সবার আগে, SSL (HTTPS) এবং HTTP প্রমাণীকরণ কীভাবে কাজ করে তা বোঝার চেষ্টা করুন।
সাধারণ এইচটিটিপি প্রমাণীকরণ পদ্ধতি (ডাইজেস্ট, বেসিক এবং যে কোনও ফর্ম + কুকি ভিত্তিক প্রমাণীকরণ স্কিম আপনি HTTP এর উপরে প্রয়োগ করতে পারেন) সেগুলি নিজেরাই সুরক্ষিত, কারণ তারা প্রমাণীকরণের তথ্য কম-বেশি পরিষ্কার পাঠায়। ডেটা POST ক্ষেত্র বা শিরোলেখগুলিতে রয়েছে এবং বেস 64-এনকোডিং প্রয়োগ করা হয়েছে কিনা তা এই ক্ষেত্রে মোটেই গুরুত্বপূর্ণ নয়, নেটওয়ার্ক ট্র্যাফিকের অ্যাক্সেস থাকা পাসওয়ার্ডটি স্পষ্টভাবে দৃশ্যমান। এর অর্থ হ'ল অবিশ্বাস্য চ্যানেলের উপর এইচটিটিপি প্রমাণীকরণ মূল্যহীন: আপনার আক্রমণকারীটির পাসওয়ার্ড পড়তে আক্রমণকারীর জন্য যা দরকার তা হল সামান্য নেটওয়ার্ক স্নিফিং।
এসএসএল একটি সহজাত নিরাপত্তাহীন চ্যানেলের উপর একটি সুরক্ষিত যোগাযোগ চ্যানেল প্রয়োগ করে। এটি নিম্নলিখিত হিসাবে মোটামুটিভাবে কাজ করে:
- সার্ভার একটি স্বাক্ষরিত শংসাপত্র প্রেরণ করে
- ক্লায়েন্ট পরিচিত-ভাল স্বাক্ষরকারী কীগুলির তালিকার বিপরীতে শংসাপত্রকে বৈধতা দেয়; শংসাপত্রের স্বাক্ষরগুলি শৃঙ্খলাবদ্ধ হতে পারে, যাতে প্রতিটি নোড বলে যে "যদি আমাকে স্বাক্ষরকারী স্বাক্ষরটি ভাল হয় তবে আমিও আছি", তবে শেষ পর্যন্ত এই চেইনটির ক্লায়েন্টের উপর পূর্বনির্ধারিত মুষ্টিমেয় কয়েকটি বিশ্বস্ত কর্তৃপক্ষের মধ্যে একটির সমাধান করা দরকার।
- ক্লায়েন্ট একটি ভাগ করা গোপন পাঠাতে সার্ভারের সর্বজনীন এনক্রিপশন কী ব্যবহার করে key
- সার্ভারের ব্যক্তিগত কী ব্যবহার করে ভাগ করা গোপনীয়তা ডিক্রিপ্ট হয় (কারণ কেবল বৈধ সার্ভারের ব্যক্তিগত কী রয়েছে, অন্য সার্ভারগুলি ভাগ করা গোপনটি ডিক্রিপ্ট করতে অক্ষম হবে)
- ক্লায়েন্ট প্রকৃত অনুরোধ ডেটা প্রেরণ করে, ভাগ করা গোপন ব্যবহার করে এনক্রিপ্ট করা
- সার্ভার অনুরোধ ডেটা ডিক্রিপ্ট করে, তারপরে একটি এনক্রিপ্ট হওয়া প্রতিক্রিয়া প্রেরণ করে
- ক্লায়েন্ট প্রতিক্রিয়া ডিক্রিপ্ট করে এবং এটি ব্যবহারকারীর কাছে উপস্থাপন করে।
কয়েকটি গুরুত্বপূর্ণ বিষয় এখানে নোট করুন:
