সাইবার নিরাপত্তা বিশ্বে একটি অনুশীলন বহু বছর ধরে চলে আসছে— "সだな পরিবর্তন বা বিবর্তন একমাত্র উপায় অ্যাপ্লিকেশনগুলো চিরকাল নিরাপদ রাখার জন্য"।
অতীতে, ইন্টার-কম্পোনেন্ট অথেন্টিকেশন অনেক অ্যাপ্লিকেশনের জন্য একটি হ্যাসল ছিল। অ্যাপ্লিকেশনগুলো নিজেদের ভ্যালিডেট করতে হতো বিভিন্ন মিডলওয়্যার এবং ব্যাক-এন্ড কম্পোনেন্টে ক্লাউড API-এ অ্যাক্সেস পাওয়ার জন্য। যাইহোক, ওয়েব API-এ অ্যাপ্লিকেশন অথেন্টিকেশন একটি অপরিহার্য প্রক্রিয়া।
ভ্যালিডেশনের বিদ্যমান মেকানিজম হল একটি স্ট্যাটিক অ্যাপ্লিকেশন লগইন। কিন্তু এই পদ্ধতিতে নিরাপত্তার সমস্যা রয়েছে: –
- লগইন ক্রেডেনশিয়াল বারবার আপডেট হয়।
- এটি একটি ফার্মের ক্ষমতা কমিয়ে দেয় একটি অ্যাপ্লিকেশনের কার্যকলাপ চেক ও রেকর্ড করতে।
একাও পড়ুন: DevSecOps: কি এটি অ্যাপ্লিকেশন ও সফটওয়্যার সিকিউর করতে সাহায্য করবে?
TLS মিউচুয়াল অথেন্টিকেশন
যাইহোক, ক্লাউড API নিরাপত্তা বাড়াতে সেরা উপায়ों中略 একটি হল কম্পোনেন্ট বা প্রসেস একে অপরের সাথে কমিউনিকেশন করার সময় TLS (Transport Layer Security) মিউচুয়াল অথেন্টিকেশন পরিচয় করানো।
ধরিয়ে নিই RESTful API কম্পোনেন্টগুলো ইতিমধ্যে TLS মিউচুয়াল অথেন্টিকেশন টেকনিক ব্যবহার করছে। এটি অ্যাপ্লিকেশনগুলোক একটি ক্লায়েন্ট সার্টিফিকেট প্রেজেন্ট করতে বলে যাতে তারা নিজেদের ভ্যালিডেট করতে পারে। এইভাবে, এটি অ্যাপ্লিকেশন সিকিউরিটি ইনফ্রাস্ট্রাকচার কৌশল উন্নত করতে সাহায্য করতে পারে।
ঐতিহ্যবাহী প্রক্রিয়ার সমস্যা
নিয়মিত প্রক্রিয়ায় কার্যকলাপগুলো ব্যাক-এন্ড কম্পোনেন্ট অনুযায়ী একটি ইউজার আইডি আওতাভুক্ত catégorাইজড থাকে। এই শ্রেণিবিন্যাস ইভেন্ট ইনফরমেশনের সার্বিক মাধ্যমে একটি অ্যাপ্লিকেশনের সাথে সম্পর্কিত ইভেন্ট খুঁজে বের করা কঠিন করে দেয়। পরিস্থিতি আরও খারাপ হয়ে যায় যখন আপনি সাইবার আক্রমণের সময় ইভেন্ট খুঁজে পান না। নিরাপত্তা প্রফেশনালরা বেনাইন এবং হানিকারক অ্যাপ্লিকেশনের মধ্যে পার্থক্য করতে পারে না। এই নির্দিষ্ট সমস্যা এক দশক ধরে विद্যমান এবং এখনো অসমাধান।
