আমি এই সমস্যার সাথে সম্পর্কিত অনেকগুলি ডকুমেন্টেশন পড়েছি তবে আমি এখনও সমস্ত টুকরো একসাথে পেতে পারি না, তাই আমি বেশ কয়েকটি প্রশ্ন জিজ্ঞাসা করতে চাই।
সবার আগে আমি প্রমাণীকরণের প্রক্রিয়াটি সংক্ষিপ্তভাবে বর্ণনা করব যেমনটি আমি এটি বুঝতে পেরেছি, যেমনটি সম্পর্কে আমার ভুল হতে পারে: একটি ক্লায়েন্ট একটি সংযোগ শুরু করে, যা একটি সার্ভার পাবলিক কী, কিছু মেটাডেটা এবং ডিজিটাল স্বাক্ষরের সংমিশ্রণে সাড়া দেয় বিশ্বস্ত কর্তৃপক্ষ। তারপরে ক্লায়েন্ট সিদ্ধান্তটি গ্রহণ করে যদি সে সার্ভারকে বিশ্বাস করে, সার্বজনীন কী সহ কিছু এলোমেলো সেশন কী এনক্রিপ্ট করে এবং এটিকে আবার প্রেরণ করে। এই সেশন কীটি কেবলমাত্র সার্ভারে থাকা ব্যক্তিগত কী দ্বারা ডিক্রিপ্ট করা যায়। সার্ভার এটি করে এবং তারপরে এইচটিটিপিএস সেশন শুরু হয়।
সুতরাং, আমি যদি উপরে সঠিক হয়ে থাকি তবে প্রশ্নটি হয় এই জাতীয় দৃশ্যে কীভাবে ম্যান-ইন-দ্য মিডল আক্রমণ হতে পারে? আমি বলতে চাইছি, এমনকি যদি কেউ সার্বজনীন (যেমন www.server.com) জনসাধারণের কীটির প্রতিক্রিয়াটিকে বাধা দেয় এবং আমাকে যে তিনি www.server.com বলে মনে করার জন্য কিছু উপায় রেখেছেন, তবুও তিনি আমার সেশন কীটি ডিক্রিপ্ট করতে পারবেন না ব্যক্তিগত কী ছাড়া।
মিউচুয়াল অথেন্টিকেশন সম্পর্কে কথা বলতে গেলে, ক্লায়েন্টের পরিচয় সম্পর্কে সার্ভারের আত্মবিশ্বাসের বিষয়টি কি সব? আমি বলতে চাইছি, ক্লায়েন্টটি ইতিমধ্যে নিশ্চিত হতে পারে যে সে সঠিক সার্ভারের সাথে যোগাযোগ করছে, তবে এখন সার্ভারটি ক্লায়েন্টটি কে, ঠিক তা আবিষ্কার করতে চায়?
এবং শেষ প্রশ্নটি পারস্পরিক অনুমোদনের বিকল্প সম্পর্কে। যদি আমি বর্ণিত পরিস্থিতিতে ক্লায়েন্ট হিসাবে কাজ করি, এসএসএল সেশনটি প্রতিষ্ঠিত হওয়ার পরে যদি আমি HTTP শিরোনামে লগইন / পাসওয়ার্ড প্রেরণ করি তবে কী হবে? আমি এটি দেখতে পাচ্ছি, এই তথ্যটি বাধা দেওয়া যায় না কারণ সংযোগটি ইতিমধ্যে সুরক্ষিত এবং সার্ভার আমার সনাক্তকরণের জন্য এটির উপর নির্ভর করতে পারে। আমি কি ভূল? পারস্পরিক প্রমাণীকরণের সাথে তুলনা করে এমন পদ্ধতির ডাউনসাইডগুলি কী কী (কেবলমাত্র সুরক্ষার বিষয়গুলি গুরুত্বপূর্ণ, বাস্তবায়নের জটিলতা নয়)?