টানেল কী এনক্রিপ্ট করে আর কী পড়ার যোগ্য রেখে যায়

আপনার টানেল চালু, একটি ট্যাবে সবুজ তালা দেখাচ্ছে, আর অন্য ট্যাবের সাধারণ HTTP পৃষ্ঠা এখনও সতর্ক করছে যে সংযোগটি নিরাপদ নয়। এই মিশ্রণ মানুষকে বিভ্রান্ত করে, কারণ দুই সুরক্ষা দুই ভিন্ন দূরত্ব ঢাকে। VPN নিজের প্রান্তের মধ্যে ট্রাফিক রক্ষা করে, আর এক্সিটের পরে ট্রাফিক আবার সাধারণ হয়ে যায়। HTTPS একটি সংযোগকে ওয়েবসাইট পর্যন্ত রক্ষা করে। এই দুই তথ্য পাশাপাশি রাখলেই VPN আসলে কী লুকায় তা নিয়ে বেশিরভাগ প্রশ্নের উত্তর মেলে।

টানেল আসলে কী ঢাকে

ক্লায়েন্ট ও VPN সহযোগীর মধ্যে পর্যবেক্ষক পাঠযোগ্য অনুরোধ নয়, এনক্রিপ্ট করা বাইট দেখে। এটি টানেল যে অংশটি অতিক্রম করে তা ঢাকে, যা সাধারণত আপনার নিয়ন্ত্রণের বাইরের অংশ। এটি VPN এক্সিট ও ওয়েবসাইটের মধ্যের সংযোগ পর্যন্ত বিস্তৃত নয়, কারণ টানেল এক্সিটেই শেষ হয়েছে। টানেল শেষ হওয়ার মুহূর্ত থেকেই বাইটগুলো আবার পাঠযোগ্য। এতে ভুল কনফিগারেশন কিছুই নেই।

এক্সিট হলো এমন একটি মেশিন যা ডিক্রিপ্ট করে পাঠিয়ে দেয়, VPN ঠিক এজন্যেই। এটি যা পাঠায় তা তার কাছে যে আকারে এসেছে সেই আকারেই দৃশ্যমান, তাই সাধারণ HTTP অনুরোধ এক্সিট থেকে শুরু করে সাধারণ টেক্সটই থাকে।

এটিকে ত্রুটি নয়, বৈশিষ্ট্য হিসেবে পড়ুন। এনক্রিপশন একটি পথে সীমাবদ্ধ, আর পথ শেষ হয় যেখানে সেবা শুরু হয়।

সহজ ভাষায় চাবি, nonce ও অখণ্ডতা

চলমান ট্রাফিক সিমেট্রিক ক্রিপ্টোগ্রাফিতে সুরক্ষিত, আর দুই প্রান্তই হ্যান্ডশেকের সময় চাবির উপাদান তৈরি বা গ্রহণ করে। RFC 5116-এ সাধারণ ভাষায় বর্ণিত প্রমাণিত এনক্রিপশন একই গঠনে গোপনীয়তা ও অখণ্ডতা দেয়। প্রাপক পরিবর্তিত বাইট প্রত্যাখ্যান করে, শুধু পড়তে ব্যর্থ হয় না, আর মানুষ এনক্রিপশন মানে এলোমেলো করা ভাবলে ঠিক এই অংশটাই ভুলে যায়।

চাবি আসে ওই বিনিময় থেকে, লগইনে টাইপ করা পাসওয়ার্ড থেকে নয়। পাসওয়ার্ড একটি পরিচয় প্রমাণ করে, তারপর প্রোটোকল সেশনের উপাদান প্রতিষ্ঠা করে। ক্ষণস্থায়ী চাবি বিনিময়ই ফরওয়ার্ড সিক্রেসি দেয়, তাই রেকর্ড করা সেশন পরে দীর্ঘমেয়াদি চাবি ফাঁস হলেও পড়ার অযোগ্য থাকে।

স্পেসিফিকেশনে বড় কোনো সংখ্যা এই প্রশ্নগুলোর একটিরও উত্তর দেয় না, আর অসংশ্লিষ্ট অ্যালগরিদমের সংখ্যা তুলনা করা কোনো র‍্যাঙ্কিং নয়। বরং জিজ্ঞাসা করুন চাবি বিনিময় কী দেয়।