RESTful API-র জন্য, তারা এখনও একে অপরের ভ্যালিডেট করতে বাধ্য এবং তারা শুধু HTTP-aware মেথডের সাহায্য নেয় অথেন্টিকেশন পারফর্ম করতে। উদাহরণস্বরূপ, একটি হিডেন ভ্যালু HTTP রিকোয়েস্ট হেডারের সাথে ইন্টিগ্রেটেড থাকে রিকোয়েস্টার ভ্যালিডেট করার জন্য। এই প্রক্রিয়াকে HTTP বেসিক অথেন্টিকেশন বলা হয়। এটি প্রয়োগ করা হয় এই তত্থ্যকে উপেক্ষা করে যে ক্লাউড অ্যাপ্লিকেশনগুলো ক্লাউডে আছে কি অন-প্রেমিসে। আপনি PaaS বা IaaS ব্যবহার করুন, ইন্টার-কম্পোনেন্ট অথেন্টিকেশন এখনও একটি অসমাধান সমস্যা।
TLS কীভাবে সাহায্য করে
মূলত, আপনাকে TLS-এর ফিচারগুলো থেকে সুবিধা নিতে হবে অথেন্টিকেশন মেকানিজম উন্নত করার জন্য যেগুলো আপনি ইমপ্লিমেন্ট করেন। যদি TLS ওয়েব সার্ফিং-এর জন্য ব্যবহার না হয়, তবে এটি একে অপরের সাথে ট্রানজ্যাকশন করছ.entities-র মধ্যে মিউচুয়াল ভ্যালিডেশনের পেছনে থাকে।
সার্ভার রিকোয়েস্টারকে অথেন্টিকেট করে ঠিক যেমন একটি ব্রাউজার একটি রিমোট ওয়েবসাইটকে অথেন্টিকেট করে। HTTP প্রোটোকল ক্লাউড API-র জন্য ট্রান্সপোর্ট হিসেবে ব্যবহার করা হয় কিন্তু আমরা এখনও কম্পোনেন্টগুলোর মধ্যে মিউচুয়াল ভ্যালিডেশন অনুমতি দিতে পারি। TLS মিউচুয়াল অথেন্টিকেশনে, আমরা বিশেষভাবে সার্টিফিকেটের প্যারামিটার লিমিট করতে পারি যেগুলো গ্রহণযোগ্য। এর মানে ক্লাউড অ্যাপ্লিকেশনগুলোক শুধু নির্দিষ্ট সার্টিফিকেট বা সিরিয়াল নম্বর এবং এমনকি নির্দিষ্ট সার্টিফিকেট অথরিটি থেকে প্রেজেন্ট করতে হবে। আরো, আপনি TLS মেথডকে একটি স্ট্যাটিক হিডেন ভ্যালু বা পাসওয়ার্ডের সাথে কম্বাইন করতে পারেন। যাইহোক, ক্লাউডে TLS মিউচুয়াল অথেন্টিকেশন অ্যাপ্রোচ ইমপ্লিমেন্ট করার কিছু ডিপেন্ডেন্সি রয়েছে। প্রাথমিকভাবে, ক্লাউড API কাস্টোমাইজেবল হওয়া উচিত TLS মিউচুয়াল অথেন্টিকেশন সেটআপ করার জন্য। এর মানে আপনার একটি IaaS এনভায়রনমেন্ট থাকা উচিত যাতে আপনি কনফিগারেশন মডিফাই করতে পারেন। অন্যথায়, এটি একটি PaaS এনভায়রনমেন্ট হওয়া উচিত যেখানে আপনাকে এই ফাংশনালিটি অন করার অনুমতি রয়েছে। ক্লাউড এক্সপার্ট যেমন AWS এবং Microsoft Azure-এর উদাহরণ নিতে পারেন।
TLS মিউচুয়াল অথেন্টিকেশনের সুবিধা
