VPN ও Tor কীভাবে HTTPS-এর বিকল্প নয়: প্রতিটি স্তর কোথায় শেষ হয়
একটি টানেল শেষ হয় নিজের পিয়ারে, আর একটি Tor সার্কিট শেষ হয় এক্সিট রিলেতে। শুধু HTTPS-ই সাইট পর্যন্ত পৌঁছায়, তাই সাধারণ ফর্ম পড়ার যোগ্য থাকে।
একটি VPN এবং একটি Tor সার্কিট দুটোই যাত্রার একাংশে আপনার ট্রাফিক এনক্রিপ্ট করে। দুটোই নিজেদের বেছে নেওয়া পিয়ারে এনক্রিপশন বন্ধ করে। HTTPS হলো সেই স্তর যা সাইটের নিজের পর্যন্ত পৌঁছায়, আর তার সামনে যত টানেলই থাকুক তা সাধারণ ফর্ম জমা দেওয়াকে সুরক্ষিত জমায় পরিণত করে না। প্রতিটি স্তরকে তার শেষ হওয়ার বিন্দু পর্যন্ত অনুসরণ করলেই তা স্পষ্ট হয়।
তিন স্তর, তিনটি আলাদা প্রান্তবিন্দু
একটি প্রচলিত VPN তার টানেল VPN সার্ভারে শেষ করে। আপনার ডিভাইস ও ওই সার্ভারের মধ্যে সবকিছু টানেলের ভিতরে থাকে, আর তার পরের সবকিছু ভিতরে থাকে না। একটি Tor সার্কিট ভিন্ন পিয়ারের সাথে একইভাবে কাজ করে এবং এক্সিট রিলেতে নেটওয়ার্ক ছেড়ে আপনার অনুরোধ গন্তব্যে পৌঁছে দেয়।
TLS সাইটে শেষ হয়। আপনি যাচাই করা সার্টিফিকেটটি একটি হোস্টনামকে সাইটের নিয়ন্ত্রণাধীন চাবির সাথে বাঁধে, আর সেশন চাবিগুলো আপনার ব্রাউজার ও ওই সার্ভারের মধ্যে থাকে। সেই প্রান্তবিন্দু VPN সার্ভার ও Tor এক্সিট দুটোরই ওপারে।
তাহলে তিন স্তরের তিনটি আলাদা বিশ্বাস-সীমা আছে, আর একটি অনুরোধ ধারাবাহিকভাবে সেগুলোর সবগুলোর মধ্য দিয়ে যায়। একটিকে শক্তিশালী করলে অন্যরা সম্পর্কে কিছুই বলা হয় না, আর শেষটি-ই একমাত্র যেখানে গন্তব্য অংশ নেয়।
শেষ হপ কী প্রকাশ করে
অ্যাপ্লিকেশনটি সাধারণ HTTP ব্যবহার করলে, এক্সিটের পরের বিষয়বস্তু ওই হপ পরিচালনাকারী যে কেউ পড়তে পারে। আগের টানেল তার কাজ নিখুঁতভাবে করেছে এবং এখন আর উপস্থিতই নেই। HTTP ফর্মে লেখা শংসাপত্র ঠিক সেই বিন্দুতেই প্রকাশিত হয় যেখানে সুরক্ষা শেষ হয়েছিল।
| Layer | Terminates at | Who can read the request there |
|---|---|---|
| VPN tunnel | The VPN server you selected | The operator of that server, and anyone who can compel them |
| Tor circuit | An exit relay chosen by the network | The exit relay operator, for traffic that is not otherwise protected |
| HTTPS | The website's own TLS endpoint | The site itself, and no intermediary on the path |
সঠিকভাবে যাচাই করা HTTPS থাকলে পথের কোনো মধ্যবর্তী অ্যাপ্লিকেশনের বিষয়বস্তু পড়তে বা নীরবে বদলাতে পারে না। তবে সে এখনও দেখে যে আপনি সংযুক্ত হয়েছেন, কখন এবং কোন ঠিকানায়, কারণ প্যাকেটের হেডার রাউটযোগ্য হতে হয়। বিষয়বস্তুর গোপনীয়তা আর সংযোগ সম্পর্কিত মেটাডেটা আলাদা বৈশিষ্ট্য, এবং প্রথমটিই কেবল TLS দেয়।
অ্যাকাউন্ট পরিচয় আবার তৃতীয় একটি জিনিস। অ্যাকাউন্টে প্রবেশ করলে আপনি কোন এক্সিট ঠিকানা ব্যবহার করেছেন তা নির্বিশেষে সেই সেবার কাছে আপনার পরিচয় প্রকাশ পায়, তাই এক্সিট অ্যাকাউন্ট নয়, নেটওয়ার্ক পথ রক্ষা করে। এই পার্থক্য তার সামনে যত স্তরই থাকুক টিকে থাকে। এক্সিট বদলালে সাইন-ইন করা সেশন কী প্রকাশ করে তা কখনও বদলায় না। প্রথম প্যাকেট বেরোনোর আগেই সেবাটি জানত আপনি কে।
