে কোন বাইনারি চলছে, সেই সার্ভার কীভাবে কনফিগার করা হয়েছে, বা পরে আপনার অ্যাকাউন্ট রেকর্ডের কী হয়। এগুলো তিন ধরনের আলাদা প্রমাণ, আর স্পেসিফিকেশনকে তিনটিই ভেবে নেওয়াই হলো সেই জায়গা যেখানে একটি প্রোটোকলের নাম এমন কাজ করতে শুরু করে যা তার সামর্থ্যের বাইরে। তিনটিকে আলাদা রাখাই পুরো অনুশীলন।

নথিটি একটি যুক্তির শুরু, তার উপসংহার নয়।

নথিটি আসলে কী নির্ধারণ করে

WireGuard-এর জন্য প্রোটোকল বর্ণনা Noise IK হ্যান্ডশেক, নির্দিষ্ট কিছু প্রিমিটিভ, বার্তার বিন্যাস এবং পরে প্যাকেট বহনকারী ট্রান্সপোর্ট ফ্রেমিং নির্ধারণ করে। IKEv2-এর জন্য তুলনীয় নথি হলো RFC 7296, যা বিনিময়, পেলোড ও প্রস্তাবের দরকষাকষি নির্ধারণ করে। দুই ক্ষেত্রেই পরিধি সুনির্দিষ্ট: বার্তা, স্টেট মেশিন এবং যে অনুমানে নিরাপত্তার লক্ষ্যগুলো টিকে থাকে।

ঐচ্ছিক মোড পড়াটা জটিল করে তোলে। একটি হ্যান্ডশেকের জন্য প্রযোজ্য বৈশিষ্ট্য ভিন্ন প্রমাণীকরণ ব্যবস্থা বা ফলব্যাক কনফিগারেশন ব্যবহার করা স্থাপনায় নাও খাটতে পারে।

কোথায় গ্যারান্টি থেমে যায়

আনুষ্ঠানিক বিশ্লেষণ একটি মডেল সম্পর্কে প্রশ্নের উত্তর দেয়। WireGuard-এর যাচাইকরণের কাজ Tamarin প্রুভারে একটি প্রতীকী মডেল ব্যবহার করে, যা দেখাতে পারে যে ডিজাইন তার অনুমান সাপেক্ষে নির্দিষ্ট আক্রমণ প্রতিরোধ করে; এটি দেখায় না যে বিতরণ করা একটি ইউজারস্পেস বাস্তবায়নে মেমরি-নিরাপত্তার কোনো ত্রুটি নেই। মডেল ও মেশিনের মধ্যে এই ফাঁকেই বাস্তব ঘটনাগুলো বাস করে। একটি প্রমাণকে বাস্তবায়নের সার্টিফিকেট হিসেবে পড়া একটি শ্রেণিগত ভুল।

ফরওয়ার্ড সিক্রেসি একই সীমা দেখায়। বৈশিষ্ট্যটি নির্ভর করে প্রোটোকল যেভাবে চায় সেভাবে কী ধ্বংস হওয়ার উপর, আর সেটি বার্তার বিন্যাসের নয়, বাস্তবায়ন ও তার পরিবেশের বৈশিষ্ট্য। যে ডিজাইন মোছার কথা বলে, সে এমন প্ল্যাটফর্মে তা প্রয়োগ করতে পারে না যা মেমরি ডিস্কে পাঠায়।

স্তরভিত্তিক নির্ভরতা ফাঁকটা আরও বাড়ায়: TLS-ভিত্তিক টানেলের পেছনের TLS লাইব্রেরি, ইউজারস্পেস টানেল যে কার্নেল ইন্টারফেস ব্যবহার করে, এবং র‍্যান্ডম নাম্বার জেনারেটর—সবই প্রোটোকল পাঠের বাইরে থাকে।

বাইটগুলোকে বিল্ড পর্যন্ত অনুসরণ করুন

ভার্সন চিহ্নিত করে এবং তারপর সেগুলোকে প্রকৃতপক্ষে ট্রাফিক পরিবেশনকারীর সঙ্গে তুলনা করে নথি থেকে আর্টিফ্যাক্টে যান। যে পণ্য একটি প্রোটোকলের নাম বলে, সে প্রভিশনিং, টেলিমেট্রি ও ম্যানেজমেন্ট উপাদান যোগ করতে পারে যা স্পেসিফিকেশন কখনো বর্ণনা করে না।

openvpn --version | head -3
wg --version
dpkg -l | grep -E 'openvpn|wireguard|libssl'
ss -lunp | grep -E '1194|51820'
sha256sum ./wireguard-tools_1.0.20210914_amd64.deb

পুনরুৎপাদনযোগ্য বিল্ড ও প্রকাশিত চেকসাম একটি সোর্স ট্রিকে বিতরণকৃত বাইনারির সঙ্গে যুক্ত করা সম্ভব করে। সেই সংযোগ ছাড়া প্রকাশিত সোর্স কেবল প্রমাণ করে পরিদর্শন সম্ভব, চালু ফাইলটি তার সঙ্গে মেলে তা নয়।

কনফিগারেশন একই ধাপের অংশ। সাইফার স্যুট, অনুমোদিত পিয়ার ও রাউটিং সেটিংস স্থাপনার পছন্দ, আর অসাবধানে কনফিগার করা সামঞ্জস্যপূর্ণ বিল্ডও দুর্বল টানেল তৈরি করে।

অপারেটিং অনুশীলন আলাদা রাখুন

অ্যাকাউন্ট রেকর্ড, পেমেন্ট ডেটা ও সাপোর্ট জমা দেওয়া অপারেটরের সিদ্ধান্ত যা কোনো প্রোটোকল পাঠ সীমাবদ্ধ করে না। একটি অডিট রিপোর্ট ঘোষিত পরিধির বিপরীতে নির্দিষ্ট উপাদান কভার করে, আর একটি গোপনীয়তা নীতি উদ্দেশ্য ও অনুশীলন বর্ণনা করে; কোনোটিই অন্যটির বিকল্প নয়, আর কোনোটিই ক্রিপ্টোগ্রাফিক বিবৃতি নয়।

সুনির্দিষ্ট উপসংহারটি ক্রমপুঞ্জিত: স্পেসিফিকেশন ডিজাইন ব্যাখ্যা করে, বিল্ড ও কনফিগারেশন টানেল ব্যাখ্যা করে, আর অপারেটরের নথিভুক্ত অনুশীলন ব্যাখ্যা করে টানেল যা কখনো দেখে না তা। এর মধ্যে কোনটি আপনি যাচাই করেছেন বলুন, আর দাবিটি সত্য থাকে।