টানেল কোথায় শেষ হয়

যে প্রান্ত টানেল শেষ করে, সে যা পাঠায় তা পড়তে পারে। কর্পোরেট গেটওয়ে, বাণিজ্যিক প্রোভাইডার ও নিজে হোস্ট করা সার্ভার—সবক্ষেত্রেই এটি সত্য। এটি নকশা, এর ত্রুটি নয়। শক্তিশালী ক্রিপ্টোগ্রাফি আপসহীন প্রান্তকে তার কাছে আসা সাধারণ টেক্সট পড়া থেকে থামাতে পারে না, কারণ সুরক্ষা থামে ঠিক প্রান্তেই।

HTTPS ওই বিন্দুর পরেও চলতে থাকে, তাই VPN ছাড়াও শত্রুভাবাপন্ন নেটওয়ার্কে সাইট নিরাপদ থাকতে পারে। দুই সুরক্ষা প্রথম অংশে ওভারল্যাপ করে আর এক্সিটের পরে কেবল একটিই চলতে থাকে।

এই কারণেই সংযোগ চালু করতে সার্টিফিকেট যাচাই দুর্বল করা টানেলের পরীক্ষা নয়। এটি অন্য এক সুরক্ষা বন্ধ করে দেয় আর আপনাকে শুরু করার চেয়ে কম দিয়ে রাখে।

কেন নামপরিচয়হীনতা আলাদা একটি পণ্য

ঠিকানা, সময় ও পরিমাণ টানেলের বাইরে পর্যবেক্ষণযোগ্য থাকে। পর্যবেক্ষক দেখতে পারে ট্রাফিক VPN প্রান্তের দিকে যাচ্ছে, মোটামুটি কতটা, আর কখন। বিষয়বস্তু পাঠের অযোগ্য হতে পারে, তবু ধাঁচটি তথ্যবহন করে।

প্রোভাইডারও আপনার নেটওয়ার্কের ভিন্ন জায়গায় থাকে, এটি পর্যবেক্ষক বদল, পর্যবেক্ষণ সরানো নয়। কুকি, লগইন ও অ্যাকাউন্ট শনাক্তকারী আগের মতোই কাজ করে, কারণ টানেল সেগুলো বদলানোর কখনও প্রতিশ্রুতি দেয়নি।

প্রয়োজন হলে লগিং নীতি ও এখতিয়ার দেখে প্রোভাইডার বাছুন, তারপর নীতিটি নিজে পড়ুন। বাজারজাতকরণের পৃষ্ঠাগুলো এই প্রশ্নের উত্তর খুব কমই এমনভাবে দেয় যা কেউ যাচাই করতে পারে।

টানেল ও সাইট আলাদা করে যাচাই করুন

আগে টানেল যাচাই করুন, যাতে জানেন কোন সুরক্ষা পরীক্ষা করছেন। তারপর সাইটের নিজের পরিবহন যাচাই করুন, আর একটি অন্যটিকে বোঝায় ধরে না নিয়ে দুই ফলাফল তুলনা করুন। সাধারণ HTTP বহনকারী টানেল আর HTTPS পরিবেশনকারী সাইট—দুটোই ঠিক যা করার জন্য কনফিগার করা হয়েছিল তাই করছে।

যে হোস্ট পরীক্ষা করার অনুমতি আছে তার বিরুদ্ধে যাচাই চালান, আর সারাংশ নয়, আউটপুট পড়ুন।

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

টানেল চালু ও সাইট HTTPS হলে প্রথম অংশে আপনার দুই সুরক্ষা আর দ্বিতীয়টিতে একটি। সাইট সাধারণ HTTP হলে দ্বিতীয় অংশ সেখানে থাকা যে কারও কাছে পাঠযোগ্য, অনুরোধ পাঠানো এক্সিটসহ। দুটির মধ্যে কোনটি অনুপস্থিত তা জানাই পুরো রোগনির্ণয়, আর তাতে নতুন ক্লায়েন্ট নয়, দুটি কমান্ডই লাগে।