ডিজিটাল সিগনেচার দিয়ে উইন্ডোজ সফটওয়্যারের প্রামাণিকতা যাচাই করা

ইন্টারনেট থেকে প্রতিবার প্রোগ্রাম ডাউনলোড করার সময়, আপনাকে ডেভেলপারটির ওপর বিশ্বাস করতে হয় যে সেটি ম্যালিশিয়াস নয়। এর কোনো বিকল্প নেই। কিন্তু সাধারণত এটা কোনো ইস্যু নয়, বিশেষ করে পরিচিত সফটওয়্যার এবং ডেভেলপারদের ক্ষেত্রে।

য המעוד, সফটওয়্যার হোস্ট করার ওয়েবসাইটগুলো বেশি আক্রান্তবিধান। আক্রমণকারীরা ওয়েবসাইটের সিকিউরিটি সাবভার্ট করে প্রোগ্রামগুলো তাদের নিজস্ব ম্যালিশিয়াস ভার্সনে রিপ্লেস করতে পারে। এটি ডিকিক্টের মত দেখতে ও কাজ করে, বzieht একটি ব্যাকডোর ইনসার্টেড থাকে। এই ব্যাকডোর দিয়ে আক্রমণকারী আপনার দৈনন্দিন কম্পিউটিং-এর বিভিন্ন অংশ কন্ট্রোল করতে পারে। আপনার কম্পিউটার বা একটি বটনেটে ইনসার্ট হবে, অথবা আরও খারাপ, ইউটিলিটি অপেক্ষা করবে যতক্ষণ না আপনি আপনার ক্রেডিট/ডেবিট কার্ড ব্যবহার করবেন এবং এর ক্রেডেনশিয়াল চুরি করবে। আপনাকে বিশেষ সতর্ক থাকা উচিত যখন আপনি গুরুত্বপূর্ণ সফটওয়্যার ডাউনলোড করছেন যেন অপারেটিং সিস্টেম, ক্রিপ্টোকারেন্সি ওয়ালেট, বা অনুরূপ।

ডিজিটাল সিগনেচার দিন বাঁচাতে পারে

সফটওয়্যার লেখকরা তাদের প্রোডাক্ট সাইন করতে পারেন। একে অ্যাট্যাকার তাদের প্রাইভেট কী চুরি না করলে, এই সিগনেচার ফোর্জ করার কোনো পরিচিত উপায় নেই। হাজার হাজার ইউজার ম্যালিশিয়াস প্রোগ্রাম ডাউনলোড করেছে এমন অসংখ্য কেস আছে, এবং প্রায় প্রতিটি কেসে, যদি তারা ডিজিটাল সিগনেচার চেক করত, তারা দেখত যে সেগুলো ইনভ্যালিড, তাহলে পরিস্থিতি এড়াতে পারত। একটি আক্রান্ত ওয়েবসাইটে সফটওয়্যার রিপ্লেস করা অপেক্ষাকৃত সহজ কিন্তু একটি প্রোপারলি স্টোরড এবং ইন্টারনেট থেকে আইসোলেটেড প্রাইভেট কী চুরি করা অবিশ্বাস্যভাবে কঠিন।

আপনি ডিজিটাল সিগনেচার সম্পর্কে এখানে আরও পড়তে পারেন। এই আর্টিকেলটি একই বিষয়ে আলোচনা করে, পার্থক্য হল আপনি উইন্ডোজ ইউটিলিটি ব্যবহার করবেন ডাউনলোড ভ্যালিডেট করতে।

Gpg4win ব্যবহার করে ডিজিটাল সিগনেচার ভেরিফাই করা

এই পেজে যান এবং Gpg4win ডাউনলোড ও ইনস্টল করুন। স্মার্ট লোক গুজব করবেন, "আমি কীভাবে জানবো এটি লেজিটিমেট?" এবং এটি একটি ভালো প্রশ্ন। যদি এটি ভাঙা থাকে, তবে পরবর্তী সব ধাপই নিষ्फল।

সৌভাগ্যবশত, ডেভেলপার সার্টিফিকেট অথোরিটির মাধ্যমে তার সফটওয়্যার সাইন করিয়ে সকল কষ্ট তুলে নিয়েছেন। এবং সে তার ওয়েবসাইটে তার প্রোগ্রাম ভেরিফাই করার ধাপগুলো বিস্তারিত করেছেন। যদিও অনুরূপ ক্রিপ্টোগ্রাফি ব্যবহার হয় ভ্যালিডিটি চেক করার জন্য, সামগ্রিক পদ্ধতি ভিন্ন। এখানে ডিজিটাল সার্টিফিকেট ব্যবহার হয়।

ফাইল চেকসাম ভেরিফাই করা

মান लीজিয়ে আপনি Bitcoin Core ওয়ালেট ডাউনলোড করতে চান। x64 Windows এক্সিকিউটেবল (exe, not zip) ডাউনলোড করুন। পরে, "Verify release signatures"-এ ক্লিক করুন "SHA256SUMS.asc" ফাইল ডাউনলোড করতে। প্রথম ধাপ হল সেটআপ ফাইলের হ্যাশ ভেরিফাই করা। আপনি হ্যাশ সম্পর্কে এখানে আরও পড়তে পারেন।

আপনার ডাউনলোড ফোল্ডারে যান, এবং Gpg4win ইনস্টলড থাকলে, আপনি এখন একটি ফাইলে ডান ক্লিক করলে একটি নতুন কন্টেক্সট মেনু আসবে। বিটকয়েন সেটআপ ফাইলে (আপনি যা exe ডাউনলোড করেছেন) ডান ক্লিক করুন, এবং "More GpgEX Options -> Create checksums" সিলেক্ট করুন, নিচের ছবির মত।

জেনারেট হওয়া "sha256sum.txt" এবং আপনি যা ডাউনলোড করেছেন "SHA256SUMS.asc" দুটো খুলুন। SHA256 চেকসামগুলো তুলনা করুন। সেগুলো পারফেক্ট ম্যাচ হওয়া উচিত।

চেকসাম লিস্ট করা ফাইলের সিগনেচার চেক করা

আপনি শুধু একটি সেটআপ ফাইল এবং একটি চেকসাম লিস্ট ডাউনলোড করেছেন একই ওয়েবসাইট থেকে, কিন্তু আক্রমণকারী সেটআপ ফাইল রিপ্লেস করলে, সে চেকসাম লিস্টটিও সহজে রিপ্লেস করতে পারে। কিন্তু সে যা করতে পারে না সেটি হল একটি সিগনেচার ফোর্জ করা। যেটি একটি পরিচিত (লেজিটিমেট) পাবলিক কী দিয়ে ভ্যালিডেট করা যায়। প্রথমে, আপনাকে এই কীটি ডাউনলোড করতে হবে।

নিচের ছবিটি একটি সিগনেচারের মত দেখায়।

এটি একটি ইনলাইন সিগনেচার (সেই ফাইলে ইনক্লুডেড যা সেটি ভ্যালিডেট করে)। কখনও কখনও এটি ডিট্যাচড হবে, আলাদা একটি ফাইলে ইনক্লুডেড। আপনি যদি এই টেক্সট ফাইলে মাত্র এক অক্ষর পরিবর্তন করেন, সিগনেচারটি ইনভ্যালিড হয়ে যাবে। এটি একটি উপায় জানার যে ডেভেলপার এই ঠিক সাবস্ট্যান্সগুলো অনুমোদন ও সাইন করেছেন সঠিক চেকসামের সাথে।

ডেভেলপারের পাবলিক কী ইমপোর্ট করা

পাবলিক কীগুলো ডাউনলোডের জন্য উপলব্ধ "Bitcoin Core Release Signing Keys"-এ বিটকয়েনের ডাউনলোড পেজে। একটি প্রিকশনারি মেজার হিসেবে, আপনি সেগুলো অন্য সোর্স থেকে ডাউনলোড করতে পারেন। আক্রমণকারী যদি লেজিটিমেট কীগুলো তার নিজস্বের সাথে রিপ্লেস করে, احتمالات বেশি যে সঠিক কীগুলো (এবং ফিংগারপ্রিন্ট) অন্যান্য সব জায়গায় যেখানে সেগুলো পোস্ট বা ডিসকাস হয়েছে সেখানে পাওয়া যাবে।

"SHA256SUMS.asc"-এ ডান ক্লিক করুন, এবং "Decrypt and Verify" সিলেক্ট করুন। প্রোগ্রামটি বলবে আপনার এখনো পাবলিক কী নেই। "Search"-এ ক্লিক করুন।

"Find" ফিল্ডে স্ট্রিংটি নোট করুন।

আপনি এটি কপি করে Google-এ পেস্ট করতে পারেন দেখতে এই পাবলিক কী ফিংগারপ্রিন্ট লেজিটিমেট ফোরাম থ্রেড/ওয়েবসাইটে ডিসকাস হয়েছে কিনা। যত বেশি জায়গায় পাবেন, তত বেশি নিশ্চিত হবেন যে সেটি উদ্দেশ্য অনার হতে পারে।

কীটিতে ক্লিক করুন এবং ইমপোর্ট করুন। আপনি পরের প্রম্পটে "No" ক্লিক করতে পারেন (কী সার্টিফাই করার জন্য মেজার নিন) আপনি যদি না জানেন কীভাবে বা এখন করতে চান না।

শেষে, "Show Audit Log"-এ ক্লিক করুন।

আপনাকে নেক্সট ছবিতে হাইলাইট করা টেক্সটটি দেখতে হবে, "Good signature."

"SHA256SUMS.asc"-এ মাত্র এক অক্ষর পরিবর্তন করে দেখুন, আপনি নিচের ছবির মত কিছু পাবেন।

উপসংহার

কম ডেভেলপার আপনাকে তাদের সফটওয়্যার তাদের থেকে আসছে কিনা চেক করার সুযোগ দেয়। কিন্তু সাধারণত যেসব প্রোগ্রাম সেনসিটিভ ডেটা হ্যান্ডেল করে বা খুব গুরুত্বপূর্ণ, সেগুলো আপনাকে এই অপশন দেয়। এটি ব্যবহার করুন এবং একদিন এটি আপনাকে মুশকিল থেকে বাঁচাতে পারে।