TLS মিউচুয়াল অথেন্টিকেশন ব্যবহার করে আপনি কয়েকটি চমৎকার সুবিধা উপভোগ করতে পারেন। TLS মিউচুয়াল অথেন্টিকেশনের সবচেয়ে প্রমুখ সুবিধার একটি হল পাসওয়ার্ড বা সিক্রেট ভ্যালু মেইন্টেইন করার কম ঝামেলা। পাসওয়ার্ড বা স্ট্যাটিক হিডেন ভ্যালু ব্যবহার ও ম্যানেজ করা একটি জটিল কাজ কারণ এতে প্রক্রিয়া অন্তর্ভুক্ত থাকে যেমন পিরিয়ডিক্যালি পাসওয়ার্ড মডিফাই করা, এর ব্যবহার চেক করা, জটিল পাসওয়ার্ড তৈরি করা, এর সুরক্ষা নিশ্চিত করা ইত্যাদি। যাইহোক, TLS মিউচুয়াল অথেন্টিকেশন পাসওয়ার্ড মেইন্টেইন করার অতিরিক্ত ঝামেলা কমিয়ে দেয়। যদিও অথেন্টিকেশন মেথড ইরার করার সময় পাসওয়ার্ড কয়েকবার ব্যবহার করা হয়, TLS দীর্ঘমেয়াদে পাসওয়ার্ডের ভূমিকা কমিয়ে দেয়।
এছাড়া, TLS মিউচুয়াল অথেন্টিকেশন সার্টিফিকেট এবং প্রাইভেট কী ব্যবহার করে যা পাসওয়ার্ডের চেয়ে কম পোর্টেবল। তাই, এমনকি সার্টিফিকেট এবং প্রাইভেট কী অন্যান্য ডিজিটাল এন্টিটির মতো কম্প্রোমাইজ হতে পারে, এটি হ্যাকারদের জন্য ডিফিকাল্টি লেভেল বাড়িয়ে দেয় কমপক্ষে লজিস্টিক্স দিক থেকে যখন হ্যাকার রিমোট API কলার হিসেবে মাস্কেড থাকতে চায়।
অ্যাপ্লিকেশন মনিটরিং দিক থেকে, TLS কম্পোনেন্ট বা অ্যাপ্লিকেশন যেগুলো API রিকোয়েস্ট করে সেগুলোর রেকর্ড বেশি স্পষ্টতায় রাখে। পাসওয়ার্ডের সাথে, এটি একটি জটিল প্রক্রিয়া।
একাও পড়ুন: সাইবার নিরাপত্তা উন্নত হচ্ছে কি খারাপ হচ্ছে?
TLS মিউচুয়াল অথেন্টিকেশনের ডিমেরিট
TLS মিউচুয়াল অথেন্টিকেশন ইমপ্লিমেন্ট করার কিছু ডিমেরিট রয়েছে। যাইহোক, उनमें से কোনোটিই আপনাকে টেকনিক ইমপ্লিমেন্ট করতে নিরুৎসাহিত করা উচিত নয়।
নিচের ডিমেরিটগুলো মেথড উন্নত করার জন্য ধ্যানে রাখা উচিত: –
প্রথম এবং সর্বোপরি, সার্টিফিকেট এক্সপায়ার হয়। তাই, কেউ এক্সপায়ার হওয়ার আগে সার্টিফিকেট রি-ইস্যু করা মনে রাখতে হবে। যদি আপনি সার্টিফিকেট রি-ইস্যু করা ভুলে যান, ফলাফল দুরন্ত হতে পারে কারণ সমস্যাটি ডিবাগ করা কঠিন। নিশ্চিত করুন যে আপনি সার্টিফিকেটের এক্সপায়ারেশন ডেটা সবসময় ট্র্যাক করছেন এক্সপায়ার হওয়া সার্টিফিকেটগুলো প্রোएक্টিভলি রিপ্লেস করার জন্য।
মোটামুটি, TLS মিউচুয়াল অথেন্টিকেশন ক্লাউড API-র নিরাপত্তা উন্নত করার একটি কন্সট্রাক্টিভ মেথড। কমপক্ষে, TLS মিউচুয়াল অথেন্টিকেশন নিরাপত্তা এক্সপার্টদের ক্লাউডে অ্যাপ্লিকেশন নিরাপত্তা অ্যাসেস করতে সাহায্য করতে পারে।