- শংসাপত্র শৃঙ্খলা ক্লায়েন্টদের নিশ্চিত করতে দেয় যে তারা যে সার্ভারের সাথে কথা বলছে তা আসল, কোনওটি তাদের অনুরোধগুলিকে বাধা দিচ্ছে না। এই কারণেই আপনার আসল এসএসএল শংসাপত্র কেনা উচিত এবং যখন আপনি কোনও অবৈধ, মেয়াদোত্তীর্ণ, বা অন্যথায় ভুল শংসাপত্র ব্যবহার করে এমন কোনও সাইটকে আঘাত করেন তখন ব্রাউজারগুলি কেন আপনাকে ভয়ঙ্কর সতর্কতা দেয়: আপনি যদি বিশ্বের সমস্ত এনক্রিপশন সাহায্য করে না তবে আপনি ভুল ব্যক্তির সাথে কথা বলছি।
- গোপনীয়তা বিনিময় করতে ব্যবহৃত পাবলিক / প্রাইভেট এনক্রিপশনটি নিশ্চিত করে যে সফল যোগাযোগ কেবল এই বিশেষ ক্লায়েন্ট এবং সার্ভারের মধ্যে কাজ করবে: স্নিগড নেটওয়ার্ক প্যাকেটগুলি এনক্রিপ্ট করা হবে এবং তাদের ডেটা পেতে সার্ভারের ব্যক্তিগত কী প্রয়োজন হবে require
- অনুরোধের বেশিরভাগ ক্ষেত্রে প্রতিসামগ্রী এনক্রিপশন ব্যবহৃত হয়, কারণ এতে প্রাইভেট / পাবলিক কী এনক্রিপশনের তুলনায় অনেক কম পারফরম্যান্স রয়েছে। কী (শেয়ারড সিক্রেট) বেসরকারী / সর্বজনীন কী এনক্রিপশন ব্যবহার করে বিনিময় করা হয়, কারণ এটি নিরাপদ উপায়ে এটি করার একমাত্র উপায় (এটি কোনও পৃথক চ্যানেলে যেমন কুরিয়ার সার্ভিসের মাধ্যমে পরিবহণ ব্যতীত)।
সুতরাং স্পষ্টতই, কিছু ওভারহেড জড়িত রয়েছে, তবে এটি আপনার বিবেচনার মতো খারাপ নয় - এটি বেশিরভাগই স্কেল যেখানে "এটিতে আরও হার্ডওয়্যার নিক্ষেপ করা" উপযুক্ত প্রতিক্রিয়া, যদি না আপনি একেবারে বিশাল পরিমাণে ট্র্যাফিকের জন্য প্রস্তুতি নিচ্ছেন ( গুগল বা ফেসবুক ভাবেন)। সাধারণ পরিস্থিতিতে, সাধারণ ওয়েব অ্যাপ্লিকেশন ব্যবহারের মধ্যে, এসএসএল ওভারহেড উপেক্ষিত নয়, ফলস্বরূপ আপনার কাছে কোনও গোপনীয় ডেটা হওয়ার সাথে সাথে কেবলমাত্র সংস্থানগুলি সহ এসএসএল-এ সমস্ত কিছু চালানো ভাল। এসএসএল এইচটিটিপি ট্র্যাফিক সুরক্ষার একমাত্র কার্যকর উপায়; অন্যান্য পদ্ধতিগুলি কেবল প্রমিত হিসাবে প্রমাণিত হয় না এবং এটি ব্যাপকভাবে সমর্থিত হয় না এবং আপনি এই বিষয়গুলি নিজেই প্রয়োগ করতে চান না, কারণ সত্যই, এগুলি ভুল করা খুব সহজ।
টি এল; ডিআর: হ্যাঁ, SSL এর + + বেসিক প্রমাণীকরণ একটি ভাল ধারণা, হ্যাঁ, আপনি একটি নিরাপদ সার্ভারে (এবং প্রয়োজন বৈধ শংসাপত্র ), হ্যাঁ, এটা কিছু একটু নিচে, মন্থর করে দেবে কিন্তু না, এই অধিকার সম্পর্কে চিন্তা করতে কিছু নয় এখন।