এই বিন্যাসে দ্বিতীয় টানেল যোগ করলে কিছুই ভাঙে না। যা বদলায় তা হলো প্রথম হপ কে দেখে, শেষ হপ এনক্রিপ্টেড কি না তা নয়।
ক্রম পর্যবেক্ষক বদলায়, প্রান্তবিন্দু নয়
VPN ও Tor শৃঙ্খলাবদ্ধ করা নেটওয়ার্ক স্তরে কে কী দেখে তা বদলানোর একটি বৈধ উপায়। VPN-এর উপর দিয়ে Tor চালালে আপনার অ্যাক্সেস নেটওয়ার্ক থেকে Tor ব্যবহারের সত্যটি লুকায়, আর Tor-এর উপর দিয়ে VPN চালালে VPN সরবরাহকারীর কাছ থেকে আপনার ঠিকানা লুকায়। দুটি ক্রমই প্রকাশ্য নথিতে বর্ণিত এবং দুটোরই কর্মক্ষমতা ও ব্যর্থতার আচরণে সমঝোতা আছে।
কোনো ক্রমই TLS প্রান্তবিন্দু সরায় না। দুই ক্ষেত্রেই ব্রাউজার তার অনুরোধ করা হোস্টনামের সার্টিফিকেট যাচাই করে, আর দুই ক্ষেত্রেই HTTP ঠিকানা শেষ রিলের পরে তার বিষয়বস্তু খোলাখুলিভাবে পাঠায়। সংযোজন পর্যবেক্ষকের তালিকা বদলায়; গন্তব্যে স্তরের সংখ্যা বদলায় না।
তাই শৃঙ্খলা নিয়ে পরামর্শ সাধারণত নিরাপত্তা নয়, হুমকি-মডেল নিয়ে হয়। দীর্ঘতর শৃঙ্খল একই জিনিসের শক্তিশালী সংস্করণ নয়, আর এটি অ্যাপ্লিকেশন যে প্রোটোকল বেছে নিয়েছে তার বিকল্প নয়।
curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -briefদুটি কমান্ডই গন্তব্যে গুরুত্বপূর্ণ স্তরটি দেখায়। দ্বিতীয়টি কোনো টানেল জড়িত না করেই সমঝোতাপ্রাপ্ত প্রোটোকল ছাপে। কোনোটিই আপনি যে এক্সিট ব্যবহার করেছেন সে সম্পর্কে কিছু বলে না।
সমস্যা সমাধানের সময় যাচাই সচল রাখুন
সার্টিফিকেট সতর্কতা আপনার আসন্ন সংযোগ সম্পর্কে তথ্য। এর অর্থ হতে পারে হোস্টনামের অমিল, ঘড়ির সমস্যা, অবিশ্বস্ত শৃঙ্খল বা আটকে ধরার চেষ্টা। VPN সংযুক্ত থাকায় স্থায়ী ব্যতিক্রম যোগ করলে সেই একমাত্র সংকেতটিই মুছে যায় যা ওই অবস্থাগুলো আলাদা করতে পারত।
Tor Browser-এর নিরাপদ-সংযোগ বৈশিষ্ট্য ও তার সতর্কতাগুলো একই কারণে আছে, আর পৃষ্ঠা লোড করাতে সেগুলো বন্ধ করা দৃশ্যমান ব্যর্থতাকে অদৃশ্য ব্যর্থতার বদলে দেয়। ব্যতিক্রম ছাড়া কোনো সাইটে পৌঁছানো না গেলে সৎ সিদ্ধান্ত হলো সংযোগটি যাচাইযোগ্য নয়, টানেল এটি নিরাপদ করেনি।
এনক্রিপশনও উদ্দেশ্য সম্পর্কে কিছু বলে না। প্রতারক সাইটে বৈধ HTTPS সংযোগ আপনার তথ্য নিখুঁত গোপনীয়তাসহ সেই সাইটে পৌঁছে দেয়। ঠিকানা এবং আপনি কী জমা দিচ্ছেন তা দেখুন, কেবল তালা আছে কি না তা নয়।
Onion সেবা সত্যিই ভিন্ন মডেল। সাধারণ প্রকাশ্য এক্সিট ছাড়াই Tor নেটওয়ার্কের মধ্য দিয়ে সেখানে পৌঁছানো হয়, যা Tor দিয়ে প্রকাশ্য সাইটে প্রবেশের সমান নয়। এটিকে একই পরিদর্শনের শক্তিশালী সংস্করণ নয়, নিজস্ব প্রত্যাশাসহ আলাদা ঘটনা হিসেবে দেখুন।
প্রতিটি কনফিগারেশনেও যে নিয়ম টেকে তা সংক্ষিপ্ত। ব্রাউজারের যাচাই অক্ষত রাখুন। প্রতিটি স্তরকে বিচার করুন সে আসলে কোথায় শেষ হয় তা দিয়